PassWall 2 Tutorial: OpenWrt Plugin Install, Subscription Import for Whole Home
Prerequisites
- OpenWrt 路由器 One device with latest OS version recommended
- Valid airport subscription link（支持 Clash/Surge/V2Ray 格式）
- 可访问 GitHub/官网下载安装包
Advanced Settings
PassWall 2 是装在 OpenWrt 上的一个 LuCI 插件，装好以后由路由器负责把该走代理的流量送去节点，连在它下面的手机、电视什么都不用装。内核可以按协议分别指定 Xray 或 sing-box。项目放在 GitHub 的 Openwrt-Passwall 组织下，三千六百多个 star，我核对这篇时（2026 年 9 月 14 日）最新版本 26.9.12-2 是前一天发的。 它和 OpenClash 做的是同一件事，思路差得远。OpenClash 把机场订阅里的策略组原样搬上路由器，界面和电脑上的 Clash 一个路数；PassWall 2 是选一个节点全局走，要分流就换成内置的分流节点，让 Xray 或 sing-box 的规则来切。习惯 Clash 面板的人用 OpenClash 顺手，只想在路由器上挑一个节点就完事的人，PassWall 2 更省心。 这篇默认你已经有一台跑 OpenWrt 的路由器，能登进 LuCI，也买好了机场、能拿到订阅地址。做完的结果很具体，局域网里任何设备连上这台路由器的 Wi-Fi，平时打不开的网站直接能开。
Prerequisites
先确认三件事。 固件版本。官方 README 的要求是 OpenWrt 21.02 以上、LuCI 17.01 以上，内存至少 256MB。老的 mips 小路由器闪存往往塞不下 Xray 和 sing-box 两个内核，这种机器我不建议硬装。 CPU 架构。进 LuCI 的「状态」「概览」，系统那一栏有一行「架构」，常见写法是 x86_64、aarch64_cortex-a53、mipsel_24kc。依赖包要按它选，选错了 opkg 会直接报架构不对。 订阅地址。登录机场面板复制，位置下一节有截图。还没有机场的话文末有推荐页。 另外分清主路由还是旁路由。主路由下设备连上 Wi-Fi 就自动走它；旁路由要把每台设备的网关和 DNS 手动指到旁路由地址，否则后面会出现路由器一切正常、设备上还是打不开的情况。
第一步：安装 PassWall 2 插件
先看 LuCI 左侧的「服务」菜单。很多第三方编译的固件已经带了 PassWall 2，菜单里有这一项就直接跳到第二步，截图里这台机器就是这种情况。
没有的话去 GitHub 仓库 Openwrt-Passwall/openwrt-passwall2 的 Releases 页面下载三个文件，插件本体 luci-app-passwall2_版本号_all.ipk，中文语言包 luci-i18n-passwall2-zh-cn_版本号_all.ipk，还有按架构打包的依赖 packages_ipk_架构名.zip。新固件改用 apk 包管理器的，对应下 .apk 后缀和 packages_apk_ 开头的那份，分不清就 SSH 进路由器敲一下 opkg，有反应就是 opkg。
把三个文件传到路由器的 /tmp。LuCI 的「系统」「软件包」页面有「上传软件包」按钮，但一次只能传一个 ipk，依赖包那个 zip 还是得用 scp 或 WinSCP。SSH 就是在电脑终端里敲 ssh root@路由器地址，Windows 的 PowerShell 自带这个命令，密码和 LuCI 登录密码相同。传好以后 SSH 进去，先解开 zip 把依赖和内核装上，再装插件本体和语言包。
cd /tmp
opkg update
opkg install unzip
mkdir pw2 && unzip packages_ipk_x86_64.zip -d pw2
opkg install pw2/*.ipk
opkg install luci-app-passwall2_*.ipk luci-i18n-passwall2-zh-cn_*.ipk
x86_64 换成你在概览里看到的架构名。opkg install pw2/*.ipk 报依赖顺序错误就原样再跑一遍，第二遍通常就过了。
apk 系统把 opkg 那两行换成 README 里给的 apk add --allow-untrusted 文件名.apk。zip 里的包全装最省事。闪存紧张的机器至少装 xray-core 或 sing-box 其中一个，再加 geoview、v2ray-geoip、v2ray-geosite 和 tcping，这几个是插件的硬依赖，缺了本体装不上。
装完刷新页面，「服务」菜单里应该多出「PassWall 2」。没出来就退出重新登录，还没有就按 README 执行 /etc/init.d/rpcd restart。点进去的主界面是下面这样，上面一排页签，往下是 Core 状态和三个连接测试卡片。
图里是我已经配好分流的状态，节点那一栏选的是叫「Xray 分流」的分流总节点，下面挂着一串规则。你刚装好时节点是空的，先别管分流。
第二步：添加机场订阅
先去机场面板复制订阅地址。各家面板长得不一样，常见
Troubleshooting
两种。一种在「便捷导入」区域摆了一排按钮，按客户端分格式，给 PassWall 2 优先点「复制 V2Ray 订阅链接」这种通用格式，没有的话「复制 Clash 订阅」也能用。 另一种只有一个「一键订阅」入口，点开菜单选「复制订阅地址」。 两种格式 PassWall 2 都认。我翻了现在仓库里的 subscribe.lua（2026 年 9 月 14 日核对），它先按 Clash 的 YAML 解析，认出 proxies 段就按 Clash 节点导入，认不出再按 base64 解码，逐行读 ss、vmess、vless、trojan、hysteria2 这些分享链接。老版本未必认 Clash 格式，所以我还是建议先用通用格式。 回到 LuCI，进「服务」「PassWall 2」，点顶部的「节点订阅」页签。上半部分是全局设置，丢弃列表默认写了「过期时间」「剩余流量」「QQ群」「官网」，机场塞在订阅里的提示条目名字带这些字的会被过滤掉；再往下是各协议节点用哪个内核，保持默认就行。翻到页面底部，订阅列表是「尚无任何配置」，点「添加」。 订阅编辑页要填的只有两项，「订阅备注」随便写，「订阅网址」粘刚复制的地址。「允许不安全连接」是跳过证书校验，正常的 https 地址不用勾，日志报证书错误再回来勾。过滤模式和各协议内核保持「使用全局配置」。「开启自动更新订阅」建议勾上，默认每天 0 点，机场换节点以后第二天早上自动跟上。最底下的「用户代理」不用动。点右下角「保存并应用」。 这里有个容易漏的动作。保存只是记下地址，节点还没拉。回到「节点订阅」页签，点「手动订阅全部」，或者点你那一行末尾的「手动订阅」，页面上那行红字「请输入订阅网址保存应用后再手动订阅」说的就是这个。几秒钟后切到「节点列表」，上面会写出这条订阅拉到了多少个节点。
第三步：选节点、启用并验证
「节点列表」就是你机场的全部节点。顶部「自动检测延迟」默认 TCP Ping，每个节点后面的 TCPing 一栏显示到服务器的毫秒数，几十毫秒的是离你近的。列表里会混进几条名字像「套餐到期」「剩余流量」的条目，那是机场塞进订阅的提示，不用理。挑一个延迟低的，点这一行右边的「使用」。 切回「基本设置」，「节点」一栏已经变成刚选的那个。确认「主开关」勾上，「路由器本机代理」保持默认勾选；新一点的版本这附近还有一项「客户端代理」，管的是局域网设备走不走代理，必须勾上。点「保存并应用」，等几秒，顶部 Core 卡片变成「运行中」，谷歌连接和 GitHub 连接两个卡片出现毫秒数，说明路由器自己已经能通过节点出去了。 路由器通了不代表设备通了，最后一定要在局域网设备上验。拿手机连这台路由器的 Wi-Fi，关掉手机上的代理软件，Open一个平时打不开的网站，比如 YouTube，能刷出视频就成了。再开一个国内网站，这一步会比平时慢一点，因为现在选的是单个节点，PassWall 2 在这种模式下把所有流量都送去节点，国内站也绕了一圈。验证完就行，长期用要换成分流，下一节讲。 顺手做一次 DNS 泄漏检测。路由器透明代理的 DNS 处理和电脑客户端不一样，PassWall 2 的「DNS」页签里能把远程 DNS 协议改成 DoH，也有 FakeDNS 开关。怎么查、漏了改哪里，文末链的那篇排查文有具体做法。
更新订阅
勾了自动更新就不用管，每天 0 点路由器自己拉。机场通知换节点，或者列表里的节点突然大片超时，到「节点订阅」页签点「手动订阅全部」就行。
切换节点
「节点列表」里在想换的节点那行点「使用」，或者在「基本设置」下拉「节点」重新选，都要「保存并应用」才生效。列表里的「测试」链接能单测某个节点，其中 URL 测试是真的通过节点访问一个网址，比 TCPing 更接近实际能不能用。
分流模式
验证完以后我建议换成分流节点。「节点列表」第一行就是那条「Xray 分流」，点它的「使用」，回到「基本设置」，节点下面会展开一串规则，就是第一步截图里那样。每条规则后面选去向，直连、关闭、默认，或者指定某个节点。我的用法是 Proxy 指到一个稳定的节点，China 保持直连，Netflix、OpenAI 这类没有专门需求就选关闭或默认，往下翻还有一项默认节点，没匹配到规则的流量走它，也指到同一个节点。规则名各版本不太一样，截图这版叫 China，以你看到的为准。 分流开了以后再看顶部卡片，百度连接的延迟会明显掉下来，因为国内流量走直连了。哪台设备完全不想走代理，「访问控制」页签可以按 IP 或 MAC 排除。
手动订阅之后节点列表还是空的
先看「查看日志」页签订阅那几行报什么。报 404 或解析失败，多半是订阅格式问题，回面板换另一种格式再试。报连接超时，通常是订阅域名在你的网络里本身被拦了，而路由器还没有可用节点。先在「
Screenshots (from the public tutorial on jichangtuijiancn.co; UI may differ by app version)
Fig. 1: PassWall 2 主界面顶部排着基本设置、节点列表、节点订阅等页签，下方是 Core 运行状态和三个连接延迟卡片
Fig. 2: 机场面板的便捷导入区域按客户端排了一行复制订阅按钮，点一下就把订阅链接复制到了剪贴板
Fig. 3: 另一种机场面板点击一键订阅后弹出菜单，选复制订阅地址就拿到了通用订阅链接
Fig. 4: PassWall 2 的节点订阅页签上半部分是过滤关键字和各协议内核设置，底部订阅列表为空，点添加新建一条订阅
Fig. 5: 订阅编辑页里填好订阅备注和订阅网址，勾上开启自动更新订阅，然后点右下角的保存并应用
Fig. 6: 节点列表页签列出订阅拉到的全部节点和各自的 TCPing 延迟，在想用的那一行点使用按钮
Fig. 7: 基本设置页的节点一栏显示刚选的节点，主开关已勾选，保存并应用后顶部 Core 卡片变成运行中，谷歌和 GitHub 连接测试给出了延迟
Related Resources
- 检测IP纯净度：ippure.com
- 免费节点：downloadnth、freesocks、openrung
- 专线搭建方案：2026中国大陆专线建设方案
- 美国静态住宅IP的VPN推荐：thank.my.id
- 带静态住宅的机场：
https://JTMRHF.快车.com（复制Paste到浏览器Open）或者 https://jtmrhf.xn--66tw07h.com - 带静态住宅IP的VPS（独立站+线路搭建）：lisahost
- 极速VPN：vpn07
FAQ
Q: PassWall 2 怎么导入机场订阅？
A: 在配置界面选择「从 URL 下载」或「托管配置」，粘贴订阅链接即可。
Q: 导入后无节点怎么办？
A: 检查订阅链接是否有效、网络是否通达、客户端版本是否过旧。
Q: 怎么切换代理模式？
A: 进入「配置」或「策略组」，选择「规则模式」或「全局模式」后重启代理。
Q: 连不上网如何排查？
A: 依次查：订阅有效性、节点延迟、本地网络、杀毒软件拦截、系统代理冲突。