家里折腾科学上网，走到最后几乎都会撞上同一个岔路口：那台刷了 OpenWrt 的机器，到底是让它当主路由——拨号、NAT、发 DHCP、跑代理内核一把抓——还是让它当旁路由——不碰拨号，只从旁边接手分流？
这不是一个"哪个更高级"的问题。两种摆位在性能路径、故障域、维护成本这三件事上各有明确的优劣，而且优劣会随着你家的宽带、光猫权限、家人的用网习惯而翻转。同一个方案，在单身租的房子里是最优解，搬到三代同堂可能就成了坑。
本文只回答一件事：同一套硬件、同一个需求，它该摆在链路的哪个位置。不教旁路由怎么搭（那是《旁路由完全指南》的活），不评固件怎么选（另见《软路由固件横评》），也不聊硬件怎么买。顺手提一句题外话：架构决定的是流量在家里怎么走，出口那一侧决定的是它出去之后顺不顺——把出口交给一份稳定的 IEPL 专线订阅（例如 自由猫），通常比继续在硬件上堆料更立竿见影。
一、先把四件事拆开：谁拨号、谁转发、谁下发网关、谁分流
很多争论绕不出来，是因为"旁路由"被当成了一类设备。它不是。旁路由描述的是一种拓扑位置，不是硬件型号。同一台小主机，插在主路由的 LAN 口上是单臂旁路由，串在光猫和主路由之间是串接式旁路由，直接顶替光猫拨号就是主路由。三种摆位，职责完全不同。
把职责拆成四件事看就清楚了：PPPoE 拨号、NAT（谁把内网地址换成公网地址）、DHCP 与网关下发（谁告诉设备"出门找谁"）、代理内核（谁负责分流）。主路由模式是四件事由同一台机器承担；旁路由模式只把最后一件拿走，前面几件留在原来的设备上（通常是光猫或运营商路由器）。
| 职责 | 主路由模式（软路由顶替拨号） | 单臂旁路由（并在主路由 LAN 侧） | 串接式旁路由（夹在光猫与主路由之间） |
|---|---|---|---|
| PPPoE 拨号 | 软路由 | 原主路由 / 光猫 | 原主路由 / 光猫 |
| NAT 与端口映射 | 软路由 | 原主路由 / 光猫 | 原主路由 / 光猫 |
| DHCP 与网关下发 | 软路由 | 原主路由（或改造后指向软路由） | 原主路由 / 光猫 |
| 分流与代理内核 | 软路由 | 软路由 | 软路由 |
| 它出问题时谁受影响 | 全家，含国内直连 | 取决于是不是被下发成了网关 | 全家，含国内直连 |
这张表里最值得盯的是最后一行。它说明一个常被误传的结论："旁路由故障域小"不是由名字决定的，而是由它有没有被塞进主路径决定的。串接式旁路由听起来还是"旁"，但只要数据包必须穿过它才能出网，它的故障域就和主路由一样大。这一点会在第三节展开。
另外三个概念顺手厘清：透明网关描述的是旁路由的工作方式（设备无感，不需要每台终端装客户端）；二级路由是另一回事（它自己拨号或再 NAT 一次，会产生双层 NAT）；AP 模式只关掉路由功能做无线扩展，与分流无关。网上把这三者混着讲的文章很多，选型之前先对齐词义，能省掉一半争论。
要让旁路由真正跑起来，静态 IP、关闭自身 DHCP、防火墙规则、客户端指向网关这四步一步都不能省；尤其是"同一网段只留一台 DHCP"这条，属于漏了就全家断网的级别。具体操作步骤在《旁路由完全指南》里已经逐条写细，这里就不再重复。
二、性能路径：多出来的那一跳，到底贵在哪里
先给结论：在千兆以内的家庭宽带上，"多一跳"本身通常不是瓶颈；真正吃性能的是代理内核的处理能力和转发设备的能力。把两条路径画出来就明白了。
主路由模式的路径是：终端 → 软路由（NAT + 透明代理）→ 光猫（桥接）→ 外网。整条链路上，路由决策只发生一次。
单臂旁路由的路径是：终端 → 主路由（转交）→ 旁路由（代理处理）→ 主路由（转交）→ 光猫 → 外网。同一条代理流量，会在主路由上被转交两次：一次是终端交给旁路由，一次是旁路由交回主路由出海。而国内直连流量不经过旁路由，仍然只走一次。
那么这次额外穿越贵不贵？关键看主路由是用交换芯片转发，还是用 CPU 转发。终端到旁路由、旁路由到主路由这两段都发生在同一个网段内，如果主路由（或它的无线 AP）是正常家用设备，这两段走的是二层交换，由交换芯片处理，几乎不占 CPU，也就谈不上带宽损失。真正的开销来自两处：流量在主路由的转发路径上多占了一份内网带宽；无线终端在这种"绕一圈"的拓扑下会多吃一次空口竞争。
但有一个场景会让这一跳真的变贵：主路由是运营商光猫，而且是没桥接的光猫。这类设备的 LAN 侧交换能力尚可，可一旦流量需要在它的 WAN 与 LAN 之间做 NAT 转发，就会落到那枚很弱的 CPU 上。此时旁路由会把光猫的转发压力再放大一遍——"别人用旁路由能跑满千兆、我用旁路由只有两三百兆"这类差异，最常见的来源就在这里：不是旁路由不行，是它前面那台设备不行。
| 流量类型 | 主路由模式经过哪些设备 | 单臂旁路由经过哪些设备 |
|---|---|---|
| 国外（走代理）流量 | 软路由 1 次（NAT + 代理处理） | 主路由 2 次（转交）+ 旁路由 1 次（代理处理） |
| 国内直连流量 | 软路由 1 次（含 NAT） | 主路由 1 次（NAT 也在主路由） |
| 内网互访（NAS、投屏） | 软路由交换 1 次 | 主路由交换 1 次 |
为免误读：表中的次数指"这条流量依次被哪几台设备处理"，不是延迟或耗时的倍数关系——二层交换的转发代价和三层 NAT 转发的代价，本来就不在一个量级上。
还有两件与性能直接相关、却常被漏掉的事：
第一是 MTU 与 MSS 钳制。代理隧道会带来额外的封装开销，路径 MTU 变小，典型症状是"能连上但某些网站打不开、下载卡在某个速度"。这类问题在主路由模式下钳制点集中在一台设备上，改一次全生效；在旁路由模式下则要想清楚钳制做在哪一侧——做在主路由上可能只覆盖直连流量，做在旁路由上才能覆盖代理流量，两边都做容易变成规则互相打架。
第二是硬件加速与代理的相容性。OpenWrt 的 flow offloading 只对能提前预测的连接生效，而透明代理（TProxy、redirect 这类）进出内核的流量通常不在其列。旁路由拓扑在这里反而有一点红利：主路由上那些不经过旁路由的直连流量，仍能正常吃加速。这也是为什么有些家庭在"主路由只做转发、代理交给旁路由"之后，国内下载反而更稳。
如果瓶颈确实落在转发能力上（比如多 WAN、QoS 与代理同时开），先定位损失发生在哪一段，再决定加硬件还是改拓扑：MTU 钳制、硬件转发与代理插件的取舍、优化前后的对比思路，都在《软路由性能优化完全指南》里逐项拆过。
另有一项变量在链路之外——出口那一侧的链路层数。中转、专线、直连属于层数不同的链路：层数越多，中间可优化的环节越多，但单条流经过的设备也越多。纯专线类的机场（例如 SS-ID，纯 IEPL 线路，¥20/月 100GB、5 台设备）在对比里常常显得稳定，原因通常不是带宽更大，而是路径更直、变量更少——这一点会直接影响你在"性能"这一项上的主观感受，选型时值得一并考虑。
三、故障域：旁路由"更安全"是有前提的
选型时最该问的不是"哪个更快"，而是"它挂了，谁会遭殃"。很多家庭最后选旁路由，就是冲着这一点来的，但这里有一组很容易被忽略的前提。
主路由模式的故障域就是"全家"。软路由承担拨号、NAT 与分流，它重启、刷固件、代理内核崩溃、配置写错，全家立刻断网——而且是连国内网站一起断。对家人来说，网络问题不是"翻墙断了"，而是"网没了"。
而旁路由模式的故障域，取决于三件事：
其一，它是不是被下发成了默认网关。如果主路由的 DHCP 把网关（往往连 DNS 一起）指向了旁路由，那么旁路由一挂，所有设备都找不到出口，故障域和主路由模式完全一样。只有当"由终端手动指定网关"或"只有一部分设备走旁路由"时，旁路由的故障域才是小的。
其二，它是并在旁边，还是串在中间。单臂旁路由在主路由 LAN 口的旁边，拔掉它只是少了一个网关选项；串接式旁路由夹在光猫与主路由之间，它一挂，主路由连拨号都做不了。
其三，主路由有没有被改动过。不少旁路由方案会顺手把主路由的 DHCP 关掉、网关改掉。这时候"出问题只要关掉旁路由"这句话就不成立了——回退要改两台设备，而你可能已经忘了当时改了什么。
| 故障场景 | 主路由模式的影响 | 旁路由模式的影响 | 恢复动作 |
|---|---|---|---|
| 代理内核崩溃 / 内存耗尽 | 全家断网，国内也断 | 走代理的流量失败，直连正常（网关未改写时） | 重启代理内核，或临时把终端网关改回主路由 |
| 软路由整机重启 | 全家断网，直到系统起来 | 取决于网关下发方式：可能只是代理中断 | 等待自启，或先切回主路由应急 |
| 分流规则写错 / 配置回环 | 可能全家断网或大面积异常 | 可控：先在单台终端上验证，再全量下发 | 停用规则，恢复上一个可用配置 |
| IPv6 默认路由被打乱 | 较少见 | 较常见：部分设备 v6 走旁路由却没有代理能力 | 关闭旁路由的 RA，或让 v6 完全交给主路由 |
| 固件刷坏 | 全家断网，需要救砖 | 摘掉旁路由即可恢复上网 | 救砖期间由主路由继续承载直连 |
顺着故障域，有一条很实用的兜底原则：不要让全家的出网能力只押在一台机器上。手机和笔记本各留一份可以直接连的订阅，是成本最低的保险——家里那台机器在升级、在救砖、在你把配置改坏的深夜，你至少还能用热点加订阅把活干完。这种场景不追求压榨性能，胜在便宜、量大、随手能用，例如 瑶瑶领先 的小流量档（¥9.9/月 384GB、3 台设备），放在手机和备用机上当"第二出口"就很合适。
至于网关、DNS 该怎么下发才有意义、"一个网段里只留一台 DHCP"为什么是铁律，《软路由首次配置清单》是从配置顺序讲的；本篇讲的是"该不该这么配"——同一件事，两种视角，配之前先想清楚归谁管。
四、可维护性：升级窗口、配置面和回退成本
架构选型里最被低估的一项成本是停机窗口。
主路由模式下，你对网络的任何操作都是"全家级"的：刷固件、换内核、调分流规则、重启服务，全都要挑时间。家里有人在开视频会、看直播、连公司远程桌面，你就得等。它的维护窗口等于全家的容忍度。
旁路由模式下，代理侧的重启和维护只影响走代理的流量，主路由继续拨号、直连继续可用。这是旁路由最实在的好处之一：你可以把"折腾"限制在一个子集里。前提仍然是第三节那条——网关没有被全量改写。
但旁路由不是白拿的，它把成本从"停机"换成了"配置面"：
- 两台设备上的网段、网关、DNS、防火墙要互相对齐，任何一边改了都要检查另一边；
- 排障时要先判断问题出在"主路由转发"还是"旁路由代理"，链路多一段，定位就多一层；
- 旁路由自身的 DHCP、RA、DNS 劫持如果出现冲突，症状往往是"时好时坏"，最难查；
- 固件与插件的版本要在两台设备上分别维护，升级前得先确认彼此不会互相拆台。
维护成本里还有一项最容易跳过：备份与回退。改配置之前先把"能用的那个状态"存下来，是两种架构都适用的纪律；区别在于旁路由要多备份一份主路由的配置，因为你也动过它。备份什么、存哪里、换设备怎么迁移，这套流程和自建节点的思路是共通的，具体可以看《自建节点备份与迁移完全指南》——把可用状态当资产来管理，而不是靠记忆还原当时改了什么。
如果你担心的是"一台机器挂了全家断网"这种单点风险，正规解法是冗余而不是换拓扑：多线路、双机热备、出口随时可切。不过这类方案的成本与复杂度是另一个量级；家庭场景更现实的做法，就是第三节说的"随身留一份第二出口"。另外，把维护安排在深夜，本身就是最便宜的可靠性投入——不花一分钱，还能把故障域从"全家"缩到"只有你在用"。
五、决策框架：五个判据，四种画像
把前四节压成五个可以直接回答的问题，结论基本就锁定了：
- 宽带速率与"跑满"的需求。千兆且要求代理侧也尽量跑满，主路由模式的路径更短、变量更少；三百兆以内、日常使用，旁路由完全够。
- 光猫能不能桥接。拿不到超级管理员权限、运营商不给改，主路由模式连前提都不成立，旁路由是更现实的路。
- 家人是否共用这条宽带，且对断网敏感。有人看电视、有人远程办公、有人上网课，旁路由"折腾不影响直连"的价值最大——但要接受第三节那三个前提。
- IPv6 是不是刚需。是，倾向主路由；不是，旁路由更省心（第六节展开）。
- 愿不愿意长期维护两台设备。不愿意，就让一台机器把四件事全包了，用纪律换省心。
| 家庭画像 | 典型网络环境 | 建议架构 | 理由 |
|---|---|---|---|
| 租房单间 / 合租 | 用房东的光猫，动不了 | 单臂旁路由 | 零侵入，退租拔走即可，网段改动最小 |
| 三口以上家庭，共用宽带 | 自家宽带，能改光猫 | 单臂旁路由 + 网关不全量下发 | 把折腾的影响限制在需要代理的设备上 |
| 技术爱好者 / 多宽带多 WAN | 全部设备自己掌控 | 主路由模式 | 分流、QoS、多线策略在一台机器上闭环 |
| 小工作室 / 多人办公 | 对稳定性与可回退要求高 | 主路由模式 + 冗余出口 | 故障域更大，但可控性与排障路径更清晰 |
补一句关于"出口"的选择：如果你家的设备画像偏"多设备、而且不同设备要用不同出口"——比如一台电脑跑跨境店铺后台、另一台负责海外社媒多账号——那么除了挑架构，还要挑出口 IP 的类型。这类场景通常需要原生或住宅 IP 的订阅（例如 仙路湾 的原生 IP 档，¥9.9 起、4 台设备），并且更适合把它们单独绑到特定设备上，而不是全家共用一条出口。
另外提醒一句：无论最终选哪种架构，先在一台终端上验证，再考虑全量下发。旁路由最大的价值就是给你这个"分批上线"的空间，一上来就把网关改到全家，等于主动放弃了它唯一的优势。
六、IPv6：最容易被低估的分水岭
如果你家的宽带已经开了 IPv6，这一节可能直接决定选型结论。
主路由模式下的 IPv6 是"顺"的。光猫桥接后由软路由拨号，运营商的 PD 前缀一路下发到内网设备，地址、默认路由、DNS 全都来自同一台设备，没有歧义；代理侧只需要在分流规则里决定"v6 流量走不走代理"。
旁路由模式下的 IPv6 是"拧"的。原因是 IPv6 的默认路由靠 RA（路由器通告）广播，而不是靠 DHCP 指定。一旦旁路由也开始发 RA，内网设备就会同时收到主路由和旁路由两份默认路由，最终选哪一份取决于系统实现的偏好规则，结果是一部分设备走主路由、一部分走旁路由，还可能随重启变化。如果被选中的那台恰好没有处理 v6 的代理能力，症状就是"个别网站打不开或很慢"，而且极难复现。
旁路由方案对 v6 的处置基本只有三种，各有代价：
| IPv6 处置方式 | 做法 | 代价 | 适合谁 |
|---|---|---|---|
| v6 完全交给主路由直连 | 旁路由不参与 v6、不发 RA，只在 v4 上做代理 | v6 流量不经过代理，需要额外确认没有泄漏 | 不依赖 v6 做跨境访问的家庭 |
| 在旁路由上关闭 v6 | 旁路由不启用 v6 相关服务 | 跨网段的终端可能拿不到 v6 地址 | 对 v6 无需求、只求稳定的家庭 |
| 把前缀接到旁路由（relay / NDP 代理） | 由旁路由承接前缀并为下游终端提供服务 | 配置复杂度明显上升，排障难度同步上升 | 明确需要 v6 全量走代理的技术型用户 |
还有一层连带影响容易被忽略：旁路由的存在，会把"v6 该不该开"从"运营商给不给"变成"你要不要"。主路由模式下 v6 是顺带就有的能力，不需要额外决策；旁路由模式下，你可能得主动在旁路由上关掉 v6 相关服务，或者接受 v6 流量完全绕开代理。这两个选择都要写进配置记录里——否则半年后换设备、或者哪天家里有人投诉"某个网站打不开"，你会重新踩一遍今天已经想清楚的问题。
值得单独提醒的是"泄漏"：v6 一旦打开，终端就可能用一条完全不经过代理的 v6 路径出去，代理形同虚设。判断方法，以及 DNS、WebRTC、v6 三类泄漏的排查思路，见《客户端防泄漏完全指南》。如果 v6 代理本身对你重要，从"按地址族分流"到"纯 v6 机器怎么出网"这一整套进阶做法，另有专文《IPv6 代理进阶实战》讲得更细。
七、硬件与预算：会翻盘的第二个变量
前面五个判据都默认了"硬件不是问题"。预算紧张时，这一项会直接改写结论。
主路由模式要求你有一台"能扛事"的设备。它要同时承担拨号、NAT、代理内核，可能还要兼顾无线覆盖；压不住的时候，症状就是"宽带升级了，该慢还是慢"。另外光猫必须改成桥接，否则会叠出双层 NAT：NAT 类型变差、UPnP 与端口映射要在两层上各做一次、部分游戏的联机质量下降。光猫桥接可以申请也可以自己改，前提是拿得到超级管理员权限——具体做法见《家庭网络基础改造指南》。
旁路由模式对硬件的要求低得多，因为你不需要它扛 NAT：一台闲置小主机、一块开发板，甚至一台旧路由都能胜任。它的门槛在别处——那台承担 NAT 的设备（通常是光猫）必须"够用"，否则第二节说的瓶颈就出现在这里。
| 对比项 | 主路由模式 | 旁路由模式 |
|---|---|---|
| 设备要求 | 一台能扛 NAT 与代理的设备，无线覆盖要另算 | 一台不算差的机器即可，可复用闲置设备 |
| 光猫是否必须改造 | 是，需桥接，否则双层 NAT | 不必，运营商设备可保持原样 |
| 最可能出现的瓶颈 | 代理内核与 NAT 抢 CPU | 前面那台承担 NAT 的设备转发能力 |
| 首次配置的代价 | 配置集中，但改错就全家断 | 两台设备要配对，改动面分散 |
还有一个常被忽略的隐性成本：如果你打算让这台设备同时当无线 AP，"主路由模式"会额外要求它的无线驱动足够成熟。部分家用路由器刷第三方固件后，无线部分会从厂商闭源驱动换成开源驱动，覆盖与稳定性都可能变差；而旁路由方案完全不碰无线，家里的 AP 保持原样，这一项风险直接归零。对于"路由器刷机后 WiFi 反而变弱"这类反馈，根因通常就在这里。
再补一笔常被算错的账：把"省下的硬件钱"和"多花的时间"放在一起看。旁路由方案通常能复用闲置设备，硬件支出更低；但它要求你长期维护两套配置，而主路由模式把这件事压缩成一套。如果你的时间成本比硬件差价更贵，那么"多花几百块买一台能打的设备"本身就是省钱。反过来，如果你的宽带只有两三百兆、设备也就能凑合用，那么为跑满千兆去买新硬件，收益可能还不如把出口那一侧的订阅换得更稳。
八、八个常见误区
- "旁路由一定比主路由慢。"不一定。千兆以内，多出来的那一跳多数时候是二层交换，代价远小于代理内核本身的开销；真正拖慢旁路由的往往是前面那台承担 NAT 的设备。
- "旁路由故障域天然小。"只在网关没有全量下发、且它没有被串进主路径时成立。把旁路由变成全家默认网关，等于主动放弃了这个优势。
- "透明代理不用管 DNS。"恰恰相反。网关下发指向谁、DNS 由谁劫持、内外域名怎么分流，这三件事决定分流是生效还是半生效；DNS 配错，表现常常是"能上国内站、打不开国外站"。
- "光猫桥接只有好处。"桥接会把拨号与 NAT 的责任全部转到软路由，同时可能影响依赖运营商侧配置的业务（例如 IPTV、语音），这类业务往往需要额外的 VLAN 或组播设置，动之前先确认家里有没有在用。
- "两台设备都开 DHCP 没关系。"有关系。同一网段里跑两台 DHCP，终端拿到的网关就是随机的，症状是"有的设备走代理、有的不走"。一台发、其余关，是唯一稳妥的配法。
- "IPv6 打开肯定更好。"在旁路由拓扑下，v6 打开往往先带来默认路由歧义与泄漏风险，收益却要另外论证。除非你有明确依赖 v6 的场景，否则"先在旁路由上关掉"是更省事的选择。
- "旁路由方案里主路由不用动。"多数方案都要动：要么在主路由上关 DHCP、改网关，要么在终端上逐台指定。改动面被低估，回退成本就会在出问题的那天一次性还给你。
- "性能不行就加内存。"卡顿的常见根因是转发路径（是否走 CPU、是否开了加速、MTU 是否匹配）与无线环节，而不是内存容量。先定位再升级，否则加完还是同一个症状。
九、动手前的六项检查
无论最后选哪种架构，把这六件事先在纸上回答完，能省掉大量返工：
- 光猫的管理权限在不在手上？能不能桥接、有没有 IPTV 之类的附带业务？
- 宽带的实际上限是多少，代理侧需要跑满到什么程度？
- 家里有哪些设备必须稳定直连（电视、监控、老人的手机）？
- 有没有必须走代理的固定终端（工作电脑、跨境业务机器）？它们要不要不同出口？
- IPv6 是不是刚需，如果关掉会不会影响现有业务？
- 配置改坏时的回退手段是什么——改回网关、拔掉旁路由，还是恢复备份？
把这些答案写下来，再回头看第五节的五个判据，选型基本不会再摇摆。架构没有绝对优劣，只有"这一家人的网络里，谁来承担性能、谁来承担故障、谁来承担维护"这三个问题该落在哪台设备上。想清楚这一点，剩下的就是配置细节了——而配置细节，各篇专文里都有。
推荐阅读
- 家庭全屋科学上网方案：从入门到进阶：从路由器插件到软路由主路由的四种方案总览，适合在确定架构之前先看一遍全局。
- 软路由硬件选购指南：从 R2S 到 X86：先想清楚选哪种架构、需要什么算力，再决定买哪台设备，顺序反了容易多花钱。
- 软路由 DNS 分流与防污染完全指南：网关与 DNS 下发直接决定分流成败，这篇讲透了 dnsmasq、SmartDNS、mosdns 与 AdGuard Home 的取舍。