透明代理(TPROXY)下的nftables，如何跟wireguard的nftables合并，使接入wg的client也实现无感代理

[swoiow]

背景

跟随 透明代理(TPROXY)的Guide，我配置了透明代理，使WIFI和局域网接入的设备自动规则进行留学功能，额外配置了dns分流。但是如果在外面使用4g的时候，想使用wireguard接入回去家里网络，实现相同的效果。

根据透明代理的Guide，当前的局域网nftables是

table ip v2ray {
	chain PREROUTING {
		type filter hook prerouting priority filter; policy accept;
		ip daddr { 127.0.0.1, 224.0.0.0/4, 255.255.255.255 } return
		meta l4proto { tcp, udp } ip daddr 10.10.0.0/23 return
		meta mark 0x000000ff return
		meta l4proto { tcp, udp } meta mark set 0x00000001 tproxy to 127.0.0.1:12345 accept
	}

	chain OUTPUT {
		type route hook output priority filter; policy accept;
		ip daddr { 127.0.0.1, 224.0.0.0/4, 255.255.255.255 } return
		meta l4proto { tcp, udp } ip daddr 10.10.0.0/23 return
		meta mark 0x000000ff return
		meta l4proto { tcp, udp } meta mark set 0x00000001 accept
	}
}
table ip filter {
	chain DIVERT {
		type filter hook prerouting priority mangle; policy accept;
		meta l4proto tcp socket transparent 1 meta mark set 0x00000001 accept
	}
}

而wireguard的nftables是

table ip wg2nat {
	chain PREROUTING {
		type nat hook prerouting priority dstnat; policy accept;
	}

	chain INPUT {
		type nat hook input priority 100; policy accept;
	}

	chain OUTPUT {
		type nat hook output priority -100; policy accept;
	}

	chain POSTROUTING {
		type nat hook postrouting priority srcnat; policy accept;
		oifname "eth0" ip saddr 10.10.1.0/24 counter packets 0 bytes 0 masquerade comment "wireguard-nat-rule"
	}
}

按照想法，wireguard分配client的ip是10.10.1.1，而10.10.0.0/23会打标记meta mark 0x000000ff return，走meta l4proto { tcp, udp } meta mark set 0x00000001 tproxy to 127.0.0.1:12345 accept ，但是最后的结果wireguard的client无法上网。

请教如何配置nftables，或有更好的方案建议。谢谢

[kulongwangzhi85]

我在外面时候，手机使用wireguard网络，配合fakedns就可以使用。

[swoiow]

我在外面时候，手机使用wireguard网络，配合fakedns就可以使用。

请问你的路由表和防火墙是如何处理的？还是说，你在传输的方式里使用了"wireguard伪装"？

[kulongwangzhi85]

wireguard就是正常的设置，能接入内网就行。v2ray使用了fakedns，将需要的出去的IP地址解析为了193.168.0.0/16。wireguard添加路由将193.168.0.0/16网段的路由回家里的v2ray，主要fakedns。

[kulongwangzhi85]

我的这种设置，只能待dns解析的才可以透明FQ。直接IP访问的不行。

[kulongwangzhi85]

我用的是LInux做网关，防火墙也是nftables。

[swoiow]

Updated: 2023-01-18
此问题我已经自行解决了。有需要的参见V2Ray与Wireguard的nftables共存实验

临时解决方案，路由接v2fly，v2fly转发到wireguard就可以了。routing加端口规则，由dokodemo-door出

nftables只需要masquerade 的规则就好了。