不少正在使用旁路网关VPN的家庭、小型办公用户，为了获得新协议支持、修复已知的连接异常问题，都会选择更新设备固件，但很多人忽略了旁路网关本身的特殊架构属性，直接套用普通路由器的固件更新流程操作，轻则所有VPN分流规则失效、西柚VPN设备切换指南流量直接漏到公网，重则整个内网的路由配置全部混乱，需要花数小时逐一排查恢复。本文就围绕旁路网关VPN固件更新注意事项，梳理从更新前准备到更新后验证的全流程操作要点，避开绝大多数普通用户容易踩的隐形坑。
更新前的配置备份与离线环境校验
很多用户更新固件前只会随手导出一份系统全量配置文件，忽略了旁路网关的功能特殊性：它本身不承担内网DHCP分配任务，所有内网设备的网关指向都由主路由控制，一旦更新过程中旁路网关临时故障，内网基础上网不会中断，但所有走VPN分流的设备会直接脱离隧道保护。所以备份的时候不能只导出通用系统配置，还要单独导出你手动添加的VPN节点配置文件、分流规则的黑白名单、自定义的防火墙端口放行规则，这类自定义内容很多通用固件的全量备份不会自动收录，一旦更新过程中配置覆盖失败就会全部丢失。
接下来要做固件包的基础离线校验，不要把刚下载好的固件包直接往网页后台上传，先拔掉旁路网关的WAN口网线，只留管理用的电脑接在它的LAN口上，进入后台的固件手动上传页面，先确认当前运行的固件版本号和你要更新的目标版本之间，有没有跨大版本的强制过渡要求。部分开源旁路固件跨多个大版本直接升级会出现分区表损坏，必须先刷指定的中间过渡版本，才能正常升级到最新正式版。
更新过程中的网络环境隔离操作要点
很多用户更新固件的时候还保持旁路网关和主路由的全连接状态，西柚甚至后台还开着自动生效的VPN分流规则，这个时候更新过程中网关设备会多次重启，内网的设备很容易在这个空隙里把DNS请求直接发到公网，出现短时间的出口IP跳变，哪怕你后续重新连上VPN，也很难判断之前的漏流是固件问题还是配置本身的问题，干扰后续的故障排查基准。
用户在固件更新前提前备份旁路网关的各类配置文件，做好离线校验规避后续操作风险。
正确的操作方式是正式点击更新按钮之前，先登录主路由的管理后台，把所有设备的默认网关临时改回主路由本身，暂时取消所有指向旁路网关的静态路由配置，用管理机访问公网IP查询站点，确认所有设备现在的公网出口都是主路由之后，再回到旁路网关的后台启动更新流程。整个更新过程不要手动断电，也不要在其他内网设备上测试外网连接，避免网关重启阶段收到异常的配置请求，干扰更新进程。
更新后的核心功能逐项验证流程
固件刚更新完第一次进入后台，先不要急着直接恢复之前备份的旧配置文件，首先查看系统概览页的CPU、内存占用是否在正常区间，有没有出现核心进程反复崩溃的报错提示。很多用户图省事直接导入旧配置，结果旧配置里的自定义开机脚本和新固件的内核版本不兼容，导致后台反复重启，最后连管理页面都无法正常访问。
接下来先验证基础的VPN节点连通性，手动单独连接一个之前已经配置完成的节点，把管理机的网关临时切回旁路网关，访问公网IP查询站点确认当前出口IP是对应节点的地址，没有出现本地公网IP泄露的情况，之后再测试分流规则的生效情况，访问分流规则里指定走VPN的对应站点，确认路由走向符合之前的配置预期，确认没问题之后再把其他设备的网关逐步切回旁路网关。
之后还要验证隐私边界相关的配置，测试分流规则里指定不走VPN的内网服务、IoT智能设备，确认它们的流量不会被错误导入VPN隧道。很多固件更新后默认的策略路由优先级会被重置，原本设置的内网设备直连规则会失效，导致摄像头、NAS备份流量全部走VPN隧道上传，无端占用大量外网带宽。
常见故障的快速定位避坑指南
如果更新之后出现所有VPN节点都无法连接的情况，先不要急着重新刷写固件，先检查新固件有没有默认开启之前未启用的防火墙区域隔离，很多旁路固件更新后会把LAN口和WAN口的转发规则默认收紧，导致VPN隧道的出站请求被直接拦截，手动放行对应的端口和转发规则之后大概率就能恢复正常。
如果出现部分设备能正常走VPN、部分设备完全打不开旁路网关后台的情况，要检查新固件的DHCP服务默认状态，很多用户之前为了搭建旁路网关特意关闭了DHCP服务，部分固件更新后会默认把DHCP服务重新打开，和主路由的DHCP服务冲突，就会导致内网部分设备获取到错误的IP地址，无法正常访问网关。
最后提醒大家不要盲目追最新的测试版固件，很多测试版固件的旁路网关VPN分流功能没有经过完整的场景验证，很容易出现随机断流、规则随机失效的问题，稳定使用的话优先选择官方标注为稳定Release的版本，更新前可以先去对应的开源社区查看同型号设备用户的更新反馈，确认没有大面积的分流功能bug之后再执行更新操作。
