可以添加V4,V6双栈支持 #213

DuanJie315 · 2018-11-19T02:16:06Z

当地电信已下发原生V6地址.现已有公网V4,V6双栈地址.服务器也是公网双栈地址.
了解v6和v4最大的区别就是不需要net.但为了正常使用代理在路由使用V6 net模式.
查询相关资料在使用gfwlist需要ip6tables,ipset create hash:ip family inet6来创建ipv6地址集(实在没找到如何创建v4,v6双地址合集的办法).
请问能否在ss-rules加入v6支持的选项.或如何修改ss-rules来创建V6地址集及关联SS_SPEC_WAN_AC,SS_SPEC_WAN_FW等.
谢谢.

DuanJie315 · 2018-11-19T03:04:09Z

说说自己周末折腾的过程和结果给大家点思路.
自己用gfwlist,只说gfwlist模式.

尝试ip6tables,ipset ipset create gfwlistv6 hash:net hashsize family inet6 4096 maxelem 99999 来创建ipv6地址集----->可以正常创建

尝试 ip6tables(iptables) -t mangle -I SS_SPEC_WAN_AC 1 -m set --match-set gfwlist6 dst -j SS_SPEC_WAN_FW----->报错can not,没有深扒原因.

至于dnsmasq那边从查询到的资料来看,可以在创建一个gfwlist6的.conf文件或者修改现有的gfwlist的规则
server=/.google.com/127.0.0.1#1984(确保你使用的dns可以返回AAAA的解析)
ipset=/.google.com/gfwlist,gfwlist6

shNanChen · 2018-11-19T03:37:26Z

尝试 ip6tables(iptables) -t mangle -I SS_SPEC_WAN_AC 1 -m set --match-set gfwlist6 dst -j SS_SPEC_WAN_FW----->报错can not,没有深扒原因.

Transparent Proxy 透明代理是需要配置在 nat 表，不应该在 mangle表吧
前提也是你得先有ipv6 的 nat 表

引1个stackoverflow的问题：Transparent Proxy for IPv6 traffic under Linux

NAT simply does not exist in IPv6. By Design.
Given that transparency/interception is actually a feature gained 
by secretly twisting NAT routes inside out and back on themselves. 
It's quite logical that a protocol without NAT cannot do transparency 
and interception that way.

既然从ipv6设计角度就没有考虑nat，所以我之前试了ipv6的vpn，
通过dnsmasp解析被屏蔽域名至ipset，然后配置策略路由至vpn通道，
但还是有2个问题：shadowsocksVPN好久没更新啦 openwrt-shadowvpn，vpn因为源地址的问题好像也不能摆脱ipv6 nat

总之ipv6网络下，配置路由器下面客户端免配置翻墙现在还没找到好用的解决方案。

moralrebuild · 2018-11-28T03:22:00Z

中國大陸三大寬帶運營商都全面部署IPv6,需要真正支持才能說得上是科學上網。希望開發者努力攀登科學高峰！

MeIsReallyBa · 2018-12-20T03:40:32Z

第二条用的nat
ip6tables -t nat -A PREROUTING -p tcp -m set --match-set gfwlist6 dst -j REDIRECT --to-port 1234
试了下可以转发gfwlist6的流量到ssredir端口上了

MeIsReallyBa · 2018-12-20T08:05:07Z

虑nat，所以我之前试了ipv6的vpn，
通过dnsmasp解析被屏蔽

linux 新点的内核都支持ipv6 nat的特性了吧

Old-Pussy · 2019-03-18T16:42:13Z

如果 ipv6 还走 nat 感觉有点没意思。但不用 nat 表的话，只能加钩子了。加钩子好像需要写内核模块？那就很麻烦了。

fbion · 2020-03-05T06:12:02Z

mark

wyf88 · 2020-03-21T13:02:44Z

https://github.com/openwrt/packages/blob/master/net/shadowsocks-libev/files/ss-rules
https://github.com/zfl9/ss-tproxy/blob/master/ss-tproxy

DuanJie315 · 2020-03-27T20:29:09Z

https://github.com/openwrt/packages/blob/master/net/shadowsocks-libev/files/ss-rules
https://github.com/zfl9/ss-tproxy/blob/master/ss-tproxy

哈哈哈感谢感谢.我都快忘记这茬了(因为一直用隔壁的那个).

赶上疫情这段时间好好的研究了下(V4一直都是公网,所以一直关着V6,除了BT也没感觉啥好的,哈哈哈),脚本啥玩的也不溜,因为我只用gfwlist模式,所以逆向思维了下.前端dns返回支持返回 A AAAA记录,保存到两张表里面(gfwlist,gfwlist6),再参照老一套v4的写法利用openwrt netfilter 的特性(我承认我参照了隔壁tproxy透明代的思路,哈哈哈)再原有脚本里面"加(抄)"了点作业,对我来说用起来也没啥问题(gfwlist模式).不管网关还是局域网设备都可以V4 V6双栈透明代理,当然仅限使用gfwlist模式,比如白名单我不用所以也没折腾.有需要的小伙伴自取.

PS:如果写的有啥问题或者可以更精简的话希望大神指点.

参照wiki gfwlist模式以及创建v4 v6合集:
gfwlist_init() {
ipt="iptables -t nat"
setname=$(ipset -n list | grep -w "gfwlist")
if [ ! "$setname" ]; then
ipset create gfwlist hash:net hashsize 4096 maxelem 99999
ipset create gfwlist6 hash:net family inet6 hashsize 4096 maxelem 99999
fi
$ipt -I SS_SPEC_WAN_AC 1 -m set --match-set gfwlist dst -j SS_SPEC_WAN_FW
return 0
}

创建v6 iptables规则:
gfwlist6_init() {
ipt6="ip6tables -t mangle"
setname=$(ip6tables -L -t mangle | grep -w "match-set gfwlist6 dst TPROXY")
if [ ! "$setname" ]; then
ip -6 rule add fwmark 1 table 100
ip -6 route add local ::/0 dev lo table 100
$ipt6 -A OUTPUT -m mark --mark 0xff -j RETURN
$ipt6 -A OUTPUT -p tcp -m set --match-set gfwlist6 dst -j MARK --set-mark 0x01/0x01
$ipt6 -A OUTPUT -p udp -m set --match-set gfwlist6 dst -j MARK --set-mark 0x01/0x01
$ipt6 -A PREROUTING -m mark --mark 0xff -j RETURN
$ipt6 -A PREROUTING -p tcp -m set --match-set gfwlist6 dst -j TPROXY --on-port 1029 --tproxy-mark 0x01/0x01
$ipt6 -A PREROUTING -p udp -m set --match-set gfwlist6 dst -j TPROXY --on-port 1029 --tproxy-mark 0x01/0x01
fi
return 0
}

拦截局域网所有DNS解析(可加可不加看个人需求我有chromecast所以加着在):
chromecast_init() {
ipt="iptables -t nat"
ipt6="ip6tables -t nat"
setname=$(iptables -L -t nat | grep -w "domain to:192.168.1.1")
if [ ! "$setname" ]; then
$ipt -A PREROUTING -s 192.168.1.0/27 -p tcp --dport 53 -j DNAT --to 192.168.1.1
$ipt -A PREROUTING -s 192.168.1.0/27 -p udp --dport 53 -j DNAT --to 192.168.1.1
$ipt -A PREROUTING -s 192.168.1.0/27 -p tcp --dport 853 -j DNAT --to 192.168.1.1
$ipt -A PREROUTING -s 192.168.1.0/27 -p udp --dport 853 -j DNAT --to 192.168.1.1
$ipt -A PREROUTING -s 192.168.1.0/27 -p tcp --dport 5353 -j DNAT --to 192.168.1.1
$ipt -A PREROUTING -s 192.168.1.0/27 -p udp --dport 5353 -j DNAT --to 192.168.1.1
$ipt6 -A PREROUTING -s fdc3:8dba:82e1::0/64 -p tcp --dport 53 -j DNAT --to fdc3:8dba:82e1::1
$ipt6 -A PREROUTING -s fdc3:8dba:82e1::0/64 -p udp --dport 53 -j DNAT --to fdc3:8dba:82e1::1
$ipt6 -A PREROUTING -s fdc3:8dba:82e1::0/64 -p tcp --dport 853 -j DNAT --to fdc3:8dba:82e1::1
$ipt6 -A PREROUTING -s fdc3:8dba:82e1::0/64 -p udp --dport 853 -j DNAT --to fdc3:8dba:82e1::1
$ipt6 -A PREROUTING -s fdc3:8dba:82e1::0/64 -p tcp --dport 5353 -j DNAT --to fdc3:8dba:82e1::1
$ipt6 -A PREROUTING -s fdc3:8dba:82e1::0/64 -p udp --dport 5353 -j DNAT --to fdc3:8dba:82e1::1
fi
return 0
}

最后改为:
flush_rules && ipset_init && ipt_nat && ipt_mangle && gfwlist_init && gfwlist6_init && chromecast_init && export_ipt_rules

搭配的dnsmasq规则格式:
ipset=/.angela-merkel.de/gfwlist,gfwlist6 //无污染返回A AAAA加入到前面创建的合集内.
server=/.angola.org/127.0.0.1#1027 //无污染可返回A AAAA的dns服务端.

tenwx · 2020-04-17T09:03:42Z

https://github.com/openwrt/packages/blob/master/net/shadowsocks-libev/files/ss-rules
https://github.com/zfl9/ss-tproxy/blob/master/ss-tproxy

https://github.com/openwrt/packages/blob/master/net/shadowsocks-libev/files/ss-rules
https://github.com/zfl9/ss-tproxy/blob/master/ss-tproxy

哈哈哈感谢感谢.我都快忘记这茬了(因为一直用隔壁的那个).

赶上疫情这段时间好好的研究了下(V4一直都是公网,所以一直关着V6,除了BT也没感觉啥好的,哈哈哈),脚本啥玩的也不溜,因为我只用gfwlist模式,所以逆向思维了下.前端dns返回支持返回 A AAAA记录,保存到两张表里面(gfwlist,gfwlist6),再参照老一套v4的写法利用openwrt netfilter 的特性(我承认我参照了隔壁tproxy透明代的思路,哈哈哈)再原有脚本里面"加(抄)"了点作业,对我来说用起来也没啥问题(gfwlist模式).不管网关还是局域网设备都可以V4 V6双栈透明代理,当然仅限使用gfwlist模式,比如白名单我不用所以也没折腾.有需要的小伙伴自取.

PS:如果写的有啥问题或者可以更精简的话希望大神指点.

参照wiki gfwlist模式以及创建v4 v6合集:
gfwlist_init() {
ipt="iptables -t nat"
setname=$(ipset -n list | grep -w "gfwlist")
if [ ! "$setname" ]; then
ipset create gfwlist hash:net hashsize 4096 maxelem 99999
ipset create gfwlist6 hash:net family inet6 hashsize 4096 maxelem 99999
fi
$ipt -I SS_SPEC_WAN_AC 1 -m set --match-set gfwlist dst -j SS_SPEC_WAN_FW
return 0
}

创建v6 iptables规则:
gfwlist6_init() {
ipt6="ip6tables -t mangle"
setname=$(ip6tables -L -t mangle | grep -w "match-set gfwlist6 dst TPROXY")
if [ ! "$setname" ]; then
ip -6 rule add fwmark 1 table 100
ip -6 route add local ::/0 dev lo table 100
$ipt6 -A OUTPUT -m mark --mark 0xff -j RETURN
$ipt6 -A OUTPUT -p tcp -m set --match-set gfwlist6 dst -j MARK --set-mark 0x01/0x01
$ipt6 -A OUTPUT -p udp -m set --match-set gfwlist6 dst -j MARK --set-mark 0x01/0x01
$ipt6 -A PREROUTING -m mark --mark 0xff -j RETURN
$ipt6 -A PREROUTING -p tcp -m set --match-set gfwlist6 dst -j TPROXY --on-port 1029 --tproxy-mark 0x01/0x01
$ipt6 -A PREROUTING -p udp -m set --match-set gfwlist6 dst -j TPROXY --on-port 1029 --tproxy-mark 0x01/0x01
fi
return 0
}

拦截局域网所有DNS解析(可加可不加看个人需求我有chromecast所以加着在):
chromecast_init() {
ipt="iptables -t nat"
ipt6="ip6tables -t nat"
setname=$(iptables -L -t nat | grep -w "domain to:192.168.1.1")
if [ ! "$setname" ]; then
$ipt -A PREROUTING -s 192.168.1.0/27 -p tcp --dport 53 -j DNAT --to 192.168.1.1
$ipt -A PREROUTING -s 192.168.1.0/27 -p udp --dport 53 -j DNAT --to 192.168.1.1
$ipt -A PREROUTING -s 192.168.1.0/27 -p tcp --dport 853 -j DNAT --to 192.168.1.1
$ipt -A PREROUTING -s 192.168.1.0/27 -p udp --dport 853 -j DNAT --to 192.168.1.1
$ipt -A PREROUTING -s 192.168.1.0/27 -p tcp --dport 5353 -j DNAT --to 192.168.1.1
$ipt -A PREROUTING -s 192.168.1.0/27 -p udp --dport 5353 -j DNAT --to 192.168.1.1
$ipt6 -A PREROUTING -s fdc3:8dba:82e1::0/64 -p tcp --dport 53 -j DNAT --to fdc3:8dba:82e1::1
$ipt6 -A PREROUTING -s fdc3:8dba:82e1::0/64 -p udp --dport 53 -j DNAT --to fdc3:8dba:82e1::1
$ipt6 -A PREROUTING -s fdc3:8dba:82e1::0/64 -p tcp --dport 853 -j DNAT --to fdc3:8dba:82e1::1
$ipt6 -A PREROUTING -s fdc3:8dba:82e1::0/64 -p udp --dport 853 -j DNAT --to fdc3:8dba:82e1::1
$ipt6 -A PREROUTING -s fdc3:8dba:82e1::0/64 -p tcp --dport 5353 -j DNAT --to fdc3:8dba:82e1::1
$ipt6 -A PREROUTING -s fdc3:8dba:82e1::0/64 -p udp --dport 5353 -j DNAT --to fdc3:8dba:82e1::1
fi
return 0
}

最后改为:
flush_rules && ipset_init && ipt_nat && ipt_mangle && gfwlist_init && gfwlist6_init && chromecast_init && export_ipt_rules

搭配的dnsmasq规则格式:
ipset=/.angela-merkel.de/gfwlist,gfwlist6 //无污染返回A AAAA加入到前面创建的合集内.
server=/.angola.org/127.0.0.1#1027 //无污染可返回A AAAA的dns服务端.

请问你的ip6tables和tproxy分别是什么版本的？我的版本是:ip6tables v1.4.14 NF_TPROXY 4.1.0，iptables下正常，ip6tables报错No chain/target/match by that name.

DuanJie315 · 2020-04-17T09:57:22Z

https://github.com/openwrt/packages/blob/master/net/shadowsocks-libev/files/ss-rules
https://github.com/zfl9/ss-tproxy/blob/master/ss-tproxy

https://github.com/openwrt/packages/blob/master/net/shadowsocks-libev/files/ss-rules
https://github.com/zfl9/ss-tproxy/blob/master/ss-tproxy

哈哈哈感谢感谢.我都快忘记这茬了(因为一直用隔壁的那个).
赶上疫情这段时间好好的研究了下(V4一直都是公网,所以一直关着V6,除了BT也没感觉啥好的,哈哈哈),脚本啥玩的也不溜,因为我只用gfwlist模式,所以逆向思维了下.前端dns返回支持返回 A AAAA记录,保存到两张表里面(gfwlist,gfwlist6),再参照老一套v4的写法利用openwrt netfilter 的特性(我承认我参照了隔壁tproxy透明代的思路,哈哈哈)再原有脚本里面"加(抄)"了点作业,对我来说用起来也没啥问题(gfwlist模式).不管网关还是局域网设备都可以V4 V6双栈透明代理,当然仅限使用gfwlist模式,比如白名单我不用所以也没折腾.有需要的小伙伴自取.
PS:如果写的有啥问题或者可以更精简的话希望大神指点.
参照wiki gfwlist模式以及创建v4 v6合集:
gfwlist_init() {
ipt="iptables -t nat"
setname=$(ipset -n list | grep -w "gfwlist")
if [ ! "$setname" ]; then
ipset create gfwlist hash:net hashsize 4096 maxelem 99999
ipset create gfwlist6 hash:net family inet6 hashsize 4096 maxelem 99999
fi
$ipt -I SS_SPEC_WAN_AC 1 -m set --match-set gfwlist dst -j SS_SPEC_WAN_FW
return 0
}
创建v6 iptables规则:
gfwlist6_init() {
ipt6="ip6tables -t mangle"
setname=$(ip6tables -L -t mangle | grep -w "match-set gfwlist6 dst TPROXY")
if [ ! "$setname" ]; then
ip -6 rule add fwmark 1 table 100
ip -6 route add local ::/0 dev lo table 100
$ipt6 -A OUTPUT -m mark --mark 0xff -j RETURN
$ipt6 -A OUTPUT -p tcp -m set --match-set gfwlist6 dst -j MARK --set-mark 0x01/0x01
$ipt6 -A OUTPUT -p udp -m set --match-set gfwlist6 dst -j MARK --set-mark 0x01/0x01
$ipt6 -A PREROUTING -m mark --mark 0xff -j RETURN
$ipt6 -A PREROUTING -p tcp -m set --match-set gfwlist6 dst -j TPROXY --on-port 1029 --tproxy-mark 0x01/0x01
$ipt6 -A PREROUTING -p udp -m set --match-set gfwlist6 dst -j TPROXY --on-port 1029 --tproxy-mark 0x01/0x01
fi
return 0
}
拦截局域网所有DNS解析(可加可不加看个人需求我有chromecast所以加着在):
chromecast_init() {
ipt="iptables -t nat"
ipt6="ip6tables -t nat"
setname=$(iptables -L -t nat | grep -w "domain to:192.168.1.1")
if [ ! "$setname" ]; then
$ipt -A PREROUTING -s 192.168.1.0/27 -p tcp --dport 53 -j DNAT --to 192.168.1.1
$ipt -A PREROUTING -s 192.168.1.0/27 -p udp --dport 53 -j DNAT --to 192.168.1.1
$ipt -A PREROUTING -s 192.168.1.0/27 -p tcp --dport 853 -j DNAT --to 192.168.1.1
$ipt -A PREROUTING -s 192.168.1.0/27 -p udp --dport 853 -j DNAT --to 192.168.1.1
$ipt -A PREROUTING -s 192.168.1.0/27 -p tcp --dport 5353 -j DNAT --to 192.168.1.1
$ipt -A PREROUTING -s 192.168.1.0/27 -p udp --dport 5353 -j DNAT --to 192.168.1.1
$ipt6 -A PREROUTING -s fdc3:8dba:82e1::0/64 -p tcp --dport 53 -j DNAT --to fdc3:8dba:82e1::1
$ipt6 -A PREROUTING -s fdc3:8dba:82e1::0/64 -p udp --dport 53 -j DNAT --to fdc3:8dba:82e1::1
$ipt6 -A PREROUTING -s fdc3:8dba:82e1::0/64 -p tcp --dport 853 -j DNAT --to fdc3:8dba:82e1::1
$ipt6 -A PREROUTING -s fdc3:8dba:82e1::0/64 -p udp --dport 853 -j DNAT --to fdc3:8dba:82e1::1
$ipt6 -A PREROUTING -s fdc3:8dba:82e1::0/64 -p tcp --dport 5353 -j DNAT --to fdc3:8dba:82e1::1
$ipt6 -A PREROUTING -s fdc3:8dba:82e1::0/64 -p udp --dport 5353 -j DNAT --to fdc3:8dba:82e1::1
fi
return 0
}
最后改为:
flush_rules && ipset_init && ipt_nat && ipt_mangle && gfwlist_init && gfwlist6_init && chromecast_init && export_ipt_rules
搭配的dnsmasq规则格式:
ipset=/.angela-merkel.de/gfwlist,gfwlist6 //无污染返回A AAAA加入到前面创建的合集内.
server=/.angola.org/127.0.0.1#1027 //无污染可返回A AAAA的dns服务端.

请问你的ip6tables和tproxy分别是什么版本的？我的版本是:ip6tables v1.4.14 NF_TPROXY 4.1.0，iptables下正常，ip6tables报错No chain/target/match by that name.

版本没注意,一直自己编译的openwrt从18-19都正常.
个人觉得不是版本的问题.估计是ipt6模块不全,ipt和ipt6是两个东西.ipt能用不等于有ipt6模块.

moralrebuild · 2020-08-12T02:09:42Z

两年后，SS依然没有这方面的进步，准备被wireguard淘汰吗？

tianlichunhong · 2020-08-18T02:42:08Z

第二条用的nat
ip6tables -t nat -A PREROUTING -p tcp -m set --match-set gfwlist6 dst -j REDIRECT --to-port 1234
试了下可以转发gfwlist6的流量到ssredir端口上了

我的不可以。发现这个规则没有起作用。不知道是否因为没有用nat的模式的原因。gfwlist6获得是正常的，就是流量没有转到1234端口。IPv4的是正常的。也许是没有安装kmod-ipt-nat6的原因？但是IPv6上网是正常的，就是不能翻墙。

aa65535 added the pending label Nov 19, 2018

WordlessEcho mentioned this issue Apr 9, 2019

Proxy IPv6 #202

Closed

aa65535 added the wontfix label Jun 14, 2020

aa65535 removed the pending label May 24, 2022

Provide feedback

Saved searches

Use saved searches to filter your results more quickly

可以添加V4,V6双栈支持 #213

可以添加V4,V6双栈支持 #213

DuanJie315 commented Nov 19, 2018

DuanJie315 commented Nov 19, 2018

shNanChen commented Nov 19, 2018 •

edited

moralrebuild commented Nov 28, 2018

MeIsReallyBa commented Dec 20, 2018

MeIsReallyBa commented Dec 20, 2018

Old-Pussy commented Mar 18, 2019

fbion commented Mar 5, 2020

wyf88 commented Mar 21, 2020

DuanJie315 commented Mar 27, 2020 •

edited

tenwx commented Apr 17, 2020

DuanJie315 commented Apr 17, 2020

moralrebuild commented Aug 12, 2020

tianlichunhong commented Aug 18, 2020

可以添加V4,V6双栈支持 #213

可以添加V4,V6双栈支持 #213

Comments

DuanJie315 commented Nov 19, 2018

DuanJie315 commented Nov 19, 2018

shNanChen commented Nov 19, 2018 • edited

moralrebuild commented Nov 28, 2018

MeIsReallyBa commented Dec 20, 2018

MeIsReallyBa commented Dec 20, 2018

Old-Pussy commented Mar 18, 2019

fbion commented Mar 5, 2020

wyf88 commented Mar 21, 2020

DuanJie315 commented Mar 27, 2020 • edited

tenwx commented Apr 17, 2020

DuanJie315 commented Apr 17, 2020

moralrebuild commented Aug 12, 2020

tianlichunhong commented Aug 18, 2020

shNanChen commented Nov 19, 2018 •

edited

DuanJie315 commented Mar 27, 2020 •

edited