软路由相关教程

iKuai安装AdGuard

1. 安装 Docker

登录爱快云，点击 插件应用 找到 插件市场

再次进入 插件管理，会出现 docker 图标。

2. 分区

3. 创建 AdGuard 文件夹

创建文件夹是为了方便文件管理。

例如：我创建了一个 docker_home 文件夹，我把它用来存放 docker。

在 adguard 目录中，创建 workdir 目录和 confdir 目录。(安装 adguard 镜像时用来设置安装目录)

4. 开启 Docker

填写镜像库 URL 的地址（因为目前 docker 镜像地址被封，所以我用的是手动上传镜像文件的方式），如果你是用拉取镜像的方式，填一个你能访问的地址。

5. 获取 AdGuard 镜像

找一台服务器，运行 docker pull adguard/adguardhome 命令拉取镜像。

执行 docker save -o adguardhome adguard/adguardhome:latest 命令保存 docker 镜像为 .tar 文件。

1
2
3
4

[root]# docker images
REPOSITORY                     TAG       IMAGE ID       CREATED       SIZE
homeassistant/home-assistant   latest    77302f5cbeee   2 years ago   1.16GB
adguard/adguardhome            latest    bbb58017bf5b   2 years ago   80.6MB

你在哪个目录执行 docker save -o adguardhome adguard/adguardhome:latest 命令， .tar 文件就保存在那个目录，将.tar 文件下载下来即可。

1
2

[root]# ls
adguardhome.tar home-assistant.tar

6. 配置 Docker

6.1 配置 Docker 网络

IPv4 地址随意填，但是 IPv4 网关要跟着 IPv4 地址一起变。

例如：

• IPv4 地址：xxx.xxx.xxx.0/24
• IPv4 网关：xxx.xxx.xxx.1

发现没有 IPv6，F12 打开控制台，将 style="display: none;" 删除掉。

我设置的是 fd32::/64，你们也可以设置其他的，比如 fe00::/64 等，但是不要设置 fe80::/64。

6.2 上传镜像

在 系统设置 > 磁盘管理 > 文件管理 中上传自己的镜像。

粘贴地址后，点击确认。

6.3 创建容器

容器配置

• 容器名称：随便，我这里使用 adguard
• 内存占用(M)：一般为256 512 1024 2048（根据自己的需要配置，我这里使用 1024）
• 选择镜像文件：adguard/adguardhome:latest
• 选择网络接口：刚刚配置的，我这里是 doc_1（如果配置的名称是 cfbk 他会加上 doc_，变为 doc_cfbk）
• IPv4地址：我在接口管理中设置的是 192.168.10.0/24，那么选一个同网段的地址，填 192.168.10.10
• IPv6地址：我在接口管理中设置的是 fd32::/64，那么选一个同网段的地址，填 fd32::2，fd32::1 已经作为网关使用了，不填也可以，会自动分配
• 开机自启：选择上（要不爱快 dns 设置上 docker 容器不启动，那 dns 解析不到东西就上不了网了）

查看是否已启用

7. 配置 AdGuard

默认端口是 3000，导航栏输入 192.168.10.10:3000 访问。

7.1 常规设置

• 用 AdGuard【家长控制】服务：如果家中有尚未成年的孩子，建议开启，屏蔽成人内容。
• 强制安全搜索：在 Bing、Google、Yandex、YouTube 等网站上强制使用安全搜索，屏蔽 NSFW 内容。

7.2 DNS 设置

上游DNS服务器

1
2
3
4
5
6
7

https://120.53.53.53/dns-query
https://doh.360.cn/dns-query
https://1.12.12.12/dns-query
https://dns.alidns.com/dns-query
https://dns.cloudflare.com/dns-query
https://dns.pub/dns-query
https://dns11.quad9.net/dns-query

• 负载均衡：使用加权随机算法来选择最快的服务器，也就是随机选择一个上游 DNS 服务器中的一个进行解析请求，哪个延迟低就更偏向于用哪一个。
• 并行请求：同时请求所有上游 DNS 服务器，取最快给出的响应结果，所以解析速度很快。在上游 DNS 服务器设置合理的情况下属于万金油方案，解析速度和访问速度都很快。所以也非常适合上游 DNS 服务器连接延迟大和不稳定的情况。
• 最快的 IP 地址：同时请求所有上游 DNS 服务器，在所有响应结果中选出延迟最低且可用的 IP。因为要等待所有上游 DNS 服务器响应结果，而且还要测试 IP 延迟及可用性，所以解析速度会很慢。只适合上游 DNS 服务器延迟特别低且网络非常稳定的场景，否则实际使用中可能会遇到首次打开网页非常慢，甚至可能打不开，要多刷新几次。再者低延迟 IP 不一定速度就快，还要看实际负载情况，所以这个方案的实际可用性是最差的。

Bootstrap DNS服务器

Bootstrap DNS 服务器（引导 DNS 服务器）的作用只是解析上游 DoT/DoH 技术 DNS 服务器的域名，所以这里需要填写使用 UDP 协议的传统 DNS 服务器 IP 地址。

前两个优先选择自己本地运营商 DNS

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

180.76.76.76
114.114.114.114
119.29.29.29
119.28.28.28
223.5.5.5
223.6.6.6
182.254.116.116
8.8.8.8
8.8.4.4
1.1.1.1
9.9.9.11
149.112.112.11
101.226.4.6

测试上游 DNS -> 应用

DNS服务配置

• 速度限制：0
• 使用 EDNS ：前面提及的上游 DNS 服务器都是支持 EDNS (ECS) 的，它有助于获取到更合适的 CDN 节点，建议勾选。
• 使用 DNSSEC : 用于效验 DNS 记录的签名，防止 DNS 缓存被投毒，建议勾选。勾选后会在日志页面请求列显示小绿锁图标。
• 禁用 IPv6 ：丢弃 IPv6 的 DNS 查询。在本地网络和网站都支持 IPv6 会优先使用 IPv6 去访问网站，但目前 IPv6 的建设还处于初级阶段，大多数地区的 IPv6 网络体验都一般。还有一些代理软件对 IPv6 支持不佳。如果对此没有特殊需求，那么直勾选即可，这样既不影响 BT 软件连接 IPv6 网络，又可以优先使用 IPv4 来上网。如果只有 IPv4 ，那么是否勾选没有区别。

DNS缓存配置

TTL （Time To Live）：存活时间，放在 DNS 解析中意为一条域名解析记录在 DNS 服务器中的存留时间，单位是秒。

正常情况下 TTL 默认 0 即可，即从上游 DNS 服务器获取 TTL 值。如果你所部署的网络环境到上游 DNS 服务器的延迟比较高，那么可以适当增加 TTL 值，让缓存更持久，短时间内请求同样域名的解析会直接从缓存中读取，实现秒解析。不过 TTL 值不宜过大，不然会导致记录不能及时更新，结果是网站无法正常打开。目前多数域名的 TTL 值普遍在 300 以内。

7.3 DNS 封锁清单

过滤规则地址：https://github.com/sbwml/halflife-list

• anti-AD 命中率最高列表 https://cdn.jsdelivr.net/gh/privacy-protection-tools/anti-AD@master/anti-ad-easylist.txt
• 合并自乘风视频广告 https://cdn.jsdelivr.net/gh/sbwml/halflife-list@master/ad.txt

8. DHCP 和 DNS 设置

DNS 地址设置为 AdGuard 的地址。

首选 DNS 地址写 AdGuard 的地址，如果在创建容器的时候设置了 IPV6 地址，就用哪个地址，备选 DNS 地址设置一个公共的作为备用。

9. IPV6 / ACL 规则

9.1 iKuai 开启 IPV6

点击 确定 后，过一会就会有 IPV6 地址。

在 wan 口有 IPV6 地址后，下面的 lan 口也会有 IPV6 地址。

9.2 开启 ACL 规则（对自己的内网实现基本的防护）

第一条规则：禁止所有外网的 IPV6 访问

• 方向：转发，转发就是 wan 口转到 lan 口，外面的数据从 wan 口进来，转发到 lan 口，我们把这个方向阻断
• 连接方向匹配：原始方向，也就是直接从 wan 口进来的

第一条规则会导致内部的 IPV6 无法访问外部，所以需要建立第二条规则，让内部的 IPV6 访问外部。

原理：先建立一条规则全部阻断，其次如果再建立允许规则的话，允许规则的权限是要大于阻断规则的。

第二条规则：允许内部的 IPV6 访问外部

• 连接方向匹配：关闭，代表对方向没有什么要求

Glinet搭建内网脚本服务器

访问 https://github.com/wukongdaily/gl-inet-onescript/discussions

1
2
3
4
5

docker run -d \
  --restart unless-stopped \
  --name glibox \
  -p 15050:15050 \
  wukongdaily/glibox

对于 MT3000/2500/6000 (ssh 连接到路由器内，在路由器内执行)

1

read -p "请输入glibox局域网 IP: " ip && wget -O /tmp/gl.sh http://$ip:15050/glinet/gl-inet.sh && sh /tmp/gl.sh $ip

对于 be3600 (ssh 连接到路由器内 在路由器内执行)

1

read -p "请输入glibox局域网 IP: " ip && wget -O /tmp/gl.sh http://$ip:15050/glinet/be3600.sh && sh /tmp/gl.sh $ip

在执行脚本前，先检查时区和版本

查看 高级设置，没有装 LuCI 的，先装一下 LuCI

安装 iStoreOS 风格化

安装个性化 UI 辅助插件

GL-MT 3000插件

1. 配置软件源

系统 - 软件包 - 配置OPKG

1
2
3
4
5
6
7
8

src/gz custom_feeds https://cdn.jsdelivr.net/gh/tiancaiV/gl-inet/MT3000     # 这个全，用这个
src/gz dllkids https://op.dllkids.xyz/packages/aarch64_cortex-a53
src/gz supes https://dl.openwrt.ai/packages-23.05/aarch64_cortex-a53/kiddin9
src/gz openwrt_base https://mirrors.cloud.tencent.com/openwrt/releases/21.02-SNAPSHOT/packages/aarch64_cortex-a53/base
src/gz openwrt_luci https://mirrors.cloud.tencent.com/openwrt/releases/21.02-SNAPSHOT/packages/aarch64_cortex-a53/luci
src/gz openwrt_packages https://mirrors.cloud.tencent.com/openwrt/releases/21.02-SNAPSHOT/packages/aarch64_cortex-a53/packages
src/gz openwrt_routing https://mirrors.cloud.tencent.com/openwrt/releases/21.02-SNAPSHOT/packages/aarch64_cortex-a53/routing
src/gz openwrt_telephony https://mirrors.cloud.tencent.com/openwrt/releases/21.02-SNAPSHOT/packages/aarch64_cortex-a53/telephony

最好同时只用一个，我在使用时，同时配置多个，搜索 iptables-mod-socket 搜不出来，最后只保留了一个软件源，就搜出来了

2. 下载 iSotreOS

在筛选器中输入 luci-app-store

3. 获取安装包

地址：https://github.com/AUK9527/Are-u-ok/tree/main/apps

4. 安装

安装缺少的依赖

5. 添加订阅

Opnsense

物理机安装

• System architecture 选择 amd64
• Select the image type 选择 dvd(iso)
• Mirror Location 选择 Peking University，即北京大学镜像站。

使用 Ventory 制作启动盘

小主机有 4 个网口，分别是 ETH0、ETH1、ETH2、ETH3，将光猫网线插入 ETH3 作为 WAN 口。

会自动跑一段代码

1
2

Press any key to start the configuration importer: ...... # 这里按任意键
Select device to import from (e.g. ada0) or leave blank toexit: # 选择导入设备或留空退出 (按回车键退出)

1
2
3

Press any key to start the manual interface assignment: # 这里按任意键
Do you want to configure LAGGs now? [y/N] # 输入 n 回车
Do you want to configure VLANs now? [y/N] # 输入 n 回车

1
2
3

Enter the WAN interface name or 'a' for auto-detection: # 输入 igc3 回车
Enter the LAN interface nane or 'a' for auto-detection NOTE: this enables full Fireualling/NAT mode. (or nothing if finished):  # 输入 igc0 回车
Enter the Optional interface 1 name or 'a' for auto-detection (or nothing if finished): # 按回车键

1

Do you want to procees? [y/N] # 输入 y 回车

1
2
3

这里需要输入 installer 的账户登录进行安装
1.账号：installer
2.密码：opnsense，这里不会显示直接输入完成回车即可

确认安装的硬盘，两个选项，一个是物理机，一个是 Ventory 的制作启动盘。

1

Exit and reboot：退出并重启 (屏幕黑屏后拔掉 U 盘，后续启动使用物理机中安装的系统启动)

基本设置

• 光猫出来的线 -> 小主机 ETH3
• 小主机 ETH0 -> 电脑网口

控制面板 -> 网络和 Internet -> 网络和共享中心 -> 以太网

1
2
3

访问 http://192.168.1.1
1.账号：root
2.密码：opnsense

设置语言为简体中文

添加接口、网桥

添加接口 igc1、igc3

1
2
3

1.启用接口
2.修改描述 LAN2
3.保存 -> 应用更改

1
2
3

1.启用接口
2.修改描述 LAN3
3.保存 -> 应用更改

1
2
3

1.创建网桥
2.接口成员选择 LAN2、LAN3
3.出现接口 bridge0

1
2
3

IPV4 配置类型：静态 IPV4
IPV4 地址：按照自己喜好设置，但是不要和光猫或其他设备冲突
保存 -> 应用更改

添加防火墙

1
2
3

协议：any 支持所有
其他保持默认即可
保存 -> 应用更改

DHCP

1
2

范围从 192.168.8.10 开始是为了预留一些端口留作备用，按照自己喜好设置，最大不要超过 254
设置完后，保存 -> 重启服务

修改电脑网络IPV4为自动

LAN 口绑定网桥

将网线从 ETH0 拔出插入到 ETH1

访问 http://192.168.8.1 进入 web 管理页面

把 LAN 口的 DHCP 关闭

1
2

1.IPV4 配置类型：None
2.保存 -> 应用更改

把 LAN 口桥接上

PPPoE 拨号

1
2

如果光猫是桥接模式，可以使用 PPPoE 拨号上网
输入运营商提供的账号和密码

流量分析

安装 Redis 和 os-ntopng 插件

访问 3000 端口自动路由到 3090，用户名和密码是 admin