全屋设备无感越狱的痛点与路由侧代理的技术价值
在现代家庭与办公环境中，网络终端设备的形态呈现出多样化趋势。除了智能手机与便携笔记本电脑外，智能电视（Apple TV、Sony TV）、游戏主机（PS5、Switch、Xbox）以及各种智能家居设备数量呈爆发式增长。在每一个独立设备上安装客户端不仅繁琐，且许多封闭电视系统与游戏机根本不允许安装第三方的代理软件。
为了解决全设备无感无缝越狱的诉求，将网络代理能力直接下沉至路由器硬件侧成为了最佳路径。通过在路由器上部署代理内核，全屋所有连接 Wi-Fi 或插网线的设备均无需进行额外设置，即可自动享受分流加速与海外流媒体解锁。
在硬件方案的选择上，基于老毛子（Padavan）固件的无线路由器以及以 N1、x86 软路由为代表的旁路由网关模式是目前最受追捧的两大主流拓扑。结合 flybit傻瓜式一键网络工具 提供的订阅整合，能让复杂的网络改造变得异常简单。
网络拓扑优势： 旁路由网关模式无需改变原有光猫与主路由的物理接线，仅通过在局域网内挂载一台专用的软路由处理代理分流，既保证了主网络的稳定性，又实现了极致的越狱性能。
主路由与旁路由网关部署拓扑与数据流走向对比
理解旁路由（Bypass Gateway）模式的数据包转发机制是搞定复杂配置的前提。在传统的单路由拓扑中，主路由同时承担 PPPoE 拨号、DHCP 地址分配、NAT 转换与无线 Wi-Fi 发射。而在旁路由架构中，局域网中新增了一台静态 IP 为 192.168.1.2 的旁路由节点。
| 方案维度 | Padavan 主路由直接嵌入插件 | OpenWrt / Linux 旁路由网关模式 |
|---|---|---|
| 硬件算力要求 | 较高，受限于 MIPS/ARM 硬路由微弱 CPU | 较低，硬转发由主路由承担，软路由专注代理加密 |
| 网络故障隔离性 | 若代理内核崩溃，全屋网络将陷入瘫痪 | 旁路由挂掉仅影响科学上网，国内基础网络不受影响 |
| TUN / TProxy 支持 | 仅部分升级版 Padavan 固件支持内核级 TUN | 原生完整支持 iptables / nftables 与 TUN 虚拟网卡 |
| 适配场景 | 租房小户型、单台路由器搞定全部 | 大户型 Mesh 组网、智能电视与游戏机极客玩家 |
Padavan 固件 Singbox 与 Clash 插件实操配置步骤
对于使用 Asus、斐讯 K2P 或小米路由器刷入 Padavan（老毛子）固件的用户，后台通常预置了 ShadowSocksR Plus+ 或 Clash 扩展功能模块。在将 flybit机场 的节点导入路由侧时，务必按照以下规范进行设置：
在具体的网络接口与防火墙参数配置中，只需在 Padavan 扩展功能的科学上网选项中选择绕过大陆 IP 模式，并将系统生成的订阅链接导入节点列表中。同时开启每日定时自动更新规则功能，配合 iptables 重定向脚本，将局域网内的 DNS 53 端口查询请求透明重定向至内置的高安全防污染端口，即可完成全屋硬件侧的防护挂载。
旁路由网关模式下 iptables 转发规则与 TUN 模式调优
在以 N1 盒子或 x86 小主机作为旁路由的场景中，最经典的问题就是“主路由下的设备设了旁路由网关却无法上网”。这通常是因为旁路由的 Linux 内核未开启 IP 转发支持，或者缺少了针对局域网回程数据包的 NAT 伪装规则。
在旁路由系统（如 OpenWrt 或 Ubuntu）中，需修改 /etc/sysctl.conf 文件，取消 net.ipv4.ip_forward=1 的注释并执行 sysctl -p 使其生效。随后，在自定义防火墙规则中添加以下关键命令：
在具体的防火墙网络规则配置中，主要通过添加自动伪装规则与接口转发策略来实现通信。开启内网接口的 MASQUERADE 动态地址转换后，局域网发出的所有数据包在经过旁路由时均会被改写源地址，再配合开启系统的内核 IP 转发开关，能够彻底解决跨网段访问丢包的问题。
虚拟网卡 TUN 无网排查深度操作清单
在路由侧启用 TUN 模式时，代理内核会创建一个虚拟网卡设备（如 tun0）。由于硬路由的内存容量通常较小，一旦配置错误，极易引发无限循环无网故障。遇到此类疑难杂症，可循着以下排查流程进行修复：
检查 TUN 设备接口状态。通过 SSH 登录路由器终端，输入 ip a show tun0。若返回结果中没有显示分配的 IPv4 地址（如 172.19.0.1/30），说明 TUN 驱动模块（kmod-tun）未在系统内核中成功装载，需补全相关依赖包。
检查 DNS 环路问题。如果旁路由的 DNS 上游配置错误地指向了主路由，而主路由的 DNS 又指向了旁路由，就会形成 DNS 死锁，导致所有的域名解析请求均被超时丢弃。解决方案是在 Singbox 懒人规则包 中强制设定远程 DNS 为直连 DoH 服务器（如 1.1.1.1）。
避坑总结： 排查路由侧代理故障时，永远“先测试 IP 直连，再测试 DNS 解析”。如果在终端输入 ping 1.1.1.1 能够连通，但 ping google.com 失败，则 100% 为路由器的 DNS 分流劫持设置有误。
全屋无感越狱方案总结与硬件套餐选型推荐
完成路由器侧的代理部署后，全屋的 Apple TV 即可流畅播放 Netflix 4K 与 Disney+，PS5/Switch 也能秒连欧服与美服游戏大厅，真正实现了“一次配置，全家共享”。
对于流量消耗较大的路由全屋代理场景，我们推荐选择 flybit每月400G套餐（¥30/月） 或 不限时400G按量包（¥50/一次性）。不仅支持无限设备并发协同，还天然契合低调flybit平价月付机场的高稳定物理专线，为全家网络保驾护航。