送三枚域名巨牛 x 的域名，可能是全世界最大的后门 /心跳服务器：）

time.windows.com
time.apple.com
time.android.com

@onion83 没有标准答案，尝试过 dnscrypt / Pcap_DNSProxy / Unbound + TCP 感觉都不稳定，而且莫名奇妙就卡住了，最后发现其实用非标端口 + 在 vps 上做一条 nat 轻松搞定.

dnsmasq 部分
--------------
server=/twitter.com/$IP#端口
server=/facebook.com/$IP#端口
....

ipset=/twitter.com/gfwlist
ipset=/facebook.com/gfwlist
....

VPS 部分
--------------
iptables -t nat -A PREROUTING -p udp --dport 端口 -j DNAT --to-destination 8.8.4.4:53
iptables -t nat -A POSTROUTING -j MASQUERADE

优点：
--------------
1、可继续沿用 gfwlist 的成果，定时更新。黑名单可按你指定 IP 进行解析。dnsmasq 可将解析结果灌入到 ipset 中，可以避免写死 IP 地址列表，更灵活一些。
2、盒子、服务器上不需要再维护第二个代理或加密程序，无客户端、无服务器端效率理论最高.
3、dig twitter.com @$IP -p <端口> 即可调试

缺点：
--------------
1、所有包转发均明文，如果流量一大有可能会 DIP 封杀。（对策：多 IP ／多端口?）
2、某些运营商／边缘网关有可能已经做 QOS 或已经开始 DIP，例如：北京联通访问阿里云 hkb 的 udp 非标端口会有 30%的 timeout （主观感受被 drop ），但是南方电信却 100%正常，两者 ping 值均正常。

结论：
--------------
网络、设备环境不同，还得看实际场景和体验。

刚好前段时间研究过这个问题，木桶效应，最终 MTU 会已最小值 B 为准，也就是说 A 的 数据包会在 B 路由器中产生了 DF，数据包传输分了两次效率会低。

原理这篇文章讲得非常清楚： http://packetlife.net/blog/2008/aug/18/path-mtu-discovery/ 可参考。

建议默认设置，让路由器之间通过 PMTUD 自协商。

顺便吐槽两广（广东、广西）电信光纤 PPPOE 拨号的 MTU 为 1480 不知毛原理？帝都联通的是标准的 1492。

客户通过 VPN 连接到你的内网中，网关地址固定，关键需要维护好一个 DNAT 地址池，出口确保出口 IP 每次都不一样即可。当然 还要提供至少两个能力，

1，客户主动告知你某 ip 已经被 ban，需要在地址池中去掉。
2、定时返回地址池数量，当地址池消耗完毕或者接近下限时候，重现拨号或再次重建更大的地址池。

好吧，说到这里我才忽然记得玩过类似的东西：阿里云的 DNAT 网关。。。。

https://help.aliyun.com/document_detail/32322.html

封 80 为了保护你们的路由器啊（笑

@ppbaozi 其实两者原理都是一样的，都是建立黑 /白名单，luci 用的是 ipset 等价 ROS firewall 中的 address-list，白名单的直接 return 走默认网关，非白名单走 ss-redir 配合 TPROXY 出去.

唯一不同的是 ROS 工作在更上一层，当白名单 IP 时候直接在路由器就转发出去了，流量不再通过板子，浏览正常网站会快一些。而 OpenWRT / 梅林 等智能固件将二者合一了，路由、加密、二次转发都在同一层了，使用起来是简单，但是一般路由器硬件的速度会跟不上软件的速度，即使纯 C 写的 ss-libev 跑 4k y2b 也能轻易能跑烫你的路由器，并别提跑 python、go 等程序了，路由器本身还有 bridge/ Wi-Fi / firewall 等加解密等开销了，路由器一挂全家断网 …… 被家人／工友投诉去修路由器是很被悲催的事情 ……

ROS 本身有 Check Gatway 的功能，当两条 0.0.0.0 等价路由其中一条挂了，会自动回退到另外一条，这样最多就是被 Q 的网站不能访问，其它网站是正常的，借用鹅厂人的话这叫 “降级服务” ……

想整一套稳定的系统玩两三年，要弄个牛逼的高价路由器才能跟上如：NetGear R9000 / ASUS ROG Rapture GT-AC5300 / LINKSYS WRT3200ACM 这些厂商的固件虽然是闭源的，功能随少但性能基本达标。

为了所谓的 Free 和更多功能，去刷开源的 Openwrt 等固件主要有两个问题 ：

1、网卡驱动不给力。我那时候玩的机皇 D-LINK DIR-825 刷了 DD-WRT 之后 WI-FI 速度掉了 50%，论坛的反馈主要原因是 Atheros 的驱动没跟上，只能用通用版的驱动。路由器厂商定制芯片，利益最大化考虑，自然不会将最新的驱动回馈给 Kernel，没驱动的支持硬件性能自然发挥不出来，为了软件功能而让硬件性能大打折扣，这个是违背本意的。我不知道这个现象现在是否还存在，有兴趣的朋友可以帮忙做个测试，看看默认固件和开源固件 WI-FI 性能的差异。

2、固件功能更新依赖社区大神。刚才看了下 luci ss-libev 的版本已经脱离主干两个月了，在这个信息对抗万变的世界，版本更新很重要，你懂得。其次，开源固件很难对各式各异的路由器进行适配，大神一偷懒，你的路由器也能也停更新了。不是所有人都有能力将交叉编译环境弄出来的，而且跨平台很多 cpu 特性都不一样，有时候连代码都要改。

现在 Wi-Fi 发展的慢慢由堆天线的单一设备 MIMO 变为多设备集群化连接的 Mesh，例如现在很火的：UBNT AmpliFi / NetGear Orbi / 等，这些新玩具要等多长时间才能刷上 OpenWRT 谁能又给个 Roadmp ?

所以，自己掌握最关键的路由层，WI-FI、Switch 什么的不过是接入层外设而已，哪家强、哪家炫就换那家。这是 15 楼我做网络分层设计的原因，10G 以太网跑满也不怕，哥还有多模多芯光纤呢 ……

当然，以上观点纯粹是我作为文字工作者的意淫和一厢情愿，现实世界或许根本就没那么复杂，大家也就当我吹吹水好了：）

@ppbaozi 刚好相反，在 ROS 通过 chrouters 生成白名单路由 /address-list，对非白名单 IP 在 prerouting 阶段打上标记，指定从板子的作为网关出去，板子上用 ss-redir 做数据加密重定向即可。当然里面有一些配置比较饶的地方，例如板子本身就在同一个路由器下，不能自己重定向自己等.

可以参考： https://quchao.com/entry/turning-a-raspberry_pi-into-a-gateway/ 但每个月的设备环境都不一样，需要慢慢根据实际情况自己调。

BTRFS 分区爆过+1

@burndown 找什么链接？你说蓝色那块板子？某宝就有卖。

A，B，C，D 请投票

@mandymak 看使用场景吧，用来 24 小时开机的还是要综合考虑功耗、发热、噪音、稳定性等因素。图 2 系统我做过测算，一个月只用 18 度电。

一套 i7 的系统一开机就功耗就 100w 以上，关键是 99% 时间都是空载，我是心痛电费啊。

其次，用来 FQ / 跑点小任务 ARM 架构的 pi 足够的，贵点的盒子都带 千兆网口 或 eMMC/UFS 高速存储，CPU 主频如果有 2G 4 核以上，io 速度 > 30M，用起来其实还不错的。

很多人因为树莓派性能太差而让它们吃灰，进而对 ARM 的 ioT 开发板有偏见，我觉得是使用场景理解的问题。人家主要是用来采集数据做简单运算的，而很多人将它视为便宜的 Linux 开发机，在上面编译软件什么的，那体验肯定是不好的。

@CloudnuY

在 6.39 固件中 ip firewall 是可以识别并操纵 ttl 的。

至于 u32\string 不知道是否指数据包的正则匹配？ ROS 有一个 Layer 7 Protocols，可以配置各种规则，然后在 nat 的各个阶段 match 后执行相应的 action，很多人用来封 QQ、电驴的。

详见： https://wiki.mikrotik.com/wiki/Manual:IP/Firewall/Mangle

@mandymak

图 1 是 ODROID-XU4

这个盒子性能很猛，ARM 架构的小卡片 跑分可进前 3。
风扇平时不转，当 CPU 满载工作才工作，之后又回自动停下来，很有特色。

* Samsung Exynos5422 Cortex™-A15 2Ghz and Cortex™-A7 Octa core CPUs
* Mali-T628 MP6(OpenGL ES 3.0/2.0/1.1 and OpenCL 1.1 Full profile)
* 2Gbyte LPDDR3 RAM PoP stacked
* eMMC5.0 HS400 Flash Storage
* 2 x USB 3.0 Host, 1 x USB 2.0 Host
* Gigabit Ethernet port
* HDMI 1.4a for display
* Size : 82 x 58 x 22 mm approx.(including cooling fan)

图 2 是树莓派 2 / 这个就不介绍了

@kkxxxxxxx 无线很好办，我家到处都预埋了网口，随便拿个路由器配为 AP 模式即可，不需要的时候就关掉，减少辐射。实际上，我的路由器放在电视机旁，一个淘汰下来的 R7000 就足以覆盖全屋。

@kkxxxxxxx 要结合一个树莓派之类小盒子（当然物理机，虚拟机也行）才行，我一开始对 ROS 的定位就是路由器，根据路由规则转发数据包，不处理其他 7 层的业务。将 chnroutes 生成的国内路由加载到 address-list 中，然后对路由进行 mark routing，实现数据包按规则转发（关键词：借线路由）。

这样做的好处是，FQ 的能力就不再被路由器固件限制死了，可以随时随地编译最新的 SS/SSR/KCP 等新玩意尝试新特性。而且可以直接更换功能越来越强大，各种 arm/x86 架构的低功耗、0 噪音 Pi。Layer 7 的能力可以得到无限扩展，就像写代码，往后期基本都需要分层设计一样。

出海还需要解决一个很关键的问题就是 DNS，基本的思路也是用 gfwlist 做黑名单通过 dnscrypt、tcp、httpdns,非 53 端口等手段指定 DNS 进行解析。可能还会有自己的白名单，解析后的结果需要加入 ipset，配合 iptables 做更灵活的动态路由等需求，显然，一般的路由器很难全部满足。

上某宝花半杯星巴克的钱，买一本国人资深玩家 yusong 《 Routeros 入门到精通》电子书，认真研究一下 ROS 是非常有裨益的。Linux 下整不明白 iptables 的 input/output/foward/mangle/nat 规则，通过 winbox 进行图形化配置，熟悉原理后会有 “轻舟已过万重山” 的感觉。

ROS 玩好后可以解决一些现实中的问题，例如：如何用一个路由器连接一个光猫，实现电视+机顶盒可看 iptv，WI-FI/电脑能独立上网，且零设置全局 FQ。

这时候反过来看各种 “功能强大” 的 x 路由、open/ddwrt、merlin、pandora 等， 会有 “呵呵” 的感觉。

总之，可以 ROS 可以作为长期学习目标研究一下，当然前提是有兴趣、有时间折腾。

以下是我的一个简版和豪华版实现：

http://i.imgur.com/C9pwnaA.jpg

http://i.imgur.com/MOE5F4I.jpg

相关贴： https://www.v2ex.com/t/278069 （弃）

hAP ac 5 个全千兆口，其中一个支持 POE 供电输出，一个 SFP 光口。
Wi-Fi 支持 802.11a/n/ac 实测可以跑满 500Mbps，同等网络条件下 Wi-Fi 性能在 R7000 之上。

Product code RB962UiGS-5HacT2HnT
CPU nominal frequency 720 MHz
CPU core count 1
Size of RAM 128 MB
10/100/1000 Ethernet ports 5
Wireless standards 802.11a/n/ac
Wireless chip model QCA9880
Secondary wireless standards 802.11b/g/n
Secondary wireless chip model QCA9558

办公室、家中一分别到搞了一个，加载 7800 条国内路由，3 个桥接，带机 10 台左右，观察快一年，工作很稳定。
想一部到位可以入手，某宝 750 有找，我觉得性价比很高。

请使用 tcping 来做测试

https://www.elifulkerson.com/projects/tcping.php

听收音机 FM 106.1

对着手册装一次 Gentoo ， Linux 自然入门到精通了，装过 200 台服务器的农民工笑而不语。虽然是本行是在 Windows 上用 editplus 写 PHP 的。