PassWall 2 介绍和使用指南（OpenWrt 代理插件，PassWall 的续作）

软件介绍

PassWall 2 和上一篇讲的 PassWall 介绍和使用指南 是同一个作者 xiaorouji 的两套独立插件。v1 用 Lua 写、主打功能全，v2 是作者重新写的独立代码库，界面和配置逻辑都换了思路：主界面不再分 Tcp节点/UDP节点 两个下拉，改成"一个节点 + 一套分流规则"，把最常用的操作压到一屏里。两个项目都托管在 Openwrt-Passwall 组织 下，代码里保留着 Copyright 2022-2025 xiaorouji、2026 Openwrt-Passwall Organization 两段版权头，等于明说"作者早期个人维护、现在组织接力"。

OpenWrt 官方文档里 luci-app-passwall 和 luci-app-passwall2 是两个相互独立的插件，可以同时安装，也可以只装其一（章节见 OpenWrt PassWall 文档），装一起互不覆盖文件。我的建议是按自己口味二选一，别两个同时开，原因见下面的 callout。

我写这篇用的运行环境是 OpenWrt 24.10.7 虚拟机 + PassWall 2 26.8.10，下面的界面描述全部来自这版真实中文界面的截图，不包含任何真实订阅和节点信息。

身世：同作者的两条产品线

PassWall 的仓库 2018 年 10 月建立，靠"一个插件通吃 SS/SSR/V2Ray/Xray/Trojan/Hysteria“在 OpenWrt 圈子里积累了大量老用户。作者后来没有在 v1 上缝缝补补，而是另开仓库重写了一遍，这就是 PassWall 2：版本号同样按日期走（26.8.10 = 2026 年 8 月 10 日发布），更新节奏和 v1 一样快，社区里两边的口碑也接近——v1 教程多、资料全，v2 界面和配置逻辑更贴近新版需求。

两版的定位差异一句话概括：v1 是"节点加规则直接跑"的经典布局，v2 是"先把分流规则配好，再挂节点"的规则优先布局。v2 安装包里默认带一个内置分流节点和 8 条预置分流规则（含 Steam 直连/代理、中国大陆直连、伊朗、俄罗斯几组），装上就有分流框架，这是 v1 默认配置里没有的。

先把这版文章要用的术语过一遍：

• 节点：机场提供的代理服务器，含协议、地址、端口、密码。
• 订阅：机场给的链接，插件更新后批量拉取全部节点。
• 内核：真正转发流量的程序，PassWall 2 是管理界面，xray、sing-box 才是干活的引擎。
• 分流规则：按域名、IP 决定流量走代理还是直连的规则。
• 分流节点PassWall 2 特有的一种节点类型，把多组分流规则打包在一起，选中后按规则组决定流量走向。 ：v2 特有概念，一种把多组分流规则打包在一起的节点类型。
• 策略组：Clash 系内核按规则从一组节点里选优的概念，PassWall 2 不搞这套。
• Fake-IP：路由器先给域名分配假 IP，按域名转发、节点侧解析真实 IP，用来防 DNS 污染运营商或中间设备对 DNS 查询返回错误结果，让域名解析到错误 IP，导致网站访问失败或跳转广告。 。

优点和缺点

优点：

• 规则优先：内置分流节点 + 预置规则组，配好一组规则换节点不用动规则
• 主界面精简：单节点选择，不再需要分别挑 TCP/UDP 节点
• 界面信息密度高：顶部 Core 状态 + 三个连通性检测，代理通不通一眼看
• 活跃维护：版本号按日期走，截止到本文更新时间仍是周更节奏
• 中文界面中文文档：报错信息在中文社区能直接搜到

缺点：

• 教程资料比 v1 少：网上搜问题，v1 的答案明显比 v2 多
• 没策略组：想要"一组节点自动选优"的 Clash 式精细分流，它给不了
• 规则概念有门槛：分流节点、规则组、shunt_group 这些名词第一次接触要花点时间

下载安装

动手前先确认四件事，能少踩一半坑：

• CPU 架构：x86_64、aarch64、ramips 等架构的包不能互换，命令行 uname -m 可查。
• OpenWrt 分支：PassWall 2 的包按 OpenWrt 分支发布，23.05 和 24.10 的包不能混用，装错版本会报依赖错误。
• 先停其他代理插件：安装前把 PassWall v1、OpenClash 之类的先停用，避免端口冲突。
• 存储空间：插件本体加核心几十 MB，先 df -h 看剩余空间。

opkg update
opkg install luci-app-passwall2_26.8.10_all.ipk luci-i18n-passwall2-zh-cn_26.8.10_all.ipk
opkg install xray-core_*.ipk sing-box_*.ipk

下载文件对照（26.8.10）：

和 v1 安装的差异

我对比了两版安装包，差异主要在依赖上：

• v2 的 ipk 直接依赖 geo 数据文件：安装包依赖列表里带 v2ray-geoip、v2ray-geosite，规则分流用的地理数据装插件时就装好了。
• chinadns-ng、dns2socks 不再是硬依赖：v2 的 DNS 走核心自身的 DNS 配置（直连 DNS + 远程 DNS + DoH），脚本里仍兼容 chinadns-ng，但属于可选装。
• geoview 是 v2 的特色组件：一个 geo 文件查询工具，装不装它决定规则管理页里出不出"Geo 查询"入口，属于可选依赖。
• 核心组件多了一个 hysteria：组件更新页管理的组件是 Xray、Sing-Box、Hysteria、Geoview 四个。

安装常见报错：

• 依赖装不上：opkg install 报错会列出缺的包名，去 packages Releases 找同架构包逐个补。
• 文件冲突：固件内置旧版 PassWall 2 时直接装新版可能报冲突，先卸载旧版。
• 装完菜单不出现：刷新 LuCI 页面或重启 LuCI 服务。
• 版本号看不懂：日期即版本，26.8.10 就是 2026 年 8 月 10 日发布。

使用教程

界面一览

PassWall 2 是双层标签结构：顶部一级标签 9 个——基本设置、节点列表、节点订阅、高级设置、组件更新、规则管理、访问控制、服务器端、运行日志；装了 haproxy 会多出负载均衡，装了 geoview 会多出Geo 查询。点进基本设置，里面还有第二层子标签：主要、DNS、日志、FAQ、维护。最后两个标签服务器端（自建服务端代理和用户管理，自建节点场景才用）和运行日志（排错主入口）。

图注：基本设置主界面，顶部九个一级标签，状态行是 Core 状态 + 百度/谷歌/GitHub 三个连通性检测，往下依次是主开关、节点与分流选择、代理开关和 Socks 配置区。

主界面和 v1 最直观的区别就在状态区：v1 是 TCP/UDP/DNS/HAProxy 四项运行状态 + 阿里/谷歌/GitHub/YouTube 四个检测，v2 换成 Core 状态卡 + 百度/谷歌/GitHub 三个检测，每个检测后面都有”点我检测“按钮，代理开没开点一下就知道。

第一步：添加节点订阅

订阅是机场给的链接，PassWall 2 靠它批量拉节点：

1. 切到顶部节点订阅标签页，点添加。
2. 表单里填订阅备注（写机场名，方便认）和订阅网址（机场后台复制）。
3. 点保存并应用，回到订阅列表。
4. 列表新行出现后，点这行的手动订阅按钮，等它拉取完成。

页面顶部有一句提示原文：“新增订阅请先保存并应用后再手动订阅；如仅修改订阅地址，可直接手动订阅，系统将自动保存”——第一次添加必须先保存再手动订阅，直接点手动订阅会拉不到东西。

图注：节点订阅管理页，过滤关键字模式默认丢弃列表，五种协议的使用类型默认自动，订阅表格一行一个机场。

订阅页上半部分是过滤关键字模式，下拉里有四档组合：丢弃列表、保留列表、丢弃列表但保留列表优先、保留列表但丢弃列表优先（还有一档关闭）。默认的丢弃列表预置了剩余流量、套餐到期、过期时间、QQ群、官网这类关键词，节点名命中就直接扔掉，机场订阅里混的广告节点会被自动过滤。下面 Shadowsocks、Trojan、VMess、VLESS、Hysteria2 五种协议的节点使用类型默认都是自动，界面说明是"配置的类型同样适用于手动导入节点时所指定的核心程序”，保持默认即可。

订阅行还能设置自动更新：编辑订阅，自动更新模式选每天或每周某天（还有循环模式），设好更新时间保存即可，机场节点变动频繁的推荐开。

第二步：节点列表测速与选择

订阅拉回来后，切到节点列表标签页：

1. 勾选显示服务器地址和端口，列表里才能看到节点地址（默认不勾，避免页面直接暴露节点域名）。
2. 每行有 Ping、TCPing、URL 测试三个按钮，单测一个节点用；想全测一遍，点上面的自动检测延迟（默认 TCP Ping）。
3. URL 测试地址默认 Google，用来测节点能不能开谷歌系网站，可以改成自己的测试目标。
4. 记下表现好的节点，改完点保存并应用。

图注：节点列表页，顶部一排测速选项和管理按钮，表格列出节点备注与 Ping/TCPing/URL 测试结果。

列表上方还有几个管理按钮：通过链接添加节点（机场给单节点分享链接时用，粘贴即导入）、删除选择的节点、清空所有节点。日常用订阅导入就够了，链接添加是补充手段。

第三步：主开关与节点选择

节点有了，回基本设置 → 主要：

1. 打开主开关。
2. 节点下拉里选一个节点——默认选中内置的分流节点，下拉显示形如"Xray 分流: rulenode"；想走规则分流的保持默认，想直连某个节点就改选普通节点。
3. 选了分流节点后，基本设置会多出一个分流规则子标签，里面有分流规则组下拉（默认 CN 组）以及 FakeDNS、域名解析策略等选项；节点下拉旁边还有编辑、日志两个链接，编辑打开节点配置，日志打开透明代理运行日志。
4. 点保存并应用。

图注：主界面节点选择区，节点下拉当前显示内置分流节点，旁边带编辑和日志链接。

界面里还有两个开关要认清：路由器本机代理（勾选后路由器自己也能透明代理，界面原文"当勾选时，路由器本机可以透明代理"）和客户端代理（勾选后局域网设备透明代理，界面原文"当勾选时，局域网内的设备可以透明代理。否则，将不代理。但您仍然可以使用访问控制允许指定的设备代理"）。两个都勾上，就是"全家桶"模式。

和 v1 的关键区别在这步：v1 要分别给 TCP 节点、UDP 节点各选一个，v2 只选一个节点，TCP/UDP 一起走它。想控制代理哪些端口，去高级设置里调TCP/UDP 转发端口（默认 TCP 走常用端口列表、UDP 走全端口）。

节点下面还有一块 Socks 配置：Socks 主开关、状态、启用、Socks 节点、当前节点、Socks 监听端口，默认端口 1070，上面的"节点 Socks 监听端口"也默认 1070。这是给局域网里需要手动填代理的设备用的，路由器本机或局域网设备填 路由器IP:1070 即可；勾选"节点 Socks 本机监听"后只允许本机访问（界面原文"当勾选时，只能本机访问"）。

第四步：规则分流

v2 的分流核心是分流节点 + 分流规则，都在规则管理页管理：

• 页面上半部分是 GeoIP / Geosite 规则文件更新：内置 Loyalsoldier、MetaCubeX、伊朗、俄罗斯 等多个数据源（含 gh-proxy 和 CDN 镜像），还能设自动更新模式（每天/每周某天/循环模式）。
• 下半部分是分流规则列表：每条规则可以指定域名列表、IP 列表、网络类型（TCP/UDP），还能归到分组（shunt_group）里，一个分组对应分流规则子标签里下拉的一个选项。

默认配置里已经有几组现成规则可以直接用：DirectFront（直连前置）、ProxyFront（代理前置）、DirectGame（Steam 国内 CDN 直连）、ProxyGame（Steam 商店走代理）、CN（中国大陆直连）、Iran（伊朗）、Russia_Block（俄罗斯封锁域）。Steam 那两条尤其实用：国内 CDN 下载走直连、商店社区走代理，不用自己写规则。

规则写法的基本套路：

• geosite:cn 表示按 geosite 里的中国域名列表匹配，geoip:cn 按中国 IP 段匹配。
• 直接写域名（如 store.steampowered.com）表示精确匹配这个域名。
• 规则从上到下匹配，命中即生效，想"国内直连、国外代理"就把 CN 规则排在前面。

第五步：访问控制

访问控制标签页用来单独指定某台设备的代理模式，页面原文写着"访问控制列表是用于指定特殊IP代理模式的工具"。表格列是主开关、启用、备注、源接口、源地址、模式，默认是空的。

图注：访问控制页，按源接口/源地址给指定设备指定代理模式，默认表格为空。

用法：添加一行 → 源地址填设备 IP（如 192.168.1.50）→ 模式选代理或不代理 → 打开这行的启用和主开关 → 保存并应用。典型场景：

• 电视盒子、NAS 想直连不走代理：加一条不代理。
• 某台设备必须走代理（比如公司电脑）：加一条代理。
• 来访设备不想让它乱跑：单独指定模式。

它和规则管理的区别：访问控制按设备 IP 指定模式，规则管理按域名/IP 分流，两条线配合用。

第六步：日志排错

排错第一步永远是看日志：顶部运行日志标签页，有清空日志按钮，先清空再复现问题，启动过程、订阅更新、规则加载都会逐行记下来。

图注：运行日志页，报错按时间逐行列出，实测日志里出现 nftables 缺依赖警告和"运行完成"。

我实测时日志里出现一条很典型的警告：

2026-08-13 08:17:02: 警告: nftables 透明代理缺失基础依赖 kmod-nft-socket!
2026-08-13 08:17:02: 运行完成

意思是 nftables 透明代理需要的内核模块没装全，插件降级继续跑（后面跟着"运行完成"），但透明代理会受影响。处理办法：去系统 → 软件包安装 kmod-nft-socket、kmod-nft-tproxy（要和当前内核版本匹配），装完重启 PassWall 2，再清空日志重看。这类警告在精简固件上很常见。

从 PassWall v1 或 OpenClash 迁移

从别的插件换过来，顺序对了就顺：

1. 先在旧插件里停用并保存：v1、OpenClash 都会接管透明代理和 DNS，不停用就装 v2，两个插件会抢端口。
2. 备份配置：LuCI 的系统 → 备份/恢复导出一份全量备份，迁移出问题随时回滚。
3. 按安装一节装好 PassWall 2，组件更新页装上 xray 或 sing-box 核心。
4. 节点订阅里添加机场订阅并手动订阅。
5. 主要页选好节点（新手直接用普通节点，或选内置分流节点 + CN 组），打开主开关和两个代理开关。
6. 验证：点百度连接（应通）和GitHub 连接（应通），国内国外都正常就迁移完成。
7. 确认旧插件没有开机自启，否则重启路由器后又双开打架。

深入配置（进阶篇）

DNS 子标签

基本设置 → DNS 子标签负责域名解析分流：国内域名直连解析，国外域名走远程 DNS，国内访问不绕路、国外访问不被污染。v2 在这页提供了直连查询策略、远程 DNS 协议（UDP/TCP/DoH）、远程 DNS 地址、EDNS Client Subnet、远程 DNS 出口（远程/直连）、FakeDNS、域名覆盖等选项，比 v1 的 DNS 页更细。页面还带一个清除 IPSet/NFTSET 按钮，界面提示"规则修改不生效时试试这个功能"。

两个容易混的点：订阅表单里的域名 DNS 解析只影响"节点地址是域名"时的解析，和全局 DNS 分流是两回事，保持自动就行；改完 DNS 设置记得保存并应用，再到日志里确认没有报错。

分流规则进阶

规则管理页的自动更新值得单独说：GeoIP/Geosite 数据文件会随机场节点一起更新，官方源下载慢的话，下拉里有 gh-proxy 镜像和 jsDelivr CDN 两个备选源。装 geoview 后，Geo 查询入口能按域名或 IP 反查它属于哪条 geo 规则，也能展开某条 GeoIP/Geosite 看包含的内容——写规则前先查一下，避免规则写错。

高级设置（其他设置）

高级设置页（controller 里叫 Other Settings）装的是不常碰的东西：

• 延时设置：守护进程开关、延迟启动秒数、定时停止/启动/重启（按周 + 时间）。
• 转发设置：TCP 不转发端口、UDP 不转发端口（优先级最高）、TCP 转发端口（默认常用端口列表）、UDP 转发端口（默认全端口）、优先防火墙工具（Iptables/Nftables）、TCP 代理方式（REDIRECT/TPROXY）、IPv6 TProxy（实验功能，需要节点支持 IPv6）、劫持 ICMP（让 Ping 也走代理）。
• 直连 IP 列表：写进去的 IP 直接连、不进代理核心。

组件更新

组件更新页管理 Xray、Sing-Box、Hysteria、Geoview 四个组件的路径和版本，界面支持查看当前版本、下载更新。想改组件路径（比如放内存盘 /tmp 跑）也在这里改，界面提示"想从内存运行就改路径为 /tmp 开头，保存后手动更新"。默认路径都是 /usr/bin/ 下的对应命令。

v1 和 v2 逐项对比

选型建议：第一次接触 PassWall 系、想搜得到答案的选 v1，跟着本站 v1 教程走；追求界面清爽、愿意学规则分流、或者从 v1 换口味尝鲜的选 v2。两个都装不冲突，但别同时开。

FAQ

PassWall 2 和 PassWall 到底什么关系？ 同一个作者 xiaorouji 写了两套独立插件：v1 是老牌经典，v2 是重新写的重构版，代码不共用，安装包互不覆盖，可以共存也可以二选一。

两个插件能同时装吗？ 能。OpenWrt 官方文档明确两个是独立插件，装一起不会冲突；但别同时开主开关，透明代理和 DNS 会抢。

装完菜单里没有 PassWall 2？ 刷新 LuCI 页面；还不行，检查包是不是装进了正确的分区，或者重启 LuCI 服务。

主开关开了，节点列表却是空的？ 订阅还没拉成功：先确认订阅保存并应用后再手动订阅，再看日志里有没有拉取报错，最后确认订阅链接没过期。

节点测速全部超时？ 先确认订阅更新过、核心装好了；测速走的是节点真实连接，节点本身故障也会全超时，换个时间段再测，或单独看某个节点的 Ping/TCPing。

日志提示缺 kmod-nft-socket / kmod-nft-tproxy？ 去系统 → 软件包装这两个内核模块（和内核版本匹配），装完重启 PassWall 2。精简固件常见，装完警告就消了。

国内网站打不开？ 先看主界面客户端代理是不是没勾；再查规则管理里有没有把国内域名误加进规则；最后看日志里 DNS 相关报错。

游戏或 UDP 应用连不上？ v2 单节点同时管 TCP/UDP，先确认高级设置里 UDP 转发端口没被改成不转发；还不行，确认机场节点本身支持 UDP 转发。

某台设备不想走代理？ 用访问控制，按源地址加一条不代理，保存并应用；想强制某台设备走代理同理，模式选代理。

支持 Hysteria 2 吗？ 支持。订阅里 Hysteria2 节点使用类型默认自动，配合 xray 或 sing-box 核心即可；组件更新页也能单独更新 hysteria 组件。

为什么连通性检测全失败？ 按三件套查：核心装了没（组件更新页）、订阅更新过没（节点列表有没有节点）、节点选了没（主要页下拉）。都正常就清空日志重新点检测，看日志报什么。

升级插件后配置还在吗？ 配置存在路由器文件系统里，正常升级不会丢；升级前到系统 → 备份/恢复导出一份更稳。

GitHub 下载 ipk 太慢/失败？ 用 gh-proxy 这类反代加速下载；规则文件更新也内置了 gh-proxy 和 CDN 源。下载后核对架构和分支再装。

分流规则写了不生效？ 先回规则管理核对规则是否归对了分组、网络类型是否包含你测的协议（TCP/UDP）；规则页的清除 IPSet/NFTSET 按钮就是干这个的，规则改了不生效先点它，再保存并应用。

订阅能定时自动更新吗？ 能。编辑订阅行，自动更新模式选每天或每周某天，设好更新时间，保存并应用；节点变动频繁的机场建议开。

规则里的 geoip/geosite 数据过旧怎么办？ 规则管理页顶部就是 GeoIP/Geosite 更新地址，内置 Loyalsoldier、MetaCubeX 等源，开自动更新模式让它定期拉新数据；官方源慢就换 gh-proxy 或 CDN 源。

界面上的 FAQ 子标签是干嘛的？ 插件自带的帮助页，里面是 DNS 常见问题（Chrome 内置 DNS 会干扰解析、Windows/Mac 清 DNS 缓存命令）和"隐藏主菜单"入口——想从 LuCI 菜单里隐藏 PassWall 2 入口的，FAQ 页里有现成链接。

和 OpenClash、Hello World 的对比

OpenWrt 三大代理插件，选型常被问到，三者核心和分流思路完全不同：

个人取舍：想要策略组级别的精细分流选 OpenClash，一个域名想走哪条线路都能精确指定；想要"配好规则挂节点"的清爽体验选 PassWall 2，内置的 Steam/CN 规则组开箱即用，我日常只维护一组订阅和两三条自定义规则；之前一直用 SSR Plus+ 且没遇到问题，换 Hello World 就行（详见本站 Hello World 介绍和使用指南）。迁移成本也要算进去：配置、规则、习惯都绑在现有插件上，没有明确痛点就不折腾。