主题外观
OpenWrt 软路由客户端选型与避坑：OpenClash、Nikki、PassWall2 与 nftables 防火墙依赖
●直接结论
适用范围: OpenWrt 21.02 ~ 24.10+ / ImmortalWrt · 硬件平台: x86_64 / ARM64 (R2S/R4S/R5S) / MIPS在 OpenWrt 软路由上部署代理工具，绝对不能像在 Windows 上一样随意下载安装，必须严格按照当前固件的「底层防火墙架构」与「系统内核版本」进行选型：老牌或基于旧版二次封装的固件（OpenWrt 21/22/23 及 iStoreOS），首选功能生态最为成熟的 OpenClash 或支持多核心的 PassWall2；而全新官方固件（OpenWrt 24.10 及以上），底层已彻底废弃 iptables 并转向原生 nftables，此时强烈推荐专为 nftables 编写的极轻量插件 Nikki，严禁在旧固件上跨代强刷 Nikki！
1. 软路由防火墙架构革命：iptables 到 nftables 的根本断代
理解 2026 年软路由插件选型的关键，在于理解 Linux 内核网络子系统从传统的 iptables 转向现代 nftables 的历史进程：
[OpenWrt 固件版本分水岭与防火墙对应关系]
│
┌─────────────┴─────────────┐
▼ ▼
[OpenWrt 21.02 ~ 23.05] [OpenWrt 24.10 及未来版本]
- 底层主用 iptables/fw3 - 彻底弃用旧架构，原生接入 nftables/fw4
- 规则链相对冗长，性能开销大 - 原生支持单套规则表、高并发性能极强
- 代表插件: OpenClash, - 代表插件: Nikki, HomeProxy
PassWall2 (传统模式) (严禁依赖老旧 iptables 扩展模块)为什么跨代强行安装会导致路由器断网瘫痪？
- 像 Nikki 这样的现代插件，其内部启动脚本直接调用
nft命令向 nftables 的inet fw4表中注入透明代理与端口重定向规则。 - 如果用户在运行着 iptables 的旧版固件上强行通过
opkg install luci-app-nikki.ipk，不仅插件无法启动，还可能导致路由器的防火墙服务在初始化时直接报错崩溃，进而导致局域网所有设备彻底断网！
2. 四大主流软路由插件深度对比矩阵
+------------------+-----------------------+-----------------------+-----------------------+-----------------------+
| 评测维度 | OpenClash | Nikki (原名 ShellCrash)| PassWall2 | HomeProxy |
+------------------+-----------------------+-----------------------+-----------------------+-----------------------+
| 适用的固件版本 | OpenWrt 19.07 ~ 23.05+| OpenWrt 24.10+ (强制) | OpenWrt 21.02 ~ 23.05+| ImmortalWrt 23.05+ |
| 底层代理核心 | Mihomo (Clash Meta) | Mihomo (Clash Meta) | Xray-core / sing-box | sing-box 原生核心 |
| 底层防火墙依赖 | iptables / fw3 | 原生 nftables / fw4 | iptables / fw3 & fw4 | 原生 nftables |
| 空闲内存与CPU | 较高 (建议 512MB+) | 极低 (轻量高效) | 中等 (约 256MB) | 极低 (无冗余脚本) |
| 规则与分流灵活性 | ★★★★★ (最强规则引擎) | ★★★★☆ (原生策略组) | ★★★★★ (灵活黑白名单) | ★★★★☆ (SRS 二进制规则)|
| 新手配置友好度 | ★★★☆☆ (参数庞大需学习)| ★★★★☆ (简洁轻快) | ★★★☆☆ (分流配置复杂) | ★★★★☆ (极简主义) |
+------------------+-----------------------+-----------------------+-----------------------+-----------------------+3. 软路由安装前硬件与环境自检树
在执行任何安装操作之前，请务必通过 SSH 连接软路由后台，依次执行以下自检：
第 1 步：查验当前 CPU 架构
运行命令 `uname -m`。x86_64（工控机/小主机）下载 x86_64 构架核心；aarch64（友善 R2S/R4S/R5S、树莓派）下载 aarch64 核心；老旧路由器（如斐讯 K2P、红米 AC2100）若为 mips 或 mipsel，极不建议跑复杂的全局代理。
成功标志:
第 2 步：核对固件版本与防火墙机制
运行命令 `cat /etc/openwrt_release` 查看固件主版本。若版本号以 `24.10` 开头，请直接选用 Nikki 或 HomeProxy；若版本号为 `23.05`、`22.03` 或 `iStoreOS`，首选 OpenClash。
成功标志:
第 3 步：确认 /overlay 空间足够（避免变砖）
运行命令 `df -h /overlay`。因为解压后的 Mihomo 核心体积通常在 25MB ~ 35MB 之间，如果可用空间低于 40MB，强行解压将导致闪存写满，系统重启后配置文件无法写入而变砖！空间不足时必须先通过 U 盘进行根目录扩容。
成功标志:
第 4 步：预先更新依赖并备份配置
在 LuCI 网页后台「系统」->「备份/升级」中下载当前配置备份文件。随后在终端执行 `opkg update && opkg install luci-compat dnsmasq-full ca-bundle`。
成功标志:
4. 常见软路由排障自救方案
故障现象：安装插件并启动后，路由器后台网页打不开
- 排查原因：代理插件启用了 Fake-IP 模式并劫持了
198.18.0.0/16网段，与路由器原有的 dnsmasq 本地监听冲突，导致局域网无法解析路由器的管理后台域名。 - 应急救砖：
- 电脑网线直连软路由 LAN 口，手动将电脑的 IPv4 地址设置为固定静态 IP（如
192.168.1.100，网关为192.168.1.1）； - 使用 PuTTY 或终端 SSH 登录
192.168.1.1； - 执行
/etc/init.d/openclash stop（或对应插件名称），路由器立即恢复正常网络； - 检查插件设置中的「本地 DNS 劫持方式」，改用 Redir-Host 或调整 DNS 监听端口为
7874。
- 电脑网线直连软路由 LAN 口，手动将电脑的 IPv4 地址设置为固定静态 IP（如