OpenWrt 软路由：刷机与分流配置笔记

主路由曾经是光猫路由模式，全家设备扁平一层：手机、摄像头、NAS、访客共用一个广播域。某天我想给 IoT 单独隔离，光猫界面里没有 VLAN，于是动了拓扑。这篇文章按改造纪实写——为什么动、怎么切、切完第一周发生了什么。

改造不是因为闲得慌。摄像头固件更新提示一天弹三次，我突然意识到这些设备跟家里的文档盘在同一个二层，心里不踏实。技术选型之前，先承认焦虑来源：隔离，不是炫技。

改造前：一张扁平网的日常

设备大约二十来个。NAS、打印机、智能插座、两台笔记本、老人手机、访客偶尔连 Wi-Fi。DHCP 在光猫上，DNS 也是运营商的。有人能扫到别人的共享目录，访客网络名存实亡——其实就是主网络密码写在冰箱上。

想做的三件事很具体：

代价也清楚：软路由挂了，全家断网。旁路由改动小，但 DHCP/DNS 容易分裂人格。我最终选网关模式：光猫桥接，N100 小主机跑 OpenWrt，全家流量过它。

N100 双网口（或一网口 + USB 网卡，USB 我只当临时，长期不信任）。eth0 规划为 WAN，eth1 为 LAN。交换机要能打 VLAN tag；客厅那台傻瓜交换机只能当「同一 VLAN 扩孔」，不能指望它懂 trunk。

回退方案写在纸上：

刷机镜像选带 luci 的稳定版，能进 Web 再谈花活。串口或显示器确认能进系统，比「只信 SSH」踏实——网配错时 SSH 可能直接消失。

上午把光猫改桥接。改完客厅瞬间没网，属预期。N100 WAN 接光猫，LAN 接交换机，笔记本先有线进 br-lan 默认网段。

WAN 获取公网或拨号成功的那一刻，才继续 LAN 侧细化。DNS 先指到可用的公共解析，保证能更新软件包；AdGuard 是第二天的事，不在同一窗口和「全家恢复上网」绑死。

接口规划落成：

无线用多 SSID 映射 VLAN。单 SSID + 802.1X 对家庭过重。摄像头和 IoT 不要和 NAS 管理口平铺在同一二层——这是改造的主因，不能切完又为了省事全塞回 VLAN 10。

第一天下午，打印机发现不了。原因是它还在旧网段静态 IP，DHCP 池已经换了。改成新 VLAN 10 的地址池后恢复。提醒我：静态 IP 设备要造册，不能靠记忆。

晚上 IoT 插座连上了访客 SSID，结果规则禁止访客访问内网，手机 App 控灯失败。家人反馈「智能家居坏了」。把插座挪回 VLAN 20，并明确：IoT 网可以出网，默认不进 NAS。规则用人话注释，三个月后才看得懂。

WireGuard 客户端曾指向旧网关地址，出差手机连上隧道却摸不到 NAS。把 endpoint 后的内网路由和下发的 DNS 改成新拓扑，才闭环。改造网络时，远程回连是验收项，不是事后补丁。

基础包：luci、nano、htop、iperf3、tcpdump。其它按需。科学上网相关组件遵守当地法规和服务条款，这里不写具体实现。原则层：

插件越多，sysupgrade 越惊险。N100 跑千兆转发通常轻松；开很多流量审计和复杂队列时再观察 CPU。先稳定转发，再加可观测。

OpenWrt 配置定期导出下载到电脑。刷机前备份 /etc/config，并保存当前固件镜像。升级后优先验证：

失败时能在有线接显示器的情况下恢复，比什么都重要。策略路由规则写人话注释——三个月后的你看不懂 rule 105。

实验配置先在备用机或虚拟机验证，再生产切换。「玩路由」和「家里能上网」拆开：断网两小时修复，家人的脸比任何新功能都真实。

光猫只做调制解调。OpenWrt 是网络大脑。访客有独立 SSID，IoT 碰不到 NAS 管理口，AdGuard 在 DNS 路径上，流量高峰能在接口图里看到是谁在传。

仍有债：部分旧设备静态 IP 文档化不完整；交换机端口与 VLAN 对照表还该贴进机柜。但扁平网时代「谁都能扫谁」的不安已经消退。

软路由是手段，隔离和可预期才是目的。家庭网络改造不是装得越复杂越成功，是切完之后一周，没有人再问「灯怎么又不亮了」——而你知道，即便再问，日志和网段表能在十分钟内定位。

纪实写到这里可以收了。下一篇若再动网络，会是交换机端口对照表贴上墙、或者把 AdGuard 与 DHCP 的职责画成一张不会过期的草图。现在这张网，先让它稳着。