聊聊我家的网络环境搭建
前言
众所周知,国内上网的时候会遇到一些DNS劫持,SNI阻断等问题。作为一个程序员,每天上一上Github,上一上V2EX也是家常便饭,所以这时候就非常需要一套可以直接出国的网络部署。基于这种需求,我便开始了对家中网络的折腾。
1.0版本
刚刚接触搭建网络的时候,由于没有什么经验,也没什么现成的方案,所以我选择了最简单粗暴的All in one部署策略。
硬件设施
- 软路由一台(OpenWRT)
部署方式
- 使用OpenWRT当做拨号主路由
- 直接在OpenWRT上使用出国插件,结合pdnsd等DNS解析工具来做国内外分流
优点
- 配置简单,对设备的要求很低,随便一台两网口的j1900小主机就能做到
缺点
- 对DNS的分流不准确,又是会无法获取到国外的IP
- 所有流量都会走出国程序,如果出国挂掉会导致网络不可用
- 对网络带宽有劣化,会降低最大可用带宽
- DNS和其他相关软件,例如AdguradHome不能很好的结合
- OpenWRT的插件依赖于一些第三方开发者的集成,稳定性不能得到保证
- 对不同设备是否出国的管理做的不好
这种方式我使用了大概3年,由于出国程序基本是一套混沌系统,各种原因都有可能导致他挂掉,所以当初老婆经常要让我帮她修网。
2.0版本
这次有了经验之后,添加了新的设备,设置起来更复杂了,但是解决了好几个之前的痛点。
硬件设施
- 软路由一台(爱快)
- 软路由一台(OpenWRT)
部署方式
- 使用爱快作为拨号主路由
- 将需要出国的设备IP添加到分流列表,将列表内的IP添加下一跳网关到OpenWRT
- OpenWRT使用旁路模式作为旁路网关
- 在OpenWRT上运行ShellClash
优点
- 非列表内的设备不会走出国,可以保持网络稳定
- 出国挂掉后,下一跳网关会失效,列表内的设备可以正常上网
- 可以使用AdguradHome作为ShellClash的DNS上游,用来处理去广告
缺点
- 带宽劣化,因为添加到下一跳网关的设备会多一层NAT
- 由于多了一层NAT所以导致NAT等级也会下降,影响一些P2P的应用
这种模式几乎可以解决所有的问题了,所以我也稳定的用了2年多,可以精细的控制哪些设备可以出国,哪些设备不能出国,而且出国挂掉也不会导致网络不可用。
但是随着家里的网络带宽来到了千兆,以及开始有了BT下载和异地组网等需求后,NAT降级和带宽劣化也成为了促使我寻找更加优秀的方案的理由。
3.0版本(当前使用)
这次需要的设备更多了……但是这次也许会是最佳的方案了!
硬件设施
- 软路由一台(爱快)
- 虚拟机/物理机设备一台
- 稳定运行的Docker容器
部署方式
- 使用爱快作为拨号主路由
- 在Docker容器内部署PaoPaoDNS
- 在虚拟机/物理机内部署PaoPaoGateWay
- 在爱快中将内网DNS设置为PaoPaoDNS,添加一条静态路由到PaoPaoGateWay
优点
- 国内网络不会进入旁路网关,所以带宽不会劣化,NAT不会降级
- 由于国内网路完全不进入旁路网关,所以出国挂掉后对国内网络没有任何影响
- PaoPaoDNS本身具有防劫持的能力,同时也能更好的兼容一些DNS相关软件
缺点
- 需要的设备太多了
首先我先来介绍一下PaoPaoDNS和PaoPaoGateWay。
PaoPaoDNS是一款在本地搭建的递归查询服务器。
我们平时用的本地DNS服务,例如dnsmasq,或者分流常用的smartdns、mosdns等,都是本地缓存服务器,他们依赖于上游的公共DNS的准确性,例如如果使用阿里DNS: 223.5.5.5,那他们对国内地址的解析则会和223.5.5.5是相同的,如果223.5.5.5因为种种原因返回了错误的地址,那smartdns、mosdns也会返回错误的地址。
而递归查询服务,会递归查询到权威DNS服务器,这样就可以保证查询的结果是百分百准确的。你也可以理解为你是在本地搭建了一个和223.5.5.5相同类型的服务器,而你的上游就是DNS的根服务器,这样自然准确性可以得到保证了。
PaoPaoGateWay是一款本地搭建的旁路网关。
这个旁路网关做的事情,就是相当于我在2.0版本中的OpenWRT旁路网关。他主要负责对分流到出国线路的域名做DNS(FakeIP)解析,以及转发到出国线路。
PaoPaoGateWay和PaoPaoDNS结合到一起,就可以成为一套配置简单效果理想的抗劫持,支持国内外分流的DNS+网关系统。
具体的配置方式可以去看他们的仓库。
PaoPaoDNS: https://github.com/kkkgo/PaoPaoDNS
PaoPaoGateWay: https://github.com/kkkgo/PaoPaoGateWay