旁路由配置教程

旁路由有两种工作模式，可以单独使用，也可以叠加在同一台设备上：

模式 A：代理分流（双路由）

旁路由只做 WiFi 发射，所有流量经主路由 OpenClash，按 WiFi 子网（MR01 / TKUSBD / TKUSGR / XMYH）分流到不同国家节点。适合主路由性能强、有多地区代理需求的家庭。

模式 B：VLAN 直通（纯净 WiFi）

特定 WiFi（如 SSID"8.0纯净"）通过 VLAN 8 隧道直连光猫，绕过主路由和旁路由的一切代理和路由，拿光猫分配的干净 IP（192.168.1.x）。适合防关联、游戏、需要干净 IP 的设备。

前置总检查

其他准备工作（网线、SSH 工具、WiFi 子网）见第 2 节。

本教程解决以下场景：你有两台路由器，主路由性能强但没有 WiFi，旁路由有 WiFi 但性能差。目标是让所有代理逻辑由主路由负责，旁路由只负责发射无线信号，且每个 WiFi 子网走不同的代理节点。

改造前后拓扑对比

各 WiFi 子网与目标节点

开始操作前，确认以下事项：

3.1 修改旁路由 LAN IP

进入旁路由管理界面：网络 → 接口 → LAN → 编辑

3.2 关闭旁路由 LAN 的 DHCP

在同一编辑页面，找到「DHCP 服务器」选项卡，勾选「忽略此接口」。

3.3 删除或禁用 WAN 接口

进入 网络 → 接口 → WAN，点击「停止」后编辑，将协议改为「不配置」，或直接删除。

3.4 关闭 NAT 伪装（关键步骤）

这一步让各 WiFi 子网的源 IP 能透传到主路由，否则主路由只能看到来自 192.168.6.2 的流量，无法按子网分流。

方法一：Web 界面

网络 → 防火墙 → 区域 → 找到 lan 区域 → 编辑 → 取消勾选「IP 动态伪装（Masquerade）」→ 保存并应用

方法二：SSH 命令

# SSH 登录旁路由后执行
# ① 先确认 lan 所在的 zone 下标（在输出里找 name='lan' 的那一项）
uci show firewall | grep -B1 -A1 "name='lan'"

# ② 把下面 [1] 换成上一步看到的 lan zone 实际下标，再执行
uci set firewall.@zone[1].masq='0'
uci commit firewall
/etc/init.d/firewall restart

主路由需要知道旁路由的各子网通过哪个下一跳可达，否则回程数据包不知道往哪发。

所有静态路由（下一跳均为 192.168.6.2）

方法一：Web 界面添加

进入主路由：网络 → 路由 → 静态路由 → 添加，按上表逐条填写。

方法二：SSH 批量添加（临时生效）

# SSH 登录主路由后执行
ip route add 192.168.8.0/24  via 192.168.6.2
ip route add 192.168.9.0/24  via 192.168.6.2
ip route add 192.168.11.0/24 via 192.168.6.2
ip route add 192.168.22.0/24 via 192.168.6.2

方法三：UCI 永久写入（重启后保留）

# 以 192.168.9.0/24 为例，每个子网重复以下步骤
uci add network route
uci set network.@route[-1].interface='lan'
uci set network.@route[-1].target='192.168.9.0/24'
uci set network.@route[-1].gateway='192.168.6.2'
uci commit network
/etc/init.d/network reload

在 OpenClash 配置文件的 rules: 部分最前面添加 SRC-IP-CIDR 规则。

rules:
  # ── 按 WiFi 子网路由到指定节点（必须放在最前面）──
  - SRC-IP-CIDR,192.168.9.0/24,🇯🇵日本节点    # MR01
  - SRC-IP-CIDR,192.168.11.0/24,🇺🇸美国节点   # TKUSBD
  - SRC-IP-CIDR,192.168.22.0/24,🇭🇰香港节点   # TKUSGR
  - SRC-IP-CIDR,192.168.8.0/24,🇸🇬新加坡节点  # XMYH
  - SRC-IP-CIDR,192.168.6.0/24,🚀默认代理    # 主路由本地设备

  # ── 以下是原有规则 ──
  - DOMAIN-SUFFIX,google.com,🚀默认代理
  - GEOIP,CN,DIRECT
  - MATCH,🚀默认代理

各运行模式支持情况

连接各 WiFi 后检查 IP 信息

以连接 MR01 WiFi 为例，检查手机获取到的网络信息：

在主路由抓包确认源 IP 透传

# SSH 登录主路由，抓包查看来源 IP
tcpdump -i br-lan src net 192.168.9.0/24 -n

# ✅ 能看到来自 192.168.9.x 的包 → 源 IP 透传成功
# ❌ 只看到 192.168.6.2 → NAT 伪装未关，回第三步 3.4 重做

测试出口节点

分别连接各 WiFi，访问以下网站确认出口 IP 符合预期节点地区：

https://ip.sb
https://ifconfig.me
https://ipinfo.io

本教程旨在为旁路由特定wifi直连光猫。通过配置，我们将划出一条专属的 VLAN 8 通道。该通道上的特定 WiFi 流量会像通过一根无形的实体网线一样，直接穿透旁路由和主路由，向光猫（需光猫自行拨号分配IP）请求真实的局域网 IP。

如果主路由（iStoreOS）部署在 PVE 虚拟机中，PVE 的虚拟交换机（Linux Bridge）默认会拦截带 VLAN 标签的数据包，必须在宿主机层级放行。

1. 寻找真实物理网口

进入 PVE 宿主机的右上角 >_ Shell，输入以下命令实时监听硬件插拔动作，跑去拔插一次连接旁路由的网线：

# 运行此命令后拔掉网线再插上，寻找 Link is Down/Up 的 enpXs0 编号
dmesg -w

2. 开启 VLAN 感知并硬重启

在确认网口编号及绑定的虚拟网桥后，进入 PVE 的 系统 -> 网络 界面：

• 双击连接光猫的网桥（如 vmbr0），勾选 VLAN 感知 (VLAN aware)。
• 双击连接旁路由的网桥（如 vmbr4），勾选 VLAN 感知。
• 点击 应用配置 后，重启整台 PVE 宿主机。

在主路由中，我们需要建立一个“共享网桥”，同时接纳光猫和旁路由传来的 VLAN 8 数据包，并激活这一通道，同时修复主路由自身的联网问题。

对于新款采用 DSA 架构的旁路由，必须搭建“纯透明网桥”，强行将天上的无线信号（WiFi）导入地下的有线隧道（VLAN 8）中。

如果配置完成后，手机连接 WiFi 出现“一直在获取 IP地址”或显示“已连接但无网络”，请重点核查：