通过独立设备运行Clash路由器旁路由模式，可在不改变主网络架构前提下实现全屋流量智能分流，本文详解OpenClash配置、代理组策略设计及TUN模式启用方法,适用于多设备跨境办公场景。
为什么选择旁路由架构
将Clash部署在旁路由（Gateway Bypass）而非主路由，能保留运营商光猫拨号稳定性，同时通过静态路由或DHCP网关指向，让指定设备流量经过Clash处理，这种架构避免主路由刷机风险，且便于维护——当旁路由故障时，主网络不受影响,设备切换网关即可恢复直连。
部署流程四步走
硬件准备与拓扑规划
选用支持OpenWrt的ARM设备（如NanoPi R2S/R4S或闲置x86小主机），配置双网口或单网口+VLAN，拓扑结构：光猫/主路由（192.168.1.1）→ 旁路由（192.168.1.2，关闭DHCP）→ 终端设备，旁路由仅需设置LAN口静态IP,网关指向主路由。
OpenClash安装与内核选择
在OpenWrt软件包中安装luci-app-openclash，进入服务菜单后下载内核，推荐选择Meta内核（mihomo），支持TUN模式、Reality协议及更完善的规则集，安装完成后，上传你的Clash YAML配置文件或粘贴订阅链接。
核心配置：代理组与分流规则
代理组类型选择决定流量调度逻辑：
proxy-groups:
- name: "手动选择"
type: select
proxies:
- "香港节点"
- "日本节点"
- name: "自动测速"
type: url-test
url: http://www.gstatic.com/generate_204
interval: 300
tolerance: 50
- name: "故障转移"
type: fallback
url: http://www.gstatic.com/generate_204
interval: 300
- select：手动切换，适合需要固定出口的场景
- url-test：自动选择延迟最低节点，适合学术资源访问
- fallback：主节点失效时自动切换，保障跨境办公连续性
分流规则优先级（从上到下匹配）：
rules: - DOMAIN,clash.ai,手动选择 - DOMAIN-SUFFIX,google.com,自动测速 - IP-CIDR,142.250.0.0/16,自动测速,no-resolve - GEOIP,CN,DIRECT - MATCH,故障转移
DOMAIN精确匹配单域名，DOMAIN-SUFFIX匹配子域，IP-CIDR处理IP段（加no-resolve避免DNS泄漏），GEOIP识别国家代码，最后MATCH兜底。
TUN模式启用与客户端设置
在OpenClash的"模式设置"中开启TUN模式（推荐gVisor或System堆栈），与系统代理仅处理HTTP/HTTPS不同，TUN模式通过虚拟网卡接管所有L3流量，包括UDP和游戏数据包，若仅需浏览器访问,可关闭TUN使用系统代理节省资源。
客户端需将默认网关和DNS改为旁路由IP（192.168.1.2），Windows/Mac手动设置,手机端可在DHCP保留地址中绑定。
常见问题排查
现象：设备显示已连接但无法访问国际网络
原因：旁路由防火墙未开启IP转发或NAT规则缺失
解决：SSH登录旁路由，执行iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE，或在OpenWrt"防火墙-自定义规则"中添加。
现象：游戏延迟高且丢包 原因：未启用TUN模式导致UDP流量未走代理，或url-test频繁切换节点 解决：确认OpenClash开启"UDP转发"，游戏设备指定固定节点（select组），关闭url-test的自动切换。
现象：国内网站访问变慢
原因：DNS解析经过代理或GEOIP数据库不准确
解决：配置nameserver-policy让国内域名使用本地DNS，更新GeoIP数据库，确保GEOIP,CN,DIRECT规则生效。
节点订阅与长期维护
Clash路由器旁路由模式的稳定性高度依赖节点质量，建议选用支持Clash原生YAML格式的订阅服务，避免频繁转换，对于4K视频流，选择带宽充足的IEPL专线节点；游戏场景优先低延迟的BGP中转。
定期在OpenClash中点击"更新订阅"同步最新节点，同时关注规则集更新（如ACL4SSR或ConnersHua），优质订阅服务通常提供自动剔除失效节点的后端转换,减少人工维护成本。
