功能定位：为什么要在路由器端做透明代理
把「快连」的加速能力下沉到路由器，意味着家里所有终端——电视棒、扫地机、Switch——无需单独装客户端，也能自动走海外低延迟线路。相比「每台设备各自拨号」，透明代理省账号占用、免重复验证，还让不支持安装客户端的旧款 Apple TV 直接解锁流媒体。
在 2026 年 v9.4.0 场景下，关键词「快连如何在路由器端配置透明代理实现全屋设备自动分流」主要依赖 OpenWrt 的 redsocks + iptables 规则，把符合条件的数据包静默转发到「快连」在本机开放的 SOCKS5 端口，实现「无感分流」。
决策树：先判断你家网络是否值得折腾
硬件门槛
- CPU 至少 mips24k/ramips 双核 880 MHz 以上，否则 4K 拉流时 redsocks 单核占满，峰值 CPU 可飙到 90%+。
- 闪存 ≥128 MB，完整固件 + 快连二进制 + 规则文件 ≈ 45 MB，剩余空间留给日志。
带宽模型
经验性观察：100 M 上行以内家庭，透明代理后海外测速可提升约 30–40 M；若原本已跑满 300 M，瓶颈在出口节点，路由器再强也突破不了物理上限。
操作路径：OpenWrt 22.03 以后最短步骤
1. 刷入官方固件并开启 SSH
以当前最新版本为例，在「系统→管理权」里把 SSH 接口从 LAN 改到未使用的 2222 端口，避免与快连本地监听 1080 冲突。
2. 安装必要组件
opkg update opkg install redsocks2 iptables-mod-nat-extra iptables-mod-ipopt kmod-ipt-ipset ipset
3. 下载快连路由器版二进制
登录快连官网→「下载中心→路由器」，选择 mipsel/arm/aarch64 对应架构（页面提供 sha256 校验）。把 quicklink-router 上传到 /usr/bin，chmod +x。
4. 生成匿名护照
在客户端「我的→匿名护照→一键生成」复制 32 位 UUID，路由器端运行：
quicklink-router -u <UUID> -l 127.0.0.1:1080 -d
看到「SOCKS5 listen on 1080」即表示本地隧道已就绪。
iptables 规则：让流量自动分流
1. 创建 ipset 名单
ipset create gfwlist hash:net maxelem 65536 for ip in $(cat /etc/gfwlist.txt); do ipset add gfwlist $ip; done
提示：gfwlist.txt 可用第三方维护版本，也可在快连控制台「规则订阅」一键复制，文件路径因版本和安装方式而异，请以实际为准。
2. 写一条透明转发链
iptables -t nat -N REDSOCKS iptables -t nat -A REDSOCKS -d 0.0.0.0/8 -j RETURN iptables -t nat -A REDSOCKS -d 10.0.0.0/8 -j RETURN iptables -t nat -A REDSOCKS -d 127.0.0.0/8 -j RETURN iptables -t nat -A REDSOCKS -d 192.168.0.0/16 -j RETURN iptables -t nat -A REDSOCKS -m set --match-set gfwlist dst -p tcp -j REDIRECT --to-ports 1080 iptables -t nat -A PREROUTING -s 192.168.1.0/24 -j REDSOCKS
解释：把来自局域网 192.168.1.0/24 且目的 IP 在 gfwlist 内的 TCP 流量，重定向到本地 1080，由 redsocks2 封装成 SOCKS5 发给快连。
redsocks2 配置：关键三行别写错
base {
log_debug = on;
redirector = iptables;
}
redsocks {
local_ip = 0.0.0.0;
local_port = 1080;
ip = 127.0.0.1;
port = 1080;
type = socks5;
}
警告：type 必须写 socks5，若误填 socks4 会导致 UDP 关联失败，Disney+ 无法播放 HDR 流。
开机自启：Procd 脚本模板
在 /etc/init.d/quicklink 写入：
#!/bin/sh /etc/rc.common
START=90
STOP=10
start() {
/usr/bin/quicklink-router -u <UUID> -l 127.0.0.1:1080 -d
/usr/sbin/redsocks2 -c /etc/redsocks2.conf
}
stop() {
killall quicklink-router redsocks2
}
执行 chmod +x /etc/init.d/quicklink && /etc/init.d/quicklink enable 即可。
验证与观测：四条命令确认成功
ipset list gfwlist | head看名单是否载入。iptables -t nat -L REDSOCKS -n -v计数器增长即表示规则命中。logread -e redsocks若看到「accept」日志，说明 redsocks2 已拿到包。- 在局域网终端跑
curl -s https://ipinfo.io/country，返回「US」即证明已走快连出口。
性能调优：CPU 占满时的三条出路
- 把 4K 电视这类高带宽终端的 IP 写入 iptables 白名单，直连不走代理，可降低 redsocks2 单核负载约 30%。
- 开启「UDP 转发」开关前，先确认路由器有硬件 FLOW OFFLOAD；否则晚高峰游戏抖动反而增加。
- 经验性观察：SOCKS5 与 ShadowTLS 同时开启时，mips 架构路由器的 NAT 吞吐会掉 15–20%，若家中带宽 ≥500 M，建议改用 x86 软路由。
例外与取舍：哪些场景不适合透明代理
1. 公司 SSL pinning 应用
部分银行 App 检测到中间转发会拒绝握手，此时需在 ipset 里把该 AS 段剔除，或改用「分应用 privacy tool」方案。
2. IPv6 优先网络
截至当前的最新版本，redsocks2 对 IPv6 透明转发支持不完整，若校园网纯 v6，请退回客户端拨号。
3. 多拨叠加
Parallel NIC 功能在 Windows/Android 客户端有效，但在路由器端尚未提供官方二进制，强行用 mwan3 负载均衡会导致会话漂移，流媒体秒级断流。
故障排查：现象→原因→验证→处置
| 现象 | 最可能原因 | 验证命令 | 处置 |
|---|---|---|---|
| 国内站点打不开 | 规则误把 CN IP 写入 gfwlist | ipset test gfwlist 223.5.5.5 | 重新拉取 CN 段白名单并重启 ipset |
| Disney+ 报地区错误 | UDP 没走代理 | tcpdump -i br-lan udp port 443 | 在 redsocks2 打开 udp_relay，并加一条 iptables UDP 重定向 |
| 路由器重启后失效 | procd 脚本没启用 | ls /etc/rc.d/*quicklink* | 重新执行 enable 并检查 UUID 是否写死 |
最佳实践清单：上线前对照打钩
- 闪存剩余 ≥30 %，防止日志写满导致固件只读。
- redsocks2 与 quicklink-router 版本一致，避免加密握手失败。
- ipset 每周定时更新，写进 crontab @weekly。
- 电视、NAS 等固定 IP 写进 LAN 白名单，减少无谓 CPU 占用。
- 开启 logrotate，限制 /var/log 不超过 5 MB，防止 Flash 写穿。
FAQ：必须可复现的 5 个高频疑问
路由器 16 MB 闪存能装吗？
完整方案需要 ≈45 MB，16 MB 机型无法写入，建议改用「旁路由」模式：主路由不改，旧路由刷 OpenWrt 仅做透明转发，LAN 口对接即可。
IPv6 站点怎么绕过？
在 /etc/sysctl.conf 加 net.ipv6.conf.all.forwarding=0，让客户端拿不到公网 v6 地址，强制回落 v4；或等官方更新支持 v6 的透明代理版本。
匿名护照 UUID 丢失如何恢复？
24 小时内在登录页点击「无法访问」，输入首次登录时间±2 h，通过硬件指纹+面容验证找回；超时只能新建账户，旧流量不结转。
iptable 规则重启后消失？
把规则写进 /etc/firewall.user，或在 LUCI「网络→防火墙→自定义规则」里粘贴，保存后执行 /etc/init.d/firewall restart 即可固化。
游戏 ping 值反而更高？
关闭 redsocks2 的 udp_relay，改用客户端「游戏通道」单独拨号；或把游戏主机 IP 写入 iptables 白名单，让 UDP 直连，抖动可降 3–5 ms。
收尾：下一步行动建议
完成上述步骤后，你的局域网已具备「零配置」自动分流能力：终端无需再装客户端，解锁流媒体、外服游戏、跨境办公全部在路由器后台静默完成。记得每月初检查 ipset 更新与闪存余量，若带宽升级至 500 M 以上，及时评估是否需要 x86 软路由，以免 CPU 成为新瓶颈。
若后续想细化分流策略，可在快连控制台把「进程名规则」导出为 json，配合 dnsmasq ipset 实现「域名+IP+端口」五维联动，让国内视频继续走直连，海外会议秒级切换出口。现在就打开路由器后台，按清单逐项打钩，30 分钟内即可体验全屋透明代理带来的无感加速。
