OpenWrt 路由器 VPN：先弄清楚它能接管什么
在路由器上配置 VPN，通常是让 OpenWrt 建立一条到远端服务的连接，再通过路由规则决定哪些设备或流量使用这条连接。配置完成后，手机、电脑和电视等接入家中 Wi-Fi 的设备可以共用路由器的网络出口，不必逐台安装客户端。不过，这不代表每个应用都会自动走 VPN，也不意味着路由器上能直接导入所有常见的订阅链接。
开始前先分清协议配置与订阅配置。WireGuard、OpenVPN 等需要对应的客户端支持，以及服务端地址、密钥或证书等连接参数；Shadowsocks、VMess、Trojan、Hysteria2 等则要看路由器端客户端是否支持相应协议、传输方式和配置格式。订阅链接只是向兼容客户端提供配置的入口，不能直接当作 VPN 服务器地址、用户名或密码填入 OpenWrt 的普通 VPN 设置栏。
OpenWrt 的具体菜单、软件包名称和可用功能会因固件版本、设备架构及已安装组件而不同。不要照搬其他机型的命令或截图：先确认路由器能否安装所需组件、资源是否充足，再选择匹配的配置方式。如果服务只提供某种客户端专用订阅，而路由器端没有兼容工具，就需要使用支持的客户端设备，或向服务方确认是否提供可用于路由器的配置。
检查固件、硬件与服务配置
配置前登录 OpenWrt 管理界面，确认固件版本、设备型号和当前网络拓扑，并备份现有设置。若路由器由运营商或第三方维护，先确认你有安装软件和修改防火墙、路由规则的权限。安装非官方组件可能改变路由器行为，也可能与原有插件冲突；应优先使用固件项目或组件维护方提供的说明，避免从不明来源下载程序包。
接着向 VPN 服务方确认路由器部署所需的信息：支持的协议和客户端、服务器地址与端口、认证材料、DNS 建议、是否支持 UDP，以及配置文件是否适用于 OpenWrt 上计划使用的组件。不要猜测服务端参数，也不要把一份面向桌面客户端的订阅转换成未经验证的路由配置。VPNGD 的VPNGD 好用的VPN首页可作为了解服务的平台入口；具体是否提供路由器所需的配置格式，应以账户面板和官方说明为准。
还要确认路由器的连接方式。若 OpenWrt 直接连接光猫或上级网络，VPN 出口通常由它管理；若 OpenWrt 是另一台主路由器下的旁路由，则设备流量是否经过 VPN，还取决于网关、静态路由和 DHCP 设置。旁路由配置错误时，可能出现管理界面可访问、部分设备却无法上网的情况。动手前记录当前 LAN 地址、DHCP 服务器状态和默认网关，避免修改后失去管理入口。
- ✅ 确认固件版本、设备架构和可用存储空间满足所选组件要求。
- ✅ 从服务方获取与路由器客户端兼容的配置和必要参数。
- ✅ 备份 OpenWrt 当前配置，并记录 WAN、LAN、DHCP 与 DNS 设置。
- ❌ 不要把订阅链接、私钥、密码或证书内容粘贴到公开论坛或陌生转换网站。
- ❌ 不要同时启用多个会接管默认路由的 VPN 或代理组件。
动手配置：安装客户端、导入配置并设定路由
以下流程适用于有 OpenWrt 管理权限、且服务提供的参数与路由器端客户端相匹配的情况。不同固件的页面布局可能不同，菜单名称也可能随版本变化；应以当前固件和所选组件的官方文档为准。不要为了套用教程而跳过备份，或在不清楚命令用途时直接执行终端脚本。
- 准备配置副本。在 OpenWrt 管理界面导出当前配置，妥善保存在本地。单独保存服务方提供的客户端配置时，也要保护其中的密钥、令牌和认证信息。需要分享错误截图时，遮盖这些敏感内容。
- 安装匹配的客户端。确认组件支持当前固件架构和目标协议，再通过固件支持的软件源或组件官方渠道安装。安装后检查服务是否正常启动；若软件源缺失组件或依赖不匹配，不要强行混装其他版本的程序包。
- 导入或填写服务配置。优先使用客户端明确支持的导入方式；手动填写时按服务方给出的字段逐项核对地址、端口、密钥、证书及传输设置。不同协议的配置字段并不通用。保存前检查空格、换行和字符大小写，切勿把凭据填进用途不明的字段。
- 先建立连接，再设置分流。确认客户端显示已连接，并查看组件日志中是否有认证失败、握手失败或路由创建错误。随后先让一台测试设备使用该连接，再按需要设置全设备接管或特定设备、目标地址的分流。分流的实现由所用组件决定，不应假定普通 LuCI VPN 页面会自动识别每一种代理协议。
- 检查 DNS、IPv6 与防火墙。按客户端和服务方说明设置 DNS 解析路径及防火墙区域。若 IPv4 经过隧道而 IPv6 仍从原网络直连，实际访问路径可能与预期不同；是否关闭 IPv6 或配置相应路由，要结合网络和服务支持判断。启用防火墙限制前，确认管理流量和本地局域网访问不会被误拦。
- 保存后逐项测试。依次测试路由器管理界面、本地设备互访、常用网站和需要特定网络路径的应用。记录测试设备、连接方式、客户端状态与错误提示；一次只改一个设置，便于判断问题来自连接、DNS、路由还是应用本身。
如果安装后路由器连接正常，但家中设备仍显示原有网络出口，通常要进一步检查设备是否使用了这台 OpenWrt 的网关、分流规则是否匹配，以及客户端是否创建了正确的路由。若只有部分设备受影响，应比较它们的网关、DNS 与 IPv6 设置，不要先认定服务端故障。
验证全屋设备，并处理常见故障
验证时先选一台电脑或手机接入 OpenWrt 提供的网络，确认客户端状态、出口信息和 DNS 解析结果符合预期；再用另一台设备重复测试。浏览器网页能打开，只能说明这项访问成功，不能证明电视应用、游戏、智能家居或所有后台连接都使用了相同路径。不同设备可能有独立 DNS、IPv6 或静态网关设置，也可能不遵循系统代理。
如果希望只有部分设备使用 VPN，应先确认组件支持按设备分流，再按照设备的 IP 地址、网段或组件提供的标识配置规则。使用 DHCP 地址保留能减少设备地址变化造成的规则失配，但设置时要检查局域网地址规划，避免与其他设备重复。若希望所有设备共用同一出口，则要验证访客 Wi-Fi、网线连接和额外接入点是否都由这台路由器正确转发。
- 客户端无法连接：核对服务器地址、端口、时间设置、密钥和证书；查看日志中的具体错误，并确认网络本身可以访问服务端。不要公开完整日志或配置文件。
- 连接显示成功但无法上网：检查默认路由、DNS、防火墙区域和分流规则；临时恢复原路由设置进行对照，确认本地 WAN 连接本身正常。
- 只有部分网站或应用异常：检查该应用是否走代理、DNS 是否解析到可用地址，以及规则是否把请求分到预期路径。浏览器代理设置不一定影响其他应用。
- 网络偶尔中断：查看客户端和系统日志，确认连接是否重建，并检查上级网络、无线信号和路由器资源使用情况。不要只凭单次测速结果判断线路质量。
- 修改设置后无法进入管理界面：尝试通过有线连接访问原管理地址；若地址、DHCP 或防火墙已改变，依设备官方恢复流程操作，并在必要时还原此前的配置备份。
路由器资源和无线环境也会影响全屋体验。加密与转发需要设备处理能力，开启额外插件、复杂规则或多条并行隧道可能增加负载；无线干扰和上级网络拥塞也不会因为启用 VPN 而消失。排查时可以先用网线连接测试设备，关闭非必要的临时规则，再比较 VPN 连接前后的表现。
备份恢复与常见问题
配置稳定后再次导出 OpenWrt 设置，并注明固件版本、使用的客户端、配置方式和关键路由安排。备份文件可能包含无线密码、管理信息或 VPN 凭据，应保存在可信位置，不要作为普通附件发送给他人。升级固件或更换客户端前，先确认备份能否用于目标版本；跨版本直接恢复不一定兼容，必要时只参考旧设置重新配置。
遇到问题时，先回忆最近一次改动，并一次恢复或调整一项设置。若需要向组件维护方或服务支持提交信息，可提供固件版本、设备型号、客户端名称、脱敏后的错误提示和复现步骤；不要提交完整订阅链接、私钥、密码或含有敏感字段的配置文件。
订阅链接能直接填进 OpenWrt 吗？
不一定。订阅需要由支持其格式与协议的客户端解析；OpenWrt 的基础 VPN 页面通常要求对应协议的连接参数。先确认订阅格式和路由器端组件兼容，再按组件文档导入。不能确认时，应向服务方询问是否提供适用于路由器的配置。
配置完成后，所有设备都会自动走 VPN 吗？
取决于网关、路由规则和设备接入方式。设备必须实际使用这台 OpenWrt 的网络路径，且分流策略要覆盖相应流量。访客网络、旁路由下的设备、静态设置了其他网关的设备，可能不会按预期经过 VPN。
为什么路由器开启 VPN 后网络变慢？
可能与路由器转发能力、加密处理、无线信号、上级网络或远端路径有关。先通过有线连接排除无线因素，再检查路由器负载、客户端日志和规则配置；不要把单次测速差异直接归因于某个协议或服务。
固件升级后还能直接恢复备份吗？
要看固件版本、设备和配置格式是否兼容。升级前保存备份并查看固件说明；若升级后组件或网络接口发生变化，先恢复基础网络设置，再按当前版本文档重新核对 VPN 客户端、路由和防火墙配置。