文章目录

引言：你最终能得到什么

想象一下：办公室里有一台 Keenetic 路由器，上面连着营销人员的笔记本、投放人员的办公电脑和几台测试手机。一部分设备需要像往常一样通过家庭宽带上网，而几台选定的设备则要走运营商的移动 IP。本教程要搭建的就是这样一套方案。

完成所有步骤后，你将得到一台 Keenetic 路由器，它会自动判断谁的流量走移动代理、谁直接连接。不需要浏览器插件，也不需要在每个软件里手动填写代理。设备只要连上 Wi-Fi，就会自动通过移动 IP 工作。

这是一篇面向从未接触过路由和访问策略的人的分步指南。我们基于 2026 年现行的 KeeneticOS 4.x 固件，以及内置的代理客户端组件。其他品牌的路由器和第三方固件不在讨论范围内：它们的逻辑不同，菜单不同，坑也不同。

本教程适合谁

  • 营销人员和社交媒体运营，需要让某一台工作笔记本始终通过移动 IP 上网。
  • 投放人员，使用多台设备，希望将它们分流到不同通道，而不用逐台手动配置。
  • 开发者和测试人员，验证服务在移动运营商用户面前的表现。
  • 小团队负责人，希望集中管理访问权限，而不是把配置交给每位员工自己搞定。

需要提前了解什么

几乎不需要预备知识。只要会在浏览器里打开路由器网页界面，会输入用户名和密码就够了。所有术语——界面、访问策略、SOCKS5——我们都会在过程中用大白话解释。只要你曾经在自己的 Keenetic 上改过 Wi-Fi 密码，你就能搞定。

需要多长时间

纯配置时间对新手来说是 40–60 分钟。其中大约十分钟用于安装组件并重启路由器，再十分钟用于在电脑上验证代理，其余用于创建连接、策略和测试。进阶部分会再多花 20–30 分钟，但它并非必须。

前期准备：工具、权限、备份

在改动任何设置之前，先把需要的东西都准备好。这一步虽然枯燥，但很重要：Keenetic 代理设置中一半的问题，都源于手头没有所需数据，然后把自己绕晕了。

需要具备的条件

  • 一台 Keenetic 路由器，系统为 KeeneticOS 4.0 或更新。近几年的大多数型号都支持：Keenetic Giga、Ultra、Hero、Viva、Skipper、Sprinter、Hopper 等。对于仍在使用 KeeneticOS 3.x 的老型号，可能没有代理客户端组件——这种情况下先检查是否有可用的更新。
  • 管理员权限，可以访问路由器网页界面。通常通过 my.keenetic.net 或 192.168.1.1 打开。默认用户名是 admin，密码是你在首次配置时设置的。
  • 路由器上有效的互联网连接。组件需要从 Keenetic 服务器下载，没有网络就装不了。
  • 移动代理的数据：服务器地址、端口、用户名和密码。如果你用的是 mobileproxy.space，这些都在个人中心已购代理的卡片里。那里还有换 IP 的链接——第六步会用到。
  • 一台电脑或笔记本，通过 Wi-Fi 或网线连接到这台路由器。我们会用它来配置和测试。
  • 第二台设备用于对照，比如手机。它会留在普通通道上，方便你直观看到直连流量和走移动 IP 流量的区别。

系统要求

代理客户端组件占用的空间不大，但路由器的闪存并非无限。如果你装了很多额外组件（比如 BT 客户端、文件服务器、多个 IPTV 模块），可能需要先删掉一些。选择组件时路由器会自己提示空间不足。代理客户端对运行内存的影响微乎其微。

创建备份

一定要保存路由器当前的配置。如果过程中出了问题，你两分钟就能恢复原样，而不用从头再配 Wi-Fi 和网络。

  1. 在浏览器中打开 Keenetic 网页界面。
  2. 在左侧菜单中选择管理，然后点击通用设置。
  3. 向下滚动到备份与恢复区块（某些版本中叫系统文件）。
  4. 在 startup-config 文件旁边点击保存按钮。浏览器会下载一个包含当前配置的文本文件。
  5. 把文件重命名得容易辨认，比如 keenetic-config-代理前，然后放到安全的地方。

建议：等一切正常后再做一份副本。这样你就有了两个状态：初始状态和工作状态。做实验时在这两者之间切换很方便。

注意：startup-config 文件以明文包含密码和网络参数。不要把它发到聊天里，也不要存放在公共文件夹中。如果需要给同事看配置，请把敏感行删掉。

基础概念：路由器内部发生了什么

为了不机械地照做步骤，我们先来理解几个概念。总共只有五个，每个用一两段话就能说清。

移动代理和移动 IP

移动代理是一台中间服务器，背后插着运营商真实的 SIM 卡。当你的流量经过它时，网站看到的是来自移动运营商 IP 池的地址，而不是你家或办公室宽带的地址。这类地址在用户之间不断重新分配，因此受到的对待比服务器 IP 更宽松。换 IP 可以通过专门的链接或按定时器触发。

HTTP 和 SOCKS5

这是与代理服务器通信的两种方式。HTTP 代理最初为网页流量设计，能处理浏览器请求。SOCKS5 是更通用的协议：它传输任意 TCP 连接，不关心里面是什么。对于通过路由器做分流来说，SOCKS5 更合适，因为不仅能走网站，还能走即时通讯、邮件客户端、手机上的应用。Mobileproxy.space 在同一个通道上同时提供两种，通常在不同的端口上。

KeeneticOS 中的代理客户端

以前路由器本身不会走代理：在 Keenetic 上配置代理需要安装第三方软件。KeeneticOS 4.x 中出现了内置的代理客户端组件。它在系统中创建一个独立的连接（接口），对路由器来说就像另一条通往互联网的通道。凡是发到这个接口的流量，路由器都会打包并传给代理服务器。

互联网访问策略

通常路由器只有一条出口——宽带。当有多条路径（宽带和代理）时，就需要一条规则来决定哪台设备走哪条路。在 KeeneticOS 中，这条规则叫访问策略。你创建一条策略，让它只使用代理连接，再把需要的设备绑定上去。没有绑定的设备走默认策略，也就是直连。

静态路由

更精细的工具。如果你不想按设备分流，而是只想把对某个特定网站或地址段的访问导向移动 IP，就用路由：某网段——经由某接口。这样一台笔记本在访问工作服务时走移动 IP，访问其他内容时直连。

开始前必须理解的一点：代理客户端只传输 TCP 流量。视频通话、在线游戏和某些基于 UDP 的协议无法通过 HTTP 或 SOCKS5 走。对营销任务、网站操作、社交平台和广告后台来说这不是问题——那里几乎全是 TCP。

第 1 步：获取移动代理数据并在电脑上验证

本阶段目标：确认代理是活的、用户名和密码正确，并搞清楚它会给出哪个 IP。在电脑上测试永远比在路由器上容易：如果哪里不对，你能立刻看到明确的报错。

收集参数

  1. 登录 mobileproxy.space 个人中心。
  2. 打开你的代理列表，选择需要的通道。
  3. 记下四个值：主机（服务器地址，比如类似 имя.mobileproxy.space 或 IP 地址）、SOCKS5 端口、HTTP 端口、用户名和密码。算上两个端口就是五个值。
  4. 找到并复制换 IP 链接。后面会用到，先存到记事本里。
  5. 检查认证类型。如果通道开启了按 IP 认证，请切换到用户名和密码。原因很简单：宽带的外部 IP 会变，按 IP 认证总有一天会毫无征兆地失效。

在电脑上验证代理

最简单的方式是命令行。打开它：Windows 上按 Win+R，输入 cmd 然后回车；macOS 上打开终端。输入以下命令，替换成你自己的数据：

curl -x socks5://用户名:密码@主机:端口 https://api.ipify.org

如果一切正确，会返回一个 IP 地址。它应该与你平时的地址不同。然后用同样的命令检查 HTTP 端口，把 socks5:// 换成 http://，端口换成 HTTP 端口。两种方式都应返回同一个移动地址。

不用命令行的替代方法：在浏览器中打开系统代理设置（Windows：设置、网络和 Internet、代理服务器），临时填入 HTTP 代理。第一次请求时浏览器会询问用户名和密码。打开任意 IP 检测服务并记下结果。测试后务必关闭系统代理，否则之后你会搞不清是路由器在起作用还是电脑上的设置在起作用。

建议：记下得到的移动 IP 和运营商名称。后续步骤中你会拿它来对比结果，一眼就能看出流量是否正确地经过路由器。

检查：curl 命令返回了与你家庭宽带不同的 IP，而且 SOCKS5 和 HTTP 两种方式都是。没有 407 Proxy Authentication Required 或 Connection refused 之类的错误。

可能遇到的问题

  • 错误 407 —— 用户名或密码错误。从个人中心重新复制，检查是否多带了空格。
  • Connection refused 或 timeout —— 端口或主机错误。确认没有把 SOCKS5 端口和 HTTP 端口搞混。
  • 返回了你平时的 IP —— curl 没有使用代理。检查语法：-x 参数要在代理地址前面。

第 2 步：在 KeeneticOS 中安装代理客户端组件

本阶段目标：给固件添加一个能创建代理连接的模块。没有它，界面里根本不会出现需要的菜单项。

检查固件版本

  1. 打开 Keenetic 网页界面。
  2. 在首页系统监控中找到系统信息区块。那里会显示 KeeneticOS 版本。
  3. 如果版本以 4 开头——很好，继续下一步。如果以 3 开头——进入管理、通用设置，在更新区块中点击检查更新。安装可用版本，重启后回到这一步。

更新需要 3–7 分钟。期间路由器不可访问，整个网络都会断网。如果是在工作时间操作，提前通知同事。

添加组件

  1. 进入管理，然后点击通用设置。
  2. 找到更新与组件区块，点击更改组件集合按钮。
  3. 会打开按类别分组的组件列表。展开网络功能类别（或者用顶部的搜索框输入 прокси 这个词）。
  4. 找到代理客户端这一项。旁边可能有简短说明：通过 HTTP 或 SOCKS5 代理服务器连接网络。
  5. 在它前面打勾。
  6. 注意页面底部已占用空间的指示条。如果它变红了，就取消勾选不需要的组件，比如你从来没用过的模块。
  7. 点击安装更新或应用按钮——名称取决于界面版本。
  8. 路由器会下载组件并重启。等机身指示灯停止闪烁、页面重新打开。通常需要 2–4 分钟。

注意：安装组件期间不要把路由器从插座上拔下来。写入闪存时中断，可能导致设备只能通过应急恢复模式来救。

建议：趁路由器重启时，在旁边的标签页打开代理个人中心。下一步需要的数据就在眼前，不会打乱节奏。

检查：重启后打开互联网，点击其他连接。页面上出现了新的代理服务器区块（或通过代理的连接），带有添加按钮。如果区块出现了——组件就装对了。

可能遇到的问题

  • 列表里没有这个组件。大概率是固件低于 4.0，或者该型号不支持这个组件。再检查一次更新，或者到 Keenetic 文档中确认你的型号是否支持。
  • 空间不够。关掉不用的组件。可以考虑删掉的：打印服务器、DLNA、BT 客户端、界面额外语言。
  • 路由器重启后没回来。再等五分钟。如果界面还是打不开，用 192.168.1.1 而不是 my.keenetic.net 访问。

第 3 步：创建到移动代理服务器的连接

本阶段目标：把你的移动代理注册为路由器上的独立连接，并确认路由器能连上它。

填写连接表单

  1. 打开互联网，然后点击其他连接。
  2. 在代理服务器区块中点击添加连接。
  3. 会打开表单。在连接名称字段输入容易辨认的名字，比如 移动 IP МТС 或 代理投放。它会显示在接口列表里，所以要好认。
  4. 在类型（或协议）下拉列表中选择 SOCKS5。如果没有这个选项，就选 HTTP——对网页任务来说差别不大。
  5. 在服务器地址字段粘贴个人中心里的主机名。不要带 socks5:// 之类的前缀，也不要带端口——只填名称或 IP。
  6. 在端口字段输入与所选类型对应的端口。SOCKS5 填 SOCKS5 端口，HTTP 填 HTTP 端口。这是最容易出错的地方，反复确认。
  7. 填写用户名和密码为代理的凭据。
  8. 找到用于访问互联网开关。把它保持关闭。如果打开，路由器会把这个连接加入总通道队列，可能会被所有设备使用——我们不需要这样。我们会通过策略来控制。
  9. 自动连接（或启用）开关保持打开。
  10. 点击保存。

查看状态

保存后连接会出现在列表中。旁边显示状态。10–20 秒后它应该变成已连接，行中可能出现接口的内部地址。如果状态长时间停留在连接中或错误，重新打开连接，检查端口和凭据。

还可以查看系统监控。在页面顶部的连接区块中，新的代理连接会和主宽带通道并列显示。以后快速诊断时很方便：一眼就能看出连接是否还活着。

建议：如果你有多个移动代理（比如不同运营商的通道），现在就为每一个创建独立连接。按运营商和用途命名。以后你可以用策略在不同设备之间分配。

检查：在连接列表中你的代理标有绿色指示或状态已连接。系统监控的接口清单中也有它。目前还没有任何设备走它——这很正常，下一步就是干这个的。

可能遇到的问题

  • 状态为授权错误。路由器收到了服务器的响应，但用户名或密码不对。重新复制一遍。外观相似的字符（拉丁字母 l 和数字 1）在手动输入时经常搞混。
  • 状态为无响应。主机或端口错误，或者路由器上的主网络不通。确认宽带通道正常——代理正是通过它连接的。
  • 连接不断重连。可能是代理端启用了按 IP 认证，而你的外部地址不匹配。切换到用户名和密码。

第 4 步：配置访问策略并绑定设备

本阶段目标：告诉路由器哪些设备走移动 IP，哪些直连。在 Keenetic 上通过代理分流部分流量的关键就在这一步。

创建策略

  1. 打开互联网，点击连接优先级。在较新的 KeeneticOS 版本中它可能叫互联网访问策略，位于网络规则中。
  2. 你会看到默认策略，里面列出了路由器的所有连接，按优先级排列。不要动它。
  3. 点击添加策略。
  4. 在名称字段输入，比如 走移动 IP。
  5. 下方会显示可用连接列表和开关。只打开你的代理连接。宽带通道和其他所有连接都保持关闭。
  6. 注意：某些界面版本允许选择当策略中唯一的连接不可用时的行为。如果有这个选项，你自己决定：让设备断网直到代理恢复（对多账号运营更安全），还是切换到主通道（日常办公更方便）。对工作账号我们建议选第一种。
  7. 点击保存。

为什么只启用代理？如果把宽带通道留在策略的第二位，代理稍有卡顿，路由器就会把设备切到直连。对营销任务来说这很危险：账号会突然以你的真实 IP 暴露。

绑定设备

  1. 直接在策略页面上找到设备绑定区块。里面列出了网络中所有已注册的客户端及其名称和 MAC 地址。
  2. 找到需要的笔记本或手机。如果名称看不懂，就在设备自身的网络设置里查看 MAC 地址并对比。
  3. 把设备拖到你的新策略中，或在设备对应的下拉列表中选择它——方式取决于界面版本。
  4. 对每台需要走移动 IP 的设备重复操作。
  5. 更改立即生效，无需重启。

另一种方式：进入我的网络和 Wi-Fi，点击设备列表。点击设备会打开它的卡片。里面有访问策略字段——选择刚创建的策略并保存。设备很多、需要逐个编辑时这种方式更方便。

注意：绑定到策略的设备必须是已注册的。未注册的客户端（在列表中没有固定记录）在重新连接 Wi-Fi 后可能会掉回默认策略。在设备卡片中点击注册，最好再给它固定一个 IP 地址。

建议：把绑定的设备重命名，让名称里包含 代理 或 移动 字样。比如 笔记本 Ольга 移动。一个月后你不会记得谁是谁，但在列表里一目了然。

第一次测试

在绑定的设备上打开浏览器，访问任意 IP 检测服务。你应该看到第一步记下的移动地址，或同一运营商池中的另一个地址。在没绑定的对照手机上打开同一个服务——那里应该是普通的宽带 IP。如果就是这样——恭喜，主要目标已经达成。

检查：绑定设备显示移动 IP，未绑定设备显示宽带 IP。在系统监控中，从绑定设备打开页面时，代理连接的图表上出现了流量。

可能遇到的问题

  • 绑定设备显示普通 IP。检查策略中是否真的关掉了宽带通道。然后把设备重新连接 Wi-Fi，让规则刷新。
  • 绑定设备没有网络。代理连接断了，或者 UDP 流量被阻断。打开一个普通的 HTTPS 网站——如果能打开，而即时通讯不行，那就是 UDP 的问题。
  • 绑定时列表里没有策略。你没有保存它。回到连接优先级，确认策略已创建。

第 5 步：精细分流——只让选定的网站走移动 IP

本阶段目标：学会不按整台设备分流，而是只把对特定地址的访问导向代理。这是更灵活的方案：员工通过移动 IP 操作广告后台，而视频通话和云文档直连，不占用移动通道流量。

什么时候需要这样做

  • 移动代理套餐流量有限，需要节省。
  • 同一台设备上既有工作服务，又有重型后台任务。
  • 需要让某个访问已知服务器的特定工具走移动 IP。

确定目标地址

路由器按 IP 地址而不是网站域名来路由。所以先查出目标服务的 IP。在电脑命令行中输入：

nslookup example.com

你会得到一个或多个地址。大型服务有几十个地址而且会变，所以对它们来说更正确的做法是使用整个子网。运营商会在公开注册表中发布子网信息，也可以取一个地址加上 /24 掩码，覆盖相邻的 256 个地址。

添加路由

  1. 打开网络规则，点击路由。
  2. 点击添加路由。
  3. 在路由类型字段选择到网络的路由（如果要覆盖子网），或到节点的路由（单个地址）。
  4. 输入目标网络地址，比如 203.0.113.0，以及子网掩码 255.255.255.0。
  5. 在接口字段展开列表，选择你的代理连接。它会以你在第三步起的名字显示。
  6. 网关字段留空——对代理接口来说不需要。
  7. 勾选自动添加，让路由在重启后自动恢复。
  8. 点击保存。

这种路由对所有处于默认策略上的设备生效。绑定到第四步策略的设备本来就全部走代理了。

组合方案

两种方式可以结合。比如投放人员的笔记本整体走移动 IP，其他员工直连，但为几个工作服务添加精细路由。路由器可以很好地同时处理策略和静态路由：先检查设备策略，然后在策略内部查路由表。

建议：把添加的路由列表保存在单独文档中，注明每条是给哪个服务的。半年后服务的 IP 可能变化，你需要知道该更新什么。

检查：从未绑定的设备上，IP 检测服务显示宽带地址，而访问已加入路由的子网中的网站时走代理。可以通过把 IP 检测服务本身的子网加入路由来验证：它会开始显示移动地址。

可能遇到的问题

  • 路由不生效。服务使用了不在你子网内的其他地址。多执行几次 nslookup，收集所有变体。
  • 网页部分内容直连。网站的静态资源和 API 在其他域名和 IP 上。把它们的子网也加上。
  • 重启后路由消失了。没有勾选自动添加。

第 6 步：更换移动 IP 和使用多个通道

本阶段目标：学会按需换 IP，而不用碰路由器设置，并为多个代理准备好方案。

通过链接换 IP

移动代理有一个让它特别方便的特性：地址可以改了而不用重新配置。在 mobileproxy.space 个人中心里，每个通道都有一个换 IP 链接。在浏览器中打开它就行——运营商会分配新地址，而路由器甚至不会察觉：与代理服务器的连接保持不变，变的只是运营商侧的外部地址。

  1. 从个人中心复制换 IP 链接。
  2. 在任何设备（哪怕是没绑定策略的）的浏览器中打开它。服务器会返回确认。
  3. 等 5–15 秒。
  4. 在绑定设备上刷新 IP 检测页面——地址变了。

这个链接也可以从脚本中调用：同样的 curl 命令，不带 -x 参数。这为按计划自动轮换打开了大门，我们会在进阶部分讨论。

按定时器轮换

如果在通道设置中启用了每隔几分钟自动换 IP，路由器上不需要额外做什么。设备会继续工作，活动的 HTTPS 会话可能会短暂重建——这很正常。对于长会话任务（下载大文件、长表单），最好关掉自动换 IP，在任务之间手动更换。

一台路由器上的多个移动代理

方案扩展起来很简单。每个移动代理创建一个独立连接（第 3 步）和一个独立策略（第 4 步）。然后把设备分配到各策略中。例如：

  • 策略 运营商 A —— 同一项目团队的两台笔记本。
  • 策略 运营商 B —— 测试手机和第二台笔记本。
  • 默认策略 —— 其他所有办公设备。

每台设备在自己的策略中只看到自己的移动 IP。互不交叉，服务也不会因为共用地址而把不同组的账号关联起来。

注意：同一策略中的所有设备在每一时刻共用同一个移动 IP。如果你的任务要求每台设备都有唯一地址，就给每台分配独立通道和独立策略。同一个服务的多个账号共用一个通道——这是你要有意识承担的风险。

建议：把换 IP 链接加入电脑浏览器的书签，起个清楚的名字。一键——新地址。比每次打开个人中心快多了。

检查：打开换 IP 链接后，绑定设备上的地址变了，同时路由器中代理连接的状态仍为已连接，不需要重连。

验证结果：完整检查清单

逐条过一遍。每一项都应该通过。如果有哪项没过——回到对应步骤，括号里标了章节。

检查清单

  • 在 其他连接 中有状态为 已连接 的代理连接（第 3 步）。
  • 创建了只启用代理连接的策略（第 4 步）。
  • 需要的设备已注册并绑定到该策略（第 4 步）。
  • 绑定设备在检测服务上显示移动 IP（第 4 步）。
  • 未绑定设备显示宽带 IP（第 4 步）。
  • 打开换 IP 链接后，绑定设备上的地址会变（第 6 步）。
  • 设置在路由器重启后仍然有效：在 管理、重启 之后一切照旧（所有步骤）。
  • 已备份工作配置（准备阶段）。

如何深入测试

  1. 泄漏测试。在绑定设备上打开多个不同的 IP 检测服务，包括通过 WebRTC 显示 IP 的。它们都应该显示移动地址或没有数据。如果哪怕有一个显示宽带 IP——说明有流量绕过了代理，通常是通过 UDP。
  2. 应用测试。在绑定的手机上打开你计划使用的应用：社交平台、广告后台、即时通讯。确认它们能加载。基于 UDP 的应用（视频通话）可能不工作——这是预期内的。
  3. 稳定性测试。让绑定设备工作 30–60 分钟。然后在系统监控中查看代理连接是否有中断。流量图表不应有长时间的空洞。
  4. 重启测试。重启路由器，五分钟后在两台设备上重复 IP 检查。

成功完成的标志

成功是这样的：你把新设备连上 Wi-Fi，两次点击把它绑定到策略——它立刻就走移动 IP 工作。用户那边谁都不用配置任何东西。换地址只需几秒，通道之间的隔离严格且可预测。这就是在 Keenetic 上配置代理的正确姿势。

常见错误与解决办法

我们收集了在 Keenetic 上配置代理时最常遇到的问题。格式是：问题、原因、解决办法。

设备已绑定，但 IP 仍是宽带 IP

原因：策略中宽带通道和代理一起启用了，路由器把它当作更高优先级。或者设备未注册，重连后掉回了默认策略。

解决办法：打开策略，关掉除代理外的所有连接。在设备列表中注册设备，固定 IP。把设备重新连接 Wi-Fi。

代理连接显示授权错误

原因：用户名或密码打错了，或者通道启用了按 IP 认证，而路由器外部地址不在白名单中。

解决办法：从个人中心重新复制凭据。在通道设置中选择按用户名和密码认证。在路由器上重新保存连接。

网站能打开，但即时通讯或通话不行

原因：代理客户端只放行 TCP。语音和视频通话使用 UDP。

解决办法：这是技术限制。对于通话很重要的设备，使用精细分流（第 5 步）：工作服务走代理，其他直连。或者给通话单独分一台默认策略上的设备。

路由器重启后代理起不来

原因：代理连接启动得比宽带通道获得地址更早，第一次尝试失败。或者关闭了连接的自动启动。

解决办法：确认自动连接开关已打开。等两三分钟——路由器会重复尝试。如果还不行，打开连接不改任何内容重新保存一次。

部分流量绕过了代理

原因：策略中启用了备用通道，或者测试通过 UDP 经 WebRTC 显示了 IP。

解决办法：从策略中去掉备用通道。对关键任务，在浏览器中关闭 WebRTC，或使用能自行管理它的指纹浏览器。

通过代理的速度明显下降

原因：移动通道天生比有线慢，还取决于基站的负载。另外路由器还要花资源打包流量。

解决办法：不要让重型流量走代理——更新、视频、云备份。使用精细分流，只让工作服务走移动 IP。在电脑上用 curl 测一下代理本身的速度，把通道限制和路由器问题区分开。

绑定时设备不在列表中

原因：设备很久没连接，路由器把它从活动列表中移除了，或者它连的是不参与策略的访客网络。

解决办法：把设备连接到主 Wi-Fi 网络并注册它。访客网段不适合这类任务。

安装组件时空间不足

原因：闪存被其他组件占满了。

解决办法：在组件集合中取消勾选不用的模块。最常见的是文件服务和媒体服务。装完代理客户端后如果空间允许，可以再把它们装回来。

进阶用户的额外功能

基础方案已经能覆盖大多数任务。下面是几个扩展方向。每一个都需要你对路由器操作稍微更有信心。

为移动 IP 单独开一个 Wi-Fi 网络

与其逐个绑定设备，不如创建一个自带 Wi-Fi 的网段，把策略分配给整个网段。任何连接到这个网络的设备都会自动走代理。

  1. 打开我的网络和 Wi-Fi，点击网段（或家庭网络然后添加网段）。
  2. 点击添加网段，给它起个名字，比如 移动，并为它启用一个带独立名称和密码的 Wi-Fi 接入点。
  3. 在网段设置中找到访问策略字段，选择已创建的策略。
  4. 保存。现在办公室有两个网络：普通网络和输出到移动 IP 的网络。

这对团队来说很方便：新员工只需告诉他对应网络的密码，没有任何管理上的麻烦。

通过 Entware 按计划自动换 IP

如果你的 Keenetic 有 USB 接口，可以在 U 盘上安装 Entware 包环境并按计划运行命令。这样路由器就能自己触发换 IP 链接，比如工作时间内每 30 分钟一次。

  1. 通过组件集合安装开放包支持（OPKG）组件。
  2. 准备一个带 ext4 分区的 U 盘，按 Keenetic 官方说明安装 Entware——过程大约 15 分钟。
  3. 通过 SSH 连接到路由器，安装 curl 和 cron 包，命令是 opkg install curl cron。
  4. 在 crontab 中添加一行，例如：0,30 9-19 * * 1-5 curl -s '换IP链接' —— 这会在工作日 9 点到 19 点每半小时触发一次更换。
  5. 重启 cron，确认 IP 按计划更换。

请记住，Entware 独立于 KeeneticOS 主系统运行，不影响内置代理客户端。固件更新不会破坏 Entware，但每次更新后检查一下计划任务是否正常总没坏处。

从路由器命令行检查状态

KeeneticOS 有自己的命令行界面，在启用相应组件后可通过 Telnet 或 SSH 访问。命令 show interface 加上你的代理接口名称，会显示它的状态、运行时间和流量计数。当你想不打开网页界面就快速判断通道是否活着时，这很有用。命令 show running-config 会输出全部当前配置，你可以在其中找到代理连接的段，确认参数已保存。

通道故障通知

在管理、诊断和通知中可以设置通过电子邮件或 Keenetic 手机应用发送事件。开启连接状态变化通知。代理挂掉时，你会比员工开始抱怨网络不通更早知道。

按时间分流

KeeneticOS 中的日程表可以按时间开关连接。如果移动代理只在工作时间需要，就给代理连接设置日程：9 点到 20 点启用，夜间关闭。没有备用通道的策略上的设备在这段时间会断网——对于不应在夜间活跃的工作账号来说，这可能正是想要的行为。

优化

  • 给绑定的设备固定 IP 地址——这样规则应用得更稳定。
  • 在工作时间关闭绑定设备的系统和应用自动更新，避免占满移动通道。
  • 定期查看系统监控中代理连接的流量图表：异常峰值会指出哪台设备在偷偷下载。

FAQ：关于在 Keenetic 上配置代理的常见问题

能不能不安装额外组件就在 Keenetic 上配置代理？

不能。KeeneticOS 出厂不带代理客户端，需要通过组件集合添加。这只要几分钟，除了联网和闪存空间外不需要别的。

该选 HTTP 还是 SOCKS5？

如果你的固件版本和代理服务商都支持，就选 SOCKS5。它传输任意 TCP 流量，不只网页。HTTP 适合你只用浏览器和广告后台的情况。

手机上的应用能用吗，还是只有浏览器？

能用，前提是它们使用 TCP。社交平台、文字模式即时通讯、邮件、广告后台都可以。使用 UDP 的语音和视频通话无法通过代理客户端。

一条策略可以绑定多少台设备？

几乎没有技术限制。但请记住：它们共用同一个移动 IP。做多账号运营时，一个通道放一台设备比较合理，或者仔细把账号分到不同组。

设备本身需要改什么吗？

什么都不用。方案的意义正在于此：设备只要连上 Wi-Fi，分流由路由器负责。只需确认第一步测试后设备上没有残留的系统代理。

如果移动代理暂时不可用会怎样？

取决于策略。如果其中只有代理连接，绑定设备会断网直到恢复。如果加了备用通道，它们会切到备用，但会暴露真实 IP。对工作账号我们建议第一种。

可以用按 IP 认证代替用户名和密码吗？

可以，但不推荐。宽带分配给路由器的外部地址会周期性变化，按 IP 认证会在意想不到的时候失效。用户名和密码更稳定。

这个方案会影响普通设备的速度吗？

不会。默认策略上的设备直连，和以前一样。代理客户端只对真正经过它的流量占用路由器处理器。

怎么快速恢复原样？

两种方式。快速：把设备从策略解绑，删除代理连接。彻底：通过 管理、通用设置、恢复区块 恢复保存的 startup-config。路由器会重启到初始状态。

固件更新会破坏配置吗？

通常不会：连接、策略和路由都会保留。更新后过一遍验证章节的检查清单——这花五分钟，能让你安心。

结语

总结一下。你在 KeeneticOS 中安装了代理客户端组件，创建了到移动代理的连接，搭建了访问策略并把需要的设备绑定上去。此外你还搞懂了按地址的精细分流，学会了单击换移动 IP，并看到了如何把方案扩展到多个通道。所有这些都无需在终端设备上安装任何东西。

这种做法最大的优势是可控性。配置集中在一处——路由器上。新设备一分钟就能接入。工作岗位上的人为失误不会导致真实 IP 泄漏，因为分流不由他管，而由你管。

接下来做什么

  • 备份工作配置，并标注日期。
  • 通过系统监控观察代理连接几天的稳定性。
  • 如果团队在扩大，转向进阶部分中单独 Wi-Fi 网段的方案——这样可以省去手动绑定。
  • 设置连接状态通知，第一时间知道故障。

发展方向

下一个层次是自动化：通过 Entware 按计划轮换 IP、为不同项目使用不同通道、把换 IP 链接集成到你的工作脚本中。另一个方向是把路由器与指纹浏览器结合：路由器在网络层面提供移动 IP，浏览器在配置文件层面提供唯一指纹。两者结合，隔离性远胜单独使用其中任何一个工具。

如果第一次没成功——这很正常。回到检查清单，找到结果与预期不符的那一步，再做一遍。方案简单又可靠，做过一次之后，你就能在十五分钟内为任何新路由器重复这套 Keenetic 代理配置。