主路由iKuai+旁路由OpenWrt极速拓扑搭建：全屋科学上网与MosDNS防污染指南

一、 为什么要采用“主路由 + 旁路由”双系统架构？

在千兆乃至2.5G家庭宽带普及的今天，越来越多的发烧友选择在软路由（如J4125、N100、N305等小主机）上部署透明代理。然而，纯粹依靠单一OpenWrt作为主路由，往往面临诸多痛点：PPPoE拨号稳定性欠佳、多WAN负载均衡调试复杂、家长控制与QoS流控简陋，以及一旦代理插件崩溃，全家直接断网的尴尬局面。

而企业级 iKuai（爱快） 拥有无出其右的拨号稳定性、7层应用流控和极佳的多拨负载均衡能力；OpenWrt 则拥有极其丰富的开源插件生态（PassWall、OpenClash、HomeProxy）。将两者融合为“iKuai主路由负责基础网络，OpenWrt旁路由负责增值代理”的拓扑，是当下家庭与小型工作室最稳定、容灾能力最强的网络架构方案。

二、 双软路由网络拓扑与IP地址规划

假定我们的小主机具备4个2.5G Intel i226-V网卡，并部署在Proxmox VE（PVE）或ESXi虚拟化平台上，或者采用独立物理机互联。规划如下：

三、 旁路由网络参数与“旁路避坑”配置

旁路由配置不当极易导致“单向数据包丢失”或“网络回环”。请严格执行以下步骤：

1. OpenWrt Lan口精细化配置

• 登录 OpenWrt，进入 网络 -> 接口 -> LAN。
• IPv4 地址：设置为静态 192.168.1.2，子网掩码 255.255.255.0。
• IPv4 网关：填写主路由地址 192.168.1.1。
• 自定义 DNS 服务器：填写主路由 192.168.1.1 或上游纯净DNS 223.5.5.5。
• DHCP 服务：务必勾选 “忽略此接口”，彻底关闭旁路由的DHCP功能，由主路由统一接管。

2. 防火墙与数据转发规则调整

为解决部分Linux内核版本下旁路由转发数据包TTL被截断或丢包的问题，进入 网络 -> 防火墙 -> 自定义规则，加入以下iptables规则：

# 开启LAN口IP伪装，解决跨网段访问阻断
iptables -t nat -A PREROUTING -p udp --dport 53 -j REDIRECT --to-ports 53
iptables -t nat -I POSTROUTING -o br-lan -j MASQUERADE

四、 MosDNS打造零污染极速分流中枢

DNS污染是国内网络环境导致节点访问缓慢或解析错误的头号杀手。传统方案将国内域名解析送到海外代理，会导致国内CDN彻底失效、访问卡顿；而海外域名送国内DNS则直接遭到GFW投毒。MosDNS 能够根据域名归属与IP分流列表，实现完美并行分流：

# MosDNS 核心配置结构示例
plugins:
  # 国内上游DNS组（阿里DNS + 腾讯DNSPod）
  - tag: domestic_dns
    type: forward
    args:
      concurrent: 2
      upstreams:
        - addr: https://223.5.5.5/dns-query
        - addr: https://120.53.53.53/dns-query

  # 海外上游DNS组（Cloudflare + Google DoH）
  - tag: remote_dns
    type: forward
    args:
      concurrent: 2
      upstreams:
        - addr: https://1.1.1.1/dns-query
        - addr: https://8.8.8.8/dns-query

  # 分流逻辑管道
  - tag: main_sequence
    type: sequence
    args:
      - exec: query_summary
      - matches:
          - qname $geosite_cn
        exec: $domestic_dns
      - matches:
          - "!qname $geosite_cn"
        exec: $remote_dns

通过这套配置，访问国内服务（淘宝、Bilibili、微信）获得最近距离的CDN优质节点；访问海外服务（GitHub、YouTube、ChatGPT）时直接从海外纯净DoH节点获取无投毒的真实IP，彻底告别证书报错与连接重置。

五、 物理硬件选型与网卡避坑指南（Intel i226-V vs Realtek 8125B）

在组建软路由集群时，网卡硬件与底层驱动直接决定了晚高峰长周期高负载下的丢包率与稳定性：

• Intel i226-V (2.5G)：目前x86小主机（如 Intel N100 / N305）的标配网卡。需注意务必升级 PVE 或 Linux 内核至 6.5 以上，以避免早期步进版本偶发断流的硬件 Bug。在驱动稳定后，i226-V 能够提供卓越的多队列（RSS）处理能力与极低的中断延迟。
• Realtek RTL8125B / 8156B (USB 2.5G)：螃蟹卡性价比极高，但在 OpenWrt 原生精简内核下经常遭遇官方 r8169 驱动不稳定问题。建议在编译固件时勾选闭源官方 r8125-dkms 驱动，以彻底根除大流量高并发下的死机掉盘隐患。

六、 单臂路由（VLAN划分）与光猫桥接最佳实践

对于弱电箱空间极其狭窄、只有一根网线通往客厅电视柜的家庭拓扑，单臂路由（Router-on-a-Stick） 是唯一优雅的破局之道：

• 光猫改桥接（Bridge）：强烈建议致电运营商客服将光猫改为纯桥接模式，由 iKuai 主路由进行 PPPoE 拨号，获取独立的公网 IPv4/IPv6 地址，大幅减少一层 NAT 转换延迟并释放端口映射能力。
• 基于 802.1Q 的 VLAN 划分：使用一台百元级网管型交换机（如水星 SG105 Pro 或 TP-Link TL-SG108E），将单条物理网线划分为 WAN VLAN（例如 VLAN 10）与 LAN VLAN（例如 VLAN 20），在逻辑上实现双线复用，在千兆带宽下损耗几乎可以忽略不计。