OpenClash 安装会让路由器插件接管 Mihomo 核心、流量捕获与 DNS 集成。可靠部署先匹配固件、包格式、防火墙后端和核心架构，再验证一台获授权客户端，最后才扩大范围。保留有线恢复通道，任一验收失败都应恢复原路由与 DNS。［1］［2］

关键要点

LuCI 插件包与执行代理流量的核心是两个组件。

OpenWrt 25.12 使用 apk，不能直接套用旧 opkg 指令。

只导入自有或获授权配置，不经在线转换。

核心运行不等于客户端、DNS、IPv6 或管理通道可用。

本文覆盖哪种 OpenClash 安装？

插件基线为 OpenClash v0.47.156，按该发行版说明及版本化依赖定义，搭配硬件受支持、仍维护的 OpenWrt。本文主分支为 OpenWrt 25.12、apk 与 firewall4/nftables。OpenWrt 官方公告说明了 apk 迁移及 24.10 在 2026 年 9 月后不再提供安全更新；不要为沿用熟悉 opkg 命令选择不受维护固件。［1］［2］［3］

本文是依据官方资料设计的读者操作流程，不是作者完整路由器实测或通用兼容承诺。上游用户手册说明插件控制与配置归属，但会变化，基线以 v0.47.156 发行版和源码为先。实际固件构建、插件、核心版本及 CPU 架构应一起登记。［4］

用自建方案决策方法确定操作者和恢复责任。如果只需一个终端访问互联网，先比较整机与应用出口的范围，再改所有人依赖的网关。本文不意味着托管 VPN 提供 OpenClash 订阅或路由器支持。

步骤 1：建立 OpenClash 依赖检查矩阵

选择你拥有或有权管理的路由器，具备物理访问及接到已知 LAN 端口的有线客户端。包变更之前阅读该机型的 OpenWrt 支持与恢复说明，按路由器固件准备清单确认准确型号、闪存布局、管理地址和恢复方法。

以下只读清点建立授权路由器基线。输出可能含设备身份与地址，不应完整公开。command -v 只说明工具存在，不证明它就是运行中防火墙的所有者。

ubus call system board
uname -r
df -h /overlay /tmp
command -v apk
command -v opkg
command -v nft

组件	必须匹配的条件	停止条件
设备与固件	受支持硬件和仍维护构建	型号不支持或无可用恢复
包格式	25.12 的 apk 与对应 `.apk`	试图用 apk 安装 `.ipk`
防火墙后端	本分支 firewall4/nftables 依赖	混用旧 iptables 与 nftables 配方
内核模块	与已安装内核及软件源匹配	ABI 或依赖不兼容
代理核心	适配实际 CPU/ABI 的受支持 Mihomo	来源不明、架构错误或字段不支持
存储与内存	容纳插件、核心、规则和更新	事务或解包空间不足

v0.47.156 依赖定义含 dnsmasq-full、bash、curl、ca-bundle、ip-full、Ruby/YAML、kmod-tun 与 unzip，firewall4 选择 nftables 支持。这是要求说明，不是盲目替换运行中 DNS 服务的命令；其他包系列或内核源须独立匹配。［2］

LuCI 包与架构无关，不代表核心二进制与 CPU 无关。经项目文档支持的核心管理选择可用程序，核对报告版本；插件 0.47.156 不是 Mihomo 核心版本，也不能悄悄选 nightly。

如果你用的是 ImmortalWrt，而对照表排除了 OpenClash，HomeProxy是另一种插件，有各自的安装与回滚检查；原版 OpenWrt 的官方软件源不提供它。

步骤 2：备份并从可信来源安装

在 LuCI 备份／固件页生成配置备份，私密保存到路由器外。另保留准确可用固件、包清单、原 DNS 与默认路由，以及已有 OpenClash 配置和覆写文件。配置压缩包不自动等于完整固件或全部手动安装包。［3］

继续前确认有线通道能访问已知管理地址，记下不依赖未来隧道的停插件和恢复 DNS 方法。保留他人的网关服务及日常代理、VPN 客户端的原状态，不在未经批准的共享网络开展整路由器实验。

从项目官方发行版取得 v0.47.156，选择匹配固件的格式。本文主系统只用该版 nftables/apk 依赖分支；旧 ipk/opkg 与 iptables 是识别差异的参考，不是同机可混用的替代指令。接受之前检查安装事务。［1］

若固件支持通过 LuCI 上传该发行资产，用其正常包安装入口。签名信任、冲突或依赖阻止安装时，应停下按项目和固件文档解决；不加 force-overwrite、不屏蔽依赖，也不设置通用未签名包豁免。未知一键脚本或第三方重打包不是恢复捷径。

核心、配置和恢复准备好之前保持插件停用。装好界面只证明包步骤完成，不代表可以捕获流量。事务若改变 DNS 包，先核对原局域网解析器仍能回答，再继续。

步骤 3：在本地导入授权配置

准备自有或获允许使用、协议及字段均受所选核心支持的配置，经插件配置管理导入，核对所选文件及覆写后的有效配置。采用不泄漏凭证的配置处理方法，不把订阅交给在线转换器。

确需订阅时，只用获授权来源，私下保存 URL。限定测试期间关闭定时刷新，避免测试配置被悄悄替换；不公开二维码、提供方令牌、完整配置或包含账户数据的调试压缩包。

核对节点端点、认证、TLS 身份、支持的传输及预期规则，不把字段检查描述为连接成功。不能用跳过证书验证修复身份不匹配。通过所选核心或插件的文档化检查功能验证配置；语法接受不证明端点可达或使用已获授权。

捕获前先保护管理面，检查生成的控制监听和 Secret，包括路由器面板入口。Mihomo 控制器保护步骤覆盖窄监听、未授权拒绝、可信面板与轮换。未另行设计并授权认证入口时，不把路由器管理和控制 API 开到 WAN。

步骤 4：匹配 OpenClash DNS 分流与捕获

在插件设置选择有官方说明、与实际核心和防火墙后端匹配的运行模式。DNS 地址行为与流量拦截不同，Fake-IP 或 Redir-Host 不能替代捕获及返程路由。不要仅因另一固件截图出现某名称就照选。［4］

通过访问控制只纳入一台授权客户端，将有线管理客户端留在捕获之外。登记 DHCP 下发解析器、dnsmasq 转发、插件 DNS 监听、上游引导路径和核心出站路由。路由器自产请求与转发客户端来源不同，必须独立制定策略。

保留原局域网 DNS 权威及本地记录。名称例外仍要到达知道该记录的解析器，公网 DNS 不能替代本地命名服务。避免两个 DNS 捕获所有者竞争，也不要在设置时修改所有设备的浏览器加密 DNS。

v0.47.156 中，打开“服务 → OpenClash → 插件设置 → 黑白名单”，选择白名单模式（lan_ac_mode=1），在代理主机名单（lan_ac_white_ips）中只填测试客户端的固定局域网地址，不加入管理客户端。使用 Fake-IP 时，先在“DNS 设置 → 本地 DNS 劫持”选择防火墙转发（enable_redirect_dns=2）；官方要求此配合条件才能使用 Fake-IP 客户端访问控制，共用 dnsmasq 转发本身不能证明逐客户端隔离。应用前保存这些字段原值；应用后除管理访问外，还要将被排除客户端的新 DNS 答案及流量路径与基线比较。排除失败就停插件，恢复所保存设置后再继续。［5］

IPv6 必须明确范围；所选模式没有建立需要的 IPv6 路径时，应记为不在已验收覆盖内，不承诺保护。不要为匹配简单例子全局关闭 IPv6 或浏览器安全功能。直连例外和预期回退行为要在测试前写清。

步骤 5：分别验收流量与管理

前述检查完成后，才经 LuCI 正常控制启动插件，确认所选核心运行，并在本机查看启动诊断。绿色指示或能打开面板，既不证明原客户端任务成功，也不证明 DNS 路径正确。

下表列预期条件，实际结果由你记录。测试目标和 UDP 服务应自有或获准访问；证据限于测试客户端，不抓取家庭或工作场所其他用户的内容。

检查方法	预期现象	失败处理
查看核心启动及所选配置	版本与配置符合预期	停插件并修正匹配
重复客户端原任务	按预期规则及出站执行	分别追查捕获和出站
比较客户端 DNS 与有效设置	查询按计划解析路径	扩大捕获前恢复基线 DNS
检查需要的 UDP 和 IPv6	各自满足声明范围	限缩范围或停止，不从 TCP 推断
从路由器本机请求	自产流量策略明确	核对引导与自我代理排除
有线访问 LuCI/SSH	管理仍独立可用	立即停捕获并恢复
限定测试期间停核心	失败或回退符合设计	拒绝非预期直连逃逸

涉及公网出口时，核对测试请求的可见出口，再分别验 DNS、IPv6、UDP 和断连行为。公网 IP 变化不证明所有局域网设备或路由器自身都走该路径；保留未调整客户端作为基线。

验收通过后，只保存有意保留的持久配置，在获授权窗口检查生命周期。重启会中断网络时可不做，但必须写为重启持久化未验证，不声称测试成功。限定检查与恢复均通过之前，不扩大访问控制。

步骤 6：停用插件并恢复网络

使用插件正常停止控制；下面是授权路由器上的服务命令，只影响 OpenClash，不涉及其他代理或 VPN 应用。撤回部署时，也经正常入口关闭自动启动。

/etc/init.d/openclash stop

对照保存基线检查默认路由、策略规则、防火墙对象、DNS 转发及本地解析。进程停止不证明生成的网络状态消失；只用原固件支持的控制恢复此次变更，再验证一个新客户端连接和管理访问。

管理丢失时，使用已准备的有线或机型专用恢复方法。先恢复原 DNS 服务与配置，再依赖互联网下载。不要全清防火墙、首先恢复出厂或删除无关网关路由来通过测试。

流量与 DNS 不再依赖插件后才卸载，恢复确认前保留私密配置。版本化包有自身文件移除行为，停止、备份和卸载是不同动作。泄漏订阅或节点凭证应撤销，不能只删本地副本。［2］

总结

匹配受维护固件、包格式、防火墙依赖和核心架构。
保留私密机外备份与有线管理。
分别验证一台授权客户端、DNS、路由器自产及失败行为。
按插件生命周期停止，并核对原路由与 DNS 恢复。

常见问题

OpenClash 包就是 Mihomo 核心吗？

LuCI 插件管理配置和网络，另一个核心执行代理流量。应记录两个版本，按路由器架构及支持功能选择二进制。

OpenWrt 25.12 可以使用 opkg 命令吗？

OpenWrt 25.12 使用 apk，格式和事务命令不同。采用匹配且仍维护的固件分支，不把旧 ipk 指令混入 apk 安装。

内核模块不匹配时应该强制安装吗？

内核或依赖不兼容就停止。模块必须与已安装固件及软件源一致，强制事务可能破坏网络，也不能证明缺失能力已补齐。

在线订阅转换适合安装时使用吗？

订阅可能包含可重复使用的凭证和端点信息。应从可信来源本地导入授权配置，不交给无关转换服务。

路由器面板能证明每台设备被代理吗？

面板只证明管理访问。应分别验收选定客户端原任务、DNS、IPv6、UDP 和回退，必要时另查路由器自产请求。

为减少检查应关闭 IPv6 吗？

不要只为简化验收全局改动 IPv6。先定义并核验受支持路径，或在扩大部署前明确覆盖限制。

卸载会自动恢复原网络吗？

卸载不能替代路由、防火墙及 DNS 与基线对照。先停止插件、有意恢复依赖，确认管理和新客户端连接后再移除。

免责声明：本文描述官方接口和读者预期检查，未声明完整作者路由器实验或已验证兼容矩阵。仅在授权网络操作，采用设备文档规定的恢复方法。

来源:

OpenClash — v0.47.156 release — https://github.com/vernesong/OpenClash/releases/tag/v0.47.156
OpenClash — v0.47.156 package definition — https://github.com/vernesong/OpenClash/blob/v0.47.156/luci-app-openclash/Makefile
OpenWrt — 25.12.0 stable release announcement — https://lists.openwrt.org/pipermail/openwrt-announce/2026-March/000081.html
OpenClash — Official user-guide entry — https://github.com/vernesong/OpenClash/blob/dev/.github/skills/openclash-user-guide/SKILL.md
OpenClash — v0.47.156 DNS and LAN access-control settings — https://github.com/vernesong/OpenClash/blob/v0.47.156/luci-app-openclash/luasrc/model/cbi/openclash/settings.lua

Sources checked 2026 年 10 月 11 日。

延伸阅读:

OpenClash 安装与验收：核心、DNS 分流及网络恢复