现代家庭与工作室透明代理网关实战配置指南

一、透明代理核心机制：TPROXY 与 TUN 模式辨析

透明代理（Transparent Proxying）的精髓在于：终端设备（如 iPhone 或 PS5）完全无需配置任何 HTTP 代理或 VPN 软件，仅需将局域网默认网关与 DNS 指向软路由，软路由在内核层拦截其进出数据包，并透明地完成协议转换与专线中继分流。

在 Linux 内核生态中，主要存在两大透明转发范式：

• IPTables / NFTables TPROXY 模式： 工作在网络三层与四层，利用 Linux 强大的 iptables -t mangle -A PREROUTING -p tcp -j TPROXY 规则，在保持客户端原始源 IP 和端口（Preserve Client IP）的前提下将数据包送入代理进程。TPROXY 的优势在于几乎零性能折损、零上下文拷贝开销，是万兆 x86 软路由的首选机制。
• 虚拟网卡 TUN 模式（Universal TUN/TAP）： 由现代代理核心（如 Sing-box、Clash Meta/Verge 内核）自建一块虚拟 tun0 适配器，通过将全系统默认路由导向该网卡，由用户态软件接管所有网络三层 IP 数据包。TUN 模式的配置容错率高、跨平台移植性强，尤其适合与 Mosdns 结合进行域名解析分流。

“最好的网络配置是无形的：当你拿起 Apple TV 遥控器按下播放键，4K 杜比视界直接绽放，仿佛防火墙从未存在。”

二、硬件选型与系统底座搭建：x86 Mini PC 的艺术

为了应对 1000M 乃至 2.5G 宽带全速解密加解密，传统的百元级 MIPS/ARM 路由器在 CPU 算力上往往捉襟见肘，极易在多人高并发视频渲染或 BT 下载时出现软中断（Softirq）飙高、发热降频乃至断网。

我们推荐基于 Intel N100 / N305 / J4125 芯片的 4 口 Intel i226-V 2.5G 网卡被动散热工控主机作为硬件底座：

1. 底层虚拟化系统： 优先选择 Proxmox VE (PVE) 8.x 或底层轻量 Debian 12。通过虚拟化技术，可以在一台主机内并行运行主路由（iKuai / RouterOS 负责 PPPoE 拨号与 DHCP 分发）、旁路透明网关（Alpine / OpenWrt 专职处理专线分流）以及局域网 NAS 服务。
2. 网卡直通（PCIe Passthrough）： 将物理网口直接穿透直通给虚拟网关虚拟机，跳过虚拟交换机（vSwitch）的 CPU 中断损耗，实现接近裸机 Line-rate 的线速转发。

三、DNS 架构设计：Mosdns + Fake-IP 彻底解决解析污染

透明网关组网中最棘手、最容易翻车的环节绝不是流量转发，而是 DNS 污染与解析回环。许多配置失误会导致国内应用（如微信、淘宝、网易云音乐）被解析到海外 CDN，页面加载奇慢；或是海外流媒体被解析为本地无效 IP，连接超时。

推荐采用 Mosdns 作为局域网前置权威 DNS 调度分流器，配合 Sing-box / Clash 内核构建三级防护链：

客户端请求 (UDP 53 / DoH)
    │
    ▼
[ Mosdns 分流引擎 ]
    ├── 1. 命中 GeoSite: CN 规则集 ──► 并发查询国内权威 DNS (223.5.5.5 / 119.29.29.29)
    │                                     └── 验证结果为大陆 IP ──► 直接返回真实最优 IP
    │
    └── 2. 命中海外 / 未知域名 ───────► 导向 Sing-box 内核 Fake-IP 模块
                                          └── 返回 198.18.0.0/16 虚拟保留 IP
                                          └── 将真实域名注入隧道，交由 xxyun 节点海外递归解析
            

这种架构的精妙之处在于：对于国内访问，享受 100% 本地电信运营商的 CDN 直连加速；对于跨国流量，客户端完全不执行真实 DNS 查询，杜绝本地 DNS 劫持与 SNI 阻断，由 xxyun 节点直接完成海外纯净解析，首包响应速度最高可提升 400%。

四、终端实战：Apple TV 与游戏主机的无感调校

在实际工作室环境中，针对不同终端需要配置差异化的分流策略：

1. Apple TV 4K 影视终端： 将 Apple TV 的网络配置由 DHCP 改为静态手动（或在路由器 DHCP 服务端进行 MAC 绑定）。将网关填入软路由 IP，DNS 填入软路由 IP。在 Sing-box 规则集中，将 netflix、disney、apple-tv、youtube 策略组绑定到 xxyun 提供的“原生住宅流媒体专属节点”。

2. 任天堂 Switch / PS5 / Xbox 主机： 主机联机极度依赖 UDP Full-Cone NAT（全锥形 NAT）穿透，以获得 NAT Type A 或 Type 1 状态。在软路由内核中开启 FullCone-NAT (STUN) 模块，并在代理规则中将任天堂或索尼对战服务器 IP 网段直接放行（Direct）或走低延迟 IPLC 专线，彻底告别联机掉线和队友无法加入语音房间的问题。