小米VPN在小米路由器上使用AdGuard Home过滤广告与加速

客厅的落地灯把光晕压得很低，我盘腿坐在茶几前，面前摊着三台设备：一台刚刷好开发版固件的小米AX9000路由器，一台屏幕亮度调到最低的MacBook，以及一部正在用流量热点下载区块链节点数据的旧安卓手机。窗外是凌晨两点的城市，远处写字楼的灯光像一串串待确认的哈希值，忽明忽暗。

“最后一次了，”我对自己说，手指在触控板上敲出最后一行命令，“如果这次AdGuard Home的仪表盘还是显示不出过滤率，我就把这台路由器挂到闲鱼上去。”

但我知道自己不会的。因为就在三小时前，我从一个名为“RouterDAO”的Telegram群里看到消息——有人在小米路由器上成功跑通了AdGuard Home，并且用它的DNS过滤功能，把整个家庭的广告流量全部导向了黑洞。更关键的是，那位群友在最后加了一句：“顺便，我用这路由器的闲置算力，跑了一个轻量级的Monero矿池代理，每天能多赚零点几个XMR，电费都回来了。”

就是这句话，让我决定今晚必须搞定它。

为什么是小米路由器，为什么是AdGuard Home

先说说我为什么选这台AX9000。不是因为它三频并发快，也不是因为它有2.5G网口，而是因为它那颗高通IPQ8074A芯片，在OpenWrt社区里被调教得相当成熟。更重要的是，它内置了256MB的闪存和1GB的内存——这个配置，跑一个AdGuard Home的Linux二进制文件，绰绰有余，甚至还能再塞进一个轻量级的代理脚本。

但真正让我动心的，是AdGuard Home的“DNS封锁列表”机制。它不像浏览器插件那样只过滤HTTP层面的请求，而是在DNS解析阶段就直接把广告域名解析到0.0.0.0。这意味着，你家里每一台设备——包括那台无法安装任何广告拦截插件的智能电视、那台总在后台推送通知的扫地机器人、甚至那台连浏览器都没有的智能音箱——都会在联网的第一毫秒就被“净化”。

而小米路由器最妙的地方在于，它的OpenWrt固件支持dnsmasq的上游转发。你可以把AdGuard Home挂在127.0.0.1:5353，然后把dnsmasq的server=127.0.0.1#5353写进/etc/config/dhcp。这样，所有局域网设备的DNS请求都会先经过AdGuard Home的过滤，再转发到公共DNS（比如Cloudflare的1.1.1.1）。

“这相当于给整个家庭网络装了一个隐形的防火墙，”我在Telegram群里看到过这样一句评论，“而且它还能统计出哪个设备在疯狂请求广告域名——上次我抓到我那台智能电视每小时向某个追踪服务器发送2000次查询。”

事件场景：那个被广告淹没的晚上

让我把时间倒回到三天前。

那天晚上，我正用投影仪看一部关于比特币ETF获批的纪录片。剧情正到高潮——SEC主席在镜头前宣布批准，比特币价格瞬间拉升，屏幕上的K线图像一根被点燃的引信。结果，画面右下角突然弹出一个“极速下载”的悬浮广告，紧接着，视频播放器卡顿了一秒，然后弹窗遮住了半个屏幕：“您有888元红包待领取！”

我按下遥控器上的“退出”，但广告又弹了回来。那一刻，我突然意识到——这台投影仪没有浏览器，没有插件，它只信任路由器给的DNS。而我的小米路由器，还在用默认的运营商DNS，它会把所有解析请求都交给一个可能被劫持的服务器。

“如果我在路由器上跑AdGuard Home，”我关掉投影仪，坐回电脑前，“这个广告域名会被直接解析到黑洞IP，投影仪根本不会收到任何广告内容。”

于是，那个晚上我开始了折腾。但从下载AdGuard Home的Linux ARM64版本到配置好，中间隔了整整四个小时。因为小米路由器的OpenWrt固件默认没有开启SSH，我需要先通过开发者模式获取root权限，再刷入一个自定义的bootloader。每一步都像在走钢丝——刷错一个字节，路由器就会变砖。

动手：从刷机到部署的惊险30分钟

我把路由器翻过来，用卡针捅了一下reset孔，等指示灯从蓝色变成橙色，然后快速登录192.168.31.1，在管理后台的“系统”->“高级设置”里找到了“开启SSH”的隐藏选项。输入那段我从论坛里找到的、用路由器SN码计算出的root密码后，终端终于跳出了root@XiaoQiang:~#的提示符。

接下来的操作，我尽量用最稳妥的方式：

1. 备份原厂固件：cat /proc/mtd > /tmp/backup.bin，然后通过scp拉到电脑上。
2. 下载AdGuard Home：从GitHub releases页面找到AdGuardHome_linux_arm64.tar.gz，用wget下载到路由器的/tmp目录。
3. 解压并安装：tar -xzf AdGuardHome_linux_arm64.tar.gz，把生成的AdGuardHome二进制文件移动到/usr/bin/，然后创建/etc/adguardhome作为配置目录。
4. 配置监听端口：AdGuard Home默认监听0.0.0.0:3000用于网页管理，但我们需要它监听127.0.0.1:5353作为DNS端口。所以修改配置文件AdGuardHome.yaml，把dns:部分的port: 53改成port: 5353，并把bind_host改成127.0.0.1。
5. 设置开机自启：在/etc/init.d/下创建一个脚本，或者直接写进/etc/rc.local。我选择了后者，因为更简单。

但问题出在第六步——当我重启路由器后，AdGuard Home并没有自动运行。我检查了日志，发现是权限问题——/etc/adguardhome目录的所有者是root，但AdGuard Home尝试以nobody用户运行。我只好用chown -R nobody:nogroup /etc/adguardhome修复，然后再次重启。

这次，当我在浏览器输入http://192.168.31.1:3000时，那个蓝色的AdGuard Home管理界面终于出现了。我导入了一份从GitHub上找到的“anti-AD”过滤列表，里面包含了超过10万个广告和追踪域名。然后，我回到路由器后台，把dnsmasq的上游DNS改成了127.0.0.1#5353。

那一刻，我打开投影仪，重新播放那部纪录片。画面干净得令人感动——没有悬浮广告，没有弹窗，甚至连视频开始前的30秒贴片广告都被跳过了。我切换到AdGuard Home的“查询日志”页面，看到一条条被拦截的记录：

example-tracker.com A 0.0.0.0 (blocked by anti-AD) ads.doubleclick.net A 0.0.0.0 (blocked by anti-AD)

加速与虚拟币的隐秘联系

但事情并没有结束。那位群友提到的“用闲置算力跑矿池代理”，让我心头一动。我查了一下，AdGuard Home本身只占用大约20MB内存和不到5%的CPU。而AX9000的四核A53处理器，在空闲时几乎完全闲置。

“如果我用这多余的算力跑一个Monero挖矿程序，”我心想，“虽然算力只有几百H/s，但胜在24小时不间断，而且电费已经包含在路由器的功耗里了。”

于是，我下载了一个名为xmrig的轻量级挖矿程序，配置好矿池地址和钱包地址，然后把它放在后台运行。但很快，我发现一个问题——挖矿程序会频繁发起网络请求，而这些请求会被AdGuard Home的过滤规则误伤，导致矿池连接不稳定。

解决方案也很简单：在AdGuard Home的“自定义过滤规则”里，把矿池的域名添加为“白名单”。这样，挖矿流量直接绕过过滤，而其他广告流量依然被拦截。

经过一晚上的运行，我算了一笔账：路由器功耗大约15瓦，一天就是0.36度电。按0.6元/度算，一天电费0.216元。而挖矿收益，按照当前XMR的价格和全网算力，大约每天能挖到0.0003个XMR，折合人民币约0.25元。虽然利润微薄，但至少电费回本了——而且，这相当于用广告拦截省下的时间（每天少看10分钟贴片广告）换来了额外的数字货币。

更让我惊喜的是，AdGuard Home的“加速”功能。它内置了DNS缓存，对于已经解析过的域名，会直接返回结果，而不用再向公共DNS发起查询。我把家里那台老旧的NAS也接入了这个网络，原本需要2秒才能加载的相册缩略图，现在几乎秒开。AdGuard Home的“平均处理时间”从原来的120ms降到了8ms。

虚拟币热点的另一个切面：DNS-over-HTTPS与隐私挖矿

就在我沉浸在“广告清零”的喜悦中时，一条新闻推送打破了平静——某知名VPN服务商宣布，他们将把用户的一部分闲置带宽用于“隐私挖矿”，即通过用户的网络节点传输加密流量，并以此赚取代币。用户可以选择参与，并获得一定比例的代币奖励。

这让我重新审视了AdGuard Home的另一个功能：它支持DNS-over-HTTPS和DNS-over-TLS。这意味着，所有局域网设备的DNS查询都会被加密，运营商无法窥探你访问了哪些网站。如果你把这个功能与VPN结合，就形成了一个完整的隐私闭环——广告被拦截，DNS被加密，流量通过VPN隧道传输，而VPN节点本身又可能参与隐私挖矿。

我试着在AdGuard Home的“设置”->“DNS设置”里，启用了一个公共的DoH服务器（比如https://dns.google/dns-query）。然后，在小米路由器上配置了OpenVPN客户端，连接到一台位于法兰克福的虚拟服务器。这台服务器同时运行着一个Monero挖矿节点——但挖的不是区块，而是“交易隐私保护”任务，这种任务需要大量的网络带宽来混淆交易数据，恰好和VPN的流量特性吻合。

这样，整个网络架构变成了：

• 设备 -> AdGuard Home（过滤+缓存） -> DoH加密查询 -> 公共DNS
• 设备 -> OpenVPN隧道 -> 法兰克福服务器 -> 隐私挖矿节点

从用户角度来看，你只是觉得网速变快了，广告消失了。但实际上，你的每一次上网行为都在为那个虚拟币网络贡献带宽和算力，而你钱包里的代币余额在缓慢增长。

当然，这并非没有代价——启用DoH后，AdGuard Home的日志里会显示一些查询被“加密”标记，无法看到具体域名。但对于我这种注重隐私的人来说，这反而是优点。而且，由于DoH走的是443端口，某些封锁广告的公共DNS（比如被墙的）也能通过HTTPS正常访问，相当于变相“加速”了网络。

那些被忽略的“小”设备

三天后的一个傍晚，我坐在阳台上，看着手机上的AdGuard Home仪表盘。总查询次数：84521次，被拦截：13209次，拦截率：15.6%。我点开“客户端”列表，发现一个名为xiaomi-tv的设备，今天的查询次数高达5000次，其中被拦截的有1800次——全是广告域名。

“这台电视，以前每天要加载1800个广告，”我自言自语，“现在它们全被丢进了黑洞。”

但这还不是最有趣的。我注意到，我的智能门锁——那台支持Wi-Fi联网的电子锁——每天会向一个位于美国的服务器发送大约200次“心跳”查询。这个域名没有被任何广告列表收录，但AdGuard Home显示它的平均响应时间为300ms，比其他域名慢得多。

我手动将这个域名加入“自定义过滤规则”的黑名单，然后测试了一下——门锁依然能通过蓝牙和本地网关正常工作，但远程App控制功能失效了。权衡之后，我决定放行它，因为安全比广告拦截更重要。

不过，这个发现让我意识到：AdGuard Home不仅是一个广告过滤器，更是一个网络行为审计工具。它能告诉你，你家里的每一台设备在深夜偷偷向哪些服务器发送了哪些请求。而这些信息，在虚拟币的世界里，就是所谓的“数据资产”——你可以选择屏蔽它们，也可以通过分析它们来优化你的网络策略。

尾声：当路由器成为一台“矿机”和“净化器”

现在，我的小米AX9000路由器已经稳定运行了72小时。AdGuard Home的仪表盘显示，平均每天拦截约1.5万个广告请求，节省的流量大约为800MB——这相当于每月省下24GB的流量配额，如果按1元/GB的流量费计算，就是每月24元。

而挖矿程序，虽然每天只有0.0003个XMR，但加上电费成本，净收益约0.03元/天。看起来微不足道，但如果你把它视为“广告拦截的副产品”，就会发现这笔账其实很划算——你原本要花时间手动关闭广告，或者忍受卡顿的视频加载，现在这些时间都被节省下来，换成了数字货币。

更重要的是，这个系统是完全去中心化的。AdGuard Home的过滤列表来自开源社区，挖矿程序连接的是公共矿池，路由器固件是OpenWrt——没有一家公司控制你的网络，也没有一个中心化服务器能记录你的行为。

我端起桌上的咖啡，喝了一口，然后打开AdGuard Home的“查询日志”，输入了“bitcoin”作为关键词。屏幕上跳出了一串记录：

pool.supportxmr.com A 162.159.240.115 (forwarded to 127.0.0.1#5353) xmr-eu1.nanopool.org A 172.65.210.114 (forwarded to 127.0.0.1#5353)

这些是挖矿程序的连接记录。它们被AdGuard Home正常放行，没有被误拦截。我满意地点了点头，然后关掉管理页面，拿起遥控器，打开了投影仪。

这次，播放的是一部关于以太坊合并的纪录片。画面干净如洗，没有广告，没有弹窗。而路由器机身上那个小小的绿色指示灯，依然在稳定地闪烁——它正在为我的家庭网络过滤广告，同时为某个虚拟币网络贡献着微不足道的算力。

窗外，城市依然灯火通明。但我知道，至少在这间屋子里，每一比特的流量都被净化过，每一毫秒的延迟都被优化过，而每一分算力，都在为那个看不见的数字世界添砖加瓦。