从0开始的有线校园网部署PVE+OpenWrt软路由

省流版：

最终架构：PVE（只做虚拟化） → OpenWrt（负责认证 + NAT + DNS加密） → 物理路由器 → 全屋设备

一、为什么要装软路由

笔者在大一的时候富哥室友办了原价校园卡在东区拉了宽带，把家里卧室的米家智能家居搬了一大半，然后就遇到了专业分流…办宽带的富哥带着宽带一起去网安二号楼了。然而你交的校园网是一定要认证的，并且2.4g 设备只能连接 web，智能家居就只剩下家居了。去年冬天由于没有台灯的定时开启导致笔者被封印在被子里翘了不少早八（醒来八点半雨课堂签到怎么办还说啥摆烂）
这倒无所谓，笔者都是靠最后一个月轰轰烈烈的期末大预习的。但是三月初的一个适合上分的晚上，ow 排位多拉多推车激情燃烧至第四回合加时，当笔者终于以为要打破 elo 单排打五排的魔咒破鼎钻一之时，校园网它卡了…关键激素没给出去…我 chovy ！想从嘉园12楼进行一个王从天降毁天灭地说实话没办法谁的问题？

校园网。

那我还说啥了兄弟听说你掉新段位了，那旧的呢？
正好平时逛小红车游戏本D盘不太够用了，缺一台 NAS 。

综上所述种种原因，去咸鱼淘了配件计划装一台 All in one 服务器。

本文将不会把讨论重心放到硬件配置上，相信各位读者既然都打算折腾这个了会有最基本的动手能力。不过如果你想单纯装一台软路由（虽然不推荐这么做），需要注意的是 cpu 和内存存在性能过剩，到目前为止笔者的服务器跑 OpenWrt cpu 占用还没超过 0.5%；杂牌主板可能不会支持 VT-d / VT-x ，无法开启直通；需要至少两个网口，可以利用 pcie-1x 加装网卡；调试PVE需要键盘以及显示器。

免责声明：本文为笔者调教DeepSeek的过程总结，并且笔者是只有一点点Linux基础没有学过计网的猪b，具体个例问题请参考人工智能。

二、第一阶段：PVE 网络基础与 OpenWrt 安装

都装 All in one 了，PVE是必不可少的。（如果你想单纯装软路由可以跳过PVE安装）。装系统交由各位自行进行，不会的交由人工智能或者花钱请能工智人。

显然，目前服务器是不能直接接入墙上网口的，这时可以将你的笔记本和服务器通过网线连接。

以下操作在PVE端连接键盘和显示器执行执行。

2.1 PVE 安装后的初始网络状态

PVE 安装完成后，默认会创建一个名为 vmbr0 的 Linux 桥接接口。
查看当前网络配置：

ip a

常见输出示例：

2: enp7s0: <BROADCAST,MULTICAST> ...
3: vmbr0: <BROADCAST,MULTICAST> ...
    inet 192.168.100.2/24 scope global vmbr0

如果 vmbr0 有 IP 地址，说明安装时已配置。
如果没有，需要手动配置。

2.2 手动配置 PVE 管理 IP

编辑 /etc/network/interfaces：

nano /etc/network/interfaces

找到或添加以下内容（以实际网口名称为准，本例为 enp7s0）：

auto lo
iface lo inet loopback

iface enp7s0 inet manual

auto vmbr0
iface vmbr0 inet static
        address 192.168.100.2/24
        gateway 192.168.100.1
        bridge-ports enp7s0
        bridge-stp off
        bridge-fd 0

bridge-ports enp7s0：将物理网口加入桥接
bridge-stp off：关闭生成树协议（单交换机环境无需开启）
bridge-fd 0：关闭转发延迟

配置完成后重启网络：

systemctl restart networking

2.3 笔记本访问 PVE Web 界面

笔记本与 PVE 服务器通过网线直连，设置笔记本静态 IP：

IP：192.168.100.50
掩码：255.255.255.0
网关：192.168.100.1

浏览器访问 https://192.168.100.2:8006。
若提示证书错误，选择“继续访问”。

2.4 创建 OpenWrt 虚拟机

下载 OpenWrt 官方镜像（x86/64，ext4-combined-efi 版本）。
通过 PVE Web 界面上传至 local 存储。

在 PVE 中创建虚拟机：

OS：不使用任何介质
系统：机型 q35，BIOS SeaBIOS
磁盘：删除默认磁盘（后面导入）
CPU：2 核（host 类型）
内存：2048 MB
网络：先不添加（后面手动添加）

导入镜像为虚拟磁盘：

qm importdisk 100 /var/lib/vz/template/iso/openwrt.img local-lvm

为虚拟机添加磁盘和网卡：

硬件 → 添加 SCSI 磁盘，使用导入的卷
硬件 → 添加 网络设备，桥接 vmbr0（WAN 口）
硬件 → 添加 网络设备，桥接 vmbr1（LAN 口，需提前创建）

创建 vmbr1 的方法与 vmbr0 类似，指定不同网口（如 enp6s0f0）和 IP（例如 192.168.2.1/24）。

2.5 启动 OpenWrt 并进入控制台

在 PVE Web 界面中启动虚拟机，点击 控制台。
若无法启动，检查引导顺序：确保导入的磁盘位于第一位。

三、第二阶段：OpenWrt 网络配置与 WAN 口连通

3.1 OpenWrt 默认网络情况

进入 OpenWrt 后，执行：

ip a

默认 LAN 口 br-lan 通常有 192.168.1.1/24。
但此时 WAN 口 eth0 没有 IP。

3.2 配置 WAN 口为 DHCP

编辑 /etc/config/network：

config interface 'wan'
        option ifname 'eth0'
        option proto 'dhcp'

重启网络：

/etc/init.d/network restart

获取 IP：

udhcpc -i eth0

常见失败现象：udhcpc: broadcasting discover 一直无响应。

原因：PVE 中 OpenWrt 的网卡 tap100i0 没有正确挂载到 vmbr0 桥。

排查：在 PVE 宿主机执行：

brctl show vmbr0

输出中若没有 tap100i0，则说明虚拟网卡未接入桥。

解决：手动添加：

ip link set tap100i0 master vmbr0
ip link set tap100i0 up

重新在 OpenWrt 中执行 udhcpc -i eth0，应能成功获取到 WAN IP（示例为 10.10.10.2/23，网关 10.10.10.1）。

3.3 网关连通性测试

ping 10.10.10.1

若能通，说明 WAN 链路正常。
若 ping 不通，检查 PVE 中 vmbr0 是否正确桥接了物理网口（enp7s0）。

四、第三阶段：校园网 Dr.COM 认证

4.1 认证前状态

OpenWrt 已拿到 WAN IP，也能 ping 通网关，但无法访问外网（ping 8.8.8.8 不通）。
此时需要进行 Dr.COM 网页认证。

4.2 获取认证请求参数

在一台已完成认证的笔记本上，用 Wireshark 或浏览器开发者工具抓取登录请求。
关键参数如下：

URL：https://login.bjtu.edu.cn:802/eportal/portal/login （或者https://10.10.43.3:802/eportal/portal/login
请求方法：GET （其实这里出于网络安全校园网请求响应应该用POST，不知道为什么没有拒绝GET类型的请求）
参数：
- callback=dr{随机数}
- login_method=1
- user_account={账号}
- user_password={密码}
- wlan_user_ip={WAN_IP}
- wlan_user_mac=000000000000
- jsVersion=4.2.1
- lang=zh-cn
- v={随机数}

特别注意：密码中的特殊字符（如 @）必须进行 URL 编码（%40）。

4.3 在 OpenWrt 中执行认证

curl -k "https://login.bjtu.edu.cn:802/eportal/portal/login?callback=dr1234&login_method=1&user_account=32123432&user_password=kskblzdjd&wlan_user_ip=10.10.10.2&wlan_user_mac=114514191981&jsVersion=4.2.1&lang=zh-cn&v=1234"

（由笔者亲自抓取并已经在开发环境中作为保证校园网连接脚本运行数月，读者也可自行抓包）

认证成功响应示例：

dr1234({"result":1,"msg":"Portal"})

认证后测试：

ping 8.8.8.8

若能通，说明认证成功。

4.4 常见认证失败原因与处理

| 现象 | 可能原因 | 处理方法 |
| ---------------------------------- | ------------- | ------------------------------------------------------------ |
| curl: (6) Could not resolve host | DNS 未配置 | 在 /etc/resolv.conf 中添加 nameserver 202.112.144.246（bjtu的dns） |
| curl: (7) Failed to connect | WAN IP 已过期 | 重新执行 udhcpc -i eth0 -n 获取新 IP，更新认证 URL 中的 wlan_user_ip |
| 返回 {"result":1} 但外网不通 | 需要二次放行 | 重新认证一次，或检查防火墙规则 |

五、第四阶段：PVE 仅做桥接，OpenWrt 负责 NAT

5.1 清除 PVE 上的 NAT 规则

若 PVE 上曾执行过以下类似命令：

iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -o vmbr0 -j MASQUERADE

需删除，避免流量被 PVE 转发而非 OpenWrt。

查看规则：

iptables -t nat -L -n -v

删除指定规则：

iptables -t nat -D POSTROUTING -s 192.168.2.0/24 -o vmbr0 -j MASQUERADE

5.2 配置 OpenWrt 的 LAN 口和 NAT

创建 LAN 网桥（在 PVE 中已创建 vmbr1，OpenWrt 中对应 eth1）：

ip addr add 192.168.2.1/24 dev eth1
ip link set eth1 up

开启 IP 转发：

echo 1 > /proc/sys/net/ipv4/ip_forward

添加 nftables NAT 规则（OpenWrt 已使用 nftables，而非 iptables）：

nft add table ip nat
nft add chain ip nat postrouting { type nat hook postrouting priority 100\; }
nft add rule ip nat postrouting oif eth0 masquerade

验证 NAT 规则：

nft list table ip nat

5.3 物理路由器配置

将物理路由器的 WAN 口连接到 PVE 的 enp6s0f0 网口。
在路由器管理界面中设置 WAN：

连接类型：静态 IP
IP 地址：192.168.2.100
子网掩码：255.255.255.0
网关：192.168.2.1
DNS：202.112.144.246

保存后路由器下设备即可上网。

六、第五阶段：OpenWrt 系统盘扩容

6.1 问题现象

OpenWrt 默认分配的磁盘空间仅为 124 MB。
执行 df -h 可见 /overlay 使用率快速上升，安装 iputils、curl 等常见工具后已接近满载。

6.2 扩容方法

在 PVE 中为 OpenWrt 虚拟机添加第二块硬盘（例如 4 GB）。
启动 OpenWrt 后执行：

echo 1 > /sys/block/sdb/device/rescan
fdisk /dev/sdb

在 fdisk 中：

输入 n 新建分区
输入 p 选择主分区
分区号 1
两次回车使用默认大小
输入 w 写入分区表

格式化：

mkfs.ext4 /dev/sdb1

挂载并迁移 /overlay：

mkdir -p /mnt/newroot
mount /dev/sdb1 /mnt/newroot
cp -a /overlay/* /mnt/newroot/

持久化配置：编辑 /etc/config/fstab，添加：

config mount
        option target '/overlay'
        option device '/dev/sdb1'
        option fstype 'ext4'
        option options 'rw,sync'
        option enabled '1'

重启后 df -h 应显示 /overlay 为 4 GB。

七、第六阶段：DNS 加密（AdGuardHome）

7.1 安装 AdGuardHome

apk update
apk add adguardhome

启动服务：

/etc/init.d/adguardhome enable
/etc/init.d/adguardhome start

访问 Web 界面：http://192.168.2.1:3000

7.2 配置上游 DNS 服务器

在 AdGuardHome 设置中：

上游 DNS 服务器：
- https://dns.alidns.com/dns-query
- tls://dns.alidns.com
Bootstrap DNS 服务器：202.112.144.246

DNS 监听端口设置为 5353（避免与 dnsmasq 冲突）。

7.3 修改 dnsmasq 配置

编辑 /etc/config/dhcp，在 config dnsmasq 段中：

option port '53'
list server '127.0.0.1#5353'
option noresolv '1'
option localuse '1'

重启服务：

/etc/init.d/dnsmasq restart

验证：

nslookup baidu.com

若返回 IP 地址，且 AdGuardHome 界面中出现查询记录，则 DNS 加密生效。

八、自动认证脚本与开机自启配置

8.1 问题背景

校园网认证服务会在以下情况自动失效：

DHCP 租约到期重新获取 IP
OpenWrt 服务重启
PVE 宿主机重启导致虚拟机网络重置
校园网认证服务器主动踢下线

手动执行 curl 命令可恢复，但每次断网都要 SSH 登录再执行一次，不满足长期无人值守运行的要求。（到本贴发布为止笔者的服务器已经运行了48h+，ip并没有变化。不过以防万一此处仍按照DHCP处理）

因此需要将认证逻辑封装成脚本，并配置为开机自启 + 周期性保活。

8.2 认证脚本内容

在 OpenWrt 中创建 /etc/init.d/campus-auth：

#!/bin/sh /etc/rc.common

START=99

start() {
    # 等待网络接口稳定
    sleep 10

    # 获取当前 WAN 口 IP（动态获取，避免写死）
    WAN_IP=$(ip -4 addr show eth0 | grep -oE '([0-9]+\.){3}[0-9]+' | head -1)

    # 仅当 IP 非空时才执行认证
    if [ -n "$WAN_IP" ]; then
        /usr/bin/curl -k 
"https://login.bjtu.edu.cn:802/eportal/portal/login?callback=dr1234&login_method=1&user_account=32123432&user_password=kskblzdjd&wlan_user_ip=10.10.10.2&wlan_user_mac=114514191981&jsVersion=4.2.1&lang=zh-cn&v=1234" > /dev/null
    fi
}

脚本说明：

| 元素 | 作用 |
| -------------------------- | ------------------------------------------------------------ |
| #!/bin/sh /etc/rc.common | OpenWrt 标准的 init 脚本头，提供 start/stop/restart/enable 等命令支持 |
| START=99 | 启动顺序，数字越大越晚执行，99 保证在网络就绪后运行 |
| sleep 10 | 等待 eth0 完成 DHCP 获取 IP，避免过早执行时 IP 仍为空 |
| grep -oE ... | 从 ip a 输出中提取 IPv4 地址，兼容 BusyBox 的简化正则语法 |
| curl -k -s | -k 忽略证书错误，-s 静默模式，不输出到终端 |

8.3 脚本部署步骤

Step 1：写入脚本文件

cat > /etc/init.d/campus-auth << 'EOF'
#!/bin/sh /etc/rc.common

START=99

start() {
    sleep 10
    WAN_IP=$(ip -4 addr show eth0 | grep -oE '([0-9]+\.){3}[0-9]+' | head -1)
    if [ -n "$WAN_IP" ]; then
        /usr/bin/curl -k 
"https://login.bjtu.edu.cn:802/eportal/portal/login?callback=dr1234&login_method=1&user_account=32123432&user_password=kskblzdjd&wlan_user_ip=10.10.10.2&wlan_user_mac=114514191981&jsVersion=4.2.1&lang=zh-cn&v=1234" > /dev/null
    fi
}
EOF

Step 2：赋予执行权限

chmod +x /etc/init.d/campus-auth

Step 3：启用开机自启

/etc/init.d/campus-auth enable

Step 4：手动启动一次（测试）

/etc/init.d/campus-auth start

验证方法：执行后等待数秒，再 ping 8.8.8.8，若能通则脚本正常。

九、开机自启的补充机制（可选）

9.1 为什么还需要保活

START=99 仅在系统启动时执行一次。
如果运行数日后 DHCP 重新分配 IP，但认证会话已过期，仍会断网。

9.2 使用 crontab 周期性检查并重连

编辑 root 用户的 crontab：

crontab -e

添加以下行（每 5 分钟检查一次）：

*/5 * * * * /etc/init.d/campus-auth start

验证 crontab 是否添加成功：

crontab -l

9.3 替代方案：无限循环脚本（不推荐）

理论上可在 start() 中写入 while true; do ...; sleep 300; done，但会长期占用一个进程。
crontab 方式更符合 OpenWrt 设计哲学，资源占用更低。

十、完整启动流程总结（开机后自动执行顺序）

| 序号 | 组件 | 执行内容 | 依赖 |
| ---- | ---------- | -------------------------------------------------------- | --------------- |
| 1 | PVE 宿主机 | 启动 vmbr0、vmbr1 网桥 | 硬件初始化 |
| 2 | PVE 宿主机 | 启动 OpenWrt 虚拟机 | 网桥就绪 |
| 3 | OpenWrt | 执行 /etc/init.d/network start，eth0 发起 DHCP | 网卡驱动加载 |
| 4 | OpenWrt | udhcpc 获取 WAN IP | DHCP 服务器响应 |
| 5 | OpenWrt | 执行 START=99 的 /etc/init.d/campus-auth | 网络就绪 |
| 6 | OpenWrt | 执行 nftables NAT 规则（若已写入 /etc/nftables.rules） | 防火墙加载 |
| 7 | OpenWrt | crontab 每 5 分钟检查并保活认证 | 系统时钟同步 |

至此，从 PVE 开机到 OpenWrt 完全就绪、全网可上网的全自动流程闭环完成。

十一、手动维护命令速查表

| 操作 | 命令 |
| -------------------------- | --------------------------------- |
| 手动执行一次认证 | /etc/init.d/campus-auth start |
| 临时禁用开机自启 | /etc/init.d/campus-auth disable |
| 查看认证脚本是否启用 | ls -l /etc/rc.d/S99campus-auth |
| 手动获取 WAN IP | udhcpc -i eth0 -n |
| 查看当前 WAN IP | ip a show eth0 |
| 测试外网连通性 | ping 8.8.8.8 |
| 查看 crontab 任务 | crontab -l |
| 手动触发 nftables NAT 重载 | nft -f /etc/nftables.rules |

Q&A

常见疑问说明：

Q: 为什么不直接用PVE做NAT转发？不是更方便嘛？

A: 再怎么说直接把整个宿主机暴露在网络环境中还是有风险的，虽然是校园网你扫我端口那就扫吧给你了兄弟（
Q: 软路由转发具体会有多少性能损失？最终网速能到多少？

A：笔者使用的杂牌主板没法用 VT-d ，使用本文方式进行部署， WIFI 5 生产环境无线网速测试上传约 380 Mbits/sec ，下载约 570 Mbits/sec 。
Q: 账户密码以明文方式存储在脚本中，会存在安全风险吗？

A: 显然是有的，但在当前这个网络模型下，攻击者必须先拿到 OpenWrt 的 root 权限，才能看到密码。对于校园网环境来说把 22 或 8006 暴露给 WAN 的风险远大于明文密码，谨防内网渗透。
Q: 为什么不建议只装OpenWrt，而是使用PVE？

A: 现代 CPU 性能远超软路由需求，物理机直装 OpenWrt 会造成硬件资源严重闲置，而 PVE 虚拟化可以在不损失网络性能的前提下，将过剩的算力分配给 NAS、Windows 等虚拟机，实现硬件资源的充分利用。

填补了bjtu.top没有偏硬件教学的空白(?)

欢迎骚扰笔者喵，灌注Takina谢谢喵（