bugfix

scripts/gateway.sh.j2

@@ -5,6 +5,7 @@ set -eo pipefail
 # 网关主机配置变量 - 请根据你的实际环境修改！
 # ==============================================================================
 # 网关主机内网IP (用于其他内网主机连接)
+curuser=$(id -un)
 GATEWAY_LAN_IP="{{ gateway_lan_ip }}"
 GATEWAY_LAN_CIDR="{{ gateway_lan_cidr }}" # 内网网段
 # DHCP 租约范围
@@ -19,6 +20,7 @@ LAN_INTERFACE="{{ lan_interface }}" # 连接内网的网卡，我们将配置静
 # SSH SOCKS5 代理配置
 REMOTE_SSH_USER="{{ remote_ssh_user }}" # 远程服务器的SSH用户名
 REMOTE_SSH_IP="{{ remote_ssh_ip }}" # 远程服务器的IP地址
+REMOTE_SSH_NAME="{{ remote_ssh_name }}" # 远程服务器的IP地址
 REMOTE_SSH_PORT="{{ remote_ssh_port }}" # 远程服务器的SSH端口
 LOCAL_SOCKS5_PORT="{{ local_socks5_port }}" # SSH SOCKS5 代理在本机监听的端口 (127.0.0.1:1080)
 
@@ -71,7 +73,7 @@ install_package() {
 # ==============================================================================
 # 0. 前置检查与环境初始化
 # ==============================================================================
-check_root
+# check_root
 log_info "开始网关主机配置脚本..."
 
 log_info "更新系统软件包列表..."
@@ -149,11 +151,12 @@ max-lease-time ${DHCP_LEASE_TIME};
 authoritative;
 
 # A slightly different configuration for an internal subnet.
-subnet {{ gateway_lan_cidr%.* }}.0 netmask 255.255.255.0 {
+{% set net_base = gateway_lan_ip.split('.') | slice(3) | join('.') %}
+subnet {{ net_base }}.0 netmask 255.255.255.0 {
     range ${DHCP_START_IP} ${DHCP_END_IP};
     option routers ${GATEWAY_LAN_IP};
     option domain-name-servers ${GATEWAY_LAN_IP}; # DNS 指向网关主机本身
-    option broadcast-address {{ gateway_lan_cidr%.* }}.255;
+    option broadcast-address {{ net_base }}.255;
     default-lease-time ${DHCP_LEASE_TIME};
     max-lease-time ${DHCP_LEASE_TIME};
 }
@@ -186,7 +189,7 @@ User=${curuser}
 Type=simple
 # 注意：这里需要确保用户 {{ remote_ssh_user }} 是一个实际存在的用户，并且可以访>问其 $HOME/.ssh
 # 为了简化，我们暂时用root运行，但更推荐使用非root用户
-ExecStart=/usr/bin/ssh -D ${LOCAL_SOCKS5_PORT} -N -p ${REMOTE_SSH_PORT} ${REMOTE_SSH_USER}@${REMOTE_SSH_IP} -o ExitOnForwardFailure=yes -o ServerAliveInterval=60 -o ServerAliveCountMax=3
+ExecStart=/usr/bin/ssh -D ${LOCAL_SOCKS5_PORT} -N -p ${REMOTE_SSH_PORT} ${REMOTE_SSH_USER}@${REMOTE_SSH_NAME} -o ExitOnForwardFailure=yes -o ServerAliveInterval=60 -o ServerAliveCountMax=3
 # 使用 Restart 策略确保连接断开时自动重连
 Restart=always
 RestartSec=5
@@ -308,12 +311,19 @@ log_info "设置 GFW 规则定时更新任务 (每天凌晨 3:00)..."
 (sudo crontab -l 2>/dev/null; echo "0 3 * * * cd ${GFWLIST2NEW_DIR} && sudo python3 ${LOCAL_SCRIPT_NAME} -p ${SOCKS5_SERVER_ADDR} -f "{{ foreign_dns1 }} {{ foreign_dns2 }}" -d "{{ domestic_dns1 }} {{domestic_dns1}}" && sudo systemctl restart dnsmasq") | sudo crontab -
 log_info "规则生成器配置完成并设置定时更新。"
 cd - > /dev/null
+
 # ==============================================================================
-# 7. 配置 IPTABLES 规则实现透明代理和 NAT (保持不变)
+# 7. 配置 IPTABLES 规则实现透明代理和 NAT (修正完整版)
 # ==============================================================================
 log_info "配置 IPTABLES 规则 (NAT 和透明代理)..."
 
+# 变量定义检查（确保这些变量在脚本前面已正确定义）
+# REMOTE_SSH_IP: 远程SOCKS5服务器的公网IP
+# WAN_INTERFACE: 外网网卡名，如 eth0
+# LAN_INTERFACE: 内网网卡名，如 enx...
+
 # 清除现有规则，避免冲突
+log_info "清除现有 IPTABLES 规则..."
 sudo iptables -F
 sudo iptables -X
 sudo iptables -t nat -F
@@ -330,15 +340,44 @@ sudo iptables -A FORWARD -i {{ lan_interface }} -o {{ wan_interface }} -j ACCEPT
 sudo iptables -A FORWARD -o {{ lan_interface }} -i {{ wan_interface }} -m state --state RELATED,ESTABLISHED -j ACCEPT
 log_info "已配置 IP 转发规则。"
 
-# 3. 透明代理规则 (使用 redsocks 和 ipset)
+# 3. 透明代理规则 (核心的 PREROUTING 链)
-# 重定向到 redsocks 的流量，不处理来自 redsocks 本身的流量
+log_info "配置透明代理 PREROUTING 排除和重定向规则..."
-sudo iptables -t nat -A PREROUTING -i {{ lan_interface }} -p tcp -s {{ gateway_lan_cidr }} -m set --match-set gfwlist dst -j REDIRECT --to-ports ${REDSOCKS_PORT}
-log_info "已配置透明代理重定向规则 (所有端口，目标IP在 gfwlist 中的内网TCP流量到 redsocks)。"
 
-# 排除 redsocks 自身流量循环
+# --- 排除规则（必须在重定向规则之前） ---
-# 这一步非常重要，避免 redsocks 自己产生流量又被 iptables 捕获
+
-sudo iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 --dport ${REDSOCKS_PORT} -j RETURN
+# 3.1 排除所有重定向到本地的流量（已经通过 OUTPUT 排除，这里可以再加一层保险）
-sudo iptables -t nat -A OUTPUT -p tcp -d 127.0.0.1 --dport ${LOCAL_SOCKS5_PORT} -j RETURN
+sudo iptables -t nat -A PREROUTING -d 127.0.0.0/8 -j RETURN || log_error "排除本地回环失败。"
+
+# 3.2 排除局域网内流量 (不代理内网互访)
+sudo iptables -t nat -A PREROUTING -i {{ lan_interface }} -d {{ gateway_lan_cidr }} -j RETURN || log_error "排除内网流量失败。"
+
+# 3.3 【❗ 补充：排除远程 SSH 服务器 IP ❗】
+# 避免 SSH 连接本身被重定向，防止无限循环。
+# 假设变量 REMOTE_SSH_IP 已经正确替换。
+sudo iptables -t nat -A PREROUTING -d {{ remote_ssh_ip }} -j RETURN || log_error "排除远程 SSH IP 失败。"
+log_info "已添加规则：排除远程 SSH 服务器 {{ remote_ssh_ip }}。"
+
+
+# 3.4 【❗ 补充：排除国内 IP ❗】
+# 排除目标 IP 在 china_ip 集合中的流量（国内流量直连）
+# 假设 china_ip 集合通过其他脚本/步骤创建
+# 注意：您的 gfwlist2new/gfw_rules_generator 脚本只处理 gfwlist，这里不需要 china_ip 的 ipset 排除
+# 而是依赖 gfwlist ipset 的精准捕获。我们移除这个容易出错的步骤，只依赖 gfwlist。
+# 如果需要排除国内 IP 段，需要有外部脚本维护 china_ip 集合。
+
+# --- 重定向规则 ---
+
+# 3.5 核心重定向规则：
+# 只有流量目标 IP 在 gfwlist ipset 集合中，才重定向到 redsocks。
+# 注意：该规则必须在排除规则之后。
+sudo iptables -t nat -A PREROUTING -i {{ lan_interface }} -p tcp -s {{ gateway_lan_cidr }} -m set --match-set gfwlist dst -j REDIRECT --to-ports ${REDSOCKS_PORT}
+log_info "已配置透明代理重定向规则 (目标IP在 gfwlist 中的内网TCP流量到 redsocks)。"
+
+
+# 4. 排除 redsocks 自身流量循环 (OUTPUT 链)
+# 这一步非常重要，避免 redsocks/ssh 客户端自己产生流量又被 iptables 捕获
+# 排除目标地址是 127.0.0.1 的流量，它们是 SSH 和 Redsocks 的内部通信。
+sudo iptables -t nat -A OUTPUT -d 127.0.0.1 -p tcp -j RETURN
 log_info "已配置排除 redsocks 自身流量循环的规则。"
 
 # 保存 iptables 规则
@@ -346,9 +385,3 @@ sudo netfilter-persistent save || log_error "保存 iptables 规则失败。"
 sudo systemctl enable netfilter-persistent || log_error "启用 netfilter-persistent 服务失败。"
 log_info "IPTABLES 规则已配置并保存。"
 
-log_info "----------------------------------------------------------------------------------"
-log_info "网关主机配置完成！"
-log_info "请检查 redsocks 和 ssh -D 进程是否正常运行。"
-log_info "请注意：SSH SOCKS5 代理可能需要手动输入密码或配置免密登录才能持久运行。"
-log_info "内网主机现在应该可以自动通过 DHCP 获取 IP 并访问网络。"
-log_info "----------------------------------------------------------------------------------"

scripts/gfw_rules_generator.py

@@ -10,7 +10,6 @@ GFWLIST_URL = "https://raw.githubusercontent.com/gfwlist/gfwlist/master/gfwlist.
 def log_info(message):
     print(f"[INFO] {message}")
 
-# 注意：foreign_dns_list 和 domestic_dns_list 现在是列表
 def generate_rules(proxy_server, foreign_dns_list, domestic_dns_list, ipset_name="gfwlist"):
     """
     生成 Dnsmasq 和 IPSet 规则文件。
@@ -19,10 +18,18 @@ def generate_rules(proxy_server, foreign_dns_list, domestic_dns_list, ipset_name
         log_info("错误：必须提供至少一个国内 DNS 和一个国外 DNS。")
         sys.exit(1)
         
+    # --- 代理配置：通过本地 SOCKS5 隧道下载 GFWList ---
+    proxies = {
+        'http': f'socks5h://{proxy_server}',  # socks5h 使用远程 DNS 解析
+        'https': f'socks5h://{proxy_server}'
+    }
+    log_info(f"配置代理：使用 {proxy_server} 通过隧道下载 GFWList...")
+    # ----------------------------------------------------
+        
     try:
         log_info(f"正在从 {GFWLIST_URL} 下载 GFWList...")
-        # 尝试通过代理下载 GFWList (这里假设环境已配置或可以直接访问 GitHub)
+        # 传入 proxies 参数，强制 requests 走代理
-        response = requests.get(GFWLIST_URL, timeout=30)
+        response = requests.get(GFWLIST_URL, timeout=30, proxies=proxies)
         response.raise_for_status()
         
         # 1. 解码 GFWList
@@ -33,7 +40,7 @@ def generate_rules(proxy_server, foreign_dns_list, domestic_dns_list, ipset_name
             content = response.text
             
     except requests.exceptions.RequestException as e:
-        log_info(f"下载 GFWList 失败，请检查网络连接: {e}")
+        log_info(f"致命错误：通过代理下载 GFWList 失败，请检查 SSH SOCKS5 隧道状态！: {e}")
         # 如果下载失败，中止脚本以避免生成空文件
         sys.exit(1)
 
@@ -67,13 +74,13 @@ def generate_rules(proxy_server, foreign_dns_list, domestic_dns_list, ipset_name
 
     try:
         with open(dnsmasq_conf_path, 'w') as f:
-            f.write(f"# Dnsmasq rules generated by gfw_rules_generator.py on {os.path.basename(__file__)}\n")
+            f.write(f"# Dnsmasq rules generated by {os.path.basename(__file__)} on {os.uname().nodename}\n")
             
             # 写入所有国内 DNS 服务器
             for dns in domestic_dns_list:
                 f.write(f"server={dns}\n")
             
-            # GFWList 域名设置 (通过代理的上游 DNS 解析，并加入 IPSet)
+            # GFWList 域名设置
             for domain in sorted(list(domains)):
                 # 1. 将域名加入 IPSet 集合 (由 dnsmasq 动态处理)
                 f.write(f"ipset=/{domain}/{ipset_name}\n")
@@ -107,6 +114,9 @@ if __name__ == "__main__":
 
     args = parser.parse_args()
     
+    # 在开始生成规则之前，必须确保 requests 库已经安装 socks5 支持
+    # 确保在 Bash 脚本中已经执行: sudo pip3 install requests PySocks
+    
     log_info("开始生成 GFWList 规则...")
     generate_rules(args.proxy, args.foreign_dns, args.domestic_dns, args.name)
     log_info("规则生成完成。")

scripts/render.py

@@ -15,10 +15,11 @@ config_vars = {
 	"dhcp_lease_time": "7200",
 	"remote_ssh_user": "kww",
 	"remote_ssh_ip": "8.222.165.87", # !!! 替换为你的远程SSH服务器IP
+	"remote_ssh_name": "atvoe.com", # !!! 替换为你的远程SSH服务器域名
 	"remote_ssh_port": "22",
 	"local_socks5_port": "1080",
 	"redsocks_port": "55555",
-	"domestic_dns1": "223.5.5.5"
+	"domestic_dns1": "223.5.5.5",
 	"domestic_dns2": "114.114.114.114",
 	"foreign_dns1": "8.8.8.8",
 	"foreign_dns2": "1.1.1.1",
@@ -39,13 +40,5 @@ with open('gateway.sh', 'w') as f:
 	f.write(rendered_gateway_script)
 print("Generated gateway_config.sh")
 
-# 4. 渲染 client_config.sh
-client_template = env.get_template('client_config.sh.j2')
-rendered_client_script = client_template.render(config_vars) # 客户端脚本也需要一些全局变量
-
-with open('client_config.sh', 'w') as f:
-	f.write(rendered_client_script)
-print("Generated client_config.sh")
-
 print("\n!!! 请务必检查生成的 .sh 文件，特别是 SSH 代理和网卡名称等配置。")
 print("在执行前，给它们添加可执行权限：chmod +x gateway_config.sh client_config.sh")