peter-tank
commented
5 years ago 目前的主要问题是，从 LAN 访问 gfwlist 里的网址会直接报 "ERR_CONNECTION_REFUSED"。
今天翻出来 firewall restore 的相关配置，虽然不懂 iptables 命令，但从字面上感觉 rules 没问题。
可能是我试图在 LEDE 旧固件(大至是今年9月的 snap shot)上安装模块 iptables-mod-extra， 然后报错内核不匹配，然后就连之前能正常使用的 V2Ray 也出现同样的故障了。
opkg list-installed | grep ipddns-scripts - 2.7.8-1 ddns-scripts_aliyun - 1.0.0-2 ddns-scripts_cloudflare.com-v4 - 2.7.8-1 ip-full - 5.0.0-1 ipset - 7.1-3 iptables - 1.8.2-2 iptables-mod-conntrack-extra - 1.8.2-2 iptables-mod-fullconenat - 2018-12-15-d4daedd0-1 iptables-mod-ipopt - 1.8.2-2 iptables-mod-tproxy - 1.8.2-2 kmod-ip6tables - 4.9.196-1 kmod-ipt-conntrack - 4.9.196-1 kmod-ipt-conntrack-extra - 4.9.196-1 kmod-ipt-core - 4.9.196-1 kmod-ipt-fullconenat - 4.9.196+2018-12-15-d4daedd0-1 kmod-ipt-ipopt - 4.9.196-1 kmod-ipt-ipset - 4.9.196-1 kmod-ipt-nat - 4.9.196-1 kmod-ipt-raw - 4.9.196-1 kmod-ipt-tproxy - 4.9.196-1 kmod-iptunnel - 4.9.196-1 kmod-nf-ipt - 4.9.196-1 kmod-nf-ipt6 - 4.9.196-1 libip4tc - 1.8.2-2 libip6tc - 1.8.2-2 libipset - 7.1-3 libjson-script - 2018-07-25-c83a84af-2 luci-lib-ip - git-19.283.54246-96348c8-1 sqm-scripts - 1.3.0-1- gfwlist 模式下：
- TCP only
#!/bin/sh iptables-save -c | grep -v "SS_SPEC" | iptables-restore -c iptables-restore -n <<-EOT *nat :SS_SPEC_WAN_AC - [0:0] :SS_SPEC_WAN_FW - [0:0] -I PREROUTING 1 -p tcp -m comment --comment _SS_SPEC_RULE_ -j SS_SPEC_WAN_AC -I OUTPUT 1 -p tcp -m comment --comment _SS_SPEC_RULE_ -j SS_SPEC_WAN_AC -A SS_SPEC_WAN_AC -m set --match-set whitelist dst -j RETURN -A SS_SPEC_WAN_AC -m set --match-set blacklist dst -j SS_SPEC_WAN_FW -A SS_SPEC_WAN_AC -m set --match-set fplan src -j SS_SPEC_WAN_FW -A SS_SPEC_WAN_AC -d vps.ip.addr/32 -j RETURN -A SS_SPEC_WAN_AC -m set --match-set gfwlist dst -j SS_SPEC_WAN_FW -A SS_SPEC_WAN_AC -m set --match-set gmlan src -m set ! --match-set china dst -j SS_SPEC_WAN_FW -A SS_SPEC_WAN_AC -m set --match-set china dst -j RETURN -A SS_SPEC_WAN_FW -d 0.0.0.0/8 -j RETURN -A SS_SPEC_WAN_FW -d 10.0.0.0/8 -j RETURN -A SS_SPEC_WAN_FW -d 127.0.0.0/8 -j RETURN -A SS_SPEC_WAN_FW -d 169.254.0.0/16 -j RETURN -A SS_SPEC_WAN_FW -d 172.16.0.0/12 -j RETURN -A SS_SPEC_WAN_FW -d 192.168.0.0/16 -j RETURN -A SS_SPEC_WAN_FW -d 224.0.0.0/4 -j RETURN -A SS_SPEC_WAN_FW -d 240.0.0.0/4 -j RETURN -A SS_SPEC_WAN_FW -p tcp -j REDIRECT --to-ports 1234 COMMIT *mangle COMMIT EOT - With UDP relay
#!/bin/sh iptables-save -c | grep -v "SS_SPEC" | iptables-restore -c iptables-restore -n <<-EOT *nat :SS_SPEC_WAN_AC - [0:0] :SS_SPEC_WAN_FW - [0:0] -I PREROUTING 1 -p tcp -m comment --comment _SS_SPEC_RULE_ -j SS_SPEC_WAN_AC -I OUTPUT 1 -p tcp -m comment --comment _SS_SPEC_RULE_ -j SS_SPEC_WAN_AC -A SS_SPEC_WAN_AC -m set --match-set whitelist dst -j RETURN -A SS_SPEC_WAN_AC -m set --match-set blacklist dst -j SS_SPEC_WAN_FW -A SS_SPEC_WAN_AC -m set --match-set fplan src -j SS_SPEC_WAN_FW -A SS_SPEC_WAN_AC -d vps.ip.addr/32 -j RETURN -A SS_SPEC_WAN_AC -m set --match-set gfwlist dst -j SS_SPEC_WAN_FW -A SS_SPEC_WAN_AC -m set --match-set gmlan src -m set ! --match-set china dst -j SS_SPEC_WAN_FW -A SS_SPEC_WAN_AC -m set --match-set china dst -j RETURN -A SS_SPEC_WAN_FW -d 0.0.0.0/8 -j RETURN -A SS_SPEC_WAN_FW -d 10.0.0.0/8 -j RETURN -A SS_SPEC_WAN_FW -d 127.0.0.0/8 -j RETURN -A SS_SPEC_WAN_FW -d 169.254.0.0/16 -j RETURN -A SS_SPEC_WAN_FW -d 172.16.0.0/12 -j RETURN -A SS_SPEC_WAN_FW -d 192.168.0.0/16 -j RETURN -A SS_SPEC_WAN_FW -d 224.0.0.0/4 -j RETURN -A SS_SPEC_WAN_FW -d 240.0.0.0/4 -j RETURN -A SS_SPEC_WAN_FW -p tcp -j REDIRECT --to-ports 1234 COMMIT *mangle :SS_SPEC_TPROXY - [0:0] -I PREROUTING 1 -p udp -m comment --comment _SS_SPEC_RULE_ -j SS_SPEC_TPROXY -A SS_SPEC_TPROXY -p udp -m udp --dport 53 -j RETURN -A SS_SPEC_TPROXY -d 0.0.0.0/8 -p udp -j RETURN -A SS_SPEC_TPROXY -d 10.0.0.0/8 -p udp -j RETURN -A SS_SPEC_TPROXY -d 127.0.0.0/8 -p udp -j RETURN -A SS_SPEC_TPROXY -d 169.254.0.0/16 -p udp -j RETURN -A SS_SPEC_TPROXY -d 172.16.0.0/12 -p udp -j RETURN -A SS_SPEC_TPROXY -d 192.168.0.0/16 -p udp -j RETURN -A SS_SPEC_TPROXY -d 224.0.0.0/4 -p udp -j RETURN -A SS_SPEC_TPROXY -d 240.0.0.0/4 -p udp -j RETURN -A SS_SPEC_TPROXY -d vps.ip.addr/32 -p udp -j RETURN -A SS_SPEC_TPROXY -p udp -m set --match-set fplan src -j TPROXY --on-port 1234 --on-ip 0.0.0.0 --tproxy-mark 0x1/0x1 -A SS_SPEC_TPROXY -p udp -m set --match-set china dst -j RETURN -A SS_SPEC_TPROXY -p udp -m set --match-set gmlan src -m set ! --match-set china dst -j TPROXY --on-port 1234 --on-ip 0.0.0.0 --tproxy-mark 0x1/0x1 -A SS_SPEC_TPROXY -p udp -m set --match-set gfwlist dst -j TPROXY --on-port 1234 --on-ip 0.0.0.0 --tproxy-mark 0x1/0x1 COMMIT EOT
- TCP only
尝试加入 Trojan 代理的支持，发现只能代理router自身流量。 各位大佬，要怎么来整 ssr-rules 才可以正常透明代理？