[笔记] PVE下iKuai+旁路由的正确方式

网络模型：
QQ图片20221129172428.png
爱快分流设置：
QQ图片20221129172438.png

网络结构和网上的多数旁路由教程没区别，但是网上的教程会让你局域网的设备网关填写旁路由IP,旁路由网关填写主路由IP
于是：
1.数据包从PC发出，经过旁路由，再到主路由转发到WAN出口
2.数据包进来，又会经过两个路由，再发送到PC上
主要影响原本的端口映射

换成iKuai分流后：
1.数据包从PC发出，经过旁路由，再到主路由转发到WAN出口
2.数据包进来，经过主路由，直接到PC

可以看到数据包进来是直接主路由转发到PC上的，所以对端口映射无影响

具体配置：
1.PVE LXC开个debian容器
2.安装V2ray
3.开启内核转发

nano /etc/sysctl.conf
#添加net.ipv4.ip_forward=1
sysctl -p /etc/sysctl.conf

4.V2ray配置文件

此处内容需要评论回复后方可阅读。

5.iptables配置

#!/bin/sh

#路由转发,网段和网卡按实际修改
iptables -t nat -A POSTROUTING -s 10.20.20.0/24 -o eth0 -j MASQUERADE

#路由表回环
ip rule add fwmark 1 table 100
ip route add local 0.0.0.0/0 dev lo table 100

# 代理局域网设备
iptables -t mangle -N V2RAY
iptables -t mangle -A V2RAY -d 192.168.0.0/16 -j RETURN
iptables -t mangle -A V2RAY -d 10.20.0.0/16 -j RETURN # 直连局域网
iptables -t mangle -A V2RAY -j RETURN -m mark --mark 0xff    # 直连 SO_MARK 为 0xff 的流量
iptables -t mangle -A V2RAY -p udp -j TPROXY --on-ip 127.0.0.1 --on-port 12345 --tproxy-mark 1 # 给 UDP 打标记 1，转发至 12345 端口 
# 不建议UDP转发，连接过多会造成ikuai重启
iptables -t mangle -A V2RAY -p tcp -j TPROXY --on-ip 127.0.0.1 --on-port 12345 --tproxy-mark 1  # 给 TCP 打标记 1，转发至 12345 端口
iptables -t mangle -A PREROUTING -j V2RAY # 应用规则

# 新建 DIVERT 规则，避免已有连接的包二次通过 TPROXY，理论上有一定的性能提升
iptables -t mangle -N DIVERT
iptables -t mangle -A DIVERT -j MARK --set-mark 1
iptables -t mangle -A DIVERT -j ACCEPT
iptables -t mangle -I PREROUTING -p tcp -m socket -j DIVERT

保存为iptable.sh

chmod +x ./iptable.sh
./iptable.sh
mkdir -p /etc/iptables
iptables-save > /etc/iptables/rules.v4  #保存规则

新建tproxyrule.service服务

[Unit]
Description=Tproxy rule
After=network.target
Wants=network.target

[Service]
Type=oneshot
RemainAfterExit=yes
# 注意分号前后要有空格
ExecStart=/sbin/ip rule add fwmark 1 table 100 ; /sbin/ip route add local 0.0.0.0/0 dev lo table 100 ; /usr/sbin/iptables-restore /etc/iptables/rules.v4
ExecStop=/sbin/ip rule del fwmark 1 table 100 ; /sbin/ip route del local 0.0.0.0/0 dev lo table 100 ; /usr/sbin/iptables -t mangle -F

[Install]
WantedBy=multi-user.target

保存到/etc/systemd/system/tproxyrule.service
systemctl enable tproxyrule.service自启服务
5.爱快设置
QQ截图20221129181218.png