路由器與旁路由部署 Xray：硬體需求、透明代理與流量分流指南

一、硬體選擇：先確認架構與可用記憶體

Xray 是負責處理連線、協定與路由的核心，不是路由器韌體，也不內建通用的路由器管理介面。能執行 Linux，不代表就能直接執行任意 Xray 二進位檔：CPU 架構、指令集、系統環境與可寫入的儲存空間都必須相符。下載前先用 uname -m 查看架構，再用 free -m 與 df -h 檢查記憶體和儲存空間餘裕。

以下為部署資源的規劃建議，不代表最低執行門檻或吞吐量保證。並行連線數、規則數量、加密負載與記錄檔大小都會影響資源需求；裝置標示的無線網速也不等於代理轉送效能。

二、主路由器與旁路由：先釐清資料傳輸路徑

主路由器通常負責撥號、NAT、DHCP 與預設閘道。旁路由則是區域網路中額外的轉送裝置，不會只因為接上網路線就自動接管全網流量。終端必須將相關流量交給旁路由，或由主路由器透過策略路由轉送過去，Xray 才能處理連線。

• 部署在主路由器：終端流量原本就會經過主路由器，接管位置較集中；但核心、防火牆或路由設定有誤，可能影響整個網路。
• 同網段旁路由：例如主路由器為 192.168.10.1，旁路由為 192.168.10.2，測試終端為 192.168.10.100，子網路遮罩皆為 255.255.255.0。將終端的預設閘道改為旁路由，旁路由的上游閘道仍設為主路由器。
• 獨立下游網段：旁路由使用兩個介面或 VLAN，將測試終端放在獨立子網路。網路路徑通常更清楚，但須一併設定轉送、防火牆，以及回程路由或來源位址轉換。

同網段架構還須考量直連流量的回程是否繞過旁路由，以及 ICMP 重新導向是否會改變終端的路徑。是否啟用來源位址轉換，取決於實際網路拓樸與連線追蹤需求；不能一概認定「旁路由必須啟用 NAT」。初期只修改一台終端，並使用 ip route 或系統路由檢視工具確認預設閘道。

三、透明代理：流量接管方式不等於代理協定

透明代理指的是接管流量的方式，並非 VLESS 或 VMess 的替代協定。終端不必填寫應用程式代理位址，流量會由閘道重新導向或透過策略路由送入核心。能否接管 TCP、UDP 與 IPv6，取決於 Linux 網路設定、入站設定，以及代理出站與伺服器是否共同支援。

Xray 常見的 Linux 透明接入方式會使用 dokodemo-door 入站，搭配 followRedirect 讀取原始目的地；TPROXY 方案還須設定對應的 streamSettings.sockopt.tproxy。只加入這些 JSON 欄位，不會自動建立防火牆規則或策略路由，也不會啟用系統轉送。

OpenWrt 22.03 及更新版本通常採用 firewall4 與 nftables。網路上以 firewall3 為基礎的舊版 iptables 教學不能直接照搬，務必確認實際韌體、模組與相容層。桌面版 v2rayN 的 TUN 開關也不是能直接複製到路由器 Xray 設定中的單一欄位；相關限制請參閱TUN 設定說明。

四、設定檔與服務：先驗證明確指定的代理

設定檔路徑由啟動指令決定，與檔名無關。/etc/xray/config.json 是常見的慣用路徑；套件或管理介面可能使用其他目錄，也可能在 /var 下產生執行時檔案。直接修改產生的檔案，通常會在下次儲存或重新啟動後被覆寫，因此應先確認設定檔的來源。

1. 記錄網路設定

   在 OpenWrt LuCI 的「網路」→「介面」中記下 LAN 位址、上游閘道與介面名稱；再從「系統」→「備份／升級」匯出設定備份。暫時不要修改全網 DHCP 派發的設定。

2. 確認啟動設定

   執行 xray version 確認核心可正常執行。使用 systemd 的系統，請查看 systemctl cat xray 中的 ExecStart；OpenWrt 則查看 /etc/init.d/xray 及其讀取的設定，確認實際使用的路徑。

3. 檢查設定檔

   若實際設定檔位於這個常見路徑，請執行 xray run -test -config /etc/xray/config.json。先排除語法錯誤、未知欄位與規則檔讀取錯誤，再啟動服務。設定測試通過，不代表遠端節點一定連得上。

4. 本機驗證

   先讓 SOCKS 入站僅監聽 127.0.0.1:10808。使用 curl --proxy socks5h://127.0.0.1:10808 https://example.com/ 測試連線，並同時查看記錄中選用的出站；不能只憑網頁成功開啟，就判定流量已經透過代理。

5. 單一終端接管

   確認明確指定的代理與實際節點都正常後，再對一台測試終端啟用透明規則。分別測試 DNS、TCP、UDP 與 IPv6，確認仍可存取管理頁面，最後才擴大來源位址範圍。

以下是用來理解設定檔結構的本機直連基礎範例，不是可連線代理節點的完整設定檔。它沒有遠端伺服器參數，也沒有透明入站；所有透過 SOCKS 接收的連線都會經由 freedom 直接連線。若目前服務已有可用設定，請勿直接覆寫。

{
  "log": {
    "loglevel": "warning"
  },
  "inbounds": [
    {
      "tag": "local-socks",
      "listen": "127.0.0.1",
      "port": 10808,
      "protocol": "socks",
      "settings": {
        "auth": "noauth",
        "udp": true
      }
    }
  ],
  "outbounds": [
    {
      "tag": "direct",
      "protocol": "freedom",
      "settings": {}
    }
  ]
}

訂閱網址也不是 Xray 的啟動參數。用戶端訂閱可能包含 Base64 編碼的分享連結，或採用特定管理程式的格式；只有符合 Xray 設定結構的 JSON，才能作為設定檔載入。使用訂閱管理工具時，請確認它產生的出站、標籤與規則檔，避免手動編輯的內容又被更新程序覆寫。

五、DNS 與路由分流：兩條路徑都要檢查

要正確分流，必須同時確認「連線目的地」與「網域如何解析」。Xray 的 routing.rules 會由上而下比對，規則中的 outboundTag 必須對應到實際存在的出站標籤；沒有符合的規則時，通常會使用第一個出站。網域規則、IP 規則與預設出站的順序，應先明確列出預期結果，再轉換成設定。

這些連接埠用途不同，不能互相替代。12345 只是方便規劃的範例值，不是系統會自動使用的預設連接埠；防火牆轉送目的地必須與核心監聽的連接埠一致。不要將未設定驗證的 SOCKS 連接埠開放至公開網路；若之後需要讓區域網路存取，也應透過監聽位址與防火牆限制來源。

• 區域網路與管理位址：先確認直連範圍，避免存取路由器管理介面、網路儲存裝置或印表機時，流量被導向遠端出站。
• 網域規則：透明連線可能只帶有目的 IP。部分協定可透過流量嗅探協助辨識網域，但無法保證找出所有網域，也不代表能解密通訊內容。
• 解析策略：routing.domainStrategy 控制路由比對時的網域解析方式，並非全域 DNS 伺服器開關。內建 DNS、出站解析與終端 DNS 是不同的處理環節。
• DNS 服務鏈：終端可能先向路由器的 dnsmasq 查詢，再由它轉送至其他解析服務。只在 Xray 中填入 dns，不會自動將終端的 DNS 查詢送進 Xray。
• IPv6 路徑：若只設定 IPv4 透明規則，終端仍可能透過主路由器的 IPv6 預設路由連上網際網路。應另外確認 AAAA 解析、IPv6 閘道與流量接管範圍。

使用 VLESS 節點時，遠端位址、連接埠、使用者識別碼、傳輸方式與安全設定都必須符合伺服器端設定；部署到路由器也不會改變這些要求。VMess、VLESS 是代理協定，TCP、WebSocket 等則是傳輸相關選項，不能只看協定名稱就判斷裝置的吞吐效能。欄位說明請參閱路由設定參考與術語手冊。

六、常見故障：依症狀縮小檢查範圍

排查時請保留一台不經過旁路由的管理終端。先比較使用原本閘道與旁路由閘道時的結果，再查看 DNS、核心記錄與防火牆計數；不要同時修改 MTU、協定、DNS 與路由規則，否則很難判斷是哪項設定造成影響。

七、上線驗收：從單一終端逐步擴大至全網

讓全屋裝置免安裝用戶端的前提，是相關流量確實經過已設定的閘道，且 DNS、IPv4 與 IPv6 使用一致的策略。使用獨立網路、手動路由或自訂加密 DNS 的終端，可能不會遵循相同路徑，應依裝置類別分別確認。

• 基本連線：測試區域網路管理頁面、常用直連網站與應透過代理連線的目標，並確認記錄中顯示的出站方向。
• 協定涵蓋：分別測試 TCP、實際使用的 UDP 應用程式與 IPv6，不要只執行一次瀏覽器測速。
• 效能觀察：在相同目標與相同時段比較直連和代理，記錄 CPU 使用率、可用記憶體與連線數；不要將單次峰值視為長期吞吐量。
• 重新啟動後恢復：重新啟動旁路由後，再次檢查服務、DNS、策略路由與防火牆規則，確認不依賴臨時指令。
• 故障復原：模擬停止 Xray 服務，確認管理終端仍可連線至主路由器，並事先釐清其他終端如何恢復原本的閘道與 DNS 設定。

若尚未確認節點可用，請先在桌面版 v2rayN 或 Android 版 v2rayNG 完成單機測試，以區分節點問題與閘道問題。v2rayNG 使用 Xray 核心，v2flyNG 使用 V2Fly 核心；不同核心的功能與設定格式須分別確認。單機測試通過後，再將對應的連線參數與路由規劃移植到路由器環境，不要直接複製整個用戶端資料目錄。