OpenWrt/DD-WRT 路由器上的 SOCKS5 代理配置

使用 OpenWrt 或 DD-WRT 固件在路由器层面配置 SOCKS5 代理，可以将网络的隐私管理集中化，把所有已连接设备的流量通过同一条加密隧道转发。这种方案免去了在每台设备上单独安装软件的麻烦，让智能电视、游戏主机和 IoT 设备等硬件也能用上 GProxy 的高速住宅或数据中心 IP 池。借助 redsocks 或 shadowsocks-libev 等工具，您可以把标准的 SOCKS5 握手转换成透明代理，在整个局域网（LAN）范围内无缝处理 TCP 和 UDP 流量。

路由器级 SOCKS5 代理的架构

标准 SOCKS5 代理工作在应用层，也就是说每个浏览器或应用都必须手动配置代理的 IP 和端口。当把这套逻辑移到运行 OpenWrt 或 DD-WRT 的路由器上时，架构就转变为"透明代理"模式。在这种模式下，路由器在网络层拦截出站数据包，将其重定向到本地客户端（如 redsocks），再由该客户端为数据加上 SOCKS5 头并转发到 GProxy 服务器。

这种做法为高级用户带来三个明显优势：

• 通用兼容性：原生不支持代理设置的设备（例如 PlayStation 5、Apple TV 或智能冰箱）会自动经由 GProxy 服务器转发。
• 集中认证：不必在二十台设备上分别管理凭据，只需在路由器上管理一条连接。
• 绕开连接数限制：许多服务会限制单个 IP 的并发会话数；在路由器上通过 GProxy 住宅代理转发，可为整个家庭或办公室提供统一的出口。

就高性能路由而言，OpenWrt 通常优于 DD-WRT，因为它的 opkg 包管理器可以安装 redsocks2 或 v2ray-core 等特定二进制程序。DD-WRT 虽然对新手更友好，但要达到同样效果往往需要手动向启动配置中注入脚本。

OpenWrt 配置：使用 Redsocks 实现透明代理

OpenWrt 的 LuCI 网页界面并没有内置"SOCKS5 转透明代理"的开关。填补这一空白的行业标准工具就是 redsocks。它监听一个本地端口，并把收到的所有流量重定向到您指定的 SOCKS5 服务器。

第一步：安装所需软件包

通过 SSH 连接到路由器并更新软件包列表。您需要 redsocks 和 iptables-mod-nat-extra（如果使用 OpenWrt 22.03 或更新版本，则使用对应的 nftables 组件）。

# OpenWrt 的 shell 命令示例
opkg update
opkg install redsocks iptables-mod-nat-extra ip-full

第二步：配置 Redsocks

配置文件位于 /etc/redsocks.conf。您需要定义本地监听器和远端 GProxy 服务器信息。下面是一段可直接用于生产环境的配置示例：

# GProxy 的 /etc/redsocks.conf 示例
base {
    log_debug = off;
    log_info = on;
    log = "syslog:daemon";
    daemon = on;
    redirector = iptables;
}

redsocks {
    local_ip = 127.0.0.1;
    local_port = 12345; // 路由器拦截流量的端口
    ip = 45.152.x.x;    // 您的 GProxy 服务器 IP
    port = 1080;        // GProxy SOCKS5 端口
    type = socks5;

    // GProxy 认证信息
    login = "your_username";
    password = "your_password";
}

编辑完文件后，启用并启动服务：/etc/init.d/redsocks enable && /etc/init.d/redsocks start。

第三步：通过 Iptables 引导流量

仅仅运行 redsocks 还不够；您必须告诉路由器内核把流量发送到上面定义的 local_port。这需要在 NAT 表中新建一条链。务必把 GProxy 服务器自身的 IP 地址排除在重定向之外，以免形成无限路由环路。

# 新建一条链
iptables -t nat -N REDSOCKS

# 不要重定向发往代理服务器本身的流量
iptables -t nat -A REDSOCKS -d 45.152.x.x -j RETURN

# 不要重定向本地网络（LAN）流量
iptables -t nat -A REDSOCKS -d 192.168.1.0/24 -j RETURN

# 将其余所有 TCP 流量重定向到 redsocks 端口
iptables -t nat -A REDSOCKS -p tcp -j REDIRECT --to-ports 12345

# 在 PREROUTING 阶段应用该链
iptables -t nat -A PREROUTING -p tcp -j REDSOCKS

DD-WRT 配置：基于脚本的实现

DD-WRT 不具备 OpenWrt opkg 那样的模块化能力，但大多数现代版本内置 ss-redir（Shadowsocks-libev 的一部分），或者可以运行 redsocks 的静态二进制程序。配置通常在网页界面的 Administration > Commands 标签页中完成。

对于 DD-WRT，最稳定的方法是使用启动脚本，把预编译的 redsocks 二进制文件下载到 /tmp 目录（因为许多版本中 /usr 是只读的）。不过，如果您的 DD-WRT 版本在 Services 标签页中带有"Socks5"客户端，直接在那里填入 GProxy 凭据即可。请注意，内置客户端通常无法精细控制哪些设备走代理。

要在 DD-WRT 上保持连接持久，请在启动脚本中采用以下逻辑：

1. 检查互联网连通性。
2. 从安全的本地来源下载配置文件，或通过 echo 命令生成。
3. 使用指向配置文件的 -c 参数启动二进制程序。
4. 执行与 OpenWrt 中类似的 iptables 规则。

路由器集成场景下的代理协议对比

为路由器级部署选择协议时，性能和兼容性是主要衡量指标。虽然 GProxy 支持多种格式，但 SOCKS5 在路由器上通常更优，因为它能同时处理 TCP 和 UDP（通过 UDP Associate），这对游戏和 VoIP 至关重要。

对于使用入门级硬件的用户（例如 600MHz MIPS 处理器的路由器），SOCKS5 的效率远高于 OpenVPN。OpenVPN 需要对每个数据包做繁重的 AES 加解密，在老旧硬件上可能把 100Mbps 的连接压到 15Mbps。GProxy 的 SOCKS5 实现能够在不占满路由器 CPU 的情况下提供高吞吐。

高级策略路由（PBR）

在很多场景中，您并不希望 100% 的流量都走代理。例如，您可能希望工作笔记本和智能电视使用 GProxy 的美国住宅 IP，而游戏主机保持与本地服务器的直连低延迟连接。

在 OpenWrt 上实现 PBR

OpenWrt 的 pbr（Policy Based Routing）软件包是处理这类需求最完善的方式。它允许您根据家中设备的源 IP 创建规则。

1. 安装软件包：opkg install pbr luci-app-pbr。
2. 在 LuCI 界面中进入 Network > Routing Policy。
3. 创建一个指向 redsocks 本地端口的"Proxy"接口。
4. 添加规则：源 IP：192.168.1.50（您的智能电视）-> 接口：Proxy。
5. 其余所有设备默认使用标准 WAN 网关。

这种精细控制可以确保那些无需代理的高带宽任务——比如系统更新或本地备份——不会白白消耗您的 GProxy 住宅代理流量套餐。

防止 DNS 泄漏

路由器 SOCKS5 配置中的常见故障是"DNS 泄漏"。即使数据包已经通过 GProxy 传输，路由器仍可能把 DNS 查询发送到 ISP 的默认服务器。这会暴露您的浏览记录，并可能绕开地域限制。

要在 OpenWrt 上解决这个问题，应配置 dnsmasq 让查询通过代理转发。最有效的方式是使用 dns-over-https（DoH）或 dnscrypt-proxy。安装之后，您可以把它们的流量也导入同一条 REDSOCKS iptables 链。或者，如果您的 SOCKS5 客户端支持，可启用远程 DNS 解析，让 GProxy 服务器代为查询。

# 从网络内客户端验证代理状态的 Python 脚本示例
import requests

def check_proxy_status():
    proxy_url = "http://192.168.1.1:12345" # 路由器的透明代理端口
    try:
        # 使用 IP 回显服务进行测试
        response = requests.get("https://api.ipify.org?format=json", timeout=5)
        print(f"Current Exit IP: {response.json()['ip']}")
    except Exception as e:
        print(f"Error connecting through router proxy: {e}")

if __name__ == "__main__":
    check_proxy_status()

要点总结

在路由器上配置 SOCKS5，是实现全网隐私的终极"一次配置、长期无忧"方案。使用 OpenWrt 或 DD-WRT，您能获得消费级固件无法提供的控制力。

• redsocks 不可或缺：它是把标准 GProxy SOCKS5 连接转换为全系统透明代理的必要桥梁。
• iptables 管理：务必把代理服务器的目标 IP 排除在路由规则之外，以防止环路导致路由器网络栈崩溃。
• 硬件很重要：如果计划转发超过 50Mbps 的流量，请确保路由器至少配备双核 CPU，以承担数据包重定向和 redsocks 的开销。

实用提示 1：如果您的 ISP 提供固定 IP，请始终在 GProxy 控制台中使用 IP 白名单。这样可以省去路由器配置文件中用户名/密码认证的开销，略微提升连接握手速度。

实用提示 2：配置完成后请立即使用 browserleaks.com/dns 之类的工具检测泄漏。如果在任何位置看到 ISP 的名称，说明您的 DNS 没有经过 SOCKS5 隧道，需要调整 dnsmasq 设置。