关于[OPenWRT 旁路由+MosDNS+OpenClash+AdGuard Home 傻瓜配置图文教程]优化方案

moonlight91

本帖基于论坛地址：https://www.right.com.cn/forum/thread-8284982-1-1.html 参数配置优化

在使用此配置组合时，发现即便是DNS解析国内域名返回的时非FakeIP，但流量依旧走OpenClash内核


如上图，baidu 也通过openclash 访问
因此在网上搜索，参考了这个博客： https://songchenwen.com/tproxy-split-by-dns
虽然DNS分流方式和论坛中的方式略有差异，但思路可以借鉴。
其中关键的配置调整如下：
首先：插件设置-模式设置-运行模式 必须 切换到 Fake-IP（增强）模式 ，其他方式即便修改了防火墙规则，也无法使国内流量避开OpenClash流量转发
然后：在 插件设置-开发者选项 中替换为附件中的脚本。
脚本主要的逻辑：删除Openclash创建的规则，删除成功后，即可实现只对Fakeip的流量通过 OpenClash 转发。


OpenClash NFTables 默认规则如下，红框为对TCP流量的默认转发规则


由于我的OpenWRT为22.03.5 版本，防火墙默认实现改为了 NFTables，
我按照博客中实现的思路 使用NFTables命令删除了 OpenClash 创建的规则
（注意：由于删除了默认转发规则，部分直连IP且需要代理的应用会上网海淘失败，因此需要对个别不需要DNS解析直接上网海淘的应用特殊处理，如：电报。）



NFTables 自定义脚本（删除默认转发配置，只有FakeIP流量才走OpenClash，直连IP应用不走OpenClash）：



NFTables 自定义脚本（删除默认转发配置，使用OpenClash 自带的 china_ip_route，修改代理逻辑为：FakeIP&非国内IP流量走OpenClash内核，可以避免部分直连ip应用代理异常）：


由于我的OpenWRT版本使用的是非Iptables防火墙，Iptables命令我没有做测试，仅做参考（有朋友已经测试通过了），
如果导致无法正常代理science，删除自定义规则重新启动OpenClash即可恢复。
Iptables 自定义脚本：
Iptables 自定义脚本（大路IP绕过内核）：

操作前请务必备份默认配置！！！
按如上步骤删除规则并配置好，通过MosDns解析的国内IP流量将不会通过OpenClash 转发，体现在Openclash的控制面板中查看不到国内的流量，理论上性能会有所提升，同时路由器也可以正常开启使用Ipv6。

@shiift @望月星刀

二货先森c

折腾那么多，我都是直接mosfns+hello沃德直接用了，全部dns解析交给mosdns，国内设置阿里的，懒得折腾了

ensan1034572251

二货先森c 发表于 2023-5-23 02:52
折腾那么多，我都是直接mosfns+hello沃德直接用了，全部dns解析交给mosdns，国内设置阿里的，懒得折腾了 ...

mosdns 都可以直接不用，有个 acc加速的就完全可以替了它，直接打开就行，如果你用的是老毛子的路由那就更简单了，打开那个  china-dns ,有国内国外分流，还可以隐藏你在国内网science的真实ip   秒开国内国外，去广告功能就直接优化下dns就差不多了

yyysuo

1：既然用了sbwml的luci，完全用luci就好了，没必要再用自定义的配置了，之所以报错，是因为这个sp_low data luci的作者弃用了，但是配置文件估计还是按照之前的配置文件改的。
2：关于openclash的部分挺有意思的，之前没关注过这部分知识，学习了，感谢分享。

望月星刀

如果是这样的效果，确实除了DNS分流以外，也实现了流量分流，那确实是更优化的方案。
目前看了下原博下面的的反馈：部分直连IP的APP连接会受影响，Bt下载与其他人的连接等，这个需要更多人来测试一下。

moonlight91

望月星刀 发表于 2023-5-23 09:10
如果是这样的效果，确实除了DNS分流以外，也实现了流量分流，那确实是更优化的方案。
目前看了下原博下面的 ...

确实是这样的，直连IP不通过OpenClash的DNS解析不产生FakeIP导致无法通过 OpenClash 代理流量，
理论上 需要求改修改防火墙规则把这部分流量单独转发给Openclash可以解决此问题

moonlight91

yyysuo 发表于 2023-5-23 08:28
1：既然用了sbwml的luci，完全用luci就好了，没必要再用自定义的配置了，之所以报错，是因为这个sp_low dat ...

界面上无法使用自定义远程DNS解析，因此必须使用自定义配置

jayrose

感谢大佬 马上试试看

yyysuo

moonlight91 发表于 2023-5-23 09:47
界面上无法使用自定义远程DNS解析，因此必须使用自定义配置

有sp low data的，就是sbwml的luci，怎么会没有远程dns呢？

moonlight91

yyysuo 发表于 2023-5-23 09:54
有sp low data的，就是sbwml的luci，怎么会没有远程dns呢？

刚试了一下，之前配置的姿势不对，现在是可以的。

jayrose

大佬 请问openwrt版本号23.4.1应该用您提到的NFTables还是Iptables？

moonlight91

moonlight91 发表于 2023-5-23 10:11
刚试了一下，之前配置的姿势不对，现在是可以的。

之前操作的姿势不对，确实这个ui选项是可以调整的

moonlight91

jayrose 发表于 2023-5-23 10:14
大佬 请问openwrt版本号23.4.1应该用您提到的NFTables还是Iptables？

OpenWRT 22.03 之后的版本默认使用 NFTables，除非你安装OpenClash的时候指定了 Iptables， 否则默认应该是 NFTables。具体你可以看一下 OpenClash 的启动日志，如果是 NFTables 会有相应提示，否则应该是 Iptables

jayrose

moonlight91 发表于 2023-5-23 10:28
OpenWRT 22.03 之后的版本默认使用 NFTables，除非你安装OpenClash的时候指定了 Iptables， 否则默认应该 ...

感谢大佬

moonlight91

望月星刀 发表于 2023-5-23 09:10
如果是这样的效果，确实除了DNS分流以外，也实现了流量分流，那确实是更优化的方案。
目前看了下原博下面的 ...

已测试通过对于直连IP的应用可以单独添加防火墙策略通过Openclash代理，我更新一版对于 针对电报特殊处理，后续策略脚本还需要再优化。