ASUS Router Operations
本技能（asus-router-ops）提供配置与加固华硕路由器的权威指引，适用于官方 Asuswrt 与 Asuswrt-Merlin 固件，操作途径为网页 UI 以及 SSH/nvram。覆盖安全加固、加密 DNS、VPN、网络分段、AiMesh、AiProtection 与 JFFS 脚本。资料声明事实核验时间为 2026-07。
安全第一。此处的更改可能导致你被锁在设备外或网络中断。应在低使用时段测试，记录改动前的值，并明确如何回退。引用官方文档，而不是传言。
官方 Asuswrt 与 Asuswrt-Merlin 对比
官方 Asuswrt：基础为华硕官方固件；脚本能力有限；DNS 控制为基本功能；VPN 提供 OpenVPN/WireGuard 服务端与客户端；适合大多数用户。
Asuswrt-Merlin：基于华硕源码的社区分支（同一核心但控制力更强）；支持 JFFS 自定义脚本、cron、services-start、firewall-start、nat-start；提供 DNS Director（按客户端/全局 DNS 重定向、DoT）；提供 VPN Director（策略/分流路由）；适合想要脚本、精细 DNS/VPN 路由的高级用户。
切勿在同一 AiMesh 网络中混用官方与 Merlin 节点，保持各网状节点的固件系列一致。
安全加固清单（对每台新路由器按顺序执行）
- 立即更改默认值——管理员/登录密码与 WiFi 密码。
- 禁用 WPS——它是暴力破解面。
- 除非某应用确有需要，否则禁用 UPnP（它会创建不可预测的端口转发）。
- 使用显式端口转发，绝不使用 DMZ——DMZ 会暴露整个设备。
- 禁用远程 WAN 管理访问——改用 VPN 远程管理。
- 在可用处启用 AiProtection（双向 IPS + 恶意站点拦截）。
- 设置禁用内网访问的访客网络（真正的隔离）。
- 启用防火墙日志以便安全监控；如有收集器则转发至 syslog。
- 在支持处应用入口过滤（BCP38/84 防欺骗）。
- 保持固件为最新——安全修复随点版本发布。
完整加固理由、VLAN/IoT 分段、AiMesh 回程调优、QoS 与双 WAN 见 references/hardening-and-network.md。
DNS 隐私栈
传输层：DoT（DNS over TLS）或 DoH（DNS over HTTPS）。可阻止明文 53 端口劫持；Merlin DNS Director 可强制 DoT。
提供商：Cloudflare（1.1.1.1）、NextDNS、ControlD、AdGuard。按过滤/分析需求选择。
验证：DNSSEC，验证记录真实性。
按客户端策略：DNS Director（Merlin），可为不同设备/配置文件设置不同 DNS；支持 split-horizon。
重绑定保护：默认开启。可能破坏本地服务（Plex、智能家居）——应白名单特定域名，而不是整体禁用。
避免明文 DNS（53 端口）——未加密且可被劫持。迁移到 DoT/DoH。
VPN 决策表
需要快速现代隧道、低开销：WireGuard 服务端/客户端（在支持处优先）。
需要最大兼容性/旧客户端：OpenVPN 服务端/客户端。
只将部分客户端/流量走 VPN：VPN Director（Merlin）——基于策略的分流。
远程管理路由器：先 VPN 接入，再在 LAN 上管理（绝不暴露 WAN 管理）。
常见客户端：NordVPN、Surfshark、Mullvad 可通过 OpenVPN/WireGuard 配置导入。
网络分段
访客隔离：访客网络并关闭“Access Intranet”。
IoT 隔离：专用访客/VLAN SSID；阻止向主 LAN 的横向移动。
网状网络中一致的访客：在 AiMesh 上刻意启用访客；注意每个节点的“Access Intranet”。
智能家居发现：mDNS/Bonjour 可能需要受控的跨 VLAN 许可——范围要窄。
分段路由：VLAN 分段 + 路由策略（能力因型号而异）。
应避免的模式
反模式：DMZ 模式——会向互联网暴露整个设备；应改为按端口的显式转发。
反模式：全局开启 UPnP——产生不可预测的自动端口转发；仅在需要时启用并理解风险。
反模式：明文 DNS（53 端口）——明文、可被劫持；改用 DoT/DoH。
反模式：AiMesh 中混用官方与 Merlin——行为不一致；保持固件系列统一。
反模式：整体禁用 DNS 重绑定保护——会重新打开重绑定攻击；应白名单出问题的特定本地域名。
反模式：在拥塞信道使用无线回程——吞吐量崩塌；改用有线回程或专用 DFS 5GHz 信道。
反模式：默认管理员/WiFi 凭据——轻易被攻破；立即更改两者。
反模式：启用远程 WAN 管理——重大攻击面；改为通过 VPN 管理。
操作原则
可逆性——更改前记录当前值；清楚回退路径。
可测试性——在低使用时段更改；离开前验证。
权衡——注意隐私与功能的取舍（重绑定保护 vs 本地服务）。
验证——通过系统日志、客户端测试（如 DNS 泄漏测试）或 nvram get 确认。
引用官方文档——避免未经验证的调整。
SSH / JFFS 脚本（Merlin）
Merlin 会在生命周期节点从 JFFS 运行用户脚本。首先启用 JFFS 自定义脚本与配置（Administration → System）。
脚本 services-start：在服务启动后运行；用于启动自定义守护进程。
脚本 firewall-start：在防火墙（重新）构建后运行；用于添加自定义 iptables 规则（可在防火墙重启后保留）。
脚本 nat-start：在 NAT 规则加载后运行；用于自定义 NAT/端口规则。
脚本 dnsmasq.postconf：在 dnsmasq 启动前运行；用于注入 dnsmasq 配置。
使用 nvram get <key> / nvram set <key>=<val> + nvram commit 检查/设置持久配置（谨慎 commit——它会写入闪存）。
assets/firewall-start.sh 模板展示了自定义防火墙规则的规范安全形态。放置位置与注意事项见 references/hardening-and-network.md。
资产
assets/firewall-start.sh：带注释的 Merlin /jffs/scripts/firewall-start 模板——幂等自定义 iptables 规则，含默认安全示例。
另见
net-ops——通用网络：子网、DNS、TLS、防火墙、数据包检查。
关键外部资源
Asuswrt-Merlin 项目 · 文档 · wiki；Merlin 功能（DNS Director、VPN Director）；华硕路由器安全加固 FAQ；华硕防火墙介绍 · Network Services Filter · IPv6 防火墙；AiProtection 概览 · 设置；Cloudflare DoH · ControlD ASUS 设置；SNBForums 社区。
关于具体型号支持范围、命令细节与脚本兼容性，资料未提供的部分暂缺。