- 当 ShadowsocksR 流量“走本地”时发生了什么
- 核心原理拆解：为什么会出现“走本地”
- 1. DNS 泄露或本地解析
- 2. 路由表与策略路由错误
- 3. 代理模式与 ACL 配置不当
- 4. 透明代理与端口转发冲突
- 5. 本地防火墙/安全软件干预
- 定位问题：工具与思路
- 常见场景与对应修复策略
- 场景 A：DNS 映射到本地 IP
- 场景 B：默认路由未切换到虚拟网卡
- 场景 C：透明代理未捕获 UDP 或 IPv6
- 场景 D：ACL 生效异常或规则丢失
- 实际操作步骤（按优先级）
- 工具与方法对比
- 注意事项与建议思路
当 ShadowsocksR 流量“走本地”时发生了什么
很多技术爱好者遇到过这样的尴尬：客户端显示已连接，且能访问内网资源，但访问被墙网站实际上并没有走远端节点，而是被本地直连或被本地透明代理截获。表面上连接正常，但外部流量并未经过期望的SSR服务器，导致解锁失败或偶发连接问题。排查这种“走本地”的情况，需要把握几个核心层面：DNS、路由、代理模式、透明转发与系统级策略。
核心原理拆解：为什么会出现“走本地”
1. DNS 泄露或本地解析
客户端若仍使用本地 DNS（或被操作系统/路由器劫持），域名解析结果会指向本地或境内 IP，从而使后续 TCP/UDP 直接直连。
2. 路由表与策略路由错误
系统路由表、ip rule/ip route、或路由器的策略路由未将目标流量送入虚拟网卡（如 tun/tap）或没有打标记，导致流量走默认网关。
3. 代理模式与 ACL 配置不当
SSR 客户端提供全局/自动/绕过大陆等模式，ACL（规则列表）若不完善或加载失败，会把本应走代理的目标归类为直连。
4. 透明代理与端口转发冲突
部署透明代理（如 redsocks、iptables REDIRECT）时，规则顺序或链表设置不当会让某些连接未被捕获，尤其是 UDP 或 IPv6 流量。
5. 本地防火墙/安全软件干预
杀毒软件或防火墙可能拦截/修改代理进程/路由规则，或阻止虚拟网卡的创建与流量转发。
定位问题：工具与思路
排查步骤遵循“从表象到内核”的顺序，优先确认 DNS 与路由，然后检验进程与规则。
常用检查点
- 查看当前网络接口与虚拟网卡状态，确认 tun/tap 是否存在。
- 检查系统路由表与策略路由（包括默认路由、特殊路由表、ip rule）是否把目标网络指向虚拟设备。
- 验证 DNS 解析结果，确认是否被本地/运营商劫持。
- 抓包（tcpdump/wireshark）看是否数据包在本地网卡脱出或进入远端节点。
- 查看 SSR 客户端日志，确定规则文件、规则加载与重写是否成功。
常见场景与对应修复策略
场景 A：DNS 映射到本地 IP
症状：访问某些域名解析为内网或运营商 IP，浏览器直连失败或返回本地页面。修复：启用远端 DNS（如在 SSR 中开启远程 DNS 转发）、或使用 DNS over HTTPS/TLS，确保解析在代理通道内完成。
场景 B：默认路由未切换到虚拟网卡
症状：所有外网流量都从本地网关出站。修复：调整客户端代理模式为全局或修正策略路由规则，确保为目标流量添加路由条目或使用 iptables/ip rule 对连接打 mark 并走专门路由表。
场景 C：透明代理未捕获 UDP 或 IPv6
症状：UDP 应用（如部分视频/语音）绕过代理，或者 IPv6 流量直接外发。修复：补充 IPv6 的处理逻辑或单独拦截 UDP（注意性能与兼容性），并在规则里明确阻断不希望本地直连的协议。
场景 D：ACL 生效异常或规则丢失
症状：自动模式下部分站点未走代理。修复：更新规则文件（如 GFWList/自定义域名表），并强制客户端重新加载规则，必要时切换到全局以验证是否为规则导致。
实际操作步骤（按优先级）
1）确认虚拟网卡与代理进程是否运行；2）检查 DNS：本地解析 vs 远端解析；3）查看路由表与策略路由，确保目标网络指向代理设备或走标记路由；4）用抓包工具观察出站接口；5）修正透明代理规则、更新 ACL，并重启网络服务或客户端；6）若有中间设备（路由器、企业网关），检查是否存在劫持或 NAT 规则。
工具与方法对比
抓包（tcpdump/wireshark）：最直观，能看出实际出口接口与目标 IP；但对新手有学习曲线。
系统命令（ip route/ip rule/iptables）：能精准定位路由与 NAT 问题，适合有 Linux 基础的用户。
客户端日志与调试模式：通常最快找到规则加载或连接失败的线索。
第三方检测网站与 traceroute：适合确认出口地址与路径，但 DNS 缓存可能干扰结果。
注意事项与建议思路
在改动路由或防火墙规则时，一次只改一项并记录，以便回滚。对企业网络或运营商级劫持，可能需要更高层的对抗策略（如在路由器上部署透明代理或使用加密 DNS）。避免在生产环境盲目开启全局模式，先在隔离环境验证修复是否生效。
通过系统性地检查 DNS、路由、ACL 与透明代理链路，大多数“走本地”的问题都能被定位并修复。掌握抓包与路由诊断技巧，能让你在遇到类似问题时迅速恢复正常代理通道。
暂无评论内容