🌐OpenWrt 代理引擎与分流方案参考

本文保留 2026 年 9 月 23–24 日在小米 AX3000T 上的研究与实测记录，版本、配置和结论以文中记录日期为准。本文不包含真实 IP、密钥或个人设备标识。配置中的地址均为占位符（如 LAN_GATEWAY_IP、DNS_REMOTE_IP），实际使用前请按自己的网络填写。

⚠️ 实测修正(官方 OpenWrt 25.12.2 + apk,2026-09-23)

1. apk 不是 opkg。25.12 起 OpenWrt 改用 apk 包管理,feed 在 /etc/apk/repositories.d/distfeeds.list。
• 第三方 opkg feed(PassWall2 / OpenClash / kenzok8 等)在 apk 固件上完全不可用。
• 官方 feed 有 11174 个包;国内建议把 https://downloads.openwrt.org 换成清华镜像 https://mirrors.tuna.tsinghua.edu.cn/openwrt(实测 806 KB/s vs 142 KB/s)。

2. homeproxy 不在上游 OpenWrt feed 里(已迁到 ImmortalWrt 维护);官方源里能搜到的只有 luci-app-v2raya。

3. sing-box 有 tiny / 完整两个变体,差别不只是体积:
• sing-box-tiny(29 MiB)编译标签写死:with_gvisor with_quic with_utls with_clash_api badlinkname tfogo_checklinkname0 —— 没有 tailscale。
• sing-box(42 MiB)标签来自 Kconfig,其中 SINGBOX_WITH_TAILSCALE 的 default y —— 有 tailscale。
• 用 tiny 跑 tailscale endpoint 会报:FATAL initialize endpoint[0]: Tailscale is not included in this build, rebuild with -tags with_tailscale。
• 判断方法:直接 sing-box check -c <配置>,比翻 Makefile 快。

组件候选对比

资源预算参考(以 256MB RAM / 128MB flash 机型为例)

• RAM:239540 KB ≈ 234 MiB 总量,初始可用 ~139 MiB;装上 tailscale(系统)+ sing-box 后可用 ~94 MiB

• Flash /overlay:总 85.7M,初始 81.0 MiB;装 tailscale(25)+ 完整版 sing-box(42)+ frpc(14)+ curl 后剩 43.5 MiB

• ⚠️ 无 USB,flash 不可扩展;sing-box-tiny 省 13 MiB 但不含 tailscale,要用就得吃完整版的体积

• 规则库只留必要分类(比如"国内直连+默认代理"两条),不要把 GeoSite 所有分类都加载。

• 不要在同一台设备上叠加 AdGuard Home 全量 / mosdns 全量规则 / 第二个代理内核。

• Flash 往往比 RAM 更紧:sing-box 二进制(~15-20MB)+ tailscale 二进制(~15-25MB)+ frp(~5MB)+ 规则库文件,合计可能占 40-70MB,装之前务必 df -h /overlay 确认真实剩余空间。

Tailscale Exit Node + 分流引擎联动

1. sing-box 内建 tailscale endpoint —— ✅ 本机实测可用,推荐主路径
• sing-box 1.12+ 提供 endpoints 类型 tailscale,支持 exit_node 选项,直接以其他 tailnet 节点为出口。
• 它是 userspace 实现,完全不改系统路由表,天然满足「不影响本地路由」。
• 实测(1.13.21):出口从本地运营商切换到所选的远端 exit node。
• 前置条件:必须用完整版 sing-box;需要一个独立的 auth key,会以另一个节点(如 openwrt-singbox)出现在 tailnet 里。

2. bind_interface: tailscale0 写法 —— 不再推荐
• 它依赖系统 tailscaled 的全局 exit node 偏好(tailscale set --exit-node=...),而后者会把 default 塞进 table 52,并让规则 from all lookup 52 命中所有转发的包 → 等于整个 LAN 都被带着走出口,无法只给 sing-box 用。
• 也就是说:它在「只让引擎走出口」这个目标上是方向错误的。

3. OpenWrt 原生策略路由:ip rule + 独立路由表 + nftables 按源 MAC/IP 打标记
• 仍然保留,用于「按设备分流」这一步:把指定设备打标记后导入出口路由。

本机同时启用时的两个坑

• 坑1:tailscale0 必须加进 fw4 zone。 tailscale 的放行规则写在独立的 table ip filter,而 fw4 的 input 链是 policy drop 且不含 tailscale0;nftables 里「A 表 accept」抵不过「B 表 drop policy」,于是 tailnet 入站全被拒。修法:

• 坑2:透明代理不要用 TUN auto_route。 当本机同时「对外提供 exit node」+「sing-box 去用别人的 exit node」时,TUN auto_route 会把远端设备借道本机的转发流量也抓进 sing-box,造成绕圈 + 出口错乱。正确做法:nftables TPROXY + fwmark,只标记 br-lan 的流量,明确排除 tailscale0。

TPROXY 实战踩坑(2026-09-23 · ✅ 已解决,见下方「根因」)

1. 必须装 kmod-nft-tproxy(会带入 kmod-nf-tproxy)。没装时 nft 对 tproxy 语句的报错极具误导性——报在 table 那一行:
(用「空壳表 + 逐条加规则」的空表对比法可快速排除语法问题,定位到是 tproxy 语句。)

2. 除 fw4 外还有 iptables-nft 兼容表在覆盖 packet mark:
它与自定义链同处 priority mangle。若 TPROXY 靠 meta mark set + ip rule fwmark 选路,mark 会被清掉 → 路由不进 local 表。规避:把自定义链优先级改成 mangle + 10,让它在其后执行。

3. 但核心问题仍未解决:优先级修好后 mark 保住了、nft 计数器也在涨,sing-box 却收不到任何 inbound/tproxy 连接。后续排查建议:
• 先把 sing-box log.level 开到 debug 再复现(注意:路由器上没有 python3,改配置别用 python 脚本)
• 或改成「TCP 用 redirect inbound + UDP 用 tproxy」的组合
• 或对照 homeproxy 在同类固件上的 nft 实现

4. 调试前务必先 disable 自启,否则重启后会带着坏规则启动,直接断掉整个 LAN。

TPROXY 排查续(2026-09-23 晚 · 结论有误,已被下节推翻)

1. 对照 homeproxy 在同一固件上的 nft 规则逐条 diff(最有希望)

2. 改用 redirect(TCP)+ tproxy(UDP) 混合方案;redirect 走 DNAT 不需要 mark/ip rule,机制完全不同

3. 直接换 TUN + auto_route,但要单独处理「远端设备借道本机做 exit node」的绕行(给 tailscale0 加 ip rule 绕过 TUN)

4. 路由器上没有 python3,改 JSON 配置请用 sed/jq 或本地改好再 scp

✅ TPROXY 根因与修复(2026-09-23 · 已解决)

上一节「包没投递到透明套接字」的结论是错的:套接字投递实测正常(从 WAN / lo 进来的 tproxy 连接 sing-box 都能收到)。

• 手机流量 1398 包打上 mark 并执行 tproxy,但 INPUT / FORWARD hook 计数都是 0 → 丢在路由决策

• ip route get <外网IP> from LAN_CLIENT_IP iif br-lan mark 1 → Invalid argument

• 设 br-lan 的 accept_local=1(或 src_valid_mark=0)后 → 返回 local ... table 100,sing-box 立刻收到连接

⚠️ 已废弃(2026-09-24):下面这种「DNS 走 TPROXY」的劫持方式会造成 UDP 套接字堆积与内存上涨,已改为 dnsmasq 缓存 + sing-box dns-in,见文末「DNS 架构调整」。

• dns-remote 由 tls://DNS_REMOTE_IP(DoT,偶发 read response: EOF/853 超时,约 10% 失败)改为 UDP DNS_REMOTE_IP 经 ts-exit——已在 WireGuard 隧道内,不会被污染,无需再套 TLS。复测 3 轮 13 个域名:32 次解析 0 失败。

• DNS 规则补上 sr-proxy → dns-remote(位于 sr-direct 之后、geosite-cn 之前,与路由规则顺序一致),避免「流量走代理、DNS 却用 DNS_DOMESTIC_IP 拿到国内 IP」。

• 国内域名仍用 DNS_DOMESTIC_IP(拿就近国内 CDN,正确做法)。

• 注意:sing-box 1.13 DNS 无内建多服务器故障转移,不要以为填两个就是互备。

• 备份:/etc/sing-box/config.json.bak-dns

性能与无线优化(2026-09-23)

直连光猫前的加固(2026-09-23)

• WAN 防火墙:原为 input/forward = ACCEPT(为从小米侧管理而开),直连光猫后若拿到公网 IPv6 会把 SSH/LuCI/DNS 暴露到公网。已改为 REJECT/REJECT,并加:
• Allow-Mgmt-From-Upstream-LAN:仅 UPSTREAM_LAN_CIDR → tcp 22/80/443(小米撤掉后自动失效,可删)
• Allow-Tailscale-UDP:udp 41641(否则 fw4 的 drop 会压过 tailscale 自己表里的 accept,只能走 DERP)

• IPv6:TPROXY 只处理 IPv4,LAN 拿到公网 v6 会绕过分流。已 dhcp.lan.ra=disabled、dhcpv6=disabled;sing-box dns.strategy 改 ipv4_only。路由器自身 wan6 仍可用

• 本地 SSH 通过 LAN 地址访问路由器，远程管理通过 Tailscale 访问

• 备份:firewall.bak-ont、dhcp.bak-ont、network.bak-ont、sing-box/config.json.bak-ont

⚠️ 事故记录:清理自动回滚脚本时,孤儿 sleep 已被 procd 收养,脚本按「父进程」kill 误杀了 PID 1(procd)——OpenWrt 上 procd 收到 SIGTERM 会直接重启。断网约 30 秒,重启后全部服务与新配置均正常恢复。教训:kill 前检查目标 PID ≠ 1;路由器无 pkill,用 kill $(pidof …) 或记录真实子进程 PID。

直连光猫后:WAN 钩子与重启恢复实测(2026-09-23)

• ifup → 无条件 restart sing-box;ifupdate(DHCP 续约)仅在 WAN IP 变化时重启(状态存 /tmp/singbox-wan-ip)

• 原因:开机时 sing-box 常抢在 WAN 拿到 IP 前启动(日志 network: missing default interface),内置 tailscale(ts-exit)随后退避重试,国外恢复被拖慢

• 踩坑:第一版加了「sing-box 启动 <20s 就跳过」的去重判断,恰好把开机竞态这个最需要重启的场景跳过了,已删除

测量注意:不要用笔记本经 WiFi 测——重启后客户端重新入网可能耗时 1–2 分钟,会淹没路由器侧的真实恢复时间。

DNS 架构调整:从 TPROXY 劫持改为 dnsmasq 缓存(2026-09-24)

• sing-box:新增 inbound direct dns-in(LOOPBACK_IP:5353,tcp+udp),路由规则首条 inbound dns-in → hijack-dns

• tproxy.nft:prerouting 中 th dport 53 return(DNS 永不 TPROXY);新增 chain dns_redirect { type nat hook prerouting priority dstnat - 5; iifname "br-lan" th dport 53 redirect to :53 }

• dnsmasq:noresolv=1server='LOOPBACK_IP#5353' '/tailscale.com/DNS_DOMESTIC_IP' '/tailscale.io/DNS_DOMESTIC_IP'cachesize=4096

• 备份:config.json.bak-dns2、tproxy.nft.bak-dns2、dhcp.bak-dns2

⚠️ 切换坑:sing-box 重启与 nft 替换之间的几秒内,旧规则仍 TPROXY DNS,sing-box 会新建绑定 LAN_GATEWAY_IP:53 的透明套接字抢走发给 dnsmasq 的包(Recv-Q 堆积、不读)→ 所有发往路由器的 DNS 超时。先换 nft,再重启 sing-box;已踩则再重启一次 sing-box 即可。

监控注意:用笔记本测要 caffeinate,否则 Mac 睡眠会造成假的超时与采样空洞(第一轮就因此丢了 16 分钟)。

若 UDP 套接字将来持续超过 ~150:可在 sing-box 加 {"network":"udp","port":443,"action":"reject"}(仅对代理流量)屏蔽 QUIC,让应用回落 TCP。

参考链接

• openwrt/packages net/frp

• openwrt/packages net/microsocks Makefile

• kuoruan/openwrt-frp

• itwxf0818/openwrt-frp

• OpenWrt support for Xiaomi AX3000T 论坛帖

• sing-box memory usage issue #3674

• sing-box tailscale exit node no route to host #3007

• Bypassing censorship on OpenWRT using Sing-box

• Tailscale exit nodes 官方文档

• Openwrt-Passwall/openwrt-passwall2

• sing-box Tailscale endpoint 文档

• sing-box 编译标签(含 with_tailscale)

• openwrt/packages net/sing-box Makefile