smartdns
smartdns copied to clipboard
pymumu
能否增加个使用代理服务器请求上游的功能?
建议的方案 增加一个可以使用socks5的功能 比如加个参数 server-https https://cloudflare-dns.com/dns-query --proxy socks5://user:[email protected]:1080 server-tls 8.8.8.8:853 --proxy http://user:[email protected]:1080 server-tcp 8.8.8.8:53 --proxy socks5://user:[email protected]:1080 server 8.8.8.8:53 -blacklist-ip -group g1 --proxy socks5://user:[email protected]:1080
公共代理都找不到稳定的吧，并且也可能不好用，直接使用TLS有什么情况用不了
代理隧道当然是自建了, 直接用公共DNS 比如1.1.1.1 8.8.8.8 这种CF 和谷狗的基本上都给墙了,CF的可能偶尔能用,但是谷狗的基本上国内就无法正常使用, 还有就是1.1.1.1这种如果直连使用都是绕到美国去了, 解析出来的IP也是怪怪的还不如翻墙软件上直接远程解析算了,或者路由器上用dns2socks远程解析. 比如我香港的VPS走代理隧道从1.1.1.1解析给的IP地址也是香港的, 如果直连1.1.1.1 解析给的IP地址反而是美国落三基或者其他地方的.就不是香港的了.
+1 用代理还有个好处就是境外站点不用考虑 ECS 了，8.8.8.8， 1.1.1.1 这些公共服务器会根据代理服务器的地址按最优解析。
ecs是为了解决代理服务器地理位置识别不准的问题（由于很多代理都是广播ip）。 我个人还是倾向smartdns只管做好解析，至于系统自身联网（或分流）方式不要去管。
+1 用代理还有个好处就是境外站点不用考虑 ECS 了，8.8.8.8， 1.1.1.1 这些公共服务器会根据代理服务器的地址按最优解析。
ecs是为了解决代理服务器地理位置识别不准的问题（由于很多代理都是广播ip）。 我个人还是倾向smartdns只管做好解析，至于系统自身联网（或分流）方式不要去管。
我认为smartDNS对其他DNS程序的优势, 就是能对解析出来的ip进行测速和优选, 反而让系统负责分流让这功能失效了; 现情况是: 走ping无法测被墙IP, 走TCPping如果透明代理情况下会被劫持到本地,测速数据无参考价值 当然对于纯国内解析或者直连解析到不影响此功能的有效性
另外我觉得让系统分流还是有局限性, 长远来看能走代理通道的DNS程序都基本上活的比较长, 如果N年以后你们不维护了, 墙或者出了新招, 起码套个socks5还能凑活用. PS: 我目前有台电脑还在使用Pcap_DNSProxy > https://github.com/chinaniupai/Pcap_DNSProxy 这货虽然作者删库跑路了, 但是此程序的国内外分流解析我觉得是做的最好的(之一), 虽然不支持最新的协议, 会被墙封锁, 但是起码经过特殊设置后 套个socks5代理还能凑活用
所以建议还是加个给 公共DNS使用代理的功能 另外再添加个HTTPping这种能走代理通道的测速模式
走TCPping如果透明代理情况下会被劫持到本地
这里是我没理解。我用的ss，这块是没有问题的。刚查了一下v2ray用tcp ping会因为空连接报错。passwall（似乎是为了解决这个问题）对ping做了抢答（也就是ping 永远通）。虽然这个动作是程序本意，但我认为这是passwall带来的问题，没有“忠实的”传递数据报本身。passwall应该有个开关来控制这个问题。
参考#602 #624
走TCPping如果透明代理情况下会被劫持到本地
这里是我没理解。我用的ss，这块是没有问题的。刚查了一下v2ray用tcp ping会因为空连接报错。passwall（似乎是为了解决这个问题）对ping做了抢答（也就是ping 永远通）。虽然这个动作是程序本意，但我认为这是passwall带来的问题，没有“忠实的”传递数据报本身。passwall应该有个开关来控制这个问题。
参考#602 #624
**是的应该是PW的问题, PW上我试过几乎所有的选项, 只要开启PW它, 它就给TCPping抢答了~_~ 导致SmartDNS用TCPping测速出来的结果失真, #602 #624这俩兄弟表达的意思跟俺也差不多. 我也是建议增加个更靠谱的测速方式比如用curl 某网站 测出返回200代码的时间, 可以参考这个命令:
下面这个是一条命令: github这个文档编辑真是醉了
curl -sIL --resolve www.youtube.com:443:142.250.207.78 https://www.youtube.com -w " 状态码:%{http_code}\n 请求总用时:%{time_total}\n 解析时间:%{time_namelookup}\n " -o /dev/null --connect-timeout 10 --verbose -x socks5://192.168.1.94:10800
这个是解释:
--resolve [解析的域名]:[port]:[要测试的IP]
https://www.youtube.com [对应上面解析的域名]
-w " 状态码:%{http_code}\n 请求总用时:%{time_total}\n 解析时间:%{time_namelookup}\n " [这个是单独列出来所用时间]
-x socks5://192.168.1.94:10800` [这个是测试时使用的代理服务器,这样测速就走代理了]
另外还是建议给上游服务器添加个使用socks的功能, 类似https://github.com/IrineSistiana/mosdns/wiki/Plugin#%E8%BD%AC%E5%8F%91%E8%AF%B7%E6%B1%82
https://github.com/IrineSistiana/mosdns-cn
类似这种样子, 上面也给了更多示例
tls://8.8.8.8?socks5=127.0.0.1:1080
https://dns.google/dns-query?socks5=127.0.0.1:1080
PS: 这个Issues和我另外一个 https://github.com/pymumu/smartdns/issues/929 有点闹混了...
建议的方案 增加一个可以使用socks5的功能 比如加个参数 server-https https://cloudflare-dns.com/dns-query --proxy socks5://user:[email protected]:1080 server-tls 8.8.8.8:853 --proxy http://user:[email protected]:1080 server-tcp 8.8.8.8:53 --proxy socks5://user:[email protected]:1080 server 8.8.8.8:53 -blacklist-ip -group g1 --proxy socks5://user:[email protected]:1080
个人也感觉这个很有用的功能，这样还能实现不同的国外dns走不同代理去连接，稳定而灵活。
建议的方案 增加一个可以使用socks5的功能 比如加个参数 server-https https://cloudflare-dns.com/dns-query --proxy socks5://user:[email protected]:1080 server-tls 8.8.8.8:853 --proxy http://user:[email protected]:1080 server-tcp 8.8.8.8:53 --proxy socks5://user:[email protected]:1080 server 8.8.8.8:53 -blacklist-ip -group g1 --proxy socks5://user:[email protected]:1080
个人也感觉这个很有用的功能，这样还能实现不同的国外dns走不同代理去连接，稳定而灵活。
代理客户端都有代理本机的功能，没必要单独套一个socks5
看有多少人需要这个功能吧
非常需要这个功能。最近在使用国外的dns解析的时候，有时候会出现无法访问的情况，国内在访问国外这些DNS时还是非常有可能会被干扰的吧。因为我路由器上运行了Clash，Clash虽然代理了局域网设备的流量但是没有代理路由器本身的流量。所以SmartDNS的流量就不会走代理，如果可以在SmartDNS中设置某个或者某组上游DNS服务器通过Clash 在本地开启的 http/socks 代理就非常棒了👍
建议的方案 增加一个可以使用socks5的功能 比如加个参数 server-https https://cloudflare-dns.com/dns-query --proxy socks5://user:[email protected]:1080 server-tls 8.8.8.8:853 --proxy http://user:[email protected]:1080 server-tcp 8.8.8.8:53 --proxy socks5://user:[email protected]:1080 server 8.8.8.8:53 -blacklist-ip -group g1 --proxy socks5://user:[email protected]:1080
个人也感觉这个很有用的功能，这样还能实现不同的国外dns走不同代理去连接，稳定而灵活。
代理客户端都有代理本机的功能，没必要单独套一个socks5
代理本机好像是有这个功能，但是好像不是所有设备都容易实现。比如我用的ShellClash，在小米路由器的官方系统就不能开启本机代理功能。
看有多少人需要这个功能吧
非常需要这个功能。最近在使用国外的dns解析的时候，有时候会出现无法访问的情况，国内在访问国外这些DNS时还是非常有可能会被干扰的吧。因为我路由器上运行了Clash，Clash虽然代理了局域网设备的流量但是没有代理路由器本身的流量。所以SmartDNS的流量就不会走代理，如果可以在SmartDNS中设置某个或者某组上游DNS服务器通过Clash 在本地开启的 http/socks 代理就非常棒了👍
没用对clash 国外的dns用tcp的 clash代理国外tcp就可以了 这个功能没必要
@openips 因为我是在路由器上安装的clash来透明代理，clash内置dns国外用的 dot 和 doh，但是clash的内置dns并没有走自己的代理，而是直连的。我这里只有tls://8.8.4.4 和 opendns 的 doh 可以用，tls://1.1.1.1 和 tls://8.8.8.8 是用不了的。
@openips 请问需要什么特别配置吗？我现在是通过iptables在OUTPUT链上将除了Clash的流量转发到Clash的端口，实现路由器本机的代理，然后SmartDNS请求上游的国外公开DNS就可以通过代理去解析了。
@lemoeo clash本来就有dns劫持和分流了 我是建了两个smartdns分组 一个国内 一个国外 国外分组的dns都是tcp协议的 两个端口不一样 clash的nameserver配置为smartdns的国内分组端口 fallback配置为国外分组端口 完美解决
其实，没必要增加代理功能。 网络结构，DNS是没法掌控的。 想让DNS走代理，很容易的，IP分流就行了。
我已经换软件用了，mosdns那边就支持给dns上游设置socks5代理，还能用geoip规则分流，去广告什么的。这边居然还在纠结要不要搞代理。。。
其实，没必要增加代理功能。 网络结构，DNS是没法掌控的。 想让DNS走代理，很容易的，IP分流就行了。
我已经换软件用了，mosdns那边就支持给dns上游设置socks5代理，还能用geoip规则分流，去广告什么的。这边居然还在纠结要不要搞代理。。。
是的。 按IP分流，当用8888时，就会走代理。当用223时，直连。
其实，没必要增加代理功能。 网络结构，DNS是没法掌控的。 想让DNS走代理，很容易的，IP分流就行了。
我已经换软件用了，mosdns那边就支持给dns上游设置socks5代理，还能用geoip规则分流，去广告什么的。这边居然还在纠结要不要搞代理。。。
老哥，可以分享一下你的mosdns配置吗？我的需求和你非常相似，就是出国留学的dns上游要走socks5代理和geoip分流
我不知为什么，我的路由器上iptables做透明代理，局域网的机器可以生效，但是路由器自身的流量无法生效，看了很多教程都是在nat的output链上redirect就可以代理本机的tcp流量，但是我这上面就是不行，所以smartdns对海外的测速和dns查询我这就不能走代理，没办法，折腾了好久，只能试试你说的mosdns了
我不知为什么，我的路由器上iptables做透明代理，局域网的机器可以生效，但是路由器自身的流量无法生效，看了很多教程都是在nat的output链上redirect就可以代理本机的tcp流量，但是我这上面就是不行，所以smartdns对海外的测速和dns查询我这就不能走代理，没办法，折腾了好久，只能试试你说的mosdns了
究竟是socks5还是透明代理，socks5需要在iptables的output链（不是nat链）做重定向。透明代理需要在软件的“代理自身”配置
go的组件比较完善很容易支持，c的话缺少现成组件，有不少开发工作量。 直接用http的DNS协议，大部分都能正常工作，这块诉求其实不那么强烈。 后面看情况支持吧。
我不知为什么，我的路由器上iptables做透明代理，局域网的机器可以生效，但是路由器自身的流量无法生效，看了很多教程都是在nat的output链上redirect就可以代理本机的tcp流量，但是我这上面就是不行，所以smartdns对海外的测速和dns查询我这就不能走代理，没办法，折腾了好久，只能试试你说的mosdns了
究竟是socks5还是透明代理，socks5需要在iptables的output链（不是nat链）做重定向。透明代理需要在软件的“代理自身”配置
我是同时在路由上起了ss-local以及ss-redir，ss-local提供socks代理，ss-redir提供透明代理 ss-redir监听0.0.0.0:1081，ss-local监听0.0.0.0:1080 然后nat表的PREROUTING链匹配ipset然后redirect去1081端口，可以正常实现局域网内其他主机tcp流量的透明代理 然后预期是在nat表的OUTPUT链也去匹配ipset然后redirect去1081端口，实现路由器自身tcp流量的透明代理 然而目前并没有如预期所愿可以透明代理路由器自身流量，我看了很多篇透明代理教程都是这样实现的，方法上应该没问题 这个问题我怀疑是固件的锅，我的是红米的AC2100官方固件，目前我也没有能力去deubg解决这个问题 我所能调试出来的是，我触发需要走代理的流量后，查看iptables里的相应规则的计数，确实有增加，理应在output链上redirect去了1081端口 但是监听1081端口的程序，确实也没有看到有流量进来，无论是ss-redir的日志，还是我重新了起了一个tcpsvd去监听1081端口，确实没有现有触发相关的流量访问记录，所以我只能怀疑是固件的锅
所以目前面临的问题是，我没办法把路由器上自身的流量跑透明代理，也就无法使smartdns可以正常访问8.8.8.8这样的境外dns，以及可以经过代理去对境外网站做tcp-ping之类的测速，所以有点无奈 另外你说的“socks5需要在iptables的output链（不是nat链）做重定向”，我觉得应该不是很正确，以我的理解，经过iptables后的流量，不是socks代理服务器可以正常处理的数据，应该还要套一层ip2socks之类的软件。我这里的问题不是到底是socks还是透明代理的问题，而是iptables不能在output链上正确处理重定向数据，在iptables靠不住的情况下，所以只能寻求smartdns这一类负责分流以及forward dns的软件可以自身支持socks代理，才能够把境外流量正确地跑代理出去。
当然我明白这确实是小众需求，因为这是固件、系统带来的bug，正常来说这个需求很少发生。
预期是在nat表的OUTPUT链也去匹配ipset然后redirect去1081端口，实现路由器自身tcp流量的透明代理
查了一下这个方法是正确的。比较了一下我的shadowsocks在”代理自身：直接连接“和”代理自身：全部代理“的区别，发现iptables多了以下三行：
-A OUTPUT -p tcp -j SS_SPEC_WAN_DG
-A SS_SPEC_WAN_DG -m set --match-set ss_spec_dst_sp dst -j RETURN
-A SS_SPEC_WAN_DG -p tcp -j SS_SPEC_WAN_FW
其中ss_spec_dst_sp是排除列表。所以如果匹配了且不生效，需要查一下目标ip是不是在这个表里
然后我试了
iptables -t nat -A OUTPUT -p tcp -d 123.129.227.17 -j REDIRECT --to-ports 12340
然后wget http://myip.ipip.net/index.html
(其中12340是我sslocal监听端口，123.129.227.17对应myip.ipip.net解析出的地址)
查看index.html内容，的确是从代理出去了
预期是在nat表的OUTPUT链也去匹配ipset然后redirect去1081端口，实现路由器自身tcp流量的透明代理
查了一下这个方法是正确的。比较了一下我的shadowsocks在”代理自身：直接连接“和”代理自身：全部代理“的区别，发现iptables多了以下三行：
-A OUTPUT -p tcp -j SS_SPEC_WAN_DG -A SS_SPEC_WAN_DG -m set --match-set ss_spec_dst_sp dst -j RETURN -A SS_SPEC_WAN_DG -p tcp -j SS_SPEC_WAN_FW其中ss_spec_dst_sp是排除列表。所以如果匹配了且不生效，需要查一下目标ip是不是在这个表里
然后我试了
iptables -t nat -A OUTPUT -p tcp -d 123.129.227.17 -j REDIRECT --to-ports 12340然后
wget http://myip.ipip.net/index.html(其中12340是我sslocal监听端口，123.129.227.17对应myip.ipip.net解析出的地址) 查看index.html内容，的确是从代理出去了
我这边应该不是iptables设置导致的问题，我有点怀疑是sysctl里那些内核参数的问题，但这块我不懂。
其实我在OUTPUT链上的操作也很简单
iptables -t nat -A OUTPUT -p tcp -m set --match-set gfwlist dst -j REDIRECT --to-ports 1081
我是想只要触发了这个重定向规则，至少监听1081的程序应该能看到相关的请求信息才对，但我目前的测试是感觉根本没有相关的请求被传进去监控程序。
你说的相关白名单设置我也检查过，应该没问题，因为局域网里其他机器上也是可以正常走ss-redir出去的。
至于socks直接在OUTPUT重定向，我还是保留意见，其实可以这样想 如果直接重定向到ss-local就可以的话，那为什么还要有搞一个ss-redir出来 ss-redir和v2ray的Dokodemo-door，以及redsocks、ipt2socks这一类，应该都是为了处理iptables的流量而开发出来的 我自己也去虚拟机做了一个测试，如图
我用ss-local监听1080，在OUTPUT链转发目的端口为80的数据到1080的（我的ss服务器端口不是80所以不受影响）
sudo iptables -t nat -A OUTPUT -p tcp --dport 80 -j REDIRECT --to-ports 1080
在这个情况下直接curl google.com，是empty reply，
当显式在curl里加代理访问的时候 curl -x socks5://127.0.0.1:1080 google.com ，才正确返回301 moved
至于socks直接在OUTPUT重定向
这里是我搞错了，我是Mikrotik重度用户，Mikrotik没有s5客户端，就是用redirect处理。
其实我在OUTPUT链上的操作也很简单
iptables -t nat -A OUTPUT -p tcp -m set --match-set gfwlist dst -j REDIRECT --to-ports 1081我是想只要触发了这个重定向规则，至少监听1081的程序应该能看到相关的请求信息才对，但我目前的测试是感觉根本没有相关的请求被传进去监控程序。
有没有查看过完整的iptables结果是什么？由于iptables是按顺序执行的，可能有其他行先于本条做出了其他处理？