家用网络连接指南：自由猫相关服务与路由器、DNS、局域网环境的配合方式

一、家庭网络三大拓扑结构深度比较

在家庭网络中部署透明代理时，业界主要存在三种组网架构：

1. 单主路由全能模式（All-in-One）： 由一台性能强劲的 x86 工控机或高性能路由器（刷入 OpenWrt / iStoreOS）直接担任主路由，负责拨号、DHCP 分发、NAT 转发以及代理分流全部职责。 - 优势：结构单一直接，网络跳数少； - 缺点：单点故障风险极高，一旦更新固件或内核崩溃，全家断网，家庭成员报怨连连。 2. 主路由 + 旁路网关模式（推荐模式）： 由稳定的硬路由器（如华硕、小米、TP-Link）负责拨号和 Wi-Fi 覆盖；内网放置一台低功耗小主机（如 N1、树莓派或迷你 PC）作为旁路网关运行分流内核。 - 优势：业务解耦！旁路网关重启或维护时，主路由器照常提供基础网络服务； - 缺点：需要对局域网 DHCP 与静态 IP 分发有清晰理解。 3. 客户端终端独立分流模式： 路由器不作任何改动，每台手机、电脑各自安装客户端。适合小白用户，稳定性高，但电视盒子等设备无法兼顾。

二、主路由与旁路网关（旁路由）的工作协作流

为了实现全屋透明代理，最优雅的实践是旁路网关（旁路由）架构。

在传统局域网中： 终端设备 → 主路由器 (192.168.1.1) → 外网光猫。

在旁路架构下，数据流转路径转变为： 1. 旁路网关拥有内网固定静态 IP（例如 192.168.1.2），其本身的默认网关和 DNS 指向主路由 192.168.1.1； 2. 方案 A（全屋自动）：在主路由的 DHCP 设置中，将“默认网关”和“首选 DNS”直接改为旁路网关的 IP（192.168.1.2）。全家所有连入 Wi-Fi 的设备无需任何设置，自动走旁路由分流； 3. 方案 B（指定设备手动）：主路由保持原样不变。仅在需要分流的 Apple TV 或特定办公电脑的网络设置中，手动将网关和 DNS 改为 192.168.1.2。这种方案完全不影响其他长辈和家庭成员，容错率最高。

三、局域网 DNS 回环死锁与防污染配置

在配置软路由时，80% 的新手踩坑都集中在 DNS 回环（DNS Loop） 上。

典型翻车场景： - 旁路网关上的分流内核（如 OpenClash 或 PassWall）将本地的上游 DNS 设为主路由（192.168.1.1）； - 而主路由器的 DNS 设置又被管理员指向了旁路网关（192.168.1.2）； - 当一个解析请求到来时，A 问 B，B 又问 A，在局域网内引发持续的 DNS 报文风暴，导致 CPU 瞬间打满 100%，整个局域网彻底瘫痪。

严谨配置规范： - 旁路网关的系统底层上游 DNS（Resolv.conf），必须直接填写公网稳定公共 DNS（如阿里公共 DNS 223.5.5.5 或腾讯 DNSPod 119.29.29.29），绝不能反向指向内网其他路由器； - 开启内核内置的 Fake-IP 模式，将本地 DNS 解析任务全权收归分流内核统一调度。

四、设备隔离与指定设备定向分流

在家庭环境中，不同设备对网络的需求差异极大： - 扫地机器人、智能开关、智能门锁等 IoT 智能家居设备：只需要连通国内云端服务器，完全不需要走海外代理；如果强行被导入代理隧道，反而可能因海外 IP 被厂商服务器识别为异常导致设备离线； - 群晖 / QNAP 等家庭 NAS：内网常驻大量影视与数据同步任务，若误入代理会极速烧干套餐流量； - 主机游戏机（PS5 / Nintendo Switch）：需要超低延迟与 NAT Type A/B 支持。

在 OpenClash 或路由管理界面中，利用 “MAC 地址黑白名单” 功能： - 将 NAS 和 IoT 设备的物理 MAC 地址加入“直连白名单”，强制其不经代理内核直接出网； - 将电视盒子与个人电脑加入“走代理名单”。实现家庭网络各司其职。

五、必须保留的家庭网络容灾回退预案

任何折腾路由器网络的技术人员，都必须给自己留一条“容灾逃生通道”。

设想一下：当你出差在外地，家里的软路由固件突然死机，全屋断网，非技术背景的家人该如何应对？

黄金备份实践： 1. 主路由保持独立纯净系统：主路由尽可能选择一线品牌的原厂固件，仅提供基本的 PPPoE 拨号和 DHCP，不安装任何第三方分流插件； 2. 物理断电即自动回退机制： 在方案 B（手动指定网关）下，旁路小主机即使彻底拔掉电源，对家庭普通设备的 Wi-Fi 上网没有任何影响； 3. 在路由器外壳贴上急救说明标签： 清楚标注光猫和主路由的管理后台地址与初始密码，方便紧急情况下直接插拔网线重置。

六、家庭网络安全性与对外暴露端口防范

路由器是家庭私密数据的第一道防线，在享受全屋分流便利的同时，必须筑牢安全底线： - 严禁向公网开启无鉴权的 Web 仪表盘：Clash 的 RESTful 控制端口（如 9090 端口）和路由管理后台（80/443 端口），切勿在路由器中配置 DMZ 或端口映射暴露给公网 IP，否则任何黑客都能扫描到并直接接管你的家庭流量； - 定期更新路由器底层固件与内核版本：修补 OpenSSL 和 Linux 内核已知的远程执行代码安全漏洞； - 专线订阅安全隔离：家庭网络多设备共用订阅，需选用支持足够在线设备配额的方案，防止因多终端高频并发超出服务商上限。