PassWall2旁路由怎么设置：从单设备测试到全屋接管

更新于 2026-11-02 · passwall.lol

简答：PassWall2旁路由建议采用“主路由负责上游、旁路由负责透明代理、先接管一台设备”的顺序配置。先确认旁路由管理 IP、网关和软件包管理器，再安装 PassWall2、导入节点并验证核心运行；测试设备的网关通常指向旁路由，但 DNS 是否也指向旁路由，要根据当前 PassWall2 的 DNS 监听和接管方式单独验证。

定义：PassWall2 旁路由，是在主路由之外增加一台运行 OpenWrt 或 iStoreOS 的设备，让部分或全部客户端流量经过这台设备进行代理、分流和 DNS 处理。

先选拓扑：最小可用方案是单设备测试

本文是第三方使用指南，不代表 PassWall2、OpenWrt 或 iStoreOS 的官方页面。资料核验日期：2026-11-02。

新手不要一开始修改全屋 DHCP。建议先使用同网段旁路由方案：主路由继续负责上游联网和 DHCP，旁路由接入同一局域网，PassWall2 负责透明代理，先只让一台设备把默认网关改为旁路由。

拓扑示意：主路由 LAN 192.168.1.1 → 交换机或主路由 LAN → 旁路由 LAN 192.168.1.2 → 测试设备。测试阶段，主路由仍发放客户端 IP；只有测试设备的默认网关临时改为 192.168.1.2。

OpenWrt 官方把桥接型接入点和路由型接入点分开说明；本文不是普通无线 AP 配置，而是让旁路由参与客户端流量转发，因此不能只照搬桥接 AP 的步骤。可参考 OpenWrt 的桥接 AP 说明 与 OpenWrt 的 Routed AP 说明。

第一步：备份、接线并固定旁路由管理地址

1. 先备份：在 OpenWrt LuCI 的系统备份页面导出配置；在 iStoreOS 中进入系统备份或备份与升级页面，保留当前配置和原来的 DHCP 参数。不要在没有回滚记录时直接修改全屋网关。
2. 确认上联方式：同网段方案优先把主路由 LAN 接到旁路由 LAN，或让两者接入同一交换机。若你的固件明确要求使用 WAN 口，则应按该固件的路由型网络结构配置，不能混用 LAN 到 LAN 的地址规划。
3. 查看主路由网段：记录主路由 LAN 地址、子网掩码和 DHCP 地址池。例如主路由是 192.168.1.1/24，旁路由可以使用未被占用的 192.168.1.2/24，但实际地址必须以你的局域网为准。
4. 设置旁路由 LAN：OpenWrt 通常从“网络→接口→LAN”进入；iStoreOS 可能从网络设置或快捷向导进入，最终仍需确认 LAN 接口地址。填写固定管理 IP、子网掩码、上游网关和 DNS 后保存应用。
5. 检查冲突：把旁路由地址排除在主路由 DHCP 地址池之外，或在主路由中为旁路由 MAC 地址建立静态租约。若新地址无法访问，先断开其他设备，直连旁路由并检查地址规划。

这一阶段只要求旁路由管理页面能打开，不能证明 PassWall2 已经接管客户端流量。管理 IP、客户端网关和 DNS 是三个不同位置，后续必须分别验证。

第二步：关闭重复 DHCP，先只接管一台设备

1. 在旁路由的 LAN 接口 DHCP 设置中选择关闭、忽略或停用 DHCP。不同 LuCI 版本的文字可能不同，判断标准是旁路由不再给局域网客户端分配地址。
2. 确认主路由 DHCP 仍然正常工作。测试设备先自动获取地址，再查看它当前的 IP、默认网关和 DNS。
3. 只在测试设备上手动把默认网关改为旁路由管理 IP，例如 192.168.1.2。不要同时修改所有设备。
4. 先测试基础路径：如果设备连旁路由后完全无法访问主路由或互联网，优先检查 IPv4 转发、接口关系和防火墙转发，而不是先修改节点。
5. 再测试 DNS：DNS 是否填写旁路由，取决于 PassWall2 当前 DNS 模式、监听地址和防火墙规则。可以先保留主路由 DNS，只验证网关路径；确认流量经过旁路由后，再把 DNS 改为旁路由并单独复测。

同网段方案中，单纯把客户端网关改为旁路由并不保证透明代理一定工作。旁路由还必须能够转发 IPv4 流量，且 LAN 到上游接口的防火墙路径不能被阻断；透明代理、伪装或 NAT 是否由 PassWall2 自动生成，要以当前页面的运行状态和规则配置为准。不要把“网关指向旁路由”理解成所有版本都自动完成了这些设置。

第三步：按实际固件确认包管理器，再安装 PassWall2

不要仅凭文件后缀或网上命令安装。先在 SSH 中查看固件信息、软件源和包管理器：

• cat /etc/openwrt_release：查看发行版、版本和架构字段。
• apk --version、opkg --version：查看命令版本，但不要只凭命令是否存在下结论。
• 同时检查已配置的软件源和已安装包数据库，确认当前系统实际使用的是哪一套包管理方式。

OpenWrt 官方安装说明明确写明：OpenWrt 25.12 及以后使用 apk，OpenWrt 24.10 及更早版本使用 opkg；OpenWrt 官方版本下载页也将 25.12 与 24.10 分为不同发行系列。若是定制固件、迁移系统或 iStoreOS，请以设备实际输出和当前软件源为准，不要把命令存在等同于系统默认包管理器。参考 OpenWrt 软件包安装说明、OpenWrt apk 说明 和 OpenWrt 版本历史。

iStoreOS 基于 OpenWrt，并提供自己的软件中心和界面。iStoreOS 24.10 与 25.12 的大版本升级涉及包管理器变化，官方文档提示不能简单保留已安装软件包跨大版本升级，因此升级前应备份并准备重新安装插件。可参考 iStoreOS 大版本升级说明。

1. 在 LuCI 的“系统→软件”中更新软件列表并搜索 PassWall2；在 iStoreOS 中可先查看软件中心是否提供当前系统可安装的相关包，但是否收录、版本和依赖必须以当前页面结果为准。
2. 如果软件源没有对应包，再打开 PassWall2 的 Release 页面，按固件系列、架构和包管理器选择资源。PassWall2 README 当前给出了 .ipk 与 .apk 两类安装示例，但没有替你的设备完成兼容性判断。
3. 安装前记录 DISTRIB_ARCH、剩余存储空间、已配置软件源和 LuCI 版本。PassWall2 官方仓库列出的依赖和核心会随功能、发行版和构建方式变化。
4. 只有当包的架构、格式、发行系列和依赖均匹配时，才继续安装。不要把语言包、PassWall2 LuCI 主包和 Xray 或 sing-box 核心包当成同一个文件。

PassWall2 官方仓库的基础入口是“服务→PassWall2”，并提供节点、DNS、透明代理和访问控制等配置项；具体字段仍以你安装的版本页面为准。可查看 PassWall2 官方仓库说明 与 PassWall2 Releases。Release 页面内容会变化，本文不固定写某个版本号或资产名称。

第四步：导入订阅、选择核心并启用最小配置

1. 进入页面：安装后重新登录 LuCI，打开“服务→PassWall2”。如果菜单没有出现，先重新登录 LuCI，再检查 LuCI 主包是否安装成功。
2. 先准备订阅格式：在 PassWall2 的订阅管理或节点管理页面添加订阅地址，保存后执行手动更新。订阅链接名称不能证明其返回内容兼容 PassWall2；更新失败时要查看 HTTP 返回、编码、内容是否为空以及是否为当前客户端可识别格式。
3. 检查节点列表：进入节点列表，确认更新后确实出现节点。节点为空时，先排查订阅返回和解析格式，不要直接更换防火墙或重装插件。
4. 检查核心：在核心、组件或运行状态页面确认当前选择的 Xray 或 sing-box 文件存在、架构匹配、具有执行权限，并能被 PassWall2 调用。若核心启动失败，查看系统日志和 PassWall2 日志，先只保留一个核心进行测试。
5. 选择主节点：在基础设置、节点选择或主节点位置选择一个已确认存在的节点，保存并应用。
6. 启用主开关：先打开 PassWall2 主开关，再启用透明代理或客户端流量接管相关选项。路由器本机代理、局域网设备代理和节点测试不是同一个开关，必须逐项确认。
7. 使用默认规则：先采用当前版本已有的中国直连、私网直连和默认代理规则组。规则名称、入口和优先级可能因版本或核心而不同，先观察默认规则是否生效，再添加自定义规则。

最小可用配置：旁路由管理 IP 可访问；测试设备网关指向旁路由；PassWall2 主开关运行；一个节点和一个核心运行；DNS 先采用能稳定解析的方案；先验证直连目标、代理目标和局域网目标各一个。不要一开始同时启用多个核心、复杂 DNS、IPv6 改写和大量自定义规则。

第五步：验证 IPv4、DNS、IPv6 和设备侧接管

1. 在测试设备网络详情中确认实际默认网关是否为旁路由，而不是主路由。
2. 确认 DNS 是否符合当前测试目标。如果只验证代理路径，可以暂时使用主路由 DNS；如果验证 DNS 接管，再把 DNS 指向旁路由，并查看 PassWall2 DNS 状态或日志。
3. 检查设备是否启用了私人 DNS、浏览器安全 DNS、VPN、系统代理或其他网络接管功能。此类功能可能让浏览器或应用绕开旁路由的 DNS 路径。
4. 单独检查 IPv6。若 IPv4 经过旁路由但 IPv6 仍由主路由直接提供，可能出现部分连接正常、部分连接异常。先在一台测试设备临时关闭 IPv6，若现象消失，再检查旁路由的 IPv6 路由、DNS 和 PassWall2 支持情况。
5. 分别验证：局域网地址、普通直连目标、需要代理的目标。不要只用一个网页判断全部规则。

第六步：从单设备扩大到全屋，并保留回滚路径

1. 先记录主路由原来的 DHCP 网关、DNS、地址池和租约设置。
2. 确认至少一台设备完成网关、DNS、节点、规则和 IPv6 复测。
3. 如果主路由 DHCP 支持自定义网关和 DNS，可在 DHCP 设置中逐项修改；不同品牌可能使用“默认网关”“路由器地址”“DHCP 选项”等名称。
4. 如果主路由不支持自定义 DHCP 网关，不要强行修改隐藏配置。继续使用逐台静态配置，或改用旁路由独立网段方案；也可以让支持自定义 DHCP 的设备承担 DHCP，但必须避免同一网段同时存在两个 DHCP 服务。
5. 全屋修改后先让一台设备续租 DHCP，确认新网关和 DNS 正确，再扩大到其他设备。
6. 若大面积断网，立即把 DHCP 网关和 DNS 恢复为原值，或把测试设备改回主路由网关。基础网络恢复后，再回到单设备排查。

回滚顺序应是“客户端网关和 DNS→主路由 DHCP→旁路由网络接口→PassWall2 主开关”。不要在网络路径尚未恢复时继续更换节点、核心或规则，这会把网络故障和服务故障混在一起。

常见问题排查

• 旁路由一定要关闭 DHCP 吗？同网段单设备测试中，建议由主路由统一提供 DHCP，旁路由关闭 DHCP，避免两个设备同时应答。独立网段方案可以由旁路由提供 DHCP，但这属于另一种拓扑。
• 客户端网关和 DNS 都必须指向旁路由吗？网关通常需要指向旁路由才能验证透明代理路径；DNS 是否指向旁路由，要看 PassWall2 的 DNS 模式、监听地址和防火墙配置。建议先分别测试，不要把两者一次性改完。
• 为什么旁路由自己能上网，客户端却不生效？先查看客户端默认网关；如果仍是主路由，流量没有经过旁路由。若网关正确，再检查 IPv4 转发、防火墙转发、PassWall2 主开关和设备侧私人 DNS、DoH 或 VPN。
• OpenWrt 24.10 和 25.12 安装方式一样吗？官方资料显示，25.12 及以后使用 apk，24.10 及以前使用 opkg。定制固件和 iStoreOS 仍应以设备实际版本、软件源和包数据库为准。
• iStoreOS 能直接照搬 OpenWrt 的 PassWall2 命令吗？不能保证。iStoreOS 基于 OpenWrt，但界面、软件中心、固件分支和升级机制可能不同。先查看系统版本、架构、包管理器和软件源，再选择匹配的 PassWall2 包。
• 主路由不支持下发旁路由网关怎么办？先用单设备静态配置验证；如果需要全屋接管，再考虑旁路由独立网段，或由支持自定义 DHCP 选项的设备统一提供 DHCP。不要让主路由和旁路由同时为同一网段提供 DHCP。
• 全屋接管后断网怎么最快恢复？把主路由 DHCP 的网关和 DNS 恢复为原值，或把一台设备手动改回主路由网关。基础网络恢复后，回到单设备测试，依次检查网关、DNS、PassWall2 状态和 IPv6。

常见问题

PassWall2 旁路由一定要关闭 DHCP 吗？

同网段单设备测试中，建议主路由统一提供 DHCP，旁路由关闭 DHCP，避免两个设备同时应答。独立网段方案可以由旁路由提供 DHCP，但需要重新规划接口、防火墙和地址段。

客户端网关和 DNS 都必须指向旁路由吗？

网关通常需要指向旁路由，才能验证客户端流量是否经过旁路由；DNS 是否也指向旁路由，取决于 PassWall2 的 DNS 模式、监听地址和防火墙设置。建议先测网关，再单独测 DNS。

为什么旁路由自己能上网，客户端却不生效？

先查看客户端默认网关是否仍为主路由。如果网关已经指向旁路由，再检查 IPv4 转发、防火墙转发、PassWall2 主开关、核心状态，以及客户端的私人 DNS、DoH 或 VPN。

OpenWrt 24.10 和 25.12 应该使用什么包管理器？

OpenWrt 官方说明显示，25.12 及以后使用 apk，24.10 及以前使用 opkg。若使用 iStoreOS、定制固件或迁移系统，仍应以设备实际固件、软件源和包数据库检测结果为准。

iStoreOS 能否直接使用 OpenWrt 的 PassWall2 安装命令？

不能直接保证。iStoreOS 基于 OpenWrt，但界面、软件源、固件分支和升级机制可能不同。应先核对系统版本、架构、包管理器、软件源和剩余存储，再选择对应安装包。

主路由不支持自定义 DHCP 网关怎么办？

先用一台设备静态填写旁路由网关完成验证；需要全屋接管时，可采用旁路由独立网段，或使用支持自定义 DHCP 选项的设备提供 DHCP。不要让两个设备同时为同一网段提供 DHCP。

相关阅读

• 先核对 iStoreOS 的版本、架构与安装方式
• 查看 OpenWrt 上的 PassWall2 安装与依赖核验
• 继续排查 PassWall2 的 DNS 设置
• 进一步配置 PassWall2 分流规则
• 遇到连接失败时按日志和节点状态排查

参考资料

1. OpenWrt：How do I install packages?（openwrt.org）
2. OpenWrt：apk package manager（openwrt.org）
3. OpenWrt：版本历史与包管理器变化（openwrt.org）
4. OpenWrt：桥接 AP 网络说明（openwrt.org）
5. OpenWrt：Routed AP 网络说明（openwrt.org）
6. PassWall2 官方仓库与基础配置说明
7. PassWall2 官方 Releases 页面
8. iStoreOS：大版本升级与包管理器变化说明（doc.istoreos.com）
9. iStoreOS：系统介绍与软件中心说明（doc.istoreos.com）