路由器代理设置

将路由器配置为让所有设备通过代理上网，就是修改路由器的网络设置，把已连接客户端发出的所有互联网流量在到达最终目的地之前先转发到指定的代理服务器。

路由器级代理概述

在路由器层面把全部网络流量导向代理，可以对网络中每一台设备的互联网访问实行集中控制，包括那些本身没有代理配置选项的设备（例如智能电视、IoT 设备）。这种方式可确保代理策略（如 IP 地址隐藏、绕过地域限制或内容过滤）在整个局域网（LAN）内保持一致。

工作原理

当路由器被配置为使用代理时，它会拦截任何已连接设备发出的网络请求。路由器不会把这些请求直接发往互联网，而是转发到指定的代理服务器。代理服务器代表路由器（也就是客户端设备）向互联网发起请求，并把响应返回给路由器，再由路由器转交给原始客户端。

前置条件

在着手配置路由器代理之前，请确认以下几点：

• 代理服务器信息：
  • 代理服务器的 IP 地址或主机名。
  • 代理端口。
  • 如需要，还包括认证凭据（用户名和密码）。
  • 代理类型（HTTP、HTTPS、SOCKS4、SOCKS5）。
• 路由器访问权限： 拥有路由器配置界面（Web GUI 或 SSH）的管理员权限。
• 路由器能力：
  • 第三方固件： 多数家用路由器不原生支持透明代理。通常需要 OpenWrt、DD-WRT 或 pfSense/OPNsense（用于专用路由硬件）等第三方固件。这些固件提供了安装代理软件和配置防火墙规则所需的灵活性。
  • 处理器与内存： 让全部流量经过代理，尤其是伴随 SSL/TLS 解密时，非常消耗资源。请确认路由器有足够的 CPU 和内存。
  • 存储空间： 有足够的闪存空间安装代理软件包（例如 Squid、TinyProxy）。

路由器代理的实现方式

具体做法在很大程度上取决于路由器的固件和硬件能力。

1. 原生代理设置（少见）

某些高端企业级路由器或专用安全设备可能内置代理配置项。这在消费级路由器上并不常见。如果有，这类设置通常只需填写上游代理服务器的 IP 和端口。

2. 通过第三方固件实现透明代理（"所有设备"场景推荐）

对于运行第三方固件的家用硬件，这是最常见也最可靠的方法。做法是在路由器本身安装一个本地代理服务器，再用防火墙规则把所有相关的出站流量重定向到该本地代理，由它转发给外部（上游）代理。

示例：OpenWrt/DD-WRT 配合 Squid/TinyProxy 与 iptables

该方法包括：
1. 安装本地代理服务器： 可在路由器上安装 squid（功能更丰富，资源占用更高）或 tinyproxy（轻量，仅支持 HTTP/HTTPS）等软件包。
2. 配置本地代理： 把本地代理设置为转发器，将所有请求发送到你的外部代理服务器。
3. 配置防火墙规则（iptables）： 添加规则，把 LAN 客户端的 HTTP（端口 80）和 HTTPS（端口 443）流量重定向到本地代理的监听端口。

分步说明（以 OpenWrt 为例，概念性）：

1. 通过 SSH 登录路由器：
   bash ssh root@<router_ip>

2. 安装代理软件包（例如 TinyProxy）：
   bash opkg update opkg install tinyproxy
   Squid 的流程类似，但配置更复杂。

3. 配置 TinyProxy：
   编辑 /etc/tinyproxy.conf。

   • 把 Port 设为一个未占用的端口（例如 8888）。
   • 把 Listen 设为 0.0.0.0 或路由器的 LAN IP。
   • 配置 Upstream 指向你的外部代理服务器：
     Upstream <proxy_type> <external_proxy_ip_or_hostname>:<external_proxy_port> # HTTP 代理示例： # Upstream http proxy.example.com:8080 # SOCKS5 代理示例： # Upstream socks5 proxy.example.com:1080
   • 如果上游代理需要认证，请按 TinyProxy 文档配置 BasicAuth 或 DigestAuth 指令。
   • 允许来自局域网的访问：
     Allow 192.168.1.0/24 # 按你的 LAN 子网调整
   • 重启 TinyProxy：
     bash /etc/init.d/tinyproxy restart /etc/init.d/tinyproxy enable # 开机自启

4. 配置 iptables 重定向：
   把规则添加到 /etc/firewall.user（或通过 uci 设置持久化规则）。这些规则会把 LAN 出站的 HTTP/HTTPS 流量重定向到本地 TinyProxy 实例。

   ```bash

   将 HTTP（端口 80）重定向到 TinyProxy（端口 8888）

   iptables -t nat -A PREROUTING -i br-lan -p tcp --dport 80 -j REDIRECT --to-port 8888

   将 HTTPS（端口 443）重定向到 TinyProxy（端口 8888）

   iptables -t nat -A PREROUTING -i br-lan -p tcp --dport 443 -j REDIRECT --to-port 8888
   ```
   注意：透明重定向 HTTPS 流量要求代理执行 SSL/TLS 解密，这意味着必须在每台客户端设备上安装自定义 CA 证书，否则会出现证书告警。若不这样做，只有 HTTP 流量能被完全透明代理；如果代理不支持透明 SSL/TLS 解密，或客户端拒绝代理的自签名证书，HTTPS 流量可能失败或绕过代理。

5. 重启防火墙：
   bash /etc/init.d/firewall restart

3. 路由器上的 VPN 客户端（代理的替代方案）

严格来说这不算"代理配置"，但直接在路由器上配置 VPN 客户端可以达到类似目的：把已连接设备的全部网络流量经由外部服务器转发。许多第三方固件（OpenWrt、DD-WRT）乃至部分原厂固件都支持 OpenVPN 或 WireGuard 客户端配置。该方法会加密全部流量，并在无需逐台设备配置的情况下改变所有设备对外呈现的 IP 地址。

对比：路由器代理 vs. 路由器 VPN

代理类型与注意事项

• HTTP/HTTPS 代理： 主要面向网页流量。HTTP 代理可以缓存内容，对频繁访问的资源可能提升性能。HTTPS 代理要实现完全透明需要 SSL/TLS 解密。
• SOCKS 代理（SOCKS4/SOCKS5）： 更通用，可代理任意类型的 TCP 连接（SOCKS5 还支持 UDP）。SOCKS 代理工作在比 HTTP 代理更低的层级。如果你的外部代理是 SOCKS，本地代理（例如 TinyProxy、Squid）必须配置为转发到 SOCKS 上游，或者你需要一个支持 SOCKS 的重定向工具。
• 透明代理： 客户端设备并不知道自己在使用代理；所有重定向都在路由器层面完成。这正是"所有设备通过代理"的目标。
• 显式代理： 需要在每台客户端设备上手动配置（填写代理 IP 和端口）。在不逐台配置客户端的前提下，它无法通过路由器把所有设备都导向代理。

安全与性能影响

安全

• 信任： 你的流量安全在很大程度上依赖代理服务器是否可信。不可信的代理可能记录你的活动或注入恶意内容。
• SSL/TLS 解密： 要完全透明地代理 HTTPS 流量，代理必须执行 SSL/TLS 解密（中间人）。这需要在所有客户端设备上安装代理的根证书以避免安全告警。否则 HTTPS 流量可能无法被完全代理，或产生证书错误。

性能

• 延迟： 增加一跳（路由器 -> 本地代理 -> 外部代理 -> 互联网）必然会增加延迟。
• 带宽： 代理服务器的带宽可能成为瓶颈。
• 路由器资源： 路由器的 CPU 和内存要用于运行本地代理软件和处理防火墙规则。若路由器性能不足或流量很大，可能导致性能下降。

常见问题排查

• 无法上网：
  • 确认外部代理服务器在线，且可从路由器访问。
  • 检查防火墙规则：确保配置正确，没有拦截正常流量或代理自身的通信。
  • 复查代理配置：上游信息填写错误或认证有问题。
  • 路由器资源：路由器可能已过载。
• SSL/TLS 错误（HTTPS 流量）：
  • 如果代理在客户端设备未安装其根证书的情况下执行 SSL/TLS 解密，出现该错误属于预期。
  • 若对 HTTPS 使用不带解密的透明代理，流量可能失败或被绕过。
• 某些应用无法工作：
  • 有些应用使用非标准端口或协议，可能不在你的 iptables 重定向规则覆盖范围内（例如只重定向 80/443）。
  • 应用可能内置代理检测，或要求特定的代理类型（例如游戏需要 SOCKS、某些 VoIP 服务）。
  • DNS 解析问题：确认路由器的 DNS 设置没有冲突，也没有被意外重定向。