<div style="text-align: center;">
    

![0_Wifi Router, transmitting WiFi signal_esrgan-v1-x2plus.png](/static/img/18b38dd267e91fff8aa7f17479945b7e.0_Wifi%20Router,%20transmitting%20WiFi%20signal_esrgan-v1-x2plus.webp)
    
</div>




家里闲置了一台Mac，最近在想能不能把作为旁路由，装上Clash，来实现家里所有设备屏蔽广告和魔法的功能。

查了些资料，也踩了些坑，但是最后实现效果还是很理想的。Mac的性能，用来当旁路由，绰绰有余，性能刚刚的。

下面记录下教程，以及踩过的坑，以供参考。

## 预备工作

- 一台Mac
- Clash Meta
- 一个节点或订阅

## 旁路由架构

先弄清楚旁路由到底是个啥？在旁路由里，流量是怎么流动的？

可以参考这篇文章： https://zhuanlan.zhihu.com/p/112484256

一定要理解流量走向：


![image.png](/static/img/05e437d54de95fb32d70af0457cb5f8e.image.webp)


![image.png](/static/img/256fbdbc752c7b7ea368fc0154b9d1be.image.webp)

注意请求，都是先从你的设备（比如手机），送到主路由器上，然后送到旁路由上（在这里也就是Mac的Clash上），然后送回到主路由上，最后发到广域网里。

## 第一步：Mac安装Clash客户端

建议使用 Clash Verge：https://github.com/zzzgydi/clash-verge ，配合Meta内核，使用TUN模式屏蔽广告。

网上都是推荐使用ClashX Pro，配合增强模式，来实现旁路网关的。但我更偏向于TUN模式，而且这两种我都试过，个人体验上，还是前者更好用一些，推荐。

下载包，安装好。

注意，内核需要权限，如果日志报错`Start TUN listening error: configure tun interface: Connect: operation not permitted`，请参考[https://github.com/zzzgydi/clash-verge/issues/490](https://github.com/zzzgydi/clash-verge/issues/490)，执行如下语句：

```
sudo chown root:admin /Applications/Clash\ Verge.app/Contents/MacOS/clash
sudo chmod +sx /Applications/Clash\ Verge.app/Contents/MacOS/clash
sudo chown root:admin /Applications/Clash\ Verge.app/Contents/MacOS/clash-meta
sudo chmod +sx /Applications/Clash\ Verge.app/Contents/MacOS/clash-meta
```

## 第二步：添加节点或订阅

自行添加。

记得使用TUN模式。

## 第三步：Mac改为静态ip

旁路由IP最好不要变动。

## 第四步：Mac开启IP转发功能

参考：https://blog.csdn.net/qq_15437667/article/details/50743182

步骤如下。

### 查看当前IP转发是否开启

```
sudo sysctl -a | grep forward
```

### 手动开启

```
sysctl -w net.inet.ip.forwarding=1
sysctl -w net.inet6.ip6.forwarding=1
```

### 持久化配置

```
sudo vim /etc/sysctl.conf
```

然后贴入

```
net.inet.ip.forwarding=1
net.inet6.ip6.forwarding=1
```

wq保存并退出。

## 第五步：使用设备测试手动连接

### 仪表盘

观测，除了clash verge的日志，和面板左下角的折线图，还可以利用yacd站点来观测。

地址：`https://yacd.metacubex.one/`

应用内外部控制填：`:9090`，yacd站点里，填旁路由IP。

### 手机测试

可以使用手机或另一台电脑进行测试。

手机连接Wi-Fi，高级设置，IP设置，静态，网关填Mac的IP，DNS1也填Mac IP。

## 第六步：设置路由器DHCP（可选）

其实选择使用第五步手动连接已经可以满足大部分需求了，如果不想手动连，那么可以设置路由器的DHCP服务器，来实现所有连接了路由器的设备都自动走旁路由。

路由器上，将DHCP服务器设置为旁路由即可。

闲置Mac做旁路由

<div style="text-align: center;">
    

![0_Web pages on the computer_esrgan-v1-x2plus.png](/static/img/005a7b4d0ca1bb77afd5d287dbad8a62.0_Web%20pages%20on%20the%20computer_esrgan-v1-x2plus.webp)
    
</div>



官网：[https://nic.eu.org/](https://nic.eu.org/)



![image.png](/static/img/bbe6ca1ae0c6b03f4d2a45becb756925.image.png)

## 注册

据说国家写美国或欧洲的国家，审核会快一些。

地址信息可以在这生成：[https://www.meiguodizhi.com/](https://www.meiguodizhi.com/)

![image.png](/static/img/2d2e55cb0fe345d4ada18faefd0adde3.image.png)

需要邮箱验证。

## 申请域名

点击`New Domain`按钮


![image.png](/static/img/eaa23023f1cbbab7a86e4b4259b521bf.image.png)

`Complete domain name`填想要注册的域名，注意要写完整的，包括eu.org


![image.png](/static/img/65b70d6d7432770a1641de8883e4f486.image.png)

最下面，选`server names`，然后填两个地址：`dempsey.dnspod.net`、`edmund.dnspod.net`


![image.png](/static/img/ef9ab3b923dbb72a0911753de4349a12.image.png)

点击`Submit`按钮。

如果域名已经被别人注册过，会有提示，需要多试多换几个域名。

如果显示这样，就是申请成功了


![image.png](/static/img/73f57ea78d3edad65eb42001c7aab706.image.png)

成功后等邮件通知就行。

审核周期有时快有时慢，快则一两天，慢则一两个月，一两年的也是有耳闻的，随缘。

## 托管到Cloudflare

Cloudflare是承认eu.org是顶级域名的。

添加站点


![image.png](/static/img/63db27c7fa95826d571c2fdca9cc7793.image.png)

选Free


![image.png](/static/img/8301bab47e9b4883ef072fbb2c1b0f98.image.png)

等待扫描结束，记录可以先随便写一个，稍后都可以更改


![image.png](/static/img/6b119bfd4318cf64fc0962bef9a96c3a.image.png)

最后会看到2各名称服务器地址，复制它们，回填到eu.org里


![image.png](/static/img/80daa978d07eebd4fc655cf22c78f7d0.image.png)

eu.org里选择目标域名，点Nameservers


![image.png](/static/img/d39272ba0245e299883b659df9cebf6f.image.png)

把Name1和Name2改成刚才Cloudflare里的


![image.png](/static/img/ed58f7a601f1fb28b0a0eec3b2149943.image.png)

Submit后，如果提示

```
No error, applying changes...

Done
```

就是成功了。

回到Cloudflare，点击`完成，检查名称服务器`按钮，结束。

查看主页会显示


![image.png](/static/img/65d6708967816b17de3e31f766c68b74.image.png)

需要等一小段时间，状态会更新。

## Refers

[https://www.bilibili.com/video/BV1ST4y1z7Ra](https://www.bilibili.com/video/BV1ST4y1z7Ra)

申请eu.org免费域名并托管到Cloudflare

.net的认证和授权

<div style="text-align: center;">
    

![0_Watching TV_esrgan-v1-x2plus.png](https://blog.zai7lou.ml/static/img/e8be09191e1f36bb8e80d30d55968e2e.0_Watching%20TV_esrgan-v1-x2plus.webp)
    
</div>





- [1. 直播类](#1-直播类)
- [2. 影视类](#2-影视类)



## 1. 直播类

直播类app，主要需求我觉得就4点，

- 清晰，不要太糊
- 流畅，不要看起来一卡一卡的
- 稳定，不要用几天就不能用来，或者是像某些辣鸡app，专挑某些时间（比如春节），故意降速，强迫你买会员
- 广告少

我自己尝试下来，首选**电视家**，上面4点基本都满足。

还有个备选，叫**云海TV**，前3点都还行，第4点不行，广告稍微有点多。

## 2. 影视类

推荐TV Box。

它是一款开源的、可以自定义影视源的app。

源开源地址：https://github.com/CatVodTVOfficial/TVBoxOSC

但不知道为啥归档了，找了个star比较多的另一个仓库：https://github.com/liu673cn/box

目前稳定用上快一周了，很稳定。

源的话，可以试试下面几个：

```
https://raw.liucn.cc/box/m.json
http://byyds.top/w.txt
https://yydsys.top/duo/v.json
https://cdn.jsdelivr.net/gh/liu673cn/box@main/m.json
```

智能网络电视App推荐（直播、影视等）

https://github.com/RayWangQvQ/sing-box-installer

基于`sing-box`和`docker`容器化搭建`naiveproxy`和`hysteria`的保姆级教程。





- [1. 大概介绍下](#1-大概介绍下)
    - [1.1. 关于sing-box](#11-关于sing-box)
    - [1.2. 关于naiveproxy](#12-关于naiveproxy)
    - [1.3. 关于hysteria](#13-关于hysteria)
    - [1.4. 关于sing-box的配置](#14-关于sing-box的配置)
- [2. 部署服务端](#2-部署服务端)
    - [2.1. 思路](#21-思路)
    - [2.2. 文件目录](#22-文件目录)
    - [2.3. docker compose](#23-docker-compose)
    - [2.4. entry.sh](#24-entrysh)
    - [2.5. config.json](#25-configjson)
    - [2.6. 运行](#26-运行)
- [3. 客户端](#3-客户端)
    - [3.1. 安卓-SagerNet](#31-安卓-sagernet)
        - [3.1.1. hysteria](#311-hysteria)
        - [3.1.2. naive](#312-naive)
    - [3.2. IOS-小火箭](#32-ios-小火箭)
    - [3.3. Win-V2RayN](#33-win-v2rayn)
        - [3.3.1. hysteria](#331-hysteria)
        - [3.3.2. naive](#332-naive)
- [4. FAQ](#4-faq)
    - [4.1. 一键安装脚本在哪](#41-一键安装脚本在哪)



## 1. 大概介绍下

### 1.1. 关于sing-box

开源地址：[https://github.com/SagerNet/sing-box](https://github.com/SagerNet/sing-box)

`sing-box`是一个开源的**通用代理部署平台**，目的是在当今繁杂的各种代理协议之上，抽象出一个通用接口（interface），来统一各种协议的定义和配置。

做过软件开发的朋友应该都很熟悉一句话：没有什么问题是不能通过加一层来解决的，如果有，就再加一层。

简单理解，`sing-box`就起到这一层的作用，有了它，我可以使用同一套配置规则，部署多个不同的协议。

### 1.2. 关于naiveproxy

开源地址：
- 服务端：[https://github.com/klzgrad/forwardproxy](https://github.com/klzgrad/forwardproxy)
- 客户端：[https://github.com/klzgrad/naiveproxy](https://github.com/klzgrad/naiveproxy)

`naiveproxy`据说是当前最安全的协议**之一**，了解到它还是去年（2022年）10月份那次大规模封禁，据说除了`naiveproxy`幸免，其他协议均有死伤（包括`trojan`，`Xray`，`V2Ray TLS+Websocket`，`VLESS`和`gRPC`），详细可查看issue：[https://github.com/net4people/bbs/issues/129](https://github.com/net4people/bbs/issues/129)


![naiveproxy-bbs-survivor.png](https://blog.zai7lou.ml/static/img/8ff0b7ca66d71028ef059439aa8bafc4.naiveproxy-bbs-survivor.png)

为了解决墙的**主动探测**，它在服务端它使用自己优化过`Caddy`（`forwardproxy`），利用反代，将没有认证的流量转到一个正常的站点（伪装站点）。也就是，你用你的proxy客户端去访问，认证（用户名+密码）能通过，它就给你做代理；你不用客户端用正常浏览器（或用户名密码错误），只要认证不通过，它就给你反代到正常站点，瞒天过海。

关于TLS指纹问题的讨论，可以看下这个issus：[https://github.com/v2ray/v2ray-core/issues/2098](https://github.com/v2ray/v2ray-core/issues/2098)

在issue里顺便也了解到，`naiveproxy`的作者原来也是`trojan`最初的几个作者之一，后来`trojan`有些设计上的争议，包括一些优化的想法，由于主程没时间，无法得到实施，于是`naiveproxy`的作者就自己开了个项目来实现这些想法，这个项目就是现在的`naiveproxy`。

### 1.3. 关于hysteria

开源地址：[https://github.com/apernet/hysteria](https://github.com/apernet/hysteria)

`hysteria`的优势是快，**真的快**。同一台机器，我的测试结果是，比我之前的`xray`快了2到3倍（网上有人测出快了10倍）。

它是基于`quic`协议，走udp，跟它名字一样（歇斯底里），并发去请求扔包，所以快。

已知问题是qos，来自服务商的限制，当请求流量过大时，会被限速、断流。以前看有图比是嫌清晰度不够，用了`hysteria`可能要反过来主动去自己调低清晰度了。

关于安全性，目前墙对UDP的管控技术还没有TCP那么成熟，所以相对来说算比较安全。

### 1.4. 关于sing-box的配置

文档：[https://sing-box.sagernet.org/zh/configuration/](https://sing-box.sagernet.org/zh/configuration/)

部署`sing-box`的关键，就是编写它的配置文件。

`sing-box`抽象出一套配置规则，这套配置规则主要参考了`v2ray`，有DNS，有路由（router），有入站（inbound）和出站（outbound）。

如果之前使用过`v2ray`，对这些概念很熟悉，那么你可以很轻松切换到`sing-box`；
如果你是个新手，完全不了解这些概念，那么我建议你先去读读v2ray的文档（[https://www.v2ray.com](https://www.v2ray.com)）。

因为当前sing-box的文档还处于待完善阶段，只有对各配置字段的解释，并不会告诉你它是什么以及为什么要这么配。

## 2. 部署服务端

### 2.1. 思路

我个人推荐使用`docker`容器化部署，容器化有很多好处，这里就不多说了。

下面会基于`sing-box`的官方`docker`镜像，使用`docker-compose`进行容器构建。

官方镜像地址：[https://github.com/orgs/SagerNet/packages?repo_name=sing-box](https://github.com/orgs/SagerNet/packages?repo_name=sing-box)

如果你的机器没有装过docker，请先安装docker，安装指令：

```
curl -sSL https://get.docker.com/ | sh
systemctl start docker
systemctl enable docker
```

### 2.2. 文件目录

需要在服务器构建如下目录结构：

```
sing-box
├── data
    ├── config.json
    ├── entry.sh
└── tls
└── docker-compose.yml
```

其中，`data/config.json`是`sing-box`的配置文件，所有节点配置信息都在里面。

`data/entry.sh`是容器启动脚本。

tls文件夹用于存储tls证书，`sing-box`可以自动颁发证书，你也可以使用自己现有的证书。如果自动颁发，就空文件夹就行，运行后该目录下会生成证书文件；如果要使用现有证书，可以将证书拷贝到当前文件夹下。

### 2.3. docker compose

`docker-compose.yml`参考内容如下：

```
version: '3'

services:
  sing-box:
    image: ghcr.io/sagernet/sing-box
    container_name: sing-box
    restart: unless-stopped
    network_mode: "host"
    # ports:
      # - 80:80
      # - 443:443
      # - 8090:8090
      # - 10080-10085:10080-10085/udp
    volumes:
      - $PWD/data:/data
      - $PWD/tls:/tls
    cap_add:
      - NET_ADMIN
    devices:
      - /dev/net/tun
    entrypoint: ["/bin/bash", "/data/entry.sh"]
```

其中，网络模式使用了`network_mode: "host"`，直接使用了宿主机的网络环境，需要关闭宿主机的防火墙，命令如下：

```
# CentOS：
systemctl disable firewalld

# Debian/Ubuntu：
sudo ufw disable
```

如果`host模式`有问题，也可以切换到指定ports模式（注释掉`network_mode`，然后删掉下方prots的注释）

### 2.4. entry.sh

参考内容如下：

```
#!/bin/bash
set -e

configFilePath="/data/config.json"
logFilePath="/data/sing-box.json"

echo "entry"
sing-box version

# https://sing-box.sagernet.org/configuration/
echo -e "\nconfig:"
sing-box check -c $configFilePath || cat $configFilePath
sing-box format -c /data/config.json -w
cat $configFilePath

echo -e "\nstarting"
sing-box run -c $configFilePath
tail -f $logFilePath
```

会输出`sing-box`版本，检查并格式化配置文件，启动`sing-box`，并追踪日志。

### 2.5. config.json

最关键的配置文件，参考内容如下：

```
{
    "log": {
      "level": "trace",
      "output": "/data/sing-box.log",
      "timestamp": true
    },
    "dns": {
      "servers": [
        {
          "tag": "google-tls",
          "address": "local",
          "address_strategy": "prefer_ipv4",
          "strategy": "ipv4_only",
          "detour": "direct"
        },
        {
          "tag": "google-udp",
          "address": "8.8.8.8",
          "address_strategy": "prefer_ipv4",
          "strategy": "prefer_ipv4",
          "detour": "direct"
        }
      ],
      "strategy": "prefer_ipv4"
    },
    "inbounds": [
      {
        "type": "hysteria",
        "tag": "hysteria-in",
        "listen": "0.0.0.0",
        "listen_port": 10080,
        "domain_strategy": "ipv4_only",
        "up_mbps": 50,
        "down_mbps": 50,
        "obfs": "nicetofuckyou",
        "users": [
          {
            "name": "<proxy_name>",
            "auth_str": "<proxy_pwd>"
          }
        ],
        "tls": {
          "enabled": true,
          "server_name": "<domain>",
          "acme": {
            "domain": "<domain>",
            "data_directory": "/tls",
            "default_server_name": "<domain>",
            "email": "<email>"
          }
        }
      },
      {
        "type": "naive",
        "tag": "naive-in",
        "listen": "0.0.0.0",
        "listen_port": 8090,
        "domain_strategy": "ipv4_only",
        "users": [
          {
            "username": "<proxy_name>",
            "password": "<proxy_pwd>"
          }
        ],
        "network": "tcp",
        "tls": {
          "enabled": true,
          "server_name": "<domain>",
          "acme": {
            "domain": "<domain>",
            "data_directory": "/tls",
            "default_server_name": "<domain>",
            "email": "<email>"
          }
        }
      }
    ],
    "outbounds": [
      {
        "type": "direct",
        "tag": "direct"
      },
      {
        "type": "block",
        "tag": "block"
      },
      {
        "type": "dns",
        "tag": "dns-out"
      }
    ],
    "route": {
      "geoip": {
        "path": "/data/geoip.db",
        "download_url": "https://github.com/SagerNet/sing-geoip/releases/latest/download/geoip.db",
        "download_detour": "direct"
      },
      "geosite": {
        "path": "/data/geosite.db",
        "download_url": "https://github.com/SagerNet/sing-geosite/releases/latest/download/geosite.db",
        "download_detour": "direct"
      },
      "rules": [
        {
          "protocol": "dns",
          "outbound": "dns-out"
        },
        {
          "geosite": [
            "cn",
            "category-ads-all"
          ],
          "geoip": "cn",
          "outbound": "block"
        }
      ],
      "final": "direct",
      "auto_detect_interface": true
    }
  }
  
```

其中，有几处需要替换的地方：

- `<proxy_name>`替换为代理的用户名，自己取，如`Ray`
- `<proxy_pwd>`替换为代理的密码，自己取，如`1234@qwer`
- `<domain>`替换为域名
- `<email>`替换为邮箱
- `obfs`是`hysteria`混淆字符串，可以自定义

如上就配置了两个节点，一个**基于udp的10080端口**的`hysteria`节点，一个**基于tcp的8090端口**的`naive`节点。

**如果你的云上有安全策略，请确保这两个端口都开放了。**

证书的话，如果tls目录下没有现有证书，会自动颁发。

其他配置可以查阅官方文档了解。

### 2.6. 运行

在`docker-compose.yml`同级目录下，执行：

```
docker compose up -d
```

等待容器启动。

如果一切正常，就是启动成功，可以去使用自己的客户端连接了。（就是这么简单）

*其他参考指令：*

```
# 查看当前运行中的容器
docker ps

# 查看容器启动日志
docker logs sing-box

# 追踪容器运行日志（使用Ctrl C退出追踪）
docker logs -f sing-box

# 进入容器
docker exec -it sing-box bash
```

## 3. 客户端

### 3.1. 安卓-SagerNet

#### 3.1.1. hysteria

![sing-box-client-sagernet-hysteria.jpg](https://blog.zai7lou.ml/static/img/87514a662f253ae2a12d2e2b98441ae5.sing-box-client-sagernet-hysteria.jpg)

其中：

- `混淆密码`是配置中的`obfs`
- `认证荷载`是配置中的`auth_str`

#### 3.1.2. naive

![sing-box-client-sagernet-naive.jpg](https://blog.zai7lou.ml/static/img/a65503bf1d71255a3ff3d0eebff9435f.sing-box-client-sagernet-naive.jpg)

其中，`密码`是配置中的`password`

### 3.2. IOS-小火箭
todo

### 3.3. Win-V2RayN

#### 3.3.1. hysteria


![hysteria-v2rayn-add.png](https://blog.zai7lou.ml/static/img/ef39f4212a82a7c5dd5637be568fc63d.hysteria-v2rayn-add.png)

配置文件内容如下：

```
{
  "server": "sample.zai7lou.ml:10080",
  "obfs": "Ray",
  "auth_str": "1234@qwer",
  "up_mbps": 10,
  "down_mbps": 50,
  "socks5": {
    "listen": "127.0.0.1:10808"
  },
  "http": {
    "listen": "127.0.0.1:10809"
  }
}
```

#### 3.3.2. naive


![naive-v2rayn-add.png](https://blog.zai7lou.ml/static/img/6f5d33a2e5a7129118687948251ac82e.naive-v2rayn-add.png)

配置文件内容如下：

```
{
  "listen": "socks://127.0.0.1:10808",
  "proxy": "https://Ray:1234@qwer@sample.zai7lou.ml:8090"
}

```

## 4. FAQ

### 4.1. 一键安装脚本在哪

没有写。

`sing-box`的主要工作都在配置`config.json`上，但是用`shell`编辑更新`json`有点鸡肋。

而且当前`sing-box`处于很活跃的开发阶段，我猜测，过不了多久，就会有类似`x-ui`的web管理系统出来。用这种form表单来配置，才是最优方案。

所以，综合考虑下来，当前还是直接编辑json文件来的简单。