前言 Link to heading
本文是為2026年8月17日之香港Linux用家聚會準備的講稿。據說上台分享可獲得一部NanoKVM 💵
我用OpenWrt已超過3年，對其可玩性及穩定性非常滿意。
以下我將分享一些OpenWrt的有趣玩法，希望能引起各位的興趣。
OpenWrt是甚麼？ Link to heading
OpenWrt是一款開源、以Linux為基礎的路由器韌體，適配不少硬件，如各大廠商的Wi-Fi路由器、ARM單板電腦，甚至x86軟路由機。
此OS已有22年歷史，於世界各地都有用戶，尤其在中國大陸（作為翻牆神器）。其生態圈用戶眾多，代碼貢獻頻繁，甚至衍生出一些商用產品（如GL.iNet的部分路由器，韌體是基於OpenWrt製成，其硬件亦非常適合OpenWrt）。
為甚麼要用OpenWrt？ Link to heading
- 長期且穩定的韌體更新：市面上的路由器韌體更新週期有限，而OpenWrt長期有更新，可確保韌體安全性
- 玩法眾多：VLAN/Docker/WireGuard/Wi-Fi mesh，Linux大部分玩法都可以在OpenWrt上實現
- 社群大，容易找到教學：因用戶分佈於海外及中國大陸，所以可以輕鬆找到大量教學（中英文都有），容易入手
其實路由器韌體不只有OpenWrt一家：FreeBSD陣營亦有pfSense及OPNsense可用。不過這兩個OS不支援主流Wi-Fi路由器。
我認為這兩個OS比較適合商用，家用的話我還是推薦OpenWrt：單靠一部OpenWrt機就可以滿足小型Homelab絕大部分網絡需要。
硬件選擇 Link to heading
你可以去OpenWrt Firmware Selector網站找找你現有Wi-Fi路由器的型號，如果找得到，那你今晚就可以回家試試安裝 😏
如你沒有適配的路由器，我建議買GL-MT6000（Flint 2，現時淘寶價約1000人民幣）。此型號近年於OpenWrt社群頗受推薦（我自己有兩部），硬件性能不錯（聯發科四核SoC，1GB RAM），6個網絡端口應可滿足絕大部分家用需要。
如你有閒置的X86迷你電腦，你可以用它安裝OpenWrt，然後將你現有的Wi-Fi路由器設置為橋接/AP模式使用。
我非常不建議用只有一個網絡端口的機種（如Raspberry Pi）去安裝OpenWrt。
此外，我強烈建議不要將路由器韌體（包括OpenWrt/pfSense等）安裝在虛擬機上：作為家中科技管理者，有責任保持網絡穩定。
OpenWrt One: 由OpenWrt開發者設計之硬件
玩法分享 Link to heading
VLAN/防火牆 Link to heading
如你家中有IoT設備（如各類CCTV及智能家居設備），又或者你會在家架設網站，那OpenWrt就非常適合你。
無需額外買Smart/Managed Switch，單靠一部運行OpenWrt的路由器就可實現VLAN功能，將有風險的電子設備隔離開，可大大減低黑客入侵或硬件後門所產生的風險。
我個人用法是將CCTV分隔至一個不能接觸互聯網的VLAN，但容許家中其他電腦接觸此CCTV：由我的群暉NAS主動連接CCTV並錄下影像。
另外，我正打算自己架設FoundryVTT（一個電子版桌遊輔助軟件，用來玩龍與地下城），要透過Port Forward讓我的群友可以直接連接。用VLAN將它分隔開，即使被黑客入侵都不會有重大損失。
Site-to-Site VPN （WireGuard） Link to heading
如果你於兩個地方各有一部OpenWrt機，那你就可以建立所謂Site-to-Site VPN，使兩地設備可無縫連接，無需做任何Port Forwarding。
（VPN我選擇用WireGuard，它比OpenVPN性能好，此外設定簡單，適合新手使用）
我兩個地方各有一部NAS，透過Site-to-Site VPN每日做備份傳輸及CCTV影像傳輸。
Policy-Based Routing (PBR) Link to heading
請讀我寫的PBR教學。TL;DR：將家中前往特定網站（如OpenAI及Claude）的請求分流至VPN，其他請求則正常走ISP。
此工具再配合Tailscale的Subnet Router及App Connectors功能，即使用手機流動數據上網，也能做到特定網站分流。
（其實翻牆工具，如sing-box及Xray等，亦支援相同玩法，亦有手機程式支援，但我不懂寫它們的設定檔，所以放棄了💩）
DNS層防廣告 Link to heading
你可能聽過PiHole或AdGuard Home，但你可能不知道OpenWrt都支援類似功能。
透過adblock-fast插件，可實現DNS層防廣告。你亦可自行加入想封鎖的網站。
這樣全家所有手機不用安裝任何軟件，只要連上Wi-Fi，就能隔絕如LIHKG上的廣告。
如你手機用Tailscale/WireGuard，可設定用OpenWrt做DNS server，如此用手機流動數據時都可隔絕廣告。
YouTube的廣告非DNS層，所以只能靠瀏覽器的防廣告插件。
此處強烈推薦Firefox + uBlock Origin組合去防YouTube的廣告。
NGINX + ACME + DDNS Link to heading
如你有Homelab，你可能想用域名（而非IP）去連接家中的服務。我購買了一個域名，並配合以下工具達成此效果：
DDNS：用DDNS去更新Cloudflare上我域名的DNS記錄，即使路由器對外IP改變，都能用同一域名連結家中服務。
ACME：用acme.sh去定時獲得免費的Let’s Encrypt SSL憑證，藉此保證家中服務都可用HTTPS（某些瀏覽器功能，如Service Workers，只能透過有效SSL憑證才能使用）
NGINX：用NGINX作為我Homelab所有服務的單一入口（即Reverse Proxy），同時處理HTTPS連接。
<自定名字>.duckdns.org），然後配合以上三個工具使用。Linux Containers (LXC) Link to heading
有時你會發現OpenWrt插件庫沒有你想要的特定程式，這時可以用LXC去解決：
LXC與Docker都是Container技術，但LXC不綁定單一軟件，你可以在一個LXC容器內安裝多個軟件，可理解為輕量版虛擬機。
我在一個AlmaLinux容器內安裝了Uptime Kuma，藉此監控家中伺服器是否正常運行，有問題就發Discord訊息通知我。
其他玩法 Link to heading
DNS-over-HTTPS：將DNS請求以HTTPS形式包裝及加密，使ISP無法騎劫你的DNS請求
Postfix (+Gmail)：Postfix是一個SMTP服務，透過Gmail轉寄服務，Homelab服務就可藉此發送真實電郵，無需付費或額外管理電郵伺服器
大屋Wi-Fi全覆蓋：OpenWrt支援802.11s Mesh Networking及802.11k/v/r Fast Roaming，你可用多部OpenWrt路由器覆蓋家中不同角落
結語 Link to heading
其實我曾打算分享Proxmox，不過Homelab這興趣還是太小眾了，OpenWrt至少人人都能找到用處（長久的更新已是一大賣點）。
希望本次分享可引起你對OpenWrt的興趣！
資源 Link to heading
HKEPC論壇，此外內地如Chiphell/V2EX等網站都有相關討論