关于 xray 的分流流量探测

[purainity]

xray 是支持流量探测（比如从 sni 标头、http host 中嗅探出域名的），详见官方文档 https://xtls.github.io/config/inbound.html#sniffingobject
但是 psswall 的域名分流是通过 dns 实现的。一样可以添加通过流量嗅探的方式分流，这样可以完全禁用 dnsmasq 和 chinadns-ng 而采用其他 dns 实现方案

[yk271]

没有理解，Passwall 默认开启 Xray 的 Sniffing 且不可关闭，分流是 Xray 核心实现的，并不是 Passwall 自身实现的。

[yk271]

Passwall 1 和 2 的工作原理是不一样的，在 Passwall 1 中，只有符合条件的流量才会通过 TCP/UDP 节点处理，即使你选了分流总节点、选了 GFW 模式，不符合 GFW 规则的请求是不会通过 Xray 核心处理的。

[TwT-L]

为什么我的分流规则，所有域名都走向了第一个规则，第二个规则的域名列表即使包含了 c 域名，但是也走到第一个规则？

[purainity]

如录屏所示，AdGuard 监听 53 端口，如果将 AdGuard 上游设置为 PassWall 的 5553 端口分流就能正常使用，如果将上游设置为另外的阿里 DoH 就会导致分流无法使用。

录屏文件较大，Github 没法直接上传，传了个直链 https://mpimg.cn/view.php/57f7563a83dbacf60f3a752886cdbb3c.mp4

而且 PassWall 的日志里写到“PassWall必须依赖于Dnsmasq”，既然 xray 支持从 SNI 获取域名，那么为什么还要用 DNS 进行分流？
我的需求是 PassWall 完全不接管 DNS，使用 GFWList 分流，DNS 全部由 AdGuard 请求阿里 DoH

[yk271]

你的问题是无法正常使用，为什么要写“分流失效”？分流失效是指规则中的请求没有被正确路由。

你想要 Passwall 完全不接管 DNS 是不现实的，很明显你没有理解 Passwall 的工作原理，Passwall 需要用到 ipset，将 dns 结果写入不同的表，决定流量是否需要交给 Xray 处理。

所以对于你的需求，我建议抛弃 Passwall，直接手搓 Xray 配置。

[purainity]

能不能把所有流量都交给 Xray 处理？PassWall 也没有文档啥的，很多原理也不了解。
手搓 Xray 配置还是太麻烦，换个节点都要动一堆设置，我想找个 LuCI 的 GUI，可惜 luci-app-xray 不支持我这 22.03 的 iStoreOS

[bcseputetto]

@jibukeshi 不在那个Issue那边回复了，在这个讨论里回复你，首先
DNS流程经过不经过xray内置DNS或者sing-box DNS是不影响分流的
因为有 sniff嗅探，至于你说你的日志里不显示域名，单纯可能是因为你的日志等级不够，嗅探分流相关的日志可能需要更高等级的日志才可以看到，你可以在日志里把 xray/sing-box的日志等级调到 debug，再看看日志。

---

然后是DNS分流的问题。
DNS分流不只是为了直连代理分流服务，你要搞清楚，DNS分流是DNS分流，直连代理分流是直连代理分流。
它们可能会影响对方，但你还是要把它们分开来看。
因为前面提到passwall的xray和sing-box已经开启了sniff嗅探了，只要你不去开启覆盖连接目标地址这个功能，基于域名的分流应该是不会失效的。然后你不开启passwall的DNS重定向功能，你就可以自由的设置DNS流程。
你把AGH作为53端口的DNS，然后将它的上游直接设置成阿里公共DNS，这都随你便。但这会造成另外一个问题，就是DNS结果污染。
就算你用的是阿里的DoH，查询谷歌的域名一样会造成污染。这是直连代理分流之前的问题。

---

DNS流程里是可以不向xray/sing-box内置DNS去查询的，我就没有，因为我用的是dns2socks
我的DNS流程是
直连域名流程
AGH(53)→dnsmasq(1053)(dnsmasq是可以被跳过的)→chinadns-ng(15354)→直连DNS(可以是国内任何公共DNS)
代理域名流程
AGH(53)→dnsmasq(1053)(dnsmasq是可以被跳过的)→chinadns-ng(15354)→dns2socks(15353)→可信DNS
流程里完全没有xray或者sing-box相关，完全也是可以正常域名分流的，因为xray和sing-box的sniff嗅探有在工作

[laaArmy]

大佬，打扰一下，现在我是用sing-box分流 udp转发到adg去处理dns，一直都没有任何问题，但passwall 6.1版本后底下出现了
当节点使用 Xray/Sing-Box 分流时，过滤模式需对应选择 Xray/Sing-Box 。
这是更新了啥东西？udp转发到adg用得好好的，不太想让sing-box和xray去处理dns

[bcseputetto]

@laaArmy 没有更新啥，只是多了提醒，passwall的xray，sing-box分流默认开启sniff嗅探，就算不用它们的内置DNS，也可以获取到域名，对域名进行分流。如果使用内置DNS，不开sniff嗅探，也可以正常获取到客户端访问的域名。
至于你是AGH处理DNS，你能具体描述一下你的DNS流程吗？你不会直连DNS和可信DNS都转到一个AGH去处理吧，如果真是这样，要小心DNS污染，特别是谷歌相关的服务，经常会被污染到推特或者facebook，浏览器访问时会提示证书错误。

[laaArmy]

@laaArmy 没有更新啥，只是多了提醒，passwall的xray，sing-box分流默认开启sniff嗅探，就算不用它们的内置DNS，也可以获取到域名，对域名进行分流。如果使用内置DNS，不开sniff嗅探，也可以正常获取到客户端访问的域名。
至于你是AGH处理DNS，你能具体描述一下你的DNS流程吗？你不会直连DNS和可信DNS都转到一个AGH去处理吧，如果真是这样，要小心DNS污染，特别是谷歌相关的服务，经常会被污染到推特或者facebook，浏览器访问时会提示证书错误。

没有，我国内一直都是运营商DNS，只有国外使用ADG，不过刚好昨晚发现，我挂着美国家宽节点，刷TK，规则是geosite:tiktok，我看ADG后台DNS给的是HK IP，应该是走了主节点

[laaArmy]

@laaArmy 没有更新啥，只是多了提醒，passwall的xray，sing-box分流默认开启sniff嗅探，就算不用它们的内置DNS，也可以获取到域名，对域名进行分流。如果使用内置DNS，不开sniff嗅探，也可以正常获取到客户端访问的域名。
至于你是AGH处理DNS，你能具体描述一下你的DNS流程吗？你不会直连DNS和可信DNS都转到一个AGH去处理吧，如果真是这样，要小心DNS污染，特别是谷歌相关的服务，经常会被污染到推特或者facebook，浏览器访问时会提示证书错误。

p16-pu-sign-no.tiktokcdn-eu.com 这个域名，返回的是a126.mm2.akamai.net这个cdn节点，我发现除了xray和singbox dns，都不能准确给到分流节点的ip，我主节点是hk tk节点是us家宽，除了xray/sing-box dns，都给的亚洲cdn

[bcseputetto]

@jibukeshi

我希望 DNS 查询不分流，全部通过 AdGuard Home 请求阿里 DoH。普通 TCP/UDP 请求通过 Xray 的嗅探来实现分流。在这种情况下执行逻辑为：
直连域名→AGH→Xray→直连
代理域名→AGH→Xray→代理

至于你说的这个完全不对，即然你想把AGH的上游直接设置成阿里DoH
那么DNS流程里哪里会有 xray？所以我说你不要把DNS分流和直连代理分流看作是一回事，虽然它们会影响对方，但你还是要区分开来。
如果你AGH直接设置上游为DoH，那么就是
直连查询流程
AGH→阿里DoH
代理查询流程
AGH→阿里DoH
两者没有任何差别，那么给你带来的问题就是可能会造成DNS污染。

---

但问题是现在 PassWall 的逻辑是通过 Dnsmasq 的 IPSet 决定是否流经 Xray，我如果禁用 Dnsmasq 就会导致所有流量不经过 Xray

如果你想要和passwall2一样的结果，那就是要把passwall的模式改成全局模式，这样所有流量都会进入xray核心。和DNS无关。
如果你只开 GFWList代理，那么就意味着需要依赖ipset passwall_gfw列表的IP才能进入核心，其余不会进入。
所以这个和sniff嗅探是另外一回事了，所以需要正确的DNS流程

[bcseputetto]

@jibukeshi 还有，我们通常所说的分流是指进入核心后的进一步分流
也就是流量进入核心后，由xray或者sing-box进行判断分流，也就是你要使用分流节点
你都是直接在TCP节点那里选一个节点了，那就没有所谓的“核心后进一步分流”。所以和我们通常说的分流就不是一回事。
上面我所说的，都是建立在“核心后的进一步分流”上的。

[purainity]

我这边测试使用阿里 DoH、PassWall 选择全局后 Google、YouTube 都能正常访问。


因为我发现将 AGH 上游设置为 PassWall 之后会导致 DNS 延迟特别大，所以希望全局使用阿里 DoH，不使用 DNS 分流，TCP/UDP 分流使用 Xray 实现，采用 GFWList，我应该如何设置？使用 PassWall 1 还是 PassWall 2？
另外，在使用 DNS 分流的情况下，如果在 GFWList 中的才走代理，当节点突然失效无法连通，那么会不会对非 GFWList 中的网站 DNS 解析产生影响？
我希望在节点突然失效无法连通时对访问其他网站产生的影响降到最小，即只会导致 GFWList 中的网站无法访问，其他网站正常，如同没开代理一样。

[bcseputetto]

@jibukeshi 你需要使用分流节点，开启全局后，流量全部进入核心，然后根据分流规则进行直连和代理，如果你不使用分流节点，那全局模式就是字面意义上的全局模式，所有流量都走代理

[purainity]

这种情况下 PassWall 2 是不是比 PassWall 1 更好？

[qian9008]

所以如何抛弃ipset 用嗅探分流，