软路由与NAS是家庭网络玩家最热衷的两大硬件方向。将两者整合到一套方案中，不仅能节省功耗和设备数量，更能通过OpenWrt旁路由模式为NAS创造最优的网络环境。本文将详细讲解如何在保留主路由稳定性的前提下，用OpenWrt旁路由为NAS提供透明代理、DNS分流和VLAN隔离等高级网络功能，实现软路由与NAS的最佳协同。
一、旁路由模式原理与硬件方案选择
旁路由（旁路网关）模式是指OpenWrt路由器不直接作为网络出口，而是以子设备形式接入主路由，通过修改客户端或NAS的默认网关和DNS服务器，将流量引导经过OpenWrt处理后再转发到主路由。这种部署方式的核心优势在于：不改变现有网络拓扑、主路由故障时客户端仍可正常上网（仅失去旁路功能）、OpenWrt崩溃不影响网络基础可用性。
主流硬件方案对比：
1. 软路由主机（N100/J4125）：性能充裕，功耗10-30W，支持多网口，适合独立部署OpenWrt
2. 群晖/TrueNAS虚拟机方案：在NAS上用KVM/Hyper-V虚拟一个OpenWrt虚拟机，直接在NAS内部运行旁路由，极致省电
3. 树莓派/ARM单板机：低功耗（5W以内），适合纯软路由需求，但需要注意USB网卡兼容性
4. 旧电脑改造：利用闲置台式机安装OpenWrt或iStore OS，网口数量多，扩展性强
对于NAS用户，最推荐的方案是在NAS上创建OpenWrt虚拟机。以群晖Virtual Machine Manager为例，创建一个1核1G内存的虚拟机，分配一个虚拟网卡桥接到物理网口，安装OpenWrt x86_64版本。这样NAS和软路由共享硬件资源，总功耗控制在20-40W以内，完全满足7x24小时运行需求。
二、OpenWrt旁路由核心配置：DNS分流与透明代理
旁路由的核心功能是DNS分流和透明代理，两者相辅相成，共同实现"国内直连、境外走代理"的智能分流目标。
1. AdGuard Home + MosDNS双层DNS架构
推荐在OpenWrt上部署AdGuard Home作为DNS广告过滤前端，MosDNS作为后端DNS分流引擎：
- AdGuard Home监听53端口，作为全局DNS服务器，负责广告域名拦截和DNS-over-HTTPS加密
- MosDNS负责根据域名列表进行分流：国内域名走阿里/腾讯DNS（114.114.114.114），境外域名走加密DNS（Cloudflare 1.1.1.1 over DoT/DoH）
- 国内域名列表使用geosite:cn（来自v2ray-rules-dat项目），每日自动更新
将NAS的DNS服务器设置为OpenWrt旁路由IP，即可享受全程无污染的DNS解析。
2. OpenClash/PassWall透明代理配置
OpenClash是目前OpenWrt上最成熟的透明代理方案，基于Clash内核，支持多种协议和灵活的分流规则：
- 工作模式选择：Redir-Host模式兼容性最好；TUN模式（FakeIP）延迟最低，推荐游戏用户使用
- 分流规则：导入RULE-SET规则集，自动区分国内外流量，国内IP直连，境外IP走代理节点
- DNS配置：启用DNS劫持，将所有DNS请求重定向到OpenClash内部的FakeDNS，避免DNS泄漏
- 针对NAS单独配置：将NAS的IP加入"直连名单"或"代理名单"，根据需求决定NAS的流量是否走代理
3. NAS侧网络配置
在NAS系统设置中，将默认网关修改为OpenWrt旁路由的IP（通常为192.168.x.2），DNS服务器也设置为旁路由IP。这样NAS的所有出站流量都会经过OpenWrt处理，实现透明代理。对于群晖DSM用户，在控制面板→网络→网络接口→编辑中修改网关和DNS；TrueNAS用户在网络→全局配置中修改。
三、VLAN隔离：让NAS网络更安全
家庭网络中，IoT设备、访客网络和NAS存储网络混在同一个局域网中存在安全隐患。智能摄像头、智能音箱等IoT设备一旦被入侵，可能成为攻击NAS的跳板。通过在OpenWrt上配置VLAN（虚拟局域网），可以将不同类型的设备隔离在独立网段，大幅提升安全性。
VLAN规划建议：
- VLAN 1（管理网络，192.168.1.0/24）：路由器、交换机、NAS管理口，仅信任设备访问
- VLAN 10（家用电脑网络，192.168.10.0/24）：PC、笔记本，允许访问NAS存储
- VLAN 20（IoT设备网络，192.168.20.0/24）：智能家居设备，禁止主动访问NAS
- VLAN 30（访客网络，192.168.30.0/24）：临时访客，仅允许访问互联网，完全隔离NAS
在OpenWrt中，通过网络→接口→新建接口配置各VLAN的子接口，在防火墙→转发规则中设置VLAN间的访问控制策略。交换机侧（如VLAN感知型交换机）需同步配置端口VLAN标签。
NAS访问控制强化：
结合OpenWrt的防火墙规则，为NAS添加额外保护：
- 只允许管理网络和家用电脑网络访问NAS的SMB（445）、NFS（2049）、Web管理（5000/443）端口
- 封锁IoT和访客网络到NAS的所有连接请求
- 启用OpenWrt的入侵检测（如Suricata插件），监控NAS周边的异常流量
- 配合NAS自身的防火墙（群晖防火墙、TrueNAS防火墙），形成双重防护体系
通过软路由与NAS的深度协同，家庭网络可以同时具备安全、高效、智能三大特性，让你的NAS真正发挥出企业级网络的管理水平。
评论(0)