背景：什么时候值得换掉运营商路由
运营商送的路由器对只上网、刷视频的家庭完全够用。但当家里设备多起来——NAS、摄像头、智能家居、自己搭的服务——它的短板就显现了：隔离、解析、流量可见性都不够用。
这时的升级路线不一定是换更贵的成品路由，而是用一台迷你主机自己做软路由：硬件是一台小电脑，系统换成专门做防火墙和路由的开源系统，代表作是 OPNsense 和 pfSense。
最近 XDA 的一篇实测 显示：约 100 美元的无风扇迷你主机加闲置内存和固态盘，10 分钟装好，整套不到 200 美元。
前置知识：会用 U 盘做启动盘、会进路由器后台改设置。不需要懂命令行，OPNsense 装好后主要用网页后台管理。
先划一条线：家里只有手机和电脑、运营商路由用着没毛病，那就没必要折腾。判断标准只有一个——你现在有没有因为路由功能不够而被卡住的具体场景。另外，如果家里网络本身经常时断时续，先按本站的家庭网络自查清单把宽带、光猫、网线这一层排查清楚；软路由解决的是功能和可控性，不是修宽带本身。
选机：抓住三条线，别被参数带偏
XDA 作者的配置很有参考价值：Intel N3700 四核、最高 2.4GHz、热设计功耗只有 6 瓦，内存最高 8GB DDR3L，机身带 4 个 2.5G Intel 网口，其中一个接光猫的 WAN，另外几个接内网。性能不强，但做路由够用：
第一，网口数量比 CPU 跑分重要。 至少 2 个网口（一个 WAN、一个 LAN），有 4 个更好，可以把不同网段分到不同物理口，或留一个口专门接管理、接 AP。只有一个网口的主机也能用，但要靠 VLAN 交换机配合，新手容易把自己锁在门外，不推荐作为第一台软路由。
第二，优先 Intel 网卡。 这是软路由圈的老经验：Intel 网卡在 FreeBSD（OPNsense 的底层系统）下的驱动最成熟，兼容性问题最少。买之前看商品详情里的网卡型号，认准 Intel，避开来路不明的杂牌网卡。
第三，功耗比峰值性能重要。 软路由是 7×24 小时开机的设备，6 瓦级别的整机功耗一年电费可以忽略不计；一台待机几十瓦的旧电脑当软路由，一年电费可能就超过一台迷你主机的差价。无风扇设计还没有风扇噪音和积灰，适合放在客厅或弱电箱。
购买形式上建议买准系统：只买主机本体，内存和固态盘用闲置件；没有闲置件的话，8GB 内存加 128GB 左右固态盘就够了。
安装：关键在装机前的两步准备
流程不复杂：官网下载镜像写进 U 盘，从 U 盘启动按向导装到固态盘，重启后用浏览器打开后台。
真正容易翻车的是装机前的两步准备，提前做完能省一小时：
- 记下现有网络信息再动手。 宽带账号密码（拨号用户）、光猫是桥接还是路由模式、现在内网网段是多少。光猫如果还是路由模式，软路由接在后面会形成双层 NAT，部分服务穿透会变麻烦；有条件尽量把光猫改成桥接，让软路由直接拨号。
- 准备一根备用的上网方式。 安装过程中内网会断一阵，手机流量就是救命通道。
装完先确认三件事：能正常上网、后台能打开、默认管理员密码已改掉。软路由是全家流量的入口，弱口令是大忌。
装好后最值得配的四项功能
OPNsense 的功能列表很长，新手不用全看，先配下面四项，收益最大：
| 功能 | 解决什么问题 | 一句话做法 |
|---|---|---|
| VLAN 隔离 | 摄像头、智能家居出问题不波及主网络 | 给物联网设备单独划一个 VLAN，只放行它必须访问的地址 |
| DNS 过滤 | 挡恶意域名、减少广告与跟踪请求 | 用系统自带的 Unbound 做 DNS 解析，配一份可信的拦截列表 |
| 动态域名（DDNS） | 家里公网 IP 变了也能从外面找到它 | 在后台填入域名服务商的信息，IP 变化自动更新解析 |
| 入侵检测（IDS） | 发现异常流量时至少能看见、能告警 | 按需开启，先观察日志再决定拦不拦截，别一上来就全量拦截 |
VLAN 的本质是给不同设备分组：主网络是你的电脑和手机，物联网组是摄像头和智能插座，两组之间默认不互通，摄像头就算有漏洞也摸不到你的电脑和 NAS。
DNS 过滤同理：解析发生在连接之前，恶意域名在解析层就被挡住，后面根本不会建立连接。这和今天早些时候本站讲的 sing-box DNS 分流排错 是同一个道理——解析层先管好，事半功倍。
避坑：新手最容易踩的三个坑
坑一：网口插反。 安装向导会让你指定哪个口是 WAN、哪个是 LAN，插线时对照着来，插反了表现为“后台能进但上不了网”。先确认 WAN 口接的是光猫那根线。
坑二：一上来就开满插件。 日志、检测、代理类插件都吃 CPU 和内存，低功耗小主机同时开几个就可能卡后台。先跑一周基础功能，再一次加一个插件观察。
坑三：不备份配置。 配好之后第一时间在后台导出一份配置文件存到电脑上，换机、升级翻车时导入它几分钟就能恢复。
成本账：不到 200 美元换来的是什么
按 XDA 作者的账算：约 100 美元的无风扇迷你主机，加上自备内存和闲置固态盘，整套不到 200 美元，换来的是运营商路由通常不给的功能：VLAN 隔离、DNS 过滤、动态域名、入侵检测。