Clash 作为网关的透明代理

距离上一篇介绍该主题的文章已经过去了接近三年，[Clash 作为网关的透明代理]({% post_url 2020-11-27-clash-transparent-proxy %}) 中间使用到的方案其实多次变更，例如使用了很长一段时间 的 shellclash，这个方案胜在省心，可以直接在支持的 路由器上部署，但是内核更新缓慢，作者对配置加了很多自定义设置，虽然出发点是为了方便大部分小白用户，但是 严重降低了自定义的能力。而且默认的一些设定大概率会导致 DNS 泄漏问题，关于这个话题可以参考 不良林的相关视频。这是不可接受的，因此前段时间又回归到使用 PVE 上虚拟机的方案。

简单摸索了一下最新方案发现 redir-host 模式已经被 Clash 官方放弃，不建议再使用。 TProxy 模式当然 没啥问题，但是毕竟得自己处理 iptables 规则。在没有性能瓶颈的情况下，更推荐使用 tun 模式，可以自动 处理路由等问题。下面简单介绍一下相关配置。

首先，在网关机器上打开 ipv4 转发， echo net.ipv4.ip_forward=1 >> /etc/sysctl.conf && sysctl -p

其次 Clash 配置文件头部添加如下

tun:
  enable: true
  stack: system # or gvisor
    #dns-hijack:
    #    - any:53
    #    - tcp://any:53
  auto-route: true
  auto-detect-interface: true
dns:
  enable: true
  ipv6: false
  listen: 0.0.0.0:53
  enhanced-mode: fake-ip       # redir-host or fake-ip
  fake-ip-range: 198.18.0.1/16    # Fake IP addresses pool CIDR
  use-hosts: true                 # lookup hosts and return IP record
  nameserver:
    - 114.114.114.114

最后在局域网的 DHCP 服务器设置网关为该机器 IP 即可，也可以手动在希望走代理机器的网关设置未该机器 IP。