PassWall 路由器导入订阅教程：OpenWrt 插件入门

官方信息核对（2026-10-21）

以下内容只取自官方 GitHub 仓库页、Releases 页以及仓库内的源码文件，不采用搜索摘要或镜像站上的版本号。

项目	核对结果
官方仓库	https://github.com/Openwrt-Passwall/openwrt-passwall
官方发布页	https://github.com/Openwrt-Passwall/openwrt-passwall/releases
最新发布版本	26.10.16-2（标记为 Latest，非预发布）
发布日期	2026-10-16
适用系统	OpenWrt（README 以 OpenWrt feeds 编译方式说明）
最低固件版本、内存要求	未能核实（官方仓库首页未写明）
安装包格式	.ipk（opkg）与 .apk（apk）
许可证	GPL-3.0
是否归档	否
可用内核	README 提到 Xray 与 sing-box，编译说明中还列出 Hysteria、NaiveProxy、Shadowsocks-Rust 等组件

仓库首页的简介栏没有一句话描述，只放了一个交流群链接，所以本文对 PassWall 的介绍以 README 和源码为依据。

PassWall 的定位

PassWall 是一个 LuCI 插件，本身不负责加密传输，而是把节点、分流、DNS、访问控制这些设置集中到网页界面里，再调用后端内核去真正建立连接。和 OpenClash 只围绕一个 Mihomo 内核不同，PassWall 的特点是「多内核」：同一个界面里可以让不同节点交给 Xray 或 sing-box 处理，还可以搭配其他协议组件。

这种设计的好处是协议覆盖面广，机场提供什么协议，大概率都能找到对应的内核去跑；代价是组件多、依赖多，安装和升级时需要留意各组件之间的版本匹配。对第一次在路由器上部署代理的人来说，理解「插件是外壳，内核才是干活的」这一点，排查问题时会清楚很多。

适合哪些用户

• 已经在用 OpenWrt 或基于 OpenWrt 的固件，能熟练登录 LuCI 和 SSH。
• 机场主要提供 VLESS、Trojan、Hysteria2 一类协议的分享链接，而不是只有 Clash 配置。
• 希望按设备做访问控制，比如只让电视盒子走代理，其他设备直连。

如果你的路由器还是原厂固件，或者你只想给一两台设备翻墙，不建议为此专门刷机。家里多设备的几种方案对比，可以看 家庭设备使用指南。

动手前的备份与风险提示

在路由器上安装插件，失误的代价比在电脑上大得多。依赖替换、防火墙规则改动、DNS 被接管，任何一步出错都可能导致全家断网；如果涉及刷机，还可能出现设备无法启动的情况。请在开始前完成以下准备：

1. 在 LuCI 的「系统」相关菜单中找到备份功能，导出完整的配置备份，保存到电脑。不同固件与版本名称略有差异。
2. 记录宽带拨号账号、Wi-Fi 名称和密码、静态地址分配等关键设置。
3. 查清这台机型的恢复模式进入方式，确认手边有能用的网线。
4. 准备手机热点作为备用网络。

PassWall 升级时会连带更新若干内核组件，升级前同样建议先导出一次配置。

PassWall 的两种安装思路

官方 Releases 页面的说明给出了两条路：

方式一：添加软件源。 官方说明指向 openwrt-passwall-build 仓库，按该仓库的说明把 PassWall 的软件源加入路由器的包管理器配置，之后就能像安装普通软件包一样安装和升级。这种方式的好处是依赖会自动处理，后续升级也方便。

方式二：手动安装。 从官方说明给出的下载渠道获取安装包，传到路由器上，再用包管理器安装本地文件。官方 Releases 页面对 .ipk 和 .apk 分别给出了安装本地包的示例写法，具体以该页面为准。需要注意的是，手动安装时依赖不会自动补全，缺什么组件需要自己补。

无论哪种方式，先确认你的固件使用 opkg 还是 apk。较新的 OpenWrt 已经改用 apk，而网上大量旧教程仍以 opkg 和老版本软件源为例，照抄很容易失败。如果遇到签名校验类的报错，请先阅读官方仓库的讨论区与说明，不要随意关闭系统的签名校验。软件包来源的判断原则可以参考 下载安全指南。

安装完成后刷新 LuCI，一般在「服务」菜单下能看到 PassWall 的入口（不同固件与版本名称略有差异）。

PassWall 导入订阅的要点

PassWall 的节点订阅一般在插件内的「节点订阅」类页面中添加（不同固件与版本名称略有差异）。我们读了官方仓库中的订阅脚本，整理出几个实用结论：

• 最常见的格式是 base64 编码的分享链接列表。 脚本会把订阅内容解码后按行拆分，每行一条节点链接。
• 支持的链接类型有明确清单。 源码中处理的类型包括 ss、ssr、vmess、vless、trojan、hysteria、hysteria2（含 hy2）、tuic、anytls、naive、snell。清单之外的类型会被记录为不支持并跳过，所以导入后节点数量比机场后台少，不一定是订阅坏了。
• 识别 SSD 格式。 脚本对 SSD 格式有专门处理。
• 有 Clash 节点解析入口。 订阅脚本会调用一个解析 Clash 节点的函数，说明 Clash 订阅也在考虑范围内；不过 Clash 订阅里的规则和代理组不会原样搬过来，PassWall 只取节点信息，分流仍按 PassWall 自己的设置走。Clash 订阅的结构可以对照 Clash 订阅指南。

建议给订阅开启定时更新，并且不要把订阅链接发到公开场合。订阅链接的作用和泄露风险见 订阅链接是什么。更新失败时，按 订阅更新失败排查 的顺序检查即可。

关于 Xray 自签证书的变化

官方 README 顶部有一条重要提醒：自 2026 年 6 月 1 日起，Xray 内核不再接受 allowInsecure 这个选项，节点如果使用自签证书，需要提供 pinnedPeerCertSha256，否则无法连接。官方给出的两个办法是：向服务商索取这个值，或者改用 sing-box 内核。

这条变化影响的是「以前能连、升级后突然不能连」的场景。如果你在 2026 年 6 月之后升级了 PassWall 及其内核，发现部分节点全部失败，可以先确认这些节点是否使用了自签证书，再决定是联系机场还是切换内核。

分流与 DNS

PassWall 的分流设置相对直观：可以按域名、IP 列表决定直连或代理，也可以按局域网设备做访问控制。DNS 是最容易出问题的环节，常见现象是网页能打开但国内网站变慢，或者部分网站解析失败。规则与 DNS 的基本原理可以看 分流规则指南，各协议的特性对比见 协议科普。

遇到用着用着断流的情况，先看路由器内存和负载，再看节点本身，排查思路见 连接断开怎么办。

多内核环境下的节点规划

PassWall 允许不同节点交给不同内核处理，这是它的长处，也是新手最容易弄乱的地方。比较稳妥的做法是：

• 先统一用一个内核。 刚装好时，让所有节点都使用同一个内核跑通，确认订阅、DNS、分流都正常，再考虑把个别节点切到其他内核。
• 按协议选内核。 某些协议只有特定内核支持，或在某个内核上表现更好。前面提到的自签证书问题就是例子，同一个节点换成 sing-box 后可能恢复正常。
• 升级时成组检查。 软件源方式升级会同时更新插件和多个内核组件，升级后先挑一两个常用节点测试连通性，确认没问题再放心使用。
• 记录你的改动。 每次修改分流或节点内核，简单写下改了什么。出问题时按记录逐条撤回，比全部重置省时得多。

访问控制方面，可以先只把一台测试设备纳入代理范围，确认一切正常后再扩大到全家。这样即便配置有误，影响的也只是那一台设备，家里其他人照常上网。

PassWall 出了问题怎么回退

• 先在 PassWall 页面里关闭总开关，确认网络是否恢复。
• 如果后台都打不开，用网线直连路由器，尝试通过路由器的默认地址访问。
• 仍然不行，按机型说明进入恢复模式，用事先导出的配置备份还原。

与同类插件的区别

和 OpenClash 相比，PassWall 不依赖 Clash 配置体系，更适合手里是分享链接订阅的用户；和 PassWall 2 相比，两者同源但界面与分流设计不同，可以分别看对应页面再决定。更多选择见 客户端总览。本页信息核对于 2026 年 10 月 21 日，PassWall 发布节奏很快，安装前请再到官方 Releases 页面确认一次。