ESXI & Alpine & Clash Premium 旁路网关

上一篇博客写了使用Alpine与Clash搭建的过程，但这种方式实在太繁琐，例如Iptables，管理面板，经过几天的使用才发现Clash有一个Premium版本，它支持TUN模式。

对于不遵循系统代理的软件，TUN 模式可以接管其流量并交由 CFW 处理，在 Windows 中，TUN 模式性能比 TAP 模式好。

这里由于家里买了一个外贸的盒子（hk1 box android s905x3双频蓝牙 安卓电视盒），我又想用它观看全部的内容，所以就想让这台设备单独可以使用该功能。

这篇博文只记录核心部分，大部分的过程还是沿用之前文章。 ESXi install Alpine & Clash Proxy

开启TUN模式

开启TUN模式只需要在config.yaml中增加以下配置即，经求证，Clash在Linux下目前没有自动获取 interface-name 的功能，所以需要手动指定interface-name。

interface-name: eth0

tun:
  enable: true
  stack: system # or gvisor
  #dns-hijack:
  #  - 8.8.8.8:53
  #  - tcp://8.8.8.8:53
  auto-route: true # auto set global route
  auto-detect-interface: true # conflict with interface-name

wiki：https://github.com/Dreamacro/clash/wiki/premium-core-features

Alpine 默认是没有启用tun功能的，所以需要自行开启

sudo modprobe tun
sudo echo "tun" >>/etc/modules

# 检查是否生效
lsmod | grep tun

Clash Premium 部署

Premium Release 版本可以在这里下载：https://github.com/Dreamacro/clash/releases/tag/premium

wget https://github.com/Dreamacro/clash/releases/download/premium/clash-linux-amd64-2021.03.10.gz

gzip -d clash-linux-amd64-2021.03.10.gz
mv clash-linux-amd64-2021.03.10 /usr/bin/clash
chmod +x /usr/bin/clash

# 测试配置文件
clash -d .config/clash/ -t

配置文件示例

# HTTP 代理端口
port: 7890 

# SOCKS5 代理端口
socks-port: 7891 

# Linux 和 macOS 的 redir 代理端口
redir-port: 7892 

# 允许局域网的连接
allow-lan: true

# 规则模式：Rule（规则） / Global（全局代理）/ Direct（全局直连）
mode: Rule

# 设置日志输出级别 (默认级别：silent，即不输出任何内容，以避免因日志内容过大而导致程序内存溢出）。
# 5 个级别：silent / info / warning / error / debug。级别越高日志输出量越大，越倾向于调试，若需要请自行开启。
log-level: silent
# Clash 的 RESTful API
external-controller: 0.0.0.0:9090
experimental:
  ignore-resolve-fail: true
# RESTful API 的口令
secret: '' 

# 您可以将静态网页资源（如 clash-dashboard）放置在一个目录中，clash 将会服务于 `RESTful API/ui`
# 参数应填写配置目录的相对路径或绝对路径。
# external-ui: './dashboard'

dns:
  enable: true # set true to enable dns (default is false)
  ipv6: false # default is false
  listen: 0.0.0.0:53
  enhanced-mode: redir-host # or fake-ip
  fake-ip-range: 198.18.0.1/16 # if you don't know what it is, don't change it
  nameserver:
     - https://doh.pub/dns-query
     - https://dns.alidns.com/dns-query
     - https://i.233py.com/dns-query
  fallback:
     - https://cloudflare-dns.com/dns-query
     - https://doh.opendns.com/dns-query
     - https://dns.google/dns-query
     - https://dns.nextdns.io/dns-query
     - https://doh.233py.com/dns-query

interface-name: eth0

tun:
  enable: true
  stack: system
  dns-hijack:
    - 8.8.8.8:53
    - tcp://8.8.8.8:53
  auto-route: true # auto set global route

proxies:
...

管理面板

可以只用使用http://yacd.haishan.me/来进行管理。

端口转发

前面的所有步骤做完之后我们就需要将客户机的溜了转发到这个服务器上。

# 创建用于clash的NAT 
iptables -t nat -N clash  
iptables -t nat -N clash_dns 

# 转发DNS请求到clash_dns链
iptables -t nat -A PREROUTING -p tcp --dport 53 -j clash_dns 
iptables -t nat -A PREROUTING -p udp --dport 53 -j clash_dns 

# 转发tcp请求到clash链
iptables -t nat -A PREROUTING -p tcp -j clash 

# 转发dns请求到网关 
iptables -t nat -A clash_dns -p udp --dport 53 -j DNAT --to-destination 10.0.0.200:53
iptables -t nat -A clash_dns -p tcp --dport 53 -j DNAT --to-destination 10.0.0.200:53

# 忽略需要转发的地址段
iptables -t nat -A clash -d 0.0.0.0/8 -j RETURN 
iptables -t nat -A clash -d 10.0.0.0/8 -j RETURN 
iptables -t nat -A clash -d 127.0.0.0/8 -j RETURN 
iptables -t nat -A clash -d 169.254.0.0/16 -j RETURN 
iptables -t nat -A clash -d 172.16.0.0/12 -j RETURN 
iptables -t nat -A clash -d 192.168.0.0/16 -j RETURN 
iptables -t nat -A clash -d 224.0.0.0/4 -j RETURN 
iptables -t nat -A clash -d 240.0.0.0/4 -j RETURN 

# 转发流量至7892端口
iptables -t nat -A clash -p tcp -j REDIRECT --to-ports 7892

# 保存规则 
rc-service iptables save

# 查看nat规则
iptables -t nat -L -n --line-numbers

使用

这里以家里的电视为准，主路由使用的是爱快。

IP分组

结语

方式有很多种，若还有更好的方法，欢迎留言讨论~