iStoreOS PassWall 实操：上传安装包、导入订阅、接成旁路由

iStoreOS 是一款以 OpenWrt 为底的路由器系统，自带图形化的 iStore 应用商店和首页网络向导，x86 软路由和不少 ARM 小盒子都能刷。它和原版 OpenWrt 的差别，正好落在装插件和设网络这两步上：插件多数通过 iStore 安装，网络模式多数通过向导设置。所以在 iStoreOS 上配 PassWall，顺序和别的固件不太一样。下文按「先定网络角色，再装插件，最后接订阅」来走。

先看清系统版本和架构

iStoreOS 有基于不同 OpenWrt 大版本的发行线，x86 和各型号 ARM 设备的安装包也不通用。打开后台首页或「系统 → 概览」，记下两样东西：

1. 固件版本号，以及它对应的 OpenWrt 大版本。iStoreOS 24.10 起防火墙换成了 nftables，老插件包可能不兼容；25.12 起包管理器从 opkg 换成 apk，安装包格式也跟着变。
2. 设备架构。x86 机器一般是 x86_64；ARM 盒子各不相同，可以 SSH 登录后执行下面这行查看。

cat /etc/openwrt_release | grep ARCH

把输出里的架构名抄下来，后面挑安装包要逐字对上。存储空间也顺手看一眼，x86 机器通常不缺，小盒子的系统分区可能偏小。

决定主路由还是旁路由

iStoreOS 两种角色都能当。家里已经有一台好用的路由器负责拨号和 Wi-Fi 时，旁路由更常见：主路由照旧工作，iStoreOS 只负责代理，出问题时把网关改回主路由就恢复，影响面小。

本篇后面以旁路由为例，主路由场景只需跳过「接成旁路由」那一节。

用 iStore 手动安装 PassWall

iStore 官方应用目录里没有 PassWall，在商店里搜不到是正常的，直接走手动安装。

1. 先做备份。在「系统 → 备份与更新」里下载一份配置备份到电脑；iStore 的「维护」页还有系统备份，能连同已装软件包一起备份到外部存储。iStoreOS 文档还建议折腾插件前开启沙箱模式，装坏了可以回退。
2. 找安装包。社区有人把 PassWall 和它的依赖打成 iStore 能识别的 .run 安装包，也可以用项目 Releases 里的 .ipk 包。来源只用项目原仓库或长期维护、口碑清楚的打包者，按前面记下的系统版本和架构挑对文件。
3. 打开 iStore，进入「手动安装」，上传安装包，等它跑完。这里支持 .ipk 包和 .run 自解压包。.run 包会把依赖一并装上；.ipk 包只装它自己，依赖在系统软件源里找不到时会报错，iStoreOS 文档的建议是改找自带依赖的 .run 包。
4. 刷新后台，在「服务」菜单下找到 PassWall。

也可以不经过网页，把 .run 文件传到 /tmp 后在 SSH 里执行：

cd /tmp
sh ./PassWall_xxx.run

文件名按你下载到的实际名字改。装完菜单不出现，先退出后台重新登录、清一下浏览器缓存，多数是页面缓存没刷新。

把 iStoreOS 接成旁路由

假设主路由地址是 192.168.1.1，计划给 iStoreOS 分配 192.168.1.2。

1. 在 iStoreOS 首页打开网络向导，选「配置为旁路由」。
2. 填 IP 地址 192.168.1.2，网关填主路由 192.168.1.1，DNS 先填主路由或国内公共 DNS。
3. 关掉 iStoreOS 上的 DHCP，一个网段只留一个 DHCP 服务，否则设备会随机拿到不同网关。
4. 决定生效范围。想全家自动走代理，就进主路由后台，把 DHCP 下发的网关和 DNS 都改成 192.168.1.2；只想部分设备走，就在那几台设备的网络设置里手动填网关和 DNS。不少家用路由器改不了 DHCP 下发的网关，这时可以反过来：关掉主路由的 DHCP，在 iStoreOS 上开 DHCP，由它给全家发地址。

有的设备经旁路由出去后回包异常，表现为能解析域名却打不开网页。这种情况可以在 iStoreOS 防火墙的 LAN 区域勾选 IP 动态伪装再试。

在 PassWall 里导入订阅

iStoreOS 上的 PassWall 和其他 OpenWrt 上的界面基本一致，填法可以对照 PassWall 配置 那篇，这里只说要点。

PassWall 以通用订阅为主：Base64 编码后、一行一个节点分享链接的那种。2026 年 5 月以后的版本也能直接解析 Clash 订阅里的节点，旧版只认分享链接，Clash 订阅填进去不会出节点。买订阅前，先问清对方能不能给通用订阅链接、一个账号允许几台设备同时在线。本站没有这两项的逐家资料，还没选好的话，可以在 推荐号位 看各家套餐，再挑 一翻云、飞猫云 这样的单家页细看。

填好订阅、拉出节点之后，在「基本设置」里打开主开关，选节点，到「模式」页把分流方式切成「中国列表以外」，直连 DNS 填国内 DNS。

让 DNS 和 IPv6 跟上旁路由

旁路由最常见的失败，不在 PassWall 本身，而在 DNS 和 IPv6 绕路。

1. DNS 必须交给 iStoreOS。设备如果还在用主路由或运营商的 DNS，PassWall 的分流就拿不到域名信息，国外网站要么解析失败，要么拿到错误地址。由主路由发地址时，它下发的 DNS 一定要改成旁路由地址。
2. IPv6 会绕过旁路由。主路由开着 IPv6 时，设备拿到公网 IPv6 地址后，访问支持 IPv6 的网站会直接走主路由出去，不经过 iStoreOS。最省事的做法是在主路由上关掉 IPv6 的地址分配，或者至少关掉下发给内网设备的那部分。
3. 设备上的「私人 DNS」「安全 DNS」类功能会绕开路由器的 DNS，测试时先关掉。

验证全家是否生效

1. 用一台改好网关的手机连 Wi-Fi，打开查出口 IP 的网页，地区应是节点所在地。
2. 手机的网络详情里看一眼网关和 DNS，确认都是 192.168.1.2。
3. 关掉 PassWall 主开关，手机仍能上国内网站，说明旁路由的基础转发正常；再打开，国外网站恢复，说明代理接管成功。
4. 让家里的电视、平板各试一个国外网站，确认不是只有手机生效。

遇到问题先对照这里

如果折腾半天仍不顺，也可以换思路：iStoreOS 同样能跑 ShellCrash 这样的脚本方案，直接吃 Clash 订阅；系统版本够新的话，基于 sing-box 的 HomeProxy 也是一条路。三者只保留一个在运行，避免抢防火墙规则。