乡祠庙内胡同

一些照片，一些书，一些闲话
从旁路由另开 WiFi，到同网段分流

从旁路由另开 WiFi，到同网段分流

一句话说明： 主路由只负责拨号和发 WiFi；旁路由与主路由同一网段，负责代理分流和广告拦截。需要翻墙的设备由 DHCP 标记把网关指到旁路由，其余设备默认直连。

和旧文的关系： 此前写过《旁路由小记》，那是「独立 WiFi 旁路由」方案——连旁路由自己的 WiFi 才走代理。本文是同一套硬件的下一版：主路由精简、旁路由同网段、加上 AdGuard，分流改由 DHCP 控制。

适合谁： 家里已有两台 OpenWrt 系路由器，想把「拨号 / WiFi」和「代理 / 广告拦截」拆开，并让孩子设备、智能家居默认不进代理。

本文来自家中一次真实改造（2026-10-16 晚至 10-17 凌晨）。已去掉宽带账号、密码、订阅、公网 IP、MAC、SSH 端口等敏感信息。局域网地址用常见的 192.168.8.x 示例。

一、要解决什么问题

旧方案的问题很具体：

  1. 旁路由另开一组 WiFi（WiFi A 和 WiFi B），家里 WiFi 名字多，设备要手动换网。
  2. 跨网段：打印机、投屏、NAS 发现在旁路由网段里不方便。
  3. 硬件和活不匹配：Cudy TR3000 体积小、性能弱，闪存只剩三十多 MB，再跑代理和广告拦截就吃力。GL.iNet MT5000 硬件强得多，却只在做拨号。
  4. 分流策略要落到「谁可以翻墙」：孩子设备和智能家居必须默认直连，不能误进旁路由。

思路很简单：让每台机器只做它扛得动的事。TR3000 只拨号、发 WiFi，一件事做稳；DHCP、代理分流、广告拦截这些重活，全部交给 MT5000。

目标定成四条：

  • 光猫后面只留一台「精简主路由」：PPPoE + WiFi + 防火墙，不做代理。
  • 原主路由改成同网段旁路由（.2）：PassWall 分流 + AdGuard。
  • 默认直连；需要代理的设备用 DHCP 标记下发网关 .2。
  • 孩子与智能家居继续连 Redmi AP（WiFi C），不得进旁路由。

二、最终拓扑

示意图
点击图片查看大图左右滑动查看完整图示

要点：

  • 全家仍在 192.168.8.0/24，不再有独立的 192.168.9.0/24。
  • DHCP 在旁路由 MT5000 上，主路由 TR3000 的 DHCP 已关闭。
  • 默认下发：网关 192.168.8.1，DNS 192.168.8.2。名单内设备额外用 DHCP tag 下发网关 192.168.8.2。

三、设备分工

设备 角色 地址 / 说明
Cudy TR3000 主路由 192.168.8.1；PPPoE、WiFi、防火墙；关闭 DHCP；已卸 PassWall / xray / sing-box
GL.iNet MT5000 同网段旁路由 192.168.8.2；DHCP、PassWall、AdGuard Home
小交换机 扩展有线口 TR3000 实际只有一个可用 LAN 口，下面接交换机再分给 MT5000 / Redmi / NAS 等
Redmi AX6000 纯 AP wifi_ap=1；SSID WiFi C；不发 DHCP；孩子与智能家居连它
笔记本、本人手机、iPad、NAS、Switch 旁路由名单 DHCP tag → 网关 .2；自定义主机名便于识别
孩子-S24U、孩子-平板、智能家居等 默认直连 网关 .1；DNS 仍是 .2（可拦国内广告）

PassWall 策略（非全局）：

  • 国内直连。
  • 微软、Steam 下载走直连（大流量、对延迟不敏感，不必挤代理带宽）。
  • 需要访问的海外站点按规则分流。

四、关键改造步骤

1. TR3000 接光猫做 PPPoE 主路由

  • LAN 地址改为 192.168.8.1。
  • 机身口标与软件口相反：光猫网线插在机身丝印为 LAN 的口才拨通（软件里该口是 WAN）。按丝印「WAN」插会一直拨不上。
  • 初期会碰到防火墙 masq、DNS 一类配置问题；拨通后用笔记本验证能上网即可。

2. 精简 TR3000：只留拨号和 WiFi

体检后修防火墙区划错误（例如 lan 区误挂 wan、masq 挂错口），然后卸载 PassWall、xray、sing-box 等代理相关包。留下：PPPoE、WiFi、防火墙。Overlay 空闲从大约 35MB 升到大约 89MB。WiFi 名称与密码未改。

3. 有线口必须进 br-lan（关键坑）

精简过程中一度出现：br-lan 只含无线口、没有把有线口加进去。表现是：WiFi 还能上，交换机下面所有有线设备全部不可达。处理：把有线口加入 br-lan，并确认配置已持久化（重启后仍在）。

4. 单 LAN 口 → 加小交换机

TR3000 精简后实际可用有线 LAN 往往只有一个（eth0 侧）。要同时接旁路由、AP、NAS，必须在这个口后面接一台小交换机，再往下分线。

5. MT5000 固定为 192.168.8.2

同网段旁路由。设备把默认网关指到 .2 就走 PassWall；指到 .1 就直连。笔记本验收时可见类似：default via 192.168.8.2。

6. DHCP 放在旁路由，用 tag 分流

  • 在 MT5000 开 DHCP；TR3000 上 DHCP 关掉，避免双 DHCP。
  • 默认：网关 .1，DNS .2 → 直连，DNS 仍可进 AdGuard。
  • 旁路由名单（笔记本、本人手机、iPad、NAS、Switch）：DHCP tag 下发网关 .2。
  • 名单设备与孩子设备在 DHCP / AdGuard 里写成可读主机名（如「孩子-S24U」「孩子-平板」），日志里才认得清是谁。

7. Redmi 作 AP，SSID 为 WiFi C

不发 DHCP。孩子与智能家居连 WiFi C，从旁路由 DHCP 拿地址，默认网关仍是 .1，不会进 PassWall。

8. AdGuard Home 装在 MT5000

  • DNS 监听端口 3053，管理页 :3000。
  • 规则：AdGuard DNS filter + anti-AD，每 24 小时更新。
  • PassWall 的直连 DNS 指到 127.0.0.1:3053：国内广告可拦；走代理的国外域名 DNS 不经 AdGuard（由代理链路自己解析）。

五、DNS 链路与踩坑

期望链路大致是：

客户端 →（DNS 到 .2）→ AdGuard(:3053) → 上游
旁路由名单设备 → 网关 .2 → PassWall
  ├─ 直连域名：DNS 用本机 127.0.0.1:3053（可拦广告）
  └─ 代理域名：DNS 走代理侧，不经 AdGuard

踩过的坑：

  1. 查询日志全是 localhost
    全家 DNS 若先经 dnsmasq 再转 AdGuard，AdGuard 客户端列表会把来源都显示成本机。开启 adguardhome.dns_enabled，让防火墙把 53 重定向到 3053 后，直连设备能显示真实来源 IP。

  2. 关掉 PassWall 的 dns_redirect 会全网断解析
    试过关掉以「让客户端名字更干净」，结果解析全挂，脚本已自动回滚。最终折中：直连设备在 AdGuard 日志里有真实名字；走旁路由的设备仍可能显示 localhost。够用就停，不必追求完美。

  3. 改 DNS / PassWall 前先完整备份
    用 sysupgrade 备份等到笔记本上的备份目录；改完带自动回滚（约 40 秒内解析不通则还原）。重启 PassWall 会短暂断网，改完留几分钟观察。

六、客户端侧两件小事

  1. iPad 关掉「私有无线局域网地址」
    否则 MAC 会变，DHCP 固定绑定和旁路由 tag 会失效，看起来像「有时走代理有时不走」。

  2. 笔记本「在家」检测脚本要认新主路由网关
    旧脚本若仍认上一版拓扑的网关，会在已回家的情况下误开系统代理。改完拓扑后同步改检测条件。

七、给读者的要点

  1. 职责拆开：主路由 = 拨号 + WiFi + 防火墙；旁路由 = DHCP + 代理 + 广告拦截。一台坏了，另一台的职责边界清楚。
  2. 同网段 + DHCP tag：比独立 WiFi 少一组 SSID，打印机 / 投屏 / NAS 发现更省事；用 tag 而不是手改每台设备的网关。
  3. 默认直连，名单才进旁路由：孩子与智能家居不会误翻墙；需要代理的设备进名单即可。
  4. 硬件细节别忽略：口标可能反；单 LAN 口要交换机；br-lan 必须含有线口。
  5. 改 DNS 必带回滚：解析挂掉比代理挂掉更致命；先备份，再改，再验收。

八、怎么验收

改完建议按下面扫一遍（按你家实际站点替换即可）：

检查项 期望
百度等国内站 直连可达
Google / YouTube 等 名单设备可达
微软 / Steam 下载 走直连（PassWall 规则）
广告域名（如 hm.baidu.com、ad.toutiao.com） 解析为 0.0.0.0 或被拦
孩子设备、智能家居 网关为 .1，不能进旁路由
旁路由名单设备 网关为 .2；主机名在 DHCP / AdGuard 可读
PassWall / AdGuard / DHCP 服务运行中；改完观察几分钟无异常断网

做到以上，这一版「主路由精简 + 同网段旁路由 + AdGuard」就可以日常用了。若以后还要改 DNS 或 PassWall，继续沿用「先备份、改完自动回滚」即可。

#家庭网络#旁路由#OpenWrt#PassWall#AdGuard Home#路由器