关于dns泄露的那些事情 路由器 mosdns分流 clash

tls://223.5.5.5
tls://223.6.6.6
tls://101.226.4.6
tls://123.125.81.6
tls://1.12.12.12
tls://120.53.53.53

# 日志
log:
  level: error #日志级别。可选 "debug" "info" "warn" "error"。默认 "info"
  file: ""
  production: false

# api:
#   http: 127.0.0.1:8888

# include: []

plugins:
  # forward 可以将所有的 upstream 写一起，sequence 里按需调用 "$插件tag 上游tag..."。看下一条注释。
  - tag: cache
    type: cache
    args:
      size: 1024
      lazy_cache_ttl: 0

 # 自定义Hosts
  - tag: hosts
    type: hosts
    args:
      files:
        - "./hosts"

  - tag: upstreams
    type: forward
    args:
      upstreams:
        - tag: adguardhome
          addr: udp://10.10.1.3 #上游是境内dns
          enable_pipeline: true
          idle_timeout: 30
          insecure_skip_verify: true
        - tag: adguardhome2 #上游是境外dns
          addr: udp://10.10.1.5
          enable_pipeline: true
          idle_timeout: 30
          insecure_skip_verify: true
        # 后面的作为备用暂时不使用,这里直接使用两个adg作为上游
        - tag: cf_worker
          addr: https://xxxxx  #自己在cfwork搭建的doh
          enable_pipeline: true
          idle_timeout: 50
          insecure_skip_verify: true
        - tag: cloudflare_tls
          addr: tls://1.0.0.1
          enable_pipeline: true
          idle_timeout: 50
          insecure_skip_verify: true
        - tag: google_tls
          addr: tls://8.8.8.8
          enable_pipeline: true
          idle_timeout: 50
          insecure_skip_verify: true
        - tag: dnspod
          addr: tls://1.12.12.12
          enable_pipeline: true
          idle_timeout: 30
          insecure_skip_verify: true
        - tag: aliyun
          addr: tls://dns.alidns.com
          bootstrap: 223.5.5.5
          enable_pipeline: true
          idle_timeout: 30
          insecure_skip_verify: true

  # cn域名的规则
  - tag: geosite_cn_seq
    type: sequence
    args:
      - exec: $upstreams adguardhome
  # 替换 cloudflare 的 IP 成自己的最优 IP 的规则
  # 没找到txt，不用这条
  # - tag: fastest_cf
  #   type: sequence
  #   args:
  #     - matches: resp_ip &./geoip_cloudflare.txt # 是不是 cloudflare 的 IP
  #       exec: black_hole 1.1.1.1 ::1    # 用 black_hole 强制换成这些 IP 的应答。注意，这里的 IP 只是示例不是 cloudflare 的。

  # 远程域名的规则
  - tag: remote_seq
    type: sequence
    args:
      - exec: prefer_ipv4       # 希望 remote 优先 ipv4.
      #- exec: $upstreams adguardhome2 cf_worker cloudflare_tls google_tls
      - exec: $upstreams adguardhome2 
      # - exec: jump fastest_cf # jump 相对于把 fastest_cf 的规则链插到此处。

  # 这个 sequence 转发请求到本地，返回只包含 cn IP 的应答。(过滤掉非 cn 的应答)
  - tag: local_must_has_cn
    type: sequence
    args:
      #- exec: $upstreams adguardhome dnspod aliyun
      - exec: $upstreams adguardhome
      - matches: "!resp_ip &./geoip_cn.txt"
        exec: drop_resp     # 如果应答里没有 cn IP，丢掉。

  # 利用 fallback 机制按 IP 分流。如果 local 服务器返回了 cn 的应答就接受，非 cn 的应答会被丢弃，使用 remote 服务器的应答。
  - tag: fallback_ip
    type: fallback
    args:
      primary: local_must_has_cn  # 空应答(本地服务器返回了非cn IP然后应答被丢弃了)触发 fallback。
      secondary: remote_seq       # fallback 后就会使用 remote 的应答。
      always_standby: true


  ##############################
  # 配置主 sequence 规则，作为服务器的入口。
  - tag: main
    type: sequence
    args:
      - exec: $hosts
      - exec: query_summary entry
      #- matches:
      #    - qname &./geosite_category-ads-all.txt #自带的广告过滤
      #  exec: reject 0
      - exec: $cache
      - {matches: has_resp, exec: accept}   # cache/hosts 等插件不再“命中记录自动跳过后续插件”，需用户自行判断是否有应答。
        # 方便需要 ipset/nftables 用户定制流程。
      # yaml 支持这种简写。
      - matches:
          - qname &./geosite_cn.txt # cn 域名
        exec: goto geosite_cn_seq          # goto 到 local 规则，不在执行后续规则。
      - matches:
          - qname &./geosite_geolocation-!cn.txt # 非 cn 域名
        exec: goto remote_seq          # goto 到 remote 规则。

      - exec: $fallback_ip            # 剩余域名用 ip 分流。

  ####  动态路由 + cache。
  # 新版的cache只会将命中的应答放在请求，不再自动终止后续规则。所以需要动态路由时，可以将
  # sequence 的转发操作用 !has_resp 短路。做到每次请求都能刷新路由表。
#  - tag: s1
#    type: sequence
#    args:
#      - exec: $cache
#      - matches:
#          - "!has_resp" # 上一步cache命中缓存有应答了就不转发了。
#        exec: $forward_remote
#      - exec: ipset ...... # ipset 每次请求都能执行。
  #####


  ####### mark 使用示例
  # mark 在 exec 内是打标。在 matches 内是匹配。
  # mark 当作开关的示例。
#  - tag: s1
#    type: sequence
#    args:
#      - exec: mark 1 2  # 先打标。
#      - matches:
#          - mark 1
#        exec: $cache  # 有 mark 1 缓存会生效
#      - matches:
#          - mark 2
#        exec: ecs 1.2.3.4 # 有 mark 2 请求会被附加 ecs
      # ...
      # - matches:
      #     - mark 3
      #   exec:  jump fastest_cf # 没 mark 3 不会替换 cloudflare ip。


  #### 最后配置 server........略
  - tag: server
    type: udp_server # 目前有 udp/tcp/http_server
    args:
      entry: main
      listen: 0.0.0.0:53
  - tag: server_tcp
    type: tcp_server
    args:
      entry: main
      listen: 0.0.0.0:53
  - tag: "server_http"
    type: "http_server"
    args:
      entries:                 # []extry
        - path: /dns-query     # 本路径执行   
          exec: main # 可执行插件的 tag。  
      src_ip_header: "X-Forwarded-For"  # 从 HTTP 头获取用户 IP。
      listen: 0.0.0.0:80  # 监听地址。
      cert: "" # 留空 cert 和 key 后会禁用 TLS。 这里没有配置证书，外网使用我这里另外有acme和nginx处理https
      key: "" 
      idle_timeout: 10       # 空连接超时。单位秒。默认 30。

#######

wget https://raw.githubusercontent.com/IceCodeNew/4Share/master/geoip_china/china_ip_list.txt -O /geoip_cn.txt
wget https://raw.githubusercontent.com/Loyalsoldier/v2ray-rules-dat/release/reject-list.txt -O /geosite_category-ads-all.txt
wget https://raw.githubusercontent.com/Loyalsoldier/v2ray-rules-dat/release/proxy-list.txt -O /geosite_geolocation-!cn.txt
wget https://raw.githubusercontent.com/Loyalsoldier/v2ray-rules-dat/release/direct-list.txt -O /geosite_cn.txt
cp -u /geoip_cn.txt /etc/mosdns/geoip_cn.txt
cp -u /geosite_category-ads-all.txt /etc/mosdns/geosite_category-ads-all.txt
cp -u /geosite_geolocation-!cn.txt /etc/mosdns/geosite_geolocation-!cn.txt
cp -u /geosite_cn.txt /etc/mosdns/geosite_cn.txt