路由器直跑 V2Ray 内核可行吗:旁路由部署思路与流程概览

先选拓扑：主路由直跑还是独立旁路由

硬件门槛：内存够用不等于转发够快

• 查看架构是否与内核文件匹配，常见类型包括 aarch64、armv7 和 x86_64，文件不能混用。
• 确认闪存还剩足够空间。除了内核本体，还要给 Geo 数据、配置备份和日志轮转留余量。
• 压测至少持续 15 分钟，不只看测速页面瞬时峰值。温度升高后的降频更接近真实家庭负载。
• 同时测试 TCP 与 UDP。网页能开不代表视频通话、游戏或基于 UDP 的域名解析正常。

配置下发：订阅链接不能直接交给内核

1. 确认架构

   在路由器系统信息中确认 aarch64、armv7 或 x86_64，并核对可用闪存与内存。建议至少预留 80 MB 磁盘空间和 256 MB 空闲内存。

2. 验证节点

   先在 v2rayN、v2rayNG 或 v2flyNG 中连接同一节点，记录地址、端口、用户标识、传输层、TLS 与服务器名称，排除节点本身不可用。

3. 确定内核

   桌面验证时进入 v2rayN「设置」→「参数设置」→「Core 类型」，确认测试使用 Xray 还是 V2Fly；路由器端采用对应字段，不混用专属能力。

4. 生成配置

   把入站监听设为本机地址与固定端口，例如透明入站使用 12345，管理用 SOCKS 入站使用 10808，再补齐直连、代理和阻断出站。

5. 小范围上线

   先让一台测试设备使用旁路由网关，依次验证网页、DNS、视频和 UDP 应用。确认日志没有循环连接后，再修改 DHCP 网关下发范围。

透明代理核心：入站端口、策略路由与 DNS

{
  "inbounds": [
    {
      "tag": "transparent-in",
      "listen": "0.0.0.0",
      "port": 12345,
      "protocol": "dokodemo-door",
      "settings": {
        "network": "tcp,udp",
        "followRedirect": true
      },
      "streamSettings": {
        "sockopt": {
          "tproxy": "tproxy"
        }
      }
    }
  ],
  "routing": {
    "domainStrategy": "IPIfNonMatch",
    "rules": [
      {
        "type": "field",
        "ip": ["geoip:private"],
        "outboundTag": "direct"
      }
    ]
  }
}

DNS 要单独画出数据路径

• 局域网设备通常把查询发往网关的 53 端口，网关本地解析服务再决定使用哪个上游。
• 若内核 DNS 入站监听 1053，可让本地解析服务把指定域名转发到 127.0.0.1:1053，不要让 1053 再回到 53 形成循环。
• 国内域名与局域网域名可走本地解析，需代理的域名交给远程解析，并让对应连接使用代理出站。
• 排障时分别记录查询域名、返回地址和实际出站。只看“DNS 有结果”无法判断分流是否正确。

路由分流：先排除内网，再决定代理范围

1. 先排除局域网网段，例如 192.168.1.0/24，以及主路由、旁路由和网络存储设备的固定地址。
2. 排除节点服务器地址，避免代理出站重新进入端口 12345。节点地址变化时需要同步更新规则。
3. 保留 DHCP 使用的 UDP 67 与 68 端口，以及局域网发现和管理所需流量。
4. 再添加需要代理的域名或地址规则，未匹配流量按预定策略直连，而不是默认全部阻断。
5. 最后测试路由器自身更新、局域网设备互访、普通网页、视频和 UDP 应用。

上线前检查：日志、回退与故障定位