在多成员家庭、工作室乃至中小企业的出海网络协同中，逐个在每台PC、手机、平板和电视盒子上安装客户端并配置订阅，不仅维护成本极其高昂，而且极其容易因为个别设备操作失误引发IP泄露与访问异常。将代理与智能分流能力直接下沉到网络边缘入口——即软路由网关层与移动系统底层内核，是实现“全屋内网设备即插即用、无感智能科学上网”的终极解决方案。本指南将系统化解析基于OpenWrt系统的PassWall分流规则，以及针对安卓移动终端的BoxMagisk透明网关落地实践。
传统应用层代理与内核级透明网关（TPROXY）架构对比
理解透明代理的威力，首先需要厘清其与传统HTTP/SOCKS5代理的本质差别：
| 代理架构模式 | 数据劫持层级 | 客户端感知程度 | 协议兼容广度 | 维护复杂度 |
|---|---|---|---|---|
| 传统应用代理 (HTTP/Socks5) | 七层应用层 (需软件适配) | 强感知（需在各App内手动设代理） | 较窄（不支持游戏UDP、ICMP Ping） | 高（每台设备逐一调试维护） |
| 系统级TUN虚拟网卡 | 三层网络层 (IP包接管) | 中等感知（需客户端常驻后台进程） | 良好（支持大多数TCP/UDP） | 中等（依赖单机客户端进程常驻） |
| 软路由内核TPROXY透明网关 | Linux Netfilter内核链 (PREROUTING) | 零感知（接入Wi-Fi或网线即生效） | 全协议兼容（TCP/UDP/DNS全覆盖） | 极低（网关统一集中管理） |
在Linux内核支持的TPROXY（Transparent Proxy）模式下，数据包在到达软路由网卡的PREROUTING网络钩子时，被iptables或nftables规则匹配，并在不修改原始源IP与目标IP报头的前提下直接透明重定向至本地代理核心。这意味着内网的所有智能家居、游戏主机（PS5/Switch）以及办公电脑完全无须安装任何代理软件，即可自动享有肥猫云机场的BGP高速专线加速。
OpenWrt PassWall生产级分流策略与ChinaDNS-NG防污染体系
在OpenWrt平台上，PassWall以其模块化设计和极致性能著称。一套合格的生产级PassWall配置，必须妥善处理好“国内直连”、“海外加速”以及“DNS解析防投毒”三者之间的协同关系：
# PassWall 底层 TPROXY 流量劫持与策略路由示例
ip rule add fwmark 1 lookup 100
ip route add local 0.0.0.0/0 dev lo table 100
# 创建防火墙 mangle 链并标记境外 TCP/UDP 流量
iptables -t mangle -N PASSWALL_TPROXY
iptables -t mangle -A PASSWALL_TPROXY -d 0.0.0.0/8 -j RETURN
iptables -t mangle -A PASSWALL_TPROXY -d 10.0.0.0/8 -j RETURN
iptables -t mangle -A PASSWALL_TPROXY -d 127.0.0.0/8 -j RETURN
iptables -t mangle -A PASSWALL_TPROXY -d 192.168.0.0/16 -j RETURN
# 绕过中国大陆大陆IP段 (由 chnroute 自动更新维护)
iptables -t mangle -A PASSWALL_TPROXY -m set --match-set chnroute dst -j RETURN
# 其余境外流量重定向至肥猫云机场核心监听端口 (默认 1041)
iptables -t mangle -A PASSWALL_TPROXY -p tcp -j TPROXY --on-port 1041 --tproxy-mark 1
iptables -t mangle -A PASSWALL_TPROXY -p udp -j TPROXY --on-port 1041 --tproxy-mark 1
iptables -t mangle -A PREROUTING -j PASSWALL_TPROXY
在DNS层面，必须开启ChinaDNS-NG或者MosDNS组件。本地运营商DNS仅负责解析国内白名单域名，而海外域名的DNS查询全部通过TLS加密通道（DoH）强制穿透肥猫云香港或日本专线在远端进行递归查询。这一设计从根源上斩断了运营商劫持的可能性，且彻底杜绝了国内访问慢、海外加载超时的尴尬局面。
移动端深度定制：BoxMagisk模块打造内核级便携网关
对于经常需要野外测试、外贸出差或需要深度管控Android终端网络指纹的工程师，利用Root权限运行BoxMagisk模块是当前最前沿的玩法。传统的VPN代理软件在Android系统上会显示醒目的“钥匙”图标，并且容易在息屏或省电模式下被厂商ROM的杀后台机制清除。
BoxMagisk将Sing-box或Xray核心直接编译进Magisk/KernelSU模块中，并在系统开机自启阶段直接注入iptables控制链。配合肥猫云机场的高隐匿美区住宅IP节点，Android设备在运行TikTok、海外银行App或Instagram时，系统底层网络栈完全被伪装为北美本地宽带，彻底规避了系统检测到VpnService激活而产生的封禁策略。
肥猫云不限并发特性对网关拓扑的天然契合
搭建软路由透明网关时，最令网络管理员头疼的莫过于“连接数超标导致封禁订阅”。市面上很多机场严苛限制“单订阅仅允许2至3台设备在线”，一旦软路由挂载了公司数十台电脑，瞬间就会触发并发风控熔断。
肥猫云机场在架构层面全面推行不限并发连接政策，无论是个人部署的全屋几十台智能IoT设备、客厅4K电视，还是企业局域网内数百台工作站同时调用API，单订阅均能从容承载。千兆骨干带宽让软路由成为真正全天候无感通达全球的信息枢纽。
关于肥猫云底层专线与抗审查协议的深入实测，可参考：现代抗审查跨境网络架构深度实战：从广日BGP物理直连到Hysteria2协议剖析。
常见问题解答（FAQ）
-d 192.168.0.0/16 -j RETURN，所有局域网内部网段通信在路由查找的最早期便直接通过二层交换机或硬件网卡原生转发，完全不经过代理核心进程，内网千兆拷贝速度维持在115MB/s满速。
开启企业级全屋无感透明漫游
千兆专线支持PassWall、OpenClash与BoxMagisk，不限并发，全屋设备一键通达全球。