科学上网的疑问

Mac mini + Surge For Mac

@EthanZC 我之前用 apple tv 除了偶尔死机其他还好，想换 mac mini m1 ，毕竟成本挺高的，所以不知道稳定性如何

@iswangsir 那自然是挺稳的,但是怎么说呢,你 surge 配置的东西越多,其实出问题的概率越大,排查起来也挺恶心的,规则一般不要设置太多,太杂, 策略组的优先级更重要,对某些地区限制的东西,额外设置就行了,其他的走离出口最近的线路就好,GeoIP 选个 CN 的小库就行,代理兜底,对某些特殊要求的域名,单独弄个 DNS 映射,就差不多了

@iswangsir 还有真的有空的话,可以自己维护一份自己的规则集,不要用别人的,别人的都是杂,乱,尤其是 reject 规则,很恶心,没啥太大的洁癖,不要用别人的 reject,坑很大

放弃机场配置，自己手搓

没特殊需求就不要套娃，我一直 op 主路由，也不折腾广告过滤、DNS ，就 nikki 官方配置，很稳

@EthanZC 我就是不太懂，也懒，不想自己维护规则集，所以一直用的机场默认的 yaml 文件。

@psllll 自己搓难度高吗？我一直用的机场的

不知道有没有配置文件可以参考

@Blabber9125 我这些也都没有啊，但偶尔还是要抽风的，你的配置文件是自己写的还是机场的？

@iswangsir 官方文档就

@psllll 我在 nikki 的 github 上没找到 yaml 文件的编写文档。

先关闭掉 ipv6 试试看看能不能解决

@iswangsir 就是 mihomo 的配置文件

@SenLief 大概看了一下，文档巨多，学习难度有点高。不知道有没有付费编写的

@iswangsir 不是有示例吗？直接拿过来用不就好了。https://wiki.metacubex.one/example/conf/#__tabbed_3_1

@SenLief 感谢，我结合 AI ，再好好研究一下

dns 没有完美方案。

- 外网白名单（ faback 到国内）会导致没在名单上的外网 CDN 打不开或原本应该走隧道的外网被 gfw 感知
- 内网白名单（ faback 到国外）会导致各厂商奇怪的自建 CDN 绕路导致国内打不开

与此同时还有 dns 泄漏的问题、sni 检测的问题、dns 响应劫持的问题、内网 dns 劫持干扰的问题……


我现在的分流方法是让 AI 写了个浏览器插件，我去把各大网站都访问一遍记录应该加白的国内 cdn ；然后 fallback 到 DoT 的查询结果（国外）

@iswangsir #7 哎呀,这不是有 AI ? 我就是经常让 AI 给我梳理某些规则,比如 TikTok,比如 抖音,他们会给你完整的去重的规则,你直接复制粘贴就好了,什么不会,直接让 AI 教你,我也不是全懂,但是有 AI,我一点都不带慌的

@iswangsir #15
你直接看看这个仓库

https://github.com/666OS/YYDS

用这个配置文件。把订阅填进去
直接用就行了。

其实配置文件手搓很简单。但是需要你先总结自己的需求。你心里明白你想要啥样的再去搓就快了

@GeruzoniAnsasu 完美的没有。接近完美的还是有的

2 份名单

1.外网名单
2.内网名单
3.命中 2 个没什么好说的，没没命中的，先拿国内 ip ecs 查 cf/google ，如果 ip 是国内，则去掉 ecs 再查一遍 ali/dnspod ， 如果 ip 在国内则走国内。 否则走国外

每天整理 3 的列表，请求次数超过一定数量，更新名单到 1 和 2 里。 有误判的，修正后也更新到 1 和 2 里。

@Aixiaoa 感谢，我好好学习一下

@EthanZC 是这样，我把配置文件发给 AI ，让它给我注释每条代码的用途

@yeh 然后后面还有 ipv6 ，dns 隧道延迟、match ip 还是 match 域名、路由器上 ipset 撑爆内核内存的坑在等着😭

同一楼，Mac mini (2018 intel 芯片款) + Surge ，稳定多年

@amundsen 除了机场的配置文件、规则、DNS ，自己额外只操心分流和规则，前期花点时间折腾一下即可，需要用到的功能刷 Surge 文档，偶尔关注更新日志看看有没有新的功能适合自己，基本不用动了，这台 Mac mini 还是之前工作后淘汰的放家里当网关了（但是 dhcp 还是让路由器处理）

路由上个 passwall 就简单多了。

@GeruzoniAnsasu ipv6 支持。 访问 cf 和 gg 的慢么，这个只能靠代理了。

看了下 mosdns ，目前占用 130m 内存，还好。

@amundsen surge 也要自己管理规则吗？如果这样，那跟其他代理软件都一样啊，

@humbass 很早我就用过 passwall 了，但是稳定性不太好啊，经常抽风。才一步步 openclash ，mihomo passwall2 ，surge for ios ，到现在 nikki

我是 immortalwrt+passwall （后面用 i+p 表达） 啊，楼主这个问题很明显是 DNS 解析的问题。我一直是 i+p ，稳定的很，从来没遇到过问题，两年了

ImmortalWrt 24.10.5
luci-app-passwall - 25.12.16-r1

国内网站：DNS 走 UDP 直连查国内 DNS ，秒出结果，流量直连；国外网站：DNS 走 TCP 过代理隧道查 1.1.1.1 ，ChinaDNS-NG 丢弃 GFW 污染的假 IP ，返回真实 IP ，流量走代理。

@iswangsir 抽风是你的机场线路有问题，我自建从来不断的。机场是万人操，不抽风才怪！

@ko20 这样设置复杂吗？我没有杂七杂八的需求，就是想稳定使用。主要也是加速一些国外的网站，并不是被封的那些

@humbass 小奶昔不至于吧，上一个机场是 TAG

@ko20 immortalwrt+passwall 我也是这个，用了一段时间，dns 就出现问题，我也不知道是机场问题还是怎么回事，比如 chatgpt 和 v 站，有时候打开无法连接，浏览器已经关闭安全 dns ，虚心请教，passwall 应该怎么优雅的设置，还有自动切换，网上教程五花八门

@iswangsir #33 不复杂的，你看我这篇文章 https://git.940304.xyz/dk/textfiles/src/branch/main/wujie14pro/ImmortalWrt-PassWall-DNS%E8%A7%A3%E6%9E%90%E6%B5%81%E7%A8%8B%E5%88%86%E6%9E%90.md

你的需求是“主要也是加速一些国外的网站，并不是被封的那些”，这就完美命中了这点，如今已经没人用 gfw 模式了，国外的网站都统统进代理然后访问，这样简单好用，速度还快。虽然坦白说有些国外网站能直连，并且速度可能也还行，但是那样的话配置就复杂了，这样配置能确保配置简单，并且日常上网很稳定，速度也很快（代理节点别太拖后腿就行）。

@sonnetbreeze #35 你看 36 楼我的回复

@ko20 哇非常感谢

@ko20 感谢回复，我去试试看。用一段时间看看

@ko20 默认 DNS

智能，不接受直连 DNS 空响应
吗

这里默认就行了？使用 直连列表

使用 代理列表

使用 屏蔽列表

使用 GFW 列表

中国列表

直连
TCP 默认代理模式

代理信息
UDP 默认代理模式

代理信息
切换模式

路由器本机代理

当勾选时，路由器本机可以透明代理。
客户端代理

我反正 passwall ，就没稳定一直用，最后还是依赖 clash verga ，在需要上网的设备安装

机场策略里过滤广告?

过滤广告容易误杀

@sonnetbreeze #40 不接受直连 DNS 空响应，这个选项在新版好像没了，你看下你的 passwall 版本。

这是我的配置，仅供参考。 @sonnetbreeze @iswangsir https://image.940304.xyz/i/2026/06/26/6a3e7ed567426.jpg

@ko20 折腾了好一会，现在代理的可以上，但是国内的上不了。很奇怪

主路由 immortalwrt+openclash, 最近有时候 dns 查询不出来 ip, 刷新又好了 奇怪

都用了软路由了，为啥不把自建一起折腾搞定它，要用机场…
我就是玩了软路由不想用机场的过来人，全套链路在自己控制，舒服啊

不用旁路由，默认爱快网关。immt 里面 passwall 启用 fakeDNS 。爱快 IP 分组里面把 fakeIP 段和 passwall 里代理列表里的 IP 复制进去。爱快端口分流把分组 IP 分流至 immt 。首选 dns 是 immt

@iswangsir #26 Surge 和其他软件一样只提供了代理功能，规则肯定不会预先内置

@deepbytes 技术成本太大了，建节点，搓规则，维护

@ko20 感谢回复，我版本是这样的，默认编译的时候写的软件包，luci-i18n-passwall-zh-cn luci-app-passwall ，Passwall 版本 [ 25.12.16-r1 ]
Geoview 版本 [ 0.1.10 ]
ChinaDNS-NG 版本 [ 2025.08.09 ]
Xray 版本 [ 26.6.22 ]
Sing-Box 版本 [ 1.12.25 ]
Hysteria 版本 [ 无 ]

这几个默认都是 Shadowsocks 节点使用类型

shadowsocks-rust
Trojan 节点使用类型

sing-box
VMess 节点使用类型

xray
VLESS 节点使用类型

xray
Hysteria2 节点使用类型

sing-box
这样吗

@ko20 现在用可以用了，看看可以稳定多久

规则换成自己的，机场节点用 provivers 导入进去

@LongLights dns 境内直接用 system ，关闭 nikki 的 dns 覆写，我这里这样用非常稳定

@LongLights 老哥能写个详细的教程不？

@ko20 目前最新版本是不是在这里，https://github.com/Openwrt-Passwall/openwrt-passwall

@iswangsir 辛苦 1 个月，稳定了就一直爽啊

@sonnetbreeze #53 恭喜恭喜

@sonnetbreeze #57 是的，不过我就是跟随着 immortalwrt 源更新以及固件更新。不出问题不会用最新版

大概率是 dns 被污染了，你可以 claude code 搭一个 dns 测试，看看海外的域名被污染了多少（有多少比例是能够正常返回 200 ），我之前测出来 25%的污染比例特别高😂解决方法的话你可以买那种国内私人的 dns 服务商，我用了半年没出现过污染的问题。或者喜欢折腾的话那就搭一个 dns 服务自己维护也不错。

@BlueSpace4512 问下默认的节点列表 Xray 分流：分流总节点 是不是不需要管，如果要节点自动切换，是不是创建一个 socks 节点，然后在基本设置中的 socks 配置，设置和刚才一样的端口。最后 TCP 节点
使用创建 socks 节点

有推荐吗国内私人的 dns 服务商，什么价格，如果用
过滤模式

Xray
远程 DNS 请求协议

DoH
是不是更好？

@BlueSpace4512 理论上下一步是不是研究分流了，有必要吗

@BlueSpace4512 有推荐吗？国内靠谱的私人 dns 服务

mark 一下，明天仔细看

@deepbytes https://github.com/pylab-me/BorderDNS 直接 AI 走 2 开吧，这个公开的版本不算完美，但是能用。prompt: 梳理代码，评估：我想。。。(功能)。

不用爱快不行吗？ op 多好

@unusualcat 主路由就够了，要什么旁路有。人为增加麻烦度。
如无必要，勿增实体。

@enrolls 6 的，有空试试

我用的 singbox 裸核 没遇到这么奇怪的问题。

其实大部分问题都是配置文件写的有问题，换 surge 也无解。最好自己维护配置文件。

@sonnetbreeze #63 分流的规则不用太复杂，过多反倒会影响性能，把一些常用的常访问的站点加进去就足够了，github 上面有专门维护分流规则集的仓库。不过更多的其实还是靠兜底 GEOIP 返回的地区来进行分流，因为规则集的分流不可能穷尽所有的域名

@deepbytes #64 你可以去 google 上搜一下国内付费的 DoH ，还是蛮多的，老牌的一般也都比较靠谱，我就不做广告了

论代理工具，daed 确实很强很好用

@sjqboss daed 对 ss 的 udp 支持貌似有点问题，同样的节点 singbox 跑 60ms daed 要跑 80ms

我很推荐 routeros chr 内跑 singbox 容器，或者 chr 加 macmini 加 surge ，前者应该很多教程了，很多年前容器刚出来的时候我就跑成功了 clash

我是从 NanoPi R2S 开始入坑的。一开始作为主路由部署，结果成了噩梦：固件不稳、时不时就“炸”一下，隔三差五还得折腾升级。每次网络一断，家里瞬间鸡飞狗跳。

为了家庭和谐，果断转向旁路网关方案。考虑到友善的板子现在基本毫无性价比，便去海鲜市场掏了个几十块块的玩客云 3 ，刷上 Armbian 开始手搓。

主要是配置防火墙规则：
搞了一份国内 IPv4/IPv6 的地址段导入 nftables ，直接 return 绕过，并挂了定时任务自动更新规则。
mihomo ，配合 GeoIP 和 GeoSite 走白名单模式。规则直接引用大佬现成的，自己只整理了几十条补充规则托管在 gist 上。

目前这套方案已经稳定跑了 2-3 年。期间没啥维护、不需要投入额外心力，也不再影响到家里其他设备。去年低价淘一块 rk3399 的板子，替换了这个玩客云 3 ，属于唯一的一次维护升级。

给你个捷径，把你家里的网络配置的地方，都通过 api 接入类似 hermes 这样的智能体里面。当你遇到淘宝卡顿啥的，就让他查你家里的日志，让他告诉你访问链，哪一步走错了，让他加规则。我就是这么用的，再也不头疼家里网络问题了