OpenWrt 旁路由模式能实现哪些网络玩法

在家庭和小型办公网络中，主路由器往往由运营商提供或已稳定运行多年，承担拨号、NAT、无线覆盖等核心职责。很多技术爱好者希望在此基础上引入更灵活的策略路由、广告过滤、流量统计或内网服务，但又不愿意推翻现有拓扑、重新布线或更换主路由。旁路由（又称单臂路由、旁路网关）正是为这种需求而生的一种低侵入方案：它不接管 WAN 出口，也不承担全局 DHCP，只作为内网中一台“可选的下一跳”，由需要增强能力的终端主动把网关指向它。

本文将从原理、配置、边界条件三个层面，系统梳理旁路由模式的实现要点，并给出可复用的配置清单与排错方法。

一、旁路由的核心思想：只改网关，不动主干

旁路由的本质是一次“流量绕行”。主路由器仍然是内网的默认网关和 NAT 执行者，负责地址分配与公网出口；旁路由则以一个固定的内网地址（例如 192.168.1.100）接入同一交换机或同一无线网段，开启转发能力，并对外提供代理、过滤、分流等增强服务。

当某台终端把默认网关从主路由改为旁路由后，它的出网流量会先到达旁路由，经旁路由处理后再转发给主路由，最终离开内网。回程流量则由主路由直接送回终端，或经旁路由中转，具体取决于是否启用了源地址伪装（SNAT）。这种“进来绕一圈、出去照旧”的路径，使得旁路由可以在不改变物理链路、不影响其他设备的前提下，仅为指定终端提供增强能力。

这种模式的工程价值在于三点：第一，可回退性强，任何终端只要把网关改回主路由即可恢复原状；第二，影响面可控，未修改网关的设备完全不受旁路由故障影响；第三，部署成本低，一台闲置的小型设备即可承担。相应地，它也有明显边界：旁路由自身故障会导致指向它的终端断网，因此稳定性要求反而更高；同时所有绕行流量都经过同一物理接口，形成单臂瓶颈，吞吐能力受接口带宽限制。

二、地址与 DHCP 规划：避免冲突是第一要务

旁路由部署中最常见的故障，不是转发没开，而是地址冲突。因此第一步必须把地址分配职责理清。

1. 关闭旁路由的 DHCP 服务

旁路由不应参与内网地址分配。若主路由与旁路由同时提供 DHCP，终端可能随机获取到错误的网关与 DNS，表现为“时好时坏”的上网异常。正确做法是进入旁路由的 LAN 接口配置页面，在 DHCP 服务器设置中勾选“忽略此接口”，让旁路由只保留静态地址，不响应地址请求。

2. 从地址池中排除旁路由地址

仅有静态地址还不够。主路由的 DHCP 地址池如果覆盖了 192.168.1.100，仍可能把该地址租给其他设备，造成冲突。应在主路由上做两件事之一：把该地址从自动分配范围中排除，或基于旁路由网卡的 MAC 地址做静态绑定。后者更稳妥，因为它同时保证了地址与设备的固定对应关系。

3. IPv6 的处理策略

在旁路由场景下，IPv6 往往是最容易被忽略的破坏因素。IPv6 的路由通告（RA）由主路由下发，终端可能同时获得 IPv6 默认网关，从而绕过旁路由的策略。若你的增强服务只处理 IPv4 流量，建议在旁路由上关闭 IPv6 相关能力：将 IPv6 分配长度设为禁用，并关闭通告服务、DHCPv6 等全部相关选项，避免出现“IPv4 走旁路由、IPv6 直连主路由”的分裂路径。

三、防火墙配置：转发与伪装的取舍

旁路由内置的防火墙规则集，原本是为“边界路由器”设计的，直接套用到旁路由角色会产生误拦截。因此需要做针对性调整。

1. 放行转发

进入防火墙的基本设置，确认转发（Forward）策略为接受（Accept）。旁路由的职责是中转而非拦截，若转发被拒绝，指向它的终端会直接断网。同时确认 LAN 区域的入站（Input）为接受，这是默认值，用于保证管理页面可访问。

2. 启用动态伪装（SNAT）

这是旁路由配置中最具争议也最实用的一项。在 WAN 区域的编辑页面中勾选“IP 动态伪装（Masquerading）”，其作用是：当旁路由把终端流量转发给主路由时，将源地址改写为旁路由自身的地址。

为什么需要它？在单臂环境下，终端与旁路由处于同一网段，流量路径可能出现非对称：去程经旁路由、回程由主路由直送终端。若不做源地址伪装，主路由可能因路径不一致而丢弃部分报文，表现为丢包、连接不稳定或管理页面间歇性无法打开。启用伪装后，主路由看到的流量统一来自旁路由地址，回程路径一致，上述问题基本消除。

代价是旁路由上的连接跟踪与日志中，原始终端地址被掩盖，流量归属分析会变得困难。因此在需要精确审计的场景下，可考虑改用静态路由方式，让主路由明确知道某网段应经旁路由转发，从而避免伪装。两种方式各有适用面：伪装配置简单、兼容性好；静态路由路径清晰、可观测性强，但要求主路由支持自定义路由条目。

3. 区域归属的确认

确保旁路由的 LAN 接口位于 LAN 区域，且该区域允许转发到 WAN 区域。若你额外创建了自定义区域或接口，务必检查区域间的转发矩阵，避免出现“接口通了但区域间被拦”的隐蔽问题。

四、典型配置清单

为便于落地，下面给出一份可直接对照的配置清单。以下以 192.168.1.0/24 网段、主路由 192.168.1.1、旁路由 192.168.1.100 为例。

【旁路由 LAN 接口】
  协议：静态地址
  IPv4：192.168.1.100/24
  网关：192.168.1.1
  DNS：按需指定（可指向旁路由自身或上游）
  DHCP 服务器：忽略此接口（不分配地址）
  IPv6：分配长度禁用，通告服务关闭
【主路由 DHCP】
  地址池排除 192.168.1.100
  或：将 192.168.1.100 静态绑定到旁路由 MAC
【旁路由防火墙】
  Forward：Accept
  LAN -> Input：Accept
  WAN 区域：勾选 Masquerading（单臂场景建议开启）
  确认 LAN 与 WAN 区域间转发已放行
【终端侧】
  默认网关改为 192.168.1.100
  DNS 按需改为旁路由地址或保留主路由

配置完成后，验证顺序建议为：先在旁路由上确认能 ping 通主路由与公网地址；再将一台测试终端改网关，确认可正常上网；最后检查管理页面在“其他未改网关设备”上是否仍可访问。逐层验证能把问题定位在地址、转发或伪装中的具体一环。

五、常见问题与排错思路

现象一：改网关后完全无法上网。 优先检查旁路由是否开启转发、LAN 入站是否为接受、终端与旁路由是否确实同网段。若旁路由自身都无法出网，问题在主路由到旁路由这一段，与终端无关。

现象二：能上网但频繁丢包、大流量下载中断。 典型原因是单臂路径下的非对称回程。开启 SNAT 后多数可缓解；若仍存在，检查接口协商速率与双工模式，排除物理层瓶颈。

现象三：管理页面时好时坏。 与现象二同源，多为回程路径不一致导致。启用伪装或改用静态路由可解决。

现象四：部分应用正常、部分应用异常。 检查是否存在 IPv6 分流，终端可能通过 IPv6 绕过旁路由。按前文建议关闭旁路由 IPv6 相关能力，或在终端上禁用 IPv6 进行对照测试。

现象五：主路由重启后旁路由失联。 检查旁路由的网关与 DNS 是否依赖主路由，主路由未就绪时旁路由可能无法完成启动后的网络探测。可适当增加重试或延迟启动策略。

六、能力边界与适用判断

旁路由模式适合以下场景：希望为部分终端提供统一的流量过滤或代理能力；希望在不更换主路由的前提下引入流量统计与策略分流；希望搭建可快速回退的实验环境。它不适合以下场景：要求全屋设备无感统一接管（需逐台改网关，维护成本高）；对吞吐和时延极度敏感的核心链路（单臂转发引入额外一跳）；以及缺乏稳定供电与散热条件的环境（旁路由故障即意味着指定终端断网）。

从工程角度看，旁路由不是“更高级的路由器”，而是一种以最小改动换取最大灵活性的折中架构。它的价值不在于替代主干，而在于让增强能力可以按需挂载、随时摘除。理解这一点，才能在配置细节之外，做出符合自身网络实际的取舍。