1. Clash DNS, TUN 配置参考 https://github.com/mritd/tpclash#31tun-%E6%A8%A1%E5%BC%8F%E9%85%8D%E7%BD%AE
2. 确保开发板系统"net.ipv4.ip_forward", "1"，"net.ipv4.conf.all.route_localnet", "1"
3. 手机及 APPLE TV 设备网关设为开发板 IP ，DNS 设为公网的 DNS ，例如 223.5.5.5
以上操作完全参照 tpclash 项目，我目前在用是没问题的

我群晖也在用，镜像 ID01f79ff244ec 21 months ago ，可能有一些老，容器内抓包 5 分钟没发现楼主说的情况

给楼主表演个例子吧

FROM ubuntu:20.04 as deb_focal

RUN apt update && \
apt install -d -y \
vim && \
cd /var/cache/apt/archives && \
tar zcvf /tmp/basic_focal.tar.gz *.deb

FROM ubuntu:20.04

COPY --from=deb_focal /tmp/*.tar.gz /packages/

RUN cd /packages && tar zxf basic_focal.tar.gz && dpkg -i *.deb

CMD [ "sleep", "360000000" ]

解答第一个问题，apt install -d 是会下载到指定路径的。
然后就按照你想实现的打包成 tar.gz 离线安装 deb 就行

我有个方案，楼主可以测试下是否可行
用 docker 起端口转发应用，对宿主机不暴露任何端口，只用到容器自身的 IP ，这样只有群晖本机能够访问到，以此类推，有几个非标准端口的 smb 共享就起几个容器

不如看看 nginx 的 502 日志？

如果你的需求是你的此文标题，那么你想到的做法没有问题。
如果不是，请简述真实的需求，不然东问一句西问一句，大家都一脸懵逼

https://roadmap.sh/devops

「工具只是特定场景下的最优成本选择，掌握基本原理才是重点。」

「 A 机器能够 ping 通 C 机器，但是不能 ssh 进去」 tcpdump 抓包看下？

git 的 webhook 触发 ansible 拉取代码

看出来回复里大多数人都没接触过 BMC ，我管理过 500+物理机，这是切实的需求，但是频次很低，我选择拆分主机，同时更新少量主机，战线拉长

您可知我曾开通的香港区 AWS RDS 直接是被墙的 IP🙂

蹲一个专业人士回答

```bash
sudo update-alternatives --set iptables /usr/sbin/iptables-legacy
sudo update-alternatives --set ip6tables /usr/sbin/ip6tables-legacy
```

不找自己问题吗

@fuchaofather
1. 首先你的路由器关闭 iptables 的那两行劫持
2. dhcp 分配内网 dns 为你的群晖里的 adguard IP （应该是标准 53 端口吧？）
3. 修改 adguard 的上游为 clash 的 dns ，也就是路由器 IP+7874 （ clash dns 监听默认应该是 7874 吧？）

@hertzry 不用啊 都在你自己的设备上完成