systemd.slice + iptables + redir：如何在 Arch Linux 上配置透明代理

嘛，又是久违了的技术教程文。这次说的是如何使用 redir （shadowsocks 也好，clash 也好）在 Arch Linux 设备上配置透明代理，以及方便地运行绕过代理的程序。因为要动 iptables，我就假设想这么做的你拥有 root 权限啦。

以下仅针对 IPv4 环境下的 TCP。

Cgroups 是什么？

Arch Linux Wiki 说：cgroups (Control groups) 是 Linux 内核的特性，允许用户管理/限制/审计一组进程。

…算了，LMGTFY 好了。

总之，我们要做的就是，把绕过代理的进程（包括代理程序本身）放到一个 cgroup 里，让 iptables 放行它们的请求，而把其外的所有请求转送给代理的 redir 端口。Arch Linux 上管理 cgroup 的最方便方法就是用 systemd，所以我们在这里用到 systemd 的 slice 来建立/访问 cgroup。

运行一个「绕过全局代理」的 systemd slice

如果你的代理是一个 systemd 服务的话，在 [Service] 下面这么写。这里我们把这个临时命名为 test2 （也可以用别的名字啦）：

[Service]
Slice=test2.slice

重载（systemctl daemon-reload），然后运行这个服务，你的代理服务就跑在 test2.slice 里了。

在 cgroup 的目录里应该也会出现一个相应的 test2.slice：

# ls /sys/fs/cgroup/unified/test2.slice/
cgroup.controllers  cgroup.max.descendants  cgroup.threads  io.pressure
cgroup.events       cgroup.procs            cgroup.type     memory.pressure
cgroup.freeze       cgroup.stat             cpu.pressure    run-u1925.scope/
cgroup.max.depth    cgroup.subtree_control  cpu.stat

如果不是服务的话，就用 systemd-run：

sudo systemd-run --slice test2.slice --scope clash -c /etc/clash/config.yaml

如果你想开启一个绕过代理的程序，也用这样的方法。例如运行一个 Firefox：

sudo systemd-run --slice test2.slice --scope firefox

如果想在 shell 里测试的话，直接用 systemd-run 开一个运行在某个 slice 里的 shell：

sudo systemd-run --slice test2.slice --scope -S  # -S 代表启动 shell

这样你就有了一个跑在 test2.slice 里的 shell。

快速试一试

在 test2.slice 里运行一个永不停止的 ping，然后在 iptables 里切断它的连接：

iptables -A OUTPUT -m cgroup --path "test2.slice" -j DROP

然后这个 ping 应该会无法 ping 通：

ping: sendmsg: Operation not permitted

好的，我们的 slice 和 iptables 成功地联动了。那么先把这条规则删除掉吧：

iptables -L OUTPUT --line-numbers
# 找到一行类似
# 2 DROP   all  --  anywhere  anywhere  cgroup test2.slice
# 的行，记录它开头的编号（这里是 2）
iptables -D OUTPUT 2    # 把 2 换成你记录的编号

好的本节课程的新知识讲完了以下是复习内容（

又是 iptables

以下大部分是抄 Dreamacro/clash#158 和 这里 的作业，呃…

# 先建条链处理透明代理问题。因为后面要 REDIRECT，所以要在 nat 表。
iptables -t nat -N TP-TCP

# 这条链的配置：
# 1. 绕过代理的 slice 的数据包，直接放行回原来的链
iptables -t nat -A TP-TCP -m cgroup --path "test2.slice" -j RETURN
# 2. 本地的各种地址也一律放行
iptables -t nat -A TP-TCP -d 0.0.0.0/8 -j RETURN
iptables -t nat -A TP-TCP -d 127.0.0.0/8 -j RETURN
iptables -t nat -A TP-TCP -d 10.0.0.0/8 -j RETURN
iptables -t nat -A TP-TCP -d 169.254.0.0/16 -j RETURN
iptables -t nat -A TP-TCP -d 172.16.0.0/12 -j RETURN
iptables -t nat -A TP-TCP -d 192.168.0.0/16 -j RETURN
iptables -t nat -A TP-TCP -d 224.0.0.0/4 -j RETURN
iptables -t nat -A TP-TCP -d 240.0.0.0/4 -j RETURN
# 3. 其它的去到 redir 的端口（clash 默认 7892，你的情况可能不同(YMMV)）
iptables -t nat -A TP-TCP -p tcp -j REDIRECT --to-ports 7892
# 4. 所有出口包到 TP-TCP 表上
iptables -t nat -A OUTPUT -p tcp -j TP-TCP

试着访问一些网站，看看它们是不是走了代理（把浏览器的代理设置关闭）？以及运行

iptables -L TP-TCP -t nat -v -n

看看开头的 pkts 和 bytes 是不是有所变化？如果是，那么我们的透明代理大成功！

（这里应该放一张爱酱大胜利的图）

（不是那个快凉了的爱酱…）

后续工作

配置服务绕过代理

可能有一些正在使用的服务本身需要绕过代理，我们也来修改一下配置，让它们也能绕过代理。这里以 unbound 为例：

systemctl edit unbound

加一段：

[Service]
Slice=test2.slice

然后重载（systemd daemon-reload）并重新启动服务就可以啦。

iptables 配置持久化

我们的 iptables 配置在重新启动后会消失。为了让它长期保存，我们需要对其进行持久化：

iptables-save -f /etc/iptables/iptables.rules

以及在每次启动时自动导入：

systemctl enable iptables.service

附录

注：以下内容我没试过，不保证有效性。

你的代理也向内网其它主机提供服务？

（还是只有 TCP + IPv4）

首先处理路由问题。这里假设你的内网主机在 192.168.0.0/16。注意在比较大的网络中，你的内网主机可能在 10.0.0.0/8，这种情况下请在下方进行相应的更改：

iptables -t nat -A PREROUTING -p tcp -s 192.168/16 -j TP-TCP
iptables -t nat -A POSTROUTING -s 192.168/16 -j MASQUERADE

然后你大概需要开启网卡的转发功能：

echo 'net.ipv4.ip_forward = 1' >> /etc/sysctl.conf
sysctl -p

UDP？

-j REDIRECT 是没法处理 UDP 了。为了处理 UDP，我们需要 -j TPROXY。而使用 TPROXY，我们还需要加两条 ip route 和 ip rule，所以这里就比较复杂了。

以下命令仅供参考，不保证有效（说实话我不知道为什么其它实现总想着），我也没试过：

# 先建条链处理透明代理问题。
iptables -t mangle -N TP-UDP

# 这条链的配置：
# 1. 绕过代理的 slice 的数据包，直接放行回原来的链
iptables -t mangle -A TP-UDP -m cgroup --path "test2.slice" -j RETURN
# 2. 本地的各种地址也一律放行
iptables -t mangle -A TP-UDP -d 0.0.0.0/8 -j RETURN
iptables -t mangle -A TP-UDP -d 127.0.0.0/8 -j RETURN
iptables -t mangle -A TP-UDP -d 10.0.0.0/8 -j RETURN
iptables -t mangle -A TP-UDP -d 169.254.0.0/16 -j RETURN
iptables -t mangle -A TP-UDP -d 172.16.0.0/12 -j RETURN
iptables -t mangle -A TP-UDP -d 192.168.0.0/16 -j RETURN
iptables -t mangle -A TP-UDP -d 224.0.0.0/4 -j RETURN
iptables -t mangle -A TP-UDP -d 240.0.0.0/4 -j RETURN
# 2.5. 你很有可能会想让 DNS 不走代理
iptables -t mangle -A TP-UDP -p udp --dport 53 -j RETURN
# 3. 其它的去到 redir 的端口（clash 默认 7892，你的情况可能不同(YMMV)）
iptables -t mangle -A TP-UDP -p udp -j TPROXY --tproxy-mark 0x2333/0x2333 --on-ip 127.0.0.1 --on-port 7892
# 4. 所有出口包到 TP-UDP 表上
iptables -t mangle -A OUTPUT -p udp -j TP-UDP

# 5. 还没完，我们还需要路由配置
# 新建路由表 100，将所有数据包发往 loopback 网卡
ip route add local 0/0 dev lo table 100
# 添加路由策略，让所有经 TPROXY 标记的 0x2333/0x2333 udp 数据包使用路由表 100
ip rule add fwmark 0x2333/0x2333 lookup 100

内网其它主机的连接问题，同上一节「你的代理也向内网其它主机提供服务？」。记得把命令里的 TCP 改为 UDP。

你还有 IPv6？

请将所有的 iptables 换成 ip6tables，同时各种本地地址段可能也需要改变。

本文为 Blog 上原文在发布时版本的副本。所有修改均以 Blog 原文为准。由于 IPFS 的不可变性，Matters 的副本无法更新。欲查看原文，请参见 Re:Linked。

本文以 CC BY-NC-SA 4.0 协议发布。