把 VPN 放到 OpenWrt 路由器上，最大的好處不是多一個設定介面，而是把連線管理集中到網路出口。家中的電腦、手機、平板、智慧電視與遊戲主機，只要連到同一個無線網路或有線區域網路，就能按照裝置、網域、目的地或連線類型使用不同規則，不必逐台安裝用戶端。這種架構特別適合裝置數量較多、部分設備無法安裝 VPN 應用程式，或希望本地服務維持直連的家庭環境。
不過，路由器設定並不是把訂閱連結貼上去就完成。OpenWrt 需要同時處理用戶端套件、訂閱格式、路由規則、DNS、IPv6、啟動順序與故障恢復。任何一層配置不完整，都可能出現「路由器顯示已連線，但某些裝置無法上網」、「國外網站正常，本地銀行或印表機卻失效」，甚至 DNS 查詢仍從原本的網路出口送出的情況。本文依照實際操作順序，說明如何規劃、匯入、分流、檢查與還原。
先規劃路由器 VPN的分流目標
在安裝套件前，先決定哪些流量需要經過通道、哪些流量必須保持直連。最容易維護的方式通常不是「所有流量一律代理」，而是按照家庭使用情境拆分。工作電腦可能需要依網域分流，智慧電視可能只需要特定串流服務使用指定地區，印表機、NAS、路由器管理頁與家中智慧設備則應保留區域網路直連。
分流可以按照三種維度設計。第一種是裝置分流，例如讓某個 IP 位址或 DHCP 靜態租約所對應的裝置固定走指定策略。第二種是網域分流，將特定網域放入代理、直連或拒絕清單。第三種是目的地分流，以 IP 網段或地區資料庫判斷流量方向。新手建議先從裝置分流開始，待規則確認穩定後，再加入網域與目的地規則，否則排錯時很難知道是哪一條規則命中。
5
可支援平台
110+
國家覆蓋
210+
線路數
不限
同時在線裝置
14VPN 支援 Windows、macOS、iOS、Android 與 Linux，也可以透過相容用戶端在路由器上使用訂閱內容。路由器本身不等於官方桌面或行動應用程式；OpenWrt 上通常需要依韌體環境選擇 OpenClash、PassWall 2、sing-box 或其他相容方案。OpenClash 主要處理 Clash 格式與規則組，PassWall 2 常見於整合 Xray 或 sing-box 的情境，而 WireGuard 則通常需要匯入獨立的設定檔。實際支援格式應以套件介面與目前訂閱輸出為準，不要只因為名稱相似就直接匯入。
- ✅ 先列出需要代理、需要直連與不能中斷的裝置。
- ✅ 為重要設備建立 DHCP 靜態租約，避免 IP 變更導致規則失效。
- ✅ 預留一台可用網線連接的電腦，方便配置錯誤時進入管理介面。
- ❌ 不要一開始就把所有裝置放進複雜的網域規則。
- ❌ 不要把訂閱連結貼到公開貼文、截圖或不明轉換服務。
安裝 OpenWrt 用戶端並匯入訂閱
進入 OpenWrt 的 LuCI 管理介面後，先確認系統時間、DNS 與套件來源可以正常使用。系統時間錯誤可能造成 TLS 憑證驗證失敗，套件來源不可用則會讓安裝看起來像是用戶端問題。若路由器已有其他代理套件，先記錄它使用的透明代理、DNS 轉發與防火牆設定，避免兩套服務同時接管相同連接埠。
匯入前要先辨識訂閱屬於哪一類。Clash 類設定通常包含 proxies、proxy-groups 與 rules 等欄位；sing-box 設定則使用 inbounds、outbounds、route 與 DNS 等結構；WireGuard 設定檔常見的是 [Interface] 與 [Peer] 區段。這些格式不能互相當成同一種檔案使用。若面板提供訂閱連結，優先在支援該格式的用戶端中使用「從 URL 匯入」或「新增訂閱」；若只提供單一 WireGuard 設定檔，則依套件要求上傳檔案或填入金鑰與 Peer 參數。
完成匯入後，先不要立即啟用全域透明代理。檢查節點名稱、協定、伺服器位址、連接埠與更新時間是否合理，再手動選擇一條線路進行最小範圍測試。Shadowsocks、VMess、Trojan 與 Hysteria2 的加密、傳輸與驗證欄位不同，WireGuard 也有自己的金鑰與 AllowedIPs 邏輯。若訂閱更新後節點全部顯示異常，應先檢查格式與憑證，不要隨意修改伺服器欄位。
| 設定類型 | 常見用途 | 匯入前檢查 | 常見問題 |
|---|---|---|---|
| Clash 相容設定 | 節點組合、規則分流與策略切換 | 確認用戶端支援的欄位與規則格式 | 策略組名稱或規則語法不相容 |
| sing-box 設定 | 精細的路由、DNS 與多協定管理 | 確認 inbounds、outbounds 與 route 結構完整 | 版本差異造成欄位無法載入 |
| WireGuard 設定檔 | 以隧道介面處理指定路由或全域流量 | 核對金鑰、Peer、AllowedIPs 與 DNS | 路由過寬或回程路由不完整 |
| 單一節點設定 | 排查單條線路與最小化測試 | 確認協定、位址、連接埠與驗證資訊 | 無法享有訂閱更新與備援選擇 |
動手完成分流、DNS 與透明代理
以下流程適用於大多數以 LuCI 管理的 OpenWrt 代理套件，介面名稱可能因套件與版本不同而改變。操作時每完成一個階段就儲存並套用，並保留目前可登入管理頁的方式。不要一次貼入大量自訂規則後直接重啟，否則出錯時很難判斷是 DNS、路由還是防火牆造成。
- 建立穩定的內網識別。在 DHCP 設定中為測試電腦、手機或電視建立靜態租約，記下其內網位址。不要只依賴裝置名稱，因為部分行動裝置會使用隨機 MAC 位址，導致原有規則找不到相同設備。
- 選擇測試策略。先建立一個只包含單一節點的策略組，將測試裝置加入代理清單。其他裝置維持直連，這樣即使配置失敗，也不會讓整個家庭網路同時失去連線。
- 設定 DNS 轉發。讓代理套件接管需要分流的 DNS 查詢，並確認路由器 DHCP 沒有把另一組 DNS 直接發給用戶端。若使用 fake-ip 或 redir-host 類模式，必須按照套件說明處理本地網域、路由器名稱與不適合代理的設備。
- 處理本地與保留網段。將路由器管理位址、區域網路、印表機、NAS 與 DHCP 必要流量加入直連或繞過清單。這能避免透明代理把本地服務誤送到遠端，也能降低管理頁面無法開啟的風險。
- 啟用防火牆整合。只開啟套件要求的透明代理與防火牆選項，避免手動重複建立相同的 NAT 或轉發規則。若套件提供「繞過中國大陸 IP」或類似地區規則，應先確認資料庫來源與更新方式，再決定是否使用。
- 逐台擴大範圍。測試裝置完成 DNS、出口與常用服務檢查後，再加入第二台設備。每次只增加一個變數，並在發生問題時立即回退最近一次變更。
DNS 配置是路由器分流最常見的故障來源。瀏覽器能開啟某個網站，不代表所有 DNS 查詢都遵守相同規則；應用程式可能使用自己的 DNS、DoH 或 DoT，也可能快取舊結果。檢查時可分別確認路由器本身、測試裝置與目標應用程式的結果，並留意 IPv6 是否繞過 IPv4 的透明代理。若目前套件沒有完整處理 IPv6，暫時關閉 LAN 端 IPv6 或為其建立一致的分流規則，通常比留下半套配置更容易維護。
速度、出口與斷線問題怎麼檢查
完成分流後，不要只用一次測速判斷設定是否成功。先確認測試裝置取得的閘道仍是 OpenWrt 路由器，再檢查代理裝置與直連裝置的出口位址是否符合預期。可以使用本站的 IP 檢測 頁面查看出口變化；測試時要分別在代理規則與直連規則下檢查，避免把瀏覽器快取誤認為路由已生效。
速度檢查應拆成 DNS、連線建立、持續傳輸與多裝置同時使用四個部分。DNS 很慢時，頁面可能長時間停在載入階段；連線建立慢則可能與節點、協定交握或路由器 CPU 有關；持續傳輸下降，則要檢查 MTU、加密負載、Wi-Fi 訊號與上游壅塞。當多台設備同時使用時，還要觀察路由器的 CPU、記憶體與連接追蹤表，而不是隻看單一裝置的結果。
若某些網站可以開啟，另一些網站卻失敗，先將問題拆成網域解析、TCP 或 UDP 建立、TLS 交握與應用程式回應幾層。Hysteria2 等以 UDP 為主的協定，對網路環境與防火牆行為的依賴和 TCP 類協定不同；WireGuard 若 AllowedIPs 設定過寬，可能把不該進入隧道的內網或管理流量一併導走。不要只反覆更換節點，應先確認規則是否命中、DNS 是否走對出口，以及路由表是否出現預期的下一跳。
- ✅ 先測試一台裝置，再逐步加入其他設備。
- ✅ 分開記錄 DNS 失敗、出口不符、速度下降與連線中斷。
- ✅ 更換節點時保留相同的裝置與規則，避免同時改變多個條件。
- ✅ 檢查 IPv4、IPv6、MTU 與本地網段是否使用一致策略。
- ❌ 不要用路由器管理頁顯示「服務啟動」當作所有設備已正常連線。
備份設定與恢復原始網路
路由器是全家的共同出口，因此在升級套件、更新訂閱或修改防火牆前，應先從 LuCI 匯出設定備份。備份檔可能包含訂閱連結、私鑰、密碼或其他敏感資料，應存放在可信任的本機位置，不要直接上傳到公開雲端或傳給陌生人。若只想保存分流規則，也可以另外複製規則內容，但必須移除憑證與節點資訊。
需要暫時恢復原始網路時，先關閉透明代理與自動啟動，再停用相關 DNS 接管與防火牆整合。確認 DHCP 已重新提供正常的閘道與 DNS 後，讓測試裝置重新取得租約，或斷開並重新連接 Wi-Fi。若仍無法上網，檢查路由表、DNS 快取與殘留的 NAT 規則；不要在問題未定位前同時恢復多份舊設定。
若配置已經導致管理頁無法進入，優先使用有線連接，並確認電腦沒有保留舊的系統代理。某些路由器支援安全模式或 failsafe，但進入方式依硬體不同，必須參考該型號的官方文件。最後手段才是重置並重新刷寫韌體；此操作會清除現有設定，應先確認手邊有正確韌體檔、網路登入資訊與必要的區域網路配置。
常見問題
OpenWrt 可以直接使用訂閱連結嗎？
要看訂閱格式與路由器上的用戶端是否相容。Clash、sing-box 與 WireGuard 使用不同設定結構，不能互相直接套用。若套件沒有提供對應的 URL 匯入功能，就需要先取得相容設定檔，或改用支援該格式的用戶端。匯入前應確認連結未過期，也不要把完整連結提供給第三方轉換網站。
路由器分流後，手機還需要安裝用戶端嗎？
如果手機所有流量都透過家中 OpenWrt 路由器，而且只在家中使用，通常不必再安裝另一個用戶端。但手機離開家中 Wi-Fi 後，路由器規則不會跟著手機移動；此時仍需要在手機上使用支援的官方應用程式或相容客戶端。路由器與裝置端可以各自管理，但不要在同一網路同時啟用兩層全域代理。
為什麼已經選了節點，DNS 檢查仍顯示原本的網路？
常見原因包括 DHCP 仍發放舊 DNS、瀏覽器啟用了獨立的加密 DNS、IPv6 沒有納入分流，或透明代理的 DNS 轉送沒有成功接管。先清除測試裝置的 DNS 快取並重新取得租約，再逐項停用獨立 DNS 功能進行比對。若只有某個應用程式異常，則要檢查該應用程式是否自行管理解析。
更新訂閱後規則失效，應該怎麼辦？
先保留現場，不要連續更新或刪除原有設定。檢查更新後的節點數量、策略組名稱與規則格式，再回到上一份備份或先前可用的設定。若只有新節點無法使用，可能是格式或協定欄位不相容；若所有裝置都無法連線，則應優先檢查 DNS、透明代理與防火牆狀態。需要重新配置時，可參考本站的新手指引，按照帳戶、訂閱與用戶端的層級逐步核對。