OpenClash 安裝讓路由器插件管理 Mihomo 核心、流量捕獲及 DNS 整合。可靠部署先匹配韌體、套件格式、防火牆後端與核心架構，再檢查一部獲授權客戶端，最後才擴大範圍。保留有線還原通道，任何驗收失敗都應回復原路由及 DNS。［1］［2］

關鍵要點

LuCI 插件套件與執行代理流量的核心是兩個組件。

OpenWrt 25.12 使用 apk，不能直接套用舊 opkg 指令。

只匯入自有或獲授權設定，不經網上轉換。

核心運作不證明客戶端、DNS、IPv6 或管理通道可用。

本文適用於哪種 OpenClash 安裝？

插件基線為 OpenClash v0.47.156，依照該發行版及版本化依賴定義，配合硬件受支援、仍維護的 OpenWrt。主要分支是 OpenWrt 25.12、apk 及 firewall4/nftables。OpenWrt 公告說明 apk 遷移，以及 24.10 在 2026 年 9 月後停止提供保安更新；不要為沿用熟悉 opkg 指令而選擇不再維護的韌體。［1］［2］［3］

本文是按官方資料設計的讀者程序，並非作者完整路由器實測或全面兼容承諾。上游指南說明插件控制及設定歸屬，但內容會變，基線以 v0.47.156 發行說明和原始碼優先。實際韌體構建、插件、核心版本及 CPU 架構應一起記錄。［4］

用自建方案的決策方法確定操作者及還原責任。如果只需一部終端上網，先比較整機與程式出口的範圍，再改動其他人依賴的閘道。本文不表示託管 VPN 提供 OpenClash 訂閱或路由器支援。

步驟 1：建立 OpenClash 依賴檢查矩陣

選擇你擁有或有權管理的路由器，具備實體存取，以及連到已知 LAN 連接埠的有線客戶端。更改套件前閱讀該型號的 OpenWrt 支援與還原方法，按路由器韌體準備清單確認型號、快閃儲存佈局、管理位址及救援方法。

以下唯讀清點可建立授權路由器基線。輸出可能含裝置身份與位址，不應完整公開。command -v 只表示工具存在，不能證明它就是運作中防火牆的所有者。

ubus call system board
uname -r
df -h /overlay /tmp
command -v apk
command -v opkg
command -v nft

組件	必須匹配	停止條件
裝置與韌體	受支援硬件及仍維護構建	型號不支援或無可用還原
套件格式	25.12 的 apk 與對應 `.apk`	嘗試用 apk 安裝 `.ipk`
防火牆後端	該分支 firewall4/nftables 依賴	混用舊 iptables 與 nftables 方法
內核模組	與實際內核及套件來源匹配	ABI 或依賴不兼容
代理核心	適合 CPU/ABI 的受支援 Mihomo	來源不明、架構不符或欄位不支援
儲存與記憶體	足夠插件、核心、規則及更新	交易或解壓空間不足

v0.47.156 依賴定義包括 dnsmasq-full、bash、curl、ca-bundle、ip-full、Ruby/YAML、kmod-tun 及 unzip，firewall4 選擇 nftables 支援。這是需求說明，不是盲目替換運作中 DNS 服務的指令；其他套件系列或內核來源須另行匹配。［2］

LuCI 套件不受架構限制，不代表核心執行檔與 CPU 無關。經項目文件支援的核心管理選擇程式並核對版本；插件 0.47.156 不是 Mihomo 核心版本，也不可暗中選 nightly。

如果你用的是 ImmortalWrt，而對照表排除了 OpenClash，HomeProxy是另一種插件，有各自的安裝與回滾檢查；原版 OpenWrt 的官方套件源不提供它。

步驟 2：備份並從可信來源安裝

在 LuCI 備份／韌體頁產生設定備份，私人保存到路由器以外。另保留準確可用韌體映像、套件清單、原 DNS 與預設路由，以及既有 OpenClash 設定檔和覆寫。設定壓縮檔不自動等於完整韌體或所有手動安裝套件。［3］

繼續前確認有線通道可到達已知管理位址，記下不依賴未來隧道的停止插件及還原 DNS 方法。保留他人閘道服務與日常代理、VPN 客戶端的原有狀態，不在未批准的共用網絡進行整部路由器實驗。

從官方項目發行版取得 v0.47.156，選擇匹配韌體的格式。本文主系統只使用 nftables/apk 依賴分支；舊 ipk/opkg 及 iptables 用來辨識差異，不是同一部機可混用的替代指令。接受之前檢查安裝交易。［1］

若韌體支援經 LuCI 上載該發行資產，使用正常套件安裝入口。簽署信任、衝突或依賴阻止安裝時，停下按項目與韌體文件解決，不用 force-overwrite、不略過依賴，也不設定通用未簽署套件例外。未知一鍵安裝或第三方重製套件不是還原捷徑。

核心、設定及還原準備好之前保持插件停用。安裝介面只證明套件步驟完成，不代表已可捕獲流量。若交易改動 DNS 套件，先確認原區域網絡解析器仍可回答，再繼續。

步驟 3：在本機匯入獲授權設定

準備自有或獲准使用、協議及欄位獲所選核心支援的設定，透過插件設定管理匯入，核對選定檔案及覆寫後的有效設定。採用不披露憑證的設定處理方法，不把訂閱交給網上轉換器。

必須訂閱時，只用獲授權來源並私下保存 URL。限定測試期間關閉排程更新，避免設定被悄悄替換；不公開 QR code、提供者權杖、完整設定或包含帳戶資料的除錯壓縮檔。

檢查節點端點、認證、TLS 身份、支援傳輸及預期規則，不把欄位核對寫成連線成功。身份不符不能靠略過憑證驗證修復。用所選核心或插件的文件化檢查功能驗證；語法接受不證明端點可達或使用已獲授權。

捕獲前先保護管理面，查看產生的控制監聽及 Secret，包括路由器面板入口。Mihomo 控制器保護程序涵蓋窄監聽、未獲授權拒絕、可信面板及輪換。未另行設計並授權認證入口時，不將路由器管理或 API 開放至 WAN。

步驟 4：匹配 OpenClash DNS 分流及捕獲

在插件設定選擇官方有說明、與實際核心及防火牆後端匹配的運作模式。DNS 位址行為與流量攔截不同，Fake-IP 或 Redir-Host 不能取代捕獲及回程路由。不要只因另一韌體截圖使用某標籤便照選。［4］

透過存取控制只納入一部授權客戶端，把有線管理客戶端留在捕獲以外。記錄 DHCP 提供的解析器、dnsmasq 轉送、插件 DNS 監聽、上游引導及核心出站路由。路由器自有請求與轉送客戶端來源不同，需要獨立政策。

保留原區域網絡 DNS 權威及本地記錄。名稱例外仍須到達知道該名稱的解析器，公網 DNS 不能取代本地命名。避免兩個 DNS 捕獲負責人競爭，也不要安裝期間更改所有裝置的瀏覽器加密 DNS。

v0.47.156 中，開啟「服務 → OpenClash → 插件設定 → 黑白名單」，選擇白名單模式（lan_ac_mode=1），在代理主機名單（lan_ac_white_ips）只填測試客戶端的固定區域網絡位址，不加入管理客戶端。使用 Fake-IP 時，先在「DNS 設定 → 本地 DNS 劫持」選擇防火牆轉送（enable_redirect_dns=2）；官方要求此配合條件才能使用 Fake-IP 客戶端存取控制，共用 dnsmasq 轉送本身不能證明逐客戶端隔離。套用前保存這些欄位原值；套用後除管理存取外，亦要將被排除客戶端的新 DNS 答案及流量路徑與基線比較。排除失敗便停插件，還原已保存設定後才繼續。［5］

IPv6 要有明確範圍；所選模式未建立所需路徑時，標示不在已驗收涵蓋內，不承諾保護。不要為配合簡單例子而全域關閉 IPv6 或瀏覽器保安功能。直連例外及後備行為應在測試前寫清。

步驟 5：獨立驗收流量及管理

完成前述檢查後，才經 LuCI 正常控制啟動插件，確認指定核心執行，並在本機查看啟動診斷。綠色指示或可開面板，都不證明原客戶端任務成功或 DNS 路徑正確。

下表列出預期條件，實際結果由你記錄。測試目的地及 UDP 服務應自有或獲准連接；證據只涉及測試客戶端，不擷取家庭或工作場所其他用戶內容。

檢查方法	預期現象	失敗處理
查看核心啟動及選定設定	版本與設定符合預期	停插件並修正匹配
重做客戶端原任務	沿預期規則與出站執行	分別追查捕獲及出站
比較客戶端 DNS 與有效設定	查詢走計劃解析路徑	擴大捕獲前還原基線 DNS
測試所需 UDP 及 IPv6	各自滿足聲明範圍	收窄範圍或停止，不從 TCP 推斷
路由器本身發出請求	自有流量政策清楚	核對引導與自我代理排除
有線存取 LuCI/SSH	管理仍獨立可用	立即停止捕獲並還原
限定測試中停止核心	失敗或後備符合設計	拒絕非預期直連逃逸

涉及公網出口時，核對測試請求的可見出口，再分別驗證 DNS、IPv6、UDP 及斷線。公網 IP 改變不證明所有區域網絡裝置或路由器自身走同一路徑；保留未調整客戶端作基線。

通過驗收後只保存有意保留的持久設定，在授權時段檢查生命週期。重新啟動會中斷網絡時可以不做，但須記錄重新啟動後持久化未驗證，不宣稱成功。限定檢查及還原均通過之前，不擴大存取控制。

步驟 6：停用插件並還原網絡

使用插件正常停止控制；以下是授權路由器的服務指令，只影響 OpenClash，不涉及其他代理或 VPN 程式。撤回部署時也經正常入口停用自動啟動。

/etc/init.d/openclash stop

對照保存基線查看預設路由、政策規則、防火牆對象、DNS 轉送及本地解析。程序停止不證明產生的網絡狀態消失；只用原韌體支援控制還原本次改動，再檢查一個新客戶端連線及管理存取。

失去管理時，使用已準備的有線或型號專用還原方法。先恢復原 DNS 服務及設定，再依賴互聯網下載。不要清除整個防火牆、首先重設出廠，或移除無關閘道路由來通過測試。

流量及 DNS 不再依賴插件後才移除套件，確認還原之前保留私人設定。版本化套件有自身檔案移除行為，因此停止、備份與移除是不同動作。若訂閱或節點憑證洩漏，須撤銷，不能只刪除本機副本。［2］

總結

匹配受維護韌體、套件格式、防火牆依賴與核心架構。
保留私人機外備份及有線管理。
分別核對一部授權客戶端、DNS、路由器流量與失敗行為。
按插件生命週期停止，確認原路由與 DNS 已還原。

常見問題

OpenClash 套件就是 Mihomo 核心嗎？

LuCI 插件管理設定及網絡，另一核心處理代理流量。記錄兩個版本，按路由器架構與支援功能選擇執行檔。

OpenWrt 25.12 可否使用 opkg 指令？

OpenWrt 25.12 使用 apk，套件格式與交易指令不同。使用匹配且仍維護的韌體分支，不把舊 ipk 指令混入 apk 安裝。

內核模組不符時應否強制安裝？

內核或依賴不兼容便停止。模組須與韌體及套件來源一致；強制交易可能破壞網絡，也不能證明缺少能力已補足。

網上訂閱轉換適合安裝時使用嗎？

訂閱可能包含可重用憑證及端點資料。應從可信來源在本機匯入獲授權設定，不交給無關轉換服務。

路由器面板能證明所有裝置被代理嗎？

面板只證明管理存取。分別驗收指定客戶端原任務、DNS、IPv6、UDP 及後備，必要時另查路由器本身請求。

應否關閉 IPv6 減少檢查？

不要只為簡化驗收而全域改動 IPv6。定義並核對支援路徑，或在擴大部署前清楚說明涵蓋限制。

移除插件會自動還原原網絡嗎？

移除不能取代路由、防火牆及 DNS 與基線比較。先停插件、有意還原依賴，確認管理及新客戶端連線後才移除。

免責聲明：本文描述官方介面及讀者預期檢查，沒有聲稱完整作者路由器實驗或已驗證兼容矩陣。只在授權網絡操作，採用裝置文件的還原方法。

來源:

OpenClash — v0.47.156 release — https://github.com/vernesong/OpenClash/releases/tag/v0.47.156
OpenClash — v0.47.156 package definition — https://github.com/vernesong/OpenClash/blob/v0.47.156/luci-app-openclash/Makefile
OpenWrt — 25.12.0 stable release announcement — https://lists.openwrt.org/pipermail/openwrt-announce/2026-March/000081.html
OpenClash — Official user-guide entry — https://github.com/vernesong/OpenClash/blob/dev/.github/skills/openclash-user-guide/SKILL.md
OpenClash — v0.47.156 DNS and LAN access-control settings — https://github.com/vernesong/OpenClash/blob/v0.47.156/luci-app-openclash/luasrc/model/cbi/openclash/settings.lua

Sources checked 2026 年 10 月 11 日。

延伸閱讀:

OpenClash 安裝與驗收：核心、DNS 分流及網絡還原