旁路由科学上网配置笔记

#!/usr/sbin/nft -f

## 清空旧规则
flush ruleset

## 只处理指定网卡的流量，要和ip规则中的接口操持一致
define interface = eno1

## clash的透明代理端口
define tproxy_port = 7894

## clash打的标记（routing-mark）
define clash_mark = 255

## 常规流量标记，ip rule中加的标记，要和ip规则中保持一致，对应 "ip rule add fwmark 1 lookup 100" 中的 "1"
define default_mark = 1

## 本机运行了服务并且需要在公网上访问的tcp端口（本机开放在公网上的端口），仅本地局域网访问的服务端口可不用在此变量中，以半角逗号分隔
define local_tcp_port = {
        3000-4000,
        25565,     
        8000-9000,
        1200,   
}

## 要绕过的局域网内tcp流量经由本机访问的目标端口，也就是允许局域网内其他主机主动设置DNS服务器为其他服务器，而非旁路由
define lan_2_dport_tcp = {
    53     # dns查询
}

## 要绕过的局域网内udp流量经由本机访问的目标端口，也就是允许局域网内其他主机主动设置DNS服务器为其他服务器，而非旁路由；另外也允许局域网内其他主机访问远程的NTP服务器
define lan_2_dport_udp = {
    53,    # dns查询
    123    # ntp端口
}

## 保留ip地址
define private_address = {
    127.0.0.0/8,
    100.64.0.0/10,
    169.254.0.0/16,
    224.0.0.0/4,
    240.0.0.0/4,
    10.0.0.0/8,
    172.16.0.0/12,
    192.168.0.0/16
}

## 大陆ip地址
# include "/var/lib/clash/geoip4_cn.nft"

table ip clash {

    ## 保留ipv4集合
    set private_address_set {
        type ipv4_addr
        flags interval
        elements = $private_address
    }

    ## 大陆ipv4集合
#    set geoip4_cn_set {
#        type ipv4_addr
#        flags interval
#        elements = $geoip4_cn
#    }

    ## prerouting链
    chain prerouting {
        type filter hook prerouting priority filter; policy accept;
        ip protocol { tcp, udp } socket transparent 1 meta mark set $default_mark accept # 绕过已经建立的连接
        meta mark $default_mark goto clash_tproxy                                        # 已经打上default_mark标记的属于本机流量转过来的，直接进入透明代理
        fib daddr type { local, broadcast, anycast, multicast } accept                   # 绕过本地、单播、组播、多播地址
        tcp dport $lan_2_dport_tcp accept                                                # 绕过经由本机到目标端口的tcp流量
        udp dport $lan_2_dport_udp accept                                                # 绕过经由本地到目标端口的udp流量
        ip daddr @private_address_set accept                                             # 绕过目标地址为保留ip的地址
       # ip daddr @geoip4_cn_set accept                                                   # 绕过目标地址为大陆ip的地址
        # ip protocol udp accept                                                         # 绕过全部udp流量（udp不进行透明代理）
        goto clash_tproxy                                                                # 其他流量透明代理到clash
    }

    ## 透明代理
    chain clash_tproxy {
        ip protocol { tcp, udp } tproxy to :$tproxy_port meta mark set $default_mark
    }

    ## output链 (优化后)
    chain output {
        type route hook output priority filter; policy accept;

        # -----------------------------------------------------------------
        # 核心修改：将最关键的绕过规则放在最顶端，确保它们最先被匹配
        # -----------------------------------------------------------------

        # 1. 绝对优先放行：目标是本地回环地址的流量 (修复你遇到的问题)
        #    这是最明确、最可靠的规则，用于防止本机服务（如DNS）被代理。
        ip daddr 127.0.0.1/32 accept

        # 2. 其次放行：Clash 自身发出的、已经打上标记的流量 (防止循环代理)
        meta mark $clash_mark accept

        # 3. 再次放行：目标地址是保留地址/内网地址的流量
        #    这条规则包含了 127.0.0.1，但放在这里作为双重保险，并处理其他内网IP。
        ip daddr @private_address_set accept

        # 4. 放行本机上其他服务的流量
        #    例如，如果你在本机运行了需要公网访问的SSH或Web服务。
        tcp sport $local_tcp_port accept
        
        # -----------------------------------------------------------------
        # 经过以上关键过滤后，剩下的流量才考虑是否需要代理
        # -----------------------------------------------------------------

        # 5. 将剩余的所有TCP/UDP流量标记，准备重路由到 prerouting 链
        ip protocol { tcp, udp } meta mark set $default_mark
    }

}

3,192.168.2.2 # 配置网关
6,192.168.2.2 # 配置dns服务器