小米路由器VPN设置：按应用或域名分流

凌晨三点十七分，我盯着屏幕上那个跳动的红色K线，手边的咖啡已经凉透了。BTC刚刚又插了一根针，而我的交易终端却在最关键的时刻卡死了——所有数据包都挤在一条通往境外交易所的裸连线路上，延迟飙到400ms，滑点吃掉了整整两倍杠杆的利润。

“操，又是这个破路由器。”我骂了一句，但心里清楚，问题不在路由器，而在我的网络策略。

那晚之后，我花了整整三天时间，把家里那台小米路由器（AX9000）的固件翻了个底朝天，终于搞懂了它那个被大多数人忽略的“VPN分流”功能。今天这篇东西，就是记录我怎么用“按应用或域名分流”这个功能，把交易延迟从400ms压到80ms，顺便让Netflix和GitHub互不干扰的全过程。

---

为什么你需要“分流”，而不是“全局VPN”

先说说我之前的蠢办法。为了访问某些被墙的交易所和行情源，我直接在小米路由器上挂了个全局VPN。结果呢？全家所有设备——包括我老婆刷抖音的iPhone、客厅里的天猫精灵、甚至那个智能马桶盖——全部流量都绕道去了香港节点。

后果显而易见：抖音卡成PPT，天猫精灵叫三声才应一句，智能马桶盖倒是没影响，但它在海外服务器上同步的“每日坐姿报告”延迟了整整两小时。而我真正需要的交易流量，反而因为和其他设备抢带宽，延迟忽高忽低。

后来我查了小米路由器的后台，发现它的VPN设置里有个“策略路由”选项，支持按域名或按应用分流。简单说，就是让特定流量走VPN，其他流量走正常宽带。这个功能在OpenWrt里叫“gfwlist模式”，在软路由里叫“分流规则”，但在小米路由器上，它被藏在了“高级设置”的角落里。

关键点：小米路由器的分流逻辑

小米路由器的分流规则核心就两个参数：

• 按域名分流：你指定一个域名列表（比如 api.binance.com、www.tradingview.com），这些域名的流量走VPN，其他域名走直连。
• 按应用分流：你指定设备上的某个App（比如“币安”或“欧易”），该App的所有流量走VPN。

但这里有个坑：小米路由器默认的VPN隧道是全局模式，你必须手动切换到“策略路由”模式，否则上面的规则根本不生效。这个切换按钮藏在“VPN设置”的二级菜单里，名字叫“流量走向”，默认是“所有流量”，你得改成“按规则分流”。

---

实战：把币安API和行情WebSocket塞进VPN

我的需求很明确：交易终端（一套自写的Python脚本，跑在电脑上）需要访问币安的REST API和WebSocket行情流，这两个域名分别是 api.binance.com 和 stream.binance.com。同时，我需要访问TradingView的图表数据，域名是 www.tradingview.com 和 scanner.tradingview.com。

但我不想让电脑上的其他流量（比如Steam下载、百度网盘）也走VPN，因为那会白白消耗香港节点的带宽，而且可能触发风控。

第一步：在小米路由器上配置VPN客户端

我的VPN服务商提供的是WireGuard协议，小米AX9000原生支持WireGuard（在“VPN设置”里选“WireGuard”），不需要刷机。填好私钥、公钥、端点IP和端口后，我先把“流量走向”设为“所有流量”，测试连通性——确认能访问币安后，再改回“按规则分流”。

这里有个小细节：WireGuard的AllowedIPs设置。如果你在小米路由器上配置WireGuard，AllowedIPs默认是 0.0.0.0/0，这意味着所有流量都走隧道。但我们要分流，所以AllowedIPs应该设为VPN服务商给你的“路由网段”（通常是VPN网关的内网IP，比如 10.0.0.1/32），这样只有发往VPN网关的流量才走隧道，其他流量走直连。

第二步：添加域名分流规则

在小米路由器的“VPN设置”页面往下翻，有个“域名分流”列表。我添加了：

api.binance.com stream.binance.com www.tradingview.com scanner.tradingview.com

保存后，路由器会把这些域名的DNS解析结果（IP地址）自动加入路由表，匹配这些IP的流量就走VPN隧道。

但注意：小米路由器的域名分流是基于DNS的。如果你的电脑或手机使用了自定义DNS（比如8.8.8.8），那么路由器可能拦截不到域名解析，导致分流失效。解决办法是：在小米路由器的“DHCP服务器”设置里，把DNS强制改为路由器自身（192.168.31.1），让所有设备通过路由器解析DNS。

第三步：处理“按应用分流”的局限性

小米路由器的“按应用分流”其实是基于目标IP端口的识别，不是真正的DPI（深度包检测）。它内置了一个应用库，能识别“币安”“欧易”“Coinbase”等几个主流交易App的流量特征。但如果你用自写的脚本或者小众交易软件，它识别不了。

所以对我来说，“按域名分流”更可靠。但如果你用的是手机App，而且域名经常变（比如某些交易所的API域名是随机生成的），那“按应用分流”可能更合适——只要你用的是小米路由器内置应用库里的那几款App。

---

事件场景：当分流规则生效后

配置好的第二天，我重新打开了交易终端。启动脚本，连接WebSocket，日志刷出来的第一行：

[INFO] Connected to stream.binance.com:443 (via WireGuard tunnel) [INFO] Latency: 78ms

我愣了一下，之前是380ms。然后我打开TradingView的扫描器，加载BTC/USDT的K线图，图表几乎瞬间渲染完毕。我又故意打开了一个百度网盘的下载任务——速度跑满500Mbps，而交易终端依然稳定在80ms左右。

但问题来了：DNS泄漏

第三天，我发现一个诡异的现象：虽然交易流量走了VPN，但我的IP地址在某些网站显示的是香港节点，而在币安的风控系统里，我的登录IP却变成了本地ISP的IP。

排查后发现问题出在DNS上。小米路由器的“域名分流”虽然把流量分到了VPN隧道，但DNS请求还是走默认的本地DNS（运营商的服务器）。币安检测到“你来自中国大陆IP”，直接触发了风控——要求二次验证，甚至暂时冻结了提现功能。

解决办法：在小米路由器的“VPN设置”里，把“自定义DNS”设为VPN服务商提供的DNS（比如 1.1.1.1 或 8.8.8.8），并且强制所有域名解析通过这个DNS。这样，当你访问 api.binance.com 时，路由器用VPN DNS解析出IP，然后把这个IP加入路由表，流量走隧道，同时解析记录也是干净的。

另一个坑：IPv6泄漏

我的宽带是IPv6双栈，但VPN隧道只支持IPv4。如果交易终端的系统优先使用IPv6，那么它可能绕过VPN直接走IPv6直连，导致延迟飙升。我在小米路由器的“网络设置”里，把IPv6的“模式”改成了“NAT”（而不是“桥接”），这样所有IPv6流量都会被NAT到IPv4，然后走分流规则。

---

进阶：用“域名后缀”通配符实现更精细的控制

小米路由器的域名分流支持通配符。比如你不想手动添加 api.binance.com 和 stream.binance.com，可以直接添加 *.binance.com。但注意，通配符匹配的是“域名后缀”，不是“子域名前缀”。所以 *.binance.com 能匹配 api.binance.com、stream.binance.com，但不能匹配 binance.com 本身（你需要单独加一条 binance.com）。

我最终添加的规则是：

*.binance.com binance.com *.tradingview.com tradingview.com *.coingecko.com coingecko.com

这样，所有与行情、交易相关的域名都走VPN，而我的日常浏览（比如B站、知乎）走直连，速度不受影响。

性能优化：开启硬件NAT加速

小米AX9000有一个“硬件NAT”开关，在“高级设置”里。默认是关闭的，开启后，路由器处理数据包的效率会大幅提升，尤其在多设备同时分流时，延迟会更稳定。我开启后，交易终端的WebSocket延迟从78ms降到了72ms，虽然幅度不大，但聊胜于无。

---

当“分流”遇到“多设备”时的冲突

我家里有十几台设备，手机、电脑、平板、电视盒子。如果每台设备都走同一个分流规则，会出现一个问题：电视盒子上的Netflix流量不想走VPN（因为香港节点看不了美区内容），但手机上的币安App必须走VPN。

小米路由器的分流规则是全局的，没法按设备区分。所以我的解决方案是：在电视盒子上手动设置静态IP，然后在路由器“设备管理”里，把该IP的“VPN策略”设为“绕过”（也就是直连）。这个选项藏在“设备列表”的编辑按钮里，点开后有“使用全局VPN”和“使用分流规则”和“不使用VPN”三个选项。

我把电视盒子设为“不使用VPN”，其他设备保持“使用分流规则”。这样，电视盒子上的Netflix走直连（配合DNS解锁，能看美区），而手机和电脑的交易流量走VPN。

---

最后的调整：应对“域名被污染”的情况

有些交易所的域名在国内DNS解析时会被污染（返回虚假IP），导致分流规则失效。我的做法是：在小米路由器的“自定义DNS”里，添加一个支持DoH（DNS over HTTPS）的服务器，比如 https://dns.google/dns-query。小米路由器固件支持DoH配置，在“网络设置”的“DNS设置”里，选择“自定义DNS”，然后填入DoH地址。

这样，域名解析不会被污染，分流规则能准确匹配真实IP。而且，DoH的解析结果会缓存在路由器内存里，二次访问时速度更快。

---

关于“按应用分流”的实测：币安App

我测试了一下小米路由器的“按应用分流”功能，在手机（小米14）上安装了币安App，然后在路由器后台的“应用分流”列表里勾选了“币安”。实测效果：App启动时，流量识别正常，延迟从150ms降到60ms。但问题在于，币安App内嵌的WebView（比如浏览行情文章）可能加载其他域名的资源（比如 cdn.binance.com），这些资源如果不在应用识别库内，就会走直连，导致部分图片加载慢。

所以我的最终方案是：“按域名分流”为主，“按应用分流”为辅。域名分流兜底所有交易相关域名，应用分流只用来处理那些域名随机变化的App（比如某些去中心化交易所的钱包）。

---

写在最后：这套配置的维护成本

用了两周后，我总结一下维护成本：

1. 域名列表需要定期更新：交易所的API域名偶尔会变，比如币安曾把 api.binance.com 迁移到 api1.binance.com。我写了个cron脚本，每天凌晨从GitHub上拉取最新的域名列表，然后通过SSH推送到小米路由器（路由器开启SSH后，可以用 uci set 命令修改分流规则）。
2. VPN节点稳定性：香港节点偶尔会抽风，延迟飙到200ms。我在小米路由器上配置了两个WireGuard端点（主备），通过“健康检查”功能自动切换。这个功能在“VPN设置”的“高级选项”里，可以设置ping间隔和失败阈值。
3. 不要忘记固件更新：小米路由器每隔几个月会更新固件，有时候会重置VPN配置。我每次升级后，都会检查一下“策略路由”模式是否还开着。

现在，凌晨三点，我又打开了交易终端。K线跳动流畅，延迟稳定在75ms。我老婆在客厅看抖音，没有任何卡顿。智能马桶盖的报告准时同步，虽然我从来没看过。

这套分流配置，让我在虚拟币的战场上，至少赢在了网络上。至于交易策略？那是另一个故事了。