“OpenWrt One 上手手册：双 Flash、VLAN、WireGuard 与救援全流程”
OpenWrt One 是 OpenWrt 社区成立二十周年时交出的第一块”官方署名”硬件，代工方是 LeMaker（Banana Pi）。它的卖点不是跑分：双核 Cortex-A53、两个网口、1 GB 内存，纸面上打不过同门的 BPI-R4。真正的卖点是两件东西——双 Flash 带来的可恢复性，以及官方参考平台待遇：回归测试跑在它上面，出问题修复优先级最高。
下面按”到手 → 上电 → 刷写 → 组网 → VPN → 救援”的顺序走一遍，性能数字标注来源，可按自己的场景对号入座。
硬件：主角是双 Flash
| 项目 | 规格 |
|---|---|
| SoC | MediaTek MT7981B（Filogic 820），双核 Cortex-A53 @ 1.3 GHz |
| 内存 | 1 GB DDR4 |
| 存储 | 256 MiB SPI NAND（跑系统）+ 16 MiB SPI NOR（恢复用） |
| 网口 | 1× 2.5GbE RJ45（默认 WAN，支持 PoE）+ 1× GbE RJ45（默认 LAN） |
| Wi-Fi | MediaTek MT7976C 双频 Wi-Fi 6，2×2 2.4 GHz + 3×3 5 GHz，支持零等待 DFS |
| M.2 | 2242/2230 插槽，仅 PCIe NVMe（Gen2 x1），不支持 SATA |
| USB | 1× USB 2.0 Type-A；USB-C 为 console 口（内置 Holtek 转串口芯片） |
| 其他 | mikroBUS 扩展口、RTC（CR1220）、硬件看门狗、JTAG 排针 |
| 供电 | USB-C 走 USB-PD；也可通过 2.5G 网口做 802.3af/at PoE 受电 |
| 尺寸 | 148 × 100.5 mm，沿用 BPI-R4 铝壳设计 |
双 Flash 是这块板子最值得说的设计：NAND 承载日常系统，NOR 里放着写保护的恢复 bootloader（默认 WP 跳线保护，可跳线解除）。板上还有 NAND/NOR 启动拨档，配合恢复流程，构成”刷坏了也能救回来”的完整链路。容量口径要留意：官方文档写 256 MiB NAND + 16 MiB NOR，评测机构的规格表写过 128 MB / 4 MB 的组合，采购前以自己手上批次的丝印为准。
开箱：套件与外壳
完整套件包含：已装好壳的主板、30 W 电源适配器、USB-C 电源线、十字螺丝刀、螺丝与跳线帽、四个橡胶脚、三根 Wi-Fi 天线。
铝壳是被动散热，主板和天线出厂已装好，接口集中在一侧，正面只留 USB-A 与那个”只能当串口、不能当充电口”的 USB-C。
供电两条路：USB-C 走 USB-PD，套件里那枚 30 W 电源就是干这个的；或者通过 2.5G 网口做 802.3af/at PoE 受电，AP 位部署一根网线搞定供电和回程。
上电、进系统、第一件事是改密码
- 1. 启动拨档拨到 NAND，USB-C 或 PoE 上电；三灯轮闪后转为绿灯常亮。
- 2. 网线插 1G 口：25.10 系列固件默认 1G 口为 LAN、2.5G 口为 WAN。有用户报告出厂批次两者相反，插上去不通就换另一个口试。跑 2.5G 至少用 CAT6。
- 3. 浏览器开
http://192.168.1.1，或ssh root@192.168.1.1：出厂预装固件、已装 LuCI，用户名 root、密码为空。 - 4. 立即
passwd设强密码，再进 LuCI 完成首次设置向导。
刷写与升级
推荐路径有三条：LuCI 图形升级、Attended Sysupgrade（ASU）在线构建、命令行 owut upgrade。手动刷写就是把固件拷进 /tmp/ 再执行：
sysupgrade openwrt-mediatek-filogic-openwrt_one-squashfs-sysupgrade.bin # 保留配置
sysupgrade -n openwrt-mediatek-filogic-openwrt_one-squashfs-sysupgrade.bin # 全新开始刷写过程 1–3 分钟，中途断电才有麻烦。记住一句：sysupgrade 保留配置，不保留你自己装的包。升级前先记下包清单，升级后 opkg update 重装，LeMaker 指南里连”刷机后第一条命令恢复包清单”都写好了。
组网：VLAN 需要一台 managed switch
只有两个物理网口，做网络分段的标准做法是”trunk 进交换机、交换机做 access”，路由器侧只处理打了标签的子接口。LeMaker 官方指南给的例子是在 br-lan 上派生 br-lan.10（IoT）和 br-lan.20（访客），各自独立 DHCP：
# VLAN 子接口
uci set network.vlan10=device
uci set network.vlan10.type='8021q'
uci set network.vlan10.ifname='br-lan'
uci set network.vlan10.vid='10'
uci set network.vlan10.name='br-lan.10'
# 接口与地址
uci set network.iot=interface
uci set network.iot.proto='static'
uci set network.iot.device='br-lan.10'
uci set network.iot.ipaddr='192.168.10.1'
uci set network.iot.netmask='255.255.255.0'
# 每个 VLAN 独立 DHCP 池
uci set dhcp.iot=dhcp
uci set dhcp.iot.interface='iot'
uci set dhcp.iot.start='100'
uci set dhcp.iot.limit='150'
uci set dhcp.iot.leasetime='12h'
uci commit network && uci commit dhcp
/etc/init.d/network restart && /etc/init.d/dnsmasq restart分段规则、防火墙 zone 的完整写法见文末指南链接，VLAN ID 按自己现场替换。
WireGuard：够用，但要认清上限
opkg update && opkg install wireguard-tools luci-proto-wireguard
wg genkey | tee privatekey | wg pubkey > publickeyUCI 建接口（proto 设为 wireguard）、填私钥与 listen_port=51820、加 peer 的公钥与 allowed_ips、persistent_keepalive=25，防火墙侧放行 UDP 51820，图形端用 luci-app-wireguard。MTU 保持 1420，走 PPPoE 拨号的现场改 1392。
DNS 隐私：stubby 一把梭
opkg update && opkg install stubby配置走 UCI：stubby 监听 127.0.0.1@5453、上游填 Quad9 与 Cloudflare 的 DoT 服务器、round_robin_upstreams=1；再把 dnsmasq 上游指到 127.0.0.1#5453 并置 noresolv=1（不再读 /etc/resolv.conf），/etc/init.d/stubby enable && start。验证：nslookup example.com 127.0.0.1，logread | grep stubby 里应看到 TLS 会话。
性能与资源：数据都标来源
| 场景 | OpenWrt One | 对照 BPI-R4 |
|---|---|---|
| 有线转发基线（不加密，10GbE 测试台） | 单流 2.35 Gbps / 4 流 2.36 Gbps | 9.35 / 9.41 Gbps（开硬件卸载） |
| WireGuard（MTU 1420）单流 | 490 Mbps | 1,580 Mbps |
| WireGuard（MTU 1420）4 流 | 610 Mbps | 2,450 Mbps |
| WireGuard（MTU 1280）4 流 | 520 Mbps | 2,050 Mbps |
| WireGuard 4 流期间 CPU | 约 99%，两核打满 | 约 53% |
两条结论。第一，2.5G 口不加密时已跑满线速，瓶颈不在交换而在物理口。第二，WireGuard 全靠软件加密，两个 A53 核在四条流时几乎打满，剩约 26% 基线——LeMaker 自家基准据此建议”加密后需要 500 Mbps 以内”的现场选它，更高的选 BPI-R4；它的另一篇指南正文写”约 800 Mbps”，与这张基准表不一致，本文按基准表。MTU 从 1420 降到 1280 还要再掉 16%。
第三方评测的实测口径（AndroidPIMP，2024-12 评测、2025-01 更新）：iPerf3 约 916 Mbps；跑满 1G 宽带时 930–970 Mbps；21 ℃ 室温无风扇，SoC 约 59 ℃、Wi-Fi 芯片约 50 ℃，MT7981B 规格上限 85 ℃；干净系统 htop 显示 988 MB 内存用了 220 MB。
M.2 插槽实测（Fanxiang S700 1 TB，fio 60 秒）：读 324 MiB/s、写 315 MiB/s，接口能力停在 Gen2 x1，插再快的盘也不会更快。装机细节官方论坛讲得更细：只认 PCIe NVMe，不认 SATA；2242 双面颗粒会被 2230 的螺丝柱挡住，单面颗粒好装；固定螺丝是 M2×3 mm 的 0 号十字，官方 wiki 注明部分批次的 2230 螺柱是拆件、包装里没有固定件。
救援：串口、failsafe、USB 重刷、NOR
- – 串口 console：接前面板 USB-C（内置转串口芯片，必须是数据线，充电线不通），115200 8N1。刷 uboot 阶段有没有输出，全看这一步。
- – failsafe 模式：开机看到
Press the [f] key...时按f，进干净 shell，mount_root后修配置，或firstboot -y && reboot清空重来。 - – USB 重刷：FAT32 U 盘放固件文件，拨档 NAND，按住 Reset 上电，LED 全灭后松手，等绿灯——正常刷写流程本身就是这条路。
- – NOR 全量恢复：NAND 彻底坏了才用。FAT32 U 盘放
snand-preloader.bin+factory.ubi，拨档拨到 NOR，按住前面板按钮上电。 - – NOR 本身重刷：
mtk_uartboot从串口灌 bl2 与 FIP，进 uboot 菜单走 TFTP 写 flash，需要 NOR/WP 跳线与 TFTP 服务。
扩展：mikroBUS、PoE 与选购判断
mikroBUS 口可以接 Mikroe 的 click 板——官方列的应用场景是传感器（温湿度、运动）、无线模块（蓝牙、Wi-Fi、Zigbee）、显示与输入、电机与灯控这几类；PoE 走 2.5G 网口受电，单根网线供电取电，AP 位部署省事。代价是三个短板写死：两网口、USB 2.0、1 GB 内存。想加第三个网口，只能把 M.2 让给 Intel I225 网卡（kmod-igc）。
适合谁：1G 宽带跑满、WireGuard 用量在四五百兆以内、需要 VLAN 分段、希望设备”救得回来”的 home lab 与家庭网关；作为官方参考平台，固件回归与修复优先级是隐性福利。不适合谁：多网口刚需、加密后还要 1 Gbps 以上、要 USB 3.x 挂硬盘的现场。AndroidPIMP 的评测结论与此一致：优点是不用 DIY、开箱即用、软件支持强、双 Flash 抗救，缺点列价格、USB 2.0、网口数量与内存；它当时记的购买口径是 AliExpress 全套约 89 美元（含金属壳、PoE 模块、三根天线、电源），同价位对照是约 100 美元、但网口更多的 BPI-R4。
小夏点评
- – 官方把”双 Flash + 拨档 + failsafe”当成第一块硬件的主卖点，思路很清楚：先把可恢复性做扎实，再谈性能。这种平台买回家，刷机失败的心理成本几乎为零。
- – WireGuard 的账要算清：2.5G 口线速没问题，一上加密就掉到基线的四分之一左右，两核全占。按官方基准口径，家里宽带 500 Mbps 以内选它稳妥，再高请上 BPI-R4 或 x86。
- – 对中国做 IT 运维和开发的读者，启示在三点：双 Flash 的恢复设计值得抄进自己的设备选型清单；sysupgrade 会吞掉自装软件，升级手册和包清单必须常备；以及厂商官方博客与第三方评测对同一块板子的描述可能互相矛盾——采购参数以官方文档和板上丝印为准。
参考链接
- – LeMaker Blog：OpenWrt One Setup Guide 2026 — <https://blog.lemaker.org/openwrt-one-setup-guide-2026-vlans-wireguard-dns-privacy-recovery>
- – LeMaker Blog：WireGuard Throughput Benchmarks — <https://blog.lemaker.org/wireguard-throughput-benchmarks-filogic-routers-bpi-r4-vs-openwrt-one/>
- – LeMaker Blog：BPI-R4 Pro vs BPI-R4 vs OpenWrt One（官方参考平台/回归测试优先级的出处）— <https://blog.lemaker.org/bpi-r4-pro-vs-bpi-r4-vs-openwrt-one-2026/>
- – OpenWrt Wiki：OpenWrt One（ToH）— <https://openwrt.org/toh/openwrt/one>
- – Banana Pi 官方文档：BananaPi OpenWRT-One — <https://docs.banana-pi.org/en/OpenWRT-One/BananaPi_OpenWRT-One>
- – AndroidPIMP：Banana Pi OpenWrt One Review — <https://www.androidpimp.com/embedded/openwrt-one-router>
- – OpenWrt Forum：OpenWrt One 的 M.2 与 NVMe 装机讨论 — <https://forum.openwrt.org/t/openwrt-one-use-b-key-ssd-in-m-2-slot/236801>
