NAILINK HANDBOOK

接口、DNS 与路由

理解网络接口、DNS 上游和分流规则的作用。

修改前先了解

“高级设置”包含配置、DNS、路由。每类可以保存多套方案，但实际运行使用当前被选中的那一套；编辑、选中后，仍需在顶部应用配置。

建议先复制当前方案再修改，并保留原值。首次联网前不要同时更改接口、DNS、路由、协议参数，否则很难判断哪一步出了问题。

非 TUN / TUN 接管怎么选

0.6.58 起，点击顶部内核，为 sing-box、mihomo 选择非 TUN · TPROXY或TUN · 备用，检查通过后切换。dae 继续使用 eBPF。升级保留当前模式，节点、订阅和分流配置保持。

模式	怎么接管	系统前提
非 TUN · TPROXY	LAN → 独立防火墙规则与策略路由 → 当前内核 → 原有分流规则	firewall4、nftables、固件匹配的 kmod-nft-tproxy；桥接过滤还需 kmod-nft-bridge 与 broute 能力
TUN · 备用	LAN → nailink0 虚拟网卡 → 当前内核 → 原有分流规则	kmod-tun、nftables / firewall4

两种方式均支持 TCP / UDP 与 IPv4 / IPv6。内核自身出站、管理地址和私有网段跳过接管，避免循环；DNS 沿用现有分流。当前仍限 x86_64 / ARM64，Tor 子进程暂需 TUN。缺少模块时可点安装接管依赖再重新检查；不会为了安装模块而替换系统内核。

Docker 等服务开启桥接过滤时，会自动检查桥接适配能力，仅处理发往所选 LAN 桥自身 MAC 的公网 TCP/UDP，保留原桥接过滤设置。带 VLAN 或启用了端口反向路径检查（包括宽松模式）的桥接拓扑暂需使用 TUN；检查不通过时保留原模式。

切换会短暂断连，失败尝试恢复原内核和原模式。非 TUN 不保证一定更快，建议按实际线路稳定性选择，不需要时可切回 TUN。操作步骤和完整流量路径见内核与接管方式。

LAN / WAN 接口怎么选

项目	用途与选择原则
LAN 接口	绑定需要代理的局域网设备。普通桥接网络常见为 `br-lan`，VLAN 或多网段按实际设备选择。
WAN 接口	用于出站侧及本机流量，默认提供 `auto`。PPPoE、多 WAN 或自定义上联需核对自动识别结果。
透明代理端口	默认 `12345`，供 eBPF 核心使用。它不是浏览器可填写的 HTTP / SOCKS 代理端口。

LuCI 的逻辑网络名和底层设备名可能不同。例如逻辑网络叫 wan，实际设备可能是 pppoe-wan。高级配置的接口绑定与热插拔恢复所监听的 UCI 网络名称也不是同一个概念。

自定义上联的恢复设置（进阶）

服务默认监听 wan / wan6 的重新上线事件。若固件使用其他逻辑网络名，可核对 daed.main.wan_network / wan6_network。请先确认实际名称，不要照抄别人的设备名，也不需要为普通 LAN 地址变化反复重启代理。

DNS 分流做什么

DNS 负责把域名解析成地址；DNS 规则决定把查询交给哪个上游。连接路由负责决定实际流量直连还是使用某个群组，两者需要配合。

当前默认 DNS 方案：

upstream {
  alidns: 'udp://223.5.5.5:53'
  googledns: 'tcp+udp://8.8.8.8:53'
}
routing {
  request {
    qname(geosite:cn) -> alidns
    fallback: googledns
  }
}

含义是：中国域名列表交给 alidns，其余查询交给 googledns。这段示例不代表所有网络均能访问这些上游，也不单独保证 DNS 请求从代理出口发出；还需结合当前连接路由和可用线路。

修改上游时保留上游名称与引用一致。先确认节点的服务器域名能解析，以及所选 DNS 上游可达，再排查应用网站域名；不要为了排查而一次替换路由器、客户端和插件三处 DNS。

引导解析器和备用解析器

0.6.27 修复了 DoH、DoT 和 TCP DNS 在无响应、取消或重载时可能持续等待的问题，并减少同时查询造成的重复建连。更新会保留当前 DNS 与路由方案。若首次打开网页仍慢，请记录发生时间并查看同期日志，分别确认节点、DNS 上游与目标网站的可用性。

引导解析器：用于在其他解析器可用之前完成必要的域名解析；默认留空使用核心默认行为。
备用解析器：系统解析不可用时的回退，当前默认 8.8.8.8:53。
UDP 检测 DNS：用于健康检查，不等同于上述业务 DNS 分流方案。

路由器自己的解析失败会影响安装、订阅更新和节点连接。手机能上网，不能证明路由器 SSH 中的 DNS 同样正常。

路由模式与自定义群组

路由规则决定流量交给 direct、must_direct 或某个群组。默认规则保留部分系统进程直连，并让私有地址、中国 IP / 域名列表直连，其余流量交给 proxy：

pname(NetworkManager, systemd-resolved, dnsmasq) -> must_direct
dip(geoip:private) -> direct
dip(geoip:cn) -> direct
domain(geosite:cn) -> direct
fallback: proxy

路由编辑提供 GFW 模式、中国列表以外等简单方案，亦可使用自定义规则。切换简单模式会覆盖当前规则，已有自定义分流时先复制或保存原文。

例如已经创建并填入节点的 AI 群组，可以在自定义规则中让指定域名使用它；放在兜底之前：

domain(example.com) -> AI
fallback: proxy

把示例域名换成你确实需要分流的域名，并核对群组名称。服务通常涉及多个域名，只写一个域名不代表覆盖该服务所有连接。

修改后怎样确认生效

保存修改，确认方案被选中。
点击应用配置，查看有无错误提示。
用目标局域网设备重新发起连接，测试应直连和应代理的网站。
结合“运行日志”、实际绑定和连接结果判断；需要时切回保留的旧方案再应用。

更新 GeoIP / GeoSite

0.6.33 起，只有新控制面就绪才确认新批次。加载途中进程退出，下次启动会恢复旧批次；响应丢失时根据确认记录重新判断结果。未确认期间请等待状态恢复，不重复启动维护任务，节点与配置保持原样。

安装时提供固件的 v2ray-geoip / v2ray-geosite 依赖。0.6.32 起，在高级设置 → GeoIP / GeoSite 规则库点击“一键更新规则库”，可下载 Loyalsoldier/v2ray-rules-dat 的最新发布数据。

两份文件的 SHA-256 和完整格式都通过后才成对启用，显示当前批次。数据保存在 NaiLink 独立目录 /etc/daed/geodata，保留当前和上一批次，不修改其他插件使用的系统文件。

代理运行时会用当前运行配置重新加载规则，短暂影响已有连接；加载失败先恢复旧文件再恢复旧控制面。未应用的配置编辑不会顺带生效，原本停止的代理不会被自动开启。下载或校验失败可直接重试；通信中断而无法确认加载结果时，先查看日志和当前批次。

检测到 /etc/daed/geoip.dat 或 /etc/daed/geosite.dat 自定义文件时会停止自动更新，保留文件供你自行管理。不要创建空文件来跳过依赖检查。