关于fake-ip-filter的疑问

[TurnOffNOD]

大家好，在使用mihomo的过程中，遇到了一个理解方面的问题：

在fake-ip模式下，配置文件有个fake-ip-filter项，文档说是fakeip 过滤，以下地址不会下发 fakeip 映射用于连接。

这里在理解上就有个问题了，“不会下发 fakeip 映射用于连接”，这意思是完全不走代理了，这里面的域名都是按照没有代理来处理的；还是说只是不给192.18.0.0网段的“fake-ip映射”了？而不给fakeip映射，但dns请求真实ip也是走代理请求，拿到了“真实ip”之后继续根据真实ip进行连接呢？

[jelly21fish]

不返回fake-ip，而是真实ip，这不妨碍之后走代理。玩游戏的话，可能就需要把xbox、playstation之类的域名加进去。因为不论它们走不走代理，可能都需要真实ip才能联机。

[TurnOffNOD]

原来如此。
我想要真实ip是因为可能会要随时切换是否使用自己的代理，用fake-ip的话，切换回没有代理的情况下要等到本机dns cache过期才能继续正常联网。

[yqs112358]

对fake-ip-filter中条目的查询行为会回退到redir-host，即在本地发起DNS查询，并返回真实IP结果

[lvxj11]

对fake-ip-filter中入口的查询行为会回退到redir-host，即在本地发起DNS查询，并真实返回IP结果

我也在寻找确实的说法。目前更多的说法是会直接绕过代理，而且在控制面板里确实看不到黑名单中的域名。mihomo的流程图里也明确表示被fakeip过滤黑名单命中的会怎么样。

“目前更多的说法”有引用文献吗？

都是从网上搜的碎片信息，没什么文献。包括chatGPT也是说会直接绕过代理。但我实际测试了一下，确实会回退到redir-host模式通过配置的dns获取真实IP并按规则走匹配线路。也就是@fejeIaqbhbv说的是对的。fake-ip只是在dns请求的同时返回一个假ip，这样如果域名匹配的是代理就直接发送到远程再次解析dns并访问，不用等本地的解析结果。所以我想要的是需要代理的域名用fake-ip，走直连的域名用redir-host获取真实IP方便绕过核心。

[bsdcpp]

对fake-ip-filter中入口的查询行为会回退到redir-host，即在本地发起DNS查询，并真实返回IP结果

我也在寻找确实的说法。目前更多的说法是会直接绕过代理，而且在控制面板里确实看不到黑名单中的域名。mihomo的流程图里也明确表示被fakeip过滤黑名单命中的会怎么样。

“目前更多的说法”有引用文献吗？

都是从网上搜的碎片信息，没什么文献。包括chatGPT也是说会直接绕过代理。但我实际测试了一下，确实会回退到redir-host模式通过配置的dns获取真实IP并按规则走匹配线路。也就是@fejeIaqbhbv说的是对的。fake-ip只是在dns请求的同时返回一个假ip，这样如果域名匹配的是代理就直接发送到远程再次解析dns并访问，不用等本地的解析结果。所以我想要的是需要代理的域名用fake-ip，走直连的域名用redir-host获取真实IP方便绕过核心。

这种没有一个明确的边界，包括mix模式也是通过filter的黑白名单分流，不管黑白名单，只是DNS查询返回结果的区别，都是会从核心出去的。不走核心你要用那个绕过CNip，不过都是通过防火墙啥的分流不走核心。（fakeip貌似无法开启这个功能）。
有人不是嫌直连走核心，做了个内核级的dae透明代理，但是mihomo的功能更强大，复杂的业务还是得靠mihomo，再说现在路由器性能强，区别不大。

[lvxj11]

对fake-ip-filter中入口的查询行为会回退到redir-host，即在本地发起DNS查询，并真实返回IP结果

我也在寻找确实的说法。目前更多的说法是会直接绕过代理，而且在控制面板里确实看不到黑名单中的域名。mihomo的流程图里也明确表示被fakeip过滤黑名单命中的会怎么样。

“目前更多的说法”有引用文献吗？

都是从网上搜的碎片信息，没什么文献。包括chatGPT也是说会直接绕过代理。但我实际测试了一下，确实会回退到redir-host模式通过配置的dns获取真实IP并按规则走匹配线路。也就是@fejeIaqbhbv说的是对的。fake-ip只是在dns请求的同时返回一个假ip，这样如果域名匹配的是代理就直接发送到远程再次解析dns并访问，不用等本地的解析结果。所以我想要的是需要代理的域名用fake-ip，走直连的域名用redir-host获取真实IP方便绕过核心。

这种没有一个明确的边界，包括mix模式也是通过filter的黑白名单分流，不管黑白名单，只是DNS查询返回结果的区别，都是会从核心出去的。不走核心你要用那个绕过CNip，不过都是通过防火墙啥的分流不走核心。（fakeip貌似无法开启这个功能）。 有人不是嫌直连走核心，做了个内核级的dae透明代理，但是mihomo的功能更强大，复杂的业务还是得靠mihomo，再说现在路由器性能强，区别不大。

fakeip之所以无法通过防火墙分流绕过cnip就是因为fakeip给了个假ip防火墙识别不了。对于确定走直连的域名返回真实ip就可以让绕过cnip生效（最少大部分会生效）。现在很多人推荐的在fakeip过滤黑名单添加geosite:cn应该也是起到这个作用。

[bsdcpp]

对fake-ip-filter中入口的查询行为会回退到redir-host，即在本地发起DNS查询，并真实返回IP结果

我也在寻找确实的说法。目前更多的说法是会直接绕过代理，而且在控制面板里确实看不到黑名单中的域名。mihomo的流程图里也明确表示被fakeip过滤黑名单命中的会怎么样。

“目前更多的说法”有引用文献吗？

都是从网上搜的碎片信息，没什么文献。包括chatGPT也是说会直接绕过代理。但我实际测试了一下，确实会回退到redir-host模式通过配置的dns获取真实IP并按规则走匹配线路。也就是@fejeIaqbhbv说的是对的。fake-ip只是在dns请求的同时返回一个假ip，这样如果域名匹配的是代理就直接发送到远程再次解析dns并访问，不用等本地的解析结果。所以我想要的是需要代理的域名用fake-ip，走直连的域名用redir-host获取真实IP方便绕过核心。

这种没有一个明确的边界，包括mix模式也是通过filter的黑白名单分流，不管黑白名单，只是DNS查询返回结果的区别，都是会从核心出去的。不走核心你要用那个绕过CNip，不过都是通过防火墙啥的分流不走核心。（fakeip貌似无法开启这个功能）。 有人不是嫌直连走核心，做了个内核级的dae透明代理，但是mihomo的功能更强大，复杂的业务还是得靠mihomo，再说现在路由器性能强，区别不大。

fakeip之所以无法通过防火墙分流绕过cnip就是因为fakeip给了个假ip防火墙识别不了。对于确定走直连的域名返回真实ip就可以让绕过cnip生效（最少大部分会生效）。现在很多人推荐的在fakeip过滤黑名单添加geosite:cn应该也是起到这个作用。

谢谢，是这个原因，防火墙绕过是通过匹配ipset集里的ip段来的。
我现在遇到一些问题只能用fakeip的黑名单，大部份直接返fakeip反而容易进行域名分流匹配，改成白名单模式例如仅geosite:gfw走fakeip，还是会导致一些国内域名解析问题，导致匹配不到后续rules里的域名分流。

[cowcatcat]

搜索Fake IP的相关问题，看到了你咨询的问题，也解决了我心中的疑惑，我旁路由用的passwall2，上面的DNS功能应该就是你需要的功能。
首先Fake IP只用于需要代理的域名，不代理的域名还是直接解析，返回真实的IP。
其次，有一个功能是“将匹配到的直连规则的域名解析IP写入到 IPSet/NFTSet，然后直连（不进入内核）”，按照你上面说的“防火墙绕过是通过匹配ipset集里的ip段来的。”这句话理解，这样直连的流量，就可以不经过代理核心，直接出去。
你看是否解决了你的问题。