OpenWrt 忘记密码怎么办：failsafe 安全模式改密码、firstboot 与恢复出厂设置

先说结论：OpenWrt 的 root 密码忘了是找不回来的，只能重新设置。想保留现有设置，就进入 failsafe（安全模式），执行 mount_root 后用 passwd 改密码；不在乎设置，就恢复出厂：系统运行时按住 Reset 键 5 秒以上松开，或在安全模式里执行 firstboot -y。恢复出厂后地址回到 192.168.1.1，root 没有密码。

本页适用于 OpenWrt 官方原版（本站收录的 25.12.6 也一样）。恢复出厂只对文件名带 squashfs 的固件有效，本站的 x86 镜像是 ext4 版，做法见下文专门的一节。

先判断你是哪种情况

警告恢复出厂会删除你的全部设置，以及后来自己安装的软件包（包括中文语言包和插件）。能登录时先在 System → Backup / Flash Firmware 里点 Generate archive 下载备份。

方法一：网页里恢复出厂（还能登录）

1. 登录 `外部资料（请使用来源按钮访问）
2. 进入 System → Backup / Flash Firmware（中文界面为“系统 → 备份与更新”）。
3. 在 Reset to defaults 处点 Perform reset（中文为“执行重置”），确认。

应看到：设备自动重启，几分钟后可以用 192.168.1.1、用户名 root、空密码登录。

页面上写着这个按钮 “only possible with squashfs images”，ext4 版本没有这个功能。

方法二：长按 Reset 键（系统正常运行时）

OpenWrt 自带的按键规则是：

1. 等设备完全开机（正常工作几分钟后）。
2. 按住 Reset 键，带状态灯的设备在满 5 秒时灯会开始快速闪烁，这时松开。
3. 等设备自动重启。

应看到：重启后用 192.168.1.1、用户名 root、空密码可以登录，Wi-Fi 回到默认的关闭状态。

注意这个规则只在 OpenWrt 已经正常运行时有效，并且要求设备有 OpenWrt 识别得到的 Reset 键。开机过程中按键是另一回事（会进入安全模式，见方法三），断电状态下按住 Reset 再通电，在很多路由器上进入的是厂商的救砖模式。各型号的按键位置和指示灯见型号教程。

方法三：failsafe 安全模式（忘记密码、改坏设置）

安全模式不读取你的设置，用默认地址 192.168.1.1 启动，只开 SSH，不开网页，也不需要密码。

1. 准备电脑网络

1. 电脑用网线接路由器的 LAN 口。有的型号安全模式只在某一个 LAN 口上工作，接上不通时换一个 LAN 口试。
2. 安全模式没有 DHCP，把电脑有线网卡手动设为：IP 192.168.1.2，子网掩码 255.255.255.0。

2. 进入安全模式

开机过程中，OpenWrt 默认会等待约 4 秒，在这段时间里：

• 按设备上的任意按键（通常按 Reset 键）一次，或者
• 接了串口线时，看到 “Press the [f] key and hit [enter] to enter failsafe mode” 后，按 f 再按回车。

步骤：

1. 拔掉电源，再接通电源。
2. 盯着状态灯：OpenWrt 开始启动后状态灯会快速闪烁，这就是等待按键的时间，马上按一下 Reset 键。

应看到：灯闪得更快（进入安全模式），或者灯恢复成较慢的闪烁（错过了，继续正常启动）。错过就断电重来。

提示灯在什么时候闪、什么颜色因型号而异，有的设备没有可用的状态灯。各型号的具体按法见下面“按型号查看”里的教程。

3. SSH 登录

在电脑上打开命令提示符（Windows 10 及以后一般自带 ssh 命令）或终端，运行：

ssh root@192.168.1.1

应看到：不用输入密码就进入命令行，屏幕上有 “FAILSAFE MODE active” 字样。

4a. 保留设置，只改密码

mount_root
passwd

按提示输入两次新密码，然后重启：

sync
reboot -f

重启后电脑网卡改回自动获取，用新密码登录。

4b. 不要设置了，恢复出厂

firstboot -y
sync
reboot -f

不加 -y 时会提示 “This will erase all settings and remove any installed packages. Are you sure? [N/y]”，输入 y 回车确认。

注意reboot -f 如果没有反应，等 10 秒后直接拔电源再接上即可。

4c. 只是改坏了网络设置

执行 mount_root 后，设置文件在 /etc/config/ 目录里（网络是 /etc/config/network，无线是 /etc/config/wireless），可以用 vi 改回去，再 sync 并重启。不熟悉命令行的话，直接用 4b 恢复出厂更省事。

x86 ext4 镜像

本站收录的 x86 文件是 ext4-combined-efi.img.gz。ext4 版本没有可写覆盖区，Reset 键、网页 Perform reset 和 `firstboot` 都不能恢复出厂（firstboot 会报错，例如 “MTD partition 'rootfs_data' not found”）。

• 忘记密码：接显示器和键盘，开机出现 GRUB 菜单时选 “OpenWrt (failsafe)”（菜单默认只停留约 5 秒），等屏幕出现 FAILSAFE 提示后按回车进入命令行，执行 mount_root 和 passwd，再 sync 并 reboot -f。也可以按方法三用网线接第一个网口（默认的 LAN 口），电脑设成 192.168.1.2 后 SSH 登录 192.168.1.1 操作。
• 想彻底恢复默认：重新写一次整盘镜像，见 OpenWrt x86 安装教程。重写会清空这块盘。

按型号查看

进入安全模式时用哪个网口、哪个按键、灯怎么闪，以及刷坏后怎么救砖，各型号不同，请看对应教程：

• 小米 / 红米：小米 AX3000T · 红米 AX6000 · 小米 WR30U · 小米 / 红米 AC2100 · 小米 CR6606 / CR6608 / CR6609 · 小米路由器 3G / 3G v2 · 小米路由器 3 Pro · 小米路由器 4 · 小米路由器 4A 千兆版
• GL.iNet：GL-MT3000 · GL-MT6000 · GL-MT2500 · GL-MT1300 · GL-MT3600BE · GL-X3000 · GL-XE3000
• NanoPi 软路由和树莓派：NanoPi R2S · NanoPi R4S · NanoPi R5S / R5C · NanoPi R6S / R6C · 树莓派 4B · 树莓派 5。这类设备系统在 TF 卡或 eMMC 里，实在不行可以重新写入镜像。
• 用串口进安全模式：USB 转 TTL 串口调试

需要重新刷机时，到 固件列表 下载同型号的文件，例如 小米 AX3000T、GL-MT3000、NanoPi R4S，文件怎么选见 OpenWrt 固件 factory 和 sysupgrade 区别。

常见问题

• SSH 提示 “REMOTE HOST IDENTIFICATION HAS CHANGED”：安全模式每次会临时生成新的 SSH 密钥，和正常系统不同，所以电脑会报警。确认连的是自己的设备后，运行 ssh-keygen -R 192.168.1.1 删掉旧记录再连。
• `ssh: connect to host 192.168.1.1 port 22: Connection timed out`：没进入安全模式，或者网线接的口不对、电脑 IP 没手动设好。重新断电、在灯快闪时按键，换一个 LAN 口试。
• 按 Reset 5 秒以上没有恢复出厂：确认系统已经完全启动；ext4 版本不支持；有的设备 Reset 键不归 OpenWrt 管理，改用安全模式。
• 恢复出厂后还是登不进：地址已回到 192.168.1.1，把电脑网卡改回自动获取再试。之后的设置步骤见 OpenWrt 刷机后第一次设置。
• `passwd` 提示文件只读或改了不生效：先执行 mount_root，再执行 passwd。

资料来源

按 OpenWrt 25.12.6 官方源码中的安全模式启动脚本（preinit）、按键脚本（rc.button/reset、failsafe）、安全模式 SSH 与提示信息、恢复出厂工具 factoryreset（fstools）、状态灯规则、x86 GRUB 菜单，以及对应版本的 LuCI 源码整理（2026-10-22 查阅）。

提示本页按 OpenWrt 官方源码整理，本站没有在每台设备上实机测试。按键、网口和指示灯以你的设备和型号教程为准。