科学上网的疑问

[iswangsir]

现在的环境是爱快主路由，挂旁路由 immt+nikki 。手动指定网关和 DNS 到旁路由。nikki 是直接用的机场的配置文件，大部分情况都用的好好的，但是偶尔会抽风，比如淘宝打不开，也不是全部打不开，部分页面打不开，直接连接被重置。也发生在其他网站上。有时候挺闹心的，这貌似是 DNS 的问题。是否有更完美的方式呢，不用自己维护的。收费也 ok 。之前是用 apple tv 装 surge ，就是内存溢出死机比较难绷。

[EthanZC]

Mac mini + Surge For Mac

[iswangsir]

@EthanZC 我之前用 apple tv 除了偶尔死机其他还好，想换 mac mini m1 ，毕竟成本挺高的，所以不知道稳定性如何

[EthanZC]

@iswangsir 那自然是挺稳的,但是怎么说呢,你 surge 配置的东西越多,其实出问题的概率越大,排查起来也挺恶心的,规则一般不要设置太多,太杂, 策略组的优先级更重要,对某些地区限制的东西,额外设置就行了,其他的走离出口最近的线路就好,GeoIP 选个 CN 的小库就行,代理兜底,对某些特殊要求的域名,单独弄个 DNS 映射,就差不多了

[EthanZC]

@iswangsir 还有真的有空的话,可以自己维护一份自己的规则集,不要用别人的,别人的都是杂,乱,尤其是 reject 规则,很恶心,没啥太大的洁癖,不要用别人的 reject,坑很大

[psllll]

放弃机场配置，自己手搓

[Blabber9125]

没特殊需求就不要套娃，我一直 op 主路由，也不折腾广告过滤、DNS ，就 nikki 官方配置，很稳

[iswangsir]

@EthanZC 我就是不太懂，也懒，不想自己维护规则集，所以一直用的机场默认的 yaml 文件。

[iswangsir]

@psllll 自己搓难度高吗？我一直用的机场的

[iswangsir]

不知道有没有配置文件可以参考

[iswangsir]

@Blabber9125 我这些也都没有啊，但偶尔还是要抽风的，你的配置文件是自己写的还是机场的？

[psllll]

@iswangsir 官方文档就

[iswangsir]

@psllll 我在 nikki 的 github 上没找到 yaml 文件的编写文档。

[SenLief]

先关闭掉 ipv6 试试看看能不能解决

[SenLief]

@iswangsir 就是 mihomo 的配置文件

[iswangsir]

@SenLief 大概看了一下，文档巨多，学习难度有点高。不知道有没有付费编写的

[SenLief]

@iswangsir 不是有示例吗？直接拿过来用不就好了。https://wiki.metacubex.one/example/conf/#__tabbed_3_1

[iswangsir]

@SenLief 感谢，我结合 AI ，再好好研究一下

[GeruzoniAnsasu]

dns 没有完美方案。

- 外网白名单（ faback 到国内）会导致没在名单上的外网 CDN 打不开或原本应该走隧道的外网被 gfw 感知
- 内网白名单（ faback 到国外）会导致各厂商奇怪的自建 CDN 绕路导致国内打不开

与此同时还有 dns 泄漏的问题、sni 检测的问题、dns 响应劫持的问题、内网 dns 劫持干扰的问题……


我现在的分流方法是让 AI 写了个浏览器插件，我去把各大网站都访问一遍记录应该加白的国内 cdn ；然后 fallback 到 DoT 的查询结果（国外）

[EthanZC]

@iswangsir #7 哎呀,这不是有 AI ? 我就是经常让 AI 给我梳理某些规则,比如 TikTok,比如 抖音,他们会给你完整的去重的规则,你直接复制粘贴就好了,什么不会,直接让 AI 教你,我也不是全懂,但是有 AI,我一点都不带慌的

[Aixiaoa]

@iswangsir #15
你直接看看这个仓库

https://github.com/666OS/YYDS

用这个配置文件。把订阅填进去
直接用就行了。

其实配置文件手搓很简单。但是需要你先总结自己的需求。你心里明白你想要啥样的再去搓就快了

[yeh]

@GeruzoniAnsasu 完美的没有。接近完美的还是有的

2 份名单

1.外网名单
2.内网名单
3.命中 2 个没什么好说的，没没命中的，先拿国内 ip ecs 查 cf/google ，如果 ip 是国内，则去掉 ecs 再查一遍 ali/dnspod ， 如果 ip 在国内则走国内。 否则走国外

每天整理 3 的列表，请求次数超过一定数量，更新名单到 1 和 2 里。 有误判的，修正后也更新到 1 和 2 里。

[iswangsir]

@Aixiaoa 感谢，我好好学习一下

[iswangsir]

@EthanZC 是这样，我把配置文件发给 AI ，让它给我注释每条代码的用途

[GeruzoniAnsasu]

@yeh 然后后面还有 ipv6 ，dns 隧道延迟、match ip 还是 match 域名、路由器上 ipset 撑爆内核内存的坑在等着😭

[amundsen]

同一楼，Mac mini (2018 intel 芯片款) + Surge ，稳定多年

[amundsen]

@amundsen 除了机场的配置文件、规则、DNS ，自己额外只操心分流和规则，前期花点时间折腾一下即可，需要用到的功能刷 Surge 文档，偶尔关注更新日志看看有没有新的功能适合自己，基本不用动了，这台 Mac mini 还是之前工作后淘汰的放家里当网关了（但是 dhcp 还是让路由器处理）

[humbass]

路由上个 passwall 就简单多了。

[yeh]

@GeruzoniAnsasu ipv6 支持。 访问 cf 和 gg 的慢么，这个只能靠代理了。

看了下 mosdns ，目前占用 130m 内存，还好。

[iswangsir]

@amundsen surge 也要自己管理规则吗？如果这样，那跟其他代理软件都一样啊，

[iswangsir]

@humbass 很早我就用过 passwall 了，但是稳定性不太好啊，经常抽风。才一步步 openclash ，mihomo passwall2 ，surge for ios ，到现在 nikki

[ko20]

我是 immortalwrt+passwall （后面用 i+p 表达） 啊，楼主这个问题很明显是 DNS 解析的问题。我一直是 i+p ，稳定的很，从来没遇到过问题，两年了

ImmortalWrt 24.10.5
luci-app-passwall - 25.12.16-r1

国内网站：DNS 走 UDP 直连查国内 DNS ，秒出结果，流量直连；国外网站：DNS 走 TCP 过代理隧道查 1.1.1.1 ，ChinaDNS-NG 丢弃 GFW 污染的假 IP ，返回真实 IP ，流量走代理。

[humbass]

@iswangsir 抽风是你的机场线路有问题，我自建从来不断的。机场是万人操，不抽风才怪！

[iswangsir]

@ko20 这样设置复杂吗？我没有杂七杂八的需求，就是想稳定使用。主要也是加速一些国外的网站，并不是被封的那些

[iswangsir]

@humbass 小奶昔不至于吧，上一个机场是 TAG

[sonnetbreeze]

@ko20 immortalwrt+passwall 我也是这个，用了一段时间，dns 就出现问题，我也不知道是机场问题还是怎么回事，比如 chatgpt 和 v 站，有时候打开无法连接，浏览器已经关闭安全 dns ，虚心请教，passwall 应该怎么优雅的设置，还有自动切换，网上教程五花八门

[ko20]

@iswangsir #33 不复杂的，你看我这篇文章 https://git.940304.xyz/dk/textfiles/src/branch/main/wujie14pro/ImmortalWrt-PassWall-DNS%E8%A7%A3%E6%9E%90%E6%B5%81%E7%A8%8B%E5%88%86%E6%9E%90.md

你的需求是“主要也是加速一些国外的网站，并不是被封的那些”，这就完美命中了这点，如今已经没人用 gfw 模式了，国外的网站都统统进代理然后访问，这样简单好用，速度还快。虽然坦白说有些国外网站能直连，并且速度可能也还行，但是那样的话配置就复杂了，这样配置能确保配置简单，并且日常上网很稳定，速度也很快（代理节点别太拖后腿就行）。

[ko20]

@sonnetbreeze #35 你看 36 楼我的回复

[sonnetbreeze]

@ko20 哇非常感谢

[iswangsir]

@ko20 感谢回复，我去试试看。用一段时间看看

[sonnetbreeze]

@ko20 默认 DNS

智能，不接受直连 DNS 空响应
吗

[sonnetbreeze]

这里默认就行了？使用 直连列表

使用 代理列表

使用 屏蔽列表

使用 GFW 列表

中国列表

直连
TCP 默认代理模式

代理信息
UDP 默认代理模式

代理信息
切换模式

路由器本机代理

当勾选时，路由器本机可以透明代理。
客户端代理

[sonnetbreeze]

我反正 passwall ，就没稳定一直用，最后还是依赖 clash verga ，在需要上网的设备安装

[v2gba]

机场策略里过滤广告?

过滤广告容易误杀

[ko20]

@sonnetbreeze #40 不接受直连 DNS 空响应，这个选项在新版好像没了，你看下你的 passwall 版本。

这是我的配置，仅供参考。 @sonnetbreeze @iswangsir https://image.940304.xyz/i/2026/06/26/6a3e7ed567426.jpg

[iswangsir]

@ko20 折腾了好一会，现在代理的可以上，但是国内的上不了。很奇怪

[someonesnone]

主路由 immortalwrt+openclash, 最近有时候 dns 查询不出来 ip, 刷新又好了 奇怪

[deepbytes]

都用了软路由了，为啥不把自建一起折腾搞定它，要用机场…
我就是玩了软路由不想用机场的过来人，全套链路在自己控制，舒服啊

[jcxq5200]

不用旁路由，默认爱快网关。immt 里面 passwall 启用 fakeDNS 。爱快 IP 分组里面把 fakeIP 段和 passwall 里代理列表里的 IP 复制进去。爱快端口分流把分组 IP 分流至 immt 。首选 dns 是 immt

[amundsen]

@iswangsir #26 Surge 和其他软件一样只提供了代理功能，规则肯定不会预先内置

[iswangsir]

@deepbytes 技术成本太大了，建节点，搓规则，维护

[sonnetbreeze]

@ko20 感谢回复，我版本是这样的，默认编译的时候写的软件包，luci-i18n-passwall-zh-cn luci-app-passwall ，Passwall 版本 [ 25.12.16-r1 ]
Geoview 版本 [ 0.1.10 ]
ChinaDNS-NG 版本 [ 2025.08.09 ]
Xray 版本 [ 26.6.22 ]
Sing-Box 版本 [ 1.12.25 ]
Hysteria 版本 [ 无 ]

[sonnetbreeze]

这几个默认都是 Shadowsocks 节点使用类型

shadowsocks-rust
Trojan 节点使用类型

sing-box
VMess 节点使用类型

xray
VLESS 节点使用类型

xray
Hysteria2 节点使用类型

sing-box
这样吗

[sonnetbreeze]

@ko20 现在用可以用了，看看可以稳定多久

[LongLights]

规则换成自己的，机场节点用 provivers 导入进去

[LongLights]

@LongLights dns 境内直接用 system ，关闭 nikki 的 dns 覆写，我这里这样用非常稳定

[iswangsir]

@LongLights 老哥能写个详细的教程不？

[sonnetbreeze]

@ko20 目前最新版本是不是在这里，https://github.com/Openwrt-Passwall/openwrt-passwall

[deepbytes]

@iswangsir 辛苦 1 个月，稳定了就一直爽啊

[ko20]

@sonnetbreeze #53 恭喜恭喜

@sonnetbreeze #57 是的，不过我就是跟随着 immortalwrt 源更新以及固件更新。不出问题不会用最新版

[BlueSpace4512]

大概率是 dns 被污染了，你可以 claude code 搭一个 dns 测试，看看海外的域名被污染了多少（有多少比例是能够正常返回 200 ），我之前测出来 25%的污染比例特别高😂解决方法的话你可以买那种国内私人的 dns 服务商，我用了半年没出现过污染的问题。或者喜欢折腾的话那就搭一个 dns 服务自己维护也不错。