PassWall订阅更新、DNS设置与透明代理规则分流指南
介绍OpenWrt中的PassWall2、节点订阅、dnsmasq、透明代理、访问控制及连接异常排查。
一次请求，沿什么路径抵达？
概念性流程；具体处理顺序以实际版本和配置为准。
LAN设备
客户端发起新的网络请求。
DNS解析
使用设备实际配置的解析路径。
范围与规则
根据来源、目标与策略判断。
代理处理
需要代理的流量进入相关链路。
直接处理
其余流量按配置直接路由。
响应返回
以真实应用连接验证结果。
PassWall与PassWall2，
从配置边界开始。
两个LuCI插件项目，有各自的配置与服务状态。相似的菜单不代表所有版本、运行核心与订阅字段可以直接互换。
共存与迁移前，先保存原配置，核对DNS、访问控制、分流与网络接管范围，避免端口或规则冲突。
了解这份配置知识库透明代理，
看清流量被接管的位置。
路由器本机请求与LAN转发流量，可能经过不同规则。TCP、UDP、IPv4及IPv6也需要分别确认，不能只用一次本机测试推断全部路径。
nftables组织规则，TPROXY与REDIRECT采用不同的处理机制。实际选择取决于插件版本、运行核心与配置；先核对监听与规则，再定位连接。
理解透明代理与规则
同一个网络，
设备可以有不同路径。
PassWall规则分流需要把源IP、设备组与目标规则联系起来。LAN访问控制决定设备范围，节点选择决定相应出站；默认策略也会影响未明确匹配的请求。
检查LAN访问控制| 检查层次 | 需要确认 | 常见变化 |
|---|---|---|
| 01 设备来源 | 源IP / MAC / DHCP租约 | 地址或标识变化 |
| 02 目标匹配 | 域名 / IP / 协议 | DNS与地址族差异 |
| 03 执行策略 | 设备例外 / 全局 / 默认 | 版本匹配逻辑差异 |
| 04 实际连接 | 直连 / 代理 / 新建请求 | 旧连接继续复用 |
表格为排查层次，不代表所有版本的固定规则优先级。
切换之后，
让实际连接给出答案。
六篇指南，逐层理解网络。
从PassWall2配置边界到服务运行状态，
为每个具体问题找到可验证的下一步。
PassWall与PassWall2：相似名称背后的配置边界
先确认项目和版本，再核对配置来源、DNS及服务接管范围。
阅读完整指南
订阅更新失败：沿获取、解析与应用逐层检查
更新提示成功之后，继续检查远程内容、解析结果与当前使用节点。
阅读完整指南
dnsmasq与Fake-IP：看清设备的真实解析路径
从设备到上游逐段核对，不把域名解析成功等同于代理连接成功。
阅读完整指南
TPROXY与REDIRECT：透明代理的两条处理路径
规则存在只是起点，还需要核对监听、路由与实际请求命中情况。
阅读完整指南
同一网络不同表现：LAN访问控制与规则顺序
地址、设备范围和默认策略，都会影响一条请求最终走向哪里。
阅读完整指南
节点已切换，线路没变化？检查服务与新连接
界面选中、进程运行与新连接生效，是需要分别验证的三件事。
阅读完整指南配置之前，
你可能还想知道。
四个常见问题，先厘清判断边界。
PassWall与PassWall2安装在同一台路由器时，为什么不能默认共用所有配置？
两个项目的配置结构、核心支持与服务管理可能不同。安装共存也不意味着可以同时接管同一组流量。先备份，再核对版本、端口和DNS职责。 阅读对应排查指南 ↗
订阅更新显示成功，但节点列表没有变化，应该先检查什么？
先确认返回内容是否确实变化，再比较解析、过滤和去重结果。HTTP成功不代表导入成功；内容相同时，成功更新也可能保持相同节点数量。 阅读对应排查指南 ↗
路由器DNS解析正常，为什么局域网设备仍可能无法按规则访问网络？
客户端可能使用独立DNS或IPv6路径，也可能没有命中预期ACL。解析与代理出站是不同环节，需要分别核对客户端设置和实际转发规则。 阅读对应排查指南 ↗
PassWall切换节点之后，为什么需要确认服务、代理规则及实际连接状态？
界面保存、核心加载和防火墙规则生效需要相互印证；既有长连接还可能复用旧路径。检查日志与监听，再使用新连接验证。 阅读对应排查指南 ↗