在现代网络环境中，尤其是家庭或小型企业网络中，OpenWrt作为一款高度可定制的开源固件，正被广泛用于路由器设备上，其强大的功能之一就是支持IPSet（IP集合），这为网络管理员提供了更精细、高效的流量控制能力，当结合VPN服务（如WireGuard、OpenVPN等）使用时，ipset可以显著提升性能、增强安全性,并实现基于IP地址或CIDR段的动态访问控制策略。
什么是ipset？ipset是Linux内核的一个扩展模块，允许用户将多个IP地址、端口或子网组合成一个逻辑集合，从而替代传统iptables规则中逐条匹配的方式，相比直接用iptables添加成百上千条规则，使用ipset可以大幅减少规则数量，提高匹配效率,尤其适用于需要频繁更新黑名单或白名单的场景。
在OpenWrt中配置ipset与VPN联动,通常有以下几个典型应用场景：
-
自动阻断恶意IP
你可以创建一个名为“malicious_ips”的ipset集合，定期从威胁情报源（如AbuseIPDB、FireHOL等）拉取已知攻击IP列表，然后通过脚本自动导入到ipset中，在iptables中设置一条规则，将该集合中的所有IP流量重定向至DROP，这样就能快速阻止来自这些IP的连接请求,无论它们是否通过你的VPN隧道传输。 -
基于地理位置的访问控制
如果你运行的是OpenVPN服务器，可以通过GeoIP数据库（如MaxMind GeoLite2）将国家/地区映射为IP段，再利用ipset建立“allowed_countries”集合，仅允许特定国家的IP接入，只允许中国、德国和美国的IP通过你的OpenVPN登录，其他全部拒绝，这种方式比纯用户名密码认证更加安全,且无需修改客户端配置。 -
动态分流（Smart Routing）
在使用多跳代理或混合模式（如Split Tunneling）时，可以将国内网站IP（如百度、腾讯、阿里云）加入一个名为“china_traffic”的ipset，然后设置规则：如果数据包目的IP属于此集合，则不走VPN，而是直连；否则强制走VPN，这不仅节省带宽成本，还能避免不必要的延迟——尤其适合那些需要高速访问本地资源但又希望加密敏感数据的用户。
如何在OpenWrt中实际操作？
第一步：安装必要工具
opkg update opkg install ipset iptables-mod-conntrack
第二步：创建ipset集合
ipset create malicious_ips hash:net ipset add malicious_ips 1.2.3.0/24
第三步：编写iptables规则
iptables -I FORWARD -m set --match-set malicious_ips dst -j DROP
第四步：自动化更新（可选）
使用cron定时任务调用Python脚本或shell脚本,从API获取最新IP列表并更新ipset。
值得注意的是，ipset本身不会影响路由决策，它只是辅助iptables进行高效匹配，合理设计ipset结构与iptables规则顺序至关重要,避免出现规则冲突或漏判。
OpenWrt + ipset + VPN 的组合，是一种兼具灵活性与高性能的解决方案，无论是用于网络安全防护、智能分流还是访问控制，都能显著提升网络管理水平，对于高级用户而言，这种组合甚至可以作为构建企业级SD-WAN或零信任架构的基础组件之一，掌握这一技术,意味着你已经迈入了网络工程的进阶领域。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
