# 快速自检核对清单（一页纸，修改配置后必检查）

> 适用：单网口 OpenWrt 旁路由 OpenClash redir\-host \+ 群晖 qBittorrent
> 主路由：\[192\.168\.1\.1\]\(192\.168\.1\.1\)
> 
> 

## 🔹 一、ARP 劫持检查（核心，防止全网卡顿）

* [ ] SSH 软路由执行 `ps | grep arpspoof`，**无 arpspoof 进程**

* [ ] 电脑 macOS 执行 `arp -a`，`192.168.1.1` MAC 地址 = **主路由原生 MAC**，不是软路由 MAC

* [ ] OpenClash 网页：ARP 劫持 / 局域网 ARP 欺骗 ❌ 取消勾选，保存并重启内核

## 🔹 二、OpenClash 内核 \& nft 规则检查

* [ ] `ps | grep clash`，存在 clash 主进程 \+ openclash\_watchdog 看门狗

* [ ] `nft list ruleset | grep -i clash` 有输出：

    * [ ] DNS 劫持规则：`th dport 53 ... redirect to :53`

    * [ ] TCP/UDP 流量跳转规则：`ip protocol tcp jump openclash`

    * [ ] QUIC 拦截规则：`udp dport 443 ... reject`

> 备注：`chain openclash {}` 为空属于 fw4 正常现象，无需处理
> 
> 

* [ ] OpenClash 模式：✅ redir\-host；监听网卡选择软路由单 LAN 网卡

## 🔹 三、业务连通性测试（分两类设备）

### 设备 A：网关 = \[192\.168\.1\.1\]\(192\.168\.1\.1\)（不使用代理，群晖 qb 属于这类）

* [ ] \[ifconfig\.me\]\(ifconfig\.me\)：显示**家庭宽带公网 IP**，不是代理 IP

* [ ] [dnsleaktest\.com](https://dnsleaktest.com)：DNS 为国内公共 / 运营商 DNS，无境外 DNS 泄露

### 设备 B：网关 = 软路由 IP（需要走代理）

* [ ] 国内网站：直连，IP 为宽带 IP

* [ ] 匹配规则的境外站点：返回代理 IP

* [ ] [dnsleaktest\.com](https://dnsleaktest.com)：DNS 由 OpenClash 接管，无泄漏

* [ ] `ping 223.5.5.5`，延迟稳定，无大量丢包，全网无卡顿

## 🔹 四、群晖 qBittorrent 专项检查

* [ ] 群晖系统网关保持 `192.168.1.1`（不修改为软路由）

* [ ] qBittorrent 设置：仅 Tracker 按需配置代理，Peer 流量直连

* [ ] 查看 qb 日志，确认 Tracker 按预期走代理，Peer 流量不走代理

## 🔹 五、故障快速判断

- 开启 OpenClash 全网卡顿 → 大概率 ARP 劫持没关干净，重新核对 ARP 部分

- 内核进程存在，但流量不劫持 → 检查监听网卡，重启 OpenClash 内核重新注入 nft 规则

- DNS 泄露 → OpenClash 开启 DNS 劫持，禁用上游 UDP DNS

---

你可以把【综合配置文档】\+【一页自检清单】一起复制保存为 Markdown 文件本地存档。
需要我把两份文档合并成**单个完整 md 文本**，直接一次性复制保存吗？

> （注：部分内容由豆包工作 AI 生成）