路由器与旁路由跑 Xray 内核：部署思路概览与硬件选择

路由器上运行的是内核，不是桌面客户端

v2rayN 是桌面配置与连接管理客户端，v2rayNG 是使用 Xray 内核的 Android 客户端，v2flyNG 则使用 V2Fly 内核。它们提供订阅管理、配置生成和交互界面；路由器上通常直接运行 Xray 或 V2Fly 的命令行程序，由固件的服务管理机制负责启动。客户端界面里的“系统代理”开关，不能直接转换成路由器的全网代理能力。

内核负责接收入站连接、执行路由规则并建立出站连接。至于哪些终端流量进入内核，仍由系统的转发、防火墙和策略路由决定。仅仅启动进程，即使日志显示监听成功，也不代表同网段的电视、电脑或其他设备已经经过代理。

• 应用显式代理：在支持代理的应用里填写路由器地址与 SOCKS 或 HTTP 端口，先验证单个应用，改动范围较小。
• 透明接管：通过重定向、TPROXY 等机制把指定流量交给内核，需要系统模块、防火墙规则与入站配置配合。
• 设备级分流：按终端地址或网段决定是否接管，再由内核的域名、IP 等规则决定具体出站。

主路由与旁路由：先确定故障影响范围

主路由通常承担拨号、地址分配、默认网关与防火墙职责，部署集中，流量路径也较直接。但升级内核、修改转发规则或耗尽内存，都可能影响整个局域网。旁路由把代理功能放到另一台设备上，便于保留主路由的基础上网能力；代价是回程路径、地址分配和 DNS 更需要明确规划。

单网口旁路由可以工作，但不能忽略回程：直连流量可能从主路由直接返回终端，绕过旁路由。是否需要源地址转换，应结合连接跟踪、防火墙和回程路由判断，不宜照搬一条通用规则。多网口设备也不会自动解决配置问题，关键仍是每一跳的入口、出口和返回路径都能解释清楚。

硬件选择：架构匹配、内存余量与存储写入

先查设备信息，再选可执行文件。处理器商品名不足以判断兼容性：必须区分 ARM 的位数与指令集、MIPS 的端序及构建要求。硬件支持 64 位，不代表固件用户空间一定是 64 位；动态链接程序还会受运行库与加载器影响。出现“无法执行”时，不应先怀疑节点或订阅。

# 在设备终端查看系统与资源；不同固件的命令选项可能有差异
uname -m
uname -a
free -m
df -h
ip route show
ip -6 route show

采购新设备时，可把 512 MB 或更大内存作为轻量网关的初步筛选条件，把 1 GB 或更大内存留给多服务并行的场景；这是资源规划建议，不是内核的最低要求或性能承诺。已有小内存设备也可能运行精简配置，但应减少不必要的规则和后台服务，并观察是否发生内存不足导致的进程退出。不要把启用交换空间当作持续容量不足的替代方案。

端口、DNS 与透明代理：先把路径分开验证

显式代理能通，是很有价值的起点，但它没有证明透明接管正确。建议先绑定一个仅供测试的 SOCKS 入站，用单个应用验证出站，再增加网关转发。下面三个端口只是职责示例，不是任何客户端或固件的统一默认值，实际监听应以配置和系统输出为准。

1. 检查监听范围：只监听 127.0.0.1 时，其他局域网设备不能直接连接。确需提供局域网代理时，绑定合适地址并用防火墙限制来源，禁止向互联网开放代理端口。
2. 排除代理自身流量：接管规则要避免再次捕获内核建立的出站连接。按部署方式使用进程、用户、流量标记或目标地址排除，并保证服务端地址可以正常到达。
3. 分别处理 TCP 与 UDP：某种重定向方式支持 TCP，不代表 UDP 也会被处理。TPROXY 还需要策略路由与相应模块，不能仅增加一条端口转发。
4. 安排 DNS 引导路径：先明确谁解析服务端域名，再决定业务域名的查询走向。若建立代理必须先解析域名，而解析又只能经过尚未建立的代理，就会形成启动依赖环。
5. 单独验证 IPv6：只写 IPv4 规则时，IPv6 连接可能走另一条路径。应明确是否提供 IPv6 分流，并检查终端收到的路由通告和 DNS 信息。

配置迁移：复制连接参数，重建路由器本地设置

桌面端已可用的节点可以作为迁移依据，但不应完整覆盖路由器配置。v2rayN 生成的运行配置可能含有本机端口、文件路径或客户端管理字段；订阅内容也不一定是可直接运行的内核 JSON。应先分离服务端连接参数与本地运行参数，再按目标内核的配置规范重建。

1. 记录连接要素：地址、端口、协议、身份参数、传输方式与安全层。TLS 的 serverName、WebSocket 的 path 和 Host、REALITY 的服务端公钥与 shortId 等字段，应按实际方案核对，不能相互替代。
2. 核对目标内核：确认协议、传输与安全层组合受支持。订阅能在某个客户端导入，只能说明该客户端能处理它，不代表另一内核接受相同配置。
3. 重建本地配置：设置监听地址、入站端口、路由规则和 DNS；把规则文件改为设备上的有效路径。检查运行用户是否具有读取文件和执行所需操作的权限。
4. 先检查再启用：使用内核的配置测试命令检查字段和引用文件，再在前台查看启动日志。测试通过只说明配置可加载，仍需验证实际连接。
5. 最后加入服务管理：让固件原生服务管理器负责启动与重启，不要同时配置多个启动入口。记录备份文件位置、恢复步骤与停止服务的方式。

# 假设可执行文件名为 xray，配置保存在此路径
# 先用帮助确认当前构建支持的命令参数
xray help run
xray run -test -config /etc/xray/config.json

# 配置检查通过后，前台启动观察日志
xray run -config /etc/xray/config.json

使用 V2Fly 时，应查询该构建的帮助说明，不要把 Xray 命令及字段默认视为通用接口。订阅自动更新也不是内核启动后自然具备的功能：还需要受控的获取、转换、配置检查与替换流程。更新失败应保留上一份可用配置，不能用空结果覆盖正在工作的文件。

常见故障：先定位哪一段断了，再改配置

每轮只改一个变量。先确认设备自身能正常解析和出站，再验证内核连接，最后检查终端到网关的转发路径。若直接同时更换 DNS、路由规则和协议，即使恢复连接，也很难知道真正原因，更难保证重启后仍然有效。