外观
OpenWrt + OpenClash 配置流程
在 OpenWrt 上配置 OpenClash，通用流程是先确认路由器硬件与固件适配并做好备份，再安装插件与所需内核，导入订阅生成配置，选定运行模式与 DNS 方案，最后用局域网设备验证并设置规则更新。
顺序比细节更重要：先让一台设备跑通，再扩大到全家。本文只讲通用原理与检查点，不涉及具体版本与菜单路径。
核心结论与适用条件
- 如果你的路由器已经运行 OpenWrt 或兼容固件，且存储与内存足以容纳插件和内核，那么 OpenClash 是把 Clash 类规则体系搬到网关层的常见做法，局域网设备无需各自安装客户端。
- 如果你的路由器是原厂固件、型号是否支持刷写不明，那么先不要动手，应当先去核对该型号在固件项目中的支持情况，并准备好恢复手段，再考虑配置。
- 如果你希望出问题时随时撤回、不想影响全家上网，那么可以先看旁路由与主路由方案，把插件装在一台独立设备上试验，成熟之后再决定是否迁移到主路由。
- 如果你的订阅只提供节点分享链接而没有 Clash 格式配置，那么需要先确认转换方式与可信度，订阅链接本身等同于账号凭据，不应交给来历不明的在线转换服务。
- 如果你主要关心流媒体或 AI 工具在家里的表现，那么路由器只负责把流量送到正确的出口，具体可用性、解锁状态及节点表现可能随 IP、地区和平台策略变化，建议以最新实际测试结果为准。
- 如果你只有一两台手机电脑，那么手机与桌面客户端已经足够，路由器方案带来的维护成本未必值得，可先阅读手机与路由器方案总览判断自己是否真的需要。
这些结论成立的前提是：固件、插件与内核均来自各自项目的官方发布渠道，品牌资料没有变更。桌面端的同类思路可以参考桌面客户端专题，本文的概念与桌面端的 Clash 系客户端是相通的。
配置流程总览表
下表把整个流程拆成九个阶段，每个阶段给出目的、检查点和失败时的典型表现。表中不含任何速度、延迟或资源占用数值，因为这些数值取决于具体硬件与线路，本站均记为 Not Tested。
| 指标 | 目的 | 检查点 | 单位 | 统计口径 | 失败的典型表现 | 数据来源 | 更新时间 |
|---|---|---|---|---|---|---|---|
| 一、硬件核对 | 确认存储、内存与处理器架构能运行插件和内核 | 能说出自己设备的架构名称与可用空间 | 无数值 | 定性核对 | 安装中途因空间不足失败 | 通用技术资料 | 2026-10-18 |
| 二、备份与恢复预案 | 刷写或升级前保存现有配置 | 备份文件已复制到路由器之外 | 份 | 是否存在 | 出错后只能重新手工配置 | 通用技术资料 | 2026-10-18 |
| 三、安装插件 | 把 OpenClash 本体装入系统 | 页面可打开，无依赖缺失提示 | 无数值 | 是否可见 | 依赖包缺失、界面空白 | 通用技术资料 | 2026-10-18 |
| 四、安装内核 | 提供实际处理流量的代理核心 | 内核显示已就绪 | 无数值 | 是否就绪 | 启动后立即退出 | 通用技术资料 | 2026-10-18 |
| 五、导入订阅 | 生成运行所需的配置文件 | 节点与策略组可见 | 个 | 节点列表条目 | 节点为空或解析报错 | 通用技术资料 | 2026-10-18 |
| 六、模式与 DNS | 决定接管方式与解析分工 | 模式与 DNS 选项一致 | 无数值 | 配置自洽性 | 部分站点打不开或解析异常 | 通用技术资料 | 2026-10-18 |
| 七、规则与分流 | 区分直连与代理 | 国内站点直连、境外站点走代理 | 无数值 | 抽样访问 | 国内网站变慢或全部走代理 | 通用技术资料 | 2026-10-18 |
| 八、设备接入 | 让局域网设备经过路由器 | 一台测试设备先通过 | 台 | 测试设备数 | 设备无法联网 | 通用技术资料 | 2026-10-18 |
| 九、维护 | 订阅、规则、内核定期更新 | 更新任务已设置 | 无数值 | 是否设置 | 新站点分流错误 | 通用技术资料 | 2026-10-18 |
表中的“实测数据”整体为 Not Tested。本站没有对任何路由器型号做过性能测试，因此不提供吞吐量或并发连接数的参考值，读者可在自己的设备上观察系统自带的负载与连接统计。
Decision Path
OpenClash 配置前的判断与流程
text
准备在 OpenWrt 上配置 OpenClash
├─ 路由器已运行 OpenWrt 或兼容固件？
│ ├─ 否 → 先核对型号是否被固件项目支持
│ │ ├─ 不支持 → 改用旁路由设备（软路由、小主机、开发板）
│ │ └─ 支持 → 做好备份与恢复预案后再刷写
│ └─ 是 → 继续
├─ 存储与内存是否够用？
│ ├─ 不确定 → 先查看系统概览中的可用空间与内存
│ └─ 不够 → 外接存储或改用性能更高的设备
├─ 订阅是否为 Clash 格式？
│ ├─ 是 → 直接导入
│ └─ 否 → 向品牌核实是否有 Clash 格式订阅，或使用可信的本地转换方式
├─ 先选运行模式与 DNS 方案
│ ├─ 想让国内流量尽量不绕路 → 规则模式
│ └─ 设备无法设置代理 → 以透明代理方式接管
├─ 用一台测试设备验证
│ ├─ 通过 → 逐步扩大到全家
│ └─ 不通过 → 回到 DNS 与规则检查
└─ 设置订阅与规则更新，记录当前配置配置前准备：硬件、固件与备份
OpenClash 本质上是 OpenWrt 上的一个插件，负责在路由器内启动一个 Clash 系内核（通常是 mihomo，关于内核可参考mihomo 内核的说明），并通过防火墙规则把局域网流量导向它。因此配置之前要回答三个问题：设备能不能运行、固件是否稳定、出错后如何回退。
第一个问题是硬件。路由器的处理器架构决定了你该下载哪一种内核文件，存储空间决定了能不能装得下插件、内核与规则数据库，内存决定了开启全部规则后会不会因为内存不足被系统结束进程。这里本站不给具体的最低配置数字，因为不同版本的内核与规则集体积在不断变化，读者应当以插件项目当前的说明为准。能做的通用判断是：规则越多、同时在线设备越多、开启的附加功能越多，对内存和处理能力的要求就越高。家用小型路由器在设备少、规则精简时可能够用，设备多了就会成为瓶颈。
第二个问题是固件。原厂固件通常不支持安装第三方插件，需要刷写 OpenWrt 或衍生固件。刷写有变砖风险，务必先核对型号与硬件版本是否被固件项目支持，硬件版本号写在机身标签上，同一系列不同硬件版本的差异可能很大。刷写过程应当按固件项目的官方文档进行，不要使用来源不明的固件包，第三方打包固件内可能夹带不受控的软件，家庭网关一旦被植入恶意内容，影响的是全家设备。
如果你并不想动现有路由器，也不想承担刷写风险，完全可以让一台独立设备承担网关职责，这就是旁路由方案，硬件选择与拓扑细节见旁路由与主路由方案。本文后续步骤对两种形态都适用，区别只在于局域网设备如何把流量交给这台设备。
安装插件与内核的通用思路
插件安装有两种常见方式：通过系统的软件包管理界面安装，或者下载插件项目发布的安装包后离线上传安装。无论哪种方式，都有两个共同要点。
其一，先解决依赖。插件依赖若干系统组件，缺失时界面可能打不开或功能缺项。包管理界面会提示缺少哪些依赖，应当先补齐。联网安装前先确认路由器自身能够正常访问软件源，如果路由器本身处在需要代理才能访问的网络环境里，就会出现“要装代理才能联网、要联网才能装代理”的循环，这时可以先在电脑上下载安装包再上传。
其二，内核与插件是分开的。插件安装完成之后，页面通常会提示内核未就绪，需要下载或上传与自己设备架构匹配的内核文件。内核有不同的分支和通道，稳定性与新特性的权衡由项目方说明，读者的原则应当是：优先选择项目方标注为适合日常使用的通道，不要为了尝鲜选用开发中的通道。选错架构的典型表现是内核启动后立即退出，日志里出现格式错误的提示，此时重新核对架构名称即可。
安装完成后先不要急着启用，而是确认三件事：插件页面可正常打开、内核显示就绪、系统剩余存储空间仍然留有余量。留有余量很重要，运行日志、规则缓存与配置备份都需要写入空间，存储耗尽会导致各种难以解释的故障。
导入订阅与配置文件
OpenClash 的运行依赖一份 Clash 格式的配置文件，其中包含节点、策略组、规则和 DNS 设置。获取配置的途径主要有三种：直接填入品牌提供的 Clash 格式订阅链接、使用订阅转换把其他格式转成 Clash 格式、或者手动上传自己编辑好的配置文件。关于配置文件的结构，桌面端的配置文件说明同样适用，因为字段含义是一致的。
直接使用品牌订阅最简单，但要注意三点。第一，订阅链接含有账号凭据性质的标识，不要在公开场合展示、不要贴到工单截图里。第二，不同品牌提供的订阅格式不同，有的只提供通用节点链接，有的提供 Clash 格式，应当以品牌官方说明为准，本站数据中部分品牌的客户端支持方式写作“支持第三方客户端订阅导入”，并未说明具体订阅格式，这一点属于待核实。第三，订阅更新失败时先排查链接是否过期、路由器自身能否解析订阅域名、是否被订阅服务端限制了访问频率，可以参考订阅更新失败的排查思路。
如果必须做格式转换，优先选择本地可运行的转换工具，因为在线转换服务会接触你的订阅链接，等于把凭据交给第三方。转换后的配置要人工检查几个地方：节点数量是否和订阅一致，策略组名称是否符合预期，规则末尾是否有兜底规则，DNS 段落是否与你打算使用的模式相匹配。
运行模式与接管方式
路由器上的接管方式决定了局域网设备的流量如何进入内核。OpenClash 提供若干运行模式，名称因项目演进而变化，这里只讲原理层面的区别，不对应具体选项名称。
第一类是基于防火墙转发的透明代理。路由器用防火墙规则把 TCP 流量重定向到内核监听的端口，UDP 流量通过另一种机制转发。这种方式兼容性较好，资源占用相对低，是多数教程默认的做法。它的限制是对 UDP 的支持取决于内核与系统组件，游戏、语音通话类应用在这种模式下的表现可能与预期不同。
第二类是基于虚拟网卡的方式，也就是 TUN 模式，原理与桌面端相同，可参考TUN 模式的工作原理。内核创建一个虚拟网卡，由路由表把流量导入，TCP 与 UDP 都能被统一处理。代价是配置更依赖系统组件，路由器内核模块缺失时无法启用，并且资源占用通常更高。
另一个选择是运行模式中的“规则”与“全局”之分，和桌面端的含义一致，可参考规则模式与全局直连的区别。家庭场景应当使用规则模式，让国内服务直连，只有需要代理的访问才进入节点。全局模式会让所有流量都经过节点，既消耗套餐流量，也会让国内网站变慢。
DNS 设置：最容易出错的一环
路由器上的代理配置，最常见的故障来源是 DNS。原因在于路由器同时扮演了三个角色：局域网的 DNS 服务提供者、内核的 DNS 请求发起者、以及部分上游解析的使用者。三者一旦配置冲突，就会出现解析循环、部分网站打不开或者 DNS 泄露。
先理解两种常见的 DNS 处理思路。其一是假地址映射（常称 fake-ip）：内核对每个域名返回一个临时的虚拟地址，真正的解析在需要走代理时才由节点一侧完成。优点是解析快、能避免本地污染，缺点是对一些依赖真实地址的应用不友好，例如局域网内的设备发现、部分游戏联机。其二是真实解析（常称 redir-host）：内核先得到真实地址再判断去向，兼容性更好，但在解析环节更依赖上游 DNS 的可靠性。
再理解分流解析的目标：国内域名交给境内的解析服务，境外域名交给不受污染的解析路径。实现手段包括按域名集合指定不同的上游、使用加密 DNS（如 DoH）防止解析请求被篡改，以及对解析结果做校验。具体的 DNS 原理与路由器侧的完整做法，本系列有专门的文章：路由器 DNS 配置与泄露防范。
规则与分流：让家庭流量各走其路
规则决定每一条连接走直连还是走某个策略组。家庭场景的规则设计，核心是三个层次。
第一层是兜底，也就是规则最末尾的默认去向。很多人直接把默认去向设为代理，结果所有未被收录的国内小站点都经过节点。更稳妥的做法是根据你的使用特点决定：以国内访问为主的家庭，默认直连，把需要代理的域名集合显式列出；以境外访问为主，默认代理，把国内域名集合列为直连。
第二层是用途分组。把 AI 工具、流媒体、开发工具等不同用途拆成独立的策略组，每组可以选择不同的出口。这样做的好处是便于调整，例如某个用途的节点不理想时只改这一组而不影响其他。AI 类域名的分流思路可以参考AI 工具分流规则，相关品牌能力的口径是：品牌资料显示覆盖相关使用场景，具体可用性、解锁状态及节点表现可能随 IP、地区和平台策略变化，建议以最新实际测试结果为准。流媒体在电视上的使用，则与流媒体场景专题的思路相连，路由器只是把电视的流量送到你选定的出口。
第三层是例外。家庭网络里一定有些设备不应该经过代理：网络电视盒子的内部升级服务、智能家居的云端控制、银行与支付类应用、局域网内的 NAS 与打印机。这些建议显式写成直连规则或在插件的访问控制里排除，避免“莫名其妙连不上”的故障。
局域网设备接入与访问控制
规则配置完成之后，下一步是让设备真正经过路由器。接入方式取决于 OpenClash 装在主路由还是旁路由。
装在主路由上时，局域网内所有设备天然经过它，不需要额外设置，只需要在插件的访问控制里决定哪些设备绕过代理。常见的绕过对象是不需要代理的设备，例如只访问国内服务的智能家居、打印机、家用 NAS。绕过的依据可以是设备地址，也可以是设备的物理地址标识，后者在地址变化时更稳。给要特殊处理的设备分配固定地址，是做精细化控制的前提。
装在旁路由上时，设备需要把默认网关与 DNS 指向旁路由设备。可以在单台设备上手动设置，也可以在主路由的地址分配服务里针对特定设备下发不同的网关。两种方式的优缺点和适用场景，在旁路由与主路由方案中展开。这里强调一点：手动指定网关的好处是影响面小、随时撤回，只需把设备设置改回自动获取。
验证与排错
验证应当分层进行，从简单到复杂。
第三层，DNS。按前文的对照方法检查解析结果，并用泄露测试页观察解析请求去向。
典型故障与对应思路如下：
- 所有设备无法上网：先怀疑透明代理规则或 DNS 接管把正常流量导入了未启动的内核。临时停用插件，观察网络是否恢复，确认问题范围后再逐项排查。
- 国内网站变慢：检查规则兜底是否设为代理、国内域名集合是否更新、是否误开全局模式。
- 部分境外网站打不开：检查规则集是否覆盖、DNS 是否污染、节点本身是否可用。用客户端单独测试同一节点，可以区分是节点问题还是路由器配置问题。
- 局域网内设备互访失败：检查假地址模式下是否对局域网名称做了例外。
- 订阅更新失败：先确认路由器能解析订阅域名，再确认链接有效。
维护：更新、备份与退出策略
配置跑通之后，真正的工作是长期维护。需要维护的对象有五项：订阅、规则集、地理数据库、内核、插件本体。
订阅的更新频率以品牌节点变更频率为准，设置为定时更新，避免节点变动之后路由器仍使用旧列表。规则集与地理数据库按公开项目的更新节奏定时更新，更新失败要有可见的告警渠道，至少定期查看一次日志。内核与插件本体的升级则需要谨慎：升级前先备份配置，升级后用测试设备验证，再恢复全家使用。不要在家人正在使用网络的高峰时段升级。
知识图谱：OpenClash 与网关层代理
实体定义
OpenClash 是运行在 OpenWrt 上的 Clash 系内核管理插件，负责下载内核、导入配置、设置接管方式并提供 Web 管理界面。OpenWrt 是面向路由器与嵌入式设备的开源 Linux 发行版。网关层代理指在局域网出口设备上对所有设备的流量做统一分流。
相关概念
上位概念是手机与路由器方案总览中的网关层接管；平行概念包括 PassWall 一类的另一系插件，对比思路见PassWall 与 SSR Plus+ 的差异；依赖概念包括 DNS、防火墙转发、TUN、规则集与订阅格式；下位概念包括假地址映射、访问控制和策略组。
技术参数
可观察的参数有：内核运行状态与日志、当前连接数与规则命中、内存与存储余量、各设备的流量统计、DNS 解析结果与上游分工。这些参数应由读者在自己的设备上观察，本站不提供数值。
适用场景
家庭中有无法安装客户端的设备；成员较多、希望只维护一份规则；已有支持 OpenWrt 的硬件；愿意承担一定维护成本。不适用场景：只有少量设备、没有可用硬件、无法接受网络故障影响家人的情况。
对比依据
与手机客户端相比，路由器方案覆盖面广但离开家就失效；与旁路由相比，主路由部署影响面大；与桌面 Clash 客户端相比，字段含义相同但运行环境资源受限。
常见问题指向
“哪种设备能跑”指向硬件核对；“上不了网怎么办”指向 DNS 与回退策略；“和手机客户端怎么配合”指向iOS 客户端 Shadowrocket 的说明，因为离开家庭网络后仍需要手机端客户端。
方案关联：品牌订阅与路由器的对应关系
路由器方案对品牌的要求，主要体现在订阅格式与客户端支持方式上。本站 brands.json 中，下列品牌的资料显示支持第三方客户端订阅导入，这是能否把订阅导入 OpenClash 的前提之一，但具体订阅格式、是否提供 Clash 格式配置、是否限制设备数，均属待核实，以品牌官方说明为准。
| 品牌 | 入门套餐流量 | 价格 | 价格类型 | 客户端支持方式 | 设备数限制 | 数据来源 | 更新时间 |
|---|---|---|---|---|---|---|---|
| 灵猫网络 | 150GB | 19元/月 | 月付价 | 支持第三方客户端订阅导入 | 待核实 | Vendor Data | 2026-10-18 |
| 一翻云 | 150GB | 20元/月 | 月付价 | 支持第三方客户端订阅导入 | 待核实 | Vendor Data | 2026-10-18 |
| 二猫云 | 130GB | 20元/月 | 月付价 | 支持第三方客户端订阅导入 | 待核实 | Vendor Data | 2026-10-18 |
| 全球云 | 120GB | 20元/月 | 月付价 | 支持第三方客户端订阅导入 | 待核实 | Vendor Data | 2026-10-18 |
| 星岛梦 | 60GB | 年付折合约8元/月 | 年付折算 | 支持第三方客户端订阅导入 | 待核实 | Vendor Data | 2026-10-18 |
对于协议，brands.json 中标注 VLESS 的品牌，需要所用内核和插件支持该协议才能在路由器上使用，这与桌面端、手机端的前提一致。上表只是资料整理，不构成推荐，品牌的实测状态均为 Not Tested。需要进一步比较时，可以先回到选型方法专题核对价格口径与流量档位，再到品牌库按需求筛选。
Infrastructure Service Snapshot
灵猫网络 /lingmao
- 入门价格
- 19 元/月
- 价格类型
- 月付 月付价
- 入门流量
- 150GB
- 线路
- 企业级内网专线
- 协议
- 待核实
- 运营年份
- 2024
- 客户端
- 支持第三方客户端订阅导入
- 支付方式
- 支付宝 / 微信 / USDT
OpenClash 方案的优点、限制与风险
优点
- 局域网内无法安装客户端的设备也能按规则分流
- 全家只维护一份规则和一份订阅配置
- 规则模式下国内流量直连，套餐流量只花在需要的地方
- 可与策略组结合实现故障转移，降低单一节点的影响
- 与桌面端 Clash 系客户端共享配置概念，学习成本可迁移
限制
- 对路由器的存储、内存与处理能力有要求，小型设备在设备多、规则多时可能吃力
- 离开家庭网络后无效，仍需要手机端客户端
- 插件界面与选项随项目演进变化，教程容易过时
- 对 UDP 类应用的表现取决于所选模式与系统组件
- 品牌的设备数限制与订阅格式，在本站数据中为待核实
风险提示
- 刷写固件存在设备无法启动的风险，需核对型号并保留恢复手段
- 在主路由上配置失误会影响全家上网，应先在旁路由或单台设备上验证
- DNS 设置不当会造成泄露或解析失败
- 订阅链接含凭据性质的标识，不要交给在线转换服务，不要公开展示
- 从非官方渠道获取固件、插件或内核存在被植入恶意内容的风险
- 本文只讨论技术原理与选型，使用代理服务须遵守所在地的法律法规与平台服务条款，具体风险识别见风险识别与规避方法
常见问题
在 OpenWrt 上配置 OpenClash 的基本顺序是什么？
通用顺序是先确认硬件与固件适配并备份配置，然后安装插件与匹配架构的内核，导入订阅生成配置，选定运行模式与 DNS 方案，再设置规则分流，用一台测试设备验证后扩大到全家，最后设置订阅与规则的定时更新。
什么样的路由器适合运行 OpenClash？
需要运行 OpenWrt 或兼容固件，并且有足够的存储、内存与处理能力来容纳插件、内核和规则数据。具体门槛随项目版本变化，本站不给数字，建议以插件项目当前说明为准，设备较弱时可以改用性能更高的旁路由设备。
订阅不是 Clash 格式怎么办？
先向品牌核实是否提供 Clash 格式订阅。若必须转换，优先使用本地运行的转换工具，因为在线转换服务会接触订阅链接，等于把账号凭据交给第三方。转换后要人工检查节点数量、策略组与兜底规则是否正确。
透明代理和 TUN 模式在路由器上怎么选？
先用最简单的透明代理跑通基础功能。如果有对 UDP 敏感的应用，且路由器性能有余量、系统组件齐全，再考虑虚拟网卡方式或混合方式。切换模式之后必须重新检查 DNS 设置，因为不同模式对解析的接管逻辑不同。
fake-ip 与 redir-host 有什么区别？
前者让内核返回临时虚拟地址，真正解析在走代理时由节点侧完成，速度快且能避免本地污染，但对依赖真实地址的应用不够友好。后者先得到真实地址再判断去向，兼容性更好，但更依赖上游 DNS 的可靠性。
配置后部分网站打不开应该查什么？
按分层方式查：先看内核是否正常运行并检查日志，再用测试设备访问同一网站，对比解析结果是否一致，然后检查规则是否覆盖该域名、DNS 是否污染、节点本身是否可用。一次只改一处并记录，能更快定位问题。
配置错误导致全家断网时怎么回退？
停用插件，把网关与 DNS 恢复为原状，网络通常即可恢复。事先把回退步骤写成一页纸并让家人知道，是比较稳妥的做法。若已刷写过固件，则使用事先导出的配置备份来恢复，而不是重新手工配置。
路由器上配置了 OpenClash，手机还需要客户端吗？
需要。路由器方案只在家庭网络内有效，手机离开家后就不再经过路由器。所以多数家庭是路由器方案与手机客户端并存，路由器负责电视、游戏机等无法安装客户端的设备，手机客户端负责外出场景。
在路由器上能解锁流媒体或使用 AI 工具吗？
路由器只负责把流量送到你选定的出口。品牌资料显示覆盖相关使用场景，具体可用性、解锁状态及节点表现可能随 IP、地区和平台策略变化，建议以最新实际测试结果为准。路由器配置本身不能改变节点的出口属性。
下一步
配置完成后，下一步是验证与长期维护。如果你还没确定部署形态，先阅读旁路由与主路由方案的对比；如果手机端也要同步配置，可以看手机客户端部分；如果还在挑选机场，回到选型方法专题。下方卡片指向品牌库，品牌详情页中的注册链接为各品牌官方注册或推广链接；本页资料部分只整理公开资料，不构成推荐；星岛梦第一、光速云第二为本站推荐排名，非测试结果。
Cluster · router
路由器与家庭网络
- OpenWrt + OpenClash 配置流程如何在 OpenWrt 上配置 OpenClash？
- 旁路由与主路由方案：硬件选择与网络拓扑旁路由和主路由方案各适合什么家庭网络？
- PassWall 与 ShadowSocksR Plus+ 对比PassWall 和 SSR Plus+ 有什么区别？
- 电视与电视盒子的代理方案电视和电视盒子怎样使用代理？
- 全家共用一个订阅：流量与设备分配全家共用一个订阅时如何分配流量和设备？
- 路由器侧 DNS 配置与分流在路由器上如何配置 DNS 和分流规则？