对了下 lkl 的文档，启动参数里面有些可以不要：

LKL_HIJACK_NET_QDISC="root|fq"
这个参数是设置 QDISC 给 iptables 识别，可以做限速之类，目前方案用不上，可以去掉；

LKL_HIJACK_NET_GATEWAY=10.0.0.1
lkl 下的 haproxy 跟 ss 是内网通信，用不上 gateway ，应去掉；

@yanchao7511461 #74 你还用 1234 端口就是没有用 bbr ，当然没有变化

电脑上有模拟器。

@pubby #60
@JackyBao #62

DNAT 自身已经能处理 NAT 过程的链接追踪，“包回去”不需要处理。

提醒一下，因为 iptables 转发流量跟 haproxy 是端口对端口的本地通信，因此 MASQUERADE 的一句是不需要的，因此应该去掉

iptables -t nat -A POSTROUTING -o venet0 -j MASQUERADE

同时， haproxy 作为服务进程，最好不用 root 身份运行，因此配置文件顶上加

global
user haproxy
group haproxy

@iceanness #27 默认这样看不到的，也要加那一大堆环境变量才能看到； haproxy 相当于运行在独立内核。

@xdeng #23 面板里确实没看到，不过我这台默认开了 tuntap
不过面板里面有自动配置 OpenVPN Server ， openvpn 不可能没有 tuntap 吧，你试试咯，不行就开 ticket

@xdeng #20 不用吧，面板里面有开关，默认是开的。

挺可以的，刚刚再版瓦工的 vz 上跑了起来，提升很大。
我的系统是 centos7 ，跑 systemd 的，所以我改了 haproxy 的 service 文件来启动：


[Unit]
Description=HAProxy Load Balancer
After=syslog.target network.target

[Service]

Environment='LD_PRELOAD=/usr/local/lib64/liblkl-hijack.so'
Environment='LKL_HIJACK_NET_QDISC="root|fq"'
Environment='LKL_HIJACK_SYSCTL=\'net.ipv4.tcp_congestion_control="bbr";net.ipv4.tcp_wmem="4096 65536 67108864"\''
Environment='LKL_HIJACK_NET_IFTYPE=tap'
Environment='LKL_HIJACK_NET_IFPARAMS=tap0'
Environment='LKL_HIJACK_NET_IP=10.0.0.2'
Environment='LKL_HIJACK_NET_NETMASK_LEN=24'
Environment='LKL_HIJACK_NET_GATEWAY=10.0.0.1'
Environment='LKL_HIJACK_OFFLOAD="0x8883"'


ExecStart=/usr/sbin/haproxy -f /etc/haproxy/haproxy.cfg -p /run/haproxy.pid $OPTIONS
#ExecStart=/usr/sbin/haproxy-systemd-wrapper -f /etc/haproxy/haproxy.cfg -p /run/haproxy.pid $OPTIONS
ExecReload=/bin/kill -USR2 $MAINPID

[Install]
WantedBy=multi-user.target

估计是英文版的 Cortana 吧

xposed 框架有跳过签名检查的插件

13 年的本子， 15 年开始用 win10 ，一直慢通道更新到现在，没啥问题；

@sbbeta #7 没有

···
root@OpenWrt:~# dig nothingaaa12345.com @114.114.115.115

; <<>> DiG 9.9.8-P3 <<>> nothingaaa12345.com @114.114.115.115
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 36847
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;nothingaaa12345.com. IN A

;; AUTHORITY SECTION:
com. 862 IN SOA a.gtld-servers.net. nstld.verisign-grs.com. 1491537335 1800 900 604800 86400

;; Query time: 33 msec
;; SERVER: 114.114.115.115#53(114.114.115.115)
;; WHEN: Fri Apr 07 11:56:31 CST 2017
;; MSG SIZE rcvd: 121


···

@paradoxs #5 代码运行结果显示没有这个问题。

@sbbeta #2 这个应该是个案，我换用百度 /腾讯自家的公众 dns 就没这个问题；

另外刚又发现阿里的 dns223.5.5.5 也有这个问题；

估计是腾讯自己的 DNS 的祸。

这个有体验，手表卡口的金属和本子金属的摩擦，让人毛骨悚然……后来都用 ikbc 了

目测是 http2 协议之类的