直连流量尽量通过主路由直连，同时内网所有设备透明代理。为了代理性能和方便管理，OpenWrt 可以跑在再服务器的虚拟机中，因此有必要在其离线时实现自动 failover，将内网降级为正常全直连网络。
过去用 RouterOS (ROS) 主路由（CCR2004） + OpenWrt 网关 + VRRP 实现，不过 ROS 的问题是设备管理不直观，不像 Unifi 的系统一样有着很好的大屏，以及 DPI、IDS/IPS 等功能。同时 ROS 没有 PPPoE 硬件 offload 支持，在这一点上甚至不如几百块的家用无线路由器。
因此我购入了一台 Unifi Cloud Gateway Fiber（UCG Fiber），三个10G口（2光1电）+ 4个2.5G电口，本文将探讨将其代替 ROS 作为高可用魔法（代理）家用网络环境的主路由器的方案和局限性。
（这里的优缺点仅针对本场景）
Unifi UCG Fiber
优点：
缺点：
RouterOS
通过dmesg和拆解图分析得到内部拓扑：
SoC 为高通 IPQ9574，拥有 NSS / PPE 硬件加速功能，CPU 为4x A73 @ 2.2GHz，不算太强，还是比较依赖硬件加速的。
拓扑方面，两个 10G 光口直连 SoC，所有电口（4×2.5G + 10G）连接到内部的 RTL8372 交换芯片，共享一个 10G 链路到 SoC。由于有硬件加速，光口和电口的交换不会占用CPU，但电口侧确实存在带宽瓶颈（虽然一般遇不到）。
硬件方面，内存物理大小共4G，OS中可用3G（包括Unifi宣传的也是3G），大概是有1G被SoC其他组件占用，也可能是ECC。
另外UCG Fiber还有一个加速度传感器用来检测摆放姿态，可以根据姿态调整小屏幕的显示方向。（有时间搞这些能不能把 IPv6 搞完善点啊喂）
为实现 Unifi 主路由 + OpenWrt 全局透明代理 + 高可用，首先 Unifi 作为主路由器，连接光猫进行 PPPoE 拨号，OpenWrt 连接到 Unifi 的 LAN 上作为客户端（类似二级路由，但不同的是终端设备不去连接 OpenWrt），然后利用 Unifi 的双 WAN 主备切换的功能，让 OpenWrt 再作为 Unifi 的一个 WAN，即OpenWrt WAN Loopback，具体如下：
按上述方案配置后，你会发现两个问题：
IPv6 不通：哪怕客户端已经具有了来自 PPPoE 的 v6 地址，但 v6 网络就是不通。这里来到了 Unifi 最逆天的地方了：除非主 WAN 断开，不然在任何情况下都试图让 IPv6 走主 WAN，哪怕主 WAN 都没配 IPv6，导致网络不通。
Unifi 上运行的 WireGuard Server 不通：哪怕 WireGuard Server 上设置了监听的是 WAN2 （PPPoE），只要主 WAN 还在，所有回包都会走主 WAN，导致外界的客户端连不上。最新的Unifi OS 5.0.12 + Network 10.1.84版本已经修复此问题
==> 对于Unifi OS 5.0.12 + Network 10.1.84或更新的版本（2026年2月）：
已经无WireGuard的问题，仅有IPv6问题，而IPv6修复也可以通过Unifi内置的静态路由来实现，不再需要SSH+脚本魔改：
如上图：新建Policy，选择Route，类型选择静态，接口选择WAN2（真正连运营商的WAN），地址填写2000::/3（全球公网v6单播地址）
==> 对于早于Unifi OS 5.0.12 + Network 10.1.84的版本，若在Unifi上使用WireGuard Server，需要通过脚本修复WireGuard Server不通的问题，下方提供了旧版方案的脚本，能一并修复IPv6问题和WireGuard Server问题
需要 SSH 进去并设置自启脚本来修正：
编辑 /data/internet_as_backup_wan_fix.sh ，内容为（按需调整IFACE和WG_PORT）：
#!/bin/sh
# ================= Configuration =================
# backup WAN Interface (real Internet, e.g. PPPoE to ISP)
IFACE="ppp1"
# Routing Table ID for backup WAN (Usually 202 for WAN2)
TABLE="202"
# WireGuard Server Listen Port
WG_PORT="16384"
# Log Tag for syslog
LOG_TAG="UniFi_Network_Fixer"
# =================================================
# Function to clean up rules on exit or restart
cleanup() {
# Remove IPv6 default route
ip -6 route del default dev "$IFACE" metric 1 2>/dev/null
# Remove Policy Routing rule based on Source Port
ip rule del sport "$WG_PORT" lookup "$TABLE" 2>/dev/null
# Remove Force-SNAT rule from NAT table
iptables -t nat -D POSTROUTING -o "$IFACE" -p udp --sport "$WG_PORT" -j MASQUERADE 2>/dev/null
}
# Run cleanup on start to ensure a clean slate
cleanup
logger -t "$LOG_TAG" "Starting network fix script..."
while true; do
# Check if the interface exists
if ip link show "$IFACE" > /dev/null 2>&1; then
# -----------------------------------------------------
# Task 1: Fix IPv6 Direct Access
# Problem: Unifi doesn't add a default IPv6 route for Secondary WAN.
# Fix: Manually add a default route to Main Table via ppp1.
# -----------------------------------------------------
HAS_V6_ROUTE=$(ip -6 route show default dev "$IFACE" metric 1)
if [ -z "$HAS_V6_ROUTE" ]; then
ip -6 route add default dev "$IFACE" metric 1
logger -t "$LOG_TAG" "IPv6: Added default route via $IFACE"
fi
# -----------------------------------------------------
# Task 2: Fix WireGuard VPN Server on Secondary WAN
# Problem: Local UDP traffic uses Primary WAN gateway & source IP.
# Fix A: Policy Routing based on Source Port (Directs traffic to WAN2 Table)
# -----------------------------------------------------
if ! ip rule show | grep -q "sport $WG_PORT lookup $TABLE"; then
# Priority 98 ensures it runs before Unifi's default rules
ip rule add sport "$WG_PORT" lookup "$TABLE" priority 98
ip route flush cache
logger -t "$LOG_TAG" "VPN: Added Policy Routing for Source Port $WG_PORT"
fi
# -----------------------------------------------------
# Fix B: Force SNAT (Masquerade)
# Problem: Source IP might be internal (e.g., 192.168.x.x) even if routed correctly.
# Fix: Force NAT on egress to ensure Source IP matches the Public IP.
# -----------------------------------------------------
if ! iptables -t nat -C POSTROUTING -o "$IFACE" -p udp --sport "$WG_PORT" -j MASQUERADE 2>/dev/null; then
# Insert at top (1) to override any conflicting rules
iptables -t nat -I POSTROUTING 1 -o "$IFACE" -p udp --sport "$WG_PORT" -j MASQUERADE
logger -t "$LOG_TAG" "VPN: Added Force-SNAT rule for port $WG_PORT"
fi
fi
# Check every 30 seconds to handle re-dials or IP changes
sleep 30
done
加上执行权限：chmod +x /data/internet_as_backup_wan_fix.sh
然后使用 crontab -e 并添加以下内容，设置开机自启：
@reboot /data/internet_as_backup_wan_fix.sh > /dev/null 2>&1 &注意：每次底层 Unifi OS 升级后需要重新添加 crontab，因此建议关闭自动更新
附录：或许还有一种更简单但更不优雅的方案，就是 OpenWrt 或者其他运行代理插件的主机再跑一个 WireGuard Server，然后在 Unifi 上用 VPN Client 连接并用策略路由进行分流，但对UCG孱弱的CPU是个挑战，尤其是千兆梯子已经普遍的今天。
另外还有网友提到，组一个 OSPF 并向 Unifi 广播需要代理的网段也是一种办法。
此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。 原文来自 — 版权归原作者所有。