在现代家庭和小型企业网络中,OpenWrt作为一款高度可定制的开源固件，已经成为路由器用户的首选平台，它不仅支持丰富的功能扩展，还为高级用户提供了灵活的网络控制能力。“VPN分流”（也称“智能路由”或“策略路由”）是OpenWrt最实用的功能之一——它允许你只将特定流量通过VPN隧道传输，而其他流量则直接走本地宽带，从而兼顾性能、隐私和成本。
什么是VPN分流？
就是让部分设备或应用的数据走加密的VPN通道，而其他流量（如本地视频流、游戏数据）则绕过VPN，直接访问互联网，你可以设置中国境内网站（如百度、腾讯）直接访问，而境外服务（如Netflix、Google）自动走VPN，这样既避免了全网流量加密带来的延迟，又能保障敏感数据的安全。
在OpenWrt中实现这一功能的核心步骤如下：
第一步：安装并配置OpenVPN或WireGuard客户端
在OpenWrt的LuCI界面中，进入“网络 > OpenVPN”或“网络 > WireGuard”，添加你的VPN服务配置文件（.ovpn 或 .conf），确保连接成功，且能正常访问外部IP地址。
第二步：创建自定义防火墙规则（iptables/ipset）
OpenWrt默认使用Netfilter框架管理流量，你需要利用ipset创建一个IP地址集合，用于标记需要走VPN的流量。
ipset create vpn_list hash:net ipset add vpn_list 8.8.8.8/32 # 添加Google DNS ipset add vpn_list 1.1.1.1/32 # 添加Cloudflare DNS
使用iptables规则将这些IP的流量导向VPN接口：
iptables -t mangle -A OUTPUT -m set --match-set vpn_list dst -j MARK --set-mark 1
第三步：配置策略路由（Policy Routing）
在/etc/config/firewall中添加策略路由规则，让标记为1的流量走VPN接口（如 tun0）：
config rule
option name 'VPN Traffic'
option src 'lan'
option dest_port '53'
option proto 'udp'
option target 'ACCEPT'
option mark '1'
在/etc/config/network中确保有正确的接口绑定（如option proto 'none'表示不自动分配IP，由VPN提供）。
第四步：验证与调试
使用tcpdump或logread查看流量走向是否正确。
tcpdump -i tun0 -n # 查看VPN接口流量 logread | grep "mark" # 检查防火墙日志
如果发现某些应用仍走本地网络,可以进一步细化目标IP列表（如添加具体域名的解析IP）。
进阶技巧：结合DNS分流
为了更精准地控制流量，建议启用DNS分流，在OpenWrt中使用dnsmasq的server=指令指定国内DNS（如114.114.114.114），而将境外域名交由VPN提供的DNS处理，这能避免因DNS泄露导致的IP暴露问题。
OpenWrt的VPN分流功能，本质是将网络层的灵活性发挥到极致，通过合理的IP集、防火墙标记和策略路由组合，你可以实现“按需加密”，既节省带宽成本，又提升隐私安全，对于经常跨国办公、远程访问内网资源或需要规避地域限制的用户而言，这无疑是最佳实践方案，掌握这项技术，意味着你真正掌控了自己的网络边界。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
