2026年旁路由完全指南：单臂旁路由搭建、透明网关配置与常见坑排查（从零到全屋代理）

家里网络已经够用，但想让全屋设备都能科学上网、去广告、解锁流媒体，又不想动正在稳定运行的主路由——这是很多人纠结的场景。换主路由怕折腾，刷固件怕变砖，于是「旁路由」成了最流行的折中方案：主路由不动，旁边加一个几十到几百块的小盒子，把全屋流量导过去，实现透明代理。

这篇文章从原理讲到实战，覆盖单臂旁路由的完整搭建步骤、OpenWrt 透明网关的配置细节、DNS 污染的规避、以及最常见的坑和排查方法。全程基于 2026 年主流固件和插件实测，照着做基本能一次成功。

一、旁路由到底是什么：一张图看懂原理

旁路由（也叫透明网关、旁路网关）的逻辑很简单：它不接管拨号和 DHCP，只是挂在主路由的局域网里，作为一个「更聪明的网关」存在。需要代理的设备，把网关和 DNS 指向旁路由的 IP，流量就会先经过旁路由的代理插件处理，再回到主路由出口。

关键点在于：旁路由本身不承担拨号、DHCP、NAT 这些脏活累活，它只负责「流量转发决策」——哪些域名走代理、哪些直连、广告域名直接丢弃。所以它对硬件的要求比主路由低得多，一台二手 N1 盒子就够用。

相比把主路由刷成 OpenWrt 的方案，旁路由的最大优势是风险隔离：主路由保持原厂固件稳定运行，翻车了也只是旁路由自己断网，拔掉网线全家恢复，不会出现「路由器变砖全家断网」的灾难。缺点是多一个设备多一份功耗，且需要设备手动指网关（或者靠 DHCP 下发全局网关，见下文进阶部分）。

如果你还没决定主路由怎么改造，先看这篇家庭网络基础改造指南：光猫桥接、路由器拨号、Mesh组网，把光猫桥接和拨号方式理顺，旁路由才能稳定工作。

二、三种旁路由形态，选哪种看你的网口

按硬件形态，旁路由分三种，先想清楚再买设备：

形态	拓扑	适合场景	硬件门槛
单臂旁路由	旁路由单网口接主路由 LAN，靠 VLAN/静态路由或手动指网关	家用最常见，N1/R2S 等单网口设备	极低，百元级
双网口旁路由	LAN1 接主路由，LAN2 接交换机/AP，可做硬件转发	设备多、追求转发性能	中，X86 或双网口 ARM
无线旁路由	旁路由以无线中继方式接入主路由	没网线可拉、临时过渡	中，延迟略高

绝大多数家用场景，单臂旁路由就够。它的转发瓶颈通常在代理插件的 CPU 处理上（加解密），而不在网口速率——一个千兆单网口跑满 300-500Mbps 代理吞吐完全没问题。

设备怎么选、预算怎么定，参考这篇软路由硬件选购指南：从R2S到X86，不同预算怎么选，里面有各价位设备的实际转发能力对比。

三、固件准备：刷 OpenWrt 还是 iStoreOS

旁路由的灵魂是固件。2026 年主流选择是 OpenWrt 官方稳定版、ImmortalWrt（原 Lean 系）、以及带应用商店的 iStoreOS。对新手，iStoreOS 最省心——它有图形化应用商店，OpenClash、PassWall、AdGuard Home 一键安装；对追求纯净和可控的老手，OpenWrt 官方版 + 手动装插件更合适。

刷机要点：

N1 盒子：U 盘启动刷机包，进入系统后写 emmc，流程成熟教程多
R2S/R4S：TF 卡刷写，注意选对固件版本（官方/NanoPi 定制版）
X86 迷你主机：U 盘 PE 或直接 dd 写盘，支持 UEFI 启动
刷机前备份原厂固件（N1 的安卓底包、X86 的当前系统镜像），变砖可救

固件横评的详细对比（OpenWrt vs iStoreOS vs 爱快 vs ROS 的稳定性、插件生态、上手难度）在这篇2026年主流软路由固件横评里，选型前值得一看。软路由入门级刷机流程也可以复习软路由入门指南。

四、单臂旁路由核心配置：静态IP、关DHCP、指网关

这是整篇文章最关键的一节，步骤错了会导致全家断网或环路。以 OpenWrt 系固件为例：

步骤 1：给旁路由设固定 IP

进入网络 → 接口 → LAN，把 IPv4 地址改成主路由网段内的一个空闲地址（比如主路由是 192.168.1.1，旁路由设 192.168.1.2），网关填主路由 IP，DNS 先填 223.5.5.5 或 119.29.29.29（避免一开始就被污染源干扰）。子网掩码 255.255.255.0。

步骤 2：关闭旁路由的 DHCP 服务

在接口 → LAN → DHCP 服务器里，勾选「忽略此接口」（关闭 DHCP）。这一步必须做，否则旁路由和主路由同时发 DHCP 地址，设备会随机拿到错误的网关，出现「时好时坏」的玄学断网。

步骤 3：防火墙规则（透明代理的关键）

OpenWrt 默认防火墙会拦截来自 LAN 的转发流量。需要放行旁路由处理后的流量：在网络 → 防火墙 → 自定义规则里添加：

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

（eth0 换成旁路由实际出口网卡名）。这条规则让旁路由转发出去的流量做 NAT，否则下游设备拿到的是旁路由内网地址，无法回包。

步骤 4：客户端指向旁路由

手动把需要代理的设备网关和 DNS 改成旁路由 IP（192.168.1.2）。手机、电脑、电视盒子逐个设置即可。

到这里旁路由本身已经「通」了，但还没有代理能力——下一步装代理插件。

五、透明代理配置：OpenClash 还是 PassWall

旁路由的代理插件二选一：OpenClash（Clash 系，规则丰富、面板直观）或 PassWall（多协议原生支持、轻量）。两者都支持「透明代理」模式——不依赖客户端软件，网关指向旁路由的设备自动走代理。四个主流插件（OpenClash/PassWall/Hello World/SSR-Plus）的实测对比、资源占用和适用场景，见这篇软路由代理插件深度对比，选型前先看数据。

配置流程：

在插件后台打开「透明代理/全局代理」开关（OpenClash 的 TUN 或 Redir 模式；PassWall 的主开关）
登录机场后台，复制 Clash 订阅链接（或 SS/VLESS 分享链接），粘贴到插件的订阅管理里
更新订阅，检查节点列表是否加载成功
开启「DNS 劫持/本地 DNS 解析」（见下一节，这个和污染对抗直接相关）
用一台设备指好网关测试：访问 google.com 和国内站点，确认分流正常

订阅导入这一步，用的是机场提供的标准订阅链接。选机场时注意线路类型：IEPL 专线机场延迟低、晚高峰稳，适合做全屋代理的默认出口——比如自由猫这类 IEPL 为主的机场，导入订阅后节点延迟普遍在 30-60ms，日常全屋使用体感接近直连。

如果家里同时在线设备多（电视盒子、游戏机、NAS、智能家居网关一起挂着），订阅套餐的设备数上限也要提前看——万达云的中转+专线混合方案设备数宽松，家庭共享场景不用反复切设备。

OpenClash 的进阶玩法（规则集、策略组、去广告规则）参考这篇OpenClash进阶配置指南：分流策略、规则优化与性能调优，规则分流做得好，旁路由的体验会上一个台阶。

六、DNS 配置：绕开污染，让分流更聪明

透明代理模式下，DNS 是最大的坑。默认情况下，下游设备的 DNS 请求直接发到运营商 DNS，被污染后即使代理节点正常也打不开网站。2026 年主流做法是让旁路由接管 DNS：

SmartDNS + 分组：国内域名走国内 DNS 快速解析，国外域名走 DoH/DoT 加密解析，返回结果给代理插件判断
AdGuard Home：接管局域网 DNS 的同时做广告过滤，53 端口直接指到旁路由即可全屋去广告
插件自带 DNS 劫持：OpenClash/PassWall 都有「劫持 DNS」选项，开启后强制所有 DNS 走插件解析链

新手最容易成功的组合是：AdGuard Home 监听 53 端口 + 上游填 SmartDNS 分组 + OpenClash 开启 DNS 劫持。这样广告被 AdGuard 拦掉，污染被 SmartDNS 的加密上游绕开，代理分流由 OpenClash 决定，三层各司其职。

DNS 原理和 DoH/DoT 配置细节不展开，这篇DNS解析原理与优化指南讲得很透，配合旁路由食用效果最佳。

七、常见坑与排查：断网、环路、IPV6 泄漏

旁路由踩坑率最高的几个点，逐个给结论：

坑 1：配置后全家断网

九成是 DHCP 没关干净或防火墙规则没生效。先拔掉旁路由网线看是否恢复——恢复说明问题在旁路由。再查：① 旁路由 DHCP 是否真的关了；② 防火墙自定义规则是否保存并重启了防火墙；③ 旁路由自己能否上网（ping 网关、ping 223.5.5.5）。

坑 2：设备能上微信但打不开国外网站

这是典型的 DNS 问题。微信/QQ 走的是 IP 直连（不走域名解析），所以能通；浏览器解析被污染所以打不开。解决：开启插件 DNS 劫持 + SmartDNS 加密上游，并确保设备 DNS 指向旁路由。

坑 3：IPv6 泄漏导致部分网站判定「代理失效」

如果主路由开了 IPv6，而旁路由没接管 IPv6 流量，设备会绕过代理直接走 IPv6 出口，导致 Netflix、ChatGPT 等检测到「非代理 IP」。处理方式：旁路由场景下建议关闭设备的 IPv6 或做 IPv6 代理分流。详细方案见IPv6科学上网完全指南。

坑 4：网速只有直连的一半

先确认瓶颈在哪：插件面板看 CPU 占用（加解密吃 CPU），跑 speedtest 对比直连/代理。ARM 小盒子（N1）跑满 500Mbps 已是极限，追求更高吞吐换 X86。另外 MTU 设置过小也会明显掉速，OpenWrt 默认 1500 一般不用动。

更多疑难杂症（断流、特定网站打不开、延迟忽高忽低）在这篇软路由科学上网故障排查完全指南里有 10 大场景的完整排查流程，值得收藏。

八、进阶：多设备统一走旁路由 + 流媒体解锁

手动一台台设备指网关太累，两个进阶方案让全屋无感接入：

方案 A：主路由 DHCP 下发旁路由为网关

在主路由的 DHCP 设置里，把「默认网关」和「DNS」都改成旁路由 IP。这样全屋设备自动拿到旁路由作为网关，不用逐个设置。前提是主路由 DHCP 支持自定义网关（原厂固件大多支持；不支持的就用旁路由开 DHCP 反向接管，但需要先关主路由 DHCP，风险更高，新手慎用）。

代价：全屋流量都过旁路由，旁路由成了单点。稳定性要求高的场景，建议选低丢包率的专线机场做出口——比如SS-ID这种纯 IEPL 线路、丢包率低的方案，全屋并发时连接更稳，游戏和视频通话的体感差异很明显。

方案 B：多设备场景选多设备数套餐

全屋接入后，同时在线设备可能 10+，机场套餐的设备数限制要留意。中转+专线混合、设备数宽松的套餐更适合家庭共享，全家一个订阅就能覆盖手机、平板、电视盒子、游戏机同时在线。

流媒体解锁：原生 IP 节点的价值

全屋代理后，Netflix/Disney+ 的区域解锁取决于出口节点 IP。中转线路大多拿不到原生 IP，Netflix 会识别为数据中心 IP 直接拒看；想要稳定解锁，需要原生 IP 或住宅 IP 节点。做跨境电商多账号、或对 IP 纯净度要求高的场景，仙路湾的住宅 IP 方案是这类需求的专门解法。流媒体解锁的原理和各机场实测，见这篇2026年流媒体解锁完全指南。

九、性能调优与稳定性

旁路由稳定运行半年以上的经验：

定时重启：OpenWrt 计划任务每周日凌晨自动重启一次，清内存碎片和连接表
连接数监控：插件面板看活动连接数，异常飙高先查是否有设备中毒/挖矿流量
固件不追新：稳定版用着没问题就别折腾升级，旁路由「稳定第一」
散热：N1 这类小盒子夏天容易过热降频，加个散热片或小风扇，转发性能稳定很多

更系统的性能优化（硬件转发、MTU 调优、QoS）见这篇软路由性能优化完全指南。如果你主要目的是游戏加速（UDP 转发、游戏模式），这篇软路由游戏加速完全指南更对口。

另外提醒一个全屋代理特有的现象：晚高峰（20:00-23:00）全家设备同时看视频、打游戏时，跨境线路拥堵会放大延迟和丢包。这不一定是你旁路由配置的问题，而是线路本身的晚高峰特性——TCP 拥塞控制、BBR 开启与否、以及选择晚高峰抗拥堵的专线机场，都会直接影响体感。这个主题的完整分析见晚高峰科学上网变慢完全指南。

十、总结：旁路由三步走

旁路由并不神秘，核心就三步：设 IP → 关 DHCP → 指网关，然后装上代理插件导入订阅即可。相比动主路由，它的容错率高得多——出问题拔线就恢复，特别适合「家里网络不能断」的场景。

选购建议一句话：入门用 N1 或 R2S（百元级），追求吞吐和并发上 X86（三四百元级），固件优先 iStoreOS 或 OpenWrt 稳定版。订阅按需选：日常全屋用 IEPL 专线为主、设备数宽松的套餐，流媒体/跨境多账号场景再补一个住宅 IP 方案的机场。

十一、常见问题 FAQ

Q1：旁路由和主路由刷 OpenWrt 哪个更好？

主路由方案性能上限高、少一个设备，但需要主路由硬件支持且承担刷机风险；旁路由方案主路由不动、风险隔离、随时可撤。家里网络不能断、或者主路由是运营商送的（不好刷）——旁路由几乎是唯一合理选择。两者对比详见家庭全屋科学上网方案。

Q2：旁路由会拖慢网速吗？

会有一点，瓶颈在代理插件加解密 CPU。百元级 ARM 盒子实际跑 300-500Mbps，X86 可以跑满千兆。如果家里宽带超过 500M 且全屋都要代理，直接上 X86 旁路由。

Q3：不想让全屋都走代理，只想部分设备走，行吗？

完全可以。不指网关的设备走主路由直连，只有指了网关的设备走旁路由代理。这也是旁路由相对「全局 DHCP 下发」方案更灵活的地方——按设备精准控制。

Q4：旁路由需要公网 IP 吗？

不需要。旁路由是纯内网设备，所有流量都是出站方向，运营商给不给公网 IP 都不影响。

Q5：无线旁路由靠谱吗？

无线中继做旁路由延迟会高 5-15ms，稳定性受信号影响，适合临时过渡。长期使用还是拉一根网线最稳。

Q6：旁路由可以同时装 OpenClash 和 PassWall 吗？

不建议。两个插件都做透明代理时会抢 53 端口和转发链，出现规则冲突、DNS 解析错乱。选一个主用（新手推荐 OpenClash），另一个停用或只做备用配置。真想双开，用 OpenClash 的「旁路由模式」+ PassWall 的备用订阅，切换着用，不要同时开启透明代理。

Q7：旁路由需要多大内存和存储？

代理插件 + 规则集 + AdGuard Home 去广告规则，512MB 内存和 8GB 存储完全够用（N1 就是这个配置）。X86 机器建议 2GB 内存起步，主要是给连接跟踪表和规则缓存留余量。存储不用大，OpenWrt 系统本身不到 500MB。

Q8：换了机场订阅，旁路由要重新配置吗？

不用。订阅链接更新只需在插件后台「更新订阅」，节点列表自动刷新，透明代理规则、DNS、防火墙都不用动。这也是旁路由方案比客户端手动配代理省心的地方——全家设备无感切换节点。

Q9：旁路由装好后，手机流量（4G/5G）也要走代理吗？

不需要，旁路由只管局域网内 Wi-Fi/有线设备。手机出门用蜂窝数据时走运营商网络直连，回来自动连 Wi-Fi 走旁路由。如果你希望手机在外面也能科学上网，装一个支持 Clash 协议的客户端（如 Stash、Clash Verge Rev），和家里旁路由共用同一个机场订阅即可，两边节点一致、规则独立。