Настройка OpenClash передаёт плагину маршрутизатора управление ядром Mihomo, захватом трафика и интеграцией DNS. Надёжная установка начинается с совпадения прошивки, формата пакета, firewall backend и архитектуры ядра, затем проверяется один разрешённый клиент. Сохраните проводное восстановление и возвращайте прежние маршруты и DNS при любом провале приёмки.［1］［2］

Ключевые выводы

Пакет LuCI и исполняемое прокси-ядро — отдельные компоненты.

OpenWrt 25.12 использует apk; старые инструкции opkg не взаимозаменяемы.

Импортируйте только свою или разрешённую конфигурацию без онлайн-конвертера.

Запущенное ядро не подтверждает трафик клиента, DNS, IPv6 и доступ управления.

Какую среду охватывает настройка OpenClash?

Базовая версия плагина — OpenClash v0.47.156. Сверяйте её release-инструкции и версионные зависимости с поддерживаемой установкой OpenWrt для вашего оборудования. Основная ветвь здесь — OpenWrt 25.12, apk и firewall4/nftables. Объявление OpenWrt описывает переход на apk и прекращение обновлений безопасности 24.10 после сентября 2026 года. Не выбирайте неподдерживаемую прошивку ради знакомых команд opkg.［1］［2］［3］

Это процедура читателя на основе официальных материалов, не авторский сквозной тест роутера и не общая гарантия совместимости. Текущий upstream guide объясняет владение настройками, но меняется; для базовой версии приоритетны выпуск и исходники v0.47.156. Запишите вместе сборку прошивки, плагин, ядро и CPU-архитектуру.［4］

Планирование самостоятельного обслуживания помогает назначить оператора и ответственность за восстановление. Если нужен лишь интернет-доступ одного устройства, сравните выход всего устройства и отдельного приложения до изменений общего шлюза. Процедура не подразумевает, что управляемый VPN предоставляет подписки OpenClash или поддержку роутера.

Шаг 1: Как выполняется установка OpenClash в вашей среде?

Используйте свой разрешённый роутер с физическим доступом и проводным клиентом на известном LAN-порту. До установки изучите поддержку устройства OpenWrt и его восстановление. Подготовка прошивки маршрутизатора помогает установить точную модель, разметку flash, адрес управления и способ восстановления.

На разрешённом роутере начните с инвентаризации только чтения. Не публикуйте полный вывод, если в нём есть идентифицирующие адреса и сведения устройства. command -v показывает наличие инструмента, но не подтверждает владельца работающего firewall.

ubus call system board
uname -r
df -h /overlay /tmp
command -v apk
command -v opkg
command -v nft

Компонент	Необходимое соответствие	Когда остановиться
Устройство и прошивка	Поддерживаемая модель и обслуживаемая сборка	Модель не поддержана или нет восстановления
Формат пакета	apk и соответствующий `.apk` на 25.12	Попытка установить `.ipk` через apk
Firewall backend	Зависимости firewall4/nftables этой ветви	Смешение legacy iptables и nftables
Модули ядра	Сборка для установленного ядра и feeds	Несовпадение ABI или зависимостей
Прокси-ядро	Поддерживаемый Mihomo для реального CPU/ABI	Неизвестная сборка, неверная архитектура или поля
Диск и память	Место для плагина, ядра, правил и обновлений	Недостаток места для транзакции или распаковки

В определении зависимостей v0.47.156 перечислены dnsmasq-full, bash, curl, ca-bundle, ip-full, Ruby/YAML, kmod-tun и unzip; firewall4 выбирает nftables-поддержку. Это перечень требований, не приказ вслепую заменить работающий DNS. Другая семья пакетов или kernel feed требует отдельного согласования.［2］

Архитектурно независимый пакет LuCI не делает бинарное ядро независимым от CPU. Выбирайте поддерживаемый executable через документированное управление ядром и проверяйте показанную версию. Номер плагина 0.47.156 не является версией Mihomo; nightly не следует выбирать незаметно.

Если у вас ImmortalWrt и матрица исключает OpenClash, HomeProxy — другой плагин со своими проверками установки и отката; в штатных фидах OpenWrt его нет.

Шаг 2: Сохраните резервную копию и установите пакет

В разделе backup/firmware LuCI создайте backup конфигурации и сохраните его закрыто вне роутера. Также оставьте точный поддерживаемый образ прошивки, список пакетов, текущие DNS и default route, прежние профили и override-файлы OpenClash. Архив конфигурации не обязательно содержит всю прошивку и вручную установленные пакеты.［3］

До продолжения подтвердите доступ к известному адресу управления по проводу. Запишите, как остановить плагин и восстановить DNS без будущего туннеля. Сохраните чужие службы шлюза и состояние повседневных прокси- и VPN-клиентов; эксперимент для всей сети недопустим без её согласованного владельца.

Получите v0.47.156 из официального release, выбрав формат своей прошивки. На основной системе используйте ветвь nftables/apk; старые ipk/opkg и iptables показывают различия, но не служат командами для той же машины. Просмотрите транзакцию перед подтверждением.［1］

Если штатная загрузка пакета через LuCI поддерживает этот asset, используйте её. При ошибке доверия подписи, конфликте или зависимости остановитесь и разберите условие по документации проекта и прошивки. Не обходите отказ force-overwrite, подавлением зависимостей или общим разрешением неподписанных пакетов. Случайный однострочный установщик не является способом восстановления.

Оставьте плагин выключенным до подготовки ядра, профиля и восстановления. Установка интерфейса — только пакетная операция, не готовность перехватывать трафик. Если транзакция меняет DNS-пакеты, проверьте ответ прежнего LAN-резолвера до следующего шага.

Шаг 3: Импортируйте разрешённый профиль локально

Подготовьте собственную либо разрешённую конфигурацию с протоколом и полями выбранного ядра. Импортируйте через управление конфигурациями плагина, проверьте выбранный профиль и итог после overrides. Используйте безопасную обработку конфигурационных секретов, не отправляя подписку онлайн-конвертеру.

Когда подписка необходима, используйте только разрешённый источник и храните URL закрыто. На время ограниченного опыта отключите её scheduled refresh, чтобы профиль не сменился незаметно. Не публикуйте QR-коды, provider tokens, целые профили и debug-архивы с аккаунтными данными.

Проверьте endpoint узла, аутентификацию, TLS-идентичность, транспорт и задуманные правила, не называя это успешным соединением. Не отключайте проверку сертификата ради несовпадения. Документированная проверка выбранного ядра/плагина подтверждает синтаксис, а не доступность endpoint или разрешение его использовать.

До захвата защитите управление: осмотрите сгенерированный API-слушатель и Secret, включая вход панели маршрутизатора. Защита контроллера Mihomo описывает узкое прослушивание, отказ без прав, доверенные файлы и ротацию. Не открывайте управление и API в WAN без отдельного разрешённого проекта аутентифицированного входа.

Шаг 4: Как связаны маршрутизация DNS OpenClash и захват?

В настройках плагина выберите документированный режим для установленного ядра и firewall backend. Поведение адресов DNS и перехват трафика различаются: Fake-IP или Redir-Host не заменяют захват и обратную маршрутизацию. Не выбирайте подпись режима только потому, что её видно на скриншоте другой прошивки.［4］

Начните с одного разрешённого клиента через access control и оставьте проводного администратора вне захвата. Запишите DNS, переданный DHCP, forwarding dnsmasq, слушатель плагина, upstream bootstrap и маршрут ядра наружу. Собственные запросы роутера возникают иначе, чем пересылаемые запросы клиента, и требуют отдельной политики.

Сохраните локальный DNS authority и записи LAN. Исключение имени всё равно должно достигать резолвера, знающего это имя; публичный DNS не заменяет локальную службу. Избегайте двух конкурирующих владельцев перехвата DNS и не меняйте зашифрованный DNS всех браузеров при установке.

В v0.47.156 откройте Services → OpenClash → Plugin Settings → Black&White. Выберите White List Mode (lan_ac_mode=1), внесите только постоянный LAN-адрес тестового клиента в LAN Proxied Host List (lan_ac_white_ips) и не включайте управляющий клиент. Для Fake-IP сначала выберите DNS Settings → Redirect Local DNS Setting → Firewall Redirect (enable_redirect_dns=2): upstream требует это сочетание для клиентского access control. Общий forwarding dnsmasq сам по себе не подтверждает изоляцию клиентов. Сохраните прежние значения до применения; после него сравните свежие DNS-ответы и путь трафика исключённого клиента с baseline, дополнительно к доступу управления. Если исключение не работает, остановите плагин и верните сохранённые настройки до продолжения.［5］

У IPv6 должна быть явная область. Если выбранный режим не обеспечивает нужный путь, отметьте его вне принятого охвата и не обещайте защиту. Не выключайте IPv6 или защиту браузера глобально ради простого примера. До теста опишите прямые исключения и любой допустимый fallback.

Шаг 5: Проверьте трафик и управление независимо

Включайте плагин штатным LuCI-контролем только после предыдущих проверок. Подтвердите запуск выбранного ядра и изучите локально сохранённую стартовую диагностику. Зелёный индикатор и открытая панель не подтверждают исходную задачу клиента или путь DNS.

Таблица задаёт ожидаемые условия, а фактические результаты записываете вы. Выбирайте свои либо разрешённые назначения и UDP-службы. Ограничьте наблюдения тестовым клиентом, не захватывая содержимое чужих домашних и рабочих соединений.

Метод	Ожидаемый признак	Действие при ошибке
Просмотр старта ядра и профиля	Загружены выбранная версия и конфигурация	Остановить плагин, исправить несоответствие
Повтор исходной задачи клиента	Нужное правило и outbound	Раздельно проследить захват и выход
Сравнение DNS клиента с настройками	Запланированный путь запросов	Вернуть DNS до расширения захвата
Требуемые UDP и IPv6	Каждый отвечает заявленной области	Ограничить область или остановиться
Запрос самого роутера	Его политика понятна	Проверить bootstrap и исключение self-proxy
LuCI/SSH по проводу	Независимое управление сохранено	Остановить захват и перейти к восстановлению
Остановка ядра в ограниченном опыте	Отказ/fallback соответствует плану	Отклонить непредусмотренный прямой выход

Если задача включает публичный выход, проверьте видимый IP тестового запроса, затем отдельно DNS, IPv6, UDP и разрыв. Новый публичный адрес не доказывает одинаковый путь всех LAN-клиентов и роутера. Оставьте незатронутых клиентов контрольной группой.

После приёмки сохраните только намеренную постоянную конфигурацию и проверьте lifecycle в разрешённом окне. Перезагрузка необязательна, если нарушит работу сети; тогда её устойчивость остаётся непроверенной, а не успешно испытанной. Не расширяйте access control до успешных ограниченных проверок и восстановления.

Шаг 6: Остановите плагин и восстановите сеть

Используйте штатный stop плагина; ниже команда для разрешённого роутера. Она касается только OpenClash, не другие прокси- и VPN-клиенты. При отказе от установки выключите автозапуск нормальным способом управления.

/etc/init.d/openclash stop

Сравните default routes, policy rules, firewall-объекты, DNS forwarding и локальные ответы с baseline. Остановленный процесс не доказывает исчезновение созданного сетевого состояния. Возвращайте только изменённые этой установкой параметры средствами исходной прошивки, затем проверьте новое клиентское соединение и управление.

При потере управления используйте подготовленное проводное или специфичное для модели восстановление. Верните исходную DNS-службу и настройки до зависимости от интернет-загрузок. Не очищайте весь firewall, не начинайте с factory reset и не удаляйте чужие маршруты ради прохождения теста.

Удаляйте пакет лишь после устранения зависимости трафика и DNS от плагина; храните приватные профили до подтверждённого восстановления. Версионный пакет имеет собственные действия удаления файлов, поэтому stop, backup и uninstall — разные операции. Отзовите раскрытые подписки или credentials узла, а не только удалите их локальные копии.［2］

Итоги

Сопоставьте прошивку, пакет, firewall-зависимости и архитектуру ядра.
Сохраните закрытые внешние backup и проводное управление.
Отдельно проверьте клиента, DNS, запросы роутера и отказ.
Останавливайте штатным lifecycle и подтверждайте возврат маршрутов и DNS.

Часто задаваемые вопросы (FAQ)

Является ли пакет OpenClash одновременно ядром Mihomo?

Плагин LuCI управляет настройками и сетью, отдельное ядро выполняет прокси-трафик. Запишите обе версии и выберите бинарный файл по архитектуре роутера и поддержанным возможностям.

Можно ли использовать opkg на OpenWrt 25.12?

OpenWrt 25.12 использует apk с другим форматом и командами транзакций. Выбирайте соответствующую поддерживаемую ветвь вместо смешения ipk-инструкций с apk-установкой.

Нужно ли принудительно ставить несовпадающий модуль ядра?

Остановитесь при несовпадении ядра или зависимостей. Модули должны соответствовать прошивке и feeds; принуждение способно сломать сеть, не обеспечив недостающую возможность.

Безопасен ли онлайн-конвертер подписки при установке?

Подписка может раскрывать многоразовые credentials и сведения endpoint. Импортируйте разрешённый профиль локально из доверенного источника, не отдавая его постороннему конвертеру.

Доказывает ли панель охват всех устройств?

Панель подтверждает только управление. Проверьте задачу выбранного клиента, DNS, IPv6, UDP и fallback отдельно, а при необходимости также собственные запросы роутера.

Стоит ли выключить IPv6 ради меньшего числа проверок?

Не меняйте IPv6 глобально лишь для упрощения приёмки. Определите поддерживаемый путь и проверьте его либо обозначьте ограничение до расширения эксплуатации.

Восстановит ли uninstall исходную сеть автоматически?

Удаление не заменяет сравнение маршрутов, firewall и DNS с backup. Остановите плагин, осознанно восстановите зависимости и подтвердите управление и новые клиентские соединения до удаления.

Отказ от ответственности: Описаны официальные интерфейсы и ожидаемые проверки, а не полный авторский опыт роутера или испытанная матрица совместимости. Работайте в разрешённой сети и используйте восстановление своей модели.

Источники:

OpenClash — v0.47.156 release — https://github.com/vernesong/OpenClash/releases/tag/v0.47.156
OpenClash — v0.47.156 package definition — https://github.com/vernesong/OpenClash/blob/v0.47.156/luci-app-openclash/Makefile
OpenWrt — 25.12.0 stable release announcement — https://lists.openwrt.org/pipermail/openwrt-announce/2026-March/000081.html
OpenClash — Official user-guide entry — https://github.com/vernesong/OpenClash/blob/dev/.github/skills/openclash-user-guide/SKILL.md
OpenClash — v0.47.156 DNS and LAN access-control settings — https://github.com/vernesong/OpenClash/blob/v0.47.156/luci-app-openclash/luasrc/model/cbi/openclash/settings.lua

Sources checked 11 октября 2026 г.

Статьи по теме:

Настройка OpenClash в OpenWrt с планом восстановления