Linux 透明代理

什么是正向代理？

科学上网套件通常分为客户端（client）和服务端（server），server 运行在境外服务器（通常为 Linux 服务器），client 运行在本地主机（如 Windows、Linux、Android、iOS）。本文只关心 client。大多数 client 被实现为一个本地的 http、socks5 代理服务器（如 ss-local），一个程序如果想通过 client 科学上网，必须对它进行特定的设置，使其通过 http、socks5 协议与 client 进行通信，这是大多数人的使用方式。这种代理方式，我们称之为 正向代理。

什么是透明代理？

在正向代理中，一个程序要想走代理，必须显式的对其进行一些设置，对该程序来说，有没有走代理是很明确的，大家都“心知肚明”。而透明代理则与之相反，以 Linux 为例，当我们设置好适当的 iptables 规则后，我们将不再需要显式的配置这些程序来让其经过代理或者不经过代理（直连），因为这些程序传出的流量会自动被 iptables 规则处理，那些我们认为需要走代理的流量，会通过合适的方法送往 client，不需要走代理的流量则直接放行（直连）。这个过程对于我们使用的程序来说是完全透明的，程序自身对其一无所知。这就叫做 透明代理。注意，所谓透明是对我们使用的程序（如浏览器）透明，而非对 client、server 或目标网站透明，理解这一点非常重要。

透明代理如何工作？

在透明代理中，那些需要走代理的流量，会通过“合适的方法”送往 client。具体到 iptables，有两种方式：

• REDIRECT：支持 TCP 协议的透明代理。
• TPROXY：支持 TCP 和 UDP 协议的透明代理。

为方便叙述，本文以 纯 TPROXY 模式 指代 TCP 和 UDP 都使用 TPROXY 来实现，以 REDIRECT + TPROXY 模式 指代 TCP 使用 REDIRECT 实现，而 UDP 使用 TPROXY 来实现，有时候简称 REDIRECT 模式，它们都是一个意思。

除了 iptables 这边的支持，client 这边当然也需要实现相应的“传入协议”：

• 普通代理：client 实现的是 http、socks5 传入协议。
• 透明代理：client 实现的是 透明代理 传入协议。

以常见的科学上网套件为例：

• ss：ss-libev 的 ss-redir 支持透明代理传入，ss-rust 支持透明代理传入。
• ssr：ssr-libev 的 ssr-redir 支持透明代理传入。
• v2ray：通过 dokodemo-door 入站协议来支持透明代理传入。
• trojan：通过 "run_type": "nat" 来支持透明代理传入。

不同科学上网套件，对透明代理传入的支持度并不相同：

• ss-libev 支持 TCP 和 UDP 透明代理，3.3.5 版本开始，TCP 支持 TPROXY 传入。
• ssr-libev 支持 TCP 和 UDP 透明代理，TCP 只支持 REDIRECT 传入。
• v2ray 支持 TCP 和 UDP 透明代理，TCP 根据配置可选择 REDIRECT 或 TPROXY 传入。
• trojan 支持 TCP 透明代理，TCP 只支持 REDIRECT 传入。
• trojan-go 支持 TCP 和 UDP 透明代理，TCP 使用 TPROXY 传入。

另外，是否支持 UDP 还取决于 server 端的配置，某些机场可能未开启 UDP。

如果 client 端只支持 socks5 传入（绝大部分代理套件都支持此协议），不支持透明代理传入，还能实现透明代理吗？当然可以，我们可以运行这样一个程序，该程序支持透明代理传入，socks5 传出（与 client 通信）：

• redsocks：TCP 支持 REDIRECT 传入。
• redsocks2：TCP 支持 TPROXY/REDIRECT 传入，UDP 支持 TPROXY 传入。
• ipt2socks：TCP 支持 TPROXY/REDIRECT 传入，UDP 支持 TPROXY 传入。

ipt2socks 是我编写的一个简单 C 程序，只专注于给科学上网套件添加“透明代理”传入支持，编译和使用方法都非常简单，没有配置文件，指定几个命令行参数即可运行。为了方便，ipt2socks 的 releases 页面提供了预编译好的二进制。

借助 ipt2socks，你可以将 client 程序运行在其他性能更强的内网机器上（因为代理的加解密比较费性能，尤其是你在低端设备上跑 ss-tproxy，体验会比较明显），ipt2socks 专门做了一些优化，尽可能实现零拷贝，降低性能开销。

此脚本的作用及由来

通过上面的介绍，可以知道，在构建透明代理的过程中，需要的仅仅是 iptables、支持透明代理传入的程序，那 ss-tproxy 脚本的作用是什么？如果你尝试搭建过透明代理，那么你就会体会到，这一过程并不容易，你需要设置许多繁琐的 iptables 规则，还要应对国内复杂的 DNS 环境，还要考虑 UDP 透明代理，并且希望实现常见的分流模式，而不是全都走代理。

于是有了 ss-tproxy 脚本，该脚本的目的就是辅助大家快速搭建一个透明代理环境，ss-tproxy 支持 global、gfwlist、chnroute、回国模式 等常见分流模式，以及配套的无污染 DNS 解析/分流服务。你可以在常见 Linux 环境中运行 ss-tproxy，比如路由器、旁路由网关、普通局域网机器、甚至虚拟机（桥接）。可以透明代理 ss-tproxy 本机的 TCP/UDP 流量；同一局域网下的其他机器，也可以随时将 网关和DNS 指向 ss-tproxy 主机，接入 ss-tproxy 的透明代理服务。

为什么叫做 ss-tproxy？因为该脚本最初只支持 ss 透明代理，当然现在并不局限于特定的代理套件。

脚本简介

• 支持 global、gfwlist、chnroute 分流，支持回国代理模式。
• 支持 IPv4、IPv6 双栈透明代理，支持 TCP、UDP 透明代理。
• TCP 支持 REDIRECT 和 TPROXY 方式，支持纯 TPROXY 模式。
• 只代理"主动出站"的流量，不影响 DMZ 主机、端口映射等应用。
• 使用 chinadns-ng 替代原版 chinadns，支持黑白名单、ipset 操作。
• 自带一套开箱即用的 DNS 解析方案，也允许用户自定义 DNS 方案。

脚本自带的分流模式，从本质上说，就是 白名单、黑名单 的各种组合：

• global：白名单模式，白名单走直连（保留地址），其余走代理。
• gfwlist：黑名单模式，黑名单走代理（gfwlist域名），其余走直连。
• chnroute：黑名单+白名单，黑名单走代理（gfwlist域名），白名单走直连（保留地址，大陆域名/地址），其余走代理（国外域名/地址），黑名单优先级高于白名单（对于ipset）。
• 回国模式：本质还是 gfwlist 模式，具体使用说明见 ss-tproxy.conf。

有人可能会疑问，为什么使用 ss-tproxy 后，可以访问谷歌，但无法 ping 谷歌？
因为 ping 走的是 ICMP 协议，几乎没有哪个代理会处理 ICMP，所以 ICMP 走直连。

相关依赖

依赖安装参考：https://github.com/zfl9/ss-tproxy/wiki/安装依赖

基础依赖：

• bash：脚本必须用 bash 执行，主要是因为用了 shell 数组等语法特性。
• iptables：用于配置 IPv4 透明代理规则，仅在启用 IPv4 透明代理时需要。
• ip6tables：用于配置 IPv6 透明代理规则，仅在启用 IPv6 透明代理时需要。
• ipset：用于存储黑名单/白名单的 IP，使 iptables 规则与 dns 组件实现联动。

TPROXY 相关：

• xt_TPROXY：TPROXY 内核模块，涉及到 TPROXY 规则时需要此依赖（如 UDP）。
• iproute2：用于配置策略路由，完成 TPROXY 操作，与 xt_TPROXY 是互相配套的。

默认 DNS 方案：

• dnsmasq：基础 DNS 服务，对于 global/gfwlist 模式，需要支持 --ipset 选项。
• chinadns-ng：用于 chnroute 模式，v4.7 开始，也可用于 gfwlist 模式，提升性能。
• dns2tcp：用于 tcponly 模式，将 DNS 查询从 UDP 转为 TCP，注意是 zfl9/dns2tcp。

使用自定义 DNS 方案时，不需要上述 DNS 依赖。

其他依赖：

• curl：用于更新 gfwlist.txt、chnlist.txt、chnroute.txt，需要支持 https。

如果某些模式基本不用，那对应的依赖也不用管。比如，不打算使用 IPv6 透明代理，则无需关心 ip6tables；不打算使用 chnroute 模式，则无需关心 chinadns-ng。脚本会检查当前配置所需的依赖，根据提示安装缺少的依赖即可。

获取脚本

git clone https://github.com/zfl9/ss-tproxy
cd ss-tproxy
chmod +x ss-tproxy

安装脚本

请确保当前用户有权限读写以下目录，如没有，请先运行sudo su进入超级用户(root)。

• install 命令可用

install ss-tproxy /usr/local/bin
install -d /etc/ss-tproxy
install -m 644 *.conf *.txt *.ext /etc/ss-tproxy
install -m 644 ss-tproxy.service /etc/systemd/system # 可选，安装 service 文件

• install 命令不可用

cp -af ss-tproxy /usr/local/bin
mkdir -p /etc/ss-tproxy
cp -af *.conf *.txt *.ext /etc/ss-tproxy
cp -af ss-tproxy.service /etc/systemd/system # 可选，安装 service 文件

卸载脚本

# 停止脚本 (v4.7版本之前)
ss-tproxy stop
ss-tproxy flush-postrule
ss-tproxy delete-gfwlist

# 停止脚本 (v4.7版本开始)
ss-tproxy stop
ss-tproxy flush-stoprule

# 删除文件
rm -fr /usr/local/bin/ss-tproxy # 删除脚本
rm -fr /etc/ss-tproxy # 删除配置(做好备份)
rm -fr /etc/systemd/system/ss-tproxy.service # service文件

升级脚本

脚本目前没有自我更新能力，只能卸载后重新安装，也许后续会支持。

不同版本的配置文件、数据文件，不保证兼容，避免背上不必要的历史包袱。

文件列表

• ss-tproxy：shell 脚本，欢迎各位大佬一起来改进这个脚本。
• ss-tproxy.conf：配置文件，本质是 shell 脚本，修改需重启生效。
• ss-tproxy.service：systemd 服务文件，用于 ss-tproxy 开机自启。
• chnlist.txt：用于 chnroute 模式，大陆域名列表，别去手动修改。
• chnroute.txt：用于 chnroute 模式，大陆v4地址段，别去手动修改。
• chnroute6.txt：用于 chnroute 模式，大陆v6地址段，别去手动修改。
• gfwlist.txt：用于 gfwlist/chnroute 模式，gfw域名列表，别去手动修改。
• gfwlist.ext：用于 gfwlist/chnroute 模式，扩展黑名单，可配置，重启生效。
• ignlist.ext：用于 global/chnroute 模式，扩展白名单，可配置，重启生效。

ss-tproxy 只是一个 shell 脚本，并不是常驻后台的服务，因此所有的修改都需要 restart 来生效。

配置说明

注意，配置文件在 /etc/ss-tproxy/ 目录，不是 git clone 下来的目录！

配置项有点多，但通常只需修改 ss-tproxy.conf 前面的少数配置项（开头至proxy配置段）

代理软件配置

{
    "server": "服务器地址",
    "server_port": 服务器端口,
    "local_address": "127.0.0.1",
    "local_port": 60080,
    "method": "加密方式",
    "password": "用户密码",
    "no_delay": true,
    "fast_open": true,
    "reuse_port": true
}

# 这里只介绍 v4.7+ 版本的配置

proxy_startcmd='start_ss'
proxy_stopcmd='stop_ss'

start_ss() {
    # 设置 setgid 权限位 (只需执行一次)
    set_proxy_group ss-redir

    (ss-redir -c /etc/ss.json -u </dev/null &>>/var/log/ss-redir.log &)

    # -v 表示记录详细日志
    # (ss-redir -c /etc/ss.json -u -v </dev/null &>>/var/log/ss-redir.log &)
}

stop_ss() {
    kill -9 $(pidof ss-redir) &>/dev/null
}

{
    "server": "服务器地址",
    "server_port": 服务器端口,
    "local_address": "127.0.0.1",
    "local_port": 60080,
    "method": "加密方式",
    "password": "用户密码",
    "protocol": "origin",
    "protocol_param": "",
    "obfs": "plain",
    "obfs_param": ""
}

# 这里只介绍 v4.7+ 版本的配置

proxy_startcmd='start_ssr'
proxy_stopcmd='stop_ssr'

start_ssr() {
    # 设置 setgid 权限位 (只需执行一次)
    set_proxy_group ssr-redir

    (ssr-redir -c /etc/ssr.json -u </dev/null &>>/var/log/ssr-redir.log &)

    # -v 表示记录详细日志
    # (ssr-redir -c /etc/ssr.json -u -v </dev/null &>>/var/log/ssr-redir.log &)
}

stop_ssr() {
    kill -9 $(pidof ssr-redir) &>/dev/null
}

{
  "log": {
    "loglevel": "info" // 调试时请改为 debug
  },

  "inbounds": [
    {
      "protocol": "dokodemo-door",
      "listen": "127.0.0.1",
      "port": 60080, // 必须与proxy_tcpport/proxy_udpport保持一致
      "settings": {
        "network": "tcp,udp",
        "followRedirect": true
      },
      "streamSettings": {
        "sockopt": {
          // 若有改动，请同步修改 ss-tproxy.conf 的 tproxy 配置
          // "tproxy": "tproxy" // tproxy + tproxy 模式 (纯tproxy)
          "tproxy": "redirect" // redirect + tproxy 模式 (redirect)
        }
      }
    }
  ],

  "outbounds": [
    {
      "protocol": "shadowsocks",
      "settings": {
        "servers": [
          {
            "address": "服务器地址",
            "port": 服务器端口,
            "method": "加密方式",
            "password": "用户密码"
          }
        ]
      }
    }
  ]
}

# 这里只介绍 v4.7+ 版本的配置

proxy_startcmd='start_v2ray'
proxy_stopcmd='stop_v2ray'

start_v2ray() {
    # 设置 setgid 权限位 (只需执行一次)
    set_proxy_group v2ray

    (v2ray run -c /etc/v2ray.json </dev/null &>>/var/log/v2ray.log &)
}

stop_v2ray() {
    kill -9 $(pidof v2ray) &>/dev/null
}

{
    "run_type": "client",
    "local_addr": "127.0.0.1",
    "local_port": 1080,
    "remote_addr": "服务器地址",
    "remote_port": 服务器端口,
    "password": [
        "用户密码"
    ],
    "log_level": 1,
    "ssl": {
        "verify": true,
        "verify_hostname": true,
        "cert": "",
        "cipher": "ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA:AES128-SHA:AES256-SHA:DES-CBC3-SHA",
        "cipher_tls13": "TLS_AES_128_GCM_SHA256:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384",
        "sni": "",
        "alpn": [
            "h2",
            "http/1.1"
        ],
        "reuse_session": true,
        "session_ticket": false,
        "curves": ""
    },
    "tcp": {
        "no_delay": true,
        "keep_alive": true,
        "reuse_port": false,
        "fast_open": false,
        "fast_open_qlen": 20
    }
}

# 这里只介绍 v4.7+ 版本的配置

tproxy='true' # ipt2socks默认为tproxy模式

proxy_startcmd='start_trojan'
proxy_stopcmd='stop_trojan'

start_trojan() {
    # 设置 setgid 权限位 (只需执行一次)
    set_proxy_group trojan
    set_proxy_group ipt2socks

    (trojan -c /etc/trojan.json </dev/null &>>/var/log/trojan.log &)
    (ipt2socks </dev/null &>>/var/log/ipt2socks.log &)
}

stop_trojan() {
    kill -9 $(pidof trojan) $(pidof ipt2socks) &>/dev/null
}

{
  "server": "example.com:36712",
  "obfs": "8ZuA2Zpqhuk8yakXvMjDqEXBwY",
  "up_mbps": 10,
  "down_mbps": 50,
  "retry": -1,
  "retry_interval": 1,
  "tproxy_tcp": {
    "listen": "127.0.0.1:60080",
    "timeout": 300
  },
  "tproxy_udp": {
    "listen": "127.0.0.1:60080",
    "timeout": 300
  }
}

# 这里只介绍 v4.7+ 版本的配置

tproxy='true' # 纯tproxy模式

proxy_startcmd='start_hy'
proxy_stopcmd='stop_hy'

start_hy() {
    # 设置 setgid 权限位 (只需执行一次)
    set_proxy_group hysteria

    (hysteria -c /etc/hysteria.json </dev/null &>>/var/log/hysteria.log &)
}

stop_hy() {
    kill -9 $(pidof hysteria) &>/dev/null
}

{
  "listen": "socks://127.0.0.1:1080",
  "proxy": "https://用户:密码@naive服务器域名"
}

# 这里只介绍 v4.7+ 版本的配置

tproxy='true' # ipt2socks默认为tproxy模式
tcponly='true' # naive不支持udp代理

proxy_startcmd='start_naive'
proxy_stopcmd='stop_naive'

start_naive() {
    # 设置 setgid 权限位 (只需执行一次)
    set_proxy_group naive
    set_proxy_group ipt2socks

    (naive /etc/naive.json </dev/null &>>/var/log/naive.log &)
    (ipt2socks </dev/null &>>/var/log/ipt2socks.log &)
}

stop_naive() {
    kill -9 $(pidof naive) $(pidof ipt2socks) &>/dev/null
}

mode: rule

# 日志级别
# log-level: info
log-level: warning

# redir-port: 60080 # REDIRECT 模式
tproxy-port: 60080 # 纯 TPROXY 模式

# RESTful API 相关
external-controller: 0.0.0.0:9090 # 监听 0.0.0.0 是为了能在其他设备访问
secret: a934ecd1-9729-4925-bcb3-15a3d7d85e77 # RESTful API 的认证密码

# 节点列表，节点名可被 proxy-groups 引用
proxies:
  - name: socks5_server # 节点名
    type: socks5 # 以 socks5 节点为例，其他协议请看 clash 文档
    udp: true # 启用 UDP，默认不启用 (请尽量启用，除非节点不支持)
    server: 192.168.1.100 # 填写 socks5 服务器地址
    port: 1080 # 填写 socks5 服务器端口

# 节点分组，分组名可被 rules 引用
proxy-groups:
  - name: PROXY # 分组名
    type: select # 如果想自动选择节点，可使用 url-test
    proxies:
      - socks5_server # 引用的节点名

# 如果是机场，也可以使用订阅，具体请看 clash 文档
# proxy-providers:

# 分流由 ss-tproxy 负责，clash 这边只需全部走代理
rules:
  - MATCH,PROXY # 所有流量都走 PROXY 组出去

# 这里只介绍 v4.7+ 版本的配置

tproxy='true' # 本例中，使用纯tproxy模式
# tcponly='true' # 若节点不支持udp，请使用tcponly

proxy_startcmd='start_clash'
proxy_stopcmd='stop_clash'

start_clash() {
    # 设置 setgid 权限位 (只需执行一次)
    set_proxy_group clash

    (clash -d /etc/clash </dev/null &>>/var/log/clash.log &)
}

stop_clash() {
    kill -9 $(pidof clash) &>/dev/null
}

再次重申，如果只是切换节点/代理，请不要通过修改 ss-tproxy.conf、重启 ss-tproxy 的方式进行，请直接操作相关代理进程。举个例子，对于 ss-redir，就是先把原来的 ss-redir 进程杀死，然后启动新的 ss-redir 进程。当然，你可以用脚本或者你喜欢的任意方式，来封装节点切换操作，或者使用 clash 这种支持 自动切换/选择节点 的代理客户端。

脚本命令行选项

• ss-tproxy help：查看帮助信息
• ss-tproxy version：查看版本号
• ss-tproxy start：启动透明代理
• ss-tproxy stop：关闭透明代理
• ss-tproxy restart：重启透明代理
• ss-tproxy status：查看代理状态
• ss-tproxy show-iptables：查看当前的 iptables 规则
• ss-tproxy flush-stoprule：清空 stop 状态下的 iptables 规则
• ss-tproxy flush-dnscache：清空 DNS 查询缓存
• ss-tproxy update-gfwlist：更新 gfwlist.txt，restart 后生效
• ss-tproxy update-chnlist：更新 chnlist.txt，restart 后生效
• ss-tproxy update-chnroute：更新 chnroute*.txt，restart 后生效
• ss-tproxy set-proxy-group <可执行文件>：设置所属 group、setgid 权限位
• ss-tproxy set-dns-group <可执行文件>：设置所属 group、setgid 权限位

此外，可以在命令行的任意位置，指定以下选项：

• -x：输出调试信息，比如脚本出错时，可用来定位是哪条命令
• -d dir：使用给定的工作目录，默认是 /etc/ss-tproxy
• -c config：使用给定的配置文件，默认是 ss-tproxy.conf
• NAME=VALUE：定义变量，可用来临时覆盖 ss-tproxy.conf 中的同名配置

ss-tproxy restart 后，可能会由于 DNS 缓存，导致无法代理，请尝试：

• 清空当前系统的 DNS 缓存：
  • Windows：打开 cmd，执行 ipconfig /flushdns
  • 手机：可以开关一下飞行模式，或者重连一下 WiFi
• 如果还不行，请重新打开当前应用程序，然后再试

如果要修改以下配置，请先 stop，再修改 ss-tproxy.conf，再 start。

• proxy_stopcmd
• ipts_rt_tab

对于 proxy_stopcmd，如果忘记遵循 先 stop，后修改 的顺序，也可以补救，那就是自己手动 kill 之前的代理进程。当然，你也可以在 proxy_stopcmd 中预先填写好所有可能要 kill 的代理进程，这样后续就不需要再修改了。

其他 ss-tproxy.conf 配置无需遵循上述约定，改完 restart 即可。

脚本开机自启

对于 SysVinit 发行版，直接在 /etc/rc.d/rc.local 开机脚本中加上 ss-tproxy 的启动命令即可：

/usr/local/bin/ss-tproxy start

对于 Systemd 发行版，将 ss-tproxy.service 文件放到 /etc/systemd/system/ss-tproxy.service，执行：

systemctl daemon-reload
systemctl enable ss-tproxy

不建议使用 systemctl start|stop|restart ss-tproxy 来操作 ss-tproxy，此服务文件应仅作开机自启用。

如果遇到开机自启失败的问题，可以看下这个 wiki：https://github.com/zfl9/ss-tproxy/wiki/开机自启

IPv6 透明代理

对于 v4.6+ 版本，设置 ipv6 选项即可使用 IPv6 透明代理，使用方法同 IPv4 透明代理。但如果想让其他主机也接入 ss-tproxy 的透明代理，建议给相关主机配置 ULA 静态私有地址，也就是组建一个局域网，这样在给他们设置网关和 DNS 时，就不怕公网 IP 经常变动了。在这种情况下，你需要启用 ss-tproxy.conf 的 ipts_set_snat6 选项。

更多信息请参见 wiki

• https://github.com/zfl9/ss-tproxy/wiki/安装依赖
• https://github.com/zfl9/ss-tproxy/wiki/故障排查
• https://github.com/zfl9/ss-tproxy/wiki/常见问题
• https://github.com/zfl9/ss-tproxy/wiki/钩子函数
• https://github.com/zfl9/ss-tproxy/wiki/内网限速
• https://github.com/zfl9/ss-tproxy/wiki/开机自启
• https://github.com/zfl9/ss-tproxy/wiki/DNS方案