2.6 KiB
Executable File
快速自检核对清单（一页纸，修改配置后必检查）
适用：单网口 OpenWrt 旁路由 OpenClash redir-host + 群晖 qBittorrent 主路由：[192.168.1.1](192.168.1.1)
🔹 一、ARP 劫持检查（核心，防止全网卡顿）
-
SSH 软路由执行
ps | grep arpspoof，无 arpspoof 进程 -
电脑 macOS 执行
arp -a，192.168.1.1MAC 地址 = 主路由原生 MAC，不是软路由 MAC -
OpenClash 网页：ARP 劫持 / 局域网 ARP 欺骗 ❌ 取消勾选，保存并重启内核
🔹 二、OpenClash 内核 & nft 规则检查
-
ps | grep clash，存在 clash 主进程 + openclash_watchdog 看门狗 -
nft list ruleset | grep -i clash有输出：-
DNS 劫持规则：
th dport 53 ... redirect to :53 -
TCP/UDP 流量跳转规则：
ip protocol tcp jump openclash -
QUIC 拦截规则：
udp dport 443 ... reject
-
备注：
chain openclash {}为空属于 fw4 正常现象，无需处理
- OpenClash 模式：✅ redir-host；监听网卡选择软路由单 LAN 网卡
🔹 三、业务连通性测试（分两类设备）
设备 A：网关 = [192.168.1.1](192.168.1.1)（不使用代理，群晖 qb 属于这类）
-
[ifconfig.me](ifconfig.me)：显示家庭宽带公网 IP，不是代理 IP
-
dnsleaktest.com：DNS 为国内公共 / 运营商 DNS，无境外 DNS 泄露
设备 B：网关 = 软路由 IP（需要走代理）
-
国内网站：直连，IP 为宽带 IP
-
匹配规则的境外站点：返回代理 IP
-
dnsleaktest.com：DNS 由 OpenClash 接管，无泄漏
-
ping 223.5.5.5，延迟稳定，无大量丢包，全网无卡顿
🔹 四、群晖 qBittorrent 专项检查
-
群晖系统网关保持
192.168.1.1（不修改为软路由） -
qBittorrent 设置：仅 Tracker 按需配置代理，Peer 流量直连
-
查看 qb 日志，确认 Tracker 按预期走代理，Peer 流量不走代理
🔹 五、故障快速判断
-
开启 OpenClash 全网卡顿 → 大概率 ARP 劫持没关干净，重新核对 ARP 部分
-
内核进程存在，但流量不劫持 → 检查监听网卡，重启 OpenClash 内核重新注入 nft 规则
-
DNS 泄露 → OpenClash 开启 DNS 劫持，禁用上游 UDP DNS
你可以把【综合配置文档】+【一页自检清单】一起复制保存为 Markdown 文件本地存档。 需要我把两份文档合并成单个完整 md 文本，直接一次性复制保存吗？
（注：部分内容由豆包工作 AI 生成）