如果你最近半年刷过家庭组网的内容，大概率见过这样一套组合：一台硬路由做主路由负责拨号和全屋网络，一台小主机或 NAS 里的虚拟机做旁路由，负责 DNS、去广告这些"高级功能"。B站上一条讲 N1 盒子刷 iStoreOS、配置旁路由的教程跑出了 3.4 万播放、1700 多收藏。哔哩哔哩
而在这波"主路由 + 旁路由"的热潮里，出镜率特别高的一个组合，是 MikroTik（ROS）当主路由、OpenWrt/iStoreOS 当旁路由。小红书 7 月一篇被收了 20 多次的组网帖就是标准模板：RB5009 跑 ROS 做主路由，负责 PPPoE 拨号和主网关，NanoPi R4S 跑 iStoreOS 做旁路由，负责分流和网络访问优化。小红书
这套组合为什么成立？你家的情况适不适合跟？旁路由挂了全家会不会断网？今天把这三个问题一次讲清楚。
一、为什么是"ROS 管稳定，旁路由管折腾"
先看一张以 MikroTik 为主路由的真实家庭网络结构——光猫桥接，ROS 主路由拨号，交换机下挂 NAS、AP、监控，VLAN 各归各位：
这套"主路由 + 旁路由"的本质，用一句话概括就是：把"绝对不能挂的"和"想经常折腾的"分开。
ROS 当主路由，干的是 PPPoE 拨号、NAT、DHCP、防火墙、限速这些活，这是 MikroTik 的主场——开机跑一年不重启是常态，FastTrack 转发加速一开，千兆宽带轻松跑满。那篇拓扑帖的评论区里有句话把这层意思说得特别透：这和不想 All in One 结果 All in boom 是一个道理，主路由的性能终究是有限的，让它专心负责拨号和基础路由就行了。小红书
旁路由干的则是另一类活：DNS 优化、去广告、分流、各种需要频繁更新的功能插件。这块是 OpenWrt/iStoreOS 的主场——插件生态现成，固件有人维护，出了问题重刷一份镜像几分钟复活，怎么折腾都不碰主路由。
所以这套分工买的是"隔离"：旁路由挂了，主路由拨号上网不受影响；插件要升级，不用重启全家网络；家人全程无感，折腾的人随便折腾。
知乎上有个热帖叫《routeros 那么难用，爱快不好用吗》，底下吵得很热闹。但仔细看会发现一个规律：嫌 ROS 难用的，多半是把它当成"开箱即用的家电"在用；而觉得 ROS 真香的，基本都是把它当"基础设施"，把花活外包给旁路由或者容器。两种用法，完全是两种体验。
二、问题一：你到底想让旁路由干什么
这个问题没想清楚，后面全是白花钱。
如果你的需求只是 DNS 加速和去广告，那说实话，在 MikroTik 上未必要加一台设备。RouterOS 的 container 容器功能已经连续几个大版本加强，容器应用支持编辑网络接口、支持 yaml 编辑、支持 Swap 分区。哔哩哔哩从 7.21 版本开始，容器里还加了一个类似应用商店的 /app 入口，用来安装简单的容器化应用。哔哩哔哩社区里"ROS 容器跑 AdGuard Home 去广告"早就有现成教程，RB5009 这种 1GB 内存的机器跑个 DNS 去广告服务绰绰有余。
但如果你的需求是下面这些，旁路由确实更合适：
依赖 OpenWrt 的插件生态和社区固件，功能更新频繁；
想频繁刷机、改配置做实验，但不想碰主路由一根手指头；
家里本来就有 NAS 或软路由在跑虚拟机，旁路由只是"顺手多开一个"。
评论区也有反对声音，而且很值得听：RB5009 就足够拨号、安全策略、出广告、分流了，何必再多个旁路由？节点越多排障越麻烦。小红书这个观点对"需求不强烈"的人完全成立——旁路由是放大器，不是必需品。
三、问题二：旁路由的机身，你家可能已经有了
决定要上旁路由之后，先别急着下单。按社区里实际在用的方案，成本从低到高排一遍：
0 元档：家里已有 NAS。 今年 B 站播放量最高的一批旁路由教程，走的几乎全是这个路线：飞牛 NAS 一键部署 iStoreOS 的教程有 3.1 万播放，绿联 NAS 的一键部署教程也有 7000 多播放。哔哩哔哩虚拟机的资源消耗也很低，1 个 vCPU、1GB 内存就够旁路由跑得很稳。知乎边际成本约等于零。
百元档：二手小盒子。 N1 这类盒子在二手市场依然活跃，便宜、低功耗、跑 OpenWrt 稳定，适合不想让旁路由和 NAS 共用一台机器、希望"互不牵连"的人。
几百元档：成品迷你主机。 比如近期社区在讨论的一台双 2.5G 口国产小主机，准系统流出价 699 元。知乎拿它做旁路由性能是过剩的，但胜在还能顺手跑别的服务。
顺序很重要：先看 0 元档行不行，再决定要不要花钱。旁路由这个环节，花钱买的主要是"隔离"和"性能余量"，不是功能本身。
四、问题三：旁路由挂了谁断网——三种接法，三种死法
这是最关键的一问，也是旁路由玩家最常见的翻车现场。有篇实践帖的开头特别真实：媳妇总是抱怨一个搞网络的，总搞得家里没网，人家不懂网络的从来没有这种情况。知乎三种接法，故障面完全不同：
接法一：只给需要的设备手动指网关（保守型）。 完全不动 DHCP，只把自己要折腾的那一两台设备的网关和 DNS 手动指到旁路由，全家其他设备无感。有旁路由实战帖专门强调：不要在主路由上把网关设成旁路由，也不要在旁路由上开 DHCP——这叫“All-in-One 旁路由”，是定时炸弹。知乎旁路由挂了，只有手动指过的那几台受影响。适合设备不超过 3 台、先试水的场景。
接法二：DHCP option 下发网关 + ROS 脚本自动切换（MikroTik 特色）。 思路是让 ROS 主路由通过 DHCP option 把旁路由的 IP 作为网关下发给全家设备，同时在 ROS 上跑一个监测脚本盯着旁路由：一旦 ping 不通，自动把网关选项切回主路由，恢复了再切回来。6 月有篇 RouterOS 实践帖就是把这套完整做出来了，下面这张就是他在 Winbox 里新增网关选项（Code=3，指向旁路由）的现场：
故障面是切换窗口那几十秒（取决于脚本监测间隔和租约刷新），换来的是全家设备不用做任何配置，适合"全家都走旁路由"的进阶玩家。原作者也叮嘱过：这套玩法禁止在生产环境直接验证，动手前先备份配置。知乎
接法三：主路由策略路由"无感分流"（进阶型）。 这是今年社区讨论最热的方向：所有设备的网关都不改，还是指向主路由；由主路由按策略路由规则，把需要处理的流量送去旁路由，处理完再送回主路由出去。这样做的好处是哪怕旁路由物理损坏，也不会导致任何的网络波动。知乎
这套方案跟 MikroTik 是绝配，因为策略路由（防火墙标记 + 路由表）本来就是 ROS 的原生能力，很多家用硬路由根本不支持——想实现无感分流，首先主路由就得有策略路由功能。知乎双路由的网段规划大概是这个样子，旁路由单独一个网段，主路由接口指过去：
故障面最小，配置难度最大：要理清网段、路由和分流规则，家里如果有 IPv6 还要额外处理。适合愿意花一个下午的进阶玩家。
三种接法对比：
接法 | 配置难度 | 旁路由挂掉的影响 | 适合谁 |
|---|---|---|---|
手动指网关 | 低 | 只有指定设备断网 | 1-3 台设备试水 |
DHCP option + 脚本 | 中 | 几十秒自动恢复 | 全家走旁路由 |
策略路由无感分流 | 高 | 基本无感 | 进阶玩家长期方案 |
另外社区 7 月底还有个新工具值得关注：有人做了跑在 Docker 里的 DHCP 管理器，除了设置地址池、网关、DNS 和租约，还能按照 MAC 地址给单个设备固定 IP、单独修改网关和 DNS。哔哩哔哩相当于把接法一做成了可视化，手机走旁路由、智能家居走主路由，各走各的。
五、几个共通的坑，提前说
旁路由不要开 DHCP。局域网里只能有一个 DHCP 服务器，开了就是全家网络抽风。
改网关记得一起改 DNS。有帖子专门踩过这个坑：有些设备只改网关不改 DNS，结果国内网站反而变慢。知乎
虚拟机跑旁路由，一定用桥接模式。NAT 模式下别的设备根本访问不到它，旁路由就"旁"了个寂寞。
给旁路由单独网段或 VLAN。出了问题好定位，也好一键摘除。
动 ROS 之前先备份。Winbox 里导出配置只要一下，改坏了能秒回滚。
配置完怎么确认流量真的走了旁路由？跑一个 tracert，看第一跳是不是旁路由的 IP 就知道了：
六、最后算一笔时间账
这套方案真正的成本不是钱，是时间。
0 元档看着香，但从没碰过 Docker 的人，第一次部署加调试搭进去一个晚上很正常；接法三威力最大，但两篇长文的作者都提醒"配置照葫芦画瓢可以，但不要全抄"。所以更稳的节奏是：先从接法一开始，手动给一台设备指网关，确认旁路由的功能你真的用得上、维护成本你能接受，再决定要不要推广到全家。
组网是为了让日子过得更舒服，不是为了成为全家的"断网责任人"。
后面值得继续关注的信号：RouterOS 的大版本更新一直很频繁，打算在主路由上跑容器、玩 DHCP option 的，升级前先看一眼版本说明里容器和 DHCP 相关的改动；社区里"ROS 上怎么做无感分流、故障切换脚本怎么写"的讨论也还在持续更新，有跑通方案的，评论区交换一下作业。
