routeros 的 container 不支持 iptables，如何将运行 Clash 的容器配置成透明网关呢

[xiaofami]

在 Routeros 提供的 container 中运行了 metacubex/mihomo:v1.18.5 ，测试通过 7893 端口代理正常。参照Real-IP Tun Example想进一步进行透明网关设置时，发现 Routeros 的 container 不支持 iptables 功能：

/ # iptables -V
iptables v1.8.10 (nf_tables)
/ # iptables -L
iptables v1.8.10 (nf_tables): Could not fetch rule set generation id: Invalid argument
/ # 

这样一来要如何将流量转发给 utun 网卡呢？

Clash 配置文件节选

dns:
  enable: true
  ipv6: false
  enhanced-mode: redir-host
  listen: 0.0.0.0:7874
  nameserver:
  - 172.17.0.2:53
  default-nameserver:
  - 172.17.0.2:53
tun:
  enable: true
  stack: system
  device: utun
  auto-route: false
  auto-detect-interface: false

container 信息

/ # uname -a
Linux clash.lan 5.6.3-64 #1 SMP Wed Apr 17 13:00:29 UTC 2024 x86_64 Linux
/ # ip r
default via 172.17.0.1 dev eth0 
172.17.0.0/24 dev eth0 scope link  src 172.17.0.3 
198.18.0.0/30 dev utun scope link  src 198.18.0.1 

[povsister]

ros 系统本身就不是标准的 Linux ，不要指望上面的容器能和 linux 一样。
透明代理你要么 fakeip 用旁路由解决，要么设备网关填旁路由，要么就和我一样 realip+DNSRoute

[xiaofami]

@povsister 感谢指点，看来 ros 系统的 container 功能还比较局限~

[mohumohu]

https://www.v2ex.com/t/1017263

[mmr]

hhh ，我也在折腾你这个问题…………，事实上我不想 fake-ip……，我在想如何实现。

如果你愿意折腾的话，有一些其他方法可以参考，请看 https://www.kskb.eu.org/2021/10/rootlessrouterfin-uml.html 一个很折腾的，可能有性能问题的方案，我还没开始折腾

[mmr]

@xiaofami 其实我倒感觉是 ROS 为了安全没开这些权限，容器的权限确实是比较死的。

[f0rger]

同想知道，一直折腾一直不成功。我也不想 fakeip

[xiaofami]

@mmr 看起来很厉害的样子，不过有些复杂 … 希望 ROS 未来给容器开放更多权限吧

[bigfei]

singbox 可以。

[povsister]

@mmr
不用 fakeip 可以考虑我发布的方案，查看我发帖列表即可