2026-10-21 · 平台部署 · 约 10 分钟

路由器与旁路由直跑 Xray 内核:部署思路与设备要求概览

概览在路由器或旁路由上直接运行 Xray 内核的几种方式,对比主路由与旁路由的网络拓扑,并列出硬件架构、内存与存储的基本要求。

本文速览

路由器能执行 Xray，不代表已经接管局域网流量。本文先区分内核运行、应用代理与透明转发，再给出主路由、旁路由和独立代理服务三种部署取舍。适合准备使用 OpenWrt 或 Linux 小主机的用户；读完可以确定设备规格、测试拓扑与回退方法，而不是直接把全网默认网关改掉。

直跑 Xray：内核、管理界面与流量入口

Xray 是处理代理连接的内核，不是路由器固件，也不是带完整订阅管理界面的桌面程序。v2rayN 在桌面上管理配置并调用内核；把 Xray 放到路由器后，配置生成、进程守护和网络转发需要由固件服务或管理员分别处理。仅复制一个可执行文件，不会自动出现管理网页。

还要区分“设备本机可以代理”和“其他设备经过它代理”。前者只需让应用连接一个代理入站；后者还涉及 IP 转发、防火墙、策略路由与 DNS。订阅地址也不是 Xray 原生 JSON 配置，不能直接当作配置文件交给内核读取。

主路由与旁路由：先看故障影响范围

主路由通常负责拨号或上联、DHCP、NAT 和默认网关。把 Xray 放在这里，流量路径直接，但一次错误的防火墙重载就可能影响全部设备。旁路由把代理服务移到另一台机器，便于单独重启和回退，不过“接到同一个交换机”并不意味着流量会自动经过它。

单设备试用旁路由

推荐

保留主路由的 DHCP，先让一台测试电脑把默认网关指向旁路由。推荐的是这个验证顺序，不是认为旁路由在所有网络里都更快。

适合:已有稳定主路由，需要分阶段接入和快速回退。

主路由直接运行

路由、DNS 和代理规则集中管理。升级前需要导出网络与防火墙配置，并保留本地管理入口，避免只能通过远程连接修复设备。

适合:熟悉固件恢复，且主路由计算与存储资源充足。

独立代理服务

小主机只提供局域网代理端口，不承担默认网关。应用逐个填写地址即可；不遵循代理设置的流量仍直接访问网络。

适合:少量电脑或应用使用，不需要统一接管全网。

下面是一组示例地址，不是需要照抄的固定值。旁路由地址应避开 DHCP 动态分配范围，并且不能与其他设备重复。单网口设备可以承担旁路由，但回程路径、转发规则和主路由行为要一起验证。

主路由 LAN：192.168.10.1/24
旁路由 LAN：192.168.10.2/24
旁路由默认网关：192.168.10.1
测试电脑：192.168.10.50/24
测试电脑默认网关：192.168.10.2

去程：测试电脑 → 旁路由 → 主路由 → 上联网
其他设备：仍以 192.168.10.1 为默认网关

同网段旁路由的回包可能由主路由直接送回测试电脑。是否需要源地址转换，要结合连接跟踪和实际拓扑决定；不要直接复制一条全局 NAT 规则。测试期间还应检查 ICMP 重定向是否改变了电脑的后续路径，避免出现“刚开始有效，稍后绕过旁路由”的情况。

设备要求：架构、可用内存与持久化空间

下载前先确认 CPU 架构、位数与系统 ABI。看到“ARM”不能直接选包，还要区分具体架构和指令集；MIPS 设备尤其要核对大小端与构建要求。能启动固件，也不代表当前 Xray 构建支持这台设备的内核和运行环境。

512 MiB
新选设备的内存起点建议
256 MiB
持久化可用空间预算建议
10808
本文示例 SOCKS 测试端口

上述内存和空间是便于维护的起点，不是官方最低要求，也不是吞吐保证。规则数据、并发连接、日志与固件自身服务都会占用资源。已有的低内存设备应以空闲内存和运行峰值判断；新购设备不宜只按“二进制能放进去”选型。

检查项检查方法判定重点
系统架构uname -m，再查固件设备信息确认位数、指令集与构建目标，不只看产品型号。
内存余量free -m在业务高峰观察可用内存，排查进程因内存不足被终止。
存储位置df -h确认写入持久化分区，而非重启后清空的临时目录。
内核环境uname -r，检查固件模块透明转发所需的 TPROXY、策略路由等能力须实际可用。

性能也不能只看网口标称速率。代理加密和协议处理主要消耗 CPU，普通 NAT 转发成绩不能等同于 Xray 吞吐。持续测试时记录处理器占用、温度和延迟；原本正常的硬件流量卸载还可能绕过透明转发规则，应在排查时临时关闭相关加速再对比。

部署顺序：先跑通单连接，再切测试网关

以下顺序以 OpenWrt 管理网络、Xray 作为独立服务为例。LuCI 的菜单名称会随版本和主题略有变化；原生 Xray 不提供 LuCI 菜单，因此内核启动与配置检查在终端完成。不要为了找一个不存在的开关而先装入多个会互相修改防火墙的组件。

  1. 备份网络

    在 LuCI「系统」→「备份/升级」生成配置备份。记录主路由管理地址、LAN 地址与 DHCP 范围，保留一台能直接访问主路由的管理电脑。

  2. 固定地址

    在旁路由「网络」→「接口」→「LAN」→「编辑」→「基本设置」设置静态地址，例如 192.168.10.2。单 DHCP 方案下，在同页「DHCP 服务器」→「基本设置」勾选「忽略此接口」，不要让两台设备同时发放地址。

  3. 检查配置

    确认内核可执行后，先检查配置文件。远端地址、端口、认证与 TLS 参数按服务提供方信息填写；检查通过只代表配置可加载，不代表远端已经连通。

  4. 测试代理

    先使用监听在 127.0.0.1:10808 的 SOCKS 入站，在路由器本机验证。需要电脑直连测试时，再绑定指定 LAN 地址，并仅允许测试电脑访问，不能把代理端口开放到 WAN。

  5. 切单机网关

    确认代理正常后，再配置固件对应的透明入口、转发与策略路由。在测试电脑的网卡 IPv4 设置中，将默认网关改为 192.168.10.2；DNS 单独指定，暂不修改全网 DHCP 下发参数。

下面假定可执行文件安装为 /usr/bin/xray，配置保存在 /etc/xray/config.json。使用固件软件包时，应以其实际文件路径为准。部分精简固件没有预装 curl，需要先确认工具是否可用。

/usr/bin/xray version
/usr/bin/xray run -test -config /etc/xray/config.json

curl --proxy socks5h://127.0.0.1:10808 \
  --connect-timeout 10 --max-time 20 \
  -I https://example.com/

socks5h 会把目标域名交给代理端解析，适合把本机 DNS 干扰与代理链路问题分开。以上测试只覆盖这条显式代理连接，不能证明透明转发已经接管其他应用，更不能证明 UDP 或 IPv6 工作正常。

透明转发与 DNS：最容易漏掉的四项检查

设置默认网关只是把 IP 数据包送到另一台机器。是否进入 Xray，由防火墙匹配和策略路由决定；解析请求走哪里，则由终端 DNS、路由器转发器与内核 DNS 规则共同决定。这几层需要分别验证。

如果测试电脑的 DNS 仍为 192.168.10.1，解析就可能继续由主路由完成。即使把 DNS 改为 192.168.10.2，也要确认旁路由确实监听查询，并将其转发到预期上游。浏览器的加密 DNS 又可能绕过系统 DNS，因此不能只凭一个检测页面就宣布全网解析路径正确。

常见问题与回退：先恢复网络，再定位规则

启动就报无法执行，换配置有用吗？

先运行 uname -m 并核对构建目标。出现格式错误或非法指令，优先检查架构、指令集与系统兼容性；出现权限错误，再检查执行权限和所在分区是否禁止执行。此时不必反复修改节点字段。

旁路由自己能访问，电脑却不行？

先确认电脑默认网关确为 192.168.10.2，再检查旁路由的 IP 转发、防火墙转发权限和透明入口。若显式 SOCKS 测试成功而透明访问失败，优先查转发链路，不要先更换远端节点。

停掉 Xray 后，怎么整个网络都断了？

如果重定向规则仍把连接送往已停止的入口，就会出现这种现象。先在测试电脑把默认网关恢复为 192.168.10.1，并恢复原 DNS；再通过管理入口撤销对应规则。正式部署前应验证服务停止时的回退行为。

同一节点在电脑上快，路由器上慢？

先让同一台电脑、同一测试目标在相近时段对比，排除无线链路差异。再观察路由器 CPU、温度与日志，检查 MTU 和重复转发。网口为千兆并不能排除处理器成为瓶颈。

验收时至少保留四项记录：显式代理是否成功、透明 TCP 是否成功、DNS 实际走向、停止服务后能否恢复直连。扩大接入范围之前，先让一台设备完成休眠唤醒、续租地址和路由器重启测试，确认配置确实持久化。

只有一两台终端需要代理时，桌面使用 v2rayN，安卓按内核需求选择 v2rayNG 或 v2flyNG，通常更容易定位问题。需要统一管理多台设备时，再考虑网关部署。更多字段含义可查阅协议与内核参考；先明确流量入口，比一次配置完整个家庭网络更重要。

v2rayN下载