原来的情况是这样（咱也不懂网当时瞎摸索搞的），就是加了一个旁路由，然后旁路由上连着其实就一台旧的Qnap和appleTV，主要就是旁路由一直挂着T子，这样就分开不影响，需要T的就都在这一边，其他设备还是主路由那边。无线连接的，就根据需要连接，这样不要多设置啥。看起来很笨，但是能实现我的要求。
但是，现在我的旁路由挂掉了，硬件挂掉那种，旧NAS也老态龙钟了。所以想有没有办法把这俩拿走（旧NAS也还能用，不过如果不要也能实现，最后都撤了），还能有原来那种效果的，就是要不要T子分开比较清楚
其实NAS里就极个别容器需要长期挂T比较方便，后面只能主路由挂T子的话，能不能指定给某个容器单独长期挂着代理，其他的容器资料访问这些还是用国内网的？
另外就是原来的方案里，那台主力Nas偶尔想用T子是怎么办，一直没搞明白，网络这块确实不懂

代理的入口筛一下ip，开白名单

把主nas开虚拟机搞旁路由

如果主路由挂T，不设限制所有设备都会出去。可以2楼那样在主路由T子设置ip分流，那些ip走t，那些ip不走。这主路由负责无线ap，又做交换机事情，现在又做T子要看看负载。另外，不加硬件做软路由挂T的话。你看看主nas挂个容器或虚拟机，装个openwrt再挂T子。

macvlan

说一下进展，我把那俩撤了，主路由挂T，但是我这个Nas安装docker应用拉不到镜像啊，用pc联wifi能直接访问dockerhub，这是怎么搞的？

passwall可以用规则列表，指定哪些地址爬梯子，哪些不爬

主路由换个X86的迷你机装openwrt，有足够精细的防火墙和流量控制以及梯子插件。
不需要旁路由，我也一直不推荐旁路由这种方式