@piku
大多数没有端口的协议（比如 icmp ）没有可以用来分辨用户的应用层特征，所以我估计并不会下发给用户，而是直接应答回复。

@yutian12345
piku 的思路提醒了我，测试假公网其实有个简单办法，对小白也很友好：
pppoe 连接状态下记住你的“公网”ip ，断开连接（无论是断开 pppoe 还是物理断开都可以），然后迅速用另外的网络设备（如手机） ping 那个“公网”ip ，能通就是假公网，也就是共享公网。

@UnAmico 之前用 golang 写了一大半，在 github 上的 edge 分支里。然后今年上半年这个分支被删了。然后新建了个 rustvc 分支继续开发。开发速度很慢，最近一次更新是三个月前的 9 月 17 日。

@bequt 如果你收件人是 qq，虽然自建邮局没有发件数量限制，但是批量发送相同内容还是有可能会被 qq 退信。
收件人设置白名单能增加一点到达率，但还不是百分之百到达。
那么有两种解决方案：收件人也用自建邮局；或者购买专业的邮件代发服务。

@acbot aosp 的代码里显示，有效期是 2592000，首选期是 604800

@ZeroDu 内网穿透用 zerotier 最简单，但性能可能达不到某些要求。其它方案都需要自架服务器。

核心问题应该还是 http(s)服务。
如果你的服务是自己用的，或者小范围用的，那么可以架 vpn，或者内网穿透服务。
如果你的服务是对外的，就无解了。http 是明文的，很好查。ssl 有个 sni 是明文的，被抓包也能百分百肯定你是 web 服务。不过这也只是猜测，运营商是否使用了这么严格的过滤措施我并不能肯定。我这边目前也只是封禁了 80 和 8080 端口，其它的没管。也说不定是抓大放小。
单个文件分享不架 web 可以用 ipfs，类似 bt，它有一些节点充当 web 中转可以供人以 http 方式访问。

slaac 地址的有效期依当前设备的 validtime 而定。此外还有个 preferdtime，过了这个时间就会生成新的地址并向上级路由宣告。
在 slaac 网络中，重启路由器，路由器下的终端可以保持之前的 ipv6 地址不变。不过，要是路由器 ipv6 改变，那么终端之前地址对应的路由就不通了。操作系统一般会利用跃点计数把过时无效的路由清除掉。然后要么是尝试用新路由宣告，要么是直接生成新地址。

没听说支持。手里的 lineageos 18 (android 11) 获取到的 ipv6 还是只能用 ipv4 的 dns，没有 dnsv6 。说明是 slaac 。

@presoul 不好意思之前说的不对。我查到 planet 和 moon 在 1.2 版后已经实现了 tcp 中继。
楼主速度很慢，我猜原因可能是 zerotier 先尝试连接 udp，连接成功便没有尝试中继。
如果要强制中继，应该参考[官方说明]( https://github.com/zerotier/ZeroTierOne/tree/master/service)拉黑除 moon 之外的所有 path

@qbqbqbqb 抱歉之前 #12 说的不对，/64 是不下发的。只做设备标识用。那这里电脑得到的 /60 地址，从电脑上分辨不出来是 dhcpv6 还是 slaac 。

不过安卓还是得不到 ipv6，不知道是哪里出的问题。

@qbqbqbqb #11 抱歉我这边改了之后仍然得不到 slaac 地址。

可以看到 wan 侧通过 dhcpv6 获得了 /60 前缀，通过 slaac 获得了 /64 地址。

可以看到 lan 侧获得的 ip 是通过 /60 前缀下发的。如果通过 slaac 下发地址，那么我的电脑上应该得到的是与网关上同属一个 /64 前缀的 `2408:824e:0002:736e:`。

moon 不是中转服务器，官方手册写得很清楚。它的作用是帮助位于 nat 后方的客户端 udp 打洞。类似 stun 。
无论用不用 moon，都不改变 zerotier 客户端通过 udp 打洞从而建立 p2p 通信的传输方式。

所以 zerotier 不好用的真正原因就是运营商在边界限速 udp 的问题。无解。
可以考虑用服务器中转的方案替代，比如 tinc 、nkn 、frp 。

看来大家较多选择的次优方案其实还是调用系统浏览器，包括 pywebview 、tauri 这类都是，localserver 和 pwa （ PC 版小程序快应用）也算。目前 pwa 还不能操作本地文件，需要借助 service-worker，除了跟浏览器结合更紧密，其实跟 localserver 区别不大。

我也了解了一下 electron runtime，有些 linux 发行版确实是以这种方式进行包管理。但是碎片化十分严重，每个 electron 应用依赖的版本都不同，效果提升并不明显。github 上有关 runtime 的讨论里，electron 官方也认为组件更新迭代太快，发行 runtime 的优势不显。也是因为迭代太快，对 chromium 进行精简也跟不上更新的速度。chromium 本身耦合也非常紧密，拆分成模块是比较困难的工作。（ chromium 里其实有很多有很多对于发布应用来说是没用的可以删除的功能，例如打印当前页、pdf 查看和保存为 pdf 、截图、crx 扩展、调试等等，所以能做出来 miniblink 的作者还是很有水平的，至少把 chromium-windows 吃透了）

@9ttttttt java 层无法建立除 tcp 和 udp 以外的通信。VPNService 可以收到 icmp 包，以字节数组的形式，但是无法在不 root 的情况下发出去，只能丢弃。
你的第二个问题，大概是想实现类似 iptables 这类的东西？ iptables 打标记的原理并不是修改数据包，而是建立数据表。而 java 层也不能改包，所以就不能发送自定义内容的数据包。

至于为什么 tun2socks 使用用户态协议栈 lwip，那是因为它把包发给 socks 服务器了，而不是传输修改了 header 的 tcp 和 udp 。jvm 上并不能修改包头并重新发送。如果能直接发的话，题目的要求（转发）将变得十分简单。
所以 jvm 要转发只有俩实现方案：
1. 本地起个 socks 服务器，tun2socks 转给 socks 服务器。socks 往外的连接要传给 android protect() 一下。
2. nat 实现。各自缓存一套 tcp 和 udp 的 natsession map 。收到来自 lan 的包，检查一下有没有 session，有的话直接取出来往 wan 传送 data 。没有的话建立一个 protect() wan 连接并存入 session map 。tcp 要处理握手和挥手，收到 lan 握手包建立外部连接，lan 挥手包关闭连接清除 session，如果是 wan 关闭连接则向 lan 发送挥手包。wan udp 连接设置个 timeout，超时自动关闭，关闭时清除 session 。

@gam2046 #9
请问你最终实现报文转发了吗？
我搜了一圈，网上几乎都是 NAT 实现的。java 层似乎并不能实现用户态协议栈，因为不能发 raw 包，只能发 java 封装好的 tcp 和 udp 包。可以借助 jni 可以发 raw 包，但是如你所说，需要 root 。