Fanx's Blog

软路由与 DNS 折腾笔记

Sat, 08 Apr 2023 00:00:00 GMT

前言

在几年前玩过软路由，配置是 J4125，当时觉得 OpenWrt 过于难配置、很多 Package 必须在编译的时候加上，当时是直接装了 Ubuntu 拨号，iptables 做 NAT 转发，再用 Docker 起一些服务，也够用，但是后来换了 AX3600 以后，就不想折腾送给朋友了。

随着使用 NAS、Xbox、Apple TV 等对网络需求的日益提高，以及 ShellClash 的内存泄露和 AX3600 连开个源都要耍猴等诸多问题，去年中旬购入了一台畅网 N5105，从 OpenWrt 到 ESXI 到 PVE、再到编译固件、云编译、折腾 DNS，过程很有意思，也很久没写博客了，就记录一下。

2024-05-12 更新：

更换 MosDNS 为 SmartDNS

0x00 初见

和大多数初次接触软路由的小白一样，用 U 盘安装 PE 以 img 写盘的方式写恩山上的镜像，问题在于：

硬件 OpenWrt 太浪费，另外很多小众功能在这种嵌入式系统中支持不友好。

要什么软件包只能看作者有没有编译好，没有的话自己装有很多编译时就要加上的内核级依赖，安装时必出错。

一大堆功能自己用不上。

折腾完后再做改动可能出问题，一出问题又要重装重新配置。

那有没有一种方案可以解决这些问题，还能什么都能跑，又能随时恢复呢？

0x01 虚拟化

ESXI

中间学习编译固件和配置直通等基础操作也没什么讲的，网络上太多相关资料了，这里就不多说了。

ESXI 解决了我几大问题：

OpenWrt 系统只要 1 核 1G 内存就够用了，不浪费硬件，甚至对于不在 OpenWrt 上跑 Docker 的来说，1G 内存都是奢侈。资源得到了极大的节省。

虚拟机可以随时备份，不用担心出问题了重装，还可以随时恢复。

OpenWrt 跑不了的，或者不想破环 OpenWrt 系统环境，可以创建另外的虚拟机。

已经很理想了对吧，直到家里断了一次电，ESXI 老牛拉破车般的启动速度也就不说了，甚至还把 OpenWrt 的虚拟磁盘搞挂了，顺便再记录一下修复命令吧：

很幸运，这次只是小问题，但是在找解决方法的过程中，发现了还有人甚至 vmdk 都消失了。

另外在 ESXI 中再启动其它虚拟机，如果运行时间比较长还有几率出现虚拟机内磁盘消失的情况，可能 N5105 对于企业级的平台来说还是太弱了，所以也就放弃了 ESXI。

PVE

直到遇见了 PVE，底层 Debian、LXC 模板一键部署虚拟机、惊人的启动速度、热修改虚拟机硬件配置，确实很强大

目前来说 PVE 使用上方便、稳定，暂时没有出现任何问题，最主要的就是不要什么东西都在 PVE 上跑，用 LXC 快速部署一台 Linux，用完就删，稳定性也非常好，温度表现上也比 ESXI 好太多。

至此，PVE 成为了我的主力虚拟化平台，接下来就是 OpenWrt 上令人头疼的 DNS 了。

0x02 DNS

OpenClash 内置分流

OpenClash 写好规则可以达到较为理想的分流效果，但是如果要加入去广告等功能，规则可能达到几万条，这在 PC 平台可能没什么问题，但是我一向习惯于统一管理，手机、路由器等设备都用同一份规则，不仅仅是路由器平台的处理效率低下，而且 iOS 对于 APP 的内存限制非常严格，并且 iOS 平台 stash 的处理性能也十分有限，于是使用了 AdGuardHome

AdGuardHome

流程图：

似乎也很完美，但是不管是只使用 OpenClash 还是搭配 AdGuardHome，在使用过程中发现了两个问题：

1. 国际厂商 DNS 分流

例如 Apple、Microsoft，这两大厂商在大陆有 CDN 但是部分服务只有国外 IP，由于运营商优化了这一点使得不同地区解析到的 IP 虽然是国外的，但基本上是最优的（排除某些地区或某些运营商的垃圾 DNS 和线路）

那就出现了一个问题：

通常 Apple、Microsoft 服务是选直连，但是会触发 FallBack,使得请求变得非常慢，例如：

外区 APP Store/Apple Music 中，部分国区没有的 APP/音乐，大陆的 CDN 中没有此资源，会导致请求变得非常慢，甚至下载失败。

iOS 网络检测域名：captive.apple.com，大陆的 CDN 中没有此资源，被 Fallback 到直连很差的 IP，导致网络检测失败，弹窗提示无法连接到互联网，Windows 网络检测域名：www.msftncsi.com 也偶现此问题，但 Azure 线路比较好，出现的概率比 iOS 小很多。

2. 猝不及防的 iOS 16 DNS 安全更新

如果说 OpenClash 启用 绕过中国大陆 IP，再让 Microsoft、Apple 的域名走代理，那么有大陆 CDN 有资源的会直接直连，否则走代理，这样似乎又完美解决了，直到 iOS 16 的正式版发布，Apple 宣布了 DNS 安全更新：

如果您的网络支持发现指定解析器（也称为 DDR ），则 DNS 查询将自动使用 TLS 或 HTTPS。要使用加密的 DNS，您的设备需要知道解析器支持 TLS 或 HTTPS，并且可能还需要学习端口或 URL 路径。诸如 DHCP 或路由器播发等常见机制仅提供普通 IP 地址。DDR 是 Apple 与其他行业合作伙伴在 IETF 中开发的一种新协议。

截止至写本文时（2023-04-09），AdGuardHome 对此支持仍不完善，导致 iOS 16 设备解析缓慢，甚至无法解析，日志中也有一大堆 SERVFAIL，Github 中也有人提出了这个问题，但是官方给出的解决方案与版本更新仍然不完美，即使使用了上面说的 绕过中国大陆 IP & Microsoft 、Apple 走代理，也会出现 DNS 解析缓慢的问题，并且还带来一个问题，如果节点不稳定或直接挂了，那 iOS 设备直接判断无网，导致频繁弹窗，或触发无线局域网助理功能，这样虽然 Wi-Fi 是已连接的状态，但是实际走的是蜂窝网络。

MosDNS

综上所述，目前看来需要一个这样的 DNS 服务器：

支持国际厂商 DNS 分流

支持 iOS 16 安全 DNS

支持去广告

支持 DNS 缓存

于是找到了 MosDNS，目前来看是最完美的解决方案，它支持 DNS 缓存、DNSSEC、DOH/DOT 等功能，iOS 16 也完美支持，而且还支持域名分流。

微软某些服务会验证返回 IP 真实性（Xbox 居多，例如微软模拟飞行），如果你出现了某些服务无法访问，除了真的可能是连接问题，还有可能是 DNS 验证失败，这时候你可以尝试检查一下你的 DNS 服务器是否支持 EDNS 和 DNSSEC。

流程图：

对于我来说 MosDNS 内置的配置文件已经非常完善，只需要手动勾选 TCP/DoT 连接复用 和 启用 EDNS 客户端子网 完成功能性问题即可，并且内置了去广告规则，但是目前来看去广告需求不是那么大了，DNS 层只能去广告域名，还有很大一部分网站还是会通过 URL 的方式加载，所以我还是使用了浏览器插件的方式去广告

MosDNS 设置远程 DNS 必须使用 DoT，如果你使用的是 DoH，那么 Bootstrap 最好也使用国外的，因为如果是大陆的 DNS 服务作为 Bootstrap，那么对于节点来说可能并不是最快的 IP，这样会影响本就不快的 Fallback 速度，如果使用的是 DoT，由于不需要被 Bootstrap 解析，所以可以被节点连接查询 IP，在 Clash 控制面板中也能看到 Process 为 MosDNS，对节点来说能拿到最快的 IP。

SmartDNS

在一段时间的使用下来，发现连接一些国内的网站并不能优选，且运营商 DNS 解析到的 IP 有时不是最优

为了更好的网络体验，调研一番以后，决定使用 SmartDNS + OpenClash 这样的组合

并且通过 OpenClash 分流国内外 DNS 查询

SmartDNS 服务使用的端口为：6053

第二 DNS 服务器端口为：6153

流程图：

之前 ImmortalWrt 默认配置了 SmartDNS 的第二服务器，但是在最新的版本中已经删除了，所以我们需要手动配置一下

已删除: https://github.com/immortalwrt/packages/commit/f187ad1d5d5e86f37760631aef764c4f05dc709f

首先设置好第二 DNS 服务器的端口和组名，我这里设置为 6153 和 Global

然后在 高级设置 里选择 测速模式 为 tcp-syn:443,tcp-syn:80,ping, 这样可以选择日常访问时最快的 IP 地址，再删除 域名TTL 的默认值，默认 3600 太长了，删除后会使用上游 DNS 的 TTL，最小 TTL 我设置成了 3 秒（默认 600 秒），因为某些视频网站的 PCDN 的域名 TTL 可能会很短，所以设置成 3 秒，这样可以避免 DNS 缓存导致访问缓慢，，附上我的配置截图:

常规设置：（不勾选 自动设置 Dnsmasq）（打码部分为运营商 DNS）：

你也可以填写你喜欢的国内公共 DNS 服务商

注意这里的 DNS 配置最好填写 DOT，因为不需要额外 Bootstrap 解析和协议开销，国外组的服务器组名填写 Global（和上一步设置的一样），另外在配置 Global 组 DNS 服务器时，记得勾选 从默认组中排除，以免影响到国内组解析

OpenClash 配置：

由于 Fallback 即将被弃用，我们将使用 nameserver-policy 来分流 DNS，达到 DNS 分流和防泄露的效果

勾选 自定义上游 DNS 服务器

不勾选 追加上游 DNS、追加默认 DNS

NameServer 使用 SmartDNS 第二服务器

FallBack 和 Default-NameServer 可不填

OpenClash 集成了 nameserver-policy 的自定义功能，所以我们可以很方便的配置，在自定义选项中加入：

如果你的订阅提供商的节点域名解析比较奇怪，可添加一个 SmartDNS 国内组或是任意你喜欢的国内 DNS 服务器到 default-nameserver 并勾选 节点域名解析 或在配置文件的 DNS 下添加类似下面的选项:

以下为示例

为什么不用 fake-ip？

fake-ip 的优点是可以解决 DNS 污染、响应速度快等，但是缺点也很明显，无法解决国际厂商 DNS 分流，导致国际厂商的服务无法直连，而且也无法解决 iOS 16 的 DNS 问题、DNS 不能缓存、BT 下载无法使用、部分游戏无法连接、加速器的节点全是 1ms 等一大堆兼容性问题，当然这些问题都可以通过 fake-ip-filter 解决，但是这样就失去了 fake-ip 的优点，而且维护起来也很麻烦，所以我还是选择了 redir-host 方案，只要配置正确也不会出现 DNS 污染的问题。

虽然 Clash 内核移除了 redir-host，但是 OpenClash 作者在 v0.45.87-beta 版本中解决了这个问题：

除 Meta 内核，其他内核的 redir-host 模式均改为使用 fake-ip 进行模拟（上游内核已移除 redir-host）

所以 OpenClash 还是可以正常使用 redir-host 模式的。

另外由于原版内核已停更，现更建议使用 Meta 内核

附：Clash DNS 防泄露最简配置

nameserver 中 "#节点选择" 这部分修改为你的策略组名称

OpenWrt 配置不完全指北

Fri, 21 Jul 2023 00:00:00 GMT

0x00 前言

基于 PVE + ImmortalWrt 23.05 编写，其他版本可能会有一些差异。

功能：路由器作为网关，通过 OpenClash 代理，同时支持 IPv4 和 IPv6，通过 SmartDNS 实现 DNS 分流和优选

关于为什么要使用 SmartDNS，可以参考我的另一篇文章: 软路由与 DNS 折腾笔记。当然如果你嫌麻烦也可以不用 SmartDNS，直接使用 OpenClash 的 DNS 功能。

本配置之所以称为 “指北”，是因为大多数人第一次接触 OpenWrt 时，看见 LuCI Web 界面里的各种配置选项会 “找不着北”，因此这篇文章命名为《OpenWrt 配置指北》

0x01 PVE

网卡直通

编辑文件: /etc/default/grub

找到以下行:

修改为

参考:
https://github.com/ivanhao/pvetools/issues/34

更新 grub

重启

常规

只选择一个开机自启动就好

操作系统

选择 不使用任何介质，因为我们要导入 OpenWrt 直接作为磁盘

右边操作系统选择 Linux 6.x - 2.6 Kernel

系统

机型选择可选q35和i440fx，q35 更新一点，我更建议使用 q35

如果你使用的固件文件名中带有 combined-efi，那么:

BIOS 选择 OVFM (UEFI)，下面 添加 UEFI 磁盘 取消勾选，因为 UEFI 分区已经在 OpenWrt 的磁盘中了, 但是在虚拟机启动时会有一条警告: WARN: no efidisk configured! Using temporary efivars disk.，因为我们没有添加一块 UEFI 磁盘到虚拟机中，这是正常的，不影响使用。

如果固件中带有 qemu-ga，那么勾选 Qemu 代理 (此软件包类似于 VMware Tools，可以实现虚拟机与宿主机的交互，例如关机、重启、获取 IP 等)

磁盘

删除默认的磁盘，直接点击下一步，待会创建虚拟机后再导入 OpenWrt 磁盘

CPU

通俗的来讲，插槽就是 CPU 的数量，核心就是每个 CPU 的核心数，这里根据自己的需求选择，类别选择 host，这样可以让虚拟机直接使用宿主机的 CPU，并且支持 CPU 的所有特性。

如果你使用的 CPU 性能比较差，可以增加这台虚拟机的 CPU 权重，这样当宿主机 CPU 负载比较高时，这台虚拟机会优先分配 CPU 资源。

内存

根据自己的需求选择

网络

默认的虚拟网卡留着就行，不要删除，后面用于访问 PVE 管理界面

创建完成后不要启动虚拟机，我们还要导入 OpenWrt 磁盘

导入 OpenWrt 磁盘

注意：我这里使用的是 qcow2 格式的磁盘，如果你使用的是 vmdk 或 img 格式的磁盘，请自行在网络上搜索如何导入，这里不再赘述。

使用 qm importdisk 命令导入磁盘:

100 是虚拟机的 ID，/path/to/immortalwrt-x86-64-generic-squashfs-combined-efi.qcow2 是 OpenWrt 的磁盘路径，local 是 PVE 的存储空间，默认是 local-lvm，如果你使用的是其他存储空间，请自行替换。(我合并了 local 和 local-lvm，所以我这里使用的是 local，如果你也想整合自己的磁盘空间，也可以研究一下，这里不过多赘述)

导入完成以后，在虚拟机的 硬件 选项卡中，可以发现多了一块 未使用的磁盘，我们选中它，点击 编辑，然后在 总线/设备 中选择 SATA，如果你使用的是 SSD 则可以进一步勾选 SSD 仿真，这样可以提高性能。

导入完成后可以删除刚刚上传的磁盘文件，因为已经导入到 PVE 的存储空间中了。

添加硬件直通的网卡

在虚拟机的 硬件 选项卡中，点击 添加，选择 PCI 设备，然后选择你要直通的网卡。

不要勾选所有功能

现在虚拟机有两种网卡，一种是显示为 网络设备 (net0) 的虚拟网卡，用于访问 PVE 管理界面，另一种是显示为 PCI 设备 (net1) 的直通网卡，用于 OpenWrt 直通硬件网卡作为 WAN 和 LAN 使用。

OpenWrt 中的网络结构如下:

eth0: 虚拟网卡，用于访问 PVE 管理界面

eth1: 直通网卡，用于 WAN

eth2 - ethx: 直通网卡，用于 LAN

OpenWrt 中的网卡配置会在此文中的下半部分提及

设置开机引导

在虚拟机的 选项 选项卡中，选中 引导顺序 并编辑，启用刚刚导入的 OpenWrt 磁盘，如果有其它磁盘或设备被勾选可以取消勾选

这样就完成了 OpenWrt 的安装，现在可以启动虚拟机了

0x02 OpenWrt

网络配置

默认有一个 WAN6 网卡，将其删除，以免干扰后面的配置

在 全局网络选项 中，将 IPv6 ULA 前缀 删除。

WAN

协议选择 PPPoE,填写你的宽带账号和密码即可，高级设置 中的 获取 IPv6 地址 选择自动，勾选 使用默认网关 和 委托 IPv6 前缀; IPV6 分配长度 选择 已禁用

LAN

首先在 设备 中，配置设备 br-lan，网桥端口选择希望作为 LAN 口的网口，上面提到的用于 LAN 的直通网卡和 eth0 虚拟网卡在这里可以全部勾选

在 高级设置 中，IPV6 分配长度 选择 64，IPv6 后缀 填写 eui64

在 DHCP 服务器 -> IPv6设置 中，RA 服务 选择 服务器模式，禁用 DHCPv6 服务 和 NDP 代理 还有 本地 IPV6 DNS 服务器 (IPV4 的 DNS 服务器地址可以提供 AAAA 解析，而且运营商给的 IPV6 前缀变化时，会有一小部分时间路由器的 IPV6 地址变化，而客户端没有及时更新，所以这里干脆禁用 IPV6 DNS 服务器地址，A 解析和 AAAA 解析都通过 IPV4 DNS 服务器地址解析)，IPV6 RA 设置 中，默认路由器 选择 在可用的前缀上，勾选 启用 SLAAC，取消勾选 RA标记 中的所有选项

注意: RA 服务 和 DHCPv6 服务 以及 NDP 代理 这三个选项在更新 OpenWrt 后可能会自动启用，所以每次更新后都务必检查一下。

详细设置如图:

另外如果想访问光猫，可以添加一个新接口，名称随意，协议选择 DHCP 客户端 或自行配置静态 IP，设备选择连接光猫的网口，然后在编辑接口 -> 高级配置 中，取消勾选 使用默认网关，配置 使用网关跃点 为 99，在 防火墙设置 选项卡中，创建/分配防火墙区域 选择 WAN，这样就可以访问光猫了。

DNS

在 网络 -> DHCP/DNS 的 过滤器 选项中，取消勾选 重绑定保护 和 禁止解析 IPv6 DNS 记录，这样解析到内网的域名和 AAAA 记录可以被正常解析

例如 www.example.com 解析到 192.168.1.254，我们在内网可以通过域名正常访问

另外在 限制 选项中，删除默认的 最小缓存 TTL （默认为60，部分固件会存在一个 3600 的默认选项，所以要把 DNS 最小 TTL 设置项删除）

SmartDNS

在一段时间的使用下来，发现连接一些国内的网站并不能优选，且运营商 DNS 解析到的 IP 有时不是最优

为了更好的网络体验，调研一番以后，决定使用 SmartDNS + OpenClash 这样的组合

并且通过 OpenClash 分流国内外 DNS 查询

SmartDNS 服务使用的端口为：6053

第二 DNS 服务器端口为：6153

流程图：

之前 ImmortalWrt 默认配置了 SmartDNS 的第二服务器，但是在最新的版本中已经删除了，所以我们需要手动配置一下

已删除: https://github.com/immortalwrt/packages/commit/f187ad1d5d5e86f37760631aef764c4f05dc709f

首先设置好第二 DNS 服务器的端口和组名，我这里设置为 6153 和 Global

常规设置：（不勾选 自动设置 Dnsmasq）（打码部分为运营商 DNS）：

你也可以填写你喜欢的国内公共 DNS 服务商

OpenClash

这里的配置比较多且复杂，有几个常见的 Q&A：

Q: 节点不支持 UDP 代理，勾选 UDP 流量转发 有什么用？

A: 启用 UDP 流量转发 只是为了让 OpenClash 支持 UDP，如果节点不支持 UDP 代理，那么 UDP 流量会自动被节点 Block，不会影响使用，但是有一些海外的游戏可能会无法连接，你可能需要使用支持 UDP 代理的节点，但游戏加速我更推荐使用加速器。

Q: 为什么要勾选 绕过中国大陆 IP?

A: 如果不勾选，国内的流量也会走 Clash 内核进行直连，虽然不会影响使用，但是会降低一点性能，缺点就是关于国内网站的分流会不起作用，比如分流 bilibili 番剧到 HK，在进入 Clash 内核前就被判断为中国大陆 IP，所以不会走代理，关于这种特殊情况你可以考虑不使用此选项。

Q: 节点不支持 IPv6，勾选 IPv6流量代理 有什么用？

A: 如果你的网络环境支持 IPv6，那么可以勾选 IPv6流量代理，这样 OpenClash 会将 IPv6 流量代理到节点，如果节点不支持 IPv6，那么会自动切换为 IPv4 代理，不会影响使用，并且由于勾选了 绕过中国大陆 IPv6，所以国内 IPv6 流量不会受到影响。如果你的网络环境支持 IPv6，并且你没有勾选 IPv6流量代理，那部分海外网站会直接通过 IPv6 访问，可能会影响到你的网络冲浪；如果你对访问中国大陆的 IPv6 网站没有需求，你可以考虑禁止 IPv6 的解析，同时不勾选 IPv6流量代理，这样既不会影响到 BT 连接 IPv6 下载，也不会影响你 IPv4 的网络冲浪。

Q: 为什么我使用 https://test-ipv6.com 检测我不支持 IPv6？

A: 和上面的问题一样，由于 test-ipv6.com 是海外网站，你的节点如果不支持 IPv6，那么会自动切换为 IPv4 代理，所以 test-ipv6.com 检测不到你的 IPv6 地址，你可以使用以下位于中国大陆的 IPv6 测试网站:

https://testipv6.cn

https://ipw.cn

https://test6.ustc.edu.cn

Q: 为什么我的 Instagram/YouTube 客户端无法加载 / 访问很慢？

A: 确保勾选了 禁用 QUIC，如果 Instagram 还是无法加载，说明 Instagram 已经将 QUIC 的相关域名或连接资源缓存到了本地，可以尝试卸载重装 (Meta 系的 APP 基本都有这个问题，尽量避免在裸连环境下打开 Instagram)

Q: 为什么 Microsoft Copilot in Bing 无法使用？

A: 因为 Microsoft 域名默认解析是国内 IP，且 GeoSite 为 CN，默认会绕过内核，可通过配置 绕过中国大陆 IPv4 黑名单 和 绕过中国大陆 IPv6 黑名单 加入域名: bing.com 解决

插件设置 - 模式设置

勾选 使用 Meta 内核 （原版内核已停更）

运行模式中，Redir-Host 的兼容模式和混合模式根据自己的网络环境选择

如果你选择的是兼容模式，勾选 UDP 流量转发

我更推荐使用兼容模式，为了避免一些意想不到的 bug

插件设置 - 流量控制

勾选 禁用 QUIC、绕过中国大陆 IP，仅允许常用端口 选择 默认常用端口

如果你希望通过 OpenClash 代理内网设备的 Apple 推送通知服务（APNs）流量，可以选择以下任一方式：

将 OpenClash 更新至 v0.47.133 或更高版本。从该版本开始，默认常用端口 已包含 APNs 所需的 2197 和 5223 端口

如果暂时不想更新 OpenClash，可以在 仅允许常用端口流量 的端口列表中手动加入 2197 和 5223：

https://support.apple.com/zh-cn/101555

以上列表整合了 OpenClash 的默认常用端口，以及 Apple 推送通知服务所需的端口

参考链接: https://github.com/vernesong/OpenClash/blob/master/luci-app-openclash/luasrc/model/cbi/openclash/settings.lua#L492

插件设置 - DNS 设置

本地 DNS 劫持 选择 使用 Dnsmasq 转发

勾选 禁止 Dnsmasq 缓存 DNS

插件设置 - IPv6 设置

勾选 IPv6流量代理、UDP 流量转发、允许 IPv6 类型 DNS 解析、绕过中国大陆 IPv6

IPv6代理模式 选择 TProxy 模式

GEO 数据库订阅、大陆白名单订阅 选择一个自己喜欢的时间自动更新

覆写设置 - DNS 设置

由于 Fallback 即将被弃用，我们将使用 nameserver-policy 来分流 DNS，达到 DNS 分流和防泄露的效果

勾选 自定义上游 DNS 服务器

不勾选 追加上游 DNS、追加默认 DNS

NameServer 使用 SmartDNS 第二服务器

FallBack 和 Default-NameServer 可不填

OpenClash 集成了 nameserver-policy 的自定义功能，所以我们可以很方便的配置，在自定义选项中加入：

这样，SmartDNS 就会接管所有的 DNS 请求，也就做到了 DNS 分流和优选解析的目的。

至此，OpenClash 已经配置完成，在配置订阅里添加自己的订阅链接并更新订阅就能正常使用了。

注意: OpenClash 在更新系统后不会自动启动，需要手动启动一次。如果你的订阅提供商的节点域名解析比较奇怪，可添加一个 SmartDNS 国内组或是任意你喜欢的国内 DNS 服务器到 default-nameserver 并勾选 节点域名解析 或在配置文件的 DNS 下添加类似下面的选项:

以下为示例：

UPnP

由于 OpenWrt 现已使用 nftables 作为默认防火墙，如果你没有公网 IPv4 地址，启用 UPnP 有一定的可能性会无法自动配置端口映射，可以在 UPnP 的高级设置选项卡中，启用 使用 STUN 碰碰运气，如果还是无法自动配置端口映射，那么只能在防火墙中手动设置端口映射了。

常用的国内 STUN 服务器:

stun.qq.com

stun.miwifi.com

端口均为 3478

关于 BBR

开启 BBR 可能会导致长连接挂掉，可能会让你的网络体验变差，所以不推荐开启或是在编译中启用，家用路由不像 VPS，不需要考虑 TCP 的拥塞控制。

解决软路由环境中 Safari 无法通过 Cloudflare 人机验证

Sun, 19 Nov 2023 00:00:00 GMT

原因

在 iOS 15 和 macOS Ventura 中，新增了一个功能：限制 IP 地址跟踪

而这个功能虽然在中国大陆无法完整使用，但是能使用部分功能（对网站跟踪器隐藏 IP 地址）这就使得在非 Cloudflare 的第三方网站中的人机验证器 (域名：challenges.cloudflare.com) 被识别为跟踪器，而在 OpenClash 中，为了防止 YouTube 等使用 QUIC 导致速度不佳，通常会 禁用 QUIC，而恰好 iCloud 专用代理使用了 QUIC

iCloud 专用代理使用 QUIC，这是一种基于 UDP 的全新标准传输协议。专用代理中的 QUIC 连接需要使用端口 443 和 TLS 1.3 建立，因此请确保你的网络和服务器已准备好处理此类连接。

一个完美耦合的 bug 就这样出现了:

访问带有 Cloudflare 人机验证的网站 --> Safari 判断 challenges.cloudflare.com 为跟踪器，使用 iCloud Private Relay 连接此域名 --> OpenClash 配置的防火墙规则禁止 QUIC 连接

导致人机验证卡在 “正在验证” 状态:

解决

方法一

在无线局域网设置中，关闭 限制 IP 地址跟踪 功能

缺点: 无法使用自带邮件 APP 和 Safari 对于跟踪器和广告收集器的隐藏 IP 地址功能

方法二

关闭 Safari 浏览器的 隐藏 IP 地址 功能

缺点: 无法对于其它跟踪器和广告收集器隐藏 IP 地址

方法三

在 dnsmasq 中添加以下域名到 IPSet china_ip_route 和 china_ip6_route 中:

域名来源:
为 iCloud 专用代理准备网络或网页服务器 - Apple Developer

原理:

让 iCloud Private Relay 的流量不经过内核直连，这样能让它们正常使用 QUIC 连接，也不会影响到禁用其它网站的 QUIC

OpenClash 的 本地 IPv4 绕过地址 设置中只能添加 IP/IP-CIDR，不支持域名，所以要通过 dnsmasq 设置

在 OpenWrt 的 网络 --> DHCP/DNS --> 中的 IP 集合 中，添加域名:

到

Magisk 搭配 UnblockNeteaseMusic 无感知解锁网易云音乐客户端变灰歌曲

Sat, 14 Mar 2020 00:00:00 GMT

前言

这次使用的是服务端部署 UnblockNeteaseMusic + 本地 iptables 转发流量的实现方法。

原理上来讲是可以做到本地部署的，这样的话可以做到无成本，因为空余时间没那么多，就没去研究。

具体可以参考 https://github.com/Flysky12138/UnblockNeteaseMusic-Android 项目。

准备

一台位于大陆的服务器（必须是国内的，因为很多歌曲都只是买了大陆版权）

其实国外的服务器也可以，UnblockNeteaseMusic 提供了使用上游代理的方法，具体请查阅官方食用指南。

一台已 root 并安装了 Magisk 的手机

将网易云音乐移出 Magisk Hide 名单（未设置请忽略）

如果网易云音乐客户端在 Magisk Hide 名单内会导致证书不生效

服务端部署 UnblockNeteaseMusic

这个应该不用多说了，https://github.com/nondanee/UnblockNeteaseMusic 官方搭建方法已经写的很明白了，不过需要注意的是必须开启 HTTPS 并导入证书（接下来会讲到），否则会导致网易云音乐客户端个人页面和登录无法正常使用

Magisk 模块编写

这个的话我已经写好了，改一下配置即可

模块模板下载链接：https://rushb.lanzout.com/iFzY6cgsqkh 密码: 6e01

修改 iptables 脚本

编辑 post-fs-data.sh 文件

修改证书

我们知道，如果应用的 Target API 在 24 以上的话，应用就只会信任系统证书而不会信任用户证书，而刚好我们是 Magisk 模块，就可以顺便把系统证书也写进去

打开文件夹 system\etc\security\cacerts 我们以 UnblockNeteaseMusic 证书为例，他的证书为 ca.crt

我们把它下载下来，转换为pem格式：

以hash方式重命名文件（Android 系统要求）

得到证书的 hash 之后将证书 ca.pem 重命名为 557de9dd.0 放入模块的 system\etc\security\cacerts 文件夹，再把模块打包即可

模块的其他信息可在 module.prop 修改

如果是你自己的证书也可以通过此方法算出 hash 进行替换

效果图

系统证书正常

解锁网易云音乐客户端变灰歌曲正常

Changelog

20200510

将 iptables 配置从 post-fs-data.sh 移动到 service.sh

去除无用配置

参考

https://github.com/nondanee/UnblockNeteaseMusic

https://github.com/Flysky12138/UnblockNeteaseMusic-Android

UU 加速器在新版 OpenWrt nftables 环境中的使用技巧 (不全开防火墙的方法)

Tue, 10 Dec 2024 00:00:00 GMT

前言

前段时间 UU 加速器更新了 v8.0.12 版本，支持了 OpenWrt 23 及以上的 nftables 环境，官方说明：https://router.uu.163.com/app/html/online/baike_share.html?baike_id=5f963c9304c215e129ca40e8

但是，官方的说明文档中，要求防火墙全开，这就有点让人难以接受了。

依次进入【网络】 - 【防火墙】 - 将【入站数据】、【出站数据】、【转发】都改为接受，并且点击Accept保存

解决方法

既然 UU 加速器是使用 tun 设备来管理网络的，那我们可以针对 UU 创建的 tun 设备来设置防火墙规则。

可以看到，开启 UU 加速器后，系统会生成一个 tun163 的设备

那么就可以针对这个设备来设置防火墙规则了

在【网络】 -> 【防火墙】 -> 【通信规则】中，添加三条规则

依次是:

允许 tun163 的入站数据

允许来自 tun163 的转发数据

允许转发到 tun163 的数据

⚠️ 注意，如果要加速两台设备，还需要加 tun164 设备的规则！！！

根据我使用 PlayStation 5 的测试，不添加防火墙规则会造成 NAT 测试失败

添加第一条: 允许 tun163 的入站数据 后，NAT 测试成功。经过测试 GT7 可以正常进入围场，但是战地 2042 无法进入游戏。

添加第二条: 允许来自 tun163 的转发数据 后，战地 2042 可以正常进入游戏。其它联机游戏也能正常运行，但是使用 PS Remote Play 连接 PS5 时，会提示连接失败，需要添加第三条规则： 允许转发到 tun163 的数据

注意

UU 会在 /usr/bin 目录下找 xtables-nft-multi，官方安装方法可能没问题，我是自己编译的时候把 UU 加进去的，需要自己手动复制一下

使用过程中发现访问 PlayStation 商店无法加载，结果看日志发现了 UU 用了这些地址导致了和 OpenClash 的冲突

通过与网易工作人员交流以后，给出解决方法：

在【插件设置】 -> 【流量控制】里的本地 IPv4 绕过地址中加入：

如果这里有更好的方法，欢迎补充

懒人包

修改文件版

如果你觉得 luci 界面太麻烦，可以直接修改 /etc/config/firewall 文件，添加如下内容：

开始愉快的玩耍吧！

通过 Cloudflare Tunnel 实现 EasyTier 无公网自建中转服务器

Tue, 10 Feb 2026 00:00:00 GMT

最近 EasyTier 的公共服务器频繁出现问题，于是在搜索资料以后，找到了使用 Cloudflare Tunnel 转发 websocket 端口实现中转服务器打洞的效果

前提条件

Cloudflare 启用了 WebSockets 功能 (在 Cloudflare 仪表板的“网络”选项里能看到 WebSockets 选项是否打开)

Cloudflare 仪表板中的 SSL/TLS 加密模式选择：完全

本地安装了 cloudflared 和 easytier

配置方法

Easytier

命令行

只需要确保 EasyTier 正在监听 WebSocket 协议，命令行参数:

当然，如果你希望你的网络更安全一点可以启用私有模式：--private-mode ，开启了私有模式以后不会允许与本网络不同的网络名称和密码的客户点通过本服务器进行握手

或者通过 --relay-network-whitelist 参数限定可被转发的网络名白名单（空格分割的通配符列表，如 "ab* abc"）

luci app

Cloudflare Tunnel

将 Cloudflare Tunnel 配置好以后，进入 Cloudflare 仪表板 - Zero Trust - 网络 - 连接器

选中刚刚创建的隧道，添加一个已发布应用程序路由

填写好你想要的子域名，服务选择HTTP 并且指向刚刚配置的 Easytier 监听的端口

为什么选择 HTTP?

EasyTier 监听的是 WebSocket, 但 Cloudflare Tunnel 的配置里填写 HTTP 即可, Cloudflare 会自动识别并处理协议升级请求

Easytier 客户端连接

由于服务端监听的 11011 端口现在已被 Cloudflare 中转，客户端现在只需填写刚刚创建好的域名即可

注意，现在 ws 被 Cloudflare 中转以后自动进行了加密和套了证书，所以客户端需要使用 wss 进行连接

客户端对等节点 (-p 参数）填写：

如果你使用的 EasyTier 版本 < 2.5.0，这里需要填写端口号：wss://easytier.example.com:0 或者是ws://easytier.example.com:0 EasyTier 会根据协议类型尝试使用默认端口，在新版本中没这个要求了

现在，你的服务器已经可以通过 Cloudflare 全球边缘节点随时随地进行连接，无需任何公共服务器