高墙之外❤️

PassWall2 分流设置：先配最小规则，再排查 DNS 与 IPv6

更新于 2026-10-27 · passwall.lol

简答：先在“节点列表”准备一个可用节点，再在“规则管理”建立分流规则节点：内网与国内流量指向直连，其他流量指向默认代理节点。保存应用后，通过运行日志、nslookup 或 dig 检查实际命中结果。不同 PassWall2 版本和 Xray、sing-box 核心的字段可能不同，界面以当前安装版本为准。

定义：PassWall2 分流设置，是根据域名、IP、设备或网络类型，把不同流量分别交给直连、代理或黑洞等出口处理。

三步速查：先让基础分流跑起来

PassWall2 是运行在 OpenWrt LuCI 中的代理应用，官方仓库列出了“基本设置”“节点列表”“节点订阅”“规则管理”“访问控制”和“运行日志”等界面入口。本文只讲家庭网络中的分流配置，不包含服务端部署、节点搭建或具体线路推荐。PassWall2 官方代码仓库

目标应使用的出口配置含义
内网、路由器管理地址直连避免局域网访问绕到代理节点
国内域名和国内 IP直连减少不必要的代理路径
需要代理的域名或未命中流量默认代理节点由分流节点的默认出口处理
广告或明确不需要访问的域名黑洞（屏蔽）直接拒绝或丢弃，具体行为取决于核心与版本
  1. 进入 LuCI 的“服务”→“PassWall2”，先确认“节点列表”中至少有一个可用节点；订阅导入后不要直接假设节点可用，先执行节点检测。
  2. 进入“规则管理”，新建或编辑一个分流规则节点，把默认出口设置为代理节点，并为内网、国内域名或国内 IP 规则指定直连。
  3. 回到“基本设置”，把主节点或默认节点指向该分流规则节点，点击“保存并应用”，再到“运行日志”观察是否生成了对应的 TCP、UDP 和 DNS 处理记录。

PassWall2 官方默认配置示例中，分流节点使用 protocol '_shunt'，并通过 PrivateIP '_direct'、default_node 和 domainStrategy 表达内网出口、默认出口与域名解析策略；这类字段应优先通过界面生成，不建议手工整段覆盖配置文件。PassWall2 默认配置示例

规则顺序怎么判断：同一分流节点通常是从上到下首条命中

如果使用 Xray 核心，官方路由规则的处理方式是从上到下检查，遇到第一条有效规则后就转发到该规则指定的出口，不会继续向下匹配；没有任何规则命中时，则使用第一个默认出口。Xray 官方路由说明

推荐顺序规则示例出口为什么放这里
1路由器地址、局域网网段、私有 IP直连先保证管理页、NAS 和局域网设备不被代理
2明确需要屏蔽的域名或广告分类黑洞在宽泛的国内或代理规则之前优先处理
3geosite:cn、国内域名列表直连按域名分类处理国内站点
4geoip:cn、国内 CIDR直连处理目标已经表现为 IP 的连接
5指定域名、指定服务或自定义域名代理在默认出口前覆盖特定需求
6未命中流量默认代理或直连由分流节点的默认节点决定

这里的“规则顺序”有两个层次：第一层是 PassWall2 的访问控制、规则组或分流节点之间的处理关系；第二层是某个分流节点内部的规则列表顺序。本文表格针对第二层。不同核心、PassWall2 版本和规则生成方式可能存在差异，出现冲突时应以生成后的核心配置和运行日志为准。

“关闭（不使用）”“直连”“黑洞（屏蔽）”不是同一个动作：关闭通常表示该条规则不指定独立出口或不启用相关处理；直连是把流量交给 Freedom、Direct 等直连出口；黑洞则是拒绝或丢弃。不要把“关闭”当成“直连”，也不要把“黑洞”当成普通代理节点。

规则字段怎么写：先确认核心，再使用最小表达

PassWall2 可能调用不同代理核心，规则字段不能完全跨核心照搬。以 Xray 路由语法为例，常见表达包括：

  • domain:example.com：匹配该域名及其子域名。
  • full:example.com：只匹配完整域名。
  • geosite:cn：匹配预置域名分类，实际分类取决于安装的 geosite 数据。
  • geoip:cn：匹配预置 IP 分类。
  • 192.168.0.0/16、10.0.0.0/8：匹配明确的 CIDR 网段。
  • network:tcp 或核心对应的网络字段：只在确实需要区分 TCP 与 UDP 时使用，不要把其他客户端配置格式直接粘贴到 PassWall2。

如果只是实现“国内直连、其他代理”，建议先只启用内网、国内域名、国内 IP 和默认出口四类规则。确认基础分流有效后，再添加广告、指定设备、指定服务或独立节点规则。规则越多，越需要通过日志确认到底是哪一条先命中。

使用 sing-box 核心时，路由规则字段和动作模型可能不同，例如官方文档使用 domain、domain_suffix、geosite、ip_cidr、network 等字段；因此不能把 Xray 的完整 JSON 结构直接当作 sing-box 配置使用。sing-box 官方路由规则说明

DNS、域名解析和 IP 规则：为什么看起来像“规则失效”

域名规则和 IP 规则并不是永远同时生效。Xray 的 domainStrategy 会影响是否把域名解析成 IP 再进行 IP 规则匹配：

  • AsIs：主要按域名进行路由，不主动解析域名。
  • IPIfNonMatch：第一轮没有命中时，遇到 IP 条件再解析并重新匹配。
  • IPOnDemand：遇到 IP 条件时就按需解析，再尝试 IP 规则。

如果开启嗅探并允许仅用于路由，嗅探得到的域名可能优先于原始目标用于域名匹配和解析；这意味着浏览器访问的目标已经是 IP 时，仍可能因为嗅探结果而命中域名规则。Xray 路由规则与域名策略

PassWall2 默认配置示例包含远程 DNS、直连 DNS 查询策略、远程 DNS 查询策略和 DNS 重定向相关字段。建议先采用界面已有的默认值，只验证三件事：终端拿到的 DNS 是否指向路由器、PassWall2 日志是否出现 DNS 处理记录、同一域名在不同出口下是否得到预期结果。不要同时改远程 DNS、FakeDNS、嗅探和 IPv6，否则很难判断是哪一项造成变化。PassWall2 默认 DNS 配置字段

FakeDNS 也不是“开启后所有问题都会消失”的开关。Xray 官方说明中，FakeDNS 属于内置 DNS 的一种处理方式；是否适合当前透明代理、应用和 IPv6 组合，要看核心、转发方式和终端行为。Xray 官方 DNS 说明

保存后的验证闭环：从路由器、终端到日志逐层确认

  1. 确认服务状态：在“基本设置”检查主开关和当前节点，在“运行日志”确认核心已启动；官方仓库给出的常见日志位置包括 /tmp/log/passwall2.log 和 /tmp/log/passwall2_server.log，但具体路径可能随版本变化。PassWall2 官方仓库排查说明
  2. 确认终端网关：Windows 执行 ipconfig，macOS 执行 route -n get default，Linux 或 Android 终端按系统提供的网络详情查看默认网关。旁路由场景中，默认网关不是运行 PassWall2 的设备时，分流规则可能根本没有接收到该终端流量。
  3. 确认 DNS：Windows 执行 nslookup example.com；macOS 或 Linux 可执行 dig example.com。重点看 DNS 服务器地址是否为预期的路由器或指定服务，而不是只看解析结果。
  4. 确认规则命中：访问一个确定属于国内或内网的目标，再访问一个需要代理的目标，同时观察运行日志中的目标、协议和出口。只看网页能否打开，不能证明命中了正确分流。
  5. 确认 IPv6：如果 IPv4 规则正常但部分应用仍绕过代理，先临时关闭终端或路由器的 IPv6 测试；如果问题消失，再单独配置 IPv6 透明代理或明确关闭 IPv6。OpenWrt 22.03 及以后默认使用 firewall4 与 nftables，底层转发规则也应通过当前防火墙实现检查。OpenWrt 官方防火墙规则检查说明

出现“国内网站变慢”，优先检查国内域名规则是否放在默认代理之前；出现“手机 App 不通”，检查 UDP、IPv6 和访问控制；出现“规则完全不生效”，检查默认网关、DNS 重定向、透明代理方式与核心启动日志。每次只改一项，保存应用后重复同一验证目标。

失败分流与撤销方法

  • 保存后全网无法访问：先关闭 PassWall2 主开关，确认普通网络恢复，再恢复到最近一次备份的配置。
  • 只有部分设备不生效：检查设备是否通过目标路由器获取默认网关和 DNS；旁路由不是默认网关时，需要先处理网络拓扑，而不是继续增加规则。
  • 域名命中但 IP 未命中：检查 domainStrategy、DNS 解析结果、IPv4/IPv6 和是否启用了嗅探；不要直接把所有流量改成全局代理。
  • 黑洞规则影响正常服务：暂时将该规则改为关闭或直连进行对照测试，再缩小域名范围。黑洞、拒绝和丢弃的具体行为可能随核心和版本不同。
  • 升级后界面或字段变化：记录当前 PassWall2 版本、使用的核心和导出配置，先查看官方仓库的版本说明，再决定是否回退；不要混用不同版本生成的整份配置。

PassWall2 官方仓库的系统要求和安装资产会随版本更新，当前仓库同时提供 IPK、APK 等不同软件包形式；安装包是否适合你的 OpenWrt 版本、架构和软件源，需要以设备实际环境及发布页当前说明为准。PassWall2 官方发布页

常见问题

PassWall2 分流规则为什么要从上到下排列？

以 Xray 核心为例，规则从上到下检查，第一条有效匹配命中后就选择出口，不会继续向下匹配。因此内网、黑洞和国内直连规则应放在默认代理之前。

“关闭（不使用）”和“直连”有什么区别？

关闭表示该规则不启用或不指定独立处理；直连表示明确交给 Direct、Freedom 等直连出口。想让国内流量不走代理，应选择直连，而不是关闭。

PassWall2 的国内 IP 规则没有生效怎么办？

先检查域名是否已命中域名规则，再检查 domainStrategy 是否允许解析后进行 IP 匹配，同时确认 DNS、IPv4、IPv6 和嗅探设置没有改变实际匹配对象。

旁路由设置了分流，但手机仍然不走规则，先查什么？

先在手机网络详情中确认默认网关和 DNS。若默认网关仍是主路由器，旁路由可能没有接收到该设备的流量，继续添加规则通常无效。

PassWall2 能不能直接粘贴其他客户端的规则？

不建议。Xray、sing-box 和其他客户端的字段名、动作和规则格式可能不同，应先确认当前核心，再按 PassWall2 界面或对应核心文档转换。

相关阅读

参考资料

  1. PassWall2 官方代码仓库与系统要求、界面和排查说明
  2. PassWall2 LuCI 菜单与配置入口源码
  3. PassWall2 默认配置示例
  4. PassWall2 官方发布页与软件包资产
  5. Xray 官方路由规则、规则顺序与域名解析策略
  6. Xray 官方内置 DNS 与 FakeDNS 说明
  7. sing-box 官方路由规则字段说明
  8. OpenWrt 官方 fw4、nftables 与防火墙规则检查说明（openwrt.org）