OpenWrt 路由器 VPN 設定：全屋裝置分流教學

OpenWrt 路由器 VPN 的工作方式與適用情境

將 VPN 設定在 OpenWrt 路由器上，最大的好處是把連線管理從單一裝置移到家庭網路的入口位置。手機、平板、電視、遊戲主機、電腦與其他不方便安裝第三方用戶端的裝置，只要連接到這台路由器，就能依照規則使用直連或代理路徑。這種方式不需要每部裝置逐一安裝應用程式，也不必在每次切換網路時重新設定。

不過，路由器 VPN 並不等於所有流量都應該無條件經過代理。家庭網路通常同時包含本地服務、智慧家電、區域影音、銀行網站、公司系統與需要國際連線的服務。若把全部流量都送往遠端節點，可能增加路由器負擔，也可能讓本來應走本地網路的服務出現驗證、速度或存取問題。因此，OpenWrt 的重點不是單純「開啟 VPN」，而是建立清楚的分流策略。

實際架構通常由幾個部分組成：OpenWrt 負責 DHCP、DNS 與區域網路路由；代理核心負責讀取 Shadowsocks、VMess、Trojan、VLESS 或 Hysteria2 等節點設定；規則引擎則依照網域、IP、地區或裝置來源決定流量方向。若使用 WireGuard，則可建立較接近傳統 VPN 的隧道介面，再配合防火牆與路由規則處理不同裝置的流量。

路由器方案特別適合希望集中管理的家庭、小型工作室，以及需要讓沒有完整代理功能的裝置連線的人。若只是單獨使用筆記型電腦或手機，官方 Windows、macOS、iOS、Android、Linux 用戶端可能更容易上手；如果想讓多部裝置採用一致規則，OpenWrt 才能展現集中設定的優勢。

刷寫韌體前要準備哪些資料

開始之前，先確認路由器型號、硬體版本、儲存空間與目前使用的 OpenWrt 版本。相同產品名稱可能存在不同硬體修訂版，韌體檔案不一定可以互換。刷寫前應從路由器管理介面備份目前設定，記下寬頻撥號、區域網路網段、無線網路名稱、密碼與特殊防火牆規則。若路由器正在承擔家中主要網路，最好安排可以暫時中斷連線的時間，並準備網路線，避免只依靠無線連線操作。

先確認硬體與韌體相容性

OpenWrt 的套件與代理核心會佔用儲存空間和記憶體。功能較完整的圖形化管理介面、規則資料庫與多種協定支援，通常比單純路由功能需要更多資源。不要只因為網路上有人使用某個套件，就直接套用到自己的裝置；應先查看該套件支援的架構、核心版本與安裝方式。

如果原廠韌體已經提供良好的無線覆蓋，也可以考慮讓效能較強的裝置負責代理，而不是勉強在低規格路由器上執行複雜規則。另一種做法是保留原有主路由器，將 OpenWrt 設備設定成旁路由或透明網關。旁路由的優點是方便逐步測試，不必一開始就替換整個家庭網路；缺點是必須更仔細處理 DHCP、DNS、預設閘道與裝置是否真正使用旁路由。

備份與恢復要先安排

設定檔備份不一定能跨硬體或跨版本直接還原。無線介面名稱、網路介面、套件設定與防火牆語法可能在更新後改變。建議同時保存原始設定檔與一份人工筆記，記錄哪些項目是手動修改的。若刷寫後無法進入管理介面，先不要重複斷電；可依照設備支援的恢復方式，使用有線連線、恢復模式或原廠救援程序。

• ✅ 先確認路由器硬體版本，再選擇相容的 OpenWrt 韌體
• ✅ 備份原有設定，並記下寬頻、Wi-Fi 與區域網路資訊
• ✅ 優先使用網路線進行刷寫與初次設定
• ❌ 不要把其他型號或其他硬體修訂版的韌體直接套用
• ❌ 不要在未確認恢復方法前，刪除原廠韌體或重設所有設定

在 OpenWrt 上選擇代理核心與安裝方式

OpenWrt 上常見的做法包括安裝支援規則分流的代理管理套件、直接執行 sing-box 或其他代理核心，或使用 WireGuard 建立隧道。不同方案的設定思路並不完全相同。代理管理套件通常提供節點管理、策略羣組、DNS 分流與透明代理功能；sing-box 需要理解 inbound、outbound、route 與 DNS 等設定區塊；WireGuard 則較重視金鑰、對端、公網路由與 AllowedIPs。

如果訂閱內容包含 Shadowsocks、VMess、Trojan、VLESS 或 Hysteria2，應使用能解析對應格式與協定的核心。訂閱格式和協定本身是兩回事：訂閱可能是遠端 URL、Base64 文字、YAML 或 JSON，而節點則描述實際採用的連線協定。OpenWrt 上的管理介面即使能成功取得訂閱，也不代表內建核心支援其中所有節點。匯入後應查看節點是否能被正常解析，並確認 TLS、SNI、傳輸方式、UDP 或 Reality 等欄位沒有被遺漏。

若選用 Clash 相容格式，需確認目前使用的核心是否仍支援訂閱內的代理類型與規則語法。Clash Verge、Shadowrocket 等桌面或行動用戶端的設定檔，不一定能原封不動移植到 OpenWrt。反過來，OpenWrt 上產生的完整設定也不一定適合直接貼入手機用戶端。最穩妥的方式是從服務控制面板取得與核心相符的訂閱入口，避免依賴不明的線上轉換服務。

動手設定：匯入訂閱並建立家庭分流

完成 OpenWrt 基本網路設定後，先讓路由器在沒有代理的狀態下正常提供 DHCP、DNS 與網際網路存取。這一步很重要，因為如果原始網路本身就不穩定，之後很難判斷故障是否來自代理核心。接著確認路由器時間正確；TLS 憑證驗證、部分節點握手與遠端訂閱更新都可能受到錯誤時間影響。

1. 登入 OpenWrt 管理介面，確認 WAN、LAN、DHCP 與 DNS 服務正常運作。
2. 安裝與目前韌體架構相容的代理核心或管理套件，完成必要的服務權限設定。
3. 在服務控制面板複製對應的訂閱連結，不要複製登入網址或單一網頁網址。
4. 在 OpenWrt 的訂閱管理區貼上 URL，儲存後手動更新，查看節點與策略羣組是否出現。
5. 先選擇一個節點建立測試出站，不要一開始就啟用自動切換或大量複雜規則。
6. 建立 DNS、路由與防火牆設定，讓已接管的流量能正確送至代理核心。
7. 只讓一部測試裝置連接路由器，依序檢查本地網站、一般國際網站與需要長連線的應用程式。
8. 確認測試結果後，再將規則套用到其他裝置，並為不應代理的設備保留直連策略。

訂閱匯入失敗時如何排查

如果更新後沒有節點，先檢查 URL 是否完整、是否包含多餘空格，以及路由器本身能否連到訂閱伺服器。再查看核心日誌，分辨是 DNS 解析失敗、TLS 憑證錯誤、回應格式不支援，還是訂閱內容為空。若服務端為不同核心提供不同格式，應回到控制面板重新選擇 OpenWrt 所用核心的入口。

訂閱能取得節點但啟動失敗，則要檢查節點協定是否被支援，以及設定中的伺服器名稱、傳輸層、加密方式和驗證資訊是否完整。Hysteria2、TUIC 等依賴 UDP 或 QUIC 的協定，在某些網路環境可能無法建立連線；此時可以改用支援 TCP 或 TLS 的其他節點作為對照，但不要只看節點名稱推斷結果。

直連與代理規則如何安排

建議先建立最小可用規則，再逐步增加例外。區域網路網段、路由器管理位址、印表機、NAS、智慧家電與家中串流設備，通常應保留直連。需要固定經由代理的服務，則可按照網域或策略羣組安排。對於同時使用多個網域的服務，不能只加入首頁網域，還要觀察登入、圖片、API、更新與串流連線是否使用其他網域。

以裝置分流時，可以讓工作電腦使用較完整的規則，讓電視或遊戲主機採用獨立策略，也可以只讓指定 IP 或 MAC 位址進入代理。需要注意的是，部分裝置會隨機化 MAC 位址，DHCP 租約變更後也可能導致原有規則不再命中。若使用裝置分流，應為重要設備設定固定 DHCP 租約，並定期檢查規則實際套用到的來源。

DNS、防火牆與透明代理的關鍵檢查

許多「節點可以連線但網站仍然異常」的問題，實際上與 DNS 或防火牆有關。裝置可能把網域交給路由器解析，但代理流量卻由另一個核心處理；也可能因為瀏覽器啟用了加密 DNS，繞過 OpenWrt 的分流設定。這種情況下，頁面可能偶爾載入、部分資源失敗，或規則看似正確卻沒有命中。

設定 DNS 時，先決定由誰負責解析：OpenWrt 的 dnsmasq、代理核心內建 DNS，或其他明確指定的解析服務。若要依網域分流，解析請求與實際連線最好採用一致的策略，避免本地解析結果和代理出口不匹配。對於內部網域、路由器主機名稱與 NAS 名稱，應保留本地解析；對外部服務則按照規則送往對應的 DNS 出站。

防火牆方面，要確認透明代理使用的重導向規則只作用於預期介面和來源。將 LAN、WAN、VPN 隧道與代理虛擬介面全部混在一起，容易產生循環轉送。路由器本身的管理流量也應與家庭裝置流量分開考慮，否則代理服務停止時，可能連管理介面或套件更新都受到影響。每次修改防火牆後，先保留目前的 SSH 或有線管理通道，再測試其他裝置。

• ✅ 確認測試裝置取得的 DNS 伺服器是預期的 OpenWrt 位址
• ✅ 檢查 DNS 查詢、代理核心與防火牆日誌是否能對應到同一次請求
• ✅ 為區域網路與路由器管理流量保留清楚的直連例外
• ❌ 不要同時啟用兩個透明代理服務或兩套 DHCP 服務
• ❌ 不要為了排錯長期關閉 TLS 憑證驗證或整體防火牆

若裝置能解析網域但無法建立連線，可以先暫時切換到簡單的直連規則，確認本地網路正常；若直連成功、代理失敗，再查看代理核心日誌。若只有部分網站異常，則應檢查網域規則與 DNS 分流，而不是立即重刷韌體。

設定完成後如何測試與維護

測試時應固定測試裝置、節點與規則模式，逐項改變條件。先確認裝置能取得正確 IP、閘道與 DNS，再測試路由器管理介面、區域網路設備、一般網頁、串流服務與長時間連線。若不同裝置的結果不一致，通常代表來源規則、裝置自身 DNS 或應用程式代理方式不同，而不一定是遠端節點本身故障。

切換節點後，既有 TCP 或 QUIC 連線不一定會自動轉移。瀏覽器頁面可能仍顯示舊工作階段，串流或下載卻已經停止。此時應關閉並重新開啟對應應用程式，或重新建立連線，再判斷新節點是否正常。不要只依靠首頁是否能開啟來判斷整體設定，還要觀察登入、圖片、API、檔案傳輸與長連線等不同請求。

OpenWrt 和代理核心都需要適度維護。更新前先閱讀版本變更內容，確認套件與目前核心相容，並保存可恢復的設定。訂閱更新後，檢查原有策略羣組、節點標籤與自訂規則是否仍然存在。若服務端撤換協定或傳輸方式，舊版核心可能無法解析新的欄位。遇到更新後大範圍失效，先回看最近一次變更，再決定是否回退，而不是同時重設 DNS、防火牆與路由。

OpenWrt 路由器 VPN 常見問題

路由器設定 VPN 後，所有裝置都會變慢嗎？

不一定。影響因素包括路由器硬體能力、代理核心、加密方式、規則數量、DNS 處理方式與遠端線路。若讓所有流量都經過複雜的透明代理，路由器負擔通常會高於單純直連。較實際的做法是保留本地服務直連，只讓確實需要代理的網域或裝置進入代理策略，並觀察路由器 CPU、記憶體與核心日誌。

手機已經安裝用戶端，還需要使用路由器 VPN 嗎？

可以依使用情境選擇。手機在外出時仍需要自己的用戶端；回到家中後，如果家庭路由器已提供分流，手機可以直接使用家中網路。若手機用戶端與路由器同時啟用代理，可能形成重複轉送或 DNS 路徑不一致，排錯時應先關閉其中一方，確認單一路徑正常後再決定是否保留。

旁路由和主路由有什麼差別？

主路由通常負責撥號、DHCP、NAT 和整個家庭網路的預設閘道；旁路由則是額外加入的代理或策略設備。旁路由較適合希望保留原有網路、先對少量裝置測試的人，但必須正確設定裝置的閘道與 DNS。若 DHCP 仍由主路由提供，卻沒有把相關裝置導向旁路由，代理規則可能根本不會被使用。

訂閱連結應該直接貼到 OpenWrt 嗎？

只有在管理套件或核心明確支援該訂閱格式時才可以。先確認訂閱是給哪個核心使用，再檢查 URL 是否完整，並避免將訂閱貼到公開轉換網站。訂閱連結通常包含可讀取帳戶設定的資訊，若不慎外洩，應盡快在控制面板重設後重新匯入。