Soft router 软路由

名词速览

软路由（Soft Router）指使用通用硬件（x86 小主机、树莓派、虚拟机等）和软件（OpenWrt、爱快等）来实现路由、代理、过滤等网关功能的方案。本文梳理与之密切相关的 6 个常见网络名词：

  1. 透明网关
  2. 透明代理
  3. 旁路网关
  4. 旁路由
  5. 网关模式
  6. 网关代理

先给出正式定义（第一部分），再做通俗解释（第二部分）。

网络设备和概念

1. 透明网关（Transparent Gateway）

1.1 定义

透明网关是一种网络设备，它能够无缝地插入到现有的网络架构中，对数据包进行转发而不改变其源 IP 地址和目的 IP 地址。它对网络用户透明，不需要用户或设备进行任何配置更改。透明网关通常工作在 OSI 模型的网络层（第 3 层）。

1.2 应用场景

  • 安全隔离：在企业内部网络中，透明网关可用于隔离不同的子网，防止安全威胁从一个子网传播到另一个子网。
  • 流量监控：透明网关可以监控网络流量，进行数据分析和日志记录，而不会中断或影响正常的网络通信。

1.3 例子

  • 一个企业使用透明网关来监控员工网络使用情况，同时确保不同部门之间的数据交换不会因为安全策略而受到限制。

注意事项：

  • 虽然透明网关对用户透明，但可能会对网络性能造成轻微影响。
  • 配置不当可能导致网络环路或其他问题。

2. 透明代理（Transparent Proxy）

2.1 定义

透明代理是一种特殊的代理服务器，客户端无需任何配置即可使用。与需要手动设置代理地址的普通代理不同，透明代理在网关层拦截客户端的请求并代为转发，返回的响应同样经过代理回传给客户端。对客户端而言，整个过程是"透明"的。

2.2 应用场景

  • 内容过滤：在企业和教育网络中，透明代理可以用来过滤不适当的内容，确保网络使用符合组织政策。
  • 缓存和加速：透明代理可以缓存常用的网页内容，减少重复的互联网请求，提高访问速度。

2.3 例子

  • 学校网络中心部署了透明代理来阻止学生访问社交媒体网站，同时提高了网页的加载速度。

2.4 优缺点

  • 优点：易于部署，用户无需配置。
  • 缺点：可能会对某些应用程序造成兼容性问题。

3. 旁路网关（Out-of-Path Gateway）

3.1 定义

旁路网关是一种网络监控设备，它不直接位于数据流的路径上。它主要用于监控和分析流量，而不是用于实际的数据传输。

辨析：这里的"旁路网关"指流量监控设备（基于端口镜像 / TAP 旁路采集数据），与软路由语境下常说的"旁路由 / 旁路网关"（旁路部署、代理流量的网关）不是一回事，后者见第 4 节。

3.2 应用场景

  • 流量分析：旁路网关可以捕获和分析网络流量，用于网络安全分析和故障排除。
  • 安全监控：它可以用于部署入侵检测系统（IDS）或入侵防御系统（IPS），以监控和防御网络攻击。
  • 性能监控：旁路网关可以用于监控网络性能指标，如延迟、丢包率等，而不影响实际的数据传输。

3.3 例子

  • 一家公司使用旁路网关来监控网络流量，以便在不影响网络性能的情况下检测和响应潜在的安全威胁。

注意事项：

  • 需要正确配置网络镜像或 TAP 设备以确保旁路网关能够接收到所有需要监控的流量。
  • 旁路网关通常不能主动阻止恶意流量，只能发出警报。

4. 旁路由（Bypass Router）

4.1 定义

旁路由是指在局域网中以"旁路"方式部署的一台软路由（如 OpenWrt），它不承担主路由的拨号（PPPoE）和 NAT 职责，而是通过把局域网设备的网关 / DNS 指向它的 IP，让客户端流量先经过它处理（科学上网、去广告、DNS 分流等），再由主路由转发出网。

旁路由对客户端是"透明"的：客户端只需把网关指向旁路由，无需安装任何客户端软件；旁路由处理完流量后，会将数据包转发给主路由，由主路由完成最终的 NAT 和互联网出口。

注意：旁路由（Bypass Router）与"带外管理（Out-of-Band Management）"是不同的概念。带外管理指通过独立管理通道（串口、管理网口）管理网络设备；而软路由语境中的"旁路由"是旁路部署、代理流量的网关。

4.2 应用场景

  • 科学上网：客户端流量经旁路由上的代理工具（如 OpenClash）分流转发。
  • 广告过滤：旁路由运行 AdGuard Home 等工具，拦截广告和恶意域名。
  • DNS 加速与分流：统一管理局域网内的 DNS 解析。
  • 不影响主路由：旁路由可随时接入 / 拔除，主路由配置保持不变。

4.3 例子

  • 家里主路由负责拨号上网，另用一台安装了 OpenWrt 的软路由作为旁路由，将其 LAN 口接入主路由的 LAN 口，并把需要科学上网的设备（手机、电脑）的网关和 DNS 指向旁路由的 IP（如 192.168.1.2）。此后这些设备的流量会先经过旁路由处理，再交回主路由出网。

4.4 优缺点

  • 优点：不改动主路由配置与网络拓扑，接入 / 移除灵活；代理与过滤功能集中在旁路由上，便于维护；对不需要代理的设备无影响。
  • 缺点：依赖客户端把网关指向旁路由（或由旁路由接管 DHCP）；多一跳转发，可能轻微增加延迟；旁路由故障会影响指向它的设备上网。

5. 网关模式（Gateway Mode）

5.1 定义

网关模式是指网络设备（如路由器或防火墙）配置为网络的主要进出口点，负责处理所有进出网络的数据包。在这种模式下，设备通常也负责执行网络地址转换（NAT）功能。

5.2 应用场景

  • 家庭网络：家庭无线路由器通常工作在网关模式下，管理所有设备的互联网连接。
  • 企业安全：企业网络中的防火墙通常配置为网关模式，以保护内部网络不受外部威胁。

5.3 例子

  • 在一个小型企业中，路由器被配置为网关模式，以控制员工的互联网访问并提供网络地址转换（NAT）。

注意事项：

  • 网关模式可能成为网络的单点故障，需要考虑冗余和故障转移机制。
  • 配置不当可能导致网络安全风险或性能问题。

6. 网关代理（Gateway Proxy）

6.1 定义

网关代理是一种网络代理服务，通常部署在组织的网络边界，作为内部网络和外部互联网之间的中介。它负责转发请求和响应，并提供额外的网络服务。

6.2 应用场景

  • 安全控制：网关代理可以实施安全策略，如内容过滤和访问控制。
  • 流量管理：它可以用于流量整形、带宽分配和 QoS（服务质量）管理。
  • 日志记录和审计：网关代理可以记录所有网络活动，便于后续的审计和合规性检查。

6.3 例子

  • 一家公司使用网关代理来控制员工访问互联网的方式，同时通过代理服务器提供病毒和恶意软件过滤功能。

6.4 优缺点

  • 优点：集中化的安全控制和管理，可以提高网络安全性。
  • 缺点：可能成为性能瓶颈，需要认真地进行容量规划。

通俗解释

7. 透明网关（Transparent Gateway）

想象一下，透明网关就像是一个看不见的交通警察，站在马路中间指挥交通。

  • 它的工作：

    • 检查每辆经过的车（数据包）
    • 决定这辆车应该往哪个方向走（转发数据）
    • 但不会改变车的颜色或车牌号（不改变 IP 地址）

  • 为什么叫"透明"：
    因为司机（网络用户）根本不知道有这个交通警察的存在。他们只是正常开车，不需要做任何特殊的事情。

  • 实际应用例子：
    假设你在一家大公司工作。公司想检查所有进出办公室的网络流量，但又不想让员工感觉到有什么不同。他们就可以使用透明网关。你上网的时候感觉不到任何变化，但实际上所有的网络流量都被检查过了。

8. 透明代理（Transparent Proxy）

透明代理就像是一个隐形的管家，帮你处理一些事情，但你可能并不知道他的存在。

  • 它的工作：

    • 拦截你的网络请求（比如访问网页）
    • 替你完成这个请求
    • 把结果返回给你

  • 为什么叫"透明"：
    因为你不需要做任何特殊的设置，它就能为你工作。

  • 实际应用例子：
    想象你在学校上网。学校可能使用透明代理来：

    • 阻止你访问某些不适合的网站
    • 保存常用网页的副本，使得这些网页加载更快
      你只是正常上网，但背后有这个"管家"在工作。

9. 旁路网关（Out-of-Path Gateway）

旁路网关就像是路边的摄像头，观察交通情况但不直接参与交通管理。

  • 它的工作：

    • 观察网络中的数据流动
    • 分析这些数据
    • 但不直接处理或改变这些数据

  • 为什么叫"旁路"：
    因为它不在数据的主要路径上，只是在旁边观察。

  • 实际应用例子：
    假设你管理一个大型网络。你想知道网络中是否有异常活动，但又不想影响网络速度。你可以使用旁路网关来监控网络流量，寻找可能的安全威胁，而不会减慢网络速度。

10. 旁路由（Bypass Router）

旁路由就像小区门口加设的一个"安检分流站"。主路由还是小区大门（负责进出互联网），但你想让一部分车（设备）先经过安检站检查（代理、过滤、分流），再出大门。

  • 它的工作：

    • 接在主路由的局域网里，不抢主路由的活（不拨号、不做 NAT）
    • 把需要特殊处理的设备流量拦下来，处理后转给主路由出网

  • 为什么叫"旁"：
    因为它"旁"在主路由边上，不是网络的主出口。

  • 实际应用例子：
    你家里主路由拨号上网，另用一台 OpenWrt 小主机做旁路由。把电脑的网关指向旁路由，电脑上网就走旁路由（科学上网、去广告）；手机不想走，就直接连主路由，互不影响。

11. 网关模式（Gateway Mode）

网关模式就像是一个城市的主要出入口，所有进出城市的人都要经过这里。

  • 它的工作：

    • 作为网络的主要进出点
    • 控制什么可以进入网络，什么可以离开网络
    • 通常还负责将内部网络地址转换为外部可识别的地址（就像给每个出城的人一个临时的新身份）

  • 实际应用例子：
    你家里的路由器就是工作在网关模式下。它控制着家里所有设备与互联网的连接，决定哪些数据可以进出，并且为家里的设备提供网络地址转换服务。

12. 网关代理（Gateway Proxy）

网关代理就像是一个位于城市边界的海关，检查所有进出的货物。

  • 它的工作：

    • 站在内部网络和外部互联网之间
    • 检查和控制所有进出的网络流量
    • 提供额外的服务，如内容过滤、访问控制等

  • 实际应用例子：
    在一家公司里，网关代理可以：

    • 阻止员工访问某些网站（如社交媒体）
    • 扫描下载的文件，检查是否有病毒
    • 记录网络使用情况，以便后续审查

概念辨析

这些概念之间有些相似，但各自的侧重点不同：

  • 透明网关、透明代理：侧重"用户无感知"——不改变客户端配置，客户端甚至不知道它们的存在。
  • 旁路网关、旁路由：侧重"旁路部署"——不承担主数据流的 NAT / 出口职责（旁路网关只观察不转发，旁路由只代理转发但不做主出口）。
  • 网关模式、网关代理：侧重"作为网络的控制点"——位于网络的进出关口，统一管控流量。