DNS分流方案：DAE+MosDns

[zuilintan]

踩了很多坑，想了想还是新开一个讨论，也便于大家指摘，源址

配置：

待确认，此处保持默认的domain也并未发现问题

DNS：

# 若设为4，且域名同时有A和AAAA记录，dae只回应A类型的请求，并返回空回复给AAAA请求
ipversion_prefer: 4

# 绑定到本地地址以监听DNS查询请求(目前有Bug，Reload后再次绑定会失败，暂时注释)
#bind: '127.0.0.1:5325'

upstream {
  mosdns: 'tcp+udp://127.0.0.1:5335'
}

routing {
  request {
    # 禁用IPv6，可屏蔽AAAA相关日志的打印
    qtype(aaaa) -> reject
    # 禁用ECH，避免影响分流
    qtype(https) -> reject
    # 放行内网域名(e.g. .local)，交由DnsMasq处理
    qname(geosite:private) -> asis
    fallback: mosdns
  }
}

路由：

# Core
pname(NetworkManager, systemd-resolved, dnsmasq) -> must_direct
# 强制MosDns发出的请求，按DAE的“路由”规则来匹配(e.g. 223.5.5.5匹配"dip(geoip:cn) -> direct"，1.1.1.1匹配"fallback: proxy")
# 原因：国外DNS(1.1.1.1、8.8.8.8)的解析请求，通常会被国内运营商抢答，哪怕是DoH、DoT也会有阻断的情况，所以统一经由代理节点进行DNS解析为最佳方案
# 注意：不需要再写pname(mosdns) && l4proto(udp) && dport(5335) -> must_direct，冗余
pname(mosdns) -> must_rules

# DNS
# 原因：通常来讲，查询Geo是项耗时操作，此处直接明文确定DNS IP是否路由为Proxy，可加快DNS解析速度
dip(223.5.5.5, 223.6.6.6) -> direct
domain(full:dns.alidns.com) -> direct
dip(119.29.29.29, 119.28.28.28) -> direct
domain(full:doh.pub) -> direct
dip(8.8.8.8, 8.8.4.4) -> proxy
domain(full:dns.google) -> proxy
dip(1.1.1.1, 1.0.0.1) -> proxy
domain(full:one.one.one.one, full:cloudflare-dns.com) -> proxy

# Block
# 拦截UDP 443的QUIC流量，强制其回退到TCP 443，解决QUIC导致的卡顿与丢包等场景
# 注意：会阻塞DoH3、DoQ方式的DNS解析，对策为显式配置DNS规则并置于该条规则上方
l4proto(udp) && dport(443) -> block
# 拦截IPv6流量(待确认，可能会影响Local IPv6)
#ipversion(6) -> block

# Private
# 原因：内网通信无需分流，强制直连即可
# 注意：不可写为must_direct(很多教程都是错的)，否则下游服务在DNS查询会直接跳过路由器的DNS解析器(DAE、MosDns)
# e.g. 下游存在一台NAS，NAS中/etc/resolv.conf配置如下：
# nameserver 127.0.0.1
# nameserver 192.168.100.1
# nameserver 114.114.114.114
# nameserver 8.8.8.8
# 若配置为must_direct，则下游服务在请求DNS解析时，会跳过192.168.100.1，而直接向114.114.114.114、8.8.8.8请求，无法被路由器管理
dip(geoip:private) -> direct
domain(geosite:private) -> direct

# PS(Proxy Server)
# 原因：假设没有下述规则的话，流程如下：
# 浏览器请求网址(e.g. Google) → MosDns根据Geo识别为国外域名 → MosDns使用国外DNS(e.g. 1.1.1.1:853)查询
# → DAE为1.1.1.1路由到proxy → DAE连接代理节点时发现其Address为域名
# → MosDns根据Geo识别Address为国外域名 → DAE为Address路由到proxy → ...
# 最终，形成链路回环
# 注意：极度重要！避免链路回环，强制直连代理节点中关联的域名(e.g. Address、SNI)
domain(suffix:myproxy.com) -> direct
domain(suffix:amazon.com) -> direct

# Streaming
dip(geoip:telegram) -> proxyStreaming
domain(geosite:telegram) -> proxyStreaming
domain(geosite:netflix) -> proxyStreaming
domain(geosite:disney) -> proxyStreaming
domain(geosite:tiktok) -> proxyStreaming
domain(geosite:youtube) -> proxyStreaming

# BlockChina
# 测试“路由”规则是否生效
domain(suffix:ip.cn) -> proxyTemp
domain(full:myip.ipip.net) -> proxyTemp
domain(geosite:google) -> proxyBlockChina
domain(geosite:category-ai-!cn) -> proxyBlockChina

# Direct
# 好友列表的状态更新
domain(suffix:cm.steampowered.com) -> direct
# 影响IPCountry，e.g. “钱包”中货币切换，以及下载时是否走本地CDN
domain(suffix:steamserver.net) -> direct
# 修正Nezha面板内网穿透的设备IP地址，https://nezha.wiki/guide/dashboardq.html
domain(full:blog.cloudflare.com) -> direct
domain(geosite:steam@cn) -> direct
domain(geosite:category-games@cn) -> direct
domain(geosite:microsoft@cn) -> direct
domain(geosite:apple@cn) -> direct
dip(geoip:cn) -> direct
domain(geosite:cn) -> direct

# Game
domain(geosite:category-games) -> proxyGame

# Download
domain(geosite:mega) -> proxyDownload
domain(geosite:pikpak) -> proxyDownload

# Fallback
fallback: proxy

MosDns

重要！取消勾选DNS转发

若此处不取消勾选，则等同于：
pname(mosdns) -> must_direct
直观的表现为DAE的日志中将看不到pname=mosdns的日志信息

Dnsmasq

重要！取消勾选DNS重定向

[skykeyjoker]

如何确定DNS有走MosDNS解析呢，这样设置后，MosDNS看不到解析的日志

[zuilintan]

如何确定DNS有走MosDNS解析呢，这样设置后，MosDNS看不到解析的日志

可以通过DAE的日志判断，毕竟DAE现在是透明代理

time="Mar 26 14:21:34" level=info msg="192.168.100.149:61247 <-> 127.0.0.1:5335" _qname=api.steampowered.com. dialer=direct dscp=0 mac="xxx" network="udp4(DNS)" outbound=direct pid=0 pname= policy=fixed qtype=A
time="Mar 26 14:21:34" level=info msg="192.168.100.149:52216 <-> api.steampowered.com:443" dialer=233boy-reality-hk.ps.lintan.design dscp=0 ip="184.85.65.125:443" mac="cc:28:aa:3a:c6:cf" network=tcp4 outbound=proxyGame pid=0 pname= policy=fixed sniffed=api.steampowered.com
time="Mar 26 14:21:34" level=info msg="192.168.100.149:60547 <-> 127.0.0.1:5335" _qname=data-api.similarsites.com. dialer=direct dscp=0 mac="xxx" network="udp4(DNS)" outbound=direct pid=0 pname= policy=fixed qtype=A

请求指向127.0.0.1:5335(MosDns端口)，并且network="udp4(DNS)"，即可认为MosDns接管成功了

[Pacio]

这么搞以后开启时提示
“failed to load new config: ApplyRulesOptimizers error: country code telegram not found in /usr/share/v2ray/geoip.dat; see more in log”怎么回事呢

[xiandu999-yu]

geo文件的问题，没有telegram这个国家/地区代码

[xiandu999-yu]

都是用geo文件分流的，有必要吗？

[ppdragon16]

要用mosdns就直接禁用dae的dns：

routing {
pname(mosdns) -> must_rules
...
dip(geoip:private) -> must_direct
...
}

[ICan1DO]

感谢大佬们，学习了

[xiandu999-yu]

我也感觉有点多余，dae分流一次，mosdns再分流一次

主要是拿MosDNS做出了ip层面的分流了，dae还要嗅探，还原回域名，这样的话还要MosDNS作甚？

你用domain+模式不就不嗅探了

我直接改成ip，反正dae连着sing-box

[xiandu999-yu]

要用mosdns就直接禁用dae的dns：

routing { pname(mosdns) -> must_rules ... dip(geoip:private) -> must_direct ... }

都拿dae劫持流量了，直接一锅端了一劳永逸[doge]

[xiandu999-yu]

我也感觉有点多余，dae分流一次，mosdns再分流一次

我的思路就是，dae劫持后直接扔给MosDNS[OxiDNSMosDNS Rust版]这样嗅探一关，嘿嘿...

[Pacio]

经过我多次测试发现，mosdns这里如果不勾选，重启openwrt后必出现wan口拨不上号的情况，勾选后重启就正常了，希望大佬帮忙看看

[xiandu999-yu]

是改了什么，导致系统原生的dns解析寄了吧？

[Pacio]

是改了什么，导致系统原生的dns解析寄了吧？

daed设置里面有个"启用本地tcp快速重定向"，这个是不是不能打开？

[xiandu999-yu]

是改了什么，导致系统原生的dns解析寄了吧？

daed设置里面有个"启用本地tcp快速重定向"，这个是不是不能打开？

开了也没用，只剩个开关了
example.dae里连enable_local_tcp_fast_redirect这个示例都没有了
就config.go里还躺着键值...