基础配置：接口、无线、防火墙、DHCP

刷好 OpenWrt 之后，这一篇带你把 LuCI 网页界面的四大件走一遍：接口（上网与内网）、无线（Wi-Fi）、防火墙（安全边界）、DHCP（地址分配）。走完这篇，你的 OpenWrt 就是一台「能正式上岗的主路由」了。界面术语以当前稳定版 LuCI 实际显示与 OpenWrt 中文文档 为准，不同版本措辞略有差异。

LuCI 的地图感

登录 LuCI（默认 192.168.1.1，默认值），顶部两级结构记住这个对应关系：

菜单 对应文件 管什么
网络 → 接口 network WAN/LAN、拨号、DNS
网络 → 无线 wireless SSID、信道、加密
网络 → 防火墙 firewall 区域、转发、端口映射
网络 → DHCP/DNS dhcp 地址池、静态分配、DNS 转发
系统 system 密码、时间、备份

OpenWrt 的所有配置本质是 /etc/config/ 下的文本文件，LuCI 只是图形前端。养成「改完界面看一眼对应文件」的习惯，排障时会感谢自己。

接口：让 WAN 通、LAN 稳

WAN 口：网络 → 接口 → wan → 编辑。接入方式按你家环境选：光猫改桥接后是 PPPoE（填宽带账号密码，注意账号大小写）；光猫未桥接则是 DHCP 客户端。PPPoE 高级选项里可开「按需连接：否」，保证 24 小时在线；若运营商动态 IP 频繁变化，配合 DDNS 使用（见本书 DDNS 篇）。

LAN 口：网络 → 接口 → lan。两件事必做：

  1. 改网段：默认 192.168.1.1 极易与光猫或旧路由冲突，建议改成 192.168.10.1 这类不撞车的网段，改完自己重新用新地址访问；
  2. 静态分配：网络 → DHCP/DNS → 静态地址租约，把 NAS、软路由的 MAC 绑定固定 IP——正是第一章拓扑规划里那张表的落地动作。

无线：稳定优先的三个设置

网络 → 无线 → 对应射频 → 编辑。给三条务实的建议，不追求参数极致，只求不踩坑：

  • 信道：2.4G 用 1/6/11 三选一（避开邻居干扰，别用自动以外的重叠信道），5G 选 DFS 雷达检测较轻的信道；功率不必拉满，过高反而互相干扰；
  • 模式与加密：模式保持默认（802.11ax 支持的设备与固件会自动协商），加密用 WPA2/WPA3 混合，密码独立于管理密码；
  • 双频合一：OpenWrt 下 2.4G 与 5G 可设同名 SSID，多数终端会自动择优；老设备连 2.4G 出问题的，拆成两个名字手动指定更省心。

改完记得「保存并应用」，LuCI 右下角有未应用更改的计数，应用后无线会短暂重连。

防火墙：理解「区域」就够了

OpenWrt 防火墙的核心是区域（Zone）：lan 区域（内网，默认可自由出站）与 wan 区域（外网，默认拒绝一切入站）。默认策略已经是安全的：内网可以上网，外网进不来。

你需要动手的通常只有两种情况：

端口映射（给外网开一扇门）：网络 → 防火墙 → 端口转发。例如把公网 51820/UDP 转到 NAS 的 51820，供 WireGuard 使用（见本书组网篇）：

名称: nas-wireguard
协议: UDP
外部区域: wan   外部端口: 51820
内部区域: lan   内部 IP: 192.168.10.10（NAS 的静态 IP）
内部端口: 51820

访客网络（给外人开隔离区）：新建一个 guest 接口挂在独立网段（如 192.168.9.1），防火墙里 guest → wan 允许转发、guest → lan 拒绝，访客就能上网但摸不到你家的 NAS。这是家庭网络里最有价值的一条安全设计。

原则性提醒：不要在 wan 区域放行管理界面，远程管理需求交给组网 VPN 解决（Tailscale 篇），而不是把 LuCI 暴露公网。

DHCP：一山不容二虎

网络 → DHCP/DNS 页管地址池。默认 LAN 上启用 DHCP，池大小、租期按需调整。最重要的还是那句铁律：全屋只留一个 DHCP 服务器。如果你家主路由是 OpenWrt、光猫路由模式又开着 DHCP，请把光猫的 DHCP 关掉或彻底桥接；后面旁路由篇还会强调，旁路由必须关闭自己的 DHCP。

DNS 部分：默认 OpenWrt 向上游（运营商或你指定的 DNS）转发并缓存。想全家 DNS 干净些的玩家，会把 AdGuard Home 等服务挂在这条链路上（插件篇展开）。

配置文件的真实面目

LuCI 的每个页面背后都是 /etc/config/ 下的一个文本文件。以防火墙的端口转发为例，你在界面填的那些字段，落到文件里是这样（节选自 config/firewall）：

config redirect
        option name 'nas-wireguard'
        option target 'DNAT'
        option src 'wan'
        option dest 'lan'
        option proto 'udp'
        option src_dport '51820'
        option dest_ip '192.168.10.10'
        option dest_port '51820'

SSH 登录后可以直接编辑（vi /etc/config/firewall），保存后执行 /etc/init.d/firewall restart 让规则生效——等价于界面上的「保存并应用」。理解这层对应关系有三个好处：批量修改更快（脚本化）、排障时能看懂社区给的建议配置、备份/迁移配置时心里有底。

想系统学习配置语法，官方 Wiki 的配置参考页与 中文文档 是权威来源；常用命令的用法记不住没关系，uci show network 这类只读查看命令先熟起来，看懂系统当前状态是一切修改的前提。

日常维护的四条 SSH 命令

配置之外，SSH 里还有几条高频运维命令值得记住：

logread | tail -50        # 看系统日志最近 50 行（排障第一入口）
opkg list-installed       # 列出已装软件包（盘点系统）
uptime && free -m         # 运行时长与内存占用
ping -c 4 223.5.5.5       # 出网连通性测试

路由器「莫名卡」或「间歇断网」时，先看 logread 里的报错，再对照时间点回忆操作——大多数网络问题的线索都在日志里写着，LuCI 的「状态 → 系统日志」页也能看到同样内容。

升级固件的正确姿势

系统跑稳之后的第一次版本升级，流程比刷机温和得多：

  1. 下载当前系列的最新 sysupgrade 镜像并校验；
  2. LuCI → 系统 → 备份/升级 → 刷写固件，勾选「保留配置」（同系列小版本升级适用）；
  3. 等待自动重启，逐项检查网络、无线、端口映射是否健在。

两点纪律：跨大版本升级（如 24.10 → 25.12）配置格式可能变化，官方建议先导出配置备份、升级后核对关键配置，包管理器变更（opkg → apk）尤其要注意已装软件包需要重装；升级前永远先看 Release Notes——与群晖 DSM 的教训同理，发行注记里写着「谁被移除了」。

新手常见误区

  • 「无线改完没生效，疯狂重启设备。」 LuCI 的「保存并应用」有两步：先保存到待应用列表，再统一应用。没点应用当然不生效。
  • 「防火墙添加规则全是『允许』。」 每一条放行都是暴露面，规则从「默认拒绝」出发逐条加，加完在防火墙页查看流量计数确认它真的被用到。
  • 「LAN 网段不改，反正能上网。」 网段冲突的症状是「时通时不通」，排查起来比改网段痛苦十倍。装好第一天就改。
  • 「端口转发只写了个内部端口，外网还是不通。」 完整链路是：外部区域/端口 + 内部 IP/端口四要素齐全，且内部 IP 必须是已做静态分配的地址，漏一环都不通。

四大件配齐，OpenWrt 已经是一台合格的主路由。下一篇看点好玩的：插件生态——去广告、多拨、按设备限速都在这。

本章由 WorkBuddy 原创整理，关键参数以官方文档为准。