OpenWrt 代理接入指南：先分清 SOCKS5 与 L2TP

选择路径，而不是照着插件名称安装

SOCKS5通常由支持它的应用显式发起代理连接；是否支持UDP、远端解析和认证，要看客户端与线路的组合。L2TP则是路由器建立的隧道接口，可再配合路由规则转发终端流量。两者参数不能互换。

第一次测试建议让浏览器或单个应用直接使用SOCKS5；确实需要路由器分流、且服务方提供L2TP时，再走L2TP接口方案。L2TP本身不是加密保证，需要加密的场景应核对服务端的IPsec等完整方案。

• 确认设备型号和硬件版本，导出备份，保留有线管理通道与原WAN。
• 记录当前OpenWrt版本、目标平台和防火墙类型；新旧固件的软件包管理器、包名与内核依赖可能不同。
• 只从适配本机版本的可信来源安装软件，不把别人提供的整网防火墙脚本当作通用配置。

方案A：先在应用里验证 SOCKS5

不要直接把HTTP/HTTPS流量用防火墙REDIRECT指向普通SOCKS5监听端口。普通应用协议与SOCKS握手不同，这种重定向不等于完成了透明代理。也不要把本地代理监听无条件开放到WAN。

1. 在支持SOCKS5的应用代理设置中填入服务方的地址、端口、认证方式；仅在自己的设备内填写凭据。
2. 按应用说明选择域名在本地还是代理端解析。不同解析模式的结果可能不同，不能把“网页能开”当作DNS路径已经一致。
3. 访问IP检测中心，比较启用代理前后的出口。只有该应用走代理时，同电脑其他应用、系统更新或IPv6流量仍可能使用原网络。
4. 如果要扩展到路由器透明代理，需要有专门支持该协议的转发组件，并核对TCP、UDP、DNS、IPv6和Firewall4兼容性。本文不把透明代理组件当作OpenWrt默认自带功能。

方案B：在 LuCI 建立 L2TP 接口

1. 对照当前发行版的软件包页面，确认xl2tpd及对应LuCI协议支持已经安装。列表中没有L2TP时先查版本与依赖，不从其他版本强装内核模块。
2. 在“网络—接口”新增接口，例如l2tp_test，协议选择当前版本提供的L2TP选项，在本地界面填写服务器与认证资料。
3. 初次测试不让它覆盖原WAN默认路由和全局DNS。核对服务器本身仍经原WAN可达，以免隧道流量递归进入自己。
4. 为隧道建立或选择合适的防火墙区域，仅放行测试LAN到隧道的必要转发；是否启用源NAT取决于对端是否有LAN回程路由。不要为方便把WAN输入策略改成全部接受。
5. 若服务器明确要求L2TP/IPsec，仅有L2TP接口还不够，需按其正式文档配置IPsec配套；不要把该服务误当作无需密钥的普通L2TP。

按测试源地址分流，保留回退办法

先用DHCP静态租约固定测试终端，再选择当前系统支持的策略路由方案。OpenWrt官方列有netifd规则、PBR等不同方法，第一次部署只选一种，避免与已有多WAN、VPN策略重复标记。

把测试终端源地址指向l2tp_test出线，保留管理网段与必要内网目的地址例外。预先决定隧道掉线时允许恢复WAN还是停止该终端外网访问，再用一次受控断线验收，不假设默认设置就是所需行为。

采用Firewall4的版本使用nftables体系。旧教程中的iptables命令不应直接复制；即使命令能运行，也不代表会在防火墙重载后持续生效。

五项验收：每项都能说清楚

以上命令仅查看本机版本与路由状态，不修改网络；输出可能包含内网信息，应在自己的管理终端查看并脱敏后再求助。

• 接口：本机状态页显示隧道运行并获得地址，底层WAN仍正常。
• 路由：测试终端实际选中预期出线，未参加测试的终端保持原出口。
• DNS：确认终端、路由器转发和应用安全DNS各自怎么解析；解析失败与线路不通要分开排查。
• IPv6：单独检查IPv6路径；只有IPv4策略时，不宣称已经覆盖全部流量。
• 稳定性：记录一段连续访问的失败次数、响应变化和断线重连；一次成功或一个地理标签不能证明住宅属性、纯净度或业务一定可用。

ubus call system board
ip -4 rule show
ip -4 route show table all
ip -6 rule show

回退时先撤策略，不先清空防火墙

先禁用本次源地址策略，确认终端回到原WAN，再停用测试隧道或代理组件；在LuCI提供确认倒计时的页面，确认有线管理仍可达后再保留变更。若使用备份恢复，核对备份对应的设备与版本。

本文是可核对的配置流程，不是已经在你的设备上实测。准备咨询时提供系统版本、接口状态和脱敏拓扑即可，不需要上传账号、密码、完整配置备份或私钥。