PassWall2 访问局域网设备失败怎么办？

更新于 2026-11-09 · passwall.lol

简答：PassWall2 开启后访问不了局域网设备，第一步应在“出问题的客户端”上测试路由器 IP、设备 IP 和实际服务端口；不要只在路由器 SSH 中 ping。若客户端 IP 可达但端口失败，查服务、防火墙或隔离；若 IP 和端口正常、主机名失败，查 DNS 或 mDNS；只有确认客户端路径正常后，再检查 PassWall2 的直连规则、访问控制和 Fake-IP。

定义：PassWall2 局域网访问失败，是指代理接管或分流生效后，客户端无法通过设备 IP、端口或局域网名称访问路由器、NAS、摄像头、打印机等内网服务。

先试这一步：客户端侧与路由器侧分开测试

本文是第三方使用指南，不代表 PassWall2 或 OpenWrt 官方页面。PassWall2 的菜单名称会随 LuCI、OpenWrt、插件和内核版本变化；本文只使用可核对的网络层概念，具体字段请以当前界面为准。PassWall2 项目仓库将其定位为用于 OpenWrt 的 LuCI 网络代理、流量管理和访问控制应用，并列出透明代理、DNS 控制和按设备访问控制等功能，可参考 PassWall2 项目仓库。

最小结论框：客户端 IP 不通，先查网络路径；客户端 IP 通、端口不通，查服务或防火墙；IP 和端口都通、名称不通，查 DNS 或 mDNS；只有客户端侧基础访问正常而开启 PassWall2 后改变，才进入规则、访问控制和 DNS 接管排查。

第一层：记录修改前的网络路径，再确认是否为局域网隔离

1. 先记录现状。在故障客户端记录 IP 地址、子网掩码、默认网关和 DNS；在 OpenWrt 中记录 LAN、WAN、VLAN 接口归属、DHCP 来源和当前防火墙区域。不要在旁路由场景中直接改网关或 DNS 后再猜测原配置。
2. 确认客户端连接的网络。普通 LAN、访客 Wi-Fi、企业 VLAN 和无线客户端隔离的访问范围不同。若关闭 PassWall2 后仍无法访问路由器或设备，优先处理网络隔离，而不是修改代理规则。
3. 确认地址没有变化。通过 DHCP 租约或设备自身界面核对 NAS、摄像头和打印机的当前 IPv4。不要直接沿用旧地址测试。
4. 旁路由只做单设备对照。如果 PassWall2 运行在旁路由上，先记录测试设备原来的网关、DNS、接口和 DHCP 来源，再只让一台设备使用旁路由。测试失败时可按记录恢复，不要同时切换全网。

OpenWrt 的防火墙会按接口和区域决定转发路径；相关配置应以当前接口和防火墙页面为准，可参考 OpenWrt 防火墙与网络接口说明。如果路由器 IP 在客户端侧都不可达，PassWall2 规则不是第一优先级。

第二层：确认目标服务端口，不要把 ping 当成业务验证

ping 使用 ICMP，只能观察是否收到 ICMP 回应。很多设备会禁用 ICMP，或者设备在线但目标服务没有监听，所以必须根据实际服务补做端口测试。

• 网页管理页：在 Windows 使用 curl.exe -I --connect-timeout 3 http://192.168.1.50:8080；如果是 HTTPS，可改为实际的 https:// 地址，但证书错误、重定向或认证页面都会影响响应结果。
• Windows 客户端：使用 Test-NetConnection 192.168.1.50 -Port 8080，重点看 TcpTestSucceeded。它只测试 TCP 建连，不证明应用层可登录。
• macOS 或 Linux 客户端：可使用 nc -vz -w 3 192.168.1.50 8080；系统未安装 nc 时，改用系统自带网络工具或直接在应用中测试。
• OpenWrt 路由器侧：若存在 BusyBox 的 nc，可执行 nc -zvw 3 192.168.1.50 8080；不同构建的参数可能不同，先执行 nc --help 核对。PassWall2 项目仓库列出了 curl、tcping 等可能的依赖，但实际是否安装仍需以当前固件为准。

如果客户端端口测试失败、路由器侧端口测试成功，重点查客户端防火墙、浏览器代理、无线隔离或客户端所在 VLAN；如果两侧都失败，再查设备服务、路由器防火墙、接口区域和设备自身防火墙。

第三层：检查 PassWall2 的直连规则与访问控制

当 PassWall2 关闭时客户端可以访问局域网，开启后才失败，才有理由检查代理接管。PassWall2 项目代码和仓库说明显示，项目包含访问控制、规则管理、DNS 控制和透明代理等功能；但不同版本的菜单名、规则集和字段可能不同，不能把某篇教程中的固定名称当作所有版本都存在。

1. 先备份或记录当前 PassWall2 配置，尤其是默认代理、访问控制、DNS、透明代理和新增规则。
2. 暂时关闭测试设备的特殊访问控制，保存并应用后，只测试路由器 IP、设备 IP 和实际服务端口。
3. 在规则或分流页面寻找含义相近的 LAN、Private、RFC1918、Local、直连或不代理项。若没有名为 private-direct 的条目，不要直接创建未知字段；应按当前版本支持的规则格式配置。
4. 确认局域网地址的直连规则优先级高于默认代理规则，并且测试设备没有被按 IP、MAC、接口或设备组分配到另一条代理策略。
5. 每次只改一个变量。若关闭访问控制后恢复，先重新建立一条最小测试规则，不要一次性恢复整套旧规则。

仓库讨论中曾出现按局域网 IP 或 MAC 为设备指定直连路径的历史问答，但该讨论发表于 2023 年 8 月，不能证明当前版本菜单或行为完全相同；当前版本状态需核实，可将其仅作为排查思路参考：PassWall2 局域网 IP 或 MAC 设备直连讨论。

第四层：区分 DNS、Fake-IP、mDNS 和 DNS 重绑定保护

局域网访问失败不一定是 DNS 问题。建议先用设备 IPv4 和实际端口测试，再处理名称解析。

• IPv4 和端口正常，主机名失败：执行 nslookup，确认客户端查询的是路由器 DNS 还是其他 DNS。若名称以 .local 结尾，可能依赖 mDNS，普通 nslookup 不一定能复现。
• 开启 Fake-IP 后名称或设备发现异常：先记录原 DNS 和规则配置，再按当前版本说明确认局域网地址与局域网域名是否被排除。无法确认时，可暂时回退到修改前的 DNS 或 Fake-IP 状态进行单变量对照。
• 可信内网域名返回私有地址却被丢弃：dnsmasq 的 rebind protection 用于丢弃上游返回的 RFC1918 私有地址，并支持针对域名设置例外；不要为了测试直接全局关闭保护。OpenWrt 相关配置源码和界面字段可参考 OpenWrt DNS 配置说明 与 OpenWrt LuCI DNS 字段定义。
• 浏览器打不开但命令行能通：检查浏览器是否启用了独立代理、加密 DNS、缓存或强制 HTTPS；浏览器设置不能代表所有应用的网络路径。

第五层：用日志和回滚确认是哪条链路改变

如果网络、端口和规则对照仍无法定位，再在路由器上查看日志。PassWall2 仓库列出的常见排障方式包括使用 logread 查看服务信息，并检查 PassWall2 日志文件；具体日志路径可能随版本和构建变化，应先在当前界面或文件系统中确认。

logread | grep -i passwall2

logread | grep -iE 'firewall|dns|nft|iptables'

若当前版本启用了调试日志，可检查类似 /tmp/log/passwall2.log 的文件，但不要假定所有固件都有完全相同的文件名。OpenWrt 官方文档页面当前存在访问保护，具体日志命令仍应以设备实际输出为准；PassWall2 仓库可作为项目侧排障入口：PassWall2 仓库中的 Troubleshooting 与日志说明。

建议把结果记录成“客户端设备 IP 可达、端口失败”“路由器可达但客户端不可达”或“IP 和端口正常、名称解析失败”，而不是只记录“重启后好了”。如果修改后连管理页都打不开，按修改前记录恢复客户端网关、DNS、DHCP 和接口归属，再关闭新增访问控制或代理接管，确认管理路径恢复后继续。

常见问题

路由器 SSH 能 ping 通 NAS，但故障电脑仍打不开，说明网络正常吗？

不能这样判断。路由器到 NAS 的测试只覆盖路由器自身路径，故障电脑可能处于访客网络、无线隔离、不同 VLAN，或被本机防火墙与浏览器代理影响。请在故障电脑上重新测试路由器 IP、NAS IP 和实际服务端口。

设备 IP 能 ping 通，但 NAS 网页打不开怎么办？

ping 只测试 ICMP。请核对网页实际使用的协议和端口，再用 Windows 的 Test-NetConnection、macOS 或 Linux 的 nc，或针对 HTTP 服务使用 curl。端口失败时查服务监听、设备防火墙和网络隔离。

只有设备名称打不开，是否应该立即修改 DNS？

先用 nslookup 区分普通 DNS、局域网主机名和 mDNS。若 IPv4 和端口均正常而名称失败，才重点查 DNS 后缀、DNS 接管、浏览器缓存和 mDNS；不要把名称解析问题与设备端口问题混在一起。

PassWall2 开启后局域网设备被代理了怎么办？

先记录原配置，暂时关闭测试设备的访问控制或特殊代理规则，然后测试设备 IP 和端口。再按当前界面寻找 LAN、Private、RFC1918、Local 或直连等等价规则，并确认直连规则优先级。不要直接套用未知版本的固定字段。

旁路由场景下改完 DNS 后无法管理路由器，怎么回滚？

使用有线连接或原本可用的本地管理路径，恢复修改前记录的网关、DNS、DHCP 来源和接口归属；再关闭新增的代理接管或访问控制，确认管理页恢复后一次只改一个设置。

历史 issue 说访问控制有问题，能否直接认定当前版本也有 bug？

不能。历史 issue 或讨论只能说明某个版本、固件、内核和配置下出现过现象；当前版本是否仍存在需核实。排查时应先保留版本、系统、访问控制配置和日志，再做最小复现。

常见问题

路由器 SSH 能 ping 通 NAS，但故障电脑仍打不开，说明网络正常吗？

不能。路由器侧测试只覆盖路由器到 NAS 的路径，故障电脑仍可能被访客网络、无线隔离、VLAN、本机防火墙或浏览器代理影响。请在故障电脑上复测路由器 IP、设备 IP 和实际端口。

设备 IP 能 ping 通，但网页打不开怎么办？

ping 只代表 ICMP 有回应。请核对网页协议和端口，再使用 Test-NetConnection、nc 或针对 HTTP 服务使用 curl 测试；端口失败时查服务监听、设备防火墙和网络隔离。

只有设备名称打不开，是否应该立即修改 DNS？

先执行 nslookup 区分普通 DNS、主机名和 mDNS。若 IP 与端口都正常而名称失败，再查 DNS 后缀、DNS 接管、浏览器缓存和 mDNS，不要先修改所有分流规则。

PassWall2 开启后局域网设备被代理了怎么办？

先记录原配置，暂时关闭测试设备的访问控制或特殊代理规则，再测试设备 IP 和端口。随后寻找 LAN、Private、RFC1918、Local 或直连等价规则，并确认优先级。

旁路由改完 DNS 后无法管理路由器怎么回滚？

按修改前记录恢复网关、DNS、DHCP 来源和接口归属，必要时使用有线连接或本地管理路径；再关闭新增代理接管或访问控制，确认管理页恢复后继续单变量测试。

相关阅读

• 继续排查 PassWall2 规则不生效
• 查看 PassWall2 DNS 设置与分流方法
• 了解 PassWall2 旁路由的网关与接管路径
• 学习 PassWall2 路由日志怎么看

参考资料

1. PassWall2 项目仓库与排障说明
2. PassWall2 局域网 IP 或 MAC 设备直连历史讨论
3. OpenWrt 防火墙与网络接口说明（openwrt.org）
4. OpenWrt DNS 与 rebind protection 配置说明