1. 传统旁路由方案的弊端

2. 网络拓扑出处

3. 物理环境与网络环境介绍

• 物理设备：使用设备为畅网 N5105（V3版），4 个 2.5G 网口（网卡型号为 Intel 的 i225-V ），虚拟机网口的分配和配置等请看下文。

• 底层平台：底层使用 unRAID 作为虚拟化平台（后期我改成了 iKuai 作为底层系统，下文有说明）。

• iKuai 虚拟机：作为主路由拨号（光猫已经设置为桥接）。

• Openwrt 虚拟机：科学上网。

• ISP：电信 300M 带宽。

4. 网络拓扑

本文实现的网络结构本质上与原作者是一样的，读者朋友们需要理解其中的逻辑之后再根据自己的实际情况来实现（一开始不好理解，读者朋友们得多看几遍）。

4.1 节点设备说明

• 作者内网网段：10.10.10.0/24 ；

• iKuai ：
• WAN1 用于拨号连接到外网。
• LAN 地址是 10.10.10.1 。
• WAN2 接口的网关指向 Openwrt 的 LAN 地址：10.10.11.2 —> 10.10.11.1 。

• Openwrt ：
• LAN 地址是 10.10.11.1 。
• WAN 接口的网关指向 iKuai 的 LAN 地址：10.10.10.6 —> 10.10.10.1 。

4.2 目标效果

iKuai 会实现初步的分流，然后当流量到达 Openwrt 时代理工具也会进行一次分流判断 —— 如果是国外的流量就走代理，如果不是在直连出去。

4.3 方案优势

• 完美替代旁路由方案：可以完美替代如今用的比较多的旁路由（透明代理）方案，不再需要单独的将设备的网关设置为旁路由的地址。

• 避免多次端口转发问题：避免了因旁路由而大致的多次端口转发的问题（从主路由转发端口给旁路由，再由旁路由转给对应的服务）。

• 国内外流量直接分流：借助 iKuai 的分流规则可以直接对国内国外的流量直接分流。

• 可以实现线路的冗余：如果 Openwrt 宕机了，也就是 WAN2 线路断了，iKuai 内可以设置自动切换线路到 WAN1 正常联网。

• 可更好的利用 iKuai 的流控功能：除了分流之外，还可以更好的实现 QoS 等，并且还可以控制某个设备不走 Openwrt 代理。

4.4 缺点

• 需更新 IP ：需要定期维护国内 IP 地址表，根据作者建议，半年更新一次即可。

• 不好维护：对于新手来说搭建起来会有难度，并且出问题时也不好维护。

5. iKuai 虚拟机配置和网口分配规划

如果你是以 iKuai 作为底层系统，那么请一定选择 64 位系统进行安装。

6. OpenWRT 虚拟机配置

固件我用的是 eSir 的佛跳墙旁路由固件（eSir 网盘），读者可以根据自己的喜爱来使用，没有限制。

OP 的虚拟机设置

需要提供两个虚拟网卡：

7. iKuai 系统内设置

7.1 WAN1 与 LAN 设置

WAN1 设置（用于正常拨号）

LAN 设置

链路桥接两个 LAN 口，这样网线无论插在两个口中的哪一个都可以正常访问到 iKuai。

7.2 WAN2 设置

WAN2 配置

1. 创建 WAN2 并绑定虚拟网卡；

2. 接入方式使用 静态IP（固定IP） ；

3. IP 地址设置为另一个网段的 IP，具体是什么地址随意，这里作者使用的是 10.10.11.2 （作者自己内网的网段是 10.10.10.X，所以用 10.10.11.X 方便自己记住）；

4. 网关填写的是 Openwrt 的内网 IP 地址 10.10.11.1 ；

5. 将 WAN2 设置为默认网关；

6. 使用线路检测功能，作用是当 Openwrt 离线了会切换到 WAN1 继续正常联网，这里填写的 10.10.10.6 是 Openwrt 的 WAN 地址。

7.3 添加分流规则

（1）添加 自定义运营商

添加一个 自定义运营商 ，将国内 IP 网段加入到此自定义运营商中。

将下面链接内的 IP 地址段添加到新建的 自定义运营商规则 中（来自 17mon/china_ip_list ）：

raw.githubusercontent.com

https://raw.githubusercontent.com/17mon/china_ip_list/master/china_ip_list.txt

由于 iKuai 内自定义运营商最多只能添加 5000 条目的地址，因此需要分两次添加：

（2）添加 多线负载 分流规则

多线负载配置

1. 运营商选择之前添加好的自定义运营商。

2. wan1 线路负载比例设置为 1 并启用（wan2 不需要启用），表示只要是访问的目的 IP 地址符合自定义运营商里面的记录值（国内 IP），那么就会走 wan1 线路，也就是直联。

3. 保存。

（3）添加 端口分流 分流规则防止 Openwrt 回环

端口分流配置

💡

配置“端口分流”的作用是防止回环：因为前面我们已经设置了 多线负载 的功能，在这个功能下会实现 IP 分流，但如果说不为 OpenWRT 设置防环规则，那么就可能会出现 OP → iKuai → OP → iKuai → OP …. 的回环情况。

添加一条端口分流规则：

线路选择 wan1，负载模式如图，将 Openwrt 的 wan 地址（10.10.10.6）设置分流的对象，表示 iKuai 在接收到 OP 的数据包时直接发往运营商线路出去：

7.4 iKuai DNS 设置

iKuai DNS 设置

作者之所以将 iKuai 的 DNS 服务器设置为 OP ，是希望借助 OpenClash 的 DNS 功能去避免 DNS 污染的问题，读者朋友其实可以不去这么做，可以直接在 iKuai 上使用公共的 DNS 的即可，例如：

7.5 iKuai 添加 NAT规则

在“网络设置 - NAT 规则”中添加规则，来让 OpenWRT 里面正确显示源 IP 地址。

如果不添加次规则，那么你会在 OP 里面发现所有发送到 OP 的设备的 IP 地址都会显示为 iKuai wan2 口的 IP 地址，而不是某个具体设备的 IP 地址。

1. 动作：选择“过滤”，表示不做 NAT 。

2. 出接口：选择 wan2 ，也就是说被分流发往 wan2 的数据包不对其数据包内的源 IP 地址进行更改。

3. 协议：选择任意。

4. 最后保存。

8 Openwrt 系统内设置

8.1 LAN 设置

LAN 设置

LAN 口的设置只需要保证设置好 IP 地址和子网掩码即可，不需要填写 DNS 。

LAN 的其他设置参考

8.2 WAN 设置

WAN 设置

WAN 口的设置需要填写好 IP 地址、子网掩码和网关，然后 DNS 服务器可以填写公共的 DNS ，也可以填写你在其他地方设置的 DNS 服务器。

WAN 其他设置参考

8.3 防火墙设置

（1）新建 WAN 区域转发规则

新建 WAN 区域规则（如果你用的 OpenWRT 固件里面已经配置好了 WAN 防火墙，那么这里可以跳过）

名称设置为 wan ，设置如下：

然后将 WAN 口的防火墙设置绑定到所创建的区域中：

（2）防火墙 - 基本设置

防火墙设置

（3）防火墙 - 自定义规则

防火墙自定义规则参考

上图中的第一条规则的作用与防火墙基本设置中的“IP 动态伪装”是一样的，所以这里你可以在行首添加上 # 来注释掉此规则。

其余规则的作用是将 DNS 请求转发到本地的 53 端口。这里作者也选择注释掉，因为作者使用 Openclash 可以实现本地 DNS 劫持，所以不需要这里的规则：

如果你代理工具或者其他的 DNS 工具没有实现这一效果，建议你将 2~4 条规则启用（去掉 # ），表示劫持 DNS 请求到 OpenWRT 本地的 53 端口。

8.4 DHCP/DNS 设置

关闭“重绑定保护（rebind protection）”

什么是 Rebind Protection，为什么要关闭它？

9 使用体验

9.1 网络流畅度提升

9.2 网络更加稳定

9.3 端口映射问题得到解决

9.4 网络更可控

iKuai 使用 端口分流 控制局域网内 IP 不走代理

由于我们借助 WAN2 口实现了请求转发给 OP 的作用，因此我们也可以借助 iKuai 的 端口分流 将不需要走代理的 IP 流量绕过 WAN2 线路。

新建一条端口分流规则：

1. 分流方式选择 外网线路 ；

2. 线路选择 WAN1 ，也解释拨号的线路；

3. 线路绑定；

4. 负载模式选择 源 IP + 目的 IP + 目的端口 ，如果效果不佳可以选择 源 IP ；

5. 协议选择 任意 ；

6. 在 源地址 中添加你希望不走代理的 IP 地址，也可以借助 iKuai 的分组功能实现 IP 分组；

7. 最后保存规则即可。

10. 常见问题

Q：在此结构下，如何能保证正常访问 unRAID ？

Q：openWRT 如果宕机了会不会网络就不可用了？

Q：如何控制哪些 IP 不走代理？

Q：如果我的设备只有两个网口，那么能否实现本文所说的网络结构？

11. 2023-07-24：底层由 unRAID 替换为 iKuai 系统

补充：只有两个网口的情况下该如何实现第二个 WAN 口。

如果你的软路由只有两个网口，那么也就是说只能一个用于 WAN 口拨号，另一个口用于 LAN 口，那么这时候就没有多余的物理网口用于绑定另外的 WAN 口实现 IP 分流到 OpenWRT 虚拟机上。

但是 iKuai 是可以创建一个虚拟 WAN 口进行使用的，你可以按照下面的步骤来实现：

1. WAN2 口绑定到 Kvm Virtual Bridge Ethernet Controller ；

2. 设置好 IP 地址、子网掩码和网关（网关 IP 是 openWRT 虚拟机里面的 LAN 口 IP 地址）

接下来创建 openWRT 虚拟机并添加虚拟网卡的时候，请记得将其中一个虚拟网卡绑定到 WAN2 口，另一个网卡绑定到 LAN 口：

绑定了 WAN2 的那个虚拟网卡在 openWRT 虚拟机里面用作 LAN 口，绑定了 LAN 的虚拟网卡在 openWRT 虚拟机里面用于 WAN 口，如下图所示：

12. 2023-09-20：关于本网络结构下的 DNS 请求以及 OpenClash 的补充说明

（1）建议使用 Redir-Host 模式。

其实 Redir-Host 比 Fake-IP 模式缺点要多一些，不仅需要多做一次 DNS 解析，而且还存在 DNS 污染的可能。但是由于此网络结构下 iKuai 可以借助 IP 来实现分流，所以我还是选择了使用 Redir-Host 模式，这样在内网设备对解析回来的 IP 发起请求时，iKuai 就能拿到目标 IP 地址去做一次分流。

相反的，如果使用的是 Fake-IP，那么由于 OpenClash 会在客户端发起域名解析请求时会返回一个内网 IP （ 192.18.x.x ），所以 iKuai 自然也就没有办法实现分流，而是只能由 OpenClash 负责所有的分流功能，这相当于自废了一部分“武功”。

而且使用 Fake-IP 还会造成另一个问题，那就是如果你使用 IDM 下载器，你会发现下载时有“卡顿”的情况。那是因为 IDM 在发起多线程下载的时候，由于发起下载请求的 IP 地址是 Fake-IP 返回的内网 IP ，所以在多线下载时就会出现“卡顿”的现象。

（3）将 DNS 服务器地址设置为 OP 也存在网络稳定问题。

这是因为如果将 iKuai 的 DNS 服务器地址设置为了 OP 的 WAN 地址，那么当 OP 或者 OpenClash 出现问题时，内网将无法正常解析 DNS 请求，那么也就会造成网络无法正常使用的，从而会出现诸如微信或者 QQ 可以使用但是无法打开网页的情况。

如果你不希望面对此种风险的话，你可以将 iKuai 的 DNS 服务器地址设置为其他的公共 DNS 服务器，例如：

记得勾选上“DNS 加速服务”，否则其他设备将其 DNS 服务器地址设置为 iKuai 的 IP 地址时将无法实现域名解析。

或者：

13. 2024-03-11：方案回顾与 DNS 解析服务器搭建（方案最后一块拼图）

13.1 回顾

（1）使用体验

唯一一次“事故”是由于我操作不慎，造成了广播风暴使得我的整个硬件设备出现了 CPU 过载，系统无效应不可操作，从而造成了家里的网络瘫痪。

（2）架构逻辑

• 当数据包目的 IP 地址属于 自定义运营商 内的 IP 地址（也就是国内 IP），那么直联访问；

• 当数据包的目的 IP 地址不属于 自定义运营商 内的 IP 地址（也就是国外 IP），那么就将数据包发送给 iKuai 里面的 OpenWRT 虚拟机，由里面的代理工具进行处理之后再发往 iKuai 。

在这个网络架构里面，发送给 OpenWRT 的线路是这个架构下的默认线路，换句话说就是所有 iKuai 接收到的数据都会默认发往 OpenWRT ，但因为有了 多线负载 功能，在走默认线路之前数据包会进行国内国外流量的分流。

但如果说 OpenWRT 还负责内网的 DNS 解析工作，那么 OpenWRT 不能正常使用的情况下会造成内网设备联网不正常，这也是此章节所要解决的重点问题。

（3）DNS 解析问题

DNS 服务器出问题导致的一个常见现象就是 QQ 或者微信等 App 可以正常使用但是网页打不开。

13.2 解决 DNS 解析问题的方案

（1）结构图

（2）架构说明

1. 内网设备发起域名解析请求：内网设备访问某个域名时，向 PaoPao DNS 服务器发起 DNS 解析请求；

2. PaoPao DNS 服务器处理请求：PaoPao 接收到 DNS 解析请求，根据内部的域名库判断此域名是否是国外域名：
1. 如果是国外域名：那么发送给 OpenClash 的 DNS 监听端口（7874）进行解析，在 Fake-IP 模式下 OpenClash 直接返回 fake ip 给 PaoPao，PaoPao 再返回给解析结果；
2. 如果不是国外域名：那么直接在本地进行解析，直接返回解析结果；

3. 数据包发往网关：设备获取到 DNS 解析出来的 IP 地址，将其封装到数据包发送给网关 iKuai ；

4. iKuai 进行 IP 分流：iKuai 接收到数据包后检查里面的目的地 IP 地址，根据 多线负载 的自定义网络运营商来进行分流：
1. 如果目的 IP 属于国外 IP：发送给 OpenClash ，OpenClash 与代理服务器建立链接走科学；
2. 如果目的 IP 不属于国外 IP：那么走直联；

（3）补充说明

• 博主使用的是 OpenClash 的 Fake-IP 模式：在博主的使用环境中，我的 OpenClash 采用了 Fake-IP 模式。在先前的文章里面博主提到不建议使用 Fake-IP 模式，那是因为当时 DNS 的解析由 OpenClash 负责，使用 Fake-IP 会造成域名解析无法分流（区分国内国外进行解析），也就造成了所有流量都会流向 OpenClash 的情况，但是现在有了 PaoPao 之后就不存在此问题了。但是使用 Fake-IP 模式需要处理不少细节，所以从易用性角度来说，建议读者们使用 Redir-Host 模式，并且如果大家经常使用游戏平台，比如 Steam、橘子平台、Epic 平通、Xbox 或者 PS 等，那么最好也是使用 Redir-Host 模式。

• 建议单独搭建 PaoPao DNS 服务器：由于作者使用的是 iKuai 作为底层系统，所以我选择了在 iKuai 里面再添加一个虚拟机来搭建 PaoPao DNS，读者可以根据自己的实际情况把 PaoPao DNS 搭建在其他的平台上面。你也可以将 PaoPao DNS 部署在独立的设备上，比如说树莓派，这样可以实现最大化的冗余。

• 不要让 PaoPao DNS 服务器走 IP 分流：需要注意的是，由于我们当前这个架构有 IP 分流（多线负载）的功能，所以需要将 PaoPao DNS 服务器的 IP 地址加入不分流的名单，换句话说可以通过 iKuai 上面的 端口分流 功能指定 PaoPao DNS 走运营商线路出去（方法参考下文的 13.4 章节内容），因为权威DNS需要准确的 IP 去判断，IP 分流会影响权威 DNS 的判断。

13.3 PaoPao DNS 搭建

参考：安装并初始化 Alpine 的流程

由于博主使用的是 iKuai 系统，所以这里就以 iKuai 作为底层系统介绍 Alpine 虚拟机的安装过程。根据 PaoPao 作者的建议，Docker 部署下的环境要求如下：

docker 的运行家用建议内存 2G ，企业环境建议 16G ，再大了意义不太大（实际内存占用差不多达到 4G 已经很厉害了，当然，内存越大性能越好，命中率体验更棒），容器启动的时候会根据可用内存调整配置文件参数，占用内存不会超过上限。根据 Github 的使用者反馈，有最低 512M 内存的 ARM 路由器流畅使用的案例。实际上，在最低参数启动下的缓存也是能满足家庭使用需求的。

1️⃣ 在 iKuai 文件管理中新建一个文件夹用来存放 Alpine iso 安装镜像以及虚拟硬盘，然后获取 iso 镜像文件路径。

复制镜像文件地址：

2️⃣ 新建虚拟机

添加虚拟机：

1. 系统类型：Linux ；

2. CPU 核心数：给到两核心差不多了，CPU 核心数多的话可以多给一点也无所谓；

3. 虚拟机内存：家庭环境给到 2G 即可，其他的可以参考前面 PaoPao 作者的建议；

4. 虚拟机光驱：将前面复制的文件路径地址粘贴到这里面；

5. UEFI 启动：开启。

添加虚拟硬盘：

• 开启“半虚拟化模式”。

• 虚拟硬盘给个 2G 或 3G 即可（如果你还想在 Alpine 中安装别的东西那就给多一点）。

• “磁盘名称”就是存放虚拟硬盘的位置，将其存放到与 iso 镜像文件一直的路径即可，虚拟硬盘名称可以参考图片里的命名。

添加虚拟网卡：

开启虚拟机：

3️⃣ 初始化 Alpine

启动 Alpine 虚拟机之后，输入 root 会车登录到命令行界面：

接着按照下面的步骤进行系统的初始化配置：

1. 输入 setup-apline 命令进入初始化流程。

2. 选择选择键盘类型：输入 cn ；

3. 选择选择键盘类型：继续输入 cn ；

4. 配置系统 hostname ：直接回车使用默认值即可；

5. 选择网口：按下回车键使用默认的 eth0 即可；

6. IP 地址获取方式：按下回车键使用 DHCP 获取 IP 地址方式；

7. 是否需要对网络进行自定义配置：按回车使用默认值 n ，不做自定义配置；

8. 设置 root 用户密码；

9. 设置时区 - 1：输入 Asia ；

10. 设置时区 - 2：输入 Shanghai ；

11. 是否设置 http/ftp 代理：按回车使用默认值 none，不使用代理；

12. 设置 APK 安装包镜像地址：按下回车使用默认值，我们后续再进行修改；

13. 是否创建用户：按下回车键使用默认值 no ；

14. 是否使用 openssh 作为 ssh 服务：按下回车使用默认值 opencssh ；

15. 是否允许 root 用户使用密码登录：输入 yes ；

16. 为 root 用户输入密钥或者 url 地址：按下回车键表示不设置；

17. 选择安装盘：输入虚拟硬盘的名称（如 vda ）；

18. 硬盘用途：输入 sys 表示用作系统盘使用；

19. 是否清空硬盘数据并进行安装：输入 y 表示格式化硬盘并安装系统文件；

20. 此时系统安装已经完成。

此时输入 poweroff 命令关闭系统，然后编辑 iKuai 虚拟机，把安装镜像去掉并启动 Alpine 虚拟机：

4️⃣ 配置 Apline 并安装 Docker 服务

打开虚拟机，输入 ifconfig 命令查看 Alpine 当前的 IP 地址：

（1）设置固定 IP 地址以及修改 DNS 服务器

此时可以通过 SSH 工具登录到 Alpine，然后通过下面的步骤更改为静态 IP 地址。

Alpine 自带有 vi 命令可以进行文本编辑，如果你需要使用 nano 命令，可以通过 apk add nano 来安装。

设置静态 IP 地址的格式如下：

修改好 IP 地址之后，使用下面的命令重启网络来生效：

修改下面的配置文件来修改 DNS 服务器：

可以参照下面的格式来添加公共 DNS 服务器：

如果你已经搭建了好 PaoPao DNS，那么实际上你也可以将这里的 DNS 服务器设置为本机地址（127.0.0.1），这样表示使用本机的 PaoPao DNS 服务器进行解析：

（2）更改 APK 镜像源

使用下面的命令将 Alpine 的 APK 镜像源设置为中国科技大学的镜像源：

更新 apk 安装包：

（3）安装 Docker

输入以下命令检查 docker 是否已经正确安装：

将 docker 服务设置为开机启动：

（4）修改 Docker 镜像源

复制粘贴下面的命令运行：

修改好之后重启 Docker 服务：

检查镜像源是否已经添加上：

13.4 调整此网络结构下的 DNS 配置

（1）使用 端口分流 给 PaoPao DNS 服务器指定出口线路

此外，一些软路由存在劫持 DNS 请求的情况，这种情形下可能就会造成 PaoPao 无法进行 DNS 解析，解决办法参见这个issue。

1. 线路 选择拨号线路（我这里的 adsl1 是运营商拨号线路）

2. 勾选 线路绑定 ；

3. 负载模式 选择 源 IP ；

4. 协议 选择 udp ；

5. 源地址 添加上 PaoPao DNS 服务器的 IP 地址；

6. 最后保存

（2）调整 iKuai DHCP 服务器与 DNS

（3）OpenWRT DNS 配置

1️⃣ DHCP/DNS 取消 DNS 转发

确保 DNS 不进行转发，因为在这个网络架构下，我们的目的就是要让 PaoPao 进行 DNS 解析。

2️⃣ WAN 口的 DNS 服务器设置为 PaoPao DNS

（4）Alpine 自身的 DNS 调整

13.5 调整此网络结构下的 OpenClash 配置

（1）OpenClash Fake-IP 模式下的配置

1️⃣ 使用 OpenClash 的 Meta 内核

博主自己使用的 Meta 核心下的 Fake-IP 模式，所以这里我提供 Fake-IP 模式下的配置参数，如果读者们经常打游戏，比如 Steam、橘子平台、Epic 平通、Xbox 或者 PS 等，建议读者们使用 Redir-Host 模式。

2️⃣ 停用 本地 DNS 劫持

这里建议把 OpenClash 的 DNS 劫持关闭。

3️⃣ 开启 绕过中国大陆 IP 功能

然后将 大陆域名 DNS 服务器 设置为 PaoPao 的 IP 地址：

此功能的作用是将大陆 IP 和域名进行直连，不经过 OpenClash 核心，关于 绕过中国大陆 IP 更多的说明：

openclash 的绕过中国 ip 主要由两个模块组成

1. 在 iptables 中添加中国大陆 ip 段直接绕过的规则（ ipset ）

2. 使用一份国内站点域名表，添加至 dnsmasq 中，在这个域名表中的 将会使用 114.114.114.114 来进行解析为真实的 ip ，并不使用 clash 核心的 dns 解析，所以会返回真实 IP

综上，一个国内站点会获取到真实的国内 IP ，再被 iptables 放行。缺点是域名表不够全，只包含了主流站点，不够准确，并且这个列表比较大（ 2m+）,会导致 dnsmasq 启动较慢。

—— https://www.v2ex.com/t/939660#r_13073953

4️⃣ DNS 设置

1. 开启 自定义上游 DNS 服务器 ；

2. Fallback DNS 代理组 (支持正则匹配) ：开启并选择一个代理组，意思就是使用代理组里面的代理来访问 Fallback 里面的域名服务器进行 DNS 解析。

3. 开启 Fake-IP 持久化 ；

4. 开启 Fakeback-Filter （关于 Fallback-Filter 的作用解释）：读者朋友可以复制这里面的配置到你的 Fakeback-Filter 设置中，如果读者清楚这一功能的作用也可以自行配置。

接下来在自定义上游服务器的 NameServer 列表中添加两个国内的 DNS 服务器，这里我建议使用阿里云的 DOH DNS 服务器：

然后分别修改这两个国内的 DNS 服务器的配置，开启 节点域名解析 和 强制 HTTP/3 功能：

在 FallBack 域名组里面添加两个国外的 DOH DNS 服务器：

5️⃣ 其他配置参考

（2）OpenClash Redir-Host 模式下的配置

1️⃣ 使用 OpenClash 的 Meta 内核

2️⃣ 停用 本地 DNS 劫持

这里建议把 OpenClash 的 DNS 劫持关闭。

3️⃣ 开启 绕过中国大陆 IP 功能

然后将 大陆域名 DNS 服务器 设置为 PaoPao 的 IP 地址：

此功能的作用是将大陆 IP 和域名进行直连，不经过 OpenClash 核心，关于 绕过中国大陆 IP 更多的说明：

openclash 的绕过中国 ip 主要由两个模块组成

1. 在 iptables 中添加中国大陆 ip 段直接绕过的规则（ ipset ）

2. 使用一份国内站点域名表，添加至 dnsmasq 中，在这个域名表中的 将会使用 114.114.114.114 来进行解析为真实的 ip ，并不使用 clash 核心的 dns 解析，所以会返回真实 IP

综上，一个国内站点会获取到真实的国内 IP ，再被 iptables 放行。缺点是域名表不够全，只包含了主流站点，不够准确，并且这个列表比较大（ 2m+）,会导致 dnsmasq 启动较慢。

—— https://www.v2ex.com/t/939660#r_13073953

4️⃣ DNS 设置

1. 开启 自定义上游 DNS 服务器 ；

2. Fallback DNS 代理组 (支持正则匹配) 设置为你的代理组；

3. 开启 Fakeback-Filter （关于 Fallback-Filter 的作用解释）：读者朋友可以复制这里面的配置到你的 Fakeback-Filter 设置中，如果读者清楚这一功能的作用也可以自行配置。

4. Nameserver-Policy （可选功能）：这个功能的作用是对某一个域名指定使用某一个 DNS 服务器进行解析。假如说你希望使用 114 DNS 服务器解析 Baidu 的域名 ，那么格式为 '*.baidu.com': '114.114.114.114’ 。

5. 主机 （可选功能）：一般用不上，不做赘述。

接下来分别添加 NameServer 和 FallBack 的 DNS 服务器。

NameServer 服务器列表：

接下来在自定义上游服务器的 NameServer 列表中添加两个国内的 DNS 服务器，这里我建议使用阿里云的 DOH DNS 服务器：

然后分别修改这两个国内的 DNS 服务器的配置，开启 节点域名解析 和 强制 HTTP/3 功能：

FallBack 服务器列表：

5️⃣ 其他配置参考

13.6 其他配置

13.7 PaoPao DNS 解析规则配置

（1）自定义规则文件

• force_cn_list.txt：此文档的作用是强制使用本地递归服务器查询文档里面记录的域名，换句话说就是不交给 OpenClash 进行解析。容器版本更新不会覆盖该文件。一行一条，语法规则如下：
• 以 domain: 开头域匹配：例如 domain:03k.org 会匹配自身03k.org，以及其子域名www.03k.org, blog.03k.org等。
• 以 full: 开头：完整匹配，例如 full:03k.org  只会匹配自身，完整匹配优先级更高。
• 以 regxp: 开头：正则匹配，例如 regexp:.+\.03k\.org$ （采用 Go标准正则）。
• 以 keyword: 开头匹配域名关键字，例如 keyword: 03k.org 会匹配到 www.03k.org.cn 。
• 尽量避免使用 regxp 和 keyword ，会消耗更多资源。
• 域名表达式省略前缀则为domain:。
• 同一文本内匹配优先级：full > domain > regexp > keyword

• force_nocn_list.txt：强制使用 dnscrypt 加密查询的域名列表，匹配规则同上。容器版本更新不会覆盖该文件。

• force_forward_list.txt： 仅在配置 CUSTOM_FORWARD 有效值时生效，强制转发到 CUSTOM_FORWARD DNS 服务器的域名列表，也就是说里面记录的规则会强制发送到 OpenClash 中进行 DNS 解析，匹配规则同上。容器版本更新不会覆盖该文件。

• trackerslist.txt：bt trakcer 列表文件，开启 CN_TRACKER 功能会出现。此文件的作用是避免 BT/PT 下载时使用代理链接到 Tracker 服务器。该文件在更新时会增量自动更新（更新数据来源），你也可以添加自己的 trakcer 到这个文件(或者向该项目提交)，更新的时候会自动合并。修改将实时重载生效。容器版本更新不会覆盖该文件。

（2）注意事项

• 如果你想解析的域名位于境外，并且没有境内 CDN ，而你又想获取原始记录（与 force_forward_list.txt 区分开），那么你应该把域名加进 force_nocn_list.txt 而不是 force_cn_list.txt ，因为基于个人网络环境差异，境外域名存在递归失败的可能。

• 修改 force_cn_list.txt 、force_nocn_list.txt 或 force_forward_list.txt 将会实时重载生效。

• 文本匹配优先级 force_forward_list > force_nocn_list > force_cn_list 。

（3）总结

• 希望某个域名本地解析（不让 OpenClash 做解析），那么编辑 force_cn_list.txt 文件；

• 希望某个域名本地加密解析（不让 OpenClash 做解析），那么编辑 force_nocn_list.txt 文件；

• 希望某个域名强制走 OpenClash 解析，那么编辑 force_forward_list.txt 文件；

• 希望 PT 站的 Tracker 服务器本地解析，那么编辑 trackerslist.txt 文件。

13.8 进一步优化：配合 Adguard Home 的使用

本人不推荐在普通路由器上运行 AdGuard Home、Pi-Hole 等工具，路由器的性能对 AdGuard Home 的运行效率有着较大影响。根据本人测试，Pi-Hole 空载需占用 15MB 内存（不含缓存），AdGuard Home 空载需占用 20 MB 内存（不含缓存），AdGuard Home 带机 13 台、过滤规则 74000+ 条时占用 700MB 内存（含缓存）。 —— 少数派：AdGuard Home 安装及使用指北

（1）部署 Docker

（2）DNS 配置

（3）其他设置

（4）补充：iKuai 内添加 NAT 规则

14. 相关网络优化

1️⃣ 优化 Fake-IP 模式下的 iKuai 多线负载功能

如果你和我一样使用 OpenClash 的 Fake-IP 模式，那么你可以这么去优化 iKuai 的多线负载设置：

（1）添加自定义运营商

将 Fake-IP 的 IP 地址段添加进去，但前提是你得在 openclash 里面设置 Fake-IP 的固定地址段，如下图所示：

然后创建一个新的自定义运营商：

（2）创建多线负载策略

运营商选择之前设置的 Fake-IP 地址段自定义运营商，然后线路选择 wan2（也就是分流到 OP 的线路），负载比例设置为 1 ，负载模式选择 源IP+源端口 。

（3）保证 Fake-IP 的多线负载策略在第一位

由于 iKuai 的多线负载功能匹配顺序是按照先添加策略的那一个规则优先匹配（并且匹配到规则后停止后续的匹配），所以我们把 Fake-IP 的多线负载策略放到第一位，如下图所示：

如果你先前已经设置了国内 IP 段的多线负载策略，那么删除掉之后再重新添加即可让 Fake-IP 的多线负载策略实现第一顺位。

这么做的目的在于，当需要走代理的时候，也就是访问访问 fake-ip 地址时，可以第一时间跳过国内 IP 地址段的匹配规则，从而快速将需要代理的流量发往 OP。

参考资料：iKuai 官方文档 - 多线负载