OpenWrt旁路由搭建教程：主路由不改配置实现全屋IP隔离

工作室网络要改IP隔离，但主路由是运营商光猫自带的路由器，不能刷固件、不能改配置、甚至管理员密码都不知道。怎么办？

旁路由就是答案。它串在你的网络里，主路由完全不用动，所有需要IP隔离的设备把网关指向旁路由就行。不需要的设备照常走主路由，互不干扰。

旁路由的核心优势：零改动主路由、即插即用、可随时拔掉恢复原状、支持灵活的分流规则。特别适合租的房子、公司网络、或者主路由是光猫一体机没法换的场景。

一、旁路由原理：一张图看懂

先搞清楚旁路由和主路由的关系，后面的配置才好理解。

─────────── 网络拓扑图 ───────────┐
│                                    │
│  光猫/主路由 (192.168.1.1)         │
│       │                            │
│       ├── 普通设备（手机/电脑）     │
│       │    网关: 192.168.1.1       │
│       │    → 直连主路由上网         │
│       │                            │
│       └── OpenWrt旁路由            │
│            (192.168.1.2)           │
│                 │                  │
│            ┌────────┐            │
│            │ 交换机   │            │
│            └────┬────┘            │
│                 │                  │
│         需要IP隔离的设备组          │
│         网关: 192.168.1.2          │
│         → 流量经旁路由处理         │
│         → 可走静态IP/动态IP出口    │
└────────────────────────────────────┘

关键逻辑：旁路由本身不分配IP（DHCP仍由主路由负责），它只处理"经过它"的流量。设备把默认网关指向旁路由的IP，流量就会先经过旁路由，再由旁路由转发出去。

二、旁路由 vs 主路由方案对比

三、硬件准备

四、完整搭建SOP

1 刷入OpenWrt固件

根据你的硬件型号，去 OpenWrt 官网或固件下载站找到对应固件：

• 友善R2S/R4S：下载对应型号的 .img.gz 固件，用 balenaEtcher 写入TF卡
• x86小主机：下载 x86_64 的 .img.gz 固件，用 balenaEtcher 写入U盘或SSD
• 旧笔记本：下载 x86_64 固件，U盘启动安装
• # 刷写完成后，首次启动
  # R2S/R4S: 默认LAN口IP 192.168.1.1
  # x86: 默认LAN口IP 192.168.1.1
  #
  # 用网线连接电脑和旁路由LAN口
  # 电脑设静态IP: 192.168.1.100/24
  # 浏览器访问 http://192.168.1.1
  # 默认密码: password
• 2 修改旁路由IP地址（避免与主路由冲突）

登录OpenWrt后台后，第一步改IP：

• 进入网络 → 接口 → LAN → 编辑
• IPv4地址改为 192.168.1.2（主路由是1.1，旁路由用1.2）
• 子网掩码 255.255.255.0
• 勾选"忽略此接口"（DHCP，让主路由继续负责分配IP）
• 保存并应用，之后用 192.168.1.2 访问旁路由
• 注意："忽略此接口"必须勾选！否则旁路由和主路由的DHCP会冲突，导致设备获取到错误网关。
• 3 配置旁路由网关和DNS

继续在 LAN 接口编辑页面：

• 网关：填主路由IP 192.168.1.1
• DNS服务器：填 223.5.5.5, 114.114.114.114（或你信任的DNS）
• LAN接口配置摘要：
   协议: 静态地址
   IP:   192.168.1.2
   掩码: 255.255.255.0
   网关: 192.168.1.1
   DNS:  223.5.5.5, 114.114.114.114
   DHCP: 忽略（由主路由负责）
• 4 开启IP转发和防火墙放行

进入网络 → 防火墙：

• 确认 转发（Forward） 设为 "接受"
• 如果后续要做分流/IP代理，在自定义规则里加：
• # 允许LAN到WAN的转发
  iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
  
  # 如果旁路由是单网口模式（eth0同时做LAN和WAN）
  # 确保IP转发已开启
  echo 1 > /proc/sys/net/ipv4/ip_forward
• 单网口 vs 双网口区别：单网口旁路由只有一个eth0，LAN和WAN共用这个口（靠VLAN或桥接区分）。双网口旁路由 eth0 做WAN接主路由，eth1 做LAN接设备。单网口配置更简单，双网口性能更好。
• 5 配置需要IP隔离的设备

这一步是关键——让需要独立IP的设备把网关指向旁路由：

• 方式A（手动设置）：在设备网络设置里，把网关从 192.168.1.1 改成 192.168.1.2，DNS也改成 192.168.1.2
• 方式B（DHCP预留）：如果主路由支持DHCP静态分配，给目标设备绑定IP后，在旁路由上做策略路由
• 方式C（全部走旁路由）：如果所有设备都需要IP隔离，直接在主路由里把DHCP的默认网关改成 192.168.1.2
• # 设备端网络配置示例（以手机为例）
  WiFi设置 → 高级 → 手动配置IP
   IP地址:   192.168.1.50（主路由DHCP分配的）
   子网掩码: 255.255.255.0
   网关:     192.168.1.2  ← 改成旁路由IP
   DNS:      192.168.1.2  ← 也改成旁路由IP
• 6 在旁路由上配置IP分流规则

设备流量经过旁路由后，可以通过策略路由让不同设备走不同的出口IP：

# 安装 iproute2（如果没装）
opkg update
opkg install iproute2

# 创建路由表
echo "100 table_wan1" >> /etc/iproute2/rt_tables
echo "200 table_wan2" >> /etc/iproute2/rt_tables

# 规则：来自192.168.1.50的流量走table_wan1
ip rule add from 192.168.1.50 table table_wan1
# 规则：来自192.168.1.51的流量走table_wan2
ip rule add from 192.168.1.51 table table_wan2

# 每个路由表配置对应的出口网关
ip route add default via [wan1网关IP] table table_wan1
ip route add default via [wan2网关IP] table table_wan2

配合IP多多使用：如果只有一条宽带但需要多个出口IP，在旁路由上安装IP多多客户端，通过策略路由让不同设备绑定不同的静态/动态IP出口。静态IP适合养号挂机，动态IP适合注册换号。

7 验证配置

在已配置网关为旁路由的设备上：

• 打开浏览器访问 myip.ipip.net，确认显示的IP是预期出口
• ping 测试延迟：ping baidu.com，确认网络通畅
• 旁路由后台 状态 → 实时监控 里能看到该设备的流量经过
• 验证通过标准：设备能正常上网，IP查询显示的是旁路由配置的出口IP（而非主路由的公网IP）。旁路由后台能看到该设备的实时流量。拔掉旁路由后，设备改回原网关（192.168.1.1）即可恢复原状。

五、上线前自查表

• 旁路由固件刷入成功，能通过192.168.1.2访问管理后台
• LAN接口IP已改为192.168.1.2，与主路由不冲突
• DHCP已设为"忽略"，不会与主路由DHCP冲突
• 网关指向主路由192.168.1.1，DNS配置正确
• 防火墙转发已开启，MASQUERADE规则已添加
• 目标设备网关已改为192.168.1.2
• 设备能正常上网，IP查询显示正确出口IP
• 拔掉旁路由后设备改回原网关可恢复正常

六、常见问题与排障

Q1：设备设了网关为旁路由但上不了网？

先ping旁路由IP（192.168.1.2）确认设备能到旁路由。再ping主路由IP（192.168.1.1）确认旁路由能到主路由。最后检查防火墙MASQUERADE规则是否生效：iptables -t nat -L POSTROUTING。如果规则为空，手动执行添加命令。

Q2：旁路由和主路由IP冲突了怎么办？

两者默认都是192.168.1.1就会冲突。先把旁路由的LAN IP改成192.168.1.2（或其他不冲突的地址），保存后用新IP访问。如果已经冲突导致都访问不了，把旁路由拔下来，电脑直连旁路由LAN口，设静态IP 192.168.1.100，访问192.168.1.1改IP后再插回网络。

Q3：单网口旁路由和双网口旁路由怎么选？

单网口够用且便宜（R2S一百多块），适合10台以内设备。双网口（R4S或x86小主机）性能更强，适合设备多或需要跑额外服务（如去广告、Docker）的场景。核心区别是双网口LAN和WAN物理隔离，不抢带宽。

Q4：旁路由挂了会影响其他设备吗？

不会。只有网关指向旁路由（192.168.1.2）的设备会断网，其他直连主路由的设备不受影响。把断网设备的网关改回192.168.1.1就能临时恢复。这也是旁路由最大的优势——可逆、安全、不影响全局。

Q5：旁路由能当主路由用吗？

技术上可以，但不建议。旁路由的设计定位就是"辅助路由"，硬件性能和功能完整性不如专业主路由。如果需要旁路由承担更多功能（多WAN口、QoS、大规模设备管理），建议直接上爱快软路由方案。

七、旁路由 + 爱快的组合方案

两种方案不冲突，可以叠加使用：

这种组合适合已经用爱快做了基础分流，但还需要对某些特殊设备（比如直播推流设备）单独做IP策略的场景。旁路由串在爱快的LAN下面，对上层网络完全透明。

🔧 旁路由配好了，需要IP资源配合？

IP多多提供国内静态/动态IP服务，静态IP养号挂机，动态IP注册换号

立即注册（邀请码：BSX9UVHX）→

IP多多新用户专属福利

通过下方邀请码注册，即可开启独立IP环境，享受专属优惠

• 🔗 官方邀请码注册（必须邀请码）：https://ipduoduo.cn/register?invite=BSX9UVWX
• 门户官网：www.ipduoduo.cn
• 🔑 登录入口：ipduoduo.cn

IP多多 — 国内IP节点聚合平台，为工作室组网提供静态/动态IP资源。