核心答案摘要（Direct Answer Block）
PassWall 是 OpenWrt 固件生态中以极低系统资源开销、高并发网络吞吐与模块化解耦著称的经典路由器级透明代理套件。与动辄消耗数百兆内存的 OpenClash 相比，PassWall 采用纯原生 Lua 界面驱动底层的独立二进制内核（Xray、Sing-box、ChinaDNS-NG 与 iptables/nftables），在仅有 128MB 至 256MB 运行内存的硬路由（如联发科 MT7621、红米 AX6000、GL.iNet 随身路由）或入门级软路由（NanoPi R2S/R4S）上均能实现稳定千兆转发。标准配置包含四个核心步骤。首先在节点订阅中填入商业机场提供的通用订阅链接，设置关键字过滤并开启每日自动更新；随后在主界面为 TCP 与 UDP 分别指定优质专线节点，代理模式首选兼容性与性能极佳的 TProxy 模式；紧接着将 DNS 分流方式指定为 ChinaDNS-NG，实现国内权威 DNS 直连与境外防污染 DNS 的并发比对过滤；最后利用访问控制（ACL）针对家庭中的智能电视、游戏机与普通办公设备进行按 IP 精细分流，打造全屋全天候无感出海网络。
一、PassWall 核心架构与 OpenClash 深度差异对比
在开源路由器软硬件生态中，围绕“全屋网络翻墙究竟该选 PassWall 还是 OpenClash”的讨论长达数年。要做出清醒理性的选型决策，首先必须深入两者的底层软件架构。
+-------------------------------------------------------------------------+| PassWall vs OpenClash 底层架构与资源开销对比 |+-------------------+--------------------+--------------------------------+| 评估对比维度 | OpenWrt PassWall | OpenClash (Clash / Mihomo) |+-------------------+--------------------+--------------------------------+| 用户界面与驱动层 | 纯原生轻量 Lua 脚本| 重型 LuCI 界面 + 复杂 YAML 转换 || 底层转发执行核心 | 独立调用 Xray/Sing-box| 单一巨型 Mihomo (Go 语言运行时) || 空闲运行内存占用 | 约 20MB - 45MB 极低| 约 350MB - 800MB 极高开销 || 128M/256M 硬路由 | 流畅稳定，永不 OOM | 极易爆内存触发系统死机或重启 || DNS 分流架构 | ChinaDNS-NG 双向比对| 强制 Fake-IP 虚拟私有地址池 || 节点故障自动切换 | 原生支持毫秒级探活轮换| 依赖策略组 URL-Test 自动测速 || 适用硬件平台 | NanoPi, 硬路由, 电视盒| 高性能 X86 工控机, 强力迷你主机 |+-------------------+--------------------+--------------------------------+1. 为什么低功耗与老旧硬件必须首选 PassWall
许多家庭用户平时使用的路由器大多是刷入了第三方固件的传统 Wi-Fi 无线路由器（例如红米 AX6000、华硕路由器、Newifi 3、斐讯 N1 盒子或 NanoPi R2S 掌上小盒子），不同于高配的多网口 X86 软路由工控机。
这类设备的共同瓶颈是 CPU 算力偏弱（大多为双核或四核 ARM/MIPS 架构）且板载运行内存极度受限（通常仅有 256MB 或 512MB）。
- 如果在这种设备上强行运行 OpenClash，基于 Go 语言编译的 Mihomo 内核在加载数万条规则集与大容量 GeoIP 数据库时，内存占用会迅速飙升至 400MB 以上。一旦遇到晚高峰大并发流量，系统剩余内存耗尽，Linux 内核的 OOM Killer（内存溢出杀手）机制会瞬间被激活，强行杀死代理核心甚至直接导致路由器蓝灯闪烁变砖死机。
- PassWall 的设计哲学则是极致的“小而美与模块化解耦”。
- 它的主界面逻辑完全基于 OpenWrt 原生的 Lua 脚本编写，平时在后台几乎不驻留冗余守护进程。
- 当数据包到达路由器时，它直接利用 Linux 内核层自带的高性能 iptables 或 nftables 防火墙规则进行数据分流。
- 需要加解密时，才通过管道将流量投递给精炼的 Xray-core 或 Sing-box 原生二进制执行文件。
- 日常静默运行时，PassWall 的整体内存占用通常被死死压制在 30MB 到 50MB 之间。即便连续开机运行半年以上，内存与 CPU 负载也始终保持在平稳的水平线，因此被公认为低功耗路由器的“稳定性长跑之王”。
2. TProxy 模式相较于传统 REDIR 的物理突破
在 PassWall 的高级设置中，代理模式通常提供了 TProxy 与 REDIR 两种经典选项。
- 传统 REDIR 模式的局限。早期的路由器代理工具普遍采用 iptables 的
REDIRECT或NAT转发。这种模式只能够处理 TCP 协议流量，完全无法对 UDP 报文进行透明拦截；更为致命的是，经过 REDIR 转发的数据包，其 IP 首部中的源 IP 和目的 IP 会被强行改写，导致下游服务器无法感知客户端的真实身份，极易造成局域网多设备通信混乱。 - 现代 TProxy（透明代理）模式的物理优势。TProxy 是 Linux 内核自 2.6.37 版本起原生支持的一种高级网络特性。
- 它允许代理程序在用户态完整拦截并接管发往外部的所有 TCP 与 UDP 数据报文，而不需要对数据包的 IP 首部进行任何篡改。
- 它完整保留了局域网中各台设备的原始内网 IP 地址，使得路由器的流量统计、QoS 限速以及网络行为分析插件依然能够精准生效。
- 更重要的是，TProxy 原生完美支持对 UDP 报文的高性能重定向，彻底打通了外服网络游戏联机加速与跨国实时语音通话的顺畅通道。
二、依赖组件与安装前置准备
在正式配置 PassWall 之前，必须确保你的 OpenWrt 固件中已经完整编译或安装了运行所需的底层核心二进制组件。
许多新手从网上随意下载的精简版第三方固件，虽然菜单栏里显示有“PassWall”图标，但由于缺少核心驱动包，点击启动后往往立刻秒退报错。
+-------------------------------------------------------------------------+| PassWall 运行必备核心驱动与组件清单 |+-------------------+--------------------+--------------------------------+| 组件包名称 | 核心系统职能 | 缺失时的典型报错现象 |+-------------------+--------------------+--------------------------------+| xray-core | 核心协议加解密程序 | 无法运行 VLESS, Trojan, SS 节点 || sing-box | 新一代高性能通用核心| 无法解析新式混合协议与混淆规则 || chinadns-ng | 智能并发 DNS 防污染| 国内网站打开极其缓慢或无法解析 || iptables-mod-tproxy| 内核级 TProxy 驱动 | 启动时提示 TProxy 规则载入失败 || ipset | 高性能 IP 集合管理 | 无法载入 GFWList 与大陆白名单 || ca-certificates | 根证书信任链集合 | 无法拉取 HTTPS 机场订阅链接 || haproxy (可选) | 多节点负载均衡聚合 | 无法开启多节点并发分流与测速 |+-------------------+--------------------+--------------------------------+1. 核心依赖组件排查命令实战
通过 SSH 终端连接你的 OpenWrt 路由器（Windows 使用 PowerShell，macOS 使用 Terminal），运行以下诊断指令，快速核实核心组件是否就绪。
# SSH 连接路由器（默认 IP 通常为 192.168.1.1 或 192.168.5.1）ssh root@192.168.1.1
# 1. 检查核心协议执行程序是否存在并具备执行权限which xray sing-box chinadns-ng
# 2. 检查内核 TProxy 模块是否成功加载lsmod | grep -E "xt_TPROXY|nft_tproxy"
# 3. 检查系统根证书是否完整（用于正常解析 HTTPS 机场订阅）ls -l /etc/ssl/certs/ca-certificates.crt如果终端输出清晰展示了各组件的安装路径（例如 /usr/bin/xray），并且 lsmod 命令返回了活跃的内核模块记录，证明底层运行环境健康完备，可以放心进入图形界面开始配置。
2. 若组件缺失时的一键补全方案
如果你使用的是官方原版 OpenWrt 固件，可以通过系统自带的 opkg 软件包管理工具在线补齐核心依赖。
# 更新官方或第三方软件源索引opkg update
# 一键安装 TProxy 驱动、IPSet 模块与 HTTPS 证书支持opkg install iptables-mod-tproxy ipset ca-bundle ca-certificates
# 安装核心分流套件（根据架构自动匹配二进制文件）opkg install chinadns-ng xray-core sing-box三、节点订阅导入与自动化同步
拥有了健康的底层环境后，接下来需要将你购买的商业机场订阅配置批量导入路由器中。关于如何甄别具备晚高峰低延迟特性且不过墙的企业级专线服务商，建议提前参阅本站的 IEPL 与 IPLC 专线深度科普。
+-------------------------------------------------------------------------+| PassWall 节点订阅与自动更新流转架构 |+-------------------------------------------------------------------------+| 商业机场后台复制通用订阅 URL (支持 SSR / V2Ray / Trojan / Clash 格式) || | || v || [PassWall 节点订阅配置面板] || | || +---> 设定自定义关键字过滤规则 (排除无效公告节点)|| | || v || [点击手动同步 / Cron 周期自动更新] || | || v || 路由器后台自动发起 Base64 解码与 YAML 结构解析 || | || v || 生成结构清晰的本地节点列表库 (包含香港、日本、新加坡等独立专线节点) |+-------------------------------------------------------------------------+1. 导入机场订阅的标准操作步骤
- 打开电脑浏览器，登录 OpenWrt 路由器的 LuCI 管理后台。
- 在左侧菜单栏中展开【服务】或【网络】，点击进入【PassWall】主界面。
- 在顶部导航标签页中，点击切换到【节点订阅】选项卡。
- 点击界面下方的【添加】按钮，新建一条订阅记录。
- 备注名称。输入容易记忆的机场中文名称（例如“光速云主力专线”或“宇宙云备用专线”）。
- 订阅网址。在输入框中完整粘贴从机场后台复制好的订阅 URL。
- 支持的订阅协议。PassWall 拥有出色的协议自适应能力，能够直接解析标准的 Base64 纯节点链接、V2Ray 聚合订阅、Trojan 订阅以及大部分主流的 Clash YAML 格式订阅。
- 配置关键字过滤规则。商业机场为了向用户推送通知，往往会在订阅列表中夹杂诸如“剩余流量提示”、“到期时间提醒”或“官网防失联网址”等根本无法连接的虚假节点。为了避免这些无效节点干扰路由器的自动测速与故障轮换，必须在过滤规则中进行精准剔除。
- 在【排除关键字】字段中填入
剩余|到期|官网|提示|公告|返利|通知|重置。 - 在【包含关键字】字段中可按需填入目标区域（例如留空代表保留所有可用节点，或填入
香港|日本|新加坡|美国）。
- 在【排除关键字】字段中填入
- 点击【保存并应用】。随后点击界面上的【手动更新所有订阅】大按钮。
- 观察页面顶部的状态日志。在网络连通的情况下，系统会在 3 到 8 秒内完成数据拉取与解码，并在【节点列表】页面中生成数十个命名规整的可用节点。
2. 配置定时自动更新策略
国际互联网骨干光缆时常发生波动，优质机场的技术运维团队会动态调度入口机器并剔除被污染的出口 IP。如果长期不刷新订阅，本地保存的旧节点参数将逐渐失效。
- 在【节点订阅】页面下方，找到【自动更新】配置区域。
- 勾选开启【自动更新】开关。
- 更新周期设定。建议将更新时间指定在每天凌晨网络空闲时段（例如每天凌晨 4 点 30 分）。避免将更新间隔设置得过频（如每 10 分钟更新一次），否则频繁拉取大容量订阅不仅会浪费路由器的 CPU 算力，还极易触发机场服务端的防恶意爬虫风控导致订阅链接被临时拉黑。
- 勾选【更新前清空旧节点】。确保每次刷新时彻底删除失效的历史节点，保持路由器节点数据库的纯净高效。
四、主开关与 TCP / UDP 核心节点配置实操
成功拉取节点列表后，点击切换到 PassWall 的【基本设置】（或【主界面】）选项卡。这里是控制整台路由器网络走向的心脏中枢。
+-------------------------------------------------------------------------+| PassWall 主界面核心路由策略流转拓扑 |+-------------------------------------------------------------------------+| 局域网设备产生网络通信请求 (电脑 / 手机 / 客厅电视 / 智能家居) || | || v || [PassWall 主规则路由判定] || | || +-------------------------+-------------------------+ || | | || v (TCP 流量：网页 / 视频 / API) v (UDP 流量：网游 / 语音)| [主 TCP 节点转发] [主 UDP 节点转发] || 采用香港/日本 IEPL 低延迟专线 采用专线或独立低抖动节点|| | | || v v || TProxy 透明转发出海 TProxy UDP 隧道出海|+-------------------------------------------------------------------------+1. 主设置核心参数配置规范
在【基本设置】界面中，依次核对并配置以下关键字段。
- 主开关。勾选开启【启用】复选框。这是 PassWall 总体规则生效的总闸门。
- TCP 最大并发连接数。保持默认值
0或根据路由器 CPU 性能设置为1024。 - TCP 节点选择（主 TCP 节点）。
- 这是决定你日常刷网页、观看 YouTube 4K 视频以及调用 ChatGPT 接口的核心通道。
- 点击下拉菜单，在列表中挑选一个经过测速延迟最低、丢包率最小的主力节点（例如
🇭🇰 香港 01 [IEPL 专线]）。 - 在地理位置上，香港和日本专线距离中国大陆物理距离最近，专线往返网络延迟通常仅为 25ms 到 45ms，能够带来近乎本地直连的极速体验。
- UDP 节点选择（主 UDP 节点）。
- 该选项专门负责分流在线竞技游戏数据包、Discord 语音流以及 Telegram 实时通话。
- 下拉菜单中提供了一个极其方便的选项【与 TCP 节点相同】。对于绝大多数家庭用户，直接选择该项即可，既能节省内存开销，又能保持网络出口 IP 的高度一致。
- 如果你是一名重度外服网游联机玩家（如频繁在 PC 或 PS5 上畅玩 Apex、CS2 或 COD），且当前机场提供了专门针对游戏优化的超低抖动原生节点，你可以单选指定一个专门的【电竞低延迟 UDP 节点】。
- DNS 重定向模式。选择【使用 Dnsmasq 转发】或【重定向全部 DNS 流量到本机】。该设置能够强制劫持局域网内所有设备发往外部的 DNS 请求，彻底防范局域网智能设备私自向公网明文发起 DNS 探测。
2. 核心运行模式对比与选型决策
在【代理模式】下拉列表中，PassWall 通常会提供四种截然不同的分流策略。正确理解这四种模式，是避免国内大流量服务卡顿的关键。
+-------------------------------------------------------------------------+| PassWall 四大代理模式选型决策指南 |+-------------------+-----------------------------------------------------+| 模式名称 | 工作原理与推荐适用场景 |+-------------------+-----------------------------------------------------+| 中国列表外 (推荐) | 【强烈推荐日常使用】 || (Chnroute 白名单) | 仅国内 IP 集合直连，其余所有海外 IP 全部走代理 || | 适合外贸、跨境电商、学术科研人群，彻底避免海外漏判 |+-------------------+-----------------------------------------------------+| GFWList 黑名单 | 仅命中被封锁域名列表才走代理，其余全部国内直连 || | 极度节省机场专线流量，适合合租流量极其有限的小套餐 |+-------------------+-----------------------------------------------------+| 全局代理 (Global) | 电脑和电视的所有流量强制无条件全部推入代理节点 || | 仅用于网络深度排障，日常严禁开启，否则国内服务瘫痪 |+-------------------+-----------------------------------------------------+| 游戏模式 (Game) | 结合 TProxy 强制放行游戏专属端口并进行激进加速 || | 适合客厅主机游戏联机，需配合纯净专线节点 |+-------------------+-----------------------------------------------------+对于绝大多数现代家庭，强烈首选【中国列表外（绕过大陆 IP）】模式。
在该模式下，PassWall 会在路由器底层挂载一份庞大且每日自动更新的中国大陆自治系统 IP 地址库（Chnroute）。
- 访问百度、淘宝、微信、网易云音乐、Bilibili 等所有国内服务器时，路由器的防火墙在 0.01 毫秒内命中白名单规则，直接通过物理网卡走电信或联通宽带高速直连，既不消耗任何专线流量，又拥有极佳的国内千兆满速体验。
- 一旦访问的 IP 不在大陆列表中（包括 Google、GitHub、YouTube 以及各类境外冷门服务器），路由器会自动将其无缝打包推进加密专线出海。这种模式能够彻底解决 GFWList 黑名单更新滞后导致某些新兴海外小众网站无法打开的痛点。
五、DNS 防污染与 ChinaDNS-NG 高级调优
在全屋透明代理体系中，百分之八十的网络故障与网页长时间转圈，本质上都是 DNS 解析错误导致的。
如果 DNS 配置不当，路由器本地会遭遇严重的运营商 DNS 恶意劫持；更严重的是，如果国内域名的解析请求被错误发送到海外，CDN 会向你返回一个位于美国或欧洲的服务器 IP，导致你用国内千兆宽带访问国内网站时速度瞬间跌落至几十 KB。
PassWall 解决这一技术死穴的终极核武器，就是深度集成的 ChinaDNS-NG（下一代中国 DNS 智能分流系统）。
+-------------------------------------------------------------------------+| ChinaDNS-NG 智能双向并发比对防污染流转机制 |+-------------------------------------------------------------------------+| 局域网终端发起域名解析请求 (例如查询 www.bilibili.com 或 www.google.com) || | || v || [路由器 ChinaDNS-NG 核心分流中枢] || | || +--------------------------+--------------------------+ || | 同时向两组服务器并发发射查询数据包 | || v v || [国内纯净信赖 DNS 组] [境外抗污染远程 DNS 组]| (如 119.29.29.29, 223.5.5.5) (由代理节点加密送出)| 毫秒级返回解析 IP 结果 获得境外纯净真实 IP 结果 || | | || +--------------------------+--------------------------+ || | || v || [ChinaDNS-NG 智能结果仲裁过滤引擎] || | || +--------------------------------+--------------------------------+ || | 判定 A: 解析结果命中 Chnroute 大陆 IP 集合 | || | ---> 确认为国内合规合法站点，采纳国内 DNS 极速结果直接放行 | || +-----------------------------------------------------------------+ || | 判定 B: 国内 DNS 返回的 IP 属于虚假欺骗 IP (如 127.0.0.1) | || | ---> 智能剔除投毒结果，强行等待并采用境外远程 DNS 的真实解析结果| |+-------------------------------------------------------------------------+1. ChinaDNS-NG 核心参数标准配置
点击切换到 PassWall 的【DNS】设置标签页，按照以下规范精准配置。
- DNS 模式选择。在下拉菜单中单选选择
ChinaDNS-NG。 - 国内 DNS 服务器列表（China DNS）。
- 输入国内权威互联网大厂提供的公共纯净 DNS 地址。
- 推荐填入
223.5.5.5（阿里公共 DNS）与119.29.29.29（腾讯公共 DNSPod）。 - 该服务器专门负责以极低延迟（通常在 5ms 到 15ms 之内）秒开国内所有主流站点，并由国内 CDN 精准调度离你家物理位置最近的服务器边缘节点。
- 可信境外 DNS 服务器列表（Trust DNS）。
- 必须配置为经过代理节点进行远端加密查询的无污染 DNS。
- 推荐填入
8.8.8.8（Google DNS）或1.1.1.1（Cloudflare 纯净 DNS）。 - 在 PassWall 内部，这些境外 DNS 请求会被强制打包进你的主 TCP 节点隧道中，在海外落地机房发起递归查询，从而在物理链路层面彻底斩断国内运营商的明文 UDP 53 端口投毒审查。
- 高级分流选项微调。
- 勾选【禁用 IPv6 DNS 解析】。目前绝大部分普通家庭宽带并未配置完善的端到端原生 IPv6 代理隧道，开启 IPv6 DNS 解析极易导致客户端优先获取到没有国际路由的假 IPv6 地址，从而造成访问超时。
- 勾选【自动更新大陆 IP 列表（Chnroute）】与【自动更新 GFWList】。保持路由表的实时新鲜度。
六、访问控制、局域网 ACL 与高级分流策略
很多家庭网络环境极其复杂。
- 客厅里的 Apple TV 4K 需要全天候解锁 Netflix 与 YouTube，严禁受到任何国内直连规则干扰；
- 主卧的索尼智能电视需要稳定播放 Disney+；
- 书房的群晖 NAS 正在进行全天候的 PT 大文件挂机下载，如果其流量误入翻墙代理，一天之内就会烧干几十个吉字节的昂贵专线流量；
- 父母长辈的手机只看国内短视频，完全不需要走任何代理通道。
PassWall 拥有媲美企业级硬件防火墙的 局域网访问控制（ACL） 系统，能够完美实现上述设备间的物理级策略隔离。
+-------------------------------------------------------------------------+| PassWall 局域网访问控制 (ACL) 策略分流拓扑 |+-------------------+--------------------+--------------------------------+| 局域网终端设备 | 绑定分配内网 IP | 指定的代理工作模式 |+-------------------+--------------------+--------------------------------+| 客厅 Apple TV 4K | 192.168.1.102 | 全局代理模式 (定向专线解锁 4K) || 索尼智能电视 | 192.168.1.103 | 中国列表外 (顺畅解锁海外流媒体)|| 书房群晖 NAS 主机 | 192.168.1.200 | 【完全直接连接 Direct】杜绝跑量|| 父母日常使用手机 | 192.168.1.150 | 【完全直接连接 Direct】保障纯净|| 车主工作电脑/手机 | 动态 DHCP 分配 | 中国列表外 (智能自适应按需分流)|+-------------------+--------------------+--------------------------------+1. 访问控制规则配置实战
点击切换到 PassWall 的【访问控制】选项卡。
- 点击界面下方的【添加】按钮，新建一条专属策略规则。
- 备注名称。输入目标设备名称（例如“群晖 NAS PT 隔离”）。
- 源 IP 地址。输入该设备在局域网内的静态内网 IP 地址（例如
192.168.1.200）。- 强烈建议。在 OpenWrt 的【网络】->【DHCP/DNS】静态地址分配中，预先将需要单独控制的设备 MAC 地址与固定内网 IP 进行绑定，防止设备重启后 IP 变动导致规则失效。
- TCP 代理模式 / UDP 代理模式。
- 针对群晖 NAS 或特定下载机，单选设置为
直接连接（Direct / 不代理）。此后，哪怕该主机在后台进行高达千兆吞吐的疯狂 BT/PT 下载，所有的流量都会直接被路由器物理网卡放行直达公网，绝不会浪费哪怕一兆机场付费流量。 - 针对客厅 Apple TV 4K，单选设置为
中国列表外或指定专用的流媒体落地节点。有关 Apple TV 电视端 4K 极清观影与 Netflix 土耳其区低价合租避坑，可参阅 Netflix 土耳其区便宜订阅与合租避坑指南。
- 针对群晖 NAS 或特定下载机，单选设置为
- 保存并应用规则。多台设备的策略会即刻生效，互不干扰、井水不犯河水。
七、节点自动切换（Auto Switch）与 HAProxy 负载均衡
在实际使用过程中，再高端的商业机场，其背后的某一台单台服务器也可能因为机房突发断电、光缆割接维护或临时封锁出现几分钟的断流。
如果路由器只配置了单一的静态节点，一旦该节点断连，全家人的网络就会瞬间瘫痪，往往需要车主跑去电脑前手动切换节点，体验极差。
PassWall 提供了两套工业级的高可用冗余保障方案。
+-------------------------------------------------------------------------+| 自动故障转移 (Auto Switch) 工作机制时序图 |+-------------------------------------------------------------------------+| 主节点 (香港 01 IEPL 专线) 全天候承载日常网络数据流 || | || | 系统后台每隔 15 秒发起一次 HTTP 心跳探活 || v || [心跳健康检测判定] || | || +---------------+---------------+ || | | || [连续响应正常 200 OK] [连续 3 次探测超时无响应 (宕机)] || | | || v v || 保持当前主力节点 [触发自动化毫秒级故障转移] || | || v || 无缝切断主节点 -> 将流量秒级切换至备用节点 || (备用节点：日本 01 或 新加坡 01 专线) || | || v || 全屋设备毫秒级恢复出海，视频通话与网页几乎无感中断 |+-------------------------------------------------------------------------+1. 自动切换（Auto Switch）高可用配置流程
- 在 PassWall 顶部导航标签页中，点击进入【自动切换】配置页面。
- 勾选开启【启用自动切换】。
- 心跳检测周期与超时阈值配置。
- 检测时间间隔。建议设定为
15秒或20秒。 - 检测超时时间。设定为
3秒。 - 尝试重试次数。设定为
3次。这意味着只有当主节点连续三次在 3 秒内无法连接目标探活网址时，系统才会最终裁定该节点真实宕机，从而有效避免因公网偶发微小抖动导致的频繁神经质乱切。
- 检测时间间隔。建议设定为
- 探活目标 URL 选型。在【检测网址】中填入
https://www.google.com/generate_204或 Cloudflare 纯净探活地址。这类接口只返回极小的 204 状态码，不传输任何页面数据，几乎不消耗任何网络流量。 - 构建故障轮换节点梯队。
- 在【备选节点列表】中，依次勾选 3 到 5 个来自不同机房的优质专线节点。
- 第一顺位指定为
🇭🇰 香港 01 [IEPL 专线]（主力首选，超低延迟） - 第二顺位指定为
🇯🇵 日本 01 [IEPL 专线]（第一灾备） - 第三顺位指定为
🇸🇬 新加坡 01 [IEPL 专线]（第二灾备） - 勾选【主节点恢复后自动切回】。当运营商机房光缆抢修完毕、香港主节点重新恢复连通时，PassWall 会在静默中将流量自动切换回第一顺位的低延迟节点，完成高可用闭环。
2. HAProxy 多节点负载均衡进阶玩法
除了主备容灾，如果你购买的机场套餐包含充沛的多入口节点，或者你在路由器中同时订阅了两家不同的服务商，你还可以利用集成在 PassWall 中的 HAProxy 组件搭建多节点负载均衡集群。
- 多节点带宽并发聚合。HAProxy 能够在本机开启一个虚拟的本地均衡端口（例如
11181），并将进入的数据流按照权重比（Weight）以轮询（Round Robin）或最少连接数方式，均匀分摊给香港 01、香港 02、香港 03 三台不同的服务器。 - 在多线程并发下载大文件或全家多台设备同时观看不同 4K 影片时，负载均衡能够充分发挥各条专线的上行下行信道带宽，避免单台服务器过载。关于全屋多客户端与网络工具链的综合选型，可查阅本站的 科学上网客户端工具导航中心。
八、站内全景四层主题索引与关联专题深度导航
本教程是整个网站路由器技术与家庭局域网全局代理知识库中的核心支柱。为了帮助读者在不同硬件架构、协议原理与实操场景间建立清晰立体的知识脉络，特此整理全景四层站内导航对照表。
+-------------------------------------------------------------------------+| 路由器与全屋网络知识库四层立体关联架构 |+-------------------------------------------------------------------------+| 第一层：专线基础设施与协议基石 (Protocols & Infrastructure) || 搞懂 IEPL/IPLC 物理光缆拓扑、SOCKS5 会话层本质与抗丢包协议选型 |+-------------------------------------------------------------------------+ | v+-------------------------------------------------------------------------+| 第二层：全屋硬件拓扑与主路由/旁路由网关 (Hardware & Gateways) || 掌握 X86/ARM 工控机选型、经典旁网关网络拓扑与 OpenClash/PassWall 双雄对比|+-------------------------------------------------------------------------+ | v+-------------------------------------------------------------------------+| 第三层：单机桌面端与移动端辅助工具链 (Clients & Apps) || 掌握 PC 端 Clash Verge Rev、iOS 小火箭正版部署与美区 Apple ID 资产管理 |+-------------------------------------------------------------------------+ | v+-------------------------------------------------------------------------+| 第四层：高品质专线服务与全球流媒体落地 (Airports & Streaming) || 挑选经过晚高峰严苛压测的主备专线机场，畅享 Netflix 4K 极清家庭影院 |+-------------------------------------------------------------------------+全景四层站内主题深度关联对照表
| 层级归属 | 主题核心定位 | 核心推荐指南 | 核心解决的技术痛点与业务场景 |
|---|---|---|---|
| 第一层 协议基石 | 物理链路与内网专线 | IEPL、IPLC 专线与普通公网中继深度拆解 | 搞懂专线物理内网拓扑，看清晚高峰 0 丢包背后的带宽采购成本，掌握不同协议与线路的黄金搭配法则 |
| 第一层 协议基石 | 会话层轻量分流实操 | SOCKS5 代理配置与客户端分流入门指南 | 搞懂 SOCKS5 会话层本质、本地端口监听映射、浏览器/Telegram/Git 独立分流与 DNS 防泄漏 |
| 第二层 路由器网关 | 全屋软路由与旁路网关 | 2026年软路由全屋翻墙指南 OpenWrt安装与旁路由 | 宏观掌握 X86 硬件选型、单网口/双网口旁路由拓扑搭建、OpenClash 与 SmartDNS 深度调优 |
| 第二层 路由器网关 | 轻量路由套件本篇 | OpenWrt PassWall 使用教程与分流规则完整指南 | 本篇指南。针对低功耗硬路由与老旧盒子，手把手掌握 TProxy 模式、ChinaDNS-NG 防污染与自动切换 |
| 第二层 路由器网关 | Clash 规则集与精细控制 | Clash 进阶分流规则配置与 Rule-Providers 教程 | 掌握动态规则集代码编写技巧，深入实现 OpenAI 独立隔离、国内千兆直连与去广告策略 |
| 第三层 单机客户端 | 桌面主力跨平台客户端 | Windows/Linux/Mac 安装 Clash Verge 保姆级教程 | 掌握基于 Tauri 架构的极轻桌面客户端部署，学会一键导入订阅与排查 TUN 虚拟网卡底层报错 |
| 第三层 单机客户端 | 苹果移动端主流工具 | Shadowrocket 小火箭下载安装与节点订阅实操 | 搞定苹果端正版小火箭部署，配置策略组让手机与 iPad 在外出通勤时无感畅看海外流媒体 |
| 第三层 账号资产 | 美区 Apple ID 获取 | 2026 最新免费美区 Apple ID 共享账号与防锁指南 | 彻底规避手机登录 iCloud 导致锁机的重大风险，学会安全退出与在 App Store 下载外区正版代理工具 |
| 第四层 线路基石 | 优质专线机场综合选型 | 2026年翻墙机场推荐 便宜好用 VPN 机场深度评测 | 19 家一线主流专线机场晚高峰丢包与带宽实测天梯，掌握多机房主备双活架构与防跑路挑选原则 |
| 第四层 线路基石 | 免费节点风险深度起底 | 免费机场订阅链接与节点风险深度剖析 | 揭开公开抓取池与蜜罐节点的真实危害，学会客户端清洗规则与采用月付小额低成本专线建立安全护城河 |
| 第四层 视听落地 | 流媒体低价合租实战 | 2026年Netflix 土耳其区便宜订阅攻略 | 掌握 TRY 礼品卡充值、高级 4K 套餐成本拆解、30 天地区锁避坑与客厅大屏极清影音环境调校 |
九、常见实操故障排查与急救手册
在实际配置与长期运行 PassWall 的过程中，网络环境千变万化，难免会遭遇某些意外的断网报错。
针对全网路由器用户反馈最为集中的 10 大典型实操故障，特此提供逐一对应的急救处方。
+-------------------------------------------------------------------------+| PassWall 故障极速排查急救决策树 |+-------------------------------------------------------------------------+| 故障现象：局域网设备无法打开网页或连通异常 || | || +---> 第一步：国内网页打得开，但国外 Google 打不开？ || | [是] -> 检查主界面节点连通性，或更换当前失效的 TCP 节点 || | [否] -> 进入第二步 || | || +---> 第二步：所有网页全部打不开，QQ/微信等纯 IP 软件能收发文字？ || | [是] -> DNS 解析彻底瘫痪！排查 ChinaDNS-NG 上游 DNS 配置 || | [否] -> 进入第三步 || | || +---> 第三步：点击保存后 PassWall 状态指示灯依然显示红色的【未运行】？|| | [是] -> 缺少 xray-core/tproxy 核心依赖，或端口被占用导致启动失败|| | [否] -> 进入第四步 || | || +---> 第四步：节点有延迟但提示连接超时？ || [是] -> 路由器系统时间与国际标准时间偏差过大，同步 NTP 时间 |+-------------------------------------------------------------------------+故障 1. 规则保存后 PassWall 主运行状态始终显示红色的【未运行】
故障诱因。系统中缺少执行核心（如 Xray 或 Sing-box），或者防火墙默认缺少 TProxy 内核驱动导致加载脚本异常退出。
急救处方。
- 打开 OpenWrt 后台的【系统】->【系统日志】（System Log）；
- 查看末尾包含
passwall的红色报错行； - 若提示
Can't find xray-core，按照本文第二章的指令执行opkg install xray-core进行补全； - 检查路由器防火墙设置，确保转发策略均已设置为允许（ACCEPT）。
故障 2. 国内微信和 QQ 能正常收发消息，但所有浏览器网页均显示无法解析
故障诱因。DNS 递归查询死循环，或者本地 Dnsmasq 与 ChinaDNS-NG 之间的端口转发发生断链。
急救处方。
- 进入 PassWall 的【DNS】设置页面；
- 检查国内 DNS 是否被错误填写成了带有环回特征的
127.0.0.1，将其修正为真实的公网 DNS（例如223.5.5.5）； - 登录 SSH 终端，执行
/etc/init.d/dnsmasq restart与/etc/init.d/passwall restart重启 DNS 路由链条。
故障 3. 节点列表真连接延迟显示为绿色，但打开国外网站依然白屏超时
故障诱因。路由器本地系统时钟发生严重偏移。现代加密代理协议（如 VLESS、VMess 与 Trojan）在建立 TLS 握手时强制校验客户端与服务端的 Unix 时间戳，只要误差超过 90 秒，服务器会无情丢弃所有握手包。
急救处方。
- 进入 OpenWrt 后台的【系统】->【系统属性】；
- 检查【本地时间】一栏；
- 如果年份显示为 1970 年或时间相差数小时，点击【同步浏览器时间】按钮；
- 在【时间同步（NTP）】中加入国内 NTP 服务器地址
ntp.aliyun.com并保存，保证路由器开机自动对齐原子钟时间。
故障 4. 导入机场订阅时提示拉取失败或返回 HTTP 400/403 错误
故障诱因。订阅服务器开启了严格的客户端识别拦截，或者路由器无法通过纯物理直连访问该订阅域名。
急救处方。
- 在【节点订阅】高级设置中，将【User-Agent】修改为模拟的主流客户端标头，例如
ClashMeta或v2rayN； - 如果订阅域名被本地运营商临时阻断，先在手机上利用可用网络下载订阅的 YAML/Base64 纯文本，通过手动粘贴配置导入应急节点，待连上代理后再更新全量订阅。
故障 5. 电脑访问国内大型网站（如淘宝或京东）时频繁弹出滑块验证码
故障诱因。代理模式误设为了【全局代理】，或者本地的 Chnroute 大陆 IP 列表长期未更新导致国内部分新增的大厂机房 IP 被误判定为境外流量，从而错误地送入了境外代理出口。
急救处方。
- 确认代理模式已经严格切换为【中国列表外】；
- 在【规则更新】页面中，点击【立即更新大陆 IP 规则列表】；
- 清除本地电脑的浏览器缓存后重新尝试。
故障 6. 开启 PassWall 后局域网所有设备彻底断网连内网后台都进不去
故障诱因。防火墙自定义规则与第三方去广告插件（如 AdGuard Home）发生了端口冲突，导致流量死循环堵死物理网卡。
急救处方。
- 拔掉路由器的外网 WAN 口网线；
- 将电脑有线网卡配置为静态 IP（例如
192.168.1.188）直连路由器 LAN 口； - 尝试通过浏览器访问管理后台；若依然进不去，通过 SSH 终端登录路由器，运行
/etc/init.d/passwall stop强制挂起代理服务，排查冲突后重新调试。
故障 7. 在线竞技网游（如 CS2 或 Apex）进入大厅正常但一进对局就断连
故障诱因。UDP 代理节点未开启，或者所选的机场专线节点在机房端封死了 UDP 端口转发。
急救处方。
- 在主界面将 UDP 节点单独切换为另一个明确标注了支持 UDP 转发的节点；
- 检查【基本设置】中是否开启了 TProxy 模式；
- 在访问控制中为你的游戏主机（PC 或 PS5）单独配置直连或专属游戏策略组。
故障 8. 路由器开机运行数天后内存逐渐吃满并频繁死机
故障诱因。开启了过频的节点自动切换检测，或者在后台勾选了【调试日志记录（Debug Log）】，海量日志写入内存闪存导致系统崩溃。
急救处方。
- 进入【基本设置】，将日志输出等级调低为【警告（Warning）】或【错误（Error）】；
- 在【自动切换】中将检测时间间隔放大至
20秒以上； - 在【高级设置】中关闭无意义的实时连接监控。
故障 9. 客厅智能电视播放海外流媒体时提示“您正在使用代理工具”
故障诱因。当前节点的出口 IP 属于普通商业机房广播 IP，已被流媒体平台列入黑名单。
急救处方。
- 在节点列表中切换到带有“原生”或“住宅 ISP”标识的解锁节点；
- 如果使用的是 Android 电视盒子，核实是否拦截了电视固件中写死的 Google DNS（
8.8.8.8），必要时参考前文配置 iptables DNS 重定向。
故障 10. 手机连接 Wi-Fi 后提示“已连接但无法访问互联网”
故障诱因。手机端开启了“专用无线局域网地址（随机 MAC）”或启用了本地安全 DNS，导致无法正常获取路由器的 DHCP 分流策略。
急救处方。
- 在手机 Wi-Fi 设置中，点击当前家庭网络旁边的感叹号，将【专用无线局域网地址】切换为关闭（使用设备真实 MAC）；
- 关闭手机自带的第三方网络安全软件，刷新网络连接即可正常获得路由器的全局加速。
十、深度解答与常见疑问 FAQ
Q1. PassWall 和 OpenClash 到底该怎么选？什么情况下换回 OpenClash？
核心依据是硬件性能瓶颈与分流定制需求。
如果你的路由器硬件属于以下情况，请毫不犹豫选择 PassWall。
- 联发科 MT7621、MT7981、MT7986 架构的硬路由（如红米 AX6000、红米 AX6、小娱路由器等）；
- 运行内存小于或等于 512MB 的设备；
- 追求极致稳定开机几个月不宕机、不折腾复杂 YAML 规则集的用户。
如果你的路由器硬件是 Intel N100、J4125、5105 等高性能 X86 迷你工控机，且内存高达 8GB 甚至 16GB，同时你重度依赖基于域名的复杂策略组嵌套、Rule-Providers 动态脚本分流与 Fake-IP 零等待解析体验，那么功能更加华丽的 OpenClash 会提供更多的玩法空间。
Q2. 可以在 PassWall 中同时使用两家不同机场的订阅吗？
可以完美支持。
PassWall 的订阅系统是完全独立的。你可以在【节点订阅】页面中依次添加服务商 A（例如专线主力机场）与服务商 B（例如大流量备用机场）。
- 系统会分别解析并在节点列表中清晰分组展示；
- 你可以指定将服务商 A 的香港节点作为主 TCP 节点，同时将服务商 B 的节点作为自动切换的备用节点；
- 甚至可以利用 HAProxy 将两家不同机场的节点组合进同一个负载均衡池中，实现真正的跨服务商容灾互备。
Q3. 为什么有人说开启 PassWall 后，百度网盘或迅雷下载速度会变慢？
这通常是因为下载软件的并发请求命中策略有误。
像百度网盘、迅雷以及各类 P2P 下载软件，在拉取资源时会在短时间内向海量的境内外 IP 建立数千条 TCP/UDP 连接。如果在 PassWall 的访问控制中未对下载机做隔离，路由器需要对这数千条连接逐一进行防火墙规则匹配与 NAT 表维护，这对于路由器的弱性能 CPU 是极大的开销。解决办法是按照前文第六章的指引，在【访问控制】中将下载专用的电脑或 NAS 设备设置为【直接连接】，彻底解放路由器算力。
Q4. PassWall 节点的延迟测速结果，为什么和电脑客户端里测出来的不一致？
测速机制与网络发起路径截然不同。
- 在电脑客户端（如 Clash Verge）中点击测速时，测试流量是从你的个人电脑网卡发起，经过本地客户端套接字，再到远程服务器进行握手。
- 在 PassWall 路由器中点击测速时，测试流量是由路由器内部直接向远端发起探测。
- 此外，测试分为 Ping 延迟（基于 ICMP 协议） 与 Http 实际握手延迟（基于 HTTP 204 状态码）。ICMP 延迟仅能代表物理光缆的理论往返耗时，并不代表节点真实可用；建议在 PassWall 设置中优先开启【TCP Ping】或【Google 204 真实连通性测试】，其结果才具有真正的实战参考价值。
Q5. 什么是 ChinaDNS-NG 的 gfwlist 模式和 chnroute 模式？有什么区别？
这两者代表了反向过滤的基准锚点。
- chnroute 模式（推荐）。以中国大陆的所有公网 IP 集合为基准。只要解析出来的 IP 属于中国大陆，就采纳国内 DNS 的结果；其余所有不属于大陆的 IP，强行使用境外抗污染 DNS 的结果。这种模式容错率极高，几乎不会漏掉任何境外小众网站。
- gfwlist 模式。以一份开源维护的被阻断域名黑名单为基准。只有名单中明确记录的域名才走境外解析，其余默认走国内。该模式的缺点是如果某个小众技术网站刚刚被防火墙封锁，但黑名单尚未及时收录更新，该网站就会在本地彻底瘫痪打不开。
Q6. PassWall 开启后，家里老人的手机微信视频通话卡顿怎么办？
微信视频通话底层采用的是腾讯的动态 UDP 传输协议。
如果在 PassWall 中将模式误设为了全局，或者 UDP 节点配置为了晚高峰丢包严重的劣质线路，微信视频就会频繁出现马赛克甚至掉线。解决办法包含两点。第一，确保主运行模式严格设置为【中国列表外】，腾讯的国内服务器 IP 绝不会走代理；第二，在【访问控制】中单独将老人手机的内网 IP 勾选为【直接连接】，让其网络行为完全保持纯净的国内原生宽带状态。
Q7. 频繁自动更新订阅，会导致机场账号被服务商封禁吗？
如果更新间隔设置得极不合理，确实存在被风控封禁的风险。
部分初学者为了追求所谓的实时最新，将订阅更新脚本设置为每 5 分钟拉取一次。商业机场的订阅分发服务器为了防御分布式拒绝服务攻击（DDoS），对单个用户 Token 往往设有每小时或每日请求频次上限。如果你在一天内发起了数百次自动请求，机场的反爬虫网关会判定为恶意脚本抓取，从而自动冻结该订阅地址。标准做法是保持每 12 小时更新一次，或者固定在每天凌晨 4 点静默更新一次即可。
结语 打造轻量、稳定且永不宕机的家庭网络中枢
在浩瀚的网络软硬件世界中，没有绝对完美的万能工具，只有在特定硬件约束下做出的最优雅工程权衡。
PassWall 的长盛不衰，正是在于它对系统底层资源的极度克制与敬畏。它剥离了所有浮夸的花哨功能，专注于将网络分流、协议解密与 DNS 过滤做到极致的稳定与轻快。
通过精选高品质的企业级专线订阅作为出海护甲，通过 TProxy 透明代理实现 TCP 与 UDP 的全协议原生兼容，再通过 ChinaDNS-NG 筑牢防污染的安全堤坝，并在局域网内部署精细化的访问控制，我们得以在哪怕最廉价的路由器硬件上，构建出一套全天候平稳运行、全家人无感出海的现代化家庭网络中枢。
理性驾驭网络工具，告别频繁死机与断网的焦虑，愿每一个家庭网络节点，都能成为你探索广阔数字世界的坚实桥头堡。