clash是强大的开源代理软件，支持在各种平台上面运行，但默认的配置是socks代理和http代理，想拿它做旁路网关还需要一些操作。

## 安装clash
[github仓库](https://github.com/Dreamacro/clash)

直接下载最新的 `Release`就行了。

配置文件在`~/.config/clash/config.yaml`
<--! more -->
## 配置clash
### 添加服务
创建一个本地的`systemd`配置`/etc/systemd/system/clash.service`

```
[Unit]
Description=clash service
After=network.target

[Service]
Type=simple
ExecStart=/usr/local/bin/clash -d /etc/clash/
Restart=on-failure

[Install]
WantedBy=multi-user.target

```

```
systemctl start clash.service
systemctl enable clash.service

# 然后测试下 socks 代理是否可用
curl --socks5 localhost:7891 google.com
```
### 配置文件
#### 说明
 clash里面有内置的dns，如果直接用那么大可不必开启内置的dns服务器，但是想用旁路网关，那么需要开启内置的dns。内置的dns服务器有`redir-host`和`fake-ip`两种模式:

  * `redir-host`对于转发过来的请求，一律先用`nameserver`和`fallback`里面的dns服务器进行解析，如果是外国的地址，那么后续就用`fallback`里的dns服务器，如果是国内的那就直连。

  * `fake-ip`不管啥请求，先返回一个虚拟的ip，因为如果是代理，那么是代理服务器进行的远端解析，比`redir-host`节约一些开销。

  * 只要用了旁路网关，那就得把客户机的dns服务器也设置成clash的dns服务，因为clash需要用dns服务反推域名和ip的对应关系。

  * 可能我说的不清楚，我也理解的不太对，但是我在实际使用中发现，如果我把clash用做旁路网关，并且设置了fake-ip，那么我ping一个网址，或者wget下载一个东西，都直接对假ip进行连接了，换句话说除了浏览器之外别的服务不对劲了。所以旁路网关还是用redir-host模式吧，然后客户机的网关和dns都指向clash的主机，这样可以保证服务都没问题，udp的也ok。

所以我的解决方案就是：`PVE`里一个`LXC容器`里装`Clash`另一个装`AdGuardHome`，然后`Clash`里开启dns服务器，选择`redir-host`模式，不用`fallback`,就一个`nameserver`指向我的`AdGuardHome`。在`AdGuardHome`里，把dns设置成:
> https://doh.pub/dns-query
> https://dns.alidns.com/dns-query

这两个都是支持DoH/DoT的，可以防止dns污染，这样所有的dns上游都是AdGuardHome了，可以用来防广告，就是不能根据客户端做单独的服务屏蔽了(这个我还没有好办法)，但是我用`iKuai`做管控，所以没啥影响。

[配置参考](https://github.com/Hackl0us/SS-Rule-Snippet/blob/master/LAZY_RULES/clash.yaml)
配置完毕后就能用socks代理或者http代理直接用了，但是想要实现旁路网关，还需要设置转发。

## 设置旁路网关
参考：
> * [自制旁路网关（一） ——使用clash做代理](https://a-wing.top/network/2020/02/22/bypass_gateway-1_clash.html)

旁路网关自身流量最好别走透明代理，为了实现旁路网关，我们需要转发流量，可以用`iptalbes`或者`nftables`，我用的后者而且测试ok，前者没试过.

### nftables方案
1. `apt install nftables -y`

2. 创建私有地址定义文件`/etc/nftables/private.nft`（私有地址咱们不转发）:
```
define private_list = {
	0.0.0.0/8,
	10.0.0.0/8,
	127.0.0.0/8,
	169.254.0.0/16,
	172.16.0.0/12,
	192.168.0.0/16,
	224.0.0.0/4,
	240.0.0.0/4
}
```

3. 修改配置文件`/etc/nftables.conf`：

```
#!/usr/sbin/nft -f

include "/etc/nftables/private.nft"

table ip nat {
	chain proxy {
		ip daddr $private_list return
			ip protocol tcp redirect to :7892
	}
	chain prerouting {
		type nat hook prerouting priority 0; policy accept;
		jump proxy
	}
}
```

4. `sudo sh -c "nft flush ruleset && nft -f /etc/nftables.conf"`

设置服务:
```
systemctl enable nftables.service
systemctl start nftables.service

```
5. 开启ip转发
```
echo "net.ipv4.ip_forward=1" >>  /etc/sysctl.conf 
sysctl -p
```
### iptables实现
没用过，不保证效果
```
iptables -t nat -N CLASH

# 私有 ip 流量不转发，完整的在下面
# 设置的 fake-ip 请注意检查这里
iptables -t nat -A CLASH -d 192.168.0.0/16 -j RETURN

iptables -t nat -A CLASH -p tcp -j REDIRECT --to-ports 7892
iptables -t nat -A PREROUTING -p tcp -j CLASH
```
```
# 内部流量不转发给 CLASH 直通
iptables -t nat -A CLASH -d 0.0.0.0/8 -j RETURN
iptables -t nat -A CLASH -d 10.0.0.0/8 -j RETURN
iptables -t nat -A CLASH -d 127.0.0.0/8 -j RETURN
iptables -t nat -A CLASH -d 169.254.0.0/16 -j RETURN
iptables -t nat -A CLASH -d 172.16.0.0/12 -j RETURN
iptables -t nat -A CLASH -d 192.168.0.0/16 -j RETURN
iptables -t nat -A CLASH -d 224.0.0.0/4 -j RETURN
iptables -t nat -A CLASH -d 240.0.0.0/4 -j RETURN
```
然后就是规则持久化，百度就行了。

### 留坑
这个`nftables`里面写的规则好像不包括`udp`协议，如果我想让`clash`接管`udp`流量，比如我`p2p`下载也想走代理，怎么搞……有空研究吧，我感觉我得多了解一下相关知识了。

#### 更多参考
[DNS污染对Clash（for Windows）的影响](https://github.com/Fndroid/clash_for_windows_pkg/wiki/DNS%E6%B1%A1%E6%9F%93%E5%AF%B9Clash%EF%BC%88for-Windows%EF%BC%89%E7%9A%84%E5%BD%B1%E5%93%8D)

[使用 KoolClash 作为代理网关](https://blog.skk.moe/post/alternate-surge-koolclash-as-gateway/)

[在 Ubuntu18.04 上使用 clash 部署旁路代理网关（透明代理）](https://breakertt.moe/2019/08/20/clash_gateway/index.html)

[V2Ray 做透明代理](https://toutyrater.github.io/app/transparent_proxy.html)

[debian10 使用 nftables 替换 iptables](https://ghost.qinan.co/debian10_iptables_to_nftables/)

## 懒人规则合集
[SS-Rule_Snippet](https://github.com/Hackl0us/SS-Rule-Snippet)

## 更新
我是基于懒人规则合集中例子配置的，最后我想配合`adguardhome`进行，所以我弄了俩，一个负责`nameserver`，里面都是国内的上游DoH和DoT，然后另一个负责`fallback`里面都是国外的。然后关闭`fallback-filter`，具体可以看我的另一片文章。
> * 参考1： [使用 AdGuard Home 自建 DNS 防污染、去广告 #1 - 安装部署详解教程(Docker)](https://p3terx.com/archives/use-adguard-home-to-build-dns-to-prevent-pollution-and-remove-ads-1.html)
> * 参考2: [使用 AdGuard Home 自建 DNS 防污染、去广告 #2 - 优化增强设置详解教程](https://p3terx.com/archives/use-adguard-home-to-build-dns-to-prevent-pollution-and-remove-ads-2.html)

基于clash搭建旁路网关

局域网里由多个docker节点需要控制，在portainer里面添加endpoint，选择docker，发现不太行。

## 解决办法
修改docker启动文件,`/lib/systemd/system/docker.service`，找到`ExecStart`，加一个参数`-H tcp://0.0.0.0:2375`就行了。

**不要加在外网及其中**

Portainer添加节点

最近搞了个usb声卡，10块钱那种。



## 查看设备
> arecord -l

### 录音

> arecord -Dhw:1,0 -d 10 -f cd -r 44100 -c 2 -t wav test.wav
#### 参数解析
```
-D 指定了录音设备，0,1 是card 0 device 1的意思，也就是TDM_Capture
-d 指定录音的时长，单位时秒
-f 指定录音格式，通过上面的信息知道只支持 cd cdr dat
-r 指定了采样率，单位时Hz
-c 指定channel 个数
-t 指定生成的文件格式
```
### 错误解决
1. arecord:set-params:1239：频道计数不可用
```
根本原因：录制频道数与设备(固件)不一致
解决方法：将-c5改为设备(固件)可用的通道数-c4或者-c2（视具体情况改变）
```
2. arecord:main:788：音频打开错误，没有那个文件或目录
```
根本原因：录音设备选错了
解决方法：arecord -l 查看设备，找到对应的设备card x (x:正确录音设备）,将hw:2,0改为hw:1,0
```

3. arecord:main:788：音频打开错误，设备或资源忙
```
根本原因①：上次的录音没有退出/关闭(错误使用ctrl z停止录音）
解决方法①：fg 将后台挂起的录音任务放到前台终端运行，然后ctrl+c停止上次的录音，再录音就可以了

根本原因②：设备被占用了，Linux音量设置的Input选择了我们要录音的设备（SmartIC) 
解决方法②：更改Input界面选择的设备为其他设备，让我们要录音的设备空下来
```
### 参考文献
[arecord录音](https://blog.csdn.net/zkw_1998/article/details/104540239)

linux声卡设置及录音音

看了两个文章，看明白了
> * [怎么用OpenWrt的VLAN功能实现单臂路由（主路由），省下一个VLAN交换机](https://www.cnblogs.com/parasis/p/13723912.html)

> * [在openwrt系统下划分vlan来隔离端口](https://blog.csdn.net/sinat_27265739/article/details/78962035)

OpenWrt用VLAN

## 换源

### 删除企业源
```
rm -rf /etc/apt/sources.list.d/pve-enterprise.list
```
### 添加非订阅源
```
echo "deb https://mirrors.ustc.edu.cn/proxmox/debian/pve/ buster pve-no-subscription " >/etc/apt/sources.list.d/pve-install-repo.list
```
### 添加ceph源
```
echo "deb https://mirrors.ustc.edu.cn/proxmox/debian/ceph-nautilus buster main " >/etc/apt/sources.list.d/pve-ceph.list
```
### 建议同时使用国内debian源
```
vim /etc/apt/sources.list

# 默认注释了源码镜像以提高 apt update 速度，如有需要可自行取消注释

deb https://mirrors.tuna.tsinghua.edu.cn/debian/ buster main contrib non-free

# deb-src https://mirrors.tuna.tsinghua.edu.cn/debian/ buster main contrib non-free

deb https://mirrors.tuna.tsinghua.edu.cn/debian/ buster-updates main contrib non-free

# deb-src https://mirrors.tuna.tsinghua.edu.cn/debian/ buster-updates main contrib non-free

deb https://mirrors.tuna.tsinghua.edu.cn/debian/ buster-backports main contrib non-free

# deb-src https://mirrors.tuna.tsinghua.edu.cn/debian/ buster-backports main contrib non-free

deb https://mirrors.tuna.tsinghua.edu.cn/debian-security buster/updates main contrib non-free

# deb-src https://mirrors.tuna.tsinghua.edu.cn/debian-security buster/updates main contrib non-free

```
## 去掉订阅提示

1. 找到`/usr/share/javascript/proxmox-widget-toolkit/proxmoxlib.js`

2. 查找：
```	
if (data.status !== 'Active') {
```
3. 把if里面的改成false

4. systemctl restart pveproxy

## 改端口
1. 转发一手
```
iptables -t nat -A PREROUTING -p tcp --dport 443 -j REDIRECT --to-ports 8006
```
2. 保存一手
```
iptables-save > /etc/iptables.up.rules
echo -e '#!/bin/sh\n/sbin/iptables-restore < /etc/iptables.up.rules' > /etc/network/if-pre-up.d/iptables
chmod +x /etc/network/if-pre-up.d/iptables
```