OpenWRT/LEDE路由器使用Shadowsocksr配合GFWList实现智能科学上网

在路由器上使用ShadowsokcsR，可以使整个局域网实现科学上网，这种方式比在单台设备上安装SSR要更方便。

目前较为主流的路由第三方固件中，梅林固件和老毛子固件已经内置SSR及GFWList代理方式，使用时只要经过简单设置即可，也推荐刚接触的朋友使用可装这两种固件的路由器。有哪些路由器可用？可以参考这里

而第三方打包的OpenWRT及LEDE固件，虽然也大多内置Shadowsocks或ShadowsocksR，但是其中并没有内置GFWList上网模式。在默认情况下，是通过判断是否国内iP分流，即国内IP直接访问，国外IP走代理。这种模式虽然也可以实现科学上网，但是可能会导致访问国外正常网站时速度较慢，另外还会浪费SSR服务器的流量，尤其是下载国外资源时。那么如何为Openwrt或LEDE路由器添加GFWList实现智能分流呢？下面我们简单介绍一下。

路由器GFWList智能分流 实现原理

由于国内DNS解析被污染，默认情况下，GFWList列表域名解析得到的IP并不正确。

1.首先需要将GFWList规则写入路由器的dnsmasq中，列表中的域名不要直接解析，而是通过DNS转发解析。

2.将转发获取的真实IP通过ipset整合为IP列表，设置防火墙规则，使这部分IP走代理。

3.设置列表之外的域名仍然正常解析，并且不走代理，从而不影响正常网站的访问速度。

需要安装的模块

我们以路由器上已安装好SSR为例，为实现GFWList智能分流，其它需要安装的有：

1. dnsmasq-full
2. ipset
3. dns-forwarder（DNS转发）

如何安装

1.dnsmasq-full

一般情况下，Openwrt或LEDE固件中，已经自带dnsmasq。但是自带的一般不是完全版本，所以需要先卸载自带，安装dnsmasq-full版本。

具体流程：

1. 进入路由器的后台管理面板，点击菜单中的 系统 —— 软件包 ——点击刷新列表按钮。
2. 刷新完成后，在过滤器处输入dnsmasq搜索，在已安装软件包中找到dnsmasq，如果不是如下图中的full版本，则切换到可用软件包中，找到full版本安装。
3. 安装完成后，切换到已安装软件包中，卸载不带full版本。

2.ipset

与上文dnsmasq-full的查找方法一致，如果没有ipset，则在可用软件包中安装。

3.dns forwarder （DNS转发）

这个模块通过以上查找方法可能找不到，可以下载后通过Winscp上传至路由器安装。

分别下载以下两个文件

dns forwarder下载地址，进入页面后根据路由器的CPU架构，下载对应版本：

http://openwrt-dist.sourceforge.net/archives/dns-forwarder/1.2.1/

对应的Luci下载地址：

https://github.com/aa65535/openwrt-dist-luci/releases/download/v1.6.2/luci-app-dns-forwarder_1.6.2-1_all.ipk

dns forwarder 安装流程：

1. 将下载得到的两个ipk文件，上传至路由器的/tmp目录下。
2. 分别输入以下命令安装，实际名称可能与以下命令不一致，注意将文件名替换为实际名称：

以上各模块安装完成后，最好重启一下路由器。

GFWList智能分流设置

1.dnsmasq配置

1.1.下载GFWList 的 dnsmasq规则文件（包含ipset规则），下载地址：

https://cokebar.github.io/gfwlist2dnsmasq/dnsmasq_gfwlist_ipset.conf

1.2.用Winscp连接路由器，打开/etc目录，在此目录下新建dnsmasq.d文件夹。

1.3.将刚才下载得到的规则文件，上传至新建的dnsmasq.d文件夹。

1.4.如果是OpenWRT固件，则：

打开/etc/dnsmasq.conf文件，在最后一行添加如下规则：

如果是LEDE固件，则：

打开Putty连接路由器，运行：

如果返回结果为 uci: Entry not found 或者其他非 /etc/dnsmasq.d 的值，则分别运行如下两条命令：

2.ipset及防火墙配置

2.1.打开路由器后台管理界面，点击菜单中的 网络——防火墙——自定义规则，在最下方加入以下代码：

注意：以上代码中的1234为SSR或SS的本地端口，请按实际填写，端口可以在路由器后台的SSR管理界面中查看：

2.2.以上设置完成后，点击防火墙界面的 重启防火墙 使设置生效。由于涉及防火墙规则变动，之后可能会出现网络卡死，关掉电源重启路由器即可。

3.DNS转发设置

3.1.打开路由器后台管理面板，菜单——服务——DNS转发，设置如下：

3.2.按照前文的说明，在防火墙的自义规则中添加如下一行，使8.8.8.8走代理解析，防止被污染：

3.3.在路由器后台管理面板中，菜单——网络——接口——WAN——修改——高级设置，去掉下图勾选，并将DNS服务器设置为127.0.0.1：

3.4.打开 菜单——网络——DHCP/DNS——基本设置，将DNS转发设置为运营商分配的DNS，或者114.114.114.114之类的公共DNS也可以，用于正常域名解析：

4.Shadowsocks/SSR设置

通过以上的设置，路由器内部已经完成了GFWList的智能分流，这时候我们就不需要Shadowsokcs的内网代理了。

进入shadowsocks的后台管理界面，将内网代理类型由 正常代理 修改为 直接连接：

注意：Shadowsock管理界面的透明代理功能要正常开启。

验证GFWList智能分流是否生效

重启路由器，打开以下地址：http://www.ip111.cn/

以下图结果为例，前两个iP为你的真实IP，第3个IP为你的SSR服务器iP，这就说明只有访问被墙网站时，才会走代理，其它网站还是直连。

智能分流设置成功。