小米VPN在小米路由器上使用VLESS+XTLS的配置

周末的傍晚，窗外下着淅淅沥沥的小雨，我正坐在客厅的沙发上，盯着手机屏幕上红红绿绿的K线图。比特币刚刚经历了一次剧烈的震荡，从凌晨的六万八千美元一路下探到六万二千美元，又在一小时内迅速反弹。我的持仓成本在六万五千美元附近，这种上蹿下跳的行情让我既兴奋又焦虑。手机上的交易所App加载缓慢，每次刷新行情都要转好几圈，我知道问题出在哪里——家里的网络对境外节点的访问一直不太稳定。

我抬头看了一眼角落里那台积灰已久的小米路由器，型号是AX3600。当初买它是因为性价比高，信号覆盖也不错，但原厂固件对科学上网的支持几乎为零。过去几个月，我一直靠手机和电脑上单独安装的客户端来访问境外交易所和查询链上数据，但设备一多，管理起来就特别麻烦。尤其是最近迷上了DeFi挖矿，需要频繁在多个链上交互，手机、平板、笔记本轮流切换代理，简直让人抓狂。

“干脆把代理直接部署到路由器上。”这个念头一旦冒出来，就再也压不下去了。

说干就干。我翻出之前收藏的教程，决定在小米路由器上刷入OpenWrt，然后配置VLESS+XTLS。之所以选这个组合，是因为VLESS作为VMess的轻量级替代方案，去掉了不必要的加密层，性能更好；而XTLS则是Xray核心的一大杀器，能有效减少TLS握手带来的额外开销，对于我这种需要稳定连接境外节点的场景来说，简直是量身定做。

从原厂固件到OpenWrt的惊险一跃

小米路由器的刷机过程并不复杂，但需要胆大心细。我首先在电脑上下载了对应AX3600型号的OpenWrt固件，以及一个叫“小米路由器修复工具”的小软件。按照教程，我先用网线把电脑和路由器的LAN口连起来，然后按住reset键通电，进入恢复模式。浏览器打开192.168.31.1，上传固件，等待进度条走完。那几分钟里，我盯着路由器上闪烁的指示灯，心里默默祈祷别变砖。

好在一切顺利。重启后，OpenWrt的LuCI界面出现在浏览器里，我长舒一口气。接下来就是常规操作：设置管理员密码、配置WAN口拨号（我家是PPPoE）、调整WiFi名称和密码。这些步骤都很直观，真正需要动脑筋的是后面安装和配置Xray。

在OpenWrt上安装Xray核心

OpenWrt的软件源里并没有直接提供Xray，我需要手动下载适合路由器架构的ipk包。AX3600用的是ARMv8架构，所以我从GitHub上找到了对应的xray-core和luci-app-xray。通过SCP把ipk文件上传到路由器的/tmp目录，然后用opkg install命令安装。过程中遇到一个依赖问题：缺少libopenssl。好在OpenWrt的包管理器可以自动解决，我运行了opkg update && opkg install libopenssl，再次安装就成功了。

安装完成后，LuCI界面的“服务”菜单下多了一个“Xray”选项。点进去，看到的是空白的配置页面。我知道，真正的挑战开始了。

理解VLESS+XTLS的配置逻辑

在动手填写之前，我花了一点时间理清VLESS+XTLS的工作原理。简单来说，VLESS是一种无状态的轻量级协议，它本身不加密，而是依赖底层的TLS来保证安全。XTLS则是Xray对TLS握手过程的一种优化，它通过“分流”技术，让代理流量和普通TLS流量在握手阶段就区分开来，从而减少一次额外的加密解密过程。对于路由器这种CPU性能有限的设备来说，XTLS能显著降低延迟和CPU占用。

我的境外节点是一台位于洛杉矶的VPS，已经按照Xray官方文档配置好了VLESS+XTLS+Vision。服务端监听443端口，使用TLS证书，并且开启了fallbacks，把非代理流量转发到一个正常的网站。客户端这边，我需要填写以下关键信息：

• 地址：我的VPS域名
• 端口：443
• 用户ID：一串UUID
• 流控：xtls-rprx-vision
• 传输协议：tcp
• 安全：tls
• SNI：我的域名
• 指纹：chrome
• 公钥：如果服务端用了REALITY，这里需要填；但我用的是普通TLS证书，所以留空

在LuCI的Xray配置页面里，我选择了“添加VLESS出站”，然后逐项填入。这里有个小坑：OpenWrt上的LuCI Xray插件版本不同，字段名称可能略有差异。我用的版本里，“流控”写的是“flow”，“传输协议”写的是“network”。填完之后，还需要配置一条路由规则，让所有来自局域网设备的流量都走这个出站。

分流规则：让虚拟币交易更顺畅

代理配好了，但我不想让所有流量都走代理。比如国内的一些交易所App、银行客户端，还有家里的智能家居设备，它们走直连更快。于是我在Xray的路由设置里添加了几条规则：

1. 域名关键词包含“binance”、“okx”、“huobi”的，走代理。这些是我常用的交易平台。
2. 域名包含“etherscan”、“bscscan”、“solscan”的，走代理。链上查询工具，境外访问更稳定。
3. 域名包含“cn”、“baidu”、“taobao”的，直连。
4. IP段属于中国电信、联通、移动的，直连。

这样配置之后，路由器会自动判断流量走向，既保证了虚拟币相关服务的连通性，又不影响国内应用的访问速度。

测试与调优：从卡顿到丝滑

配置完成后，我重启了Xray服务，然后拿出手机连上WiFi。打开币安App，行情刷新几乎瞬间完成，合约下单的确认弹窗也不再转圈。我又在电脑上跑了一次Speedtest，代理节点的延迟在180ms左右，下载速度能跑到50Mbps，对于一台路由器来说已经相当满意了。

不过，晚上八点左右，我发现连接开始不稳定，偶尔会断流。查看Xray日志，发现大量“TLS handshake timeout”错误。我猜测是XTLS的Vision流控在路由器上处理高并发时有些吃力。于是我尝试把流控改成“xtls-rprx-direct”，但效果更差。最后，我干脆去掉流控，改用纯VLESS+TLS，虽然性能略有下降，但稳定性大幅提升。毕竟对于交易来说，稳定比极致速度更重要。

另一个优化点是DNS。OpenWrt默认使用ISP的DNS，解析境外域名时经常返回污染结果。我在Xray配置里启用了“DNS分流”，把境外域名交给1.1.1.1和8.8.8.8解析，国内域名则用阿里DNS。这样既避免了DNS污染，又加快了国内网站的解析速度。

虚拟币热点下的意外收获

就在我调试路由器的这几天，市场又出了大新闻：美国SEC突然批准了以太坊现货ETF的期权交易，ETH价格应声上涨8%。我的手机推送响个不停，而路由器上的代理稳稳地支撑着所有设备的行情刷新和交易操作。那一刻，我觉得之前折腾的几个小时都值了。

更有意思的是，我把自己的配置过程发到了一个加密爱好者群里，立刻引来了几十条追问。有人问“小米路由器刷OpenWrt会不会影响保修”，有人问“VLESS和Trojan哪个更适合路由器”，还有人直接私信我求配置文件。我索性录了一段屏幕操作视频，发到群里，收获了一堆点赞。

其实，对于币圈的人来说，网络稳定就是生产力。无论是抢新币的IDO额度，还是在大行情来临时快速平仓，哪怕几秒钟的延迟都可能意味着真金白银的损失。把代理部署在路由器上，让所有设备无感翻墙，这不仅仅是技术上的便利，更是一种对交易确定性的追求。

一些踩坑后的经验之谈

如果你也想在小米路由器上折腾VLESS+XTLS，我有几个建议：

第一，刷机前一定要备份原厂固件和ART分区，万一想刷回去或者出了故障，还能救回来。第二，不要盲目追求最新版的Xray核心，有些版本对ARM路由器的优化并不好，建议选择稳定版。第三，XTLS虽然快，但对CPU有要求，如果是AX3000以下的型号，可能纯TLS更合适。第四，路由器的内存有限，不要同时运行太多插件，否则容易OOM。

另外，关于虚拟币交易，我还想多说一句：代理只是工具，不要把它当成万能药。交易所本身的API限制、链上拥堵、Gas费波动，这些都不是一个路由器能解决的。真正重要的是对市场的判断和风险控制。

雨停了，窗外的夜色格外清澈。我关掉K线图，伸了个懒腰。路由器上的指示灯安静地闪烁着，像一颗不知疲倦的心脏，把加密世界的脉搏传递到家里的每一个角落。明天又是新的一天，不知道比特币会涨还是会跌，但至少我的网络已经准备好了。