開啟 3 天免費試用
註冊即可免費體驗全部高級功能。
*只限新用戶；每位用戶只可獲得一次試用。
OpenWrt 旁路閘道：單臂連接設定與管理存取還原
Ryan Foster
2026年10月11日· 7 分鐘讀完
OpenWrt 旁路閘道可以接收指定客戶端的 IPv4 流量，再經同一條 LAN 連線送到現有主路由。主路由繼續負責 DHCP，只改一部測試裝置，並先核對回程，才判斷這個安排是否符合網絡策略要求。
關鍵要點
- 橋接交換埠不代表已成為第三層閘道。
- 保留唯一 DHCP 服務及未被佔用的固定管理地址。
- 單臂路徑可能出現非對稱回程與 ICMP 重新導向。
- 更改 IPv4 閘道不會自動改變 IPv6。
- 測試失敗先還原客戶端原本的閘道與 DNS。
OpenWrt 旁路閘道可以控制甚麼？
本文適用於 OpenWrt 25.12 穩定系列及 fw4/nftables，以一條 Ethernet 連線接入可信家庭 LAN，只涉及一部獲授權客戶端。步驟按官方文件及協議行為編寫，未進行完整裝置端到端實測，沒有量度結果或強制執行可靠性承諾。［1］
先完成自建路徑與維護責任檢查。旁路閘道可用來學習路由，或執行經設計的服務。如果只是想更改裝置的公網出口，先比較私人網絡控制與日常上網出口，再決定是否值得多維護一部路由器。
OpenWrt 單臂路由透過同一 LAN 裝置收發路由封包。主路由可以直接回覆客戶端，繞過 OpenWrt；其他 LAN 裝置亦可直接互通。這種拓撲不能阻止客戶端自行選用原閘道，亦不會自動變成透明代理或 VPN。
步驟 1：記下雙向路徑，保留管理地址
下列為示例地址，自己的網段不同便要替換。分配前查閱主路由租約、靜態保留及現有裝置，排除衝突。ping 沒有回應並不足以證明地址空閒。
| 角色 | 示例 | 責任 |
|---|---|---|
| 主路由 | 192.168.8.1/24 | 原有上網閘道、DHCP 及既有 DNS |
| OpenWrt | 192.168.8.2/24 | 固定管理地址及測試轉送 |
| 測試客戶端 | 192.168.8.10/24 | 最初用 .1，其後 IPv4 改用 .2 |
| 管理電腦 | 原有獨立租約 | 維持 .1 閘道，直接連 .2 |
預期出站是客戶端 → OpenWrt → 主路由 → WAN。沒有來源地址轉換時，普通 IPv4 回程可能是主路由 → 客戶端。兩個方向都要記下，只畫單向箭嘴會掩蓋最重要的限制。
按照新路由器準備清單核對地址、韌體及管理基礎。私密備份 OpenWrt，只記錄主路由設定而不更改。確認有線本地還原方法，記下測試客戶端原閘道、DNS、地址模式及 IPv6 狀態。
同樣的路徑也可以用 Debian 主機代替 OpenWrt 實現；dae 旁路閘道教學介紹了這種做法及其 DNS 與恢復。
步驟 2：在隔離狀態設定 OpenWrt
檢查地址及 DHCP 之前，不要將出廠 OpenWrt LAN 接入現有網絡。它可能佔用主路由地址，也可能發出自己的 DHCP 資料。先只直連管理電腦，保存私密備份，再設定未被佔用的固定地址。
在 Network → Interfaces 編輯既有 LAN，保留實際橋接或裝置分配。選用靜態 IPv4，輸入 .2/24，上游 IPv4 閘道設為 .1，並為 OpenWrt 本身設定獲准且可達的解析器。使用 LuCI 回復保護核對及套用；必要時將管理電腦移至新網段再連線。［2］
下方只展示欄位關係，不能覆蓋整份現有設定。ACTUAL_LAN_DEVICE 須對應實際連接埠已設定的裝置；DNS .1 亦假設主路由真的在此提供解析服務。
config interface 'lan'
option device 'ACTUAL_LAN_DEVICE'
option proto 'static'
option ipaddr '192.168.8.2'
option netmask '255.255.255.0'
option gateway '192.168.8.1'
list dns '192.168.8.1'
在旁路裝置停用 LAN DHCPv4，並將 LAN 的 RA、DHCPv6 及 NDP 代理服務設為 disabled。LuCI 內既要核對 DHCP ignore，也要檢查 IPv6 服務選項。主路由仍是服務負責人；不要停用主路由 DHCP，也不要未審視便照搬一般「啞 AP」做法。［3］
完成後才把一個已核對的 LAN 埠接入現有 LAN。不要多接一條未受管理的線形成迴圈，也不要猜測埠名便將 WAN 橋接至 LAN。DSA 橋接成員描述第二層連通；閘道地址與路由則屬邏輯介面。［4］
步驟 3：確認轉送後才切換一部客戶端
從管理電腦建立新的 .2 管理連線，確認電腦仍經 .1 上網，DHCP 仍來自預期主路由。失去存取時，使用本地管理頁面還原檢查，不要在 WAN 開放管理。
檢查 OpenWrt IPv4 路由表：應有 LAN 直連路由，以及經實際 LAN 裝置前往 .1 的預設路由。有路由不等於有防火牆權限。查看實際 LAN 區域轉送策略，只允許獲授權測試客戶端需要的 IPv4 轉送，包括必要的同區轉送。原有寬鬆 LAN 策略如已允許，須如實記錄邊界，不能稱為隔離執行。［2］［5］
保留可信管理網絡的現有 input 權限，不要為排錯把所有 input 或 forward 設成 ACCEPT。若由另一防火牆管理器負責，停止並由其負責人實施窄權限。本文不安裝代理、隧道或內容檢查服務。
只更改測試客戶端：保留已預留地址與子網，將 IPv4 閘道設為 .2。最初維持原 DNS，避免同時改變路由和解析。若系統要手動地址才能覆蓋閘道，先記下全部原值，並確保地址已保留且不與租約衝突。不要更改全域 DHCP 閘道選項，亦不要讓全屋裝置一起續租。
旁路路由器 DNS 與回程應如何運作？
DNS 要獨立決定。 用 .1 解析時，客戶端在同子網直接連到它，無須經 .2。用 .2 時，OpenWrt 須真的運行可達 DNS 服務，上游查詢使用路由器本身的路由。兩種選擇都不能證明一般應用流量經過旁路閘道。［3］
| 檢查方法 | 預期現象 | 失敗處理 |
|---|---|---|
| 查看客戶端地址、閘道與 DHCP 伺服器 | 原有身份、閘道 .2、DHCP 仍由主路由提供 | 還原客戶端設定，檢查第二個服務 |
| 查看 OpenWrt 路由並建立新請求 | 出站進入 OpenWrt，再送往 .1 | 核對轉送權限與下一跳可達性 |
| 查看一條獲准且限定範圍流量的封包標頭或計數 | 已知回程，包括直接回覆 | 回程繞過時不聲稱雙向檢查 |
| 使用所選 DNS 查詢新名稱 | 查詢與上游路徑符合設計 | 還原 DNS，確認解析服務存在 |
| 重複新請求後查看客戶端路由 | 有效下一跳沒有意外重新導向 | 檢查 ICMP 重新導向，停止強制執行承諾 |
| 重做 IPv6 檢查 | IPv6 符合另訂路徑 | 將主路由直連 IPv6 當作獨立路徑 |
同一鏈路存在較佳下一跳時，Linux 可以發送 ICMP 重新導向。客戶端可能改為直接用 .1，即使已儲存閘道仍顯示 .2。因此要查看有效路由與下一跳，而非只看欄位。內核文件說明 send_redirects 及 accept_redirects；如需更改，只針對實際裝置並保留原值，不能全域改無關介面。［6］
不要啟用寬泛 LAN 地址偽裝來掩蓋非對稱回程。強制策略若需要雙向都經閘道，應停止並由負責人設計獨立路由子網/VLAN，或審視範圍明確的來源地址轉換。橋接本身不能保證這一點。
步驟 4：檢查 IPv6、斷電及還原
主路由 IPv6 RA 仍可給客戶端直連 IPv6 預設路由；單改 IPv4 閘道不會移動它。建立真正下游 IPv6 網絡時，按照前綴委派及防火牆程序，不要在共享 LAN 開第二個 RA 服務作捷徑。
在測試客戶端按支援的地址族查看公網出口。本例只轉送，公網 IPv4 通常仍是主路由 WAN。地址不變屬正常，但不能證明 OpenWrt 已轉送出站請求，仍要配合路由及轉送證據。
基線正常後，在維護時段只為獲授權旁路裝置斷電。經 .2 的新 IPv4 請求應失敗；經 .1 的管理電腦則應保留原路徑。DNS 若改到 .2 亦可能失效，IPv6 可能繼續直連。這些差異須實際量度，不能當作自動回落保證。
先將測試客戶端閘道、DNS 還原為記下的原值，通常是 .1，或回復原 DHCP 模式。建立新請求，核對解析、兩個地址族及管理連線。旁路裝置恢復供電後，重查路由、DNS 及 DHCP 才再次使用。
結束操作時先還原客戶端，再拔除旁路裝置與現有 LAN 的連線，最後在本地還原舊設定。只有隔離後才可重開舊 DHCP/RA，不能讓競爭服務重返現網。只撤銷本次防火牆或 sysctl 改動，對照原值，保留無關設定，並確認主路由與未參與客戶端仍正常。
總結
- 保留唯一管理地址，停用競爭服務後才接入現網。
- 只改一部客戶端 IPv4 閘道，管理電腦維持原路徑。
- 獨立驗證 DNS、非對稱回覆、重新導向及 IPv6。
- 先還原客戶端，再斷開或重新設定旁路閘道。
常見問題
旁路閘道等於無線接入點嗎？
不等於。接入點橋接資料幀，閘道則要接收路由封包、選下一跳並有轉送權限。同一裝置可兼任，但須分開檢查。
兩部路由器都應提供 DHCP 嗎？
這個共享子網只保留主路由提供 DHCP。第二個服務即使地址池沒有重疊，也可能提供矛盾的閘道或解析器資料。
經旁路由上網後，為何公網 IP 仍然不變？
本例仍經原主路由，沒有新增上網出口。通常仍顯示其 WAN 地址，應用內部路徑證據確認旁路轉送。
所有回覆都會經過 OpenWrt 嗎？
未必。主路由可直接回覆同子網客戶端。需要對稱路徑的服務，須採用能保證該路徑的拓撲或經審視的轉換設計。
客戶端可繞過旁路閘道嗎？
可以。同子網直達、接受重新導向、手動選主閘道及直連 IPv6 都是其他路徑，不能把此拓撲當成強制安全執行。
DNS 應指向旁路地址嗎？
只有該處有正常且獲准的 DNS 服務，而且你確實打算使用它才改。首次路由測試保留原 DNS，再獨立更改及驗證解析。
旁路路由器斷電後應改甚麼？
只還原測試客戶端的原閘道、DNS 或 DHCP 模式。不要重設主路由，它仍負責全屋原有連線及地址服務。
來源:
- OpenWrt — 25.12.0 release notes — https://openwrt.org/releases/25.12/notes-25.12.0
- OpenWrt — Static routes — https://openwrt.org/docs/guide-user/network/routing/routes_configuration
- OpenWrt — DHCP and DNS configuration — https://openwrt.org/docs/guide-user/base-system/dhcp ; odhcpd configuration reference — https://git.openwrt.org/project/odhcpd/plain/README.md
- OpenWrt — Bridging all LAN ports — https://openwrt.org/docs/guide-user/network/dsa/dsa-common-config-1-bridging-all-lan-ports
- OpenWrt — Firewall configuration — https://openwrt.org/docs/guide-user/firewall/firewall_configuration
- Linux kernel — IP sysctl — https://www.kernel.org/doc/html/latest/networking/ip-sysctl.html
Sources checked 2026 年 10 月 11 日。
延伸閱讀:
