路由器與旁路由架設 Xray/V2Ray 核心：架構選擇與設定重點

一、架構選擇：在主路由器或旁路由部署

Xray 與 V2Ray 是代理核心，不是完整的路由器系統。核心啟動後，仍須由作業系統負責轉送、防火牆接管與服務管理。韌體中的管理介面可以產生設定，但介面選項、規則檔案與實際執行的核心版本必須彼此相容；不能只看頁面是否顯示「已啟動」。

依節點需求選擇核心。Xray 與 V2Fly 維護的 V2Ray 在協定、傳輸方式與設定欄位上有所差異，尤其不能將包含 REALITY 等特定功能的設定直接交給不支援該功能的核心。v2rayN 是桌面用戶端，v2rayNG 與 v2flyNG 是 Android 用戶端；它們可用來驗證節點，但不是路由器上的流量轉送服務。

二、位址規劃：分別確認閘道、DNS 與回程路徑

以下靜態位址僅供說明，並非適用所有網路的預設值。部署前先確認實際網段、DHCP 位址池與現有裝置，避免位址衝突。旁路由應使用固定位址，並將其排除在動態分配範圍之外，或在主路由器為其設定靜態租約。

單網路埠、同網段的旁路由可能出現這種情況：直連流量經旁路由轉送至主路由器，再由主路由器直接回傳終端裝置，形成非對稱路徑。應依防火牆狀態追蹤結果，決定採用受控的來源位址轉換，或調整網路拓樸以維持路徑對稱；也要檢查 ICMP 重新導向是否讓終端裝置繞過旁路由。不要把「啟用 NAT」當成所有問題的通用解法。

三、透明代理：核心正在監聽，不代表流量已接管

使用明確代理時，應用程式必須主動連線至 HTTP 或 SOCKS 代理連接埠。透明代理則由閘道攔截符合條件的流量，交由核心處理，並保留目標位址供路由判斷。只設定 SOCKS 入站，即使裝置的閘道已指向旁路由，一般應用程式流量也不會自動進入該入站。

1. 先確認出口：在用戶端使用同一節點確認基本連線正常，再檢查路由器上的系統時間、憑證驗證、伺服器網域名稱解析與連線記錄。桌面裝置可正常使用，不代表路由器的網路環境完全相同。
2. 再確認入站：核對監聽位址、協定與連接埠，確認防火牆將流量送至正確的透明代理入站，而非誤送至明確代理連接埠。
3. 最後新增攔截規則：先限定測試裝置的來源位址，再逐步擴大目標範圍。TPROXY 需要搭配相應的策略路由；只有防火牆規則而沒有路由設定，仍可能造成連線中斷。
4. 避免代理迴圈：核心建立的出站連線不能再次遭到接管。通常可透過專用標記、程序身分或排除目的位址達成，實際方式須符合部署架構。

區域網路管理位址、廣播、多點傳送及其他應直接連線的網段，須分別在防火牆接管層與核心路由層設定。排除節點伺服器 IP 的規則，也應考慮網域解析結果可能變動。在使用 nftables 的防火牆環境中，不要直接疊加執行舊版 iptables 指令碼；重複接管或規則順序錯誤，會讓問題更難重現。

四、DNS 接管：完整串起連接埠、分流與啟動解析

DNS 接管涵蓋終端查詢、路由器本機轉送與上游解析三個環節。終端裝置將 DNS 指向旁路由，只能限制遵循該設定的查詢。應用程式內建的加密 DNS 不會因為攔截一般 53 連接埠就自動改用你的解析器，應另行檢查瀏覽器與應用程式設定。

• 監聽連接埠：一般 DNS 服務使用 UDP/TCP 53。若系統解析服務已監聽 53，可讓另一個解析元件改用本機 5353 連接埠，再由前者轉送查詢；這些連接埠僅為規劃範例，請以實際監聽設定為準。
• 網域分流：為需要直連或經代理連線的網域安排適當的上游，並確認送往上游的流量經過預期的出口。只將上游位址改成公共 DNS 解析器，無法證明查詢是透過代理送出。
• 啟動解析：若節點伺服器位址使用網域名稱，必須先有可用的解析路徑。不要讓節點網域只能依賴尚未建立的代理連線來解析。
• 避免迴圈：本機 DNS 將查詢轉送給核心後，核心不能再把同一筆查詢送回本機原始入口。請檢查每一跳使用的位址、連接埠與出口標籤。
• 網域與 IP 比對：domainStrategy 會影響路由判斷時是否解析網域名稱及解析時機，但不代表系統的所有 DNS 查詢都會被接管。請依所使用的核心版本確認其可用值與行為。

若使用 geosite、geoip 等規則資源，也須確保資源檔案與設定中的參照一致，並確認更新成功。嗅探可協助部分連線還原網域資訊，但無法保證識別所有流量，也不能取代 DNS 路徑規劃。測試分流時，應同時檢查網域命中記錄與實際的出口標籤。

# 在已安裝 dig 的測試裝置上執行；網域名稱僅供連線測試
dig @192.168.10.2 example.com A
dig @192.168.10.2 example.com AAAA
dig @192.168.10.2 example.com A +tcp

這三項查詢分別檢查 IPv4 記錄、IPv6 記錄與 TCP DNS。收到回覆只代表解析服務有回應；若要確認查詢送往哪個上游、使用哪條出口，仍須搭配路由器記錄或有限度的封包擷取進行觀察。修改解析設定後，應清除終端裝置與路由器的快取，避免舊結果掩蓋設定變更。

五、部署順序：先驗證單一裝置，再透過 DHCP 下發設定

路由器上的設定不能直接照搬桌面版匯出的檔案。監聽位址、檔案路徑、使用者權限、資源檔案位置與透明代理入站都可能不同。訂閱網址也不等於可直接啟動的核心設定；能否匯入及如何產生出站，取決於管理層的實作方式。

1. 記錄基準狀態：備份網路、DHCP 與防火牆設定，記下主路由器的管理位址。確認測試裝置使用原本的閘道時，能正常解析網域名稱、瀏覽網頁並連線至區域網路裝置。
2. 確認執行環境：選擇符合處理器架構的核心程式，並檢查系統時間、可寫入的儲存空間與服務權限。規則資源用量與連線數都會影響記憶體需求，不能只根據安裝套件大小推估執行需求。
3. 單獨啟動核心：先檢查設定語法與啟動記錄，再測試節點連線。不同發行版本的核心設定驗證指令可能不同，請先查看程式隨附的說明。
4. 限制測試範圍：只為 192.168.10.100 設定閘道與 DNS，並僅接管此來源位址。分別測試直連網站、代理網站與區域網路服務。
5. 補齊異常處理策略：明確決定節點無法使用時要阻斷流量，還是允許特定流量直連；也要測試 DNS 故障、核心停止與裝置重新啟動等情況，不能只測試正常狀態。
6. 最後擴大接管裝置：確認運作穩定後，再修改 DHCP 設定。OpenWrt 的 LuCI 介面通常可在「網路」→「介面」→「LAN」→「DHCP 伺服器」中檢查分配設定；實際欄位會隨版本而異。現有終端裝置須重新取得租約，才會套用新設定。

六、驗收與故障排除：依路徑逐項定位，不只檢查出口 IP

出口位址改變只能證明某次請求經過某條路徑，無法證明 DNS、UDP、IPv6 與所有應用程式都已正確接管。驗收時應保留正常與異常兩組結果，並分別檢查終端裝置、閘道、DNS 與核心出站。

# 在 Linux 路由裝置上執行；需要具備相應的檢視權限
ip -4 route
ip -6 route
ip rule show
ss -lntup

以上指令可用來檢視 IPv4 路由、IPv6 路由、策略路由規則與監聽連接埠；精簡版系統可能需要另外安裝相應工具。檢查時請對照自己的位址規劃，不要只因輸出中出現某個連接埠就認定部署完成。若記錄包含訂閱網址、存取憑證或裝置識別資訊，分享前請先移除敏感內容。