[Bug]: 很苦恼的一个问题

[GreatMichaelLee]

描述您遇到的bug

我的openwrt软路由 上部署了zerotier(自建planet，根节点和控制器是腾讯云主机)与腾讯云主机通过配置在10.0.0.0/24网段互通（启用了zerotier NAT,所以10.0.0.0/24网段和路由器的192.168.2.0/24网段能互通），同时云主机使用nginx服务，利用反代配置一个https服务指向了软路由的管理界面192.168.2.1:8443, 这样我通过nginx.conf里面配置的域名主机和证书就可以在外网轻松https访问我的路由器管理界面，但我发现我只要一打开passwall里面的基本设置->模式->路由器本机代理，这个管理界面外网就连不上了（怀疑是passwall把这块流量实际绕道代理而并没有直连），甚至在局域网里直接输入https://192.168.2.1:8443 也无法打开（这时只能用service passwall stop停止服务来workaround改变配置）。我曾尝试如下措施：

1. 建立一个云主机域名和IP的分流规则，设置为直连，或者关闭
2. 在规则列表->直连规则里加入云主机域名和ip
3. 尝试改用GFW模式或者全局模式（我一贯用的是中国列表外模式

以上措施均告无效，唯一可以解的就是关闭路由器本机代理，这一招立竿见影，立马内网外网访问管理页面就通了，但是痛苦在于，如果关闭路由器本机代理这个方案，mosdns里的更新GeoIP数据库还有Passwall本身的规则管理->规则版本的更新，由于连接github或者一些国外cdn会变得不可达。如果配置半夜自动更新，有时候geoip更新失败，会导致passwall无法启动，从而导致断网。

复现此Bug的步骤

已经在上述描述里描述了

您想要实现的目的

能否请大大们分析以下原因，看是否哪里firewall配置有问题或者应该怎么配置，还是一个bug?

日志信息

日志应该帮助不大，如果需要我可以提供。

截图

No response

系统相关信息

passwall:4.77-6
xray: 1.8.18

其他信息

No response

[lwb1978]

首先pw的规则更新和订阅更新不依赖“路由本机代理”的选项，任何情况下都会使用代理进行更新。mosdns没用过，不清楚它有使用代理的设置，如果没有的话建议你换smartdns，smartdns有代理选项，可以设置代理服务器，如果配合pw的smartdns分支使用则pw可以直接帮你设置好smartdns的参数。

[GreatMichaelLee]

首先pw的规则更新和订阅更新不依赖“路由本机代理”的选项，任何情况下都会使用代理进行更新。mosdns没用过，不清楚它有使用代理的设置，如果没有的话建议你换smartdns，smartdns有代理选项，可以设置代理服务器，如果配合pw的smartdns分支使用则pw可以直接帮你设置好smartdns的参数。

smartdns太臃肿了，而且跟PW的耦合有各种奇奇怪怪的问题，不如mosdns轻量，独立。我就是从smartdns迁到mosdns的。还是看看我的直接问题有没有啥头绪吧。

[wtfr-dot]

你路由器zerotier接口和防火墙都是自己配置的吗？我没自建moon，因为moon不支持动态域名，我直接使用的官方节点，把它的域名和几个根ip加入了pw的直连列表里，zt接口没全按官方的来，官方的是不配置协议，我是给它分配了zerotier那边给的地址作为静态地址，用的rufengsuixing的luci-app-zerotier，它的防火墙控制选项多些，我配置好后使用起来没有任何问题。我觉得你的问题不应该是在pw里，我不理解你从局域网直接访问路由器的管理页面怎么会不行，通过靠停止pw肯定是不对的

[GreatMichaelLee]

你路由器zerotier接口和防火墙都是自己配置的吗？我没自建moon，因为moon不支持动态域名，我直接使用的官方节点，把它的域名和几个根ip加入了pw的直连列表里，zt接口没全按官方的来，官方的是不配置协议，我是给它分配了zerotier那边给的地址作为静态地址，用的rufengsuixing的luci-app-zerotier，它的防火墙控制选项多些，我配置好后使用起来没有任何问题。我觉得你的问题不应该是在pw里，我不理解你从局域网直接访问路由器的管理页面怎么会不行，通过靠停止pw肯定是不对的

我为什么说是pw 的锅，行为之前用n2n 也是同样的问题啊，只要一停掉pw 就通，我猜测是pw 对iptables 的设置哪里不够优雅导致但我说不上来是哪里。这些vpn 不管给不给它单独配接口都一样，我也设置给他在luci 里显式的指定接口，配不配协议，或者防火墙zone 放到lan 或者vpn 或者不指定，都一样，不影响我说的问题复现。

[wtfr-dot]

你路由器zerotier接口和防火墙都是自己配置的吗？我没自建moon，因为moon不支持动态域名，我直接使用的官方节点，把它的域名和几个根ip加入了pw的直连列表里，zt接口没全按官方的来，官方的是不配置协议，我是给它分配了zerotier那边给的地址作为静态地址，用的rufengsuixing的luci-app-zerotier，它的防火墙控制选项多些，我配置好后使用起来没有任何问题。我觉得你的问题不应该是在pw里，我不理解你从局域网直接访问路由器的管理页面怎么会不行，通过靠停止pw肯定是不对的

我为什么说是pw 的锅，行为之前用n2n 也是同样的问题啊，只要一停掉pw 就通，我猜测是pw 对iptables 的设置哪里不够优雅导致但我说不上来是哪里。这些vpn 不管给不给它单独配接口都一样，我也设置给他在luci 里显式的指定接口，配不配协议，或者防火墙zone 放到lan 或者vpn 或者不指定，都一样，不影响我说的问题复现。

装了pw就会对防火墙进行控制，停了pw防火墙就恢复到普通状态了，你这个时候通了只能说你某些环节设置不到位，这个不是pw来适应你的vpn，而是你的设置要符合iptables的规则，我这里zerotier没问题就说明跟pw无关，你的环节更多，应该把重点放在理清每一个环节上面而不是只关注pw，你可以在路由器上抓包追踪流量来分析。你最后对vpn的看法我不认同，那种是在不停尝试而不是真正理解后的行为。

[GreatMichaelLee]

问题解决了，是通过workaround解决的，在tcp的规则里设置不代理80和8443端口，但路由器本机代理勾上，我比较了iptables -nvL的勾选/不勾选本机代理前后的所有输出规则，居然发现没有任规则链表上的不同，这让我比较不理解。总的来说，问题是解决了，但bug或者说是根因并没有找到，看哪位大佬有空的时候能帮忙看下就好。
ps: 我的microsoft teams也是，一开视频会议接入25秒后必然断，后来查了些资料，发现把teams video视频流相关的端口的udp代理转发去掉之后就立马好了，见下图配置，把500/4500/3478-3481不代理，这个问题也折腾我好久。感觉而言，这个跟我上面的问题应该原因一样，但我不是专业人员说不上来原因是什么，可能是P2P NAT的问题？

[github-actions]

Stale Issue