FakeDNS 到底是做什么用的? 能否组织一篇文档介绍下? 在路由器透明代理的场景,到底有什么额外好处?

[zw963]

多谢.

[Loyalsoldier]

v2ray/v2ray-core#2233

[lanchengjiu]

我也不是特懂FakeDNS的优势，说说自己的理解。
目前看来，FakeDNS是基于V2Ray内置DNS服务的升级项。
从配置方式上看也是如此，FakeDNS是在基础DNS服务的配置上，增加一个FakeDNS服务器在DNS服务器列表的首位。

{
    "dns": {
        "servers": [
            "fakedns", // fakedns 排在首位
            "8.8.8.8"
        ]
    }
......

抛开路由规则匹配这块不说，DNS服务是用在路由透明代理上的，用于解析局域网中的所有DNS请求。
正常应用一般是先做DNS请求，拿到IP之后再做正式连接（TCP/UDP/HTTP/HTTPS等）
使用FakeDNS收到DNS请求后，FakeDNS先返回一个假IP地址，等正式的TCP连接请求来了之后，再将域名解析和数据请求一起发到远端。
这样相比传统的两步走，节省了一步（1RTT）。让不支持SOCKS5代理的应用，做到了SOCKS5代理的效果（域名解析和正式数据一步走）

说完了原理和优点，再说说缺点，就是污染DNS缓存，关闭代理服务之后，还得清下DNS缓存，否则可能部分网址无法连接（因为假IP）
不过说实话，我还是觉得这个技术意义不大，效率上是节省了1RTT，但是域名解析是有缓存的，一劳永逸的事，这1RTT我觉得并不重要。
可能是我没有理解FakeDNS的精髓吧。

总结一下：
一切的前提都是路由透明代理，都是在解决局域网中的DNS请求，本机网页代理和本机全局透明代理不在讨论范围。
下面将几个常见方案对比一下：

• 直接使用支持一步走的SOCKS5，但是很多应用不支持代理设置，而且这根本算不上透明代理了
• 使用V2Ray的Sniffing，可以不折腾路由DNS转发了，Sniffing发现正式连接后会嗅探出域名重置连接，但是Sniffing只支持HTTP/S协议
• 折腾路由，不管用iptables，还是将DNS上游服务器设置成V2Ray，总之转发DNS请求到V2Ray内置DNS服务器。缺点是两步走（2RTT）
• FakeDNS基于上述DNS转发，FakeDNS的优势是节省1RTT（类似SOCKS5代理），缺点是污染DNS

如果说错了请大佬指正

[zw963]

// - 第二次进入路由： 需要确定使用什么线路从 142.250.204.68 来获取内容。
修正：第二次正式连接进路由，由于inbounds配置了sniffing，所以IP又被重置为了域名twitter.com

还有就是, 由于inbounds配置了sniffing，所以IP又被重置为了域名twitter.com, 这个是否有文档可以参考?
也许我的理解比较浅显, 但是我觉得已经通过 DNS + DOH 获取到真正的 twitter 的 IP 了, 那么在 routing
中根据 IP 匹配一下, 选定 proxy 线路, 直接和 IP 建立连接, 不就完了么? 为啥还要 sniffing 成域名呢?

例如, 下面是以不在白名单中的国内网址 kid17.com 为例, 流程.

        //    [访问不在白名单中的国内网址 kid17.com]
        //    - 首先会使用 dns 配置中的 domains 策略对 kid17.com 进行匹配.
        //      尝试使用 202.99.192.66, 因为 kid17 不在 geosite:cn 里面, 因此不匹配.
        //    - 内置的 DNS 向 https://dns.google/dns-query 发起针对 kid17.com 的请求.
        //      上面的特殊写法代表 DNS over HTTPS (RFC8484, 简称DOH),DoH 默认不经过路由,
        //      直接走第一个 outbound（DoH 域名需要在 hosts 中指定 IP 地址）, 即 proxy.
        //    - 使用 proxy + DOH 的方式，从服务器获取 kid17.com 的正确 IP 地址 47.101.44.231
        //    - 第一次进路由: 47.101.47.231, 此 IP 匹配 geoip:cn, 因此走直连.

[lanchengjiu]

SniffingObject：https://www.v2fly.org/config/inbounds.html#sniffingobject
你入口的地方配置这个了，然后你问为什么要Sniffing，这这这。。。我只能说DNS那块的路由匹配机制和routing不太一样。不开Sniffing最终效果相当于DNS解出来中国IP就走直连，外国IP就走代理，但是对于一些大网站，境内境外都有节点，基本等于用直连解就国内是IP，用VPS解就是境外IP，不过这些都是些细节，你自己看着办就好了。另外你不开Sniffing，你通过域名屏蔽广告的routing规则怎么生效？通过DNS匹配怎么实现？全解析到127.0.0.1？
DOH：还是上边的话，你的DOH肯定要走代理对吧，V2Ray到VPS之间已经有vmess的加密了，是安全的，VPS到谷歌之间都是境外路线了，也没什么可担心的。另外文档说DOH不走routing，ok，那么domainStrategy无论配置什么都不会影响到IP连接呀，你说和domainStrategy有关系我也没法解释，我的建议是别用DOH试试。卡死的话可能是什么东西在死循环，不过我没看出来是什么，你可以开debug看看什么东西在循环，日志增长特别快的话一般就是有回环

[zw963]

另外你不开Sniffing，你通过域名屏蔽广告的routing规则怎么生效？通过DNS匹配怎么实现？全解析到127.0.0.1？

我都是网上抄的啊, 其实一直不懂, 等下能上网了, 自己再读一下. 😊

昨天晚上在服务器上做了一个小小的调整, 然后整个服务器就崩掉了, 因为只需要短短几秒时间, 瞬间内存和磁盘都爆了, 重启也不管用, 今天才解决. 基本上就是域名解析的时候,成了死循环, twitter -> freedom -> dns.google -> freedom -> dns.google
我再试试了, 昨天可能有些问题是这个造成的.

{
    "log": {
        "access": "/var/log/v2ray/access.log",
        "error": "/var/log/v2ray/error.log",
        "loglevel": "warning"
    },
    "dns": {
        "servers": [
            "https://dns.google/dns-query" // 这里把那个 local  去掉了, 然后就爆了.
        ]
    },
    "inbounds": [
        {
            "protocol": "vmess",
            "port": 22334,
            "settings": {
                "clients": [
                    {
                        "id": "06236263-50fd-45d1-8acc-bc558cb5c787"
                    }
                ]
            },
            "streamSettings": {
                "network": "quic",
                "quicSettings": {
                    "header": {
                        "type": "wechat-video"
                    }
                }
            }
        },
        {
            "protocol": "shadowsocks",
            "port": 22335, // 监听端口
            "settings": {
                "method": "chacha20-ietf-poly1305",
                "password": "password"
            }
        }
    ],
    "outbounds": [
        {
            "protocol": "freedom",
            "settings": {
                // 默认是 AsIs, 不会使用 V2ray 内置的 DNS 服务器进行解析,
                // 改为 UseIP, 表示使用 V2ray 内置 DNS 服务器将域名解析为 IP 之后再建立连接。
                "domainStrategy": "UseIP"
            }
        },
        {
            "tag": "block",
            "protocol": "blackhole",
            "settings": {}
        }
    ],
    "routing": {
        "domainMatcher": "mph",
        "rules": [
            {
                "type": "field",
                "ip": [
                    "geoip:private"
                ],
                "outboundTag": "block"
            }
        ]
    },
    "policy": {
        "levels": {
            "0": {
                "bufferSize": 1024
            }
        }
    }
}

[zw963]

我添加了一个新的 discuss, 有关采用 DOH 之后 debug 日志反映出来的一些问题. #930

[zw963]

最后的方案是, 客户端没在用 DOH 了, 服务器端我还是尝试选择用 DOH, 其他就没什么了.
这配置用了一阵子了, 目前感觉没啥问题,还需要继续观察.

刚刚升级到 4.38.3 了, 也许你想试一下.

[kulongwangzhi85]

透明，而且是旁路由方式的，使用fakedns的返回私有IP，根据这个IP地址段，在主路由上只要一条路由规则就能搞定。方便了许多。
至于楼上说的DNS污染，我的作法是将需要代理的返回假IP。既然要代理了，也就是没有代理的情况下不能访问了。这样污染和不污染也没有什么区别了。

[waveBoom]

👍

[zw963]

@lanchengjiu , 感谢你对我的帮助，我感觉我的配置文件终于改好啦。

现在我可以随意的在 redirect, tproxy, tproxy+fakedns 三个模式之间切换。

https://github.com/zw963/asuswrt-merlin-v2ray

[lanchengjiu]

可以的，真下心了，够用就行啦

[maike2019]

有个UP主有做视频 https://www.youtube.com/watch?v=aKlH6KRt9Jc