PassWall 教程

PassWall 是 OpenWrt 路由器上的透明代理插件，它不读取 Clash 配置，而是直接管理一个个节点，调用 Xray、sing-box 等核心运行。机场只提供通用订阅、或者你想在界面里点选“哪类流量走哪个节点”时，选 PassWall；核心步骤是导入订阅、建一个“分流”节点、再把它设为 TCP 节点。

PassWall 与 OpenClash 怎么选

对比项	PassWall	OpenClash
订阅格式	通用订阅、节点分享链接	Clash / mihomo 订阅
核心	Xray、sing-box 等多核心	mihomo 内核
分流方式	在界面里为各类流量指定节点	使用配置文件里的规则和策略组
上手难度	选项多，但不需要懂 YAML	依赖订阅自带规则，改规则要懂 Clash 配置

两者只能启用其一。想用机场自带的 Clash 规则，看 OpenClash 使用教程；路由器方案的整体对比见 路由器使用机场教程。

同一组织下还有 PassWall2 项目，界面和分流逻辑都不同。本文只讲 PassWall，网上截图对不上时，先确认自己装的是哪一个。

安装前准备

1. 用 SSH 登录路由器，确认 CPU 架构（如 aarch64、x86_64）和包管理器：用 opkg 的固件装 .ipk，用新版 apk 的固件装 .apk。
2. 在 LuCI 的“备份/升级”页面生成系统备份并下载。
3. 确认机场提供通用订阅链接（Base64 格式），并记下节点用的协议。

官方入口：

• 主仓库 github.com/Openwrt-Passwall/openwrt-passwall，本文参考 2026 年 10 月的 26.10.16-2
• 核心组件仓库：同组织下的 openwrt-passwall-packages

安装

直接安装（已有固件）：

1. 从 Releases 下载 LuCI 插件包，以及对应架构的核心组件包（如 xray-core、sing-box）。
2. 上传到路由器后，用 opkg install 或 apk add --allow-untrusted 安装，也可以在 LuCI 的软件包页面上传安装。
3. 刷新页面，“服务”菜单下出现 PassWall 即安装成功。

编译固件时集成：按 README 在 feeds.conf.default 中添加 PassWall 的 feed，或把 packages 与 LuCI 仓库克隆到源码的 package/ 目录。README 提示要移除 feeds 自带的旧版核心包和旧 LuCI 应用，避免版本冲突。

闪存小的路由器不必装全部核心，按节点协议只装需要的：VLESS、VMess、Trojan 用 Xray；Hysteria2、TUIC 可用 sing-box。

导入节点订阅

1. 进入节点订阅页面，添加订阅：填写备注和机场的通用订阅链接。
2. 保存后手动订阅一次，节点会出现在节点列表里。
3. 设置定时自动更新。
4. 单个节点也可以在节点列表里通过分享链接手动添加。

订阅失败时，先确认路由器自身能访问订阅地址，再参考 机场订阅更新失败怎么解决。

基本设置：主开关与 TCP/UDP 节点

1. 先在节点列表里做连通性检测，挑出可用节点。
2. 在基本设置页面打开主开关。
3. TCP 节点：选一个具体节点，或选下一节建的“分流”节点。
4. UDP 节点：通常与 TCP 相同，游戏、语音通话等 UDP 流量才会被正确代理。
5. 保存并应用。

先用一个确认可用的普通节点跑通，再换成分流节点，可以避免一开始就因配置问题导致全家无法访问外网。

分流设置（PassWall 的核心）

分流通过新建一个类型为“分流”的节点来实现：

1. 在节点列表中添加节点，类型选分流（Shunt），核心选 Xray 或 sing-box。
2. 分流节点里有按类别划分的规则项，例如境外常用服务、流媒体、国内直连等，每一项都可以指定具体节点、默认节点、直连或屏蔽。
3. 设置默认节点：没命中任何规则的流量走这里，一般选一个稳定的境外节点。
4. 规则内容在规则管理页面维护，可以编辑每一类包含的域名和 IP，或更新 GeoSite、GeoIP 数据。
5. 回到基本设置，把 TCP 节点改为这个分流节点。

常见用法：让 AI 服务固定走某个地区的节点，让流媒体走解锁能力更好的节点，国内网站和局域网地址保持直连。规则匹配的通用原理见 分流规则与代理模式设置。

DNS 设置

PassWall 有独立的 DNS 设置区域，可以分别选择国内 DNS 与远程 DNS 的处理方式，也有类似 FakeDNS 的选项。设置不当会出现“节点正常但网页打不开”，或国内网站被解析到国外。新手建议先保持默认，出问题时再参考 代理客户端 DNS 设置教程 调整；想确认是否存在泄露，见 代理环境下 DNS 泄露怎么检测与彻底防护。

自签证书节点：2026 年 6 月起的变化

PassWall 项目公告提示：自 2026 年 6 月 1 日起，Xray 核心弃用 allowInsecure（跳过证书校验），使用自签证书的节点需要提供证书指纹参数 pinnedPeerCertSha256，否则在 Xray 核心下无法连接。解决方法：

• 向机场索取带证书指纹参数的新订阅；
• 或把这类节点改用 sing-box 核心运行。

验证连接

1. 在运行状态区域确认各项服务处于运行状态。
2. 用一台没有安装代理软件的设备，分别访问国外和国内网站，确认都能打开且速度正常。
3. 设置了分流的，访问对应服务时观察是否走了预期节点。

常见问题

开启后全家无法上网？

先把 TCP 节点换成一个确认可用的普通节点，排除分流配置问题；仍然不通，再检查 DNS 设置和核心组件是否安装完整。

节点检测正常，网页却打不开？

多半是 DNS 或规则问题，而不是节点本身。先关闭分流直接用单节点测试，再参考 节点延迟正常但打不开网页怎么办。

6 月以后部分节点突然连不上？

很可能就是上面提到的自签证书变化。查看节点是否用了跳过证书校验，改用 sing-box 核心或更新订阅即可。

游戏、语音不走代理？

确认 UDP 节点已设置且与 TCP 节点一致，并确认节点协议本身支持 UDP 转发。

怎么让某台设备完全不走代理？

在 PassWall 的访问控制设置里，按设备的 IP 或 MAC 地址添加规则，让它直连。打印机、NAS、公司电脑等设备都适合这样处理；同时检查这些设备是否手动指定了 DNS，避免绕过路由器。

设置会随系统备份一起保存吗？

会。PassWall 的设置保存在 OpenWrt 的配置系统里，LuCI 生成的系统备份包含这些设置。刷机或升级固件前务必下载备份，并另存一份订阅链接，更多做法见 配置备份与迁移教程。