我有多个节点，包括机场订阅的和自己个人部署的，机场的就添加了订阅每天更新，个人的就在节点 & 策略组管理那里添加了代理集配置 Proxy-provider 。但是每次订阅更新后，代理集的配置的节点就被删除了，请教下各位如何解决？
我有多个节点，包括机场订阅的和自己个人部署的，机场的就添加了订阅每天更新，个人的就在节点 & 策略组管理那里添加了代理集配置 Proxy-provider 。但是每次订阅更新后，代理集的配置的节点就被删除了，请教下各位如何解决？
目前环境是 openwrt+华为 Q6 ，Q6 这就不是 AC+AP 东西，二重 NAT 了，想请教下各位换成华为 leader ap 咋样及优缺点，感谢！
目前环境是 openwrt+华为 Q6 ，Q6 这就不是 AC+AP 东西，二重 NAT 了，想请教下各位换成华为 leader ap 咋样及优缺点，感谢！
最近在群晖里装了个虚拟机用来装 OpenWRT ，用 Passwall 翻墙。主路由的网关和 DNS 指向旁路有。 最近群晖的套件中心下载任何东西都报下载失败，怀疑是虚拟机里的旁路由导致的，但是把旁路有和虚拟机删掉，主路由的配置恢复成正常还是一样的问题。手动安装什么倒正常，群晖的 DNS 也改过，SSH ping 外网也正常，不知道有没有哪位大佬解决过类似问题？
最近在群晖里装了个虚拟机用来装 OpenWRT ，用 Passwall 翻墙。主路由的网关和 DNS 指向旁路有。 最近群晖的套件中心下载任何东西都报下载失败，怀疑是虚拟机里的旁路由导致的，但是把旁路有和虚拟机删掉，主路由的配置恢复成正常还是一样的问题。手动安装什么倒正常，群晖的 DNS 也改过，SSH ping 外网也正常，不知道有没有哪位大佬解决过类似问题？
最近在群晖里装了个虚拟机用来装 OpenWRT ，用 Passwall 翻墙。主路由的网关和 DNS 指向旁路有。 最近群晖的套件中心下载任何东西都报下载失败，怀疑是虚拟机里的旁路由导致的，但是把旁路有和虚拟机删掉，主路由的配置恢复成正常还是一样的问题。手动安装什么倒正常，群晖的 DNS 也改过，SSH ping 外网也正常，不知道有没有哪位大佬解决过类似问题？
最近在群晖里装了个虚拟机用来装 OpenWRT ，用 Passwall 翻墙。主路由的网关和 DNS 指向旁路有。 最近群晖的套件中心下载任何东西都报下载失败，怀疑是虚拟机里的旁路由导致的，但是把旁路有和虚拟机删掉，主路由的配置恢复成正常还是一样的问题。手动安装什么倒正常，群晖的 DNS 也改过，SSH ping 外网也正常，不知道有没有哪位大佬解决过类似问题？
Clash Meta 在普通 Linux 上通过 IPv6 RA 实现无侵入旁路由 原版 Clash Meta 运行在普通 Linux （非 OpenWrt 路由器）上时，可以开启 TUN 作为旁路由使用。 但如果想要在不侵入主路由的情况下，接管指定设备，在 IPv4 和 IPv6 下会分别遇到不同的协议问题。 IPv4 与 IPv6 的差异 IPv4：DHCP 独占问题 在 IPv4 下，地址分配通常依赖 DHCP 。 DHCP 协议在同一个子网内通常只能存在一个 DHCP Server 。如果强行设置两个 DHCP Server ，最终会变成“谁回复快谁生效”的抢答游戏，容易导致网关、DNS 、地址池混乱。 IPv6：RA 可控性更好 在 IPv6 下，地址分配、路由宣告和 DNS 宣告主要通过 ICMPv6 Router Advertisement （ RA ）完成。 RA 可以指定： 默认路由优先级 默认路由生存时间 DNS 服务器 DNS 生存时间 因此，通过控制 RA 的优先级和生存时间，可以实现不侵入主路由的旁路由接管。 IPv4 仍然存在的问题 IPv4 侧仍然存在 DHCP 无法无侵入接管的问题。 不过好消息是，现在大部分设备，例如 Windows 和 Android ，会优先使用 IPv6 DNS ，并优先解析 IPv6 地址进行外呼。 因此，在接管 IPv6 之后，实测 Android 体验几乎等同于 VPN Service 并且部分场景优于，比如不会被各类金融 APP 检测到代理强制退出。 技术实现细节 ICMPv6 Router Advertisement 协议 IPv6 使用 ICMPv6 替代了 IPv4 中的 ARP ，以及部分 DHCP 功能。 RA （ Router Advertisement ）是 ICMPv6 Type 134 报文，由路由器定期组播发送到： ff02::1 即所有节点地址。 当路由器收到主机发送的 RS （ Router Solicitation ，Type 133 ）时，也会立即响应 RA 。 RA 报文核心字段 字段 长度 含义 Router Lifetime 2 字节 宣告自身作为默认路由的有效期，单位为秒；设为 0 表示撤销 Preference 2 位 路由优先级： 01 = high ， 00 = medium ， 11 = low Current Hop Limit 1 字节 后续发往互联网的报文使用的默认 Hop Limit RA Option 字段 RA 还可以通过 Option 字段携带附加信息： Option 类型 编号 作用 Source Link-Layer Address 1 发送方 MAC 地址 MTU 5 建议链路 MTU RDNSS 25 递归 DNS 服务器地址 优先级与生存时间的协同控制 这是实现旁路由无侵入接入的关键。 假设： 设备 Preference Lifetime 旁路由 high 180 秒 主路由 medium 1800 秒 此时流程如下： 客户端收到两个路由器的 RA 。 客户端优先选择 preference = high 的旁路由作为默认网关。 即使旁路由下线，主路由的 RA 依然有效。 如果旁路由正常退出，会发送 lifetime = 0 的撤销报文。 客户端收到撤销报文后，会立即回切到主路由。 RDNSS：DNS 服务器宣告 RDNSS 是 IPv6 旁路由接管中的关键设计。 RA 报文中的 RDNSS Option （ Type 25 ）可以携带一个或多个 DNS 服务器地址。 与 IPv4 DHCP 不同，RDNSS 与地址分配解耦。旁路由无需参与地址分配，只需要宣告 DNS 即可。 RDNSS Option 格式： Type: 8 bits ，值为 25 Length: 8 bits ，单位为 8 字节，计算方式为 1 + 2 * address_count Lifetime: 32 bits ，单位为秒 Addresses: 可变长度，一个或多个 IPv6 地址 Windows 10+ 和 Android 系统会优先使用通过 RDNSS 获取的 DNS 服务器，且优先级通常高于 DHCPv4 分配的 DNS 。 因此实际效果是： IPv4 不经过旁路由，DHCP 仍由主路由负责。 IPv6 DNS 解析通过旁路由。 DNS 请求进入旁路由后，可按 Clash 规则转发或直连。 业务流量在 IPv4 下仍走主路由默认网关。 业务流量在 IPv6 下，如果旁路由 RA 优先级为 high ，则走旁路由。 实测 Android：由于大部分 App 会优先通过 IPv6 进行外呼，即使 IPv4 回退，也能正常解析和访问，用户体验基本不受影响。 内核预备条件 Linux 内核默认不会主动发送 RA ，需要启用 IPv6 转发。 代码中可以通过写入 sysctl 控制文件实现： func enableIPv6Forwarding(ifName string) { writeSysctl("/proc/sys/net/ipv6/conf/all/forwarding", "1") writeSysctl("/proc/sys/net/ipv6/conf/eth0/forwarding", "1") writeSysctl("/proc/sys/net/ipv6/conf/eth0/accept_ra", "2") } 含义如下： 配置项 作用 conf/all/forwarding = 1 启用全局 IPv6 转发，是内核允许发送 RA 的前提 conf/eth0/forwarding = 1 在目标接口上启用 IPv6 转发 conf/eth0/accept_ra = 2 即使启用了转发，仍然接受其他路由器的 RA 其中， accept_ra = 2 很关键。它可以确保旁路由本身仍然能从主路由获取 IPv6 路由。 RA 数据包构造 RA 报文可以直接在内存中构造为字节数组，无需依赖外部库。 func buildRouterAdvertisement( iface *net.Interface, preference byte, lifetime uint16, dnsServers []net.IP, dnsLifetime uint32, ) []byte { packet := make([]byte, 16, 32) packet[0] = icmpv6RouterAdvertisement // Type = 134 packet[4] = raDefaultCurrentHopLimit // Hop Limit = 64 packet[5] = preference // 路由优先级 binary.BigEndian.PutUint16(packet[6:8], lifetime) // Source Link-Layer Address Option if len(iface.HardwareAddr) == 6 { packet = append(packet, 1, 1) // Type = 1, Length = 1 packet = append(packet, iface.HardwareAddr...) } // MTU Option if iface.MTU > 0 { // Type = 5, Length = 1, MTU value } // RDNSS Option if len(dnsServers) > 0 { packet = append(packet, buildRDNSSOption(dnsServers, dnsLifetime)...) } return packet } RDNSS 的 lifetime 可以设置为 router lifetime 的 3 倍： advertisement := buildRouterAdvertisement( iface, preference, lifetime, []net.IP{src}, uint32(lifetime)*raRDNSSLifetimeMultiplier, ) // raRDNSSLifetimeMultiplier = 3 这样即使路由宣告过期，DNS 信息仍然可以维持一段时间，避免 DNS 抖动。 主动刷新与被动响应 func (r *routerAdvertiser) loop() { ticker := time.NewTicker(r.interval) // 默认 30s // 监听 RS 请求 go func() { for { n, cm, _, err := r.packetConn.ReadFrom(buf) if err != nil { return } if n > 0 && buf[0] == icmpv6RouterSolicitation { r.send(r.advertisement) } _ = cm } }() // 定期发送 RA for { select { case <-ticker.C: r.send(r.advertisement) case <-r.done: return } } } 工作机制： 定时器每 30 秒发送一次 RA 。 goroutine 监听 RS 请求。 收到 RS 后立即回复 RA 。 新设备接入网络时发送 RS ，旁路由立即响应。 因此，新设备几乎可以立即感知到旁路由的存在。 优雅退出 Clash Meta 关闭时，可以发送 3 次 lifetime = 0 的撤销 RA： func (r *routerAdvertiser) Close() error { r.closeOnce.Do(func() { close(r.done) for i := 0; i < 3; i++ { r.send(r.withdraw) time.Sleep(100 * time.Millisecond) } r.rawConn.Close() }) return nil } 这会通知所有客户端：该路由器已经不可用。 客户端随后会自动回切到主路由。 这正是“不侵入”的关键：不修改主路由配置，也不破坏现有网络拓扑。 配置方式 在 Clash Meta 的 TUN 配置段中启用： tun: enable: true stack: mixed router-advertise: enable: true interface: eth0 default-preference: high default-lifetime: 180 interval: 30 字段说明： 配置项 含义 enable 是否启用 TUN stack TUN 使用的网络栈 router-advertise.enable 是否启用 RA 宣告 router-advertise.interface 发送 RA 的物理接口 router-advertise.default-preference 默认路由优先级，可选 high 、 medium 、 low router-advertise.default-lifetime 默认路由 lifetime ，单位为秒 router-advertise.interval RA 发送间隔，单位为秒 实测验证 在同一广播域内抓包，可以看到旁路由定时发出的 RA： fe80::xxxx:xxxx:xxxx:xxxx > ff02::1: ICMPv6 Router Advertisement hop limit 64, Flags [none], pref high router lifetime 180s source link-address option: xx:xx:xx:xx:xx:xx mtu option: 1500 rdnss option, lifetime 540s, addr: fe80::xxxx:xxxx:xxxx:xxxx 也可以主动发送 RS 触发 RA 响应： python3 -c " import socket import struct sock = socket.socket(socket.AF_INET6, socket.SOCK_RAW, socket.IPPROTO_ICMPV6) sock.setsockopt(socket.IPPROTO_IPV6, socket.IPV6_MULTICAST_HOPS, 255) rs = struct.pack('!BBHI', 133, 0, 0, 0) sock.sendto(rs, ('ff02::2', 0)) " 抓包验证： tcpdump -i eth0 -vv -n 'icmp6 && ip6[40] == 134' 如果能够看到旁路由立即返回 RA ，即说明“新设备无感接入”能力生效。 总结 通过 IPv6 RA 实现旁路由接管的核心思路是： 不接管 IPv4 DHCP ，避免与主路由冲突。 通过 IPv6 RA 宣告更高优先级的默认路由。 通过 RDNSS 宣告旁路由自身作为 DNS 。 正常运行时以较短周期刷新 RA 。 退出时发送 lifetime = 0 的撤销 RA 。 主路由始终保留较长 lifetime ，确保旁路由异常时客户端可自动回切。 这种方式可以在不修改主路由配置的情况下，实现对支持 IPv6 设备的无侵入旁路由接管。 代码在这直接 patch 到 clash meta 就能运行 ra-feature.patch
Clash Meta 在普通 Linux 上通过 IPv6 RA 实现无侵入旁路由 原版 Clash Meta 运行在普通 Linux （非 OpenWrt 路由器）上时，可以开启 TUN 作为旁路由使用。 但如果想要在不侵入主路由的情况下，接管指定设备，在 IPv4 和 IPv6 下会分别遇到不同的协议问题。 IPv4 与 IPv6 的差异 IPv4：DHCP 独占问题 在 IPv4 下，地址分配通常依赖 DHCP 。 DHCP 协议在同一个子网内通常只能存在一个 DHCP Server 。如果强行设置两个 DHCP Server ，最终会变成“谁回复快谁生效”的抢答游戏，容易导致网关、DNS 、地址池混乱。 IPv6：RA 可控性更好 在 IPv6 下，地址分配、路由宣告和 DNS 宣告主要通过 ICMPv6 Router Advertisement （ RA ）完成。 RA 可以指定： 默认路由优先级 默认路由生存时间 DNS 服务器 DNS 生存时间 因此，通过控制 RA 的优先级和生存时间，可以实现不侵入主路由的旁路由接管。 IPv4 仍然存在的问题 IPv4 侧仍然存在 DHCP 无法无侵入接管的问题。 不过好消息是，现在大部分设备，例如 Windows 和 Android ，会优先使用 IPv6 DNS ，并优先解析 IPv6 地址进行外呼。 因此，在接管 IPv6 之后，实测 Android 体验几乎等同于 VPN Service 并且部分场景优于，比如不会被各类金融 APP 检测到代理强制退出。 技术实现细节 ICMPv6 Router Advertisement 协议 IPv6 使用 ICMPv6 替代了 IPv4 中的 ARP ，以及部分 DHCP 功能。 RA （ Router Advertisement ）是 ICMPv6 Type 134 报文，由路由器定期组播发送到： ff02::1 即所有节点地址。 当路由器收到主机发送的 RS （ Router Solicitation ，Type 133 ）时，也会立即响应 RA 。 RA 报文核心字段 字段 长度 含义 Router Lifetime 2 字节 宣告自身作为默认路由的有效期，单位为秒；设为 0 表示撤销 Preference 2 位 路由优先级： 01 = high ， 00 = medium ， 11 = low Current Hop Limit 1 字节 后续发往互联网的报文使用的默认 Hop Limit RA Option 字段 RA 还可以通过 Option 字段携带附加信息： Option 类型 编号 作用 Source Link-Layer Address 1 发送方 MAC 地址 MTU 5 建议链路 MTU RDNSS 25 递归 DNS 服务器地址 优先级与生存时间的协同控制 这是实现旁路由无侵入接入的关键。 假设： 设备 Preference Lifetime 旁路由 high 180 秒 主路由 medium 1800 秒 此时流程如下： 客户端收到两个路由器的 RA 。 客户端优先选择 preference = high 的旁路由作为默认网关。 即使旁路由下线，主路由的 RA 依然有效。 如果旁路由正常退出，会发送 lifetime = 0 的撤销报文。 客户端收到撤销报文后，会立即回切到主路由。 RDNSS：DNS 服务器宣告 RDNSS 是 IPv6 旁路由接管中的关键设计。 RA 报文中的 RDNSS Option （ Type 25 ）可以携带一个或多个 DNS 服务器地址。 与 IPv4 DHCP 不同，RDNSS 与地址分配解耦。旁路由无需参与地址分配，只需要宣告 DNS 即可。 RDNSS Option 格式： Type: 8 bits ，值为 25 Length: 8 bits ，单位为 8 字节，计算方式为 1 + 2 * address_count Lifetime: 32 bits ，单位为秒 Addresses: 可变长度，一个或多个 IPv6 地址 Windows 10+ 和 Android 系统会优先使用通过 RDNSS 获取的 DNS 服务器，且优先级通常高于 DHCPv4 分配的 DNS 。 因此实际效果是： IPv4 不经过旁路由，DHCP 仍由主路由负责。 IPv6 DNS 解析通过旁路由。 DNS 请求进入旁路由后，可按 Clash 规则转发或直连。 业务流量在 IPv4 下仍走主路由默认网关。 业务流量在 IPv6 下，如果旁路由 RA 优先级为 high ，则走旁路由。 实测 Android：由于大部分 App 会优先通过 IPv6 进行外呼，即使 IPv4 回退，也能正常解析和访问，用户体验基本不受影响。 内核预备条件 Linux 内核默认不会主动发送 RA ，需要启用 IPv6 转发。 代码中可以通过写入 sysctl 控制文件实现： func enableIPv6Forwarding(ifName string) { writeSysctl("/proc/sys/net/ipv6/conf/all/forwarding", "1") writeSysctl("/proc/sys/net/ipv6/conf/eth0/forwarding", "1") writeSysctl("/proc/sys/net/ipv6/conf/eth0/accept_ra", "2") } 含义如下： 配置项 作用 conf/all/forwarding = 1 启用全局 IPv6 转发，是内核允许发送 RA 的前提 conf/eth0/forwarding = 1 在目标接口上启用 IPv6 转发 conf/eth0/accept_ra = 2 即使启用了转发，仍然接受其他路由器的 RA 其中， accept_ra = 2 很关键。它可以确保旁路由本身仍然能从主路由获取 IPv6 路由。 RA 数据包构造 RA 报文可以直接在内存中构造为字节数组，无需依赖外部库。 func buildRouterAdvertisement( iface *net.Interface, preference byte, lifetime uint16, dnsServers []net.IP, dnsLifetime uint32, ) []byte { packet := make([]byte, 16, 32) packet[0] = icmpv6RouterAdvertisement // Type = 134 packet[4] = raDefaultCurrentHopLimit // Hop Limit = 64 packet[5] = preference // 路由优先级 binary.BigEndian.PutUint16(packet[6:8], lifetime) // Source Link-Layer Address Option if len(iface.HardwareAddr) == 6 { packet = append(packet, 1, 1) // Type = 1, Length = 1 packet = append(packet, iface.HardwareAddr...) } // MTU Option if iface.MTU > 0 { // Type = 5, Length = 1, MTU value } // RDNSS Option if len(dnsServers) > 0 { packet = append(packet, buildRDNSSOption(dnsServers, dnsLifetime)...) } return packet } RDNSS 的 lifetime 可以设置为 router lifetime 的 3 倍： advertisement := buildRouterAdvertisement( iface, preference, lifetime, []net.IP{src}, uint32(lifetime)*raRDNSSLifetimeMultiplier, ) // raRDNSSLifetimeMultiplier = 3 这样即使路由宣告过期，DNS 信息仍然可以维持一段时间，避免 DNS 抖动。 主动刷新与被动响应 func (r *routerAdvertiser) loop() { ticker := time.NewTicker(r.interval) // 默认 30s // 监听 RS 请求 go func() { for { n, cm, _, err := r.packetConn.ReadFrom(buf) if err != nil { return } if n > 0 && buf[0] == icmpv6RouterSolicitation { r.send(r.advertisement) } _ = cm } }() // 定期发送 RA for { select { case <-ticker.C: r.send(r.advertisement) case <-r.done: return } } } 工作机制： 定时器每 30 秒发送一次 RA 。 goroutine 监听 RS 请求。 收到 RS 后立即回复 RA 。 新设备接入网络时发送 RS ，旁路由立即响应。 因此，新设备几乎可以立即感知到旁路由的存在。 优雅退出 Clash Meta 关闭时，可以发送 3 次 lifetime = 0 的撤销 RA： func (r *routerAdvertiser) Close() error { r.closeOnce.Do(func() { close(r.done) for i := 0; i < 3; i++ { r.send(r.withdraw) time.Sleep(100 * time.Millisecond) } r.rawConn.Close() }) return nil } 这会通知所有客户端：该路由器已经不可用。 客户端随后会自动回切到主路由。 这正是“不侵入”的关键：不修改主路由配置，也不破坏现有网络拓扑。 配置方式 在 Clash Meta 的 TUN 配置段中启用： tun: enable: true stack: mixed router-advertise: enable: true interface: eth0 default-preference: high default-lifetime: 180 interval: 30 字段说明： 配置项 含义 enable 是否启用 TUN stack TUN 使用的网络栈 router-advertise.enable 是否启用 RA 宣告 router-advertise.interface 发送 RA 的物理接口 router-advertise.default-preference 默认路由优先级，可选 high 、 medium 、 low router-advertise.default-lifetime 默认路由 lifetime ，单位为秒 router-advertise.interval RA 发送间隔，单位为秒 实测验证 在同一广播域内抓包，可以看到旁路由定时发出的 RA： fe80::xxxx:xxxx:xxxx:xxxx > ff02::1: ICMPv6 Router Advertisement hop limit 64, Flags [none], pref high router lifetime 180s source link-address option: xx:xx:xx:xx:xx:xx mtu option: 1500 rdnss option, lifetime 540s, addr: fe80::xxxx:xxxx:xxxx:xxxx 也可以主动发送 RS 触发 RA 响应： python3 -c " import socket import struct sock = socket.socket(socket.AF_INET6, socket.SOCK_RAW, socket.IPPROTO_ICMPV6) sock.setsockopt(socket.IPPROTO_IPV6, socket.IPV6_MULTICAST_HOPS, 255) rs = struct.pack('!BBHI', 133, 0, 0, 0) sock.sendto(rs, ('ff02::2', 0)) " 抓包验证： tcpdump -i eth0 -vv -n 'icmp6 && ip6[40] == 134' 如果能够看到旁路由立即返回 RA ，即说明“新设备无感接入”能力生效。 总结 通过 IPv6 RA 实现旁路由接管的核心思路是： 不接管 IPv4 DHCP ，避免与主路由冲突。 通过 IPv6 RA 宣告更高优先级的默认路由。 通过 RDNSS 宣告旁路由自身作为 DNS 。 正常运行时以较短周期刷新 RA 。 退出时发送 lifetime = 0 的撤销 RA 。 主路由始终保留较长 lifetime ，确保旁路由异常时客户端可自动回切。 这种方式可以在不修改主路由配置的情况下，实现对支持 IPv6 设备的无侵入旁路由接管。 代码在这直接 patch 到 clash meta 就能运行 ra-feature.patch
Clash Meta 在普通 Linux 上通过 IPv6 RA 实现无侵入旁路由 原版 Clash Meta 运行在普通 Linux （非 OpenWrt 路由器）上时，可以开启 TUN 作为旁路由使用。 但如果想要在不侵入主路由的情况下，接管指定设备，在 IPv4 和 IPv6 下会分别遇到不同的协议问题。 IPv4 与 IPv6 的差异 IPv4：DHCP 独占问题 在 IPv4 下，地址分配通常依赖 DHCP 。 DHCP 协议在同一个子网内通常只能存在一个 DHCP Server 。如果强行设置两个 DHCP Server ，最终会变成“谁回复快谁生效”的抢答游戏，容易导致网关、DNS 、地址池混乱。 IPv6：RA 可控性更好 在 IPv6 下，地址分配、路由宣告和 DNS 宣告主要通过 ICMPv6 Router Advertisement （ RA ）完成。 RA 可以指定： 默认路由优先级 默认路由生存时间 DNS 服务器 DNS 生存时间 因此，通过控制 RA 的优先级和生存时间，可以实现不侵入主路由的旁路由接管。 IPv4 仍然存在的问题 IPv4 侧仍然存在 DHCP 无法无侵入接管的问题。 不过好消息是，现在大部分设备，例如 Windows 和 Android ，会优先使用 IPv6 DNS ，并优先解析 IPv6 地址进行外呼。 因此，在接管 IPv6 之后，实测 Android 体验几乎等同于 VPN Service 并且部分场景优于，比如不会被各类金融 APP 检测到代理强制退出。 技术实现细节 ICMPv6 Router Advertisement 协议 IPv6 使用 ICMPv6 替代了 IPv4 中的 ARP ，以及部分 DHCP 功能。 RA （ Router Advertisement ）是 ICMPv6 Type 134 报文，由路由器定期组播发送到： ff02::1 即所有节点地址。 当路由器收到主机发送的 RS （ Router Solicitation ，Type 133 ）时，也会立即响应 RA 。 RA 报文核心字段 字段 长度 含义 Router Lifetime 2 字节 宣告自身作为默认路由的有效期，单位为秒；设为 0 表示撤销 Preference 2 位 路由优先级： 01 = high ， 00 = medium ， 11 = low Current Hop Limit 1 字节 后续发往互联网的报文使用的默认 Hop Limit RA Option 字段 RA 还可以通过 Option 字段携带附加信息： Option 类型 编号 作用 Source Link-Layer Address 1 发送方 MAC 地址 MTU 5 建议链路 MTU RDNSS 25 递归 DNS 服务器地址 优先级与生存时间的协同控制 这是实现旁路由无侵入接入的关键。 假设： 设备 Preference Lifetime 旁路由 high 180 秒 主路由 medium 1800 秒 此时流程如下： 客户端收到两个路由器的 RA 。 客户端优先选择 preference = high 的旁路由作为默认网关。 即使旁路由下线，主路由的 RA 依然有效。 如果旁路由正常退出，会发送 lifetime = 0 的撤销报文。 客户端收到撤销报文后，会立即回切到主路由。 RDNSS：DNS 服务器宣告 RDNSS 是 IPv6 旁路由接管中的关键设计。 RA 报文中的 RDNSS Option （ Type 25 ）可以携带一个或多个 DNS 服务器地址。 与 IPv4 DHCP 不同，RDNSS 与地址分配解耦。旁路由无需参与地址分配，只需要宣告 DNS 即可。 RDNSS Option 格式： Type: 8 bits ，值为 25 Length: 8 bits ，单位为 8 字节，计算方式为 1 + 2 * address_count Lifetime: 32 bits ，单位为秒 Addresses: 可变长度，一个或多个 IPv6 地址 Windows 10+ 和 Android 系统会优先使用通过 RDNSS 获取的 DNS 服务器，且优先级通常高于 DHCPv4 分配的 DNS 。 因此实际效果是： IPv4 不经过旁路由，DHCP 仍由主路由负责。 IPv6 DNS 解析通过旁路由。 DNS 请求进入旁路由后，可按 Clash 规则转发或直连。 业务流量在 IPv4 下仍走主路由默认网关。 业务流量在 IPv6 下，如果旁路由 RA 优先级为 high ，则走旁路由。 实测 Android：由于大部分 App 会优先通过 IPv6 进行外呼，即使 IPv4 回退，也能正常解析和访问，用户体验基本不受影响。 内核预备条件 Linux 内核默认不会主动发送 RA ，需要启用 IPv6 转发。 代码中可以通过写入 sysctl 控制文件实现： func enableIPv6Forwarding(ifName string) { writeSysctl("/proc/sys/net/ipv6/conf/all/forwarding", "1") writeSysctl("/proc/sys/net/ipv6/conf/eth0/forwarding", "1") writeSysctl("/proc/sys/net/ipv6/conf/eth0/accept_ra", "2") } 含义如下： 配置项 作用 conf/all/forwarding = 1 启用全局 IPv6 转发，是内核允许发送 RA 的前提 conf/eth0/forwarding = 1 在目标接口上启用 IPv6 转发 conf/eth0/accept_ra = 2 即使启用了转发，仍然接受其他路由器的 RA 其中， accept_ra = 2 很关键。它可以确保旁路由本身仍然能从主路由获取 IPv6 路由。 RA 数据包构造 RA 报文可以直接在内存中构造为字节数组，无需依赖外部库。 func buildRouterAdvertisement( iface *net.Interface, preference byte, lifetime uint16, dnsServers []net.IP, dnsLifetime uint32, ) []byte { packet := make([]byte, 16, 32) packet[0] = icmpv6RouterAdvertisement // Type = 134 packet[4] = raDefaultCurrentHopLimit // Hop Limit = 64 packet[5] = preference // 路由优先级 binary.BigEndian.PutUint16(packet[6:8], lifetime) // Source Link-Layer Address Option if len(iface.HardwareAddr) == 6 { packet = append(packet, 1, 1) // Type = 1, Length = 1 packet = append(packet, iface.HardwareAddr...) } // MTU Option if iface.MTU > 0 { // Type = 5, Length = 1, MTU value } // RDNSS Option if len(dnsServers) > 0 { packet = append(packet, buildRDNSSOption(dnsServers, dnsLifetime)...) } return packet } RDNSS 的 lifetime 可以设置为 router lifetime 的 3 倍： advertisement := buildRouterAdvertisement( iface, preference, lifetime, []net.IP{src}, uint32(lifetime)*raRDNSSLifetimeMultiplier, ) // raRDNSSLifetimeMultiplier = 3 这样即使路由宣告过期，DNS 信息仍然可以维持一段时间，避免 DNS 抖动。 主动刷新与被动响应 func (r *routerAdvertiser) loop() { ticker := time.NewTicker(r.interval) // 默认 30s // 监听 RS 请求 go func() { for { n, cm, _, err := r.packetConn.ReadFrom(buf) if err != nil { return } if n > 0 && buf[0] == icmpv6RouterSolicitation { r.send(r.advertisement) } _ = cm } }() // 定期发送 RA for { select { case <-ticker.C: r.send(r.advertisement) case <-r.done: return } } } 工作机制： 定时器每 30 秒发送一次 RA 。 goroutine 监听 RS 请求。 收到 RS 后立即回复 RA 。 新设备接入网络时发送 RS ，旁路由立即响应。 因此，新设备几乎可以立即感知到旁路由的存在。 优雅退出 Clash Meta 关闭时，可以发送 3 次 lifetime = 0 的撤销 RA： func (r *routerAdvertiser) Close() error { r.closeOnce.Do(func() { close(r.done) for i := 0; i < 3; i++ { r.send(r.withdraw) time.Sleep(100 * time.Millisecond) } r.rawConn.Close() }) return nil } 这会通知所有客户端：该路由器已经不可用。 客户端随后会自动回切到主路由。 这正是“不侵入”的关键：不修改主路由配置，也不破坏现有网络拓扑。 配置方式 在 Clash Meta 的 TUN 配置段中启用： tun: enable: true stack: mixed router-advertise: enable: true interface: eth0 default-preference: high default-lifetime: 180 interval: 30 字段说明： 配置项 含义 enable 是否启用 TUN stack TUN 使用的网络栈 router-advertise.enable 是否启用 RA 宣告 router-advertise.interface 发送 RA 的物理接口 router-advertise.default-preference 默认路由优先级，可选 high 、 medium 、 low router-advertise.default-lifetime 默认路由 lifetime ，单位为秒 router-advertise.interval RA 发送间隔，单位为秒 实测验证 在同一广播域内抓包，可以看到旁路由定时发出的 RA： fe80::xxxx:xxxx:xxxx:xxxx > ff02::1: ICMPv6 Router Advertisement hop limit 64, Flags [none], pref high router lifetime 180s source link-address option: xx:xx:xx:xx:xx:xx mtu option: 1500 rdnss option, lifetime 540s, addr: fe80::xxxx:xxxx:xxxx:xxxx 也可以主动发送 RS 触发 RA 响应： python3 -c " import socket import struct sock = socket.socket(socket.AF_INET6, socket.SOCK_RAW, socket.IPPROTO_ICMPV6) sock.setsockopt(socket.IPPROTO_IPV6, socket.IPV6_MULTICAST_HOPS, 255) rs = struct.pack('!BBHI', 133, 0, 0, 0) sock.sendto(rs, ('ff02::2', 0)) " 抓包验证： tcpdump -i eth0 -vv -n 'icmp6 && ip6[40] == 134' 如果能够看到旁路由立即返回 RA ，即说明“新设备无感接入”能力生效。 总结 通过 IPv6 RA 实现旁路由接管的核心思路是： 不接管 IPv4 DHCP ，避免与主路由冲突。 通过 IPv6 RA 宣告更高优先级的默认路由。 通过 RDNSS 宣告旁路由自身作为 DNS 。 正常运行时以较短周期刷新 RA 。 退出时发送 lifetime = 0 的撤销 RA 。 主路由始终保留较长 lifetime ，确保旁路由异常时客户端可自动回切。 这种方式可以在不修改主路由配置的情况下，实现对支持 IPv6 设备的无侵入旁路由接管。 代码在这直接 patch 到 clash meta 就能运行 ra-feature.patch
家庭网络分享：R1 NAS 跑飞牛 + OpenWrt 虚拟机拨号，锐捷 AC + 7 AP 全屋覆盖，想听听大家怎么优化 最近把家里的网络折腾到一个自己比较满意的状态，发出来和大家交流一下，也想顺便听听有没有更合理的优化思路。 这套方案的核心是： 海康威视 R1 NAS 做核心承载 飞牛 OS 做底层 OpenWrt 以虚拟机方式运行，负责 PPPoE 拨号和网络功能 无线部分用 锐捷 AC + 7 个 AP 做全屋覆盖 NAS 同时跑下载、影视、Home Assistant 等家庭服务 这篇一半是分享现状，一半是想听建议。 目前能用、也比较顺手，但我还是有几个点没想透，尤其是： NAS 跑 OpenWrt 虚拟机拨号 这个拓扑是否合理 四室两卫两厅上 7 个 AP 会不会太密 开了 802.11k/v/r 之后，快速移动时偶尔断开重连，算不算正常 先放拓扑图 这张图是我整理出来的当前结构，基本就是家里现在的实际情况： 入户宽带桥接到光猫，光猫接 NAS，NAS 里跑飞牛 OS 和 OpenWrt 虚拟机；OpenWrt 负责拨号和网络服务，再把局域网出口交给锐捷 AC，由 AC 统一管理 7 个 AP，最后覆盖全屋终端。 基本环境 房屋情况 四室两卫两厅 宽带情况 运营商： 电信 带宽： 千兆 IPv4： 大内网，无公网ip IPv6： 可获取 光猫： 桥接模式 弱电箱里现在放的设备 光猫 NAS AC 核心设备 NAS 型号： 海康威视 R1 NAS CPU： N100 内存： 8G 网口： 2 x 2.5G 底层系统： 飞牛 OS 网口分工 一个 2.5G 网口接 光猫 一个 2.5G 网口接 锐捷 AC OpenWrt 运行方式： 飞牛 OS 内的虚拟机 用途： PPPoE 拨号 + 家庭网络核心功能 我的思路是尽量少堆设备，所以没有单独再上一台实体软路由，而是把 OpenWrt 放进 NAS 里面跑。 无线部分 设备 AC： 锐捷 EG210G-P-E-ECE940 AP： 锐捷 EAP162G-B17584 x 7 AP 分布 主卧 主卧卫生间 书房 次卧 客卧 客厅 客厅卫生间 漫游功能 已开启： 802.11k 802.11v 802.11r 实际体验 目前整体体验其实不差： 覆盖基本没有明显死角 日常上网、刷视频、普通移动都没问题 相邻房间切换时，Wi-Fi 漫游速度还可以 但如果移动得比较快，偶尔会出现 断一下再重连 这一点我不确定是正常现象，还是说明 AP 部署密度、信道、功率、或者漫游参数还有优化空间。 现在跑的服务 OpenWrt 这边 OpenClash ：全屋代理 AdBlock ：广告拦截 ddns-go ：解析 IPv6 地址 WireGuard ：外出时手机访问内网，也能顺便走家里代理 NAS 这边 mp ：下载影视资源 飞牛影视 ：家庭观影 Home Assistant ：主要用于把米家设备接进 HomeKit Hermes ：刚接触，还在学习阶段 我现在的分工思路大概是： OpenWrt 负责网络能力 NAS 负责存储、影音、下载、智能家居 虽然物理上都集中在同一台机器上。 当前运行情况 目前这套设备已经连续运行了大概 7 天+ ，暂时没有遇到明显问题。 我自己的感受是： N100 + 8G 目前还能扛住 家用场景下，这种“NAS 兼顾网络核心”的方案挺省设备 整体管理也比较统一 但也会担心职责过于集中，后面会不会埋坑 如果有需要，后面我也可以补监控截图和资源占用情况。 我觉得这套方案的优点 先说满意的地方： 设备数量控制得还可以，没有再单独多放一台软路由 OpenWrt 的功能比较完整，网络控制很顺手 IPv6 + DDNS + WireGuard 这一套用下来，外网访问内网比较方便 无线覆盖确实够强，家里基本没弱覆盖点 下载、影视、HA、代理这些都在一个体系里，管理成本比较低 我现在最纠结的几个点 1. NAS + OpenWrt 虚拟机拨号 这个拓扑，长期看合理吗？ 现在的实际情况是： NAS 既是家庭服务平台 又承载了 OpenWrt 虚拟机 网络核心和家庭服务都压在同一台机器上 这种方案我自己觉得很省事，但也担心几个问题： NAS 一重启，全家网络一起掉 虚拟化跑主路由，长期稳定性会不会不如独立设备 后续服务越来越多以后，网络和 NAS 业务会不会互相影响 如果有长期这么跑的朋友，很想听听你们的经验。 2. 四室两卫两厅放 7 个 AP ，是不是已经偏多了？ 我现在是“宁可覆盖过剩，也不想有死角”的思路，所以 AP 布得比较密。 但我也在想： 这个数量是不是已经明显超出普通家用需求 AP 太密会不会反而让漫游更复杂 是不是应该适当减少几个 AP，或者降低发射功率，让终端更容易做出稳定切换 如果大家觉得这套分布明显偏密，也欢迎直接说说你们会怎么裁。 3. 开了 802.11k/v/r 之后，快速移动时偶尔断开重连，正常吗？ 目前的体验是： 正常走动问题不大 快速变换位置时，偶尔会断一下再连 所以想请教下大家： 这在多 AP 家庭环境里算常见现象吗 更像是终端侧问题，还是网络侧还有优化空间 如果要优化，应该优先看： AP 数量 发射功率 信道规划 漫游参数 11r 兼容性 想听大家重点聊聊这些 如果大家愿意给建议，我最想听的是： 这套 NAS + OpenWrt VM + AC/AP 的整体思路是否靠谱 7 个 AP 对我这个户型来说是不是太多 漫游时偶发断开重连是否正常 如果是你们来做，会不会把 OpenWrt 从 NAS 里拆出来单独跑 如果保持现有结构，最优先值得调整的地方是什么 最后 这篇主要是分享一下自己现在的家庭网络思路，也想听听大家怎么看这种“NAS 既跑家庭服务，又顺便承载网络核心”的玩法。 我不是专业搞网络的，很多东西也是边用边学。 如果大家觉得哪里明显不合理，欢迎直接指出来。 如果有人感兴趣，后面我也可以继续补： OpenWrt 的接口和拨号配置 AC / AP 的配置细节 IPv6 / WireGuard / DDNS 的具体用法 飞牛 OS 里虚拟机和服务的资源分配情况 1 个帖子 - 1 位参与者 阅读完整话题
家庭网络拓扑图大致如下: openwrt WAN口测速是千兆，局域网使用iperf3测速只能跑到百兆，重新插拔所有线路，重启所有设备都尝试过 ，并没有解决问题。 昨天使用排除法得出结论是AX3000路由器接入网络并且与AX6000形成有线mesh组网时 右下角这小部分会被限制百兆速率， 此时ubuntu和openwrt开启了iperf3服务，openwrt → ubuntu 千兆，手机连接AX6000测速 千兆，PC → ubuntu 百兆，PC → openwrt 百兆，手机连接AX3000测速 百兆。 最终将AX3000排除在线路之外，PC跑了半个小时iperf3测速，然后接入AX3000，PC的速率才达到千兆。 想问下有佬友遇到过类似的问题吗？最终是如何解决的？ 9 个帖子 - 5 位参与者 阅读完整话题
家里新装的联通宽带，让师傅改了桥接。改桥接前测速能达标，改桥接后光猫网线直连电脑做 PPPoE 拨号，也能达到千兆极限，但接到 OpenWRT 软路由上，只能跑到 700M 。 测速时，软路由 CPU 占用最多的单核最高只到 50%左右，说明不是性能到极限了。 这样看起来，应该不是光猫的问题，或者局端做了限制，而是 OpenWRT 配置的问题。 按照 AI 的提示，在 OpenWRT 中改了若干设置，包括 WAN 的 MTU 设置为 1492 ，打开/关闭了硬件/软件流分载，还有 MSS 钳制什么也一直是打开的，但都没有解决问题。 不知道还有什么可能会管用的配置项？
家里新装的联通宽带，让师傅改了桥接。改桥接前测速能达标，改桥接后光猫网线直连电脑做 PPPoE 拨号，也能达到千兆极限，但接到 OpenWRT 软路由上，只能跑到 700M 。 测速时，软路由 CPU 占用最多的单核最高只到 50%左右，说明不是性能到极限了。 这样看起来，应该不是光猫的问题，或者局端做了限制，而是 OpenWRT 配置的问题。 按照 AI 的提示，在 OpenWRT 中改了若干设置，包括 WAN 的 MTU 设置为 1492 ，打开/关闭了硬件/软件流分载，还有 MSS 钳制什么也一直是打开的，但都没有解决问题。 不知道还有什么可能会管用的配置项？
家里新装的联通宽带，让师傅改了桥接。改桥接前测速能达标，改桥接后光猫网线直连电脑做 PPPoE 拨号，也能达到千兆极限，但接到 OpenWRT 软路由上，只能跑到 700M 。 测速时，软路由 CPU 占用最多的单核最高只到 50%左右，说明不是性能到极限了。 这样看起来，应该不是光猫的问题，或者局端做了限制，而是 OpenWRT 配置的问题。 按照 AI 的提示，在 OpenWRT 中改了若干设置，包括 WAN 的 MTU 设置为 1492 ，打开/关闭了硬件/软件流分载，还有 MSS 钳制什么也一直是打开的，但都没有解决问题。 不知道还有什么可能会管用的配置项？
家里新装的联通宽带，让师傅改了桥接。改桥接前测速能达标，改桥接后光猫网线直连电脑做 PPPoE 拨号，也能达到千兆极限，但接到 OpenWRT 软路由上，只能跑到 700M 。 测速时，软路由 CPU 占用最多的单核最高只到 50%左右，说明不是性能到极限了。 这样看起来，应该不是光猫的问题，或者局端做了限制，而是 OpenWRT 配置的问题。 按照 AI 的提示，在 OpenWRT 中改了若干设置，包括 WAN 的 MTU 设置为 1492 ，打开/关闭了硬件/软件流分载，还有 MSS 钳制什么也一直是打开的，但都没有解决问题。 不知道还有什么可能会管用的配置项？
家里新装的联通宽带，让师傅改了桥接。改桥接前测速能达标，改桥接后光猫网线直连电脑做 PPPoE 拨号，也能达到千兆极限，但接到 OpenWRT 软路由上，只能跑到 700M 。 测速时，软路由 CPU 占用最多的单核最高只到 50%左右，说明不是性能到极限了。 这样看起来，应该不是光猫的问题，或者局端做了限制，而是 OpenWRT 配置的问题。 按照 AI 的提示，在 OpenWRT 中改了若干设置，包括 WAN 的 MTU 设置为 1492 ，打开/关闭了硬件/软件流分载，还有 MSS 钳制什么也一直是打开的，但都没有解决问题。 不知道还有什么可能会管用的配置项？
家里新装的联通宽带，让师傅改了桥接。改桥接前测速能达标，改桥接后光猫网线直连电脑做 PPPoE 拨号，也能达到千兆极限，但接到 OpenWRT 软路由上，只能跑到 700M 。 测速时，软路由 CPU 占用最多的单核最高只到 50%左右，说明不是性能到极限了。 这样看起来，应该不是光猫的问题，或者局端做了限制，而是 OpenWRT 配置的问题。 按照 AI 的提示，在 OpenWRT 中改了若干设置，包括 WAN 的 MTU 设置为 1492 ，打开/关闭了硬件/软件流分载，还有 MSS 钳制什么也一直是打开的，但都没有解决问题。 不知道还有什么可能会管用的配置项？
家里新装的联通宽带，让师傅改了桥接。改桥接前测速能达标，改桥接后光猫网线直连电脑做 PPPoE 拨号，也能达到千兆极限，但接到 OpenWRT 软路由上，只能跑到 700M 。 测速时，软路由 CPU 占用最多的单核最高只到 50%左右，说明不是性能到极限了。 这样看起来，应该不是光猫的问题，或者局端做了限制，而是 OpenWRT 配置的问题。 按照 AI 的提示，在 OpenWRT 中改了若干设置，包括 WAN 的 MTU 设置为 1492 ，打开/关闭了硬件/软件流分载，还有 MSS 钳制什么也一直是打开的，但都没有解决问题。 不知道还有什么可能会管用的配置项？