一、这个问题为什么最近又被顶上来
8月中旬爱快圈出了场不大不小的安全风波，DNS异常、断网、重启集中爆发了一轮。哔哩哔哩事件本身的过程和版本应对，站内这几天已经聊得很多，这篇不展开。但有个连锁反应值得单独说：风波之后，知乎那个老问题——“为啥软路由大多都是爱快加OpenWrt的组合，单OpenWrt有什么缺点”——浏览量已经悄悄到了160万以上。知乎8月还有人在底下持续补充新答案。知乎
问题背后其实是同一批人的同一个纠结：爱快当主路由确实省心，可视化、拨号、流控、多线负载均衡，开箱就能用；但它是闭源系统，插件生态基本别想，去广告、扩展玩法这类需求它接不住。而OpenWrt恰好反过来：生态是真的富，直接当主路由对大多数人又是真的难伺候。
于是圈子里折腾了这么多年，最后沉淀下来八个字：爱快负责稳，旁路由负责灵。今天这篇就把这套分工的逻辑、适合谁、怎么以最小代价上车、以及最容易翻车的几个坑，一次讲清楚。
二、为什么是"主+旁"，而不是二选一
先看两边各自的长短板，这是社区用无数次翻车换来的共识：
爱快的长处在主路由本职。 有工程师在专栏里给它下过一个很传神的定义：iKuai是"卖力干活的保姆"——拨号、DHCP、流控、多宽带叠加、AP管理，这些脏活累活它干得稳，而且全程图形界面，新手也不怵。知乎这也是为什么小红书、B站上教工作室和家用组网的内容，主路由位置十有八九站着爱快。
OpenWrt系的长处是"应用中心"。 同一位工程师给iStoreOS（国内主流的OpenWrt发行版）的定位是挂在爱快旁边的"应用中心"：通过应用商店扩展网络功能，去广告、插件、各种自定义策略，都放在它身上。知乎
关键在于，这两者不是竞争关系，是风险隔离关系。旁路由以"单臂"方式挂在内网里——只有一根线（或一根虚拟网线）接进LAN，自己不负责拨号、不负责全家DHCP。这个结构带来一个很实在的好处，可以叫它"爆炸半径"：
你在旁路由上装插件、改配置，折腾崩了，影响范围默认只有走了旁路由的那几台设备。把设备网关改回主路由，网立刻恢复，主路由和爱快那边的配置毫发无损；
反过来，主路由只干拨号和转发这些最保守的活，不装任何第三方插件，被折腾坏的概率也降到最低。小红书
一句话：把"爱折腾的部分"和"不能断的部分"物理分开，谁出问题都不连累谁。 这也是为什么那篇工程师教程里反复强调一个操作纪律——“局部试点”：每次在旁路由装新插件或改大配置，先拿一台设备手动指定网关去试，稳了再考虑全局铺开。教程原话说得很直白：这种"局部试点"的思维，是保证家庭AIO系统"不被老婆投诉"的核心。知乎
三、先做判断题：你该不该加旁路由
不是所有爱快用户都需要旁路由，先对照一下。
适合加的三类人：
已经用爱快做主路由，明确想要去广告、上网管控、插件扩展这类功能，但又不愿意把主路由换成OpenWrt的；
家里本来就有闲置小主机、旧盒子、NAS或者PVE虚拟化环境，加一个旁路由几乎零成本；
全家网络"断不起"，需要任何折腾都保留一键回退路径的。
不适合的三类人：
需求就是稳定上网，连"我要装什么插件"都答不上来——那消费级硬路由就够了，别为了折腾而折腾；
家里只有一台网络设备，也不打算添置或虚拟化。旁路由再便宜也得是个独立设备（或虚拟机），没有载体无从谈起；
完全不想学任何回退操作的人。旁路由架构的安心感来自"你知道怎么退回去"，不愿学这一步，收益就没了。
四、系统怎么选：三条路线，先排除一条
第一条：iStoreOS（多数人的答案）。 它是国内主流的OpenWrt发行版，核心价值是把装插件变成"手机应用商店"体验，缺什么装什么，不用碰命令行和依赖关系。知乎如果你的目标是"稳定上网、方便全家、别出乱子"，这是效率最高的选择。
第二条：官方OpenWrt。 适合想借机学Linux网络底层、要原汁原味的人。普通家庭用户没必要，装包依赖能劝退大部分人。
第三条：群里流传的"大集成"全家桶固件——直接排除。 工程师专栏里专门点过这个坑：预装上百个插件的固件，一是插件普遍过旧、不少已停止维护，本身就是安全隐患；二是多插件同时跑无谓吃CPU，严重的还会造成网络环路。知乎从纯净版起步、按需装插件，才是正道。
硬件上也不用焦虑。旁路由对性能要求很低，社区里流传的极限玩法是五十块收个二手盒子刷OpenWrt当旁路由，照样干活。想省心一点，可以查iStoreOS官方维护的支持设备清单，很多非x86小主机都在列。知乎家里已有PVE的，直接开虚拟机更省事，记得给虚拟机开host模式，让CPU的AES-NI指令集参与加密加速，性能提升很明显。
五、三个最容易翻车的坑
坑都是社区里反复出现的，按翻车频率排：
坑一：忘了给旁路由自己配网关和DNS。 旁路由只有一根线接内网，它自己上网要去找谁，得你手动告诉它——LAN接口的网关和DNS都要指向主路由。知乎忘了这一步，旁路由自己都出不去网，后面全白搭。
坑二：防火墙和转发设置没处理。 旁路由要顺畅地转发流量，OpenWrt侧的防火墙规则要配到位，这也是教程里单独列出来的一步。知乎跳过它容易出现"设备连上了但流量不走旁路由"的玄学现象。
坑三：跳过试点直接全局接管。 最常见的冲动是配好当天就把爱快DHCP下发的网关直接指向旁路由，全家设备一把梭。这时旁路由就成了全网咽喉，它一宕机全家断网。正确顺序是：先单台设备手动指网关试点→稳定运行几天→再把信任范围扩大；全局接管之后，也要记得回退方法就是把爱快DHCP里的网关改回来，一分钟的事，但得提前知道自己会。
六、最后说两句
这套"主+旁"架构在圈子里流行这么多年，不是没有道理的：它本质上是一份折腾保险——用一台几十块到几百块的旁路设备，把兴趣需求和生存需求分开存放。知乎尤其最近这轮风波之后，不少人才意识到，把所有功能押在一套闭源系统上，等于把全家网络的开关交给了别人的更新节奏。
当然也提醒一句：旁路由不是越多越好，网络里每多一跳就多一个故障点。如果你的需求三言两语说不清，那就让它先空着——爱快主路由本分地干活，本身就已经赢过大多数家庭网络了。
值得继续盯的信号：iStoreOS的设备支持列表更新、爱快4.0后续版本对虚拟化和Docker生态的补强（官方已经在4.0开放了CLI并支持AI Agent操作），这些都可能改变"要不要加旁路由"的答案。哔哩哔哩有变化再聊。
