刷完固件第一次进后台，OpenWrt 里几乎每一个配置项都是"能用但不对"的出厂值：WAN 口等着你选协议，LAN 网段大概率和你家光猫撞在同一段，DHCP 地址池按默认值发下去会和你后面要固定的设备打架，DNS 下发甩给上游，IPv6 全量打开。结果是——网页能打开，全屋代理也能用，但隔三差五断一次、某些设备速度只有别人的三分之一、明明挂了代理却查出真实 IP。能上网只是第一关，配置对了才决定全屋代理能不能长期稳定跑。
这篇是《软路由入门指南》的"第二篇"：第一篇讲硬件、系统与插件怎么选，本文只处理刷机完成之后、全屋代理真正可用之前的那一段。装机写盘和救砖流程在《软路由刷机完全指南》里；如果你还在纠结"要不要动光猫、桥接值不值"，那是物理层的问题，属于《家庭网络基础改造》的范围，两篇的分界线是：那篇决定光猫该不该让位，这篇决定软路由接手之后每一项怎么填。
还有一点先讲在前面：配置再干净，出口线路不对照样跑不出效果。做配置对照测试时用 自由猫 这类 IEPL 专线做基准出口，最大的好处是能把"配置引起的抖动"和"线路本身的抖动"分开看——否则你永远不知道是自己 MTU 配错了，还是晚高峰上游堵了。
一、先把三层问题分开：为什么"能上网"不等于"配好了"
新手最常见的时间浪费，是在错误的层里找原因：明明是 DHCP 下发的 DNS 指向了上游，却反复重装代理插件；明明是 LAN 网段和光猫撞车，却一直怀疑机场节点不行。把首次配置分成三层，排查速度至少快一倍：
| 层 | 涉及的配置项 | 默认值的坑 | 典型症状 |
|---|---|---|---|
| 拨号层 | WAN 协议、账号、MAC 克隆 | 沿用 DHCP 客户端，但线路需要 PPPoE | WAN 口拿不到 IPv4、状态一直是"未连接" |
| LAN 层 | 网段、DHCP 服务、地址池、静态租约 | 192.168.1.1 与光猫同段 | 间歇性丢包、部分设备上不了网、IP 冲突 |
| 下发层 | DHCP 下发的网关/DNS/NTP、IPv6 | DNS 指向上游运营商 | 代理"挂了但不生效"，或解析还是被污染 |
本文按"5 个必改项 + 8 步顺序"来组织。每一项都给出：为什么默认值不能用、改成什么、改错了会怎样。
二、必改项 1：WAN 口的拨号方式与账号来源
2.1 三种 WAN 协议，选错的代价是"整晚连不上"
| 协议 | 什么时候用 | 常见误用 |
|---|---|---|
| DHCP 客户端（自动获取） | 上级是光猫路由模式，或上级是别人家的主路由 | 光猫已改桥接却还留着 DHCP，WAN 口只拿到 169.254 的自分配地址 |
| PPPoE | 光猫已桥接，由软路由自己拨号 | 账号密码填成了光猫后台的登录密码（那是管理密码，不是宽带账号） |
| 静态 IP | 专线、部分校园网/酒店网、内网固定分配 | 在需要拨号的家宽上硬填一个静态地址，等于自己给自己断网 |
2.2 宽带账号从哪来：三条可操作路径
这是首次配置里最卡人的一步——很多人改完桥接才发现不知道宽带账号密码。三条不靠客服也能走通的路：
- 光猫后台备份：改桥接之前先登录光猫（普通用户账号通常在机身贴纸上），在"网络 → 宽带设置"里把 PPPoE 那一页的账号抄下来；部分光猫可以直接导出配置文件。
- 运营商 APP / 短信记录：装宽带时的开通短信、运营商 APP 的"宽带账号"页，多数情况下能查到账号，密码可能需要重置。
- 打客服重置：报装地址和身份证，让客服把 PPPoE 密码重置为默认值，重置后再在软路由里改掉。
抄下来之后建议做一件事：把账号密码连同光猫的原始配置一起存进密码管理器。半年后你自己也会忘。
2.3 MAC 克隆：换机后"拨不上号"的根因
部分运营商会在局端绑定第一次拨号设备的 MAC。你把光猫换成软路由之后，PPPoE 认证直接失败，或者拨上几分钟就被踢。这时候需要在承担 WAN 的那个物理口上做 MAC 克隆——把原来能拨号那台设备的 MAC 复制过来：
# /etc/config/network
config device
option name 'eth1' # 承担 WAN 的物理口
option macaddr 'AA:BB:CC:DD:EE:FF' # 原能拨号设备的 MAC
config interface 'wan'
option device 'eth1'
option proto 'pppoe'
option username '你的宽带账号'
option password '你的宽带密码'
option ipv6 'auto'
# 应用配置
uci commit network
/etc/init.d/network reloadLuCI 里的对应位置是"网络 → 接口 → 设备 → 高级设置 → 覆盖 MAC 地址"。注意两点：一是 MAC 克隆要加在物理设备（device）上，不是接口上；二是多拨场景下每个虚拟 WAN 会话通常需要不同的 MAC，这一点先有个印象，别急着动手。
2.4 别急着上多拨：WAN 口先留白
首次配置时最不该做的事就是同时开多拨和代理。多拨能不能叠加取决于局端限速落在哪一段，还要处理虚拟 WAN、权重和粘性会话，变量太多。顺序应该是：单拨先拨通 → 全屋代理跑稳 → 再考虑多拨，多拨的可行性判断和 macvlan/mwan3 配置在《单线多拨与宽带叠加》里已经拆得很细，这里只需要在 WAN 口上留出第二个物理网口或 VLAN 的位置。
WAN 拨通之后，跨境这一段就交给出口线路了。这里有个容易被忽略的约束：机场侧的"设备数"上限，比价格更早成为瓶颈。家里十几台设备（手机、电视、平板、摄像头、NAS）全部走代理时，按设备数分档的套餐会先顶到天花板——例如 万达云 的 150GB/5 台与 300GB/10 台两档，差价就是在设备数上；选档之前先数一遍家里需要走代理的设备，比事后换套餐省事。
三、必改项 2：LAN 网段规划（和光猫撞车是第一大坑）
3.1 撞车的症状很像"机场坏了"
OpenWrt 的默认 LAN 地址是 192.168.1.1，而绝大多数光猫的默认地址也是 192.168.1.1。一旦两者同段，你会看到一个网络里存在两台都声称自己是网关和 DNS 的设备，客户端随机挑一台。表现是：有的设备能上、有的上不了；代理时好时坏；内网有人访问 192.168.1.1 时看到的是光猫不是软路由。很多人第一反应是"机场不行了"，其实是网段问题。
3.2 网段怎么选：避开这四类
- 光猫/上级路由器的默认段：常见是 192.168.1.0/24，其次是 192.168.0.0/24。
- 运营商 CPE 与部分定制光猫：192.168.100.0/24、192.168.101.0/24 在部分线路里被占用。
- VPN / 容器 / 组网工具的常用段：10.0.0.0/24、10.8.0.0/24、172.16.x.x 常在异地组网或 Docker 里被吞掉，选 LAN 段时避开能少一次冲突。
- 198.18.0.0/15：部分代理工具与分流规则会占用这个段做"假 IP"（Clash 系 fake-ip 默认池），别拿它当 LAN 网段。
经验做法：主路由形态直接改成 192.168.10.1/24 或 192.168.88.1/24，一眼能和光猫区分开。而如果你走的是旁路由形态（主路由不动，软路由只做透明网关），LAN 网段必须和主路由同段，软路由只占一个固定 IP，这时"改网段"这一步就变成"确认不冲突"——两种形态的配置差别在《旁路由完全指南》里讲透了，本文只提醒一句：先确定形态再改网段，改完再排查代价很高。
3.3 改网段的连带影响清单
| 受影响的项 | 改网段后要做什么 |
|---|---|
| 静态 IP 设备 | NAS、打印机、摄像头、AP 管理地址需同步改到新段 |
| 端口映射 / UPnP | 映射目标 IP 会失效，需要重建 |
| DHCP 租约 | 客户端会先保留旧租约，多数情况重启网卡或等租约到期即可 |
| 已保存的访问书签 | 后台地址变了，手机/电脑上的书签一并更新 |
| 其他路由器的 LAN 口 | 如果软路由后面还挂了一台当 AP 用，那台的 LAN IP 也必须在同一段且不与池内冲突 |
四、必改项 3：DHCP 服务与地址池
4.1 先知道默认值是多少，才知道该改什么
OpenWrt 出厂 /etc/config/dhcp 里的 LAN 段是这样的（下面这段就是从默认配置抄下来的结构）：
config dhcp 'lan'
option interface 'lan'
option start '100'
option limit '150'
option leasetime '12h'
option ra 'server'
option dhcpv4 'server'
option dhcpv6 'server'
config dhcp 'wan'
option interface 'wan'
option ignore '1'含义：地址池从网段内的第 100 个地址开始，连续发 150 个。也就是在 192.168.10.1/24 下，池子是 192.168.10.100 – 192.168.10.249，上面 100 个地址（.2–.99）留给静态设备，租期 12 小时。这三个数字（start/limit/leasetime）在源码里的默认值同样是 100 / 150 / 12h，所以哪怕你没写这几行，行为也一样。
4.2 池子大小的实际算法
- 池子必须留在你规划的网段内：start 100 + limit 150 在 /24 里正好不越界（100+150=250）；如果你把网段缩成 /25（掩码 255.255.255.128），可用主机只有 .1–.126，默认池子会越界，必须相应调小 limit。
- 静态设备放池外：NAS、AP、打印机、树莓派这类需要固定地址的，把地址规划在 .2–.99，或者干脆在 DHCP 里做静态租约（见 4.4），不要靠"随手填一个"。
- 租期别太短：12h 对家庭网络合适；租期设 1h 会让手机频繁重连 DHCP，Wi-Fi 漫游切换时更容易掉线。
4.3 为什么 dnsmasq 会"启动失败"，而且日志只说一句话
这是首次配置里最容易被忽略的一条：dnsmasq 启动时会先探测 LAN 口上是否已经存在另一台 DHCP 服务器，检测到就直接拒绝启动，并在日志里留下这样一句话——"refusing to start, use 'option force 1' to override"。也就是说，如果你从光猫路由模式下没关掉光猫的 DHCP、就直接在软路由上开 DHCP，服务是起不来的。
正确的做法是先在光猫里关掉 DHCP（或改桥接），再让软路由的 DHCP 起来。option force '1' 是给"我确认这个网段只有我一台 DHCP"的场景用的开关——它能跳过这项检查，也能让 DHCP option 强制下发（即使客户端没请求该选项）。它的语义不是"强制生效"，而是"我知道我在做什么"，网络里真有两台 DHCP 时开它只会让冲突更隐蔽。
4.4 静态租约：把关键设备钉住
# /etc/config/dhcp — 按 MAC 固定 IP
config host
option name 'nas'
option mac 'AA:BB:CC:11:22:33'
option ip '192.168.10.10'
option leasetime 'infinite'
uci commit dhcp
/etc/init.d/dnsmasq restart
# 或 /etc/init.d/odhcpd restart（纯 odhcpd 作 DHCPv4 服务的固件）静态租约和"在设备上设静态 IP"的区别：前者地址仍然由 DHCP 统一管理，改网关/DNS 时设备能自动跟着变；后者一旦改了网段或换了 DNS，你得一台台改。家庭网络里能用静态租约就别用设备端静态 IP，除了路由器、AP 这类必须在没有 DHCP 时也能通的设备。
4.5 一个网段里只留一台 DHCP
| 拓扑 | 谁开 DHCP | 注意 |
|---|---|---|
| 软路由作主路由（光猫桥接） | 软路由 | 光猫侧不用管，但若有独立的 IPTV 口别动 |
| 光猫路由模式 + 软路由作主路由 | 只能一个：要么软路由（关光猫 DHCP），要么光猫 | 两台都开就是 4.3 的启动失败或随机抢答 |
| 旁路由（主路由不动） | 主路由 | 软路由必须关掉自己的 DHCP，只提供透明网关 |
| 后面挂了当 AP 用的路由器 | 软路由 | AP 那台必须关 DHCP、LAN 口接上联 |
五、必改项 4：DHCP 下发的 DNS 与网关
5.1 一份 DHCP 应答里最关键的三项
客户端开机时从 DHCP 拿到的不只是 IP，还有一批决定"它去问谁"的选项。家庭代理场景真正要管的是这三项：
| 编号 | 含义 | 配错会怎样 |
|---|---|---|
| option 3 | 路由器（默认网关） | 下发了错误的网关，设备有 IP 也出不了内网 |
| option 6 | DNS 服务器 | 指向运营商 DNS → 解析被污染，或分流规则完全绕过 |
| option 42 | NTP 时间服务器 | 内网设备时间漂移 → TLS 证书校验失败、订阅更新报错 |
OpenWrt 下这几项通过 dnsmasq 的 dhcp_option 下发，写法是"编号,值"。有个细节值得记住：dnsmasq 的 man 手册明确写了，值为 0.0.0.0 时表示"运行 dnsmasq 的这台主机本身"——想表达"DNS 就是软路由自己"时不必硬写 IP：
config dhcp 'lan'
option interface 'lan'
list dhcp_option '6,192.168.10.1' # DNS 指向软路由（多个值就多写几行 list）
list dhcp_option '42,192.168.10.1' # 内网设备向软路由取时间
# 也可以写成 6,0.0.0.0 —— dnsmasq 手册里等价于"运行 dnsmasq 的主机"
uci commit dhcp && /etc/init.d/dnsmasq restart5.2 指向软路由还是上游：这一项决定分流失效还是生效
默认情况下，dnsmasq 会把自己作为 DNS 服务器下发给客户端（因为它自己就在跑 DNS 服务）。但如果你在 LAN 段里手工把 DNS 改成了 8.8.8.8 或运营商地址，客户端就会绕过软路由的解析流程：DNS 分流、防污染、广告拦截全部失效，国内域名还可能被解析到远端节点，代理体验反而变差。所以首次配置时这一项的判断标准很简单：
- 想让分流/防污染生效 → option 6 指向软路由自己，解析链路统一收拢到软路由。
- 只做纯转发、不做 DNS 处理 → 可以指向可靠的公共 DNS，但要接受"分流靠 IP 段、不靠域名"的后果。
- 两种都不确定 → 先指向软路由，后续用
nslookup对比解析结果再调。
具体该选哪一套 DNS 方案（dnsmasq 分流、SmartDNS 双上游、mosdns 规则、AdGuard Home），以及 53 端口和代理插件怎么协作，在《软路由 DNS 分流与防污染》里逐套拆过；本文只解决"首次配置时这一格填谁"的问题。
DNS 指向软路由之后，全屋的解析质量就由软路由到上游这一段决定，而下游机房是否抖动会直接体现在解析时延上。做长期采样或需要稳定基线时，用 SS-ID 这类纯 IEPL 线路当对照出口的好处是抖动小、曲线接近平线，一旦解析时延出现台阶式变化，可以基本判断问题出在本地配置而不是线路上。
六、必改项 5：IPv6 的取舍
6.1 四种模式分别适合谁
OpenWrt 的 IPv6 地址分发由 odhcpd 负责，它的配置文档里每个接口有四个可选项，各自支持的模式是：ra（路由通告）支持 disabled / server / relay / hybrid，dhcpv6 支持 disabled / server / relay / hybrid，dhcpv4 支持 disabled / server，ndp（邻居发现代理）支持 disabled / relay / hybrid。再配合接口上的 master 开关表示"这是用于中继的上游口"。翻译成家庭场景：
| 场景 | 建议配置 | 理由 |
|---|---|---|
| 代理插件不处理 IPv6，只想少出事 | lan 段 ra/dhcpv6/ndp 全部 disabled | 没有 IPv6 就没有 IPv6 泄漏路径，客户端统一走 IPv4 + 代理 |
| 运营商给了 /60 以上 PD，想正常用 v6 | ra server + dhcpv6 server | 软路由自己分发前缀，客户端双栈正常 |
| 上级只给 /64、无法继续划分 | 上游口 master 1，下游 lan 段 ra/dhcpv6/ndp 用 relay | odhcpd 支持把 RA/DHCPv6/NDP 在路由（非桥接）接口间中继，无需继续分前缀 |
| 既想有 v6 又不希望它参与代理 | 保留 v6 但用防火墙只放行必要流量 | hybrid/混合模式与策略路由配合，属于进阶场景，首次配置不建议 |
6.2 三个必须一起看的参数
ra_slaac：是否通过 RA 直接给客户端 SLAAC 地址。ra_flags：OpenWrt 默认给 LAN 段加的是managed-config与other-config两个标志位，意思是"地址和其他配置都去找 DHCPv6"。如果你只改了 dhcpv6 的模式却没动这两个标志，客户端会继续按 DHCPv6 找地址，症状是"IPv6 打开了但设备拿不到地址"。ra_lifetime：通告里的路由生存时间，默认 2700 秒；相关标准（RFC 9096）不建议设得更大，否则运营商换前缀后客户端会长时间保留旧路由。
另外有一个常被忽略的开关是 prefix_filter：它用于"只通告某个范围内的前缀"，在多级路由或内网有多套地址规划时能挡掉不该下发的段。首次配置不必动它，但知道有这个东西，将来遇到"设备拿到奇怪的 v6 地址"时能省很多时间。
6.3 什么时候必须关：泄漏路径在哪
代理只接管 IPv4 时，客户端的 IPv6 流量会走原生出口直连。判断方法很简单：挂上代理访问 IPv6 检测页，如果返回的地址是你家宽带的 v6 地址而不是代理出口，就是泄漏。两种情况必须处理：
- 做账号类操作（电商后台、多账号、需要固定地区画像）：此时对外呈现的 IP 类型比速度快慢重要得多——住宅/原生 IP 不容易被判成机房出口。除了关掉 IPv6 泄漏，出口也建议选原生/住宅 IP 定位的线路，例如 仙路湾 就是以原生/住宅 IP 为主打的机场，这类场景里它的价值不在延迟数字，而在 IP 画像与地区归属一致。
- 使用依赖 IPv6 的国内服务又同时挂代理：容易出现"国内服务走 v6 直连、境外走代理"的错配，表现为登录态反复失效。更省事的方案是统一关掉 v6，让所有流量走同一条路。
IPv6 与代理的完整组合方式（双栈策略、按域名分流、v6 优先带来的副作用）在《IPv6 科学上网完全指南》里有整篇拆解，本文的判断只需要记住一句：首次配置时要么把 v6 关干净，要么让 v6 也走代理，不要留"一半直连一半代理"的中间状态。
七、三项收尾必做：时间、SSH、备份
这三项几乎每篇教程都会漏，但它们的故障特征都很"玄学"：证书报错、订阅更新失败、配置回不去。
7.1 系统时间：证书和订阅都依赖它
OpenWrt 的时间同步由 busybox 的 sysntpd 负责，配置段是 /etc/config/system 里的 timeserver，支持这几个字段：enabled（默认 1）、server（NTP 服务器列表）、use_dhcp（默认 1，表示从 DHCP 请求里附带的时间服务器取值）、dhcp_interface（从哪些接口取）、enable_server（默认 0；设成 1 时软路由自己也成为给内网授时的 NTP 服务器）、interface（授时监听的接口）。
为什么要在首次配置时检查它：TLS 证书校验、订阅链接的签名校验、日志时间戳全都依赖正确的系统时间。时间偏差超过几分钟，你会看到一堆"证书无效""订阅更新失败"的报错，而它们和网络毫无关系。如果软路由被当成内网时间服务器（enable_server 1），别忘了在第 5 节的 DHCP 里通过 option 42 把地址下发出去——这两项要配套，光开服务器不下发，客户端还是会去问外网。
7.2 SSH：出厂状态是"root + 密码 + 22 端口"
OpenWrt 的 dropbear 默认配置（/etc/config/dropbear）是这样的：option enable '1'、option PasswordAuth 'on'、option RootPasswordAuth 'on'、option Port '22'。如果软路由只在内网，这个组合可以接受；但一旦你把它的管理端口暴露到公网（远程管理、异地组网），它就是一个 22 端口上的 root 密码登录入口。
# 1) 先放公钥（在电脑上生成并推送）
ssh-keygen -t ed25519
ssh-copy-id root@192.168.10.1 # 公钥落到 /etc/dropbear/authorized_keys
# 2) 验证免密登录成功之后，再关掉密码登录
# /etc/config/dropbear
option enable '1'
option PasswordAuth 'off'
option RootPasswordAuth 'off'
option Port '22'
uci commit dropbear && /etc/init.d/dropbear restart顺序很重要：先确认公钥能登录，再关密码登录，反过来的话你就只能靠物理接触救砖了。另外，如果你不需要从 WAN 侧管理，把 dropbear 限制在内网、或干脆不映射端口，比任何加固都有效。
7.3 备份：把"能用的那个状态"存下来
配置改到能用之后，立刻做一份备份。OpenWrt 自带 sysupgrade -b 打包配置（不含固件本体），恢复时用 sysupgrade -r 或 LuCI 的"备份/恢复"。备份文件建议存到内网 NAS 或本地电脑，别只留在软路由的 flash 上——刷机或换固件时最容易丢的就是它。另外，改配置之前把你改动过的文件（/etc/config/network、/etc/config/dhcp）各留一份原件，出问题时对比起来比猜快得多。
八、8 步配置顺序：按这个顺序走，不用回头改
顺序本身就是一份防返工清单。每一步做完都验证一次，比全部改完再排查省时间：
| 步骤 | 做什么 | 完成标志 |
|---|---|---|
| 1 | 确定形态（主路由 / 旁路由） | 能说清"谁拨号、谁是网关、谁开 DHCP" |
| 2 | 设置 LAN 网段与路由器自身 IP | 软路由后台地址与光猫不同段（旁路由形态除外） |
| 3 | 配置 WAN 协议与账号（必要时 MAC 克隆） | WAN 口拿到 IPv4，能 ping 通公网 IP |
| 4 | 决定并关闭/保留 IPv6 | 挂代理后没有 IPv6 泄漏 |
| 5 | 配置 DHCP 服务与地址池 | 客户端能拿到池内地址，且全屋只有一台 DHCP |
| 6 | 配置下发的 DNS / 网关 / NTP | nslookup 解析走的是软路由 |
| 7 | 装代理插件、导入订阅 | 指定设备走代理，直连与代理可区分 |
| 8 | 收尾：时间同步、SSH、备份 | 有一份可回滚的配置 |
注意第 4 步和第 5 步的顺序：先决定 IPv6 再配 DHCP，可以避免"改完 IPv6 又要回头调 ra_flags"的返工。第 7 步之前 DNS 已经指向软路由，装完插件基本不用再动解析。
九、配完怎么验证：6 项检查
不看日志、不敲命令的"验证"只能叫感觉。下面这 6 项都能在软路由上直接跑，输出结果能对得上才算配好：
# 1. WAN 是否拿到地址
ubus call network.interface.wan status | grep -E '"up"|"address"'
# 2. DHCP 租约列表（odhcpd 提供两个方法）
ubus call dhcp ipv4leases
ubus call dhcp ipv6leases # 关掉 v6 时这里应该是空的
# 3. 客户端是否从软路由取 DNS（在电脑上跑）
nslookup www.example.com # 应答服务器应为软路由 LAN IP
# 4. 地址池是否在预期区间（对照你的 start/limit）
cat /tmp/dhcp.leases
# 5. 代理是否真的接管（在客户端上）
curl -s https://ipinfo.io/ip # 应返回代理出口 IP，而非家宽 IP
# 6. IPv6 泄漏复核
curl -s -6 https://ipv6.icanhazip.com # 报错或为空 = 已关干净六项全过之后，还可以做一步"配置质量"的基线测试：连续 ping 与单线程测速各跑一轮，把数值记下来。以后怀疑线路出问题时，拿这份基线对比，能立刻区分"线路劣化"和"家里配置被谁改了"。硬件转发、MTU/MSS 钳制、QoS 这些把吞吐进一步提升的项目，属于性能调优阶段，方法在《软路由性能优化》里；顺序上先保证配置正确，再谈性能，否则你优化的是一个本来就配错的网络。
十、10 个最常见的坑
| # | 现象 | 根因 | 处理 |
|---|---|---|---|
| 1 | 全部设备都无法上网 | 网关/DNS 下发错误，或 LAN 段与光猫冲突 | 先确认 option 3/6 指向软路由，再查网段 |
| 2 | dnsmasq 起不来 | 网段内存在第二台 DHCP 服务器 | 关掉光猫或上级设备的 DHCP，别急着用 force |
| 3 | 部分设备上不了网 | 地址池里的地址与静态设备冲突 | 静态设备移出池外或做静态租约 |
| 4 | PPPoE 拨号失败 | 账号密码是光猫管理密码 / 局端绑定 MAC | 核对账号，必要时做 MAC 克隆 |
| 5 | 代理"开着但没走" | 客户端 DNS 被指到上游，分流失效 | 把 option 6 收回软路由，重查解析路径 |
| 6 | IPv6 泄漏真实地址 | v6 全开且代理不接管 v6 | 关 v6 或让 v6 也走代理 |
| 7 | 设备拿不到 IPv6 地址 | ra_flags 与 dhcpv6 模式不匹配 | 模式与 managed/other 标志一起调 |
| 8 | 证书报错 / 订阅更新失败 | 系统时间漂移 | 检查 timeserver 是否可用、是否能取到 NTP |
| 9 | 改完网段后全部设备失联 | 静态 IP 设备与新网段不匹配 | 按 3.3 的连带影响清单逐项同步 |
| 10 | 配置改乱无法回滚 | 没有备份，也没有留存改动前的文件 | 改前留原件，改完立即 sysupgrade -b |
如果上面的表里没有覆盖你的症状（比如连不上、速度慢、频繁断流的组合情况），按症状到根因的分支排查在《软路由科学上网故障排查》里列了十大类，配合本文的验证命令能快速定位到层。
十一、常见问题 FAQ
Q1：软路由刷完直接就能上网，这 5 项真的都要改吗？
不都要改，但都要"看过"。WAN 协议和 LAN 网段是必须确认的；DHCP 池子大小在 /24 下用默认值通常没问题；DNS 下发和 IPv6 取决于你是否要代理接管全部流量。判据是：如果挂代理后出现"部分生效、部分不生效"，那基本就是这两个必改项没处理。
Q2：光猫不改桥接，软路由直接当主路由行不行？
行，但必须保证一个网段里只有一台 DHCP。光猫路由模式下它自己既拨号又发 DHCP，这时要么关掉光猫的 DHCP 让软路由接管，要么反过来。两层 NAT 会让外网访问内网设备更麻烦，性能上也有损耗，这也是很多人最终选择桥接的原因——值不值，取舍分析在《家庭网络基础改造》里有完整对照。
Q3：LAN 网段改成 192.168.10.1 之后，家里的智能家居设备会掉线吗？
会短暂掉线，重新获取租约后恢复。真正需要手动处理的是那些配置了固定 IP 的设备（NAS、摄像头、打印机、AP），它们的地址必须跟着改到新段，否则你会看到"设备在线但访问不到"。
Q4：DHCP 地址池开大一点会不会更省事？
池子越大，越容易和静态设备打架。默认的 start 100 / limit 150 已经把 .2–.99 留给固定设备，家庭网络几十台设备足够用。如果设备真的很多，更好的做法是缩短租期而不是扩大池子。
Q5：option 6 填运营商 DNS 好像也能上网，为什么不行？
能上网和"代理按预期工作"是两件事。运营商 DNS 会把部分域名解析到本地就近节点，分流规则按域名匹配时就会判断错误；更要紧的是 DNS 查询本身在代理之外，等于把访问意图暴露给了上游。
Q6：force 1 到底什么时候用？
只在你确认网段内不存在其他 DHCP 服务器、但检测逻辑误报时用。它跳过的是"检测到已有 DHCP 服务器就拒绝启动"这项保护。家里真有两台 DHCP 时开它，症状会从"服务起不来"变成"设备随机上不了网"，更难查。
Q7：IPv6 关了会影响国内应用吗？
绝大多数国内应用在 IPv4 下工作正常。少数走 IPv6 的移动端应用在关闭后可能回落到 v4，速度略降但连通性不受影响。相比"v6 直连泄漏真实地址"，关掉它通常是更划算的取舍。
Q8：relay 模式是不是比 server 模式更高级？
不是级别问题，是前提不同。上级能给你可继续划分的前缀（/60 及以上）就用 server 模式自己分发；上级只给一个 /64 时，server 模式没法再分，只能用 relay 把上游的 RA/DHCPv6/NDP 透传到下游，前提是上游口标成 master。
Q9：系统时间不准会有什么具体后果？
三类：TLS 证书校验失败（提示证书无效或时间不对）、部分订阅链接的签名或时间戳校验失败、日志时间错乱导致排查困难。如果软路由拿不到 NTP，先确认 DNS 解析可用——NTP 服务器域名解析不了，时间自然同步不上。
Q10：软路由需要开 SSH 给公网吗？
不需要就别开。出厂是 root + 密码 + 22 端口，暴露在公网等于给扫描器一个确定的用户名。要在外面管理，用组网工具或内网穿透把管理口留在内网，比直接映射 22 端口安全得多。
Q11：配置备份里包含什么？换固件后能直接恢复吗？
sysupgrade -b 打包的是配置文件，不含固件与已安装的插件本体。同系列固件之间恢复通常没问题；换内核大版本或换发行版（比如从 OpenWrt 换到 iStoreOS）时，恢复后要重新检查网络与 DHCP 相关配置，必要时只挑 /etc/config 下的单个文件恢复。
Q12：为什么我按教程配完，测速只有别人的三分之一？
配置正确只是前提，瓶颈可能在硬件转发没开、MTU/MSS 不匹配、或者你连的是中转线路而别人用的是专线。先确认不是配置问题（本文的 6 项验证），再按性能调优的顺序查硬件加速与 MTU，最后才怀疑线路。
Q13：旁路由形态要改这 5 项吗？
要，但顺序和主路由不同：旁路由必须先设固定 IP、关掉自己的 DHCP、再由主路由把网关指向它。它的 LAN 网段和主路由同段，所以"改网段"这一步变成"确认不冲突"，其余三项（DNS 下发、IPv6、时间）逻辑一致。
Q14：想加第二台软路由做冗余，要注意什么？
最要紧的仍然是一台网段一台 DHCP。双机冗余通常用 VRRP 之类的方案共享一个虚拟网关，两台都要关掉彼此冲突的服务（DNS 缓存、NTP 授时按需分配）。这个属于进阶主题，等单机配置稳定运行一段时间、有完整备份之后再动。
十二、总结：先通、再稳、再快
软路由的首次配置，本质上是把三个"谁负责"的问题回答清楚：谁拨号（WAN 协议与账号）、谁当网关和 DHCP（LAN 网段与地址池）、客户端去哪问解析和时间（DHCP 下发的 DNS/NTP 与 IPv6 的取舍）。这五个必改项之所以"必改"，不是因为默认值是错的，而是因为默认值假设的是一个单一网段、单台路由器的实验室环境，而你家有光猫、有 AP、有 NAS、有需要走代理的设备。
按第 8 节的顺序走一遍，再用第 9 节的 6 项验证确认，首次配置基本可以一次到位。把顺序做对，比把每一项都调成"最优"更有价值——因为你会知道每一个现象对应哪一层，而不是在插件、机场、网线之间来回试。
推荐阅读
- OpenClash 进阶配置指南：基础配置跑通之后，策略组、规则集与 DNS 该怎么设计。
- 主流软路由固件横评：同样的硬件，OpenWrt/iStoreOS/爱快/ROS 在首次配置上的体验差别。
- 软路由硬件选购指南：从 R2S 到 X86，网口数量与预算怎么定，直接影响本文的配置选项。