高墙之外❤️

PassWall2 国内 App 无法联网怎么办？

更新于 2026-11-01 · passwall.lol

简答：PassWall2 不是手机 App，而是运行在 OpenWrt 路由器上的 LuCI 网络代理管理插件。国内 App 无法联网时，先把手机切换到蜂窝网络或另一 Wi-Fi：如果立即恢复，优先检查当前路由器的网关、DNS、分流规则和访问控制；如果只有一个 App 失败，再检查该 App 的域名解析、IPv6 和自身网络设置。最快的验证方法是临时将该设备切换为全局代理测试，若全局可用，通常说明原来的国内直连规则或 DNS 分流需要核对。

定义：PassWall2 是运行在 OpenWrt 路由器上的 LuCI 网络代理管理插件，不是安装在 Android 或 iOS 手机上的独立 App；项目说明和安装包应以其公开仓库及当前固件环境为准。

先试这一步：用现象把问题分成三类

本文是第三方使用指南，不代表 PassWall2 或任何相关项目的官方页面。PassWall2 的官方公开仓库将其定义为 OpenWrt 的 LuCI 应用，具体菜单名称、内核选项和安装包格式可能随固件、插件及核心版本变化，遇到界面不一致时应以当前页面和项目说明为准。查看 PassWall2 公开仓库。

先按现象选择排查路径
现象优先检查快速对照
所有国内 App 都不能联网手机网关、DNS、路由器 LAN、访问控制打开手机浏览器访问普通网页，再切换蜂窝网络
只有一个 App 失败该 App 域名解析、IPv6、缓存、App 自身代理设置同一 Wi-Fi 下测试浏览器和另一个 App
网页正常，但多个 App 失败分流规则、DNS 模式、Fake-IP/Redir-Host、UDP 或 IPv6临时切换全局代理，再恢复分流对比
所有设备都不能联网节点、核心、路由器 WAN、默认路由和防火墙先停用 PassWall2 测试原始网络是否恢复

最快验证：在 PassWall2 当前运行页面中记录原模式和节点，然后仅对一台测试设备临时切换到全局代理或全局代理节点；如果该设备的国内 App 恢复，说明手机本身和基础 Wi-Fi 大概率正常，应回到分流、DNS 或规则命中检查，而不是马上重装插件。

按顺序检查手机网关、DNS 与旁路由关系

  1. 确认手机连接的是预期的 Wi-Fi。手机 Wi-Fi 详情中查看 IP 地址、路由器或网关、DNS。主路由模式下，网关通常应指向承担 DHCP 和转发功能的路由器；旁路由模式下，网关是否指向旁路由取决于你的组网方案，不能只凭“能打开路由器后台”判断流量是否经过 PassWall2。
  2. 检查 DHCP 是否发出了正确参数。在 OpenWrt 中，DHCP/DNS 服务由 dnsmasq、odhcpd 等组件承担；官方文档说明，dnsmasq 可向客户端提供 DNS 服务，DHCP 也可下发默认网关和 DNS 参数。查看 OpenWrt DHCP 与 DNS 配置说明。如果手机仍保留旧租约，关闭再开启 Wi-Fi，或在系统中“忘记此网络”后重新连接。
  3. 排除访问控制匹配失效。如果 PassWall2 按设备 IP 或 MAC 分流，手机开启随机 MAC、重新连接 Wi-Fi 或更换 DHCP 地址后，可能不再匹配原来的设备条目。临时关闭该设备的专属规则，或改用当前实际 IP/MAC 做一次对照。
  4. 旁路由不要重复发 DHCP。如果主路由和旁路由同时给同一局域网发 DHCP，手机可能随机拿到不同的网关和 DNS。保留一个明确的 DHCP 服务端，重新获取租约后再测。

可观察结果是：手机显示的网关、DNS 与实际承担转发的设备一致；在路由器后台能看到该手机的在线地址；切换 Wi-Fi 后不会反复得到不同网段或不同网关。OpenWrt 的网络、路由和网关基础概念可参考其用户指南。查看 OpenWrt 用户指南。

检查 PassWall2 的直连、分流和全局模式

进入路由器 LuCI 后，打开 PassWall2 的主设置或运行状态页面，先记录当前“运行状态、代理模式、默认节点、访问控制”和 DNS 相关选项。不同构建的菜单名称可能不同，以下按功能寻找，不把某个版本的固定菜单路径当成所有版本都适用。

  1. 先确认核心正在运行。检查当前使用的 Xray、sing-box 或其他核心是否显示运行，节点是否已选中，日志中是否出现启动失败、配置解析失败或端口占用。PassWall2 公开仓库的发行页会列出相应版本及其打包内容，但不能据此推断你的固件已经安装了相同版本。查看公开发行页。
  2. 临时做全局对照。仅给一台测试设备使用全局代理，测试同一个国内 App。若恢复，优先回查国内域名、国内 IP 或默认直连规则是否被错误代理、规则顺序是否被更高优先级规则覆盖。
  3. 恢复分流并核对默认行为。把模式恢复为分流后，检查“国内直连、国外代理、默认代理/默认直连”这类选项。不要只看界面上的模式名称，要确认该设备实际命中了哪一类规则。若有自定义域名、IP 或规则集，先停用自定义项，用默认规则做基线。
  4. 只修改一个变量。不要同时更换节点、DNS、Fake-IP、IPv6 和规则集，否则无法判断哪一步产生了变化。每次修改后关闭并重新打开 App，记录时间、网络、模式和结果。

“直连”表示流量不经代理节点，“分流”表示按规则选择直连或代理，“全局”表示将更多流量交给代理路径。三者不是网络质量的保证，而是流量处理方式；国内 App 在分流模式下失败，并不自动说明节点不可用。

DNS、Fake-IP、IPv6 与 App 失败的分流排查

  1. 先看 DNS 是否能解析目标域名。在路由器 SSH 中使用当前系统已有的解析工具，或在手机浏览器访问该 App 的公开网页域名做对照。命令名称和参数以设备中实际安装的工具帮助为准，不要假设所有固件都预装 dig 或 nslookup。若域名解析为空、解析到不可达地址或每次结果异常变化，优先检查 PassWall2 的 DNS 上游、分流 DNS 和缓存。
  2. 区分 Fake-IP 与 Redir-Host。Fake-IP 通常会把域名映射到一组虚拟地址，再由代理组件根据域名处理；Redir-Host 更接近返回实际解析地址。常见教程把 Fake-IP 与 FakeDNS 联系起来，但这只是常见配置中的对应关系，不代表不同 PassWall2 内核、核心或版本中功能完全等价。若某个 App 在 Fake-IP 下失败，记录原设置后切换到 Redir-Host 或当前版本提供的等价回退选项进行对照。
  3. 临时关闭 IPv6 做单变量测试。如果手机优先使用 IPv6，而分流规则、DNS 或代理路径只处理 IPv4，可能出现浏览器看似正常、某个 App 超时的情况。先记录原 IPv6 设置，再仅对测试设备或局域网临时关闭 IPv6 进行比较；恢复网络后再决定是否调整 IPv6 规则，不要长期无记录地修改全局设置。
  4. 检查 App 自身设置。确认 App 内没有单独设置代理、私有 DNS、网络加速或 VPN；清理 App 的连接状态后重新打开。银行、办公和媒体类 App 可能使用多个域名、证书校验或 UDP 请求，单凭一个网页能打开不能证明 App 的全部请求都正常。

如果切换手机热点后 App 正常，而回到当前 Wi-Fi 失败，优先检查路由器的 DNS、规则和访问控制；如果热点和 Wi-Fi 都失败，优先检查 App 本身、账号状态或设备系统网络设置，PassWall2 不一定是根因。

从日志判断是 DNS、路由、TLS 还是节点问题

在 PassWall2 的日志页面，或对应核心的运行日志中，先设置较短的复现窗口：清空或记录当前日志，打开一次失败的 App，等待失败后立即停止查看。不要把整段日志直接当作结论，重点记录错误类型、域名、目标地址、使用的节点和时间。

常见日志线索与下一步
线索可能方向下一步
resolve、DNS、no such host域名解析或 DNS 分流检查 DNS 上游、缓存、分流 DNS 和 Fake-IP/Redir-Host 对照
timeout、i/o timeout、connection refused路由、端口、节点或目标不可达用同一节点测试其他域名，并查看设备是否实际经过路由器
TLS、handshake、certificateSNI、系统时间、证书链或中间设备干扰检查设备时间、节点参数和核心日志，不要盲目关闭证书校验
rule、match、direct、proxy规则命中与预期不一致记录域名和命中规则，检查自定义规则顺序及默认规则

OpenWrt 22.03 及以后默认使用 firewall4 和 nftables；如果你在旧教程中看到只针对 iptables 的命令，不能直接假设它适用于当前系统。查看 OpenWrt firewall4 配置说明。排查时优先使用当前固件 LuCI 页面、PassWall2 日志和核心日志，不要为了“放行”而复制来源不明的防火墙规则。

恢复网络与回滚：避免越改越乱

  1. 保存当前 PassWall2 配置、节点订阅信息和 OpenWrt 网络配置，至少记录修改前的模式、DNS、IPv6、访问控制和默认节点。
  2. 先停用自定义规则、设备专属规则和额外 DNS，回到默认分流或明确的直连基线，测试手机和另一台设备。
  3. 如果停用 PassWall2 后网络恢复，说明问题集中在插件配置、核心、规则或 DNS 路径；逐项恢复，每次只恢复一项。
  4. 如果停用后仍无网络，检查 WAN、默认路由、DHCP、网关和防火墙，不要继续反复更换节点。
  5. 只有确认配置备份可用后，才考虑重置 PassWall2 配置或重新安装。PassWall2 安装包格式、架构和依赖应以当前固件及公开发行页为准，不要把某篇教程里的固定包名或命令视为所有系统通用。

回滚完成的判断标准是：手机重新获得稳定网关和 DNS；普通网页可打开；目标 App 在直连或分流下表现与修改前一致；日志不再出现同一类 DNS、路由或核心启动错误。

常见问题

PassWall2 是不是要安装在手机上？

不是。PassWall2 是 OpenWrt 路由器上的 LuCI 网络代理管理插件，手机通常通过 Wi-Fi 使用路由器提供的网关、DNS 和转发服务。手机端主要检查 Wi-Fi 网关、DNS、随机 MAC、IPv6 和 App 自身网络设置。

为什么网页能打开，但国内 App 仍然无法联网？

网页和 App 可能使用不同域名、IPv4/IPv6、UDP、证书校验或后台连接。先让同一台设备临时使用全局代理做对照；如果恢复，再回到分流规则、DNS、Fake-IP/Redir-Host 和 IPv6 逐项检查。

PassWall2 设置国内不走代理后，App 反而打不开怎么办？

先恢复修改前的配置，再检查该 App 使用的域名是否被规则误判为直连、DNS 是否返回不可达地址，以及是否存在 IPv6 优先连接。不要一次同时更换规则、DNS 和节点，应每次只改一个变量。

旁路由模式下手机能打开路由器后台，但 App 不能联网，说明流量经过旁路由了吗？

不能这样判断。能打开后台只说明局域网访问可达，还需要查看手机实际网关、DNS、DHCP 租约和旁路由是否承担默认路由。若手机网关仍是主路由，PassWall2 可能没有接管该设备的外网流量。

日志里没有明显错误，下一步怎么办？

缩短复现过程：记录日志起点，打开一次失败 App，等待失败后立即查看；同时记录测试设备 IP、当前模式、DNS、节点和时间。如果仍没有请求记录，优先检查设备是否经过该路由器、访问控制是否匹配，以及 App 是否使用了未被当前日志捕获的连接方式。

相关阅读

参考资料

  1. PassWall2 公开仓库：项目定位与安装说明
  2. PassWall2 公开发行页：版本与打包内容
  3. OpenWrt 官方文档：DHCP 与 DNS 配置（openwrt.org）
  4. OpenWrt 官方用户指南：网络、路由与网关基础（openwrt.org）
  5. OpenWrt 官方文档：firewall4 与 nftables 配置（openwrt.org）