软路由、硬路由、旁路由、单臂路由，一篇讲清楚：家里的网到底怎么搭
1. 软路由、硬路由、旁路由、单臂路由，一篇讲清楚：家里的网到底怎么搭
[!abstract] 全文速览
- 四个概念：硬路由是整机，软路由是通用硬件 + 路由系统，旁路由是旁挂只接管特定流量，单臂路由是一个网口同时承载 WAN 和 LAN。
- 五种搭法：硬路由全包、软路由网关 + 硬路由 AP、旁路由、单臂路由（用 VLAN）、单臂路由（不用 VLAN）。
- 一条主线：先把网关定下来，Wi-Fi 交给 AP；以后换 Wi-Fi 标准只换 AP，网关不用动。
先说我自己的搭法：一台 i7-8565U + Intel X550-T2 双口万兆网卡的软路由当网关，已经稳定跑了 6 年；Wi-Fi 全交给硬路由，硬路由只当 AP。路由器用旧了、出了 Wi-Fi 新标准，换一台就行，网关这边一点不用动。
1.1. 先把几个词分清
硬路由：厂商做好的整机路由器，处理器、交换芯片、Wi-Fi 芯片和固件一体化，开箱即用。
软路由：用通用硬件（x86 小主机或 ARM 小主机）装上路由系统当路由器用。最常见的是带多个网口的 x86 小主机，一般没有 Wi-Fi，有也不好用。
旁路由：自己不拨号，旁挂在现有局域网里，只接管代理、去广告、分流那部分流量。它可以是一台软路由，也可以是刷了机的硬路由，一个网口就够。
单臂路由：只有一个网口的路由方案，让同一个物理口同时承载 WAN 和 LAN。可以用 VLAN 子接口，也可以靠 PPPoE 会话把 WAN 分出来，不强制要求 VLAN。
路由系统：OpenWrt 是开源的路由器系统，ImmortalWrt、iStoreOS 都是在它基础上改的，下面说 OpenWrt 也包括这些。另外还有 RouterOS、pfSense、OPNsense 这些。
网关（主路由）：负责拨号、NAT、给设备分 IP（DHCP）和防火墙的那一台。
AP：只负责发 Wi-Fi，不拨号，也不分 IP，设备的地址还是网关来分。
| 形态 | 硬件 | 网口 | 是否需 VLAN | 典型带宽 | 适合谁 |
|---|---|---|---|---|---|
| 硬路由 | 专用 SoC + 交换 + Wi-Fi 一体化 | 厂商定，常见 1 WAN + 3~4 LAN |
不需要 | 500M~2.5G，看型号 | 不想折腾的小家庭 |
| 软路由（主路由） | x86 或 ARM 通用硬件 | 常见 2~4 个，可上 2.5G、万兆 | 不需要 | 千兆~万兆，看 CPU 和网卡 | 跑代理、Docker、多线路 |
| 旁路由 | 软路由或刷机硬路由 | 1 个就够 | 不需要 | 受主路由和自身网口限制 | 不想动原网络，只接管代理 |
| 单臂路由 | 单网口软路由 + 交换机 | 1 个 | 用 VLAN 时要支持 VLAN 的交换机；不用 VLAN 时普通交换机即可 | 上下行共享这 1 个口 | 只有单网口的小主机、NUC、旧笔记本 |
1.2. 硬路由刷 OpenWrt，亏不亏要看芯片
很多人觉得刷了 OpenWrt 就是升级，其实不一定。路由器里管转发加速和 Wi-Fi 的那部分，有的厂商只给闭源驱动，OpenWrt 用不上，刷完反而变慢。主要看是哪家的芯片。
1.2.1. 高通 IPQ：NSS 闭源
高通（IPQ 系列，常见于中高端 Wi-Fi 6、6E、7 路由器）：转发加速靠一个叫 NSS 的专用模块，它的固件是闭源的，只给厂商。OpenWrt 官方版本不带 NSS，刷完以后转发全靠 CPU 硬扛，大流量、多设备的时候会吃力。社区有人维护带 NSS 的版本，但只支持部分型号，限制也不少，不是官方的。
1.2.2. 博通：Wi-Fi 驱动闭源
博通：新款路由器的 Wi-Fi 驱动基本是闭源的，OpenWrt 里没有能用的开源驱动，刷完很可能连 Wi-Fi 都没有。比如华硕 GT-AX6000 用的 BCM4912，OpenWrt 就不支持。
1.2.3. 联发科 Filogic：mt76 开源
联发科（Filogic 系列，MT7981、MT7986、MT7988 等）：情况反过来。Wi-Fi 驱动 mt76 是开源的，联发科自己的工程师也在参与维护，OpenWrt 里能开硬件转发加速。这类机器刷 OpenWrt 损失不大，很多几百块的路由器刷完当主路由也够用。
| 芯片 | 转发加速 | OpenWrt 支持 | 建议 |
|---|---|---|---|
| 高通 IPQ | NSS 闭源 |
OpenWrt 官方版不带 NSS，靠 CPU；社区版只覆盖部分型号 |
中高端机型谨慎刷 |
| 博通 | 厂商闭源 | Wi-Fi 驱动缺失，很多机型不支持 | 不建议刷 |
| 联发科 Filogic | mt76 开源 + 硬件加速 |
支持较好 | 想刷机优先选 |
1.2.4. 刷机不是没有代价
就算是联发科，Wi-Fi 7 的新特性也跟得慢。比如 MLO（手机同时连好几个频段），原厂固件已经能用；截至原文写作时，OpenWrt 稳定版还在修它的 bug，只能算实验功能。各家的 Mesh 组网，像华硕 AiMesh、TP-Link Deco，也只在原厂固件里有，刷了 OpenWrt 就得自己配漫游。
硬件加速开着的时候，被加速的流量不经过 CPU，SQM、QoS 这类限速和排队的功能就管不到它了。要用 SQM、QoS，就得关掉硬件加速，或者接受它只管一部分流量。
除了芯片，刷机本身也有风险。硬路由刷固件，一步出错就可能变砖，要拆壳接 TTL 串口才救得回来，刷了以后保修一般也没了。少数机型带了“刷不死”的 bootloader，刷坏了还能进恢复模式重刷，其他的就只能小心。
固件从哪来也是个问题。硬路由用的固件大多是别人编译好的，想加个插件、改个功能，就得自己搭环境重新编译，或者等作者更新。来路不明的固件还可能夹带东西，前阵子就有人冒充 PS5 模拟器项目往里塞盗号程序，路由器固件一样可能出这种事。能用官方固件，就尽量用官方的。
1.3. 软路由强在哪，坑在哪
软路由真正强的是 CPU。代理要加密解密，一台 x86 小主机比路由器里那颗 ARM 芯片强得多，还能顺手跑 Docker、做多线路叠加，跑去广告、内网穿透这些服务。网口也随你挑，2.5G、万兆都有。
折腾起来也方便得多。x86 刷系统不存在变砖，装坏了插个 U 盘重装就行；想换系统，OpenWrt、iStoreOS、RouterOS、OPNsense 都能装。要加功能，装个插件或者起个 Docker 容器，不用重新编译整个固件。跑在 PVE 里的话，改之前打个快照，改坏了一键回滚。内存、硬盘、网卡不够用了，也能直接换。
| 优势 | 代价或坑 |
|---|---|
| CPU 强，能跑代理加解密、Docker、多线路、去广告、内网穿透 | 功耗、散热、占地都比一台硬路由高，多一份电费 |
| 网口自由，2.5G、万兆随挑 | 好网卡要加钱；Intel I225-V、I226-V 有随机掉线问题 |
| 系统随便换，U 盘重装；PVE 里可快照回滚 | 在 PVE 里多一层虚拟化，出问题更难查 |
| 插件和 Docker 扩展方便，不用重编固件 | 网关是单点，软路由一挂全家断网 |
[!warning] 当网关的软路由，别拿来天天折腾
它一关机，全家断网。想折腾新插件、新系统，最好另找一台机器；至少在 PVE 里先打快照再改。
网卡要挑。Intel I225-V、I226-V 这两颗 2.5G 网卡一直有随机掉线几秒又连上的问题，Intel 给的办法是关掉 EEE 节能，到现在也没有哪个固件版本能说彻底修好了。买小主机前先看看用户反馈；已经掉线的，先试试关掉 EEE 和 PCIe 的 ASPM 节能。
1.4. 五种常见搭法
同样的宽带，换个接法，体验和可维护性差很多。下面五种从省事到折腾排列。
1.4.1. 一台硬路由全包
最省事：光猫改桥接，硬路由一台包办 PPPoE 拨号、NAT、DHCP 和 Wi-Fi。适合宽带 500M 左右、不跑重度代理、不想折腾的人。
缺点是什么都绑在这一台上：想换 Wi-Fi 7 路由器时，拨号、端口转发这些设置都得重新弄一遍。
1.4.2. 软路由当网关 + 硬路由当 AP（推荐）
软路由管拨号、分 IP、防火墙和代理，硬路由只发 Wi-Fi。这样 Wi-Fi 和网关是分开的：硬路由一直用原厂固件，厂商的驱动、Wi-Fi 新特性和 Mesh 都还在，也不用冒刷机变砖的风险。以后出了 Wi-Fi 8 这类新标准，直接买新路由器换上，网关的设置一个都不用动。
房子大、一台覆盖不过来，就多放几台关了 DHCP 的硬路由，再把它们组成 Mesh。组网以后它们还是 AP，拨号、分 IP 照样归软路由管，全屋只有一个 Wi-Fi 名字，手机走到哪个房间就连上哪台。Mesh 一般要同一品牌，华硕 AiMesh、TP-Link Deco 这类在 AP 模式下都能组。
AP 之间能拉网线就走有线回程，网速和稳定性都最好；拉不了线也能用无线回程，但回程本身要占一部分无线带宽，离主节点越远掉速越明显，最好选带独立回程频段的三频机型。
[!tip] 回程别卡在千兆
Wi-Fi 7 路由器的无线速度已经能过千兆，AP 和网关之间只用千兆网线连就成了瓶颈。想跑满，网关、交换机和 AP 之间最好都是 2.5G。
硬路由改成 AP，按这几步：
- 选 AP 模式：原厂固件一般有“AP 模式”，有的叫“无线接入点”或“有线中继”。选它以后，
DHCP、NAT和防火墙会自动关掉；没有这个选项的，就手动关掉DHCP，再把它的 IP 改成和网关同一网段、又不冲突的地址。 - 接线：大多数是用硬路由的 LAN 口连到网关或者交换机（图里也是 LAN 接上级），也有型号让你接 WAN 口，按说明书来。
- 配漫游：用 OpenWrt 当 AP 的，没有厂商的 Mesh，漫游要自己配：装
usteer，再开802.11k/v/r。 - 管好 IPv6：AP 自己不要发
RA、不要开DHCPv6，交给网关去发。
1.4.3. 旁路由
主路由（或者光猫）照常拨号、分 IP，旁边再挂一台软路由，只负责代理、去广告、分流。旁路由不要求双网口，一个网口接进现有局域网就够。它和单臂路由不是一回事：旁路由说的是“位置和角色”，单臂路由说的是“一个网口怎么同时承载 WAN 和 LAN”。
设备的网关和 DNS 要指向旁路由：
- 先关旁路由自己的 DHCP：同时关掉
RA、DHCPv6，让它只做转发。 - 在主路由的 DHCP 里改网关：把网关填成旁路由的地址。有些路由器只允许改 DNS、不允许改网关，那就手动改设备。
- 也可以只改需要的设备：只给要代理的设备改网关和 DNS，其他设备不动。
- 确认转发已开启：旁路由要开启 IP 转发和转发规则；很多“旁路由模式”会一键配好。
[!warning] 旁路由最常见的坑：两个 DHCP 同时开
主路由和旁路由都发DHCP，设备会随机拿到两套地址，表现是“时好时坏、部分设备上不了网”。旁路由只做转发，必须关掉自己的DHCP、RA和DHCPv6。
好处是原来的网络一点不用动，旁路由坏了，把网关改回主路由就恢复。
坑主要有这几个：
- IPv6：主路由通过
RA下发 IPv6 默认网关和 DNS，设备走 IPv6 时会直接按主路由的网关出去，绕过旁路由。只在主路由上把 IPv6 的 DNS 指向旁路由不够：DNS 走了旁路由，流量还是走主路由。要真正接管，得让旁路由负责RA、DHCPv6并开启 IPv6 转发（多数旁路由方案并不省心）；更简单的办法是关掉 IPv6，或只对需要代理的设备禁用 IPv6。华为光猫 IPv6 绕过旁路由，就是这个原因。 - DNS：设备自己写死 DNS，或者开了
DoH，解析就不经过旁路由，去广告、分流会失效；但这只影响解析，不影响流量本身仍走旁路由网关。 - 单点：网关指向旁路由的设备，旁路由一关机就断网，得把网关改回主路由。
- 多一跳：流量要先到旁路由，再回主路由出去，局域网里走两趟，旁路由网口和交换机要承担双份流量。
还有个常被忽略的点：旁路由一般只做转发、不做 NAT。它和设备在同一网段，去程是“设备 → 旁路由 → 主路由”；回程由主路由按目的 IP 直接 ARP 到设备，不再经过旁路由。也正因为如此，旁路由上的防火墙、限速对回程不起作用。旁路由如果自己再开 NAT，就会和主路由叠成双 NAT，端口映射、UPnP 会更麻烦；能只转发就不要 NAT。
1.4.4. 单臂路由（用 VLAN）
软路由只有一个网口时用。关键不是 VLAN，而是一个网口同时承载 WAN 和 LAN；VLAN 只是把内外网彻底隔开的实现方式。
做法：
- 在软路由上建两个 VLAN 子接口：
eth0.10当 WAN，eth0.20当 LAN。 - 交换机接光猫的口划到
VLAN10；接软路由的口同时放行VLAN10和VLAN20（打标签）；其余口划到VLAN20。 - 有的光猫 LAN 口自己也能绑 VLAN；是否还需要交换机，取决于它能不能在同一个口上同时输出两个 VLAN，买之前先确认。
[!warning] 单臂路由的带宽是共享的
所有流量都要从这一个口进来、再从这一个口出去。全双工只保证收发能同时进行，总带宽仍受这个口的速率限制：千兆口跑千兆宽带，纯下载还能接近千兆，上下行同时跑就会吃紧；换 2.5G 口就宽裕得多。
1.4.5. 单臂路由（不用 VLAN）
光猫改桥接后接一台普通交换机，软路由在同一个 eth0 上既拨 PPPoE，又给局域网发 DHCP。这样能用，但光猫、软路由和所有设备都在同一个二层网段里：
- 光猫自带的
DHCP一定要关掉，不然会抢着给设备分地址。 - 别的设备理论上也能直接对着光猫拨号（同一广播域里都能发起
PPPoE，可能把拨号抢走）。 - 上下行同样挤在这一个口里，和用 VLAN 的单臂路由一样有带宽瓶颈。
有条件还是用 VLAN 隔开。
1.5. 光猫要不要改桥接
不是必须的。光猫不改桥接，就是光猫自己拨号，软路由的 WAN 口从光猫那里拿一个内网地址，等于多了一层 NAT。日常上网、看视频基本没区别，差别主要在下面几项。
| 项目 | 光猫拨号（不桥接） | 光猫桥接（软路由拨号） |
|---|---|---|
NAT 层数 |
两层，双 NAT |
一层 |
| 端口转发 | 光猫、软路由各做一次；省事可在光猫里把 DMZ 指向软路由 | 只在软路由做一次 |
| 游戏 NAT、UPnP | NAT 类型可能变严格，UPnP 只管到软路由这一层 | 更可控 |
| 公网 IPv4 | 公网地址落在光猫上，软路由拿不到 | 公网地址直接落在软路由上 |
| 速度 | 日常基本无差别 | 不一定更快，取决于后面接的路由 |
| IPTV、固话 | 原样可用 | 要先确认后端路由能透传对应 VLAN |
改成桥接，就是光猫只管光电转换，由软路由自己拨号，公网地址直接落在软路由上。先准备好宽带账号和密码，很多地方改桥接要给运营商打电话。家里有 IPTV 或者固话的，先确认后面的路由能不能透传对应的 VLAN。
桥接后由软路由 PPPoE 拨号，MTU 通常协商为 1492（1500 减去 8 字节 PPPoE 头），一般不用手动改；个别网站打不开时，再排查 MTU、MSS。
改桥接也不一定更快，它只是把拨号的活从光猫挪到了你自己的路由上；后面接的要是入门级路由器，反而可能更慢。
1.6. 怎么选
| 户型或需求 | 推荐拓扑 | 关键点 |
|---|---|---|
| 小户型，宽带 500M 左右，不跑重度代理 | 一台硬路由全包 | 光猫桥接，硬路由拨号；最省事 |
| 中大户型，千兆以上，要代理、Docker | 软路由网关 + 硬路由 AP | AP 关 DHCP；Mesh 优先有线回程；骨干上 2.5G |
| 已装修，不想动光猫，只想加代理 | 旁路由 | 关旁路由 DHCP；处理 IPv6；单网口即可 |
| 只有单网口小主机 | 单臂路由，优先用 VLAN | 用 VLAN 时需支持 VLAN 的交换机；上下行共享一个口 |
| 大平层、复式、别墅 | 软路由 + 多台 AP 组 Mesh | 有线回程优先；无线回程选三频 |
[!tip] 选型顺序
先确定网关（谁拨号、谁做NAT、DHCP），再决定 Wi-Fi 怎么覆盖。网关定下来后，换 Wi-Fi 只需要换 AP，不用重配拨号和端口转发。
1.7. 两套不贵的参考配置
1.7.1. 够用版：J1900 软路由 + TP-Link XDR3040
J1900 这类老 x86 小主机二手很便宜。用它做纯路由和 NAT 转发，接千兆宽带，家里几个人同时刷 YouTube、TikTok、X，基本扛得住。Wi-Fi 交给 XDR3040 这种 AX3000 的 Wi-Fi 6 路由器，关掉 DHCP 当 AP，一台覆盖不了就多放几台组易展 Mesh。不跑重代理的话，整套花不了多少钱，日常也碰不到瓶颈。
J1900 的短板是 Intel 官方参数里写着它不支持 AES-NI，代理走 AES 加密时全靠 CPU 硬算。刷视频用不了多少带宽，影响不大；想让代理跑满千兆、经常下大文件，它就吃力了。
1.7.2. 升级版：J4125 软路由 + Wi-Fi 7 路由器当 AP
想跑 2.5G 网络、上 Wi-Fi 7，可以把软路由换成 J4125 这类带 2.5G 网口的小主机，它支持 AES-NI，跑代理也更从容。AP 换成 Wi-Fi 7 路由器，网关、交换机和 AP 之间都用 2.5G 网口和网线连接。很多 J4125 小主机用的是 Intel I225 或 I226 网卡，买之前看清是哪一颗，再翻翻用户的掉线反馈。
原厂固件也不是一直有更新。网件（Netgear）写明产品停售约三年后即停止固件更新，安全更新也一起停；TP-Link、华硕停更的时间也没个准。OpenWrt 每个大版本至少维护一年，截至原文写作时最新的稳定版是 25.12.6。家里联发科的老路由器原厂停更了，别急着扔，刷成 OpenWrt 当 AP 接着用。