记录adg+opc+mosdns，实现dns分流、防泄漏，兼容ipv6
本帖最后由 lzk119 于 2023-12-27 18:50 编辑参照宋晨文的博客，并转载过来，在x86主路由上可正常运行，如有侵权联系删除。
实现效果：完美保留了 AdGuardHome 的各种功能基于 DNS 的流量分流，国内流量绕过 Clash 核心用 Fake-IP 模式来解决 DNS 污染的问题，但限制 Fake-IP 的范围，不需要代理的域名仍返回正常 IP不用再费心找无污染的 DNS 服务器，使用运营商提供的 DNS 也没问题因为彻底解决了 DNS 污染，可以放心缓存 DNS 请求结果，开启 AdGuardHome 的乐观缓存后，DNS 平均处理时间降到 3ms完美兼容 IPv6。国内流量可正常使用 IPv6 服务。只要代理有 IPv6 出口，那国外也可正常使用。（使用 IPv6 居然还有意料之外的好处，后悔没早开）兼容 BT/PT 应用，无需特殊配置也不会消耗代理流量可以通过 AdGuardHome 的 Web 管理页面轻松切换内网设备是否走代理DNS 分流：
经过 DNS 分流后，所有需要代理的域名都分配到了 Fake IP，无需代理的域名都是由运营商 DNS 返回的最优结果。Clash 的 DNS 在 Fake IP 模式下可以无需请求网络直接返回结果，所以整体的 DNS 响应速度非常快。在处理 Fake IP 的流量时，Clash 会把 hostname 发送到远端进行 DNS 解析，也就自然不存在 DNS 污染的问题了。流量代理分流经过 DNS 分流以后，我们只需要一条防火墙规则，把所有目的地址是 Fake IP 的流量都转发到 Clash 核心，所有其他流量都不经转发正常通行。open克拉什 在 Fake IP 模式下会自动帮我们添加对应的防火墙规则。但它为了防止小白误操作把其它 IP 的流量也转发到 Clash 核心了，这是没必要的，我们在自定义防火墙规则里把这条删掉就可以了。同时由于只有 Fake IP 流量会经过代理，那么无需 DNS 解析的 IP 直连流量自然就不会经过代理了，这样就不用再担心 BT/PT 跑代理的流量了。解决个别 IP 的代理问题有的需要代理的 App 是直连 IP，不经过 DNS 域名解析的步骤的，目前我用到的只有一个，就是电报。好在电报提供了它所使用的 ip-cidr 列表，我们只需要为这些 IP 单独配置防火墙规则，给它们转发到 Clash 核心。IPv6在这种分流方案下，可以放心开启路由器的 IPv6 支持了。因为我们在 DNS 请求阶段，把可能需要代理才能访问的 IPv6 请求已经都过滤掉了，也就不用担心代理软件对 IPv6 支持不好的问题了。同时因为 Clash 会将 hostname 传递到远端进行解析，那么如果你的代理落地机支持 IPv6 的话，经过代理的流量就也可以走 IPv6 出口了。内网设备分流控制通过 AdGuardHome 的 Web 管理界面可以为局域网内不同的设备指定不同的上游 DNS 服务器。对于需要代理的设备，把上游 DNS 服务器指定到 mosdns。对于不需代理的设备，把上游 DNS 服务器指定到 dnsmasq。这样就能做到基于设备的分流控制了。如果内网大部分设备都需要走代理，那就把 mosdns 作为 AdGuardHome 的默认上游 DNS 服务器，然后对个别不需要走代理的设备单独配置 dnsmasq 上游。反过来也是一样的。基于域名的黑白名单通过 mosdns 的 query_matcher 功能，可以构建基于域名的黑白名单，保证一些你选择的域名一定通过或不通过 Clash 核心的代理。比如开启了 IPv6 功能之后，我们就可以把 test-ipv6.com 加入到域名白名单里，这样我们就能测试自己对 IPv6 配置的怎么样了。AdGuardHome 乐观缓存Clash 可以在重启过程中对 Fake IP 列表进行保存，运营商 DNS 的返回结果也基本稳定，所以我们可以放心的开启 AdGuardHome 的乐观缓存功能。这时 AdGuardHome 会优先返回已过期的缓存结果然后再自己慢慢去更新缓存内容，可以大大提高内网客户端的 DNS 请求响应速度。具体配置open克拉什：插件设置 - 模式设置 - 运行模式： 切换到 Fake-IP（增强）模式插件设置 - 模式设置：勾选meta内核插件设置 - 模式设置：勾选UDP流量转发插件设置 - DNS 设置 - 本地 DNS 劫持 选择 禁用插件设置 - 流量控制 - 绕过中国大路 IP 取消勾选插件设置 - 流量控制 - 仅允许内网 开启插件设置 - IPv6 设置 这页的选项全都关闭就行了覆写设置 - 常规设置 这里都不用改，只需要记住 DNS 监听，后面配置 mosdns 要用覆写设置 - DNS 设置 - 自定义上游 DNS 服务器 勾选覆写设置 - DNS 设置 - 追加上游 DNS 勾选覆写设置 - DNS 设置 - 追加默认 DNS 勾选覆写设置 - DNS 设置 - Fake-IP 持久化 勾选覆写设置 - DNS 设置 页面下方 NameServer，FallBack，Default-NameServer 里的 DNS 服务器全都取消勾选，我们只用运营商提供的 DNS 服务器就够了，一般运营商 DNS 都是最快的，也是 CDN 最优化的。插件设置 - GEO 数据库订阅 把 GeoIP Dat 和 GeoSite 这两个库的自动更新打开，都选 Loyalsoldier 的版本，这个是用来给 mosdns 用的。插件设置 - 开发者选项里，我们自定义一下防火墙规则，修改为如下。
**** Hidden Message *****
其中 /etc/mosdns/rule/geoip2ipset.sh 这个脚本可以根据 GeoIP 数据库来生成对应的 ipset。内容如下，这个文件放到路由器上后，记得要执行 chmod a+x /etc/mosdns/rule/geoip2ipset.sh 给它赋予可执行权限。
**** Hidden Message *****
mosdns：选自定义配置文件，取消 DNS 转发的勾，然后我就直接贴配置了，注意 Clash DNS 端口要改成你自己在 open克拉什 里的配置，LAN IP-CIDR 也要改成你自己的内网配置，这里 mosdns 监听了 5335 端口。并且要在 GeoData 数据导出 里配置上我们用到的标签：GeoSite: cn, apple-cn, category-games@cn, geolocation-!cnGeoIP: cn
**** Hidden Message *****
自定义规则列表里移除domain:bing.com，并添加到灰名单列表里，这样newbing就可以正常使用
AdGuardHome：在 luci 页面上，开启端口重定向，选择重定向53端口到AdGuardHome，这里注意 AdGuardHome 本身不要监听 53 端口，把 53 端口留给 dnsmasq，AdGuardHome 设置一个其它的端口就可以了。在 Web 管理页面上，设置 - DNS 设置中，上游 DNS 服务器内只填写一个 mosdns 的地址 127.0.0.1:5335 #mosdns，私人反向 DNS 服务器写上 127.0.0.1 #dnsmasq。DNS 缓存配置里面，缓存大小看你内存大小填写，乐观缓存勾上。对于不想走代理的设备，可以在设置 - 客户端设置中添加，并且把上游 DNS 服务器设置成 127.0.0.1。其他设置：系统启动项禁用avahi-daemon、snmpd,并添加本地启动脚本（影响ipv6）：/etc/init.d/snmpd stop/etc/init.d/snmpd disable或直接软件管理卸载snmp
以上所有设置设置完后，win+R打开cmd输入:ipconfig/flushdns刷新dns
2023年12月27日 18:43:20修改
添加github520的方式
在root目录下新建hostsUpdate.sh
sed -i '/# GitHub520 Host Start/,/# GitHub520 Host End/d' /etc/hosts
curl https://raw.hellogithub.com/hosts >> /etc/hosts
sed -i '/^</d' /etc/hosts
/etc/init.d/dnsmasq restart
/etc/init.d/AdGuardHome restart
/etc/init.d/mosdns restart
修改脚本运行权限
chmod 777 hostsUpdate.sh
设置定时脚本
0 6 * * * /root/hostsUpdate.sh
看起来好复杂！研究研究！ 很用心的设计，点赞 看看隐藏了啥 大萨达实打实大师 回复学习一下~~~~~~~~ 不知道咋样 看看再说
请问不开AdGuardHome的话应该怎么设置呢?大佬我qq305581504，有时间的话希望抽空加下Q请教下！ 看起来好复杂！研究研究！ 不多不多不多 学习学习 很用心奥 看起来好复杂！研究研究！ +++++++++++++++++++++++++++ 研究一下学习学习