不聊苹果，聊点家庭网络出国方案

[yikyo]

最近又折腾了一下软路由，从原来的 esxi+xxx ，直接换成了 vyos （基于 debian 的路由系统），上面跑了 adguardhome + mosdns + clash （ tun + fake ip ）

大概逻辑是用 mosdns 做分流，国内的域名请求国内 dns 、国外的域名用 fake ip ，未知的域名先走国内 dns ，如果返回的不是国内 ip 段，则丢弃重新用 fake ip 走国外，clash 不做任何规则判断，路由器添加一条路由 fake ip 段指向 clash 容器就完事了，规则简单、维护方便，只需要 20 行不到的配置（不包含代理节点）

碰到的几个问题聊一下

1 、dns 泄漏问题，假设有未知域名 example.com ，先走国内 dns ，那国内 dns 就知道你在访问 example.com ，造成 dsn 泄漏，大佬们一般是怎么来避免 dns 泄漏

2 、clash 、clash.meta tun 实现是否有区别，clash.meta 用这个方案实现后，vyos 能翻墙，但是下面的机器都无法翻墙，而 clash 没问题。在 clash.meta 日志中能看到一些 udp 流量，tcp 流量看不到，要解决这个问题要使用 iptables?

3 、dns 缓存问题，mosdns 不支持写入缓存过滤逻辑，某些原因 clash 重启后，fake ip 从 dns 缓存中获取，当 clash 反查域名进行代理，可能获取不到域名，或者得到错误的域名，表现就是打不开网页，或者提示证书错误，在调试中经常遇到，clash meta 有 fake ip 域名映射持久化配置，所以可能这个问题不太严重，要解决这个问题最好是有 dns 服务器有缓存过滤功能，有没有第三方的 dns 服务器有这个功能推荐一下

4 、以前手机上是使用 quantumult x ，需要独立配置规则，能不能使用 tailscale 连到 vyos ，通过家庭网络进行翻墙

[journalist]

@hugovk
@yikyo
bridge 模式下有两个缺点，一个是 UDP 无法 fullcone ，因为你没法控制 clash 用什么端口出站；另外一个是 docker 对 ipv6 的支持不够好。