家里每台设备都要出海，一个个装客户端太折腾；主路由直接刷机，变砖全家断网。旁路由是 2026 年最稳的方案：主路由不动，只加一台"隐形"网关，想走代理的设备走它，不想走的完全不受影响。
本文是我自己在用的真实方案：NAS 虚拟机跑 OpenWrt，装 OpenBox 插件，改主路由 DHCP，全屋 WiFi 出海。跟着做，2 小时搞定。
方案对比：为什么选旁路由
| 方案 | 优点 | 缺点 | 适合 |
|---|---|---|---|
| 每台设备装客户端 | 不用折腾路由 | 设备多管不过来，电视/游戏机装不了 | 只有 1-2 台设备 |
| 主路由刷机 | 全屋生效 | 变砖风险，性能看路由器 | 敢折腾、路由器性能强 |
| 旁路由（本文） | 主路由不动，按设备分流，随时开关 | 需要一台 24 小时开机的设备 | 有 NAS / 软路由的人 |
旁路由的核心就一句话：把一台设备的网关和 DNS 指向旁路由 IP，它的流量就走代理了。改回去，立刻恢复直连。
架构总览（先看懂再动手）
光猫 → 主路由（192.168.31.1，负责 DHCP/WiFi，不动）
│
├── 普通设备：网关 192.168.31.1 → 直连
│
└── 出海设备：网关 192.168.31.167 → 旁路由
│
旁路由 OpenWrt（192.168.31.167）
+ OpenBox（sing-box 内核）
│
├── 国内流量 → 直连（geoip-cn 旁路）
└── 国外流量 → 代理节点
关键点：
- 旁路由不接管 DHCP，只做网关。主路由继续分配 IP。
- 旁路由 LAN 区必须开 IP 动态伪装（MASQUERADE），否则直连站点的回包对不上，会出现"只能上国外、打不开国内网站"。
- 终端改网关+DNS 就行，不用装任何软件。
准备工作
| 东西 | 说明 |
|---|---|
| NAS（24 小时开机） | 本文用飞牛 fnOS，Intel N150，有虚拟机功能。群晖、Unraid 同理 |
| OpenWrt 镜像 | x86/64 架构，官方下载页 选 releases → x86 → 64，下载 *-combined-ext4.img.gz |
| OpenBox | GitHub Releases，选 x64 完整安装包；或一键脚本（见下） |
| 代理订阅 | 你自己的机场/VPS 订阅链接（本文不推荐具体商家） |
[截图：飞牛 fnOS 虚拟机管理界面]
步骤一：NAS 虚拟机安装 OpenWrt
- 把下载的 OpenWrt img.gz 解压成 img，上传到 NAS。
- fnOS 打开虚拟机 → 新建 → 选"导入现有磁盘"，指向上传的 img。
- 配置：2 核 CPU / 1GB 内存 / 8GB 硬盘，网卡选桥接（Bridge），这样虚拟机和主路由同网段。
- 开机，等 1-2 分钟。
[截图：虚拟机创建界面，标注 CPU/内存/网卡桥接选项]
步骤二：OpenWrt 基础网络配置
- 进虚拟机控制台（VNC），或等它 DHCP 拿到 IP 后用浏览器进 LuCI。
- 先给旁路由固定 IP，避免 DHCP 变 IP 导致全家断网：
- LuCI → 网络 → 接口 → LAN → 编辑
- 协议改成静态地址，IPv4 地址填
192.168.31.167，子网掩码255.255.255.0 - IPv4 网关填
192.168.31.1（主路由） - DNS 填
192.168.31.1（先用主路由，OpenBox 装好后会接管）
- 保存应用。用
http://192.168.31.167能打开 LuCI 就对了。
[截图：LuCI 网络接口 LAN 配置页，标注静态 IP/网关/DNS 三处]
注意：旁路由的 LAN 防火墙区域要开 IP 动态伪装（MASQUERADE）：
- LuCI → 网络 → 防火墙 → LAN 区域 → 编辑 → 勾选"IP 动态伪装"
- 这一步漏了，直连流量回不来。
[截图：防火墙 LAN 区域设置，标注 IP 动态伪装勾选框]
步骤三：安装 OpenBox（一键脚本）
SSH 登录旁路由（root@192.168.31.167），执行：
curl -fsSL https://raw.githubusercontent.com/liandu2024/Open-Box/main/scripts/install.sh | sh
- 安装过程会问面板端口，默认 3036，直接回车。
- 需要 x86_64 架构、512MB 以上内存和存储（NAS 虚拟机一般都够）。
- GitHub 访问不畅时，用镜像：
curl -fsSL https://gh-proxy.com/raw.githubusercontent.com/liandu2024/Open-Box/main/scripts/install.sh | sh -s -- --mirror
装完浏览器打开 http://192.168.31.167:3036，首次访问设置面板密码。
[截图：OpenBox 面板登录页 / 首次设置密码页]
版本参考：本文实测 Open-Box v0.1.282，内核 sing-box 1.14.1。面板打不开时，去 LuCI → 服务 → Open-Box 有兜底页面可以启停服务。
步骤四：OpenBox 配置（订阅+策略）
- 面板 → 订阅管理 → 添加你的代理订阅链接 → 保存后点"更新订阅"，确认节点数大于 0。
- 策略组：默认策略已经可用（AI/YouTube/Netflix 等按地区自动选节点，国内直连）。
- 关键开关确认：
- TUN 自动接管：开启（流量自动进内核，不用每台设备配代理）
- DNS 分流 + FakeIP：开启（防止 DNS 污染）
- IPv6：关闭（除非你确认需要，IPv6 容易漏流量）
- 点"部署"或"重启内核"使配置生效。
[截图：OpenBox 订阅管理页] [截图：OpenBox 策略组页面，标注 AI/YouTube/国内直连几行]
步骤五：主路由改 DHCP（全屋生效的关键）
两种改法，任选一种：
方法 A：主路由 DHCP 改网关（推荐，全自动）
- 进主路由管理页 → DHCP 设置 → 网关填
192.168.31.167，DNS 填192.168.31.167 - 所有新连入的设备自动走旁路由。想让某台设备直连，就在那台设备上手动把网关改回
192.168.31.1
方法 B：单台设备手动改（先测试用）
- 手机 WiFi → 修改网络 → 高级 → IP 设静态 → 网关填
192.168.31.167、DNS 填192.168.31.167 - 先拿一台手机测试，确认没问题再改主路由 DHCP
[截图：主路由 DHCP 设置页，标注网关/DNS 两处] [截图：手机 WiFi 静态 IP 设置页]
验证是否生效
- 浏览器打开 ip.sb 或 ipinfo.io，看 IP 是不是变成代理节点的。
- 打开之前打不开的网站，能开就是通了。
- 国内网站（比如 12306、银行 App）正常打开，说明分流没问题——国内走直连，不绕路。
常见问题
Q：改了网关后全屋断网？ A：先把一台电脑网关改回 192.168.31.1 恢复。然后检查：旁路由 IP 能不能 ping 通？OpenBox 内核在不在运行？LAN 区 MASQUERADE 开了没？90% 的断网是这三处之一。
Q：只能上国外，打不开国内网站？ A：旁路由 LAN 区没开 IP 动态伪装（MASQUERADE）。按步骤二补上。
Q：旁路由重启后 IP 变了？ A：步骤二的静态 IP 没设，DHCP 分配的 IP 会变。固定 IP 是必须的。
Q：想临时关掉代理？ A：把设备网关改回主路由 192.168.31.1 就行，不用动旁路由。或者进 OpenBox 面板暂停内核。
Q：NAS 重启后旁路由没自启？ A：fnOS 虚拟机设置里把这台 OpenWrt 设为"随 NAS 启动"。
注意事项
- 旁路由的 IP（本文 192.168.31.167）不要和主路由 DHCP 池冲突，最好在主路由 DHCP 范围外固定。
- OpenBox 升级前先备份：面板 → 备份，或复制
/opt/open-box/data/openbox.sqlite。 - 订阅链接过期会导致节点全失效，定期检查节点数。
- 本文不推荐具体代理商家，订阅请用你自己的合规渠道。
本文基于真实环境编写：OpenWrt 25.12.5（x86/64 QEMU 虚拟机，Intel N150 NAS）+ Open-Box v0.1.282，2026 年 10 月实测。截图位置已标注，按图索骥即可。