@YongXMan #9 那么最好的做法还是用主路由来控制转发流量，这样就有一个很清晰的路由表去表达流量的走向。iptables 的 redir 或者 tproxy 方式，调试起来也是很费劲。特别是 openwrt 这种系统，各个网络插件都要对 iptables 修改一下。难免出现兼容问题，前端按一下，不看他又臭又长脚本，根本不知道他做了啥。

@YongXMan #5 https://www.v2ex.com/t/947864#r_13206481 参考这里的方案，不一定要旁路由，可以部署在一个路由上的。

原理是前置 DNS 分流，匹配 fake-ip 才发送给 clash 。如果嫌麻烦就直接虚拟多一个 op 。

dns 分流，匹配域名才用 clash 解析。

443 80 默认被 ben 如果路由是光猫，需要配光猫的防火墙。另外先试试 fe80 的地址通不通，不通检查程序是否监听在 ipv6 上

@MSIAM https://www.v2ex.com/t/947864
参考这个帖子我的方案

管理区域其实就是 IP 段嘛，openclash 不支持只代理某个 IP 段嘛？

打开他又臭又长的 bash 脚本，然后找到 iptables 命令 改成你自己的。
https://github.com/vernesong/OpenClash/blob/9ee0f02ed7615a62f960c9ee2f951dd1b47e2411/luci-app-openclash/root/etc/init.d/openclash#L2337-L2338

一坨坨。

冷知识 1 英里（迈）约等于 1.609 千米(公里)

# 允许 DHCPv6 客户端尝试前缀代理
/ipv6 firewall filter add action=accept chain=input \
comment="Accept DHCPv6 client prefix delegation" \
dst-port=546 protocol=udp src-address=fe80::/10

先确认 ipv6 dhcp client 端口在防火墙那边 input 是允许先吧。

@LisaSue 惜字如金。

回楼主：“你可样，房牵融，需包烟可解”

拿去当地电脑城找人修吧。

话说 445 安全吗？感觉还是套个 vpn 或者 ss 最好吧。
@Leslie5205912 看剧套个 webdav 安全很多。至少只能下载不能上传啊。445 有命令通道。隔三差五会爆 0day

@strp 额 是没听过 https://acme.sh ？要 80 443 才能更新证书已经上古时代的事。

openwrt 是用 dnsmasq 代理的，所以本机 nslookup 就是 127.你得看 dnsmasq 的上游 dns ，命令行是 uci show dhcp

话说 445 安全吗？感觉还是套个 vpn 或者 ss 最好吧。

只能事件查看器，但是卡的一批

@redial39 #75 抱歉，昨天玩别的东西去了，忘记发出来。

```
. {

# 运营商 dns
forward . 202.96.128.166:53 202.96.134.33:53

#clash dns
wormhole 127.0.0.1:1053 {
#RemoteServers 127.0.0.1:7874
# ROS 10.89.0.1:8728 admin 123456 GFWList
# ROS_Timeout 2592000
# ROS_Enabled_Ipv6

DomainSuffix speedtest.net archive.ubuntu.com
List clash https://raw.githubusercontent.com/blackmatrix7/ios_rule_script/master/rule/Clash/Microsoft/Microsoft.yaml
List clash https://raw.githubusercontent.com/blackmatrix7/ios_rule_script/master/rule/Clash/Bing/Bing.yaml
List clash https://raw.githubusercontent.com/blackmatrix7/ios_rule_script/master/rule/Clash/Global/Global_Classical.yaml
#List clash https://ghproxy.com/https://raw.githubusercontent.com/blackmatrix7/ios_rule_script/master/rule/Clash/Global/Global_Domain.yaml
List clash https://raw.githubusercontent.com/blackmatrix7/ios_rule_script/master/rule/Clash/Netflix/Netflix.yaml

# balancing parallel fastTest
Policy balancing
DomainSuffix fast.com npmjs.org nflxvideo.net openmediavault.org api.met.no packagecloud.io cip.cc cdn.hklive.tv tvboxnow.com
DomainSuffix image.themoviedb.org api.themoviedb.org www.themoviedb.org api.thetvdb.com
#Domain www.facebook.com www.google.com
DomainSuffix youtube.com ytimg.com ggpht.com golang.org debian.org fastlydns.net
#DomainKeyword github ytimg ggpht googlevideo
#RegexlistRules github

IgnoreDomainKeyword m-team.cc
#IgnoreList dnsmasq https://raw.githubusercontent.com/felixonmars/dnsmasq-china-list/master/accelerated-domains.china.conf
#IgnoreDomain www.baidu.com.com www.sina.com
#IgnoreDomainSuffix bilibili.com
#IgnoreDomainKeyword taobao
#IgnoreRegexlistRules taobao

HttpRenewalInterval 300
FileRenewalInterval 10
RetryCount 10
RetryInterval 10
# DisableAutoUpdate
}
debug
log
cache 300
reload 10s
}


```

@redial39 emmm 你要配置我明天发到 github 上吧。😅 作者一开始思路是想把匹配的 dns 根据 ros 的 api 丢到 ros 的 address_list 里。但我现在用 fake-ip 方案就简单多了。
go 编译很简单，docker 啦一个下来然后根据普通 go 程序编译方法编译就行。我觉得比 c++ make 来的简单😅 丢 OpenWrt 上跑就把静态编译打开。

@redial39 哈哈，因为作者只是拿来练下手 写下 go ，给自己弄个需求而已。