本文详解 Clash 路由器旁路由模式部署流程，剖析 TUN 与代理组核心机制，解决分流规则冲突，满足跨境办公需求。
为什么选择旁路由架构
在家庭或小型办公网络中,直接在主路由运行 Clash 往往受限于硬件性能。Clash 路由器旁路由模式通过将流量引导至高性能旁路设备（如 N1 盒子、软路由或闲置 PC），实现了主路由负责拨号转发、旁路由专注策略分流的解耦架构，这种设计不仅降低了主路由负载，更便于独立调试网络策略，是满足复杂跨境办公需求的首选方案。
核心部署步骤
- 网络拓扑搭建：主路由 LAN 口连接旁路由 WAN/LAN 口（视固件而定），旁路由设置静态 IP（如 192.168.1.2），网关指向主路由，DNS 设为自身或公共 DNS。
- 客户端配置：在旁路由安装 OpenClash 插件，内核务必选择 Clash Meta（Mihomo），以支持完整协议栈。
- 流量劫持：进入主路由后台，将 DHCP 服务的“网关”和"DNS"地址均修改为旁路由 IP，局域网内所有设备流量自动经过旁路由处理。
- 防火墙规则：若发现部分设备无法上网，需在旁路由防火墙添加放行规则，确保 ICMP 及 TCP/UDP 转发正常。
关键机制解析
代理组策略选择
配置文件中 proxy-groups 决定了流量走向。
- select：手动切换节点，适合对特定线路有明确要求的场景。
- url-test：自动测试延迟并连接最快节点，适合日常浏览。
- fallback：主节点故障时自动切换备用，保障业务连续性。
proxy-groups:
- name: "Auto-Select"
type: url-test
proxies: ["HK-01", "US-02", "SG-03"]
url: "http://www.gstatic.com/generate_204"
interval: 300
TUN 模式与系统代理
务必开启 TUN 模式，系统代理仅接管 HTTP/HTTPS 流量，无法处理 UDP 协议（如游戏、QUIC 视频），TUN 模式通过虚拟网卡接管全流量，确保Clash 路由器旁路由模式下所有应用无感知代理。
分流规则优先级
规则匹配顺序至关重要：DOMAIN > DOMAIN-SUFFIX > IP-CIDR > GEOIP。
建议优先使用 GEOIP,CN,DIRECT 将国内流量直连，减少延迟；利用 DOMAIN-SUFFIX,google.com,Proxy 精准命中目标服务，错误的优先级会导致国内视频走代理而卡顿。
常见故障排查
现象：部分 APP 提示网络错误，但浏览器正常。 原因：该 APP 使用 UDP 协议或硬编码 DNS，未走 TUN 隧道。 解决方法：检查 OpenClash 是否开启"TUN 模式”及"Fake-IP"过滤，强制重定向 UDP 流量。
现象：旁路由开启后，主路由下设备无法访问后台。 原因：DNS 劫持冲突或网关循环。 解决方法：在主路由设置静态 DNS 豁免，或检查旁路由防火墙是否误拦 LAN 口访问。
节点与订阅优化
稳定的网络体验依赖于优质节点,免费节点通常延迟高且不稳定，仅适合测试；普通中转适合日常网页浏览；若涉及 4K 流媒体或低延迟游戏，需选择高端专线，订阅链接建议使用 SubConverter 转换为 Clash YAML 格式，以兼容 Meta 内核特性。
判断服务商可靠性时,关注其是否提供多协议支持及长期在线率，避免频繁更换配置，对于追求极致稳定的用户，可参考专业评测选择高可用订阅源，确保Clash 路由器旁路由模式发挥最大效能，合理配置节点策略，能让国际网络加速体验如本地般流畅。
