@oColtono 无比赞同！我曾经为了搞硬解转码，各种折腾显卡，最后好不容把显卡弄好了，可以硬解了，结果发现根本用不上，哪怕是在户外，用 4G 看电影，现在流量带宽也足够用，根本不需要转码。

于是现在把 nas 显卡拔了，省电

@zinda 能上 v 站你还问我怎么白嫖 cdn ？ v 站这么多图片有几张是自己存的？

php 哪里复杂了，就这么点东西，都快凉了的语言能复杂到哪里去？

PS：
1c1g 算啥，我服务器，0.5c 512M 10G 磁盘的服务器上面，部署了 php-fpm 、nginx 、2 个 golang 项目、redis 、mysql ，然后用 docker 管理服务，跑了几年了也没问题。

php 项目是我弟在深圳一个理发店的小程序、公众号，服务器月 300G 流量，通过白嫖 CDN 的方式，存了几万张图片啥的，年流水百万级别。

@kursk 哦哦，我这下明白了，dnsmasq 解析域名的时候通过 ipset 给 ip 打了 blacklist tag ，然后再通过 iptabls 这里的规则做了转发

感谢大佬，整个流程瞬间清晰明了

@Zizpop 还不如自己写一个，百来行代码就行了。拿 python 写可能都要不了 100 行，python 操作防火墙，搭建 http 服务，都是几行代码搞定，自己在糊一个 http 页面完事

我觉得你这种不知名面板出漏洞的可能性比密码工具出漏洞的可能性高多了。

甚至你找个不知名面板本身就自带后面

真要 ui 控制的话，你用阿里腾讯云吧，服务器网络管理里面可以开关端口，阿里云好像还有 app ，可能都不需要登录 web ，app 上就能操作

没主密码肯定解不开，你有看源码的时间还不如多试试你常用的密码，自己设的密码多试试总能试出来

@kursk #29 好像确实是 fw3 ，我之前看网上说最新版本是 fw4 了，可能是我编译的时候哪里配置没勾选把，还是 fw3

@kursk #28

Chain PREROUTING (policy ACCEPT 7861 packets, 601K bytes)
pkts bytes target prot opt in out source destination
3187 191K SS_SPEC_WAN_AC tcp -- br-lan * 0.0.0.0/0 0.0.0.0/0 /* _SS_SPEC_RULE_ */
693K 54M prerouting_rule all -- * * 0.0.0.0/0 0.0.0.0/0 /* !fw3: Custom prerouting rule chain */
692K 53M zone_lan_prerouting all -- br-lan * 0.0.0.0/0 0.0.0.0/0 /* !fw3 */
838 245K zone_wan_prerouting all -- pppoe-wan * 0.0.0.0/0 0.0.0.0/0 /* !fw3 */
0 0 zone_wan_prerouting all -- eth1 * 0.0.0.0/0 0.0.0.0/0 /* !fw3 */

Chain INPUT (policy ACCEPT 6615 packets, 455K bytes)
pkts bytes target prot opt in out source destination

Chain OUTPUT (policy ACCEPT 2812 packets, 202K bytes)
pkts bytes target prot opt in out source destination
763 45780 SS_SPEC_WAN_AC tcp -- * * 0.0.0.0/0 0.0.0.0/0 /* _SS_SPEC_RULE_ */

Chain POSTROUTING (policy ACCEPT 3366 packets, 233K bytes)
pkts bytes target prot opt in out source destination
737K 56M postrouting_rule all -- * * 0.0.0.0/0 0.0.0.0/0 /* !fw3: Custom postrouting rule chain */
35025 3178K zone_lan_postrouting all -- * br-lan 0.0.0.0/0 0.0.0.0/0 /* !fw3 */
517K 39M zone_wan_postrouting all -- * pppoe-wan 0.0.0.0/0 0.0.0.0/0 /* !fw3 */
0 0 zone_wan_postrouting all -- * eth1 0.0.0.0/0 0.0.0.0/0 /* !fw3 */

Chain MINIUPNPD (2 references)
pkts bytes target prot opt in out source destination

Chain MINIUPNPD-POSTROUTING (2 references)
pkts bytes target prot opt in out source destination

Chain SS_SPEC_WAN_AC (2 references)
pkts bytes target prot opt in out source destination
0 0 RETURN all -- * * 0.0.0.0/0 0.0.0.0/0 match-set whitelist dst
0 0 SS_SPEC_WAN_FW all -- * * 0.0.0.0/0 0.0.0.0/0 match-set blacklist dst
0 0 RETURN all -- * * 0.0.0.0/0 0.0.0.0/0 match-set bplan src
0 0 SS_SPEC_WAN_FW all -- * * 0.0.0.0/0 0.0.0.0/0 match-set fplan src
75 4500 RETURN tcp -- * * 0.0.0.0/0 45.78.45.70 tcp dpt:!53
61 3680 RETURN all -- * * 0.0.0.0/0 0.0.0.0/0 match-set ss_spec_wan_ac dst
572 34320 RETURN all -- * * 0.0.0.0/0 0.0.0.0/0 match-set china dst
0 0 SS_SPEC_WAN_FW all -- * * 0.0.0.0/0 0.0.0.0/0 match-set gmlan src ! match-set china dst
3242 195K SS_SPEC_WAN_FW all -- * * 0.0.0.0/0 0.0.0.0/0

Chain SS_SPEC_WAN_FW (4 references)
pkts bytes target prot opt in out source destination
0 0 RETURN all -- * * 0.0.0.0/0 0.0.0.0/8
0 0 RETURN all -- * * 0.0.0.0/0 10.0.0.0/8
0 0 RETURN all -- * * 0.0.0.0/0 127.0.0.0/8
0 0 RETURN all -- * * 0.0.0.0/0 169.254.0.0/16
0 0 RETURN all -- * * 0.0.0.0/0 172.16.0.0/12
0 0 RETURN all -- * * 0.0.0.0/0 192.168.0.0/16
0 0 RETURN all -- * * 0.0.0.0/0 224.0.0.0/4
0 0 RETURN all -- * * 0.0.0.0/0 240.0.0.0/4
3188 191K REDIRECT tcp -- * * 0.0.0.0/0 0.0.0.0/0 multiport dports 22,53,587,465,995,993,143,80,443,853,9418 redir ports 1234

Chain postrouting_lan_rule (1 references)
pkts bytes target prot opt in out source destination

Chain postrouting_rule (1 references)
pkts bytes target prot opt in out source destination

Chain postrouting_wan_rule (1 references)
pkts bytes target prot opt in out source destination

Chain prerouting_lan_rule (1 references)
pkts bytes target prot opt in out source destination

Chain prerouting_rule (1 references)
pkts bytes target prot opt in out source destination

Chain prerouting_wan_rule (1 references)
pkts bytes target prot opt in out source destination

Chain zone_lan_postrouting (1 references)
pkts bytes target prot opt in out source destination
35025 3178K postrouting_lan_rule all -- * * 0.0.0.0/0 0.0.0.0/0 /* !fw3: Custom lan postrouting rule chain */

Chain zone_lan_prerouting (1 references)
pkts bytes target prot opt in out source destination
692K 53M prerouting_lan_rule all -- * * 0.0.0.0/0 0.0.0.0/0 /* !fw3: Custom lan prerouting rule chain */

Chain zone_wan_postrouting (2 references)
pkts bytes target prot opt in out source destination
517K 39M MINIUPNPD-POSTROUTING all -- * * 0.0.0.0/0 0.0.0.0/0
517K 39M MINIUPNPD-POSTROUTING all -- * * 0.0.0.0/0 0.0.0.0/0
517K 39M postrouting_wan_rule all -- * * 0.0.0.0/0 0.0.0.0/0 /* !fw3: Custom wan postrouting rule chain */
517K 39M MASQUERADE all -- * * 0.0.0.0/0 0.0.0.0/0 /* !fw3 */ mode: fullcone

Chain zone_wan_prerouting (2 references)
pkts bytes target prot opt in out source destination
838 245K MINIUPNPD all -- * * 0.0.0.0/0 0.0.0.0/0
838 245K MINIUPNPD all -- * * 0.0.0.0/0 0.0.0.0/0
838 245K prerouting_wan_rule all -- * * 0.0.0.0/0 0.0.0.0/0 /* !fw3: Custom wan prerouting rule chain */

Chain SS_SPEC_WAN_FW (4 references)
pkts bytes target prot opt in out source destination
49 2940 REDIRECT tcp -- * * 0.0.0.0/0 0.0.0.0/0 multiport dports 22,53,587,465,995,993,143,80,443,853,9418 redir ports 1234

通过 iptables -t nat -L -v -n 可以找到这样一条转发规则，我 ssr-plus 里面目前设置的仅常用端口代理，这时通过 iptables 把这些常用端口的流量转发到了 1234 端口，1234 端口是 xray 的端口，这样就把流量都给 xray 代理了


@kursk #23 大佬，再请教下，我目前设置的是非国内 ip 代理，那这个 ip 分流又是在哪做的呢，我检查了 xray 的配置文件，发现 xray 配置文件里面没有路由字段，说明 xray 仅仅是把 input 流量转发到 output 里面去，并没有利用 xray 的分流能力。

除此之外，naive 客户端应该是没有分流能力的，因此 ssr-plus 肯定不是利用各个代理程序做的分流，所以这个 ip 分流策略又是在哪呢

这个 iptable 规则看起来，也没有什么分流设置呢，而且我看了 1234 端口，确实是 xray 处理了，这中间应该也没其他分流程序了

真机，国产系统魔改不用真机调试会遇到各种奇奇怪怪的问题

@kursk 好的，感谢

@kursk 感谢回复，我也是 firewell4 ，nftables 和 iptables 我确实都不怎么熟悉，我照着你的思路研究一下先

@Puteulanus #13
@kursk #3

我又研究了一下 SSR-PLUS 的强制代理，我发现设置某个域名强制走代理，其实只是加了一个`server=/docker.io/127.0.0.1#5335` 这样的设置，并没有设置 ipset ，这样强制 dns 使用海外 dns 解析，那如果向 docker 这个域名，返回 ipv6 的解析结果，我服务器不支持 ipv6 的话其实没啥用吧

@kursk #3 再请教一下，“iptables 再将目标地址为这个 ipset 的 package 转发到科学上网的端口或线路上” 这个配置是在哪呢？ 我用 iptables -L 看，好像没找到相关的配置呢

@defunct9 #14 感谢 ssh 哥