PassWall 2 教程，OpenWrt 软路由装插件、导入机场订阅到全家设备联网

PassWall 2 是装在 OpenWrt 上的一个 LuCI 插件，装好以后由路由器负责把该走代理的流量送去节点，连在它下面的手机、电视什么都不用装。内核可以按协议分别指定 Xray 或 sing-box。项目放在 GitHub 的 Openwrt-Passwall 组织下，三千六百多个 star，我核对这篇时（2026 年 9 月 14 日）最新版本 26.9.12-2 是前一天发的。

它和 OpenClash 做的是同一件事，思路差得远。OpenClash 把机场订阅里的策略组原样搬上路由器，界面和电脑上的 Clash 一个路数；PassWall 2 是选一个节点全局走，要分流就换成内置的分流节点，让 Xray 或 sing-box 的规则来切。习惯 Clash 面板的人用 OpenClash 顺手，只想在路由器上挑一个节点就完事的人，PassWall 2 更省心。

这篇默认你已经有一台跑 OpenWrt 的路由器，能登进 LuCI，也买好了机场、能拿到订阅地址。做完的结果很具体，局域网里任何设备连上这台路由器的 Wi-Fi，平时打不开的网站直接能开。

准备工作

先确认三件事。

固件版本。官方 README 的要求是 OpenWrt 21.02 以上、LuCI 17.01 以上，内存至少 256MB。老的 mips 小路由器闪存往往塞不下 Xray 和 sing-box 两个内核，这种机器我不建议硬装。

CPU 架构。进 LuCI 的「状态」「概览」，系统那一栏有一行「架构」，常见写法是 x86_64、aarch64_cortex-a53、mipsel_24kc。依赖包要按它选，选错了 opkg 会直接报架构不对。

订阅地址。登录机场面板复制，位置下一节有截图。还没有机场的话文末有推荐页。

另外分清主路由还是旁路由。主路由下设备连上 Wi-Fi 就自动走它；旁路由要把每台设备的网关和 DNS 手动指到旁路由地址，否则后面会出现路由器一切正常、设备上还是打不开的情况。

第一步：安装 PassWall 2 插件

先看 LuCI 左侧的「服务」菜单。很多第三方编译的固件已经带了 PassWall 2，菜单里有这一项就直接跳到第二步，截图里这台机器就是这种情况。

没有的话去 GitHub 仓库 Openwrt-Passwall/openwrt-passwall2 的 Releases 页面下载三个文件，插件本体 luci-app-passwall2_版本号_all.ipk，中文语言包 luci-i18n-passwall2-zh-cn_版本号_all.ipk，还有按架构打包的依赖 packages_ipk_架构名.zip。新固件改用 apk 包管理器的，对应下 .apk 后缀和 packages_apk_ 开头的那份，分不清就 SSH 进路由器敲一下 opkg，有反应就是 opkg。

把三个文件传到路由器的 /tmp。LuCI 的「系统」「软件包」页面有「上传软件包」按钮，但一次只能传一个 ipk，依赖包那个 zip 还是得用 scp 或 WinSCP。SSH 就是在电脑终端里敲 ssh root@路由器地址，Windows 的 PowerShell 自带这个命令，密码和 LuCI 登录密码相同。传好以后 SSH 进去，先解开 zip 把依赖和内核装上，再装插件本体和语言包。

cd /tmp
opkg update
opkg install unzip
mkdir pw2 && unzip packages_ipk_x86_64.zip -d pw2
opkg install pw2/*.ipk
opkg install luci-app-passwall2_*.ipk luci-i18n-passwall2-zh-cn_*.ipk

x86_64 换成你在概览里看到的架构名。opkg install pw2/*.ipk 报依赖顺序错误就原样再跑一遍，第二遍通常就过了。

apk 系统把 opkg 那两行换成 README 里给的 apk add --allow-untrusted 文件名.apk。zip 里的包全装最省事。闪存紧张的机器至少装 xray-core 或 sing-box 其中一个，再加 geoview、v2ray-geoip、v2ray-geosite 和 tcping，这几个是插件的硬依赖，缺了本体装不上。

装完刷新页面，「服务」菜单里应该多出「PassWall 2」。没出来就退出重新登录，还没有就按 README 执行 /etc/init.d/rpcd restart。点进去的主界面是下面这样，上面一排页签，往下是 Core 状态和三个连接测试卡片。

图里是我已经配好分流的状态，节点那一栏选的是叫「Xray 分流」的分流总节点，下面挂着一串规则。你刚装好时节点是空的，先别管分流。

第二步：添加机场订阅

先去机场面板复制订阅地址。各家面板长得不一样，常见两种。一种在「便捷导入」区域摆了一排按钮，按客户端分格式，给 PassWall 2 优先点「复制 V2Ray 订阅链接」这种通用格式，没有的话「复制 Clash 订阅」也能用。

另一种只有一个「一键订阅」入口，点开菜单选「复制订阅地址」。

两种格式 PassWall 2 都认。我翻了现在仓库里的 subscribe.lua（2026 年 9 月 14 日核对），它先按 Clash 的 YAML 解析，认出 proxies 段就按 Clash 节点导入，认不出再按 base64 解码，逐行读 ss、vmess、vless、trojan、hysteria2 这些分享链接。老版本未必认 Clash 格式，所以我还是建议先用通用格式。

回到 LuCI，进「服务」「PassWall 2」，点顶部的「节点订阅」页签。上半部分是全局设置，丢弃列表默认写了「过期时间」「剩余流量」「QQ群」「官网」，机场塞在订阅里的提示条目名字带这些字的会被过滤掉；再往下是各协议节点用哪个内核，保持默认就行。翻到页面底部，订阅列表是「尚无任何配置」，点「添加」。

订阅编辑页要填的只有两项，「订阅备注」随便写，「订阅网址」粘刚复制的地址。「允许不安全连接」是跳过证书校验，正常的 https 地址不用勾，日志报证书错误再回来勾。过滤模式和各协议内核保持「使用全局配置」。「开启自动更新订阅」建议勾上，默认每天 0 点，机场换节点以后第二天早上自动跟上。最底下的「用户代理」不用动。点右下角「保存并应用」。

这里有个容易漏的动作。保存只是记下地址，节点还没拉。回到「节点订阅」页签，点「手动订阅全部」，或者点你那一行末尾的「手动订阅」，页面上那行红字「请输入订阅网址保存应用后再手动订阅」说的就是这个。几秒钟后切到「节点列表」，上面会写出这条订阅拉到了多少个节点。

第三步：选节点、启用并验证

「节点列表」就是你机场的全部节点。顶部「自动检测延迟」默认 TCP Ping，每个节点后面的 TCPing 一栏显示到服务器的毫秒数，几十毫秒的是离你近的。列表里会混进几条名字像「套餐到期」「剩余流量」的条目，那是机场塞进订阅的提示，不用理。挑一个延迟低的，点这一行右边的「使用」。

切回「基本设置」，「节点」一栏已经变成刚选的那个。确认「主开关」勾上，「路由器本机代理」保持默认勾选；新一点的版本这附近还有一项「客户端代理」，管的是局域网设备走不走代理，必须勾上。点「保存并应用」，等几秒，顶部 Core 卡片变成「运行中」，谷歌连接和 GitHub 连接两个卡片出现毫秒数，说明路由器自己已经能通过节点出去了。

路由器通了不代表设备通了，最后一定要在局域网设备上验。拿手机连这台路由器的 Wi-Fi，关掉手机上的代理软件，打开一个平时打不开的网站，比如 YouTube，能刷出视频就成了。再开一个国内网站，这一步会比平时慢一点，因为现在选的是单个节点，PassWall 2 在这种模式下把所有流量都送去节点，国内站也绕了一圈。验证完就行，长期用要换成分流，下一节讲。

顺手做一次 DNS 泄漏检测。路由器透明代理的 DNS 处理和电脑客户端不一样，PassWall 2 的「DNS」页签里能把远程 DNS 协议改成 DoH，也有 FakeDNS 开关。怎么查、漏了改哪里，文末链的那篇排查文有具体做法。

日常使用要点

更新订阅

勾了自动更新就不用管，每天 0 点路由器自己拉。机场通知换节点，或者列表里的节点突然大片超时，到「节点订阅」页签点「手动订阅全部」就行。

切换节点

「节点列表」里在想换的节点那行点「使用」，或者在「基本设置」下拉「节点」重新选，都要「保存并应用」才生效。列表里的「测试」链接能单测某个节点，其中 URL 测试是真的通过节点访问一个网址，比 TCPing 更接近实际能不能用。

分流模式

验证完以后我建议换成分流节点。「节点列表」第一行就是那条「Xray 分流」，点它的「使用」，回到「基本设置」，节点下面会展开一串规则，就是第一步截图里那样。每条规则后面选去向，直连、关闭、默认，或者指定某个节点。我的用法是 Proxy 指到一个稳定的节点，China 保持直连，Netflix、OpenAI 这类没有专门需求就选关闭或默认，往下翻还有一项默认节点，没匹配到规则的流量走它，也指到同一个节点。规则名各版本不太一样，截图这版叫 China，以你看到的为准。

分流开了以后再看顶部卡片，百度连接的延迟会明显掉下来，因为国内流量走直连了。哪台设备完全不想走代理，「访问控制」页签可以按 IP 或 MAC 排除。

常见问题排查

手动订阅之后节点列表还是空的

先看「查看日志」页签订阅那几行报什么。报 404 或解析失败，多半是订阅格式问题，回面板换另一种格式再试。报连接超时，通常是订阅域名在你的网络里本身被拦了，而路由器还没有可用节点。先在「节点列表」用「通过链接添加节点」贴一条面板上单个节点的分享链接，启用跑通，再回来手动订阅。

Core 显示未运行

多数是内核没装或者装的不对。到「组件更新」页签看 Xray 和 sing-box 的版本，显示不出来就是没装。另一种情况是节点协议和内核对不上，比如订阅里全是 Hysteria2 节点，默认指定用 sing-box，而你只装了 xray-core。

路由器上谷歌连接有延迟数字，手机上却打不开

问题在设备这一侧。旁路由用户先查设备的网关和 DNS 是否指到了旁路由。主路由用户查手机有没有手动填过 DNS，安卓的「私人 DNS」和 iOS 的加密 DNS 描述文件都会绕过路由器的 DNS 接管，先关掉再试。新版本再确认「客户端代理」勾上了，「访问控制」里没把这台设备排除掉。

能打开，但看视频一直转圈

换节点。TCPing 几十毫秒的节点也可能带宽很小，多试几个。同一个节点白天顺畅、晚上转圈是线路拥堵，换一个地区的节点通常比换机场先见效。

国内网站变慢，某些国内 App 连不上

你还在单节点全局模式。按上一节换成分流节点，把 China 那条设成直连就好。

需要机场的话，我这边一直在用星岛梦，其他几家在机场推荐按需求挑。其他平台的客户端在下载页有整理。设备上做完 DNS 泄漏检测，结果不对的按DNS 泄漏怎么解决改。想拿它和 Clash 那套思路对比再决定，看OpenClash 教程。