OpenClash 配置从零走一遍：六步让全屋设备共用一条订阅

OpenClash 本身不带节点，也不带代理内核。它是一个 LuCI 界面插件，只做三件事：把订阅拉下来存成配置文件；调起 mihomo（原名 Clash.Meta）内核；改写路由器的 DNS 和防火墙，把局域网的流量交给内核处理。把这三件事记住，后面每一步在动什么就清楚了。

这篇按实际操作顺序讲配置。系统是 iStoreOS 还是官方 OpenWrt，安装那一步做法差别很大，各有单独一篇：iStoreOS 装 OpenClash、OpenWrt 命令行装 OpenClash。下面的内容在两种系统上通用。

备齐三样东西

动手前先确认这三项，能省掉大半返工。

另外看一眼闪存余量。mihomo 内核单个文件就有十几 MB 以上，规则数据库还要再占一些空间。只有 16MB 闪存的老路由基本放不下，这类设备不适合跑 OpenClash。

装插件

插件包名是 luci-app-openclash，源码和发布包都在 GitHub 的 vernesong/OpenClash 仓库。搜「openclash 下载」会出现很多名字里带官网字样的站点，它们并不是项目方。安装包只从这个仓库的发布页拿，文件名形如 luci-app-openclash_版本号_all.ipk。

装法有两种：

1. iStoreOS 这类带 iStore 的固件：iStore 官方应用列表里没有 OpenClash，要用 iStore 的手动安装入口上传 ipk，安装时会尝试从软件源补依赖，但不一定补得齐。
2. 官方 OpenWrt：先补依赖，再上传 ipk 安装。依赖名单会随防火墙类型变，详细命令见 OpenWrt 那一篇。新版固件改用 apk 包管理器的，要下 .apk 格式的安装包。

装完刷新后台，菜单「服务」下面会多出 OpenClash。

下内核

安装包里不含内核文件。第一次启动时插件会自动去下载，路由器连不上下载地址，启动就会失败。稳妥的做法是先手动下好：

1. 进入 OpenClash 的「插件设置」，切到「版本更新」标签页。
2. 确认编译版本和 CPU 架构对得上，比如 x86_64 对 amd64，aarch64 对 arm64；Smart 内核一项保持禁用，下的就是 Meta 内核。
3. 更新内核，等页面提示完成。

这个页面会列出几个下载地址并测延迟，GitHub 直连超时可以换一个试。都下不动时，在电脑上下载 mihomo 对应架构的发布文件，解压后改名为 clash_meta，上传到路由器：

# 电脑上执行，把内核传进路由器（新版 OpenSSH 要加 -O）
scp -O clash_meta root@192.168.1.1:/etc/openclash/core/

# 路由器上执行，给执行权限
chmod +x /etc/openclash/core/clash_meta

x86 平台的文件名里常带 compatible、v1、v3 一类后缀，对应不同的指令集。老 CPU 选兼容版本，避免内核一启动就崩。

贴订阅

OpenClash 吃的是 Clash（Mihomo）格式的订阅。机场给的如果只是 vmess://、trojan:// 这类分享链接的合集，插件还要先转一次格式。

1. 打开「配置订阅」页，点添加。
2. 填一个英文名称，把订阅地址贴进去。
3. 在线订阅转换先保持关闭。订阅已经是 Clash 格式就用不着它；打开它意味着订阅地址会交给第三方转换服务。
4. 保存，回到列表点「更新配置」，等日志提示下载成功。
5. 到「配置管理」里确认刚下载的配置被选为当前配置。

还没有订阅，可以从本站的 推荐号位 里挑。下单前先问客服两件事：订阅链接是不是 Clash 格式；同一账号允许几台设备同时在线。路由器在机场那边通常只算一台设备（各家统计口径不同，以客服答复为准），可家里所有设备的流量都会算进同一份额度。手机、电视、电脑一起走代理，月流量消耗比单台设备高出好几倍。按本站收录的价目，暮光加速 的 120GB 档月付 20 元、240GB 档月付 40 元，算全家用量时可以拿这种档位做参照。

选运行模式

「插件设置 → 模式设置」里的运行模式下拉框有六项，其实是两个维度的组合：DNS 怎么处理，加上流量怎么被接管。

另有一组「规则 / 全局 / 直连」，决定流量进了内核后怎么走。日常用规则模式：国内网站直连，其余按订阅里的策略组走代理。

初次配置选不带后缀的「Fake-IP 模式」，跑通以后再按需要改。

设 DNS

OpenClash 启动后会改写路由器上的 dnsmasq，让它把查询转给内核自带的 DNS（默认监听 7874 端口）。这一步自动完成，要留意的是三种绕过的情况：

• 设备手动写死了 8.8.8.8 之类的公共 DNS，查询不经过路由器，分流就乱。把设备 DNS 改回自动获取，或确认插件设置里的「本地 DNS 劫持」没有被关掉。它默认开启，会把局域网发往 53 端口的查询拦回路由器。
• 宽带下发了 IPv6，设备拿到 AAAA 记录后直接走 IPv6 出去，绕开了代理。要么在局域网关掉 IPv6 分配，要么在插件里开启 IPv6 相关的代理选项。
• 上游 DNS 填了容易被污染的地址。在覆写设置的 DNS 部分，国内解析填运营商或国内公共 DNS，海外解析交给代理去查。

验证分流

改完设置，按顺序核对：

1. 「运行状态」页显示内核在运行，没有红字报错。
2. 打开控制面板（默认端口多为 9090），能看到策略组和节点延迟。
3. 在电脑上执行 nslookup www.google.com，Fake-IP 模式下应当返回 198.18 开头的地址。
4. 浏览器分别打开一个国内网站和一个海外网站，再到控制面板的连接列表里看：国内的走 DIRECT，海外的走代理组。
5. 手机连上 Wi-Fi 后不开任何代理 App，直接访问海外网站，能打开就说明全屋接管成功。

处理五种常见故障

如果路由器同时装了别的代理插件，只开一个。两个插件抢同一套 DNS 和防火墙规则，表现会很混乱。

不想在路由器上装插件，也可以让家里常开的 NAS 用容器跑 mihomo 当网关，做法见 mihomo Docker 那一篇。