[All In One] HomeLab 虚拟化 iKuai + Mihomo

arch: amd64
cores: 2
features: nesting=1
hostname: gateway
memory: 2048
net0: name=wan0,bridge=vmbr2,gw=192.168.100.1,hwaddr=BC:24:11:B8:D5:64,ip=192.168.100.2/24,type=veth
net1: name=lan0,bridge=vmbr1,hwaddr=BC:24:11:AF:9E:03,ip=192.168.200.1/24,type=veth
ostype: debian
rootfs: local:111/vm-111-disk-0.raw,size=8G
swap: 2048
unprivileged: 1
nameserver: 223.5.5.5

auto lo
iface lo inet loopback

auto lan0
iface lan0 inet static
        address 192.168.200.1/24
        gateway 192.168.200.2

auto wan0
iface wan0 inet static
        address 192.168.100.2/24

# ... (其他配置)
tproxy-port: 7894 # TProxy 监听端口，需与 nftables 脚本一致
routing-mark: 6666 # Mihomo 自身发出流量的标记，用于在 nftables 中豁免，防止代理自身

dns:
  enable: true
  listen: 127.0.0.1:1053 # Mihomo 仅作为本机 DNS 分流后端，由 AdGuard Home 转发进入
  ipv6: true
  enhanced-mode: redir-host # realip 方案，客户端拿到真实 IP
  respect-rules: true # DNS 上游连接也遵循代理规则，避免 DoH 直连被污染
  default-nameserver:
    - 223.5.5.5
    - 119.29.29.29
  proxy-server-nameserver:
    - 223.5.5.5
    - 119.29.29.29
  nameserver-policy:
    geosite:cn:
      - 127.0.0.1:5354 # 国内域名交给 SmartDNS 做就近解析
  nameserver:
    - https://cloudflare-dns.com/dns-query#节点选择
    - https://dns.google/dns-query#节点选择
# ... (其他配置)

[Unit]
Description=Mihomo Daemon, a Clash API compatible core.
After=network.target

[Service]
Type=simple
LimitNPROC=500
LimitNOFILE=1000000
CapabilityBoundingSet=CAP_NET_ADMIN CAP_NET_RAW CAP_NET_BIND_SERVICE
AmbientCapabilities=CAP_NET_ADMIN CAP_NET_RAW CAP_NET_BIND_SERVICE
Restart=always
ExecStartPre=/usr/bin/sleep 1s
ExecStart=/usr/local/bin/mihomo -d /etc/mihomo
ExecReload=/bin/kill -HUP $MAINPID

[Install]
WantedBy=multi-user.target

tee /etc/sysctl.conf <<-'EOF'
net.ipv4.ip_forward = 1
net.ipv6.conf.all.forwarding = 1
EOF

#!/bin/sh
# 1. 在策略路由表 100 中，添加或替换一条本地路由
ip route replace local default dev lan0 table 100
# 2. 清理旧的重复规则，再添加一条规则：为防火墙标记(fwmark)为 1 的数据包，应用策略路由表 100
while ip rule del fwmark 1 lookup 100 2>/dev/null; do :; done
ip rule add fwmark 1 lookup 100
# 3. 先删除旧 nftables table，再加载新规则，避免重复追加规则
nft delete table ip clash 2>/dev/null || true
nft -f /etc/mihomo/nftrules.nft

#!/bin/sh
# 按相反顺序清理规则
nft delete table ip clash || true
ip route del local default dev lan0 table 100 2>/dev/null || true
while ip rule del fwmark 1 lookup 100 2>/dev/null; do :; done

#!/usr/sbin/nft -f

## 只处理指定网卡的流量，要和ip规则中的接口操持一致
define interface = lan0

## clash的透明代理端口
define tproxy_port = 7894

## clash打的标记（routing-mark）
define clash_mark = 6666

## 常规流量标记，ip rule中加的标记，要和ip规则中保持一致，对应 "ip rule add fwmark 1 lookup 100" 中的 "1"
define default_mark = 1

## 本机运行了服务并且需要在公网上访问的tcp端口（本机开放在公网上的端口），仅本地局域网访问的服务端口可不用在此变量中，以半角逗号分隔
define local_tcp_port = {
    22,      # ssh，按需设置
    8000-9999  # http
}

## 要绕过的局域网内tcp流量经由本机访问的目标端口，也就是允许局域网内其他主机主动设置DNS服务器为其他服务器，而非旁路由
define lan_2_dport_tcp = {
    53     # dns查询
}

## 要绕过的局域网内udp流量经由本机访问的目标端口，也就是允许局域网内其他主机访问透明网关的DNS服务；另外也允许局域网内其他主机访问远程的NTP服务器
define lan_2_dport_udp = {
    53,    # dns查询
    123    # ntp端口
}

## 保留ip地址
define private_address = {
    127.0.0.0/8,
    100.64.0.0/10,
    169.254.0.0/16,
    224.0.0.0/4,
    240.0.0.0/4,
    10.0.0.0/8,
    172.16.0.0/12,
    192.168.0.0/16
}

table ip clash {
    ## 保留ipv4集合
    set private_address_set {
        type ipv4_addr
        flags interval
        elements = $private_address
    }

    ## prerouting链
    chain prerouting {
        type filter hook prerouting priority filter; policy accept;
        ip protocol { tcp, udp } socket transparent 1 meta mark set $default_mark accept # 绕过已经建立的连接
        meta mark $default_mark goto clash_tproxy                                        # 已经打上default_mark标记的属于本机流量转过来的，直接进入透明代理
        fib daddr type { local, broadcast, anycast, multicast } accept                   # 绕过本地、单播、组播、多播地址
        tcp dport $lan_2_dport_tcp accept                                                # 绕过经由本机到目标端口的tcp流量
        udp dport $lan_2_dport_udp accept                                                # 绕过经由本地到目标端口的udp流量
        ip daddr @private_address_set accept                                             # 绕过目标地址为保留ip的地址
        goto clash_tproxy                                                                # 其他流量透明代理到clash
    }

    ## 透明代理
    chain clash_tproxy {
        ip protocol { tcp, udp } tproxy to :$tproxy_port meta mark set $default_mark
    }

    ## output链
    chain output {
        type route hook output priority filter; policy accept;
        oifname != $interface accept                                   # 绕过本机内部通信的流量（接口lo）
        meta mark $clash_mark accept                                   # 绕过本机clash发出的流量
        fib daddr type { local, broadcast, anycast, multicast } accept # 绕过本地、单播、组播、多播地址
        udp dport { 53, 1053, 5354, 123 } accept                       # 绕过本机dns查询、NTP流量
        tcp sport $local_tcp_port accept                               # 绕过本地运行了服务的tcp端口，如果并不需要从公网访问这些端口，可以注释掉本行
        ip daddr @private_address_set accept                           # 绕过目标地址为保留ip的地址
        ip protocol { tcp, udp } meta mark set $default_mark           # 其他流量重路由到prerouting
    }
}

ExecStartPost=/etc/mihomo/ip-route-poststart.sh
ExecStop=/etc/mihomo/ip-route-stop.sh

dns:
  enable: true
  listen: 127.0.0.1:1053
  ipv6: true
  cache-algorithm: arc
  prefer-h3: false
  enhanced-mode: redir-host
  respect-rules: true
  default-nameserver:
    - 223.5.5.5
    - 119.29.29.29
  proxy-server-nameserver:
    - 223.5.5.5
    - 119.29.29.29
  nameserver-policy:
    geosite:cn:
      - 127.0.0.1:5354
  nameserver:
    - https://cloudflare-dns.com/dns-query#节点选择
    - https://dns.google/dns-query#节点选择

dns:
  bind_hosts:
    - 0.0.0.0
  port: 53
  upstream_dns:
    - 127.0.0.1:1053
  bootstrap_dns:
    - 127.0.0.1:1053
  cache_enabled: false
  ratelimit: 0
  serve_plain_dns: true

                              DNS 查询链路

客户端 / 内网设备
  DNS Server: 192.168.200.1
        |
        v
+-----------------------------+
| AdGuard Home :53            |
| - 唯一对客户端暴露的 DNS 入口 |
| - 去广告 / 规则管理 / 查询日志 |
| - 关闭缓存，避免 realip 映射丢失 |
+-----------------------------+
        |
        | upstream_dns = 127.0.0.1:1053
        v
+-----------------------------+
| Mihomo DNS :1053            |
| - enhanced-mode: redir-host |
| - realip / DNS 分流 / 防污染 |
| - respect-rules: true       |
+-----------------------------+
        |
        +------------------------------+
        |                              |
        | geosite:cn                   | 非国内域名 / 代理域名
        v                              v
+-----------------------------+    +-----------------------------+
| SmartDNS :5354              |    | DoH 上游                    |
| - 仅监听 127.0.0.1          |    | - cloudflare-dns.com        |
| - 国内域名就近解析          |    | - dns.google                |
| - 缓存 / 双栈优选           |    | - 连接跟随 Mihomo 代理规则   |
+-----------------------------+    +-----------------------------+
        |                              |
        | 国内 DoT / DoH / UDP DNS      | #节点选择 / 代理出口
        v                              v
  国内 CDN / 国内站点 IP          国外站点真实 IP

最终结果:
  - 客户端拿到真实 IP，不使用 fake-ip。
  - 国内域名按家庭宽带出口就近解析。
  - 国外域名的 DoH 请求跟随代理节点出去，避免本地 DNS 污染。
  - SmartDNS 不承担全局解析，只作为国内域名解析后端。