踩了不少坑，记录一下最后各个设置参数和避雷手段，希望能帮到大家。
首先，我家里的网络布局如图所示，只有IPV4——
来说下为啥这样做，首先入户盒子小，想平时关闭盒子保持大厅的整洁美观，即不想放在外面还摆个凳子、桌子放一堆路由器、NAS啥的。
光猫性能较弱，能桥接就尽量桥接，让自己的路由器拨号，而且光猫如果关闭DHCP万一出了问题很难登陆处理（特别我这种始终保持光猫wifi关闭的选手），所以我是光猫直接一个网段192.168.1.1，然后桥接到路由器复制拨号，网段另设为192.168.2.1（第三位随便2-255的数字都可以）。
路由器性能仍较弱，无法满载挂酸酸乳Clash之类的，所以需要用到软路由，但是软路由又多一个设备和跳线，性价比和美观实用方面完全不如群晖NAS做虚拟旁路由。（NAS单线即可）
首先群晖安装VMM，设置网络打开Open vSwitch功能。
下载OpenWrt固件，群晖是amd64或者x86_64，我这次找到的这里下载，推荐直接Plus版，https://openwrt.mpdn.fun:8443/?dir=lede%2Fx86_64
下载好后，在群辉VMM里面，映像——硬盘映像（导入）——虚拟机（新增往下拉有个“导入”）
用户电源管理也不用打钩，直接安装后启动——连接——当屏幕打印如下图所示信息，按回车键。
运行命令修改网络配置：
vi /etc/config/network默认配置如下：
config interface 'lan'
option type 'bridge'
option ifname 'eth0'
option proto 'static'
option ipaddr '192.168.1.1' #默认openwrt ip地址
option netmask '255.255.255.0'
option ip6assign '60'修改为：
config interface 'lan'
option type 'bridge'
option ifname 'eth0'
option proto 'static'
option ipaddr '192.168.2.2' #主路由192.168.2.1,旁路由我设置192.168.2.2
option netmask '255.255.255.0'
option ip6assign '60'按 ESC 输入:wq 保存并退出。运行下面命令，重启网络使配置生效，当然你也可以群晖VMM重启虚拟机都行：
/etc/init.d/network restart重启后即可以用你刚才设置的ip进入路由器进行管理了——
修改网关、DNS为主路由ip、关闭DHCP、关闭ipV6、取消桥接（如果不能上网再——添加防火墙规则）
到这里，如果你已经能上网，那么恭喜你，端口转发相关的设置你就只需要在主路由进行设置即可！
如果不能，试着在防火墙自定义规则下添加如下句段——
iptables -t nat -I POSTROUTING -o eth0 -j MASQUERADE如果不取消桥接，则添加的防火墙规则改为
iptables -t nat -I POSTROUTING -o br-lan -j MASQUERADE“不加防火墙规则不能上网的，一般是华为、小米、360（其实基本都必须要加才能上网）等主路由器，原因是，这些路由器会校验数据包的ip和mac地址的对应关系。国内包的上行经过旁路由转发给主路由时，主路由发现旁路由发过来的数据包ip不是它自己的，校验失败，所以网络不通了。
然后加了防火墙规则，上边那条规则的意思是执行SNAT功能，就是把数据包的源ip改成当前机器的，也就是旁路由的ip。这样ip和mac地址对应，网络通了。
所以个人总结，先不加规则，如果网络能通，恭喜你，最佳性能。如果必须加规则网络才能通，那么勉强用着吧，所有流量都要经过旁路由，非最佳。
个人网上看到的一些情况，本人也是一知半解，说错也不复杂，不要喷我。”
登陆主路由设置网关和DNS为虚拟机（即OpenWrt）地址，以我的华硕路由器为例——
登陆群晖，重新设置网关和DNS（有强迫症可以设置完后再自动获取一下也可以）——
至此就设置完成，顺利的话用手机连一下wifi点下详细信息就可以看到网关变成了192.168.2.2，DNS服务器则是192.168.2.2/192.168.2.1两个。
另外再补充一下加入了那句话两层nat后，具体如何进行端口转发，以及这种情况下群晖创建SMTP服务无法发信或者无法收信的解决方法（想了3个晚上，试了很多方案最后终于成功了，呜呜呜），直接上图吧——
主路由：（均指向OpenWrt地址）
虚拟路由：
DNS解析：
群晖的域和主机名（FQDN）都直接填sirongzi.xyz的原始域名，你的发件人也是xxx@sirongzi.xyz这样。
——————————————————
以下运行OpenClash避坑指南：
需要自己安装内核，推荐自己下载后再上传，毕竟启动第一步如果自动下载的话，那速度，根本下不下来。
Clash内核https://github.com/vernesong/OpenClash/releases/tag/Clash
TUN模式内核https://github.com/vernesong/OpenClash/releases/tag/TUN-Premium
下这个版本的，别下v3会报错（惨痛经历）clash-linux-amd64.tar.gz
请解压后确认名称为Clash（无后缀名）再上传，上传位置（不好找……）
会提示文件已成功上传到 “/etc/openclash/core/”，进群晖VMM点连接，按enter进入命令模式
cd /etc/openclash/core/
chmod 777 clash如果传错了可以这样删除——
TUN的也一样（也是命名为Clash上传，会自动识别的，但是上传的时候记得选TUN）——
另外，订阅地址不是ssr订阅地址，可以直接用Clash托管链接很方便。
其他具体设置就各凭喜好了，下面给出本人的推荐，马上用手机连wifi试试效果吧~
——————————————————————————————————————————
这里再给出一种你OpenClash配置好后只使用一层NAT不伪装IP，而通过OpenClash实现伪装IP顺利上网的方法：
同时防火墙删掉那句伪装IP的话iptables -t nat -I POSTROUTING -o eth0 -j MASQUERADE
然后在主路由进行端口转发直接转到目标地址如NAS之类的，好处：看似只用一次转发，坏处：OpenClash挂了或者配置文件/远程服务器有问题就直接全家断网。
所以，不推荐，不如上面两层NAT，就端口转发需要设置两次比较麻烦，当然你路由器直接不加那句话能上网就是无敌的，比如N1、AX86U（都是网上看到的，不一定保证可以）之类的。
参考引用：
https://www.cnblogs.com/osnosn/p/14253536.html
https://codeantenna.com/a/L0EYdJ6au4
https://adao.me/ruanjian/216.html