开启 3 天免费试用
注册即可免费体验全部高级功能。
*仅限新用户；每位用户只能获得一次试用。
OpenWrt 旁路网关：单臂连接配置与管理访问恢复
Ryan Foster
2026年10月11日· 7 分钟阅读
OpenWrt 旁路网关可接收指定客户端的 IPv4 流量，再经同一 LAN 连接转发到既有主路由。让主路由继续负责 DHCP，只改一台测试客户端，并检查返程，之后才能判断这种拓扑是否适合所需网络策略。
关键要点
- 桥接交换端口不等于建立三层网关。
- 保留唯一 DHCP 服务和未占用的固定管理地址。
- 单臂路径可能有非对称返程和 ICMP 重定向。
- 改 IPv4 网关不会自动改变 IPv6 路径。
- 测试失败时先恢复客户端原网关和 DNS。
OpenWrt 旁路网关能控制什么？
本文适用 OpenWrt 25.12 稳定系列、fw4/nftables，使用一条以太网连接接入可信家庭 LAN，只涉及一台获授权客户端。步骤依据官方文档和协议行为，未进行完整设备端到端实测，没有测量结果或强制执行可靠性承诺。［1］
先完成自建路径及维护责任检查。旁路网关适合学习路由或承载有明确设计的服务。若只是改变终端公网出口，先比较私网控制与日常互联网出口，再决定是否值得多维护一台路由器。
OpenWrt 单臂路由在同一个 LAN 设备上收发路由包。主路由可能直接向客户端回包，绕过 OpenWrt；LAN 内其他设备也能直接互通。这不是阻止客户端自行选择原网关的安全边界，也不会自动成为透明代理或 VPN。
步骤 1：记录双向路径，保留管理地址
以下均为示例地址，实际网段不同就替换。分配之前查看主路由租约、静态保留及既有设备，排除冲突。仅凭 ping 不响应不能认定地址空闲。
| 角色 | 示例 | 责任 |
|---|---|---|
| 主路由 | 192.168.8.1/24 | 原互联网网关、DHCP 和既有 DNS |
| OpenWrt | 192.168.8.2/24 | 固定管理地址及测试转发 |
| 测试客户端 | 192.168.8.10/24 | 起初用 .1，随后 IPv4 改用 .2 |
| 管理电脑 | 原有独立租约 | 继续以 .1 为网关，直接访问 .2 |
出站预期为客户端 → OpenWrt → 主路由 → WAN。不做源地址转换时，普通 IPv4 返程可能为主路由 → 客户端。两条路径都要记录，只画单向箭头会隐藏最重要的限制。
按新路由准备清单检查地址、固件和管理基础。私密备份 OpenWrt，只记录而不修改主路由设置。确认有线本地恢复方法，保存测试客户端原网关、DNS、地址配置模式及 IPv6 状态。
同样的路径也可以用 Debian 主机代替 OpenWrt 实现；dae 旁路网关教程介绍了这种做法及其 DNS 与恢复。
步骤 2：隔离状态下配置 OpenWrt
未检查地址和 DHCP 前，不要把出厂默认 OpenWrt LAN 接入现网。它可能与主路由地址相同，还会广播自己的 DHCP 服务。先只直连管理电脑，私密备份，再设置未占用的固定地址。
在 Network → Interfaces 编辑既有 LAN。保留真实桥或设备分配，选择静态 IPv4，填写 .2/24，上游 IPv4 网关为 .1；为 OpenWrt 自身设置获准且可达的解析器。使用 LuCI 回退保护审查并应用，必要时让管理电脑进入新网段后重连。［2］
以下片段只说明字段关系，不能覆盖既有整文件。ACTUAL_LAN_DEVICE 必须是实际端口对应的已配置设备；DNS .1 仅在主路由确实提供解析服务时适用。
config interface 'lan'
option device 'ACTUAL_LAN_DEVICE'
option proto 'static'
option ipaddr '192.168.8.2'
option netmask '255.255.255.0'
option gateway '192.168.8.1'
list dns '192.168.8.1'
在旁路设备关闭 LAN DHCPv4 服务，并将 LAN 的 RA、DHCPv6、NDP 代理服务设为 disabled。LuCI 中既要检查 DHCP 的 ignore，也要检查 IPv6 服务选项。主路由继续负责这些服务；不要关闭主路由 DHCP，也不要未审查就照搬通用“哑 AP”配置。［3］
完成后才将一个已核对的 LAN 口接入现网。不要再接未经管理的第二条线制造环路，也不要凭猜测的端口名将 WAN 桥入 LAN。DSA 桥成员描述二层连通，网关地址和路由属于逻辑接口。［4］
步骤 3：先确认转发，再切换一台客户端
从管理电脑新建到 .2 的管理会话，确认电脑互联网网关仍为 .1，DHCP 服务仍来自预期主路由。失去管理访问时，使用本地管理入口恢复检查，不要开放 WAN 管理面。
查看 OpenWrt IPv4 路由表，应有 LAN 直连路由，以及经实际 LAN 设备到 .1 的默认路由。有路由不代表有防火墙权限。审查实际 LAN 区域转发策略，只允许授权测试客户端所需 IPv4 转发，包括必要的同区转发。如果既有宽泛 LAN 策略已经放行，应如实记录边界，不能称作隔离执行。［2］［5］
保留可信管理网的现有 input 权限，不能为排障把所有 input 或 forward 改成 ACCEPT。若规则由其他防火墙管理器负责，停止并由其负责人实现窄权限。本文不安装代理、隧道或内容检查服务。
只在测试客户端保留地址及掩码，将 IPv4 网关改为 .2。初次保留原 DNS，避免一次同时改变路由和解析。系统若必须手动设地址才能覆盖网关，记录全部原值，确认地址已保留且不与租约冲突。不要改全局 DHCP 网关选项，也不要让全家设备一起续租。
旁路路由器 DNS 和返程如何工作？
DNS 是独立决策。 解析器为 .1 时，客户端可在同网段直接访问它，不需要经 .2。解析器为 .2 时，OpenWrt 必须实际运行可达的 DNS 服务，其上游请求使用 OpenWrt 本机路由。任一种选择都不能证明普通应用流量经过旁路网关。［3］
| 检查方法 | 预期现象 | 失败处理 |
|---|---|---|
| 查看客户端地址、网关及 DHCP 服务器 | 保留身份、网关 .2、DHCP 仍来自主路由 | 恢复客户端设置，检查第二个服务 |
| 查看 OpenWrt 路由并新建客户端请求 | 出站进入 OpenWrt，再发往 .1 | 检查转发权限和下一跳可达性 |
| 检查一条获授权且限定范围流的包头或计数 | 明确返程，包括直接回包 | 绕过 OpenWrt 时不声称双向检查 |
| 经所选 DNS 查询新名称 | 查询与上游路径符合设计 | 恢复 DNS，确认解析服务存在 |
| 多次新请求后读取客户端路由 | 有效下一跳未被意外重定向 | 检查 ICMP 重定向，停止强制策略承诺 |
| 重复 IPv6 检查 | IPv6 符合独立定义的路径 | 将主路由直连 IPv6 作为独立路径处理 |
同链路存在更优下一跳时，Linux 可能发送 ICMP 重定向。客户端可能因此直接用 .1，即使保存的网关仍显示 .2。检查有效路由和下一跳，不只看配置字段。内核文档列出 send_redirects 和 accept_redirects；任何修改都应仅针对实际设备，并保存原值以便恢复，不能全局改无关接口。［6］
不要开启宽泛 LAN 伪装来掩盖非对称返程。若强制策略要求双向流量都经过网关，应停止，改由负责人设计独立路由子网/VLAN，或审查范围明确的源地址转换。桥接本身无法提供这个保证。
步骤 4：检查 IPv6、掉电与恢复
主路由的 IPv6 RA 仍可能为客户端提供直连 IPv6 默认路由；只改 IPv4 网关不会改变它。建立真正的下游 IPv6 网络时，遵循前缀委派与防火墙步骤，不能在共享 LAN 上开第二个 RA 服务走捷径。
在测试客户端按支持的地址族查看公网出口。本例只是转发，公网 IPv4 通常仍为主路由 WAN。地址不变符合预期，却不能证明 OpenWrt 转发了出站请求；须结合路由和转发证据。
基线正常后，在维护窗口仅对获授权旁路设备断电。经 .2 的新 IPv4 请求应失败，管理电脑经 .1 应保留原路径。DNS 若迁到 .2 也可能失败，IPv6 可能继续直连。这些是应测量的差异，不能承诺自动回落。
先将测试客户端网关和 DNS 恢复记录的原值，通常为 .1，或恢复原 DHCP 模式。新建请求，检查解析、两个地址族及管理访问。旁路设备重新通电后，重新核对路由、DNS 和 DHCP，再恢复使用。
结束练习时，先恢复客户端，再拔掉旁路设备与现网的连接，最后本地恢复其旧配置。只有隔离后才能恢复旧 DHCP/RA，不能把竞争服务重新带入现网。仅撤销本次防火墙或 sysctl 改动，对照保存基线，保留无关设置，并确认主路由和一台未参与客户端仍正常。
总结
- 保留唯一管理地址，关闭竞争服务后才接入现网。
- 只改一台客户端 IPv4 网关，管理电脑仍走原路径。
- 分别验证 DNS、非对称回包、重定向及 IPv6。
- 先恢复客户端，再断开或重新配置旁路网关。
常见问题
旁路网关等同无线接入点吗？
不等同。接入点桥接帧，网关则须接收路由包、选择下一跳并具备转发权限。同一设备可兼有两种角色，但需要分别检查。
两台路由器都应提供 DHCP 吗？
同一共享子网只保留既有主路由提供 DHCP。即使地址池不重叠，第二个服务器也可能发出冲突网关或 DNS 信息。
公网 IP 为什么不变？
本例继续经原主路由转发，没有增加互联网出口。通常仍显示其 WAN 地址，要靠内部路径证据确认旁路转发。
每个回包都会经过 OpenWrt 吗？
不一定。主路由可以直接向同子网客户端回包。需要对称路径的服务必须采用能够保证该路径的拓扑或经过审查的转换设计。
客户端可以绕过旁路网关吗？
可以。同网段直达、接受重定向、手动选主网关及直连 IPv6 都提供其他路径。不要视这种拓扑为强制安全执行。
DNS 应指向旁路地址吗？
只有该处确有获授权且正常的解析服务，并且你打算使用它时才改。首次路由测试保留原 DNS，再单独修改和验证解析。
旁路设备掉电后应改什么？
仅恢复测试客户端原网关、DNS 或原 DHCP 模式。不要重置主路由，它仍负责全家的原连接和地址服务。
来源:
- OpenWrt — 25.12.0 release notes — https://openwrt.org/releases/25.12/notes-25.12.0
- OpenWrt — Static routes — https://openwrt.org/docs/guide-user/network/routing/routes_configuration
- OpenWrt — DHCP and DNS configuration — https://openwrt.org/docs/guide-user/base-system/dhcp ; odhcpd configuration reference — https://git.openwrt.org/project/odhcpd/plain/README.md
- OpenWrt — Bridging all LAN ports — https://openwrt.org/docs/guide-user/network/dsa/dsa-common-config-1-bridging-all-lan-ports
- OpenWrt — Firewall configuration — https://openwrt.org/docs/guide-user/firewall/firewall_configuration
- Linux kernel — IP sysctl — https://www.kernel.org/doc/html/latest/networking/ip-sysctl.html
Sources checked 2026 年 10 月 11 日。
延伸阅读:
