旁路由运行 Xray 内核：OpenWrt 透明代理部署思路与配置要点

先确定旁路由的位置与流量路径

旁路由不是一种代理协议，而是网络中的部署角色。主路由负责宽带接入和 DHCP，旁路由可以承担部分终端的网关与 DNS。只有流量实际经过旁路由，透明代理规则才有机会生效；把 Xray 安装在同一局域网的设备上，并不会自动接管其他终端。

本文使用同网段单臂旁路由示例：主路由为 192.168.10.1，OpenWrt 为 192.168.10.2，测试电脑为 192.168.10.100。旁路由的默认路由仍指向主路由。测试电脑先手动把 IPv4 网关和 DNS 改为旁路由地址，其他设备继续走原网络。

单臂转发还涉及同接口转发、回程路径与 ICMP redirect。主路由可能直接把回包交给终端，使旁路由看不到完整的直连会话。是否需要源地址转换，要按回程与连接跟踪结果判断，不能把“开启 NAT”当作所有拓扑的固定步骤。测试期间也要检查旁路由是否向终端发送了会改变后续网关选择的重定向。

选择内核：先核对节点字段，再谈透明接管

v2rayN 是桌面客户端，Xray 与 V2Fly 是代理内核。OpenWrt 可以直接运行内核进程，由服务管理器读取 JSON 配置，不需要运行桌面界面。订阅导入、节点切换和透明转发是不同层的能力：装好二进制文件后，还需要配置生成、服务启动和防火墙衔接。

安装前核对 CPU 架构、固件软件源和可用存储。OpenWrt 24.10.x 默认使用 firewall4 与 nftables，网上针对旧版 iptables 的命令不能直接混入。TPROXY 还依赖固件提供相应内核模块；软件包能安装、内核进程能启动，都不代表数据包接管链已经成立。

ubus call system board
uname -m
xray version
nft list ruleset
ip rule show
ip route show table all

记录实际输出的内核版本，而不是只记录软件包名称。升级后也要重跑配置测试，尤其是节点包含 REALITY、fingerprint 或特定传输字段时。OpenWrt 上的配置路径由软件包和启动脚本决定，下文统一用 /etc/xray/config.json 举例。

dokodemo-door、TPROXY 与策略路由怎样衔接

dokodemo-door 提供接收流量的入站。开启 followRedirect 后，它可按透明接管机制取得原始目标地址。它本身不会创建 nftables 规则，也不会替系统建立策略路由。仅在 inbounds 中增加一个端口，终端流量仍然不会自行进入这个端口。

下面是 Xray 的入站配置片段，使用 12345 接收 TCP 与 UDP。它只展示 inbounds 部分；实际运行还需要有效的 outbounds、日志设置及防火墙配套。监听所有 IPv4 地址是为了配合本地透明投递，防火墙必须限制访问来源，不能把这个端口开放到公网。

{
  "inbounds": [
    {
      "tag": "transparent-in",
      "listen": "0.0.0.0",
      "port": 12345,
      "protocol": "dokodemo-door",
      "settings": {
        "network": "tcp,udp",
        "followRedirect": true
      },
      "streamSettings": {
        "sockopt": {
          "tproxy": "tproxy"
        }
      }
    }
  ]
}

0x1 与表号 100 只是本例约定，部署前必须检查是否与其他策略路由冲突。代理进程自己的连接要使用另一套可识别的绕过条件，例如在出站 sockopt.mark 设置与接管标记不同的值，并在规则中优先返回。否则访问代理服务器的连接可能再次进入透明入站，形成递归。

• 接管前排除旁路由本机地址、管理网段、广播与组播等不应代理的目标。
• 单独处理代理服务器地址与代理进程流量；域名节点的地址变化也要纳入更新策略。
• PREROUTING 主要处理经过设备的流量，本机发起流量涉及 OUTPUT，不能照搬同一条 TPROXY 规则。
• REDIRECT 常用于 TCP 重定向；需要 UDP 时，不能只改入站的 network 而保留一套仅接管 TCP 的防火墙规则。

本文不提供跨固件通用的 nftables 全量脚本。应通过 firewall4 支持的持久化机制接入规则，核对链的 hook、优先级和防火墙区域权限。临时命令执行成功，不代表重载防火墙后仍然存在。

routing 分流与 DNS 分流要分别验证

防火墙决定哪些包进入内核，routing 决定进入后选哪个出站。两者不能互相替代。Xray 路由规则按顺序匹配，应把局域网直连等明确例外放在前面，再处理需要代理的目标；未匹配流量通常使用第一个出站，因此 outbounds 的排列本身也需要审查。

下面是路由片段，假定现有配置中已经定义名为 direct 的直连出站和名为 proxy 的有效节点出站。示例把来自透明入站的其他流量送往代理，属于便于验证的宽范围规则，并不是完整的地区分流规则。

{
  "routing": {
    "domainStrategy": "IPIfNonMatch",
    "rules": [
      {
        "type": "field",
        "ip": [
          "10.0.0.0/8",
          "172.16.0.0/12",
          "192.168.0.0/16",
          "127.0.0.0/8"
        ],
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "inboundTag": ["transparent-in"],
        "outboundTag": "proxy"
      }
    ]
  }
}

IPIfNonMatch 不等于“所有域名都会先解析再分流”。当原始目标是域名且已有规则匹配时，不一定触发为路由匹配服务的解析。透明连接若只携带目的 IP，域名规则也不会凭空得到域名；可按需要评估 sniffing，但它不能识别所有加密协议，更不能代替 DNS 设计。

• 终端查询链：测试电脑应把查询发给 192.168.10.2:53，再由 dnsmasq 按计划选上游，避免上下游互相转发形成循环。
• 节点域名解析：代理尚未建立时也要能解析节点地址，不能让节点的首次解析完全依赖尚未连通的代理。
• 查询与连接出口：远端解析结果和最终出口应尽量协调，避免 DNS 选出的地址在实际出口不可达。
• 应用自带 DNS：浏览器加密 DNS 不走普通 53 端口，测试时应记录其设置，否则容易误判旁路由 DNS 没生效。
• IPv6 路径：AAAA 记录、IPv6 默认路由和 IPv6 接管必须一起核对。只配置 IPv4 不能推导出 IPv6 也经过代理。

按五步部署：先单客户端，再扩大范围

先保留一条可用的管理路径，再改变流量入口。以下菜单以 OpenWrt 24.10.x 的 LuCI 常见布局为准，主题与翻译可能略有不同。修改地址前备份配置，并记录主路由地址，以便将测试电脑恢复到原网关。

1. 备份网络

   进入「系统」→「备份/升级」，生成配置备份。记录当前 LAN 地址、DHCP 设置和防火墙区域，不在远程连接中直接替换整套规则。

2. 固定旁路由

   进入「网络」→「接口」→「LAN」→「编辑」→「基本设置」，核对静态地址 192.168.10.2、掩码 255.255.255.0 与 IPv4 网关 192.168.10.1。在「DHCP 服务器」→「常规设置」确认旁路由不重复分配地址。

3. 验证内核

   先用已有可用节点完善出站配置，执行配置测试。确认服务日志正常，再检查 12345 是否监听；此时暂不修改全网网关，也不开放面向所有终端的接管规则。

4. 接管一台

   把测试电脑网关和 DNS 改为 192.168.10.2，接管规则只匹配来源 192.168.10.100。先测 TCP，再测 UDP，逐层观察 nftables 计数、入站记录与出站标签。

5. 持久化复测

   核对「网络」→「DHCP/DNS」→「常规设置」中的 DNS 转发目标。通过本机控制台重载防火墙并重启设备，复测规则、策略路由与服务启动，全部通过后再扩大 DHCP 网关下发范围。

xray run -test -config /etc/xray/config.json
ss -lnptu
logread | grep -i xray
nft list ruleset
ip rule show
ip route show table 100
nslookup example.com 192.168.10.2

以上命令用于核对状态。若固件未安装 ss，先安装对应诊断工具，或使用固件现有的套接字查看命令。配置测试通过仅说明内核接受该配置，不能证明远端节点可达；DNS 查询成功也仅证明此次查询返回了结果，不能证明网页请求选择了正确出站。

如何定位能解析、打不开与 UDP 失败

故障排查按包经过的顺序进行。先确认测试电脑使用的网关，再检查接管计数，之后检查内核日志，最后看远端连接。不要在同一轮测试中同时换 DNS、换节点和改防火墙，否则即使恢复访问，也难以知道是哪项修改起作用。

性能验收要固定测试条件。例如连续发起 10 次同一 HTTPS 请求，记录成功次数、连接耗时和下载期间 CPU 占用；再比较单连接与多连接结果。这是建议的测量方法，不是本文的实测成绩。路由器标称网口速率不能代表加密转发吞吐，CPU、散热、MTU 和节点链路都可能成为限制。

旁路由与桌面客户端怎样分工

旁路由适合承接稳定的家庭网络策略，桌面客户端适合设备离开局域网后的独立连接。同一条订阅可以用于不同设备，但订阅文本不是可以直接交给内核执行的配置文件。旁路由侧仍需生成对应的节点出站、路由规则和更新机制，且不能在导入新节点时覆盖透明入站与防回环设置。

部署完成的标准不是“进程还在运行”，而是终端网关正确、接管链命中、DNS 去向明确、出站符合规则，且重启后仍能复现。保留原网关和配置备份，可以在旁路由维护时把终端恢复到主路由，避免一次节点更新影响整个局域网。