PassWall 入门：两个版本差在哪，从装插件到全家走代理

PassWall 是跑在 OpenWrt 上的一款 LuCI 代理插件，装好后在网页后台「服务」菜单里出现。它把路由器变成全家的代理出口：手机、电视、游戏机不用各自装客户端，连上 Wi-Fi 就按规则分流。PassWall2 出自同一个开源项目组，两个仓库现在都放在 GitHub 的 Openwrt-Passwall 组织下，界面相似，但组织规则的方式不一样。下面先把两者分清，再按真实操作顺序走一遍。

分清 PassWall 和 PassWall2

两者最容易混的地方是名字，最该关心的地方是「怎么决定哪些流量走哪个节点」。

一句话判断：家里只想「国外走代理、国内直连」，装 PassWall；想按网站类别拆给不同地区的节点，装 PassWall2。PassWall 里也能建分流节点，只是不像 PassWall2 那样放在中心位置。两个只装一个，别同时开。

准备固件、架构和订阅

动手前把三件事查清楚，能省掉大半返工。

1. 确认固件。官方 OpenWrt、ImmortalWrt、iStoreOS 以及各种第三方编译版都能装，但有的固件已经内置 PassWall，有的完全没有。登录后台，看「系统 → 概览」里的固件版本。
2. 确认 CPU 架构。安装包按架构分发，装错架构必然失败。用 SSH 登录路由器，执行下面的命令，看输出里的架构名，例如 x86_64、aarch64_cortex-a53、aarch64_generic。
3. 确认剩余空间。内核文件加依赖要占几十 MB，闪存吃紧的设备先看可用空间。
4. 准备一条订阅地址。PassWall 吃的是通用订阅，后面单独讲。

cat /etc/openwrt_release
opkg print-architecture
df -h /overlay

/etc/openwrt_release 里 DISTRIB_ARCH 那一行就是要找的架构名。空间不够时，别硬装，换一台存储更大的设备更省事。

选一种方式装上插件

按从省事到麻烦排，有三条路。

1. 固件自带。很多第三方固件编译时就带了 PassWall，刷好固件就能在「服务」菜单看到。想换 PassWall2，也优先找自带它的固件。
2. 添加软件源。项目发布页指向 openwrt-passwall-build 提供的软件源，托管在 SourceForge，按 OpenWrt 版本和 CPU 架构分目录。照它的说明把源地址和签名公钥加进包管理器配置，然后在线安装。
3. 离线安装包。GitHub Releases 页面只放插件本体和中文包，按 OpenWrt 版本分成几组文件；Xray、sing-box 等内核和依赖包，要到 SourceForge 上的 openwrt-passwall-build 按架构下载。全部用 SCP 传到路由器 /tmp，再统一安装。

软件源配好之后，在线安装大致是这样：

opkg update
opkg install luci-app-passwall luci-i18n-passwall-zh-cn

装 PassWall2 就把包名里的 passwall 换成 passwall2。离线包放进 /tmp 后，可以用 opkg install /tmp/*.ipk 一次装完，缺依赖时 opkg 会列出缺哪个，照着补。OpenWrt 25.12 起改用 apk 包管理器，在线安装换成 apk add，离线包要加 --allow-untrusted，以你固件自带的包管理器为准。装完刷新后台，「服务」菜单里出现 PassWall 即可往下走。

把订阅填进去

PassWall 要的订阅，解码后是一行一个 ss://、vmess://、vless://、trojan:// 或 hysteria2:// 链接的文本，整体再做一次 Base64 处理，这就是常说的通用订阅（有的机场叫 V2Ray 订阅）。2026 年 5 月以后的版本（26.5.11 起）也能直接解析 Clash 订阅，但只提取其中的节点；更早的版本不认 Clash 的 YAML 配置，填进去节点列表会是空的。

1. 打开 PassWall 的「节点订阅」页，新增一行，填备注和订阅地址。
2. 保存并应用，再点手动订阅。订阅地址第一次要靠路由器直连去拉，路由器本身要能正常上网。
3. 回到「节点列表」，确认节点已经出现。订阅里常混着「剩余流量」「到期时间」这类信息条目，可以用订阅设置里的「过滤关键字模式」加「丢弃列表」排除。
4. 在订阅设置里打开自动更新，节点变动时不用手动重拉。

还没有订阅的话，可以从 推荐号位 里挑。本站没有各家订阅格式和设备数的资料，下单前直接问客服两件事：有没有通用订阅链接，同时在线设备数怎么算。路由器只是一个出口，但家里设备多、流量也跟着涨，月流量要留余量。名单里的 一翻云、微风 都可以先看单家资料再决定。

选运行模式和 DNS

回到「基本设置」，按页签往下填。

1. 在「主要」页打开主开关。
2. 「代理节点」选一个延迟低的节点。26.8.26 之前的版本这里分成「TCP 节点」和「UDP 节点」两项，UDP 节点可以选「与 TCP 节点相同」。
3. 切到「模式」页，用「切换模式」的按钮定分流方式，点一下会自动勾好下面的名单选项。多数家庭选「中国列表以外」：大陆 IP 直连，其余走代理。GFW 列表只代理名单里的域名，更省流量，但新出现的网站可能漏掉。全局代理连国内站点也要绕到节点那边再回来，打开会明显变慢。「中国列表」反过来只代理国内，给人在海外、要访问国内服务的情况用。
4. 在「DNS」页设 DNS。直连 DNS 填运营商或国内公共 DNS，远程 DNS 走代理去查。「DNS分流」保持默认即可，出了问题再换。
5. 在「规则管理」里更新一次 GFW 列表、中国 IP 列表和中国域名列表，并设成定时自动更新。

只想让部分设备走代理，用「访问控制」按 IP 或 MAC 指定。比如电视走代理、办公电脑直连。

PassWall2 的填法不同：先建一个分流节点，指定默认节点，再按规则把某类网站分给某个节点。思路是「先分类，再挑节点」。

验证是否生效

1. 看页面上方的运行状态和连接检测，国内站点和国外站点都应该能通。
2. 在节点列表里对节点做延迟测试，超时的节点先别用。
3. 拿一台没装任何代理软件的手机连 Wi-Fi，打开一个查出口 IP 的网页，显示的地区应当是节点所在地。
4. 再打开几个国内网站，确认速度没有明显变化。

还可以在电脑上用 nslookup 指定路由器做 DNS 查询，看国外域名能否正常解析：

nslookup www.google.com 192.168.1.1

把 192.168.1.1 换成你路由器的实际地址。

常见故障怎么查

排查时先关掉主开关确认网络能恢复，再一项一项改，每改一处就保存应用一次，别同时动好几个设置。日志在插件的「运行日志」页里，报错信息通常会写明是 DNS、节点还是防火墙的问题。

换方案前再看看这几篇

在路由器上做代理，同类方案还有好几个。系统用的是 iStoreOS，看 iStoreOS PassWall 安装 那篇，里面专门讲了 iStore 手动安装和旁路由接入。手里只有 Clash 订阅、或者设备不是 OpenWrt，看 ShellCrash。固件已经是 nftables 的新版本、想用 sing-box 内核，看 HomeProxy。几种方案的订阅格式各不一样，选插件之前先确认手里的订阅是哪一种，比装完再换省时间。