74 lines
2.6 KiB
Markdown
Executable File
74 lines
2.6 KiB
Markdown
Executable File
# 快速自检核对清单（一页纸，修改配置后必检查）
|
||
|
||
> 适用：单网口 OpenWrt 旁路由 OpenClash redir\-host \+ 群晖 qBittorrent
|
||
> 主路由：\[192\.168\.1\.1\]\(192\.168\.1\.1\)
|
||
>
|
||
>
|
||
|
||
## 🔹 一、ARP 劫持检查（核心，防止全网卡顿）
|
||
|
||
* [ ] SSH 软路由执行 `ps | grep arpspoof`，**无 arpspoof 进程**
|
||
|
||
* [ ] 电脑 macOS 执行 `arp -a`，`192.168.1.1` MAC 地址 = **主路由原生 MAC**，不是软路由 MAC
|
||
|
||
* [ ] OpenClash 网页：ARP 劫持 / 局域网 ARP 欺骗 ❌ 取消勾选，保存并重启内核
|
||
|
||
## 🔹 二、OpenClash 内核 \& nft 规则检查
|
||
|
||
* [ ] `ps | grep clash`，存在 clash 主进程 \+ openclash\_watchdog 看门狗
|
||
|
||
* [ ] `nft list ruleset | grep -i clash` 有输出：
|
||
|
||
* [ ] DNS 劫持规则：`th dport 53 ... redirect to :53`
|
||
|
||
* [ ] TCP/UDP 流量跳转规则：`ip protocol tcp jump openclash`
|
||
|
||
* [ ] QUIC 拦截规则：`udp dport 443 ... reject`
|
||
|
||
> 备注：`chain openclash {}` 为空属于 fw4 正常现象，无需处理
|
||
>
|
||
>
|
||
|
||
* [ ] OpenClash 模式：✅ redir\-host；监听网卡选择软路由单 LAN 网卡
|
||
|
||
## 🔹 三、业务连通性测试（分两类设备）
|
||
|
||
### 设备 A：网关 = \[192\.168\.1\.1\]\(192\.168\.1\.1\)（不使用代理，群晖 qb 属于这类）
|
||
|
||
* [ ] \[ifconfig\.me\]\(ifconfig\.me\)：显示**家庭宽带公网 IP**，不是代理 IP
|
||
|
||
* [ ] [dnsleaktest\.com](https://dnsleaktest.com)：DNS 为国内公共 / 运营商 DNS，无境外 DNS 泄露
|
||
|
||
### 设备 B：网关 = 软路由 IP（需要走代理）
|
||
|
||
* [ ] 国内网站：直连，IP 为宽带 IP
|
||
|
||
* [ ] 匹配规则的境外站点：返回代理 IP
|
||
|
||
* [ ] [dnsleaktest\.com](https://dnsleaktest.com)：DNS 由 OpenClash 接管，无泄漏
|
||
|
||
* [ ] `ping 223.5.5.5`，延迟稳定，无大量丢包，全网无卡顿
|
||
|
||
## 🔹 四、群晖 qBittorrent 专项检查
|
||
|
||
* [ ] 群晖系统网关保持 `192.168.1.1`（不修改为软路由）
|
||
|
||
* [ ] qBittorrent 设置：仅 Tracker 按需配置代理，Peer 流量直连
|
||
|
||
* [ ] 查看 qb 日志，确认 Tracker 按预期走代理，Peer 流量不走代理
|
||
|
||
## 🔹 五、故障快速判断
|
||
|
||
- 开启 OpenClash 全网卡顿 → 大概率 ARP 劫持没关干净，重新核对 ARP 部分
|
||
|
||
- 内核进程存在，但流量不劫持 → 检查监听网卡，重启 OpenClash 内核重新注入 nft 规则
|
||
|
||
- DNS 泄露 → OpenClash 开启 DNS 劫持，禁用上游 UDP DNS
|
||
|
||
---
|
||
|
||
你可以把【综合配置文档】\+【一页自检清单】一起复制保存为 Markdown 文件本地存档。
|
||
需要我把两份文档合并成**单个完整 md 文本**，直接一次性复制保存吗？
|
||
|
||
> （注：部分内容由豆包工作 AI 生成）
|