软路由与家庭智能分流全指南：OpenWrt、iStoreOS、PassWall 与 OpenClash 旁路由避坑实战

1. 旁路由模式（单臂网关推荐）#

对于绝大多数家庭而言，最稳妥的方案是保留原本稳定的硬路由器负责 PPPoE 拨号和 Wi-Fi 覆盖，单独使用一台双网口或单网口的小主机（如 N100、J4125 或各类工控机）安装 OpenWrt 作为旁路由。

• 接线方式：光猫 LAN 口连接主路由器 WAN 口，旁路由的 LAN 口连接主路由器的 LAN 口。
• 网关与 DNS 指向：将主路由器 LAN 口的 DHCP 网关与首选 DNS 修改为旁路由的 IP 地址；或者主路由保持不动，仅需加速的电脑、电视或手机在网络设置中手动将网关和 DNS 指向旁路由。
• 架构优势：即便旁路由系统死机或调试重启，家庭主网络依然能够正常上网，避免影响家人正常生活。

2. 主路由一体化模式#

如果小主机具备多个 2.5G 网口且硬件性能强劲，也可以直接由软路由负责光猫拨号与家庭局域网 DHCP 分发。该方案网络链路层级最少，损耗最低，但对软路由系统的稳定性和防火墙规则配置有更高的容错要求。

1. 警惕内网防火墙 SYN 数据包丢弃与伪装#

很多用户在配置旁路由后，发现手机虽然能连上 Wi-Fi，却无法打开国内网页或测速极慢。这通常是由于 Linux 防火墙针对未追踪连接的丢包机制引起的。

在 OpenWrt 的网络防火墙自定义规则中，必须根据网卡接口添加 IP 伪装规则（NAT MASQUERADE），确保主路由发出的回程数据包能够正常经过旁路由转发而不被丢弃：

1
iptables -t nat -I POSTROUTING -o eth0 -j MASQUERADE

如果系统采用的是 nftables 防火墙，则需要在网络接口设置中勾选 LAN 口的“IP 动态伪装”选项。

2. 彻底解决 DNS 循环解析与污染泄漏#

DNS 污染是导致国内服务解析变慢或国外服务连不上的首要元凶。

在 OpenClash 中推荐开启 Fake-IP 模式，并将“本地 DNS 劫持”选项激活。Fake-IP 模式会在收到查询请求时直接返回保留的私网 IP（如 198.18.0.1 虚拟段），客户端拿到地址后立刻发起 TCP 连接，真实域名解析交由远端专线代理服务器执行，从根源上杜绝了本地运营商的 DNS 污染。

在 PassWall 中，建议启用 ChinaDNS-NG 插件，国内域名走运营商公网 DNS 或 AliDNS，国外域名走远程专线加密查询，实现精准分流。