使用 Gentoo Linux 搭建简单路由器并支持IPTV功能

Apr 20, 2024 · 6 min read · xray linux ubuntu v2ray v2fly linux router iptv ·

Share on:

背景

现在在软路由方面, OpenWRT已经相当火爆了, 当然 OpenWRT也做的非常好了. 但是对我个人来说, 我觉得还是有一些问题

升级困难, 在内核不升级的情况下, 一些对内核有依赖的包升级都会有问题
升级内核(基于ext4的分区), 升级后, 又会遇到apk包的兼容问题(其实最好的方法就是刷机, 但是我又不想)
刷机的话, 之前做过定制编译的, 又得来一遍, 虽然有了 make oldconfig 但是也不能完全解决问题

ssr plus 和 passwall 都过于复杂
luci 中的各插件基本上都是互相隔离的(应该是设计原则), 如 passwall 会自己开一个 dnsmasq
核心命令使用的是 busybox 裁剪过的. 参数和 linux 标准的有差异. (我非常理解, 因为是嵌入式的, 所以裁剪合理. 但是我是一个x86的路由器, 存储空间不是什么问题)
....

总之有很多让我不爽的地方, 所以折腾了一下, 把 OpenWRT 换成了 Gentoo Linux , 本文就是分享一下, 我搭建过程, 其实过程并不复杂, 我看网上也有一些文章有介绍, 可能并不是所有的朋友都明白为何要这样做.

步骤

安装 Gentoo Linux 这个没啥好分享的, 参照官方手册就好了.
配置成路由器
配置 IPTV
配置 xray
提升性能

本文仅分享前三个方面, 后面再发文续

安装 `Gentoo Linux`

官方的手册写的非常好, 这是所有 Linux 文档中我觉得写的最好的, 这也是我热爱 Gentoo 的原因之一. 我每次安装也要参考手册, 并不是每一个步骤的指令都记的住. Gentoo AMD64 Handbook

参考他的文档就好了, 这里我就不狗尾续貂了. 说一下我的基本配置吧

EFI 引导
GPT 分区, fstab 使用 uuid
kernel 直接使用 genkernel 来生成
对 CFlags 作了针对本机CPU的优化
profile 我选的是 default/linux/amd64/23.0/no-multilib (stable). 我个人不是非常喜欢 systemd, 当然我不否认它非常牛! 所以我还是沿用 OpenRC

贴一下我的 make.conf

 1CHOST="x86_64-pc-linux-gnu"
 2
 3COMMON_FLAGS="-march=silvermont -O2 -pipe"
 4#COMMON_FLAGS="-O2 -pipe"
 5CFLAGS="${COMMON_FLAGS}"
 6CXXFLAGS="${COMMON_FLAGS}"
 7FCFLAGS="${COMMON_FLAGS}"
 8FFLAGS="${COMMON_FLAGS}"
 9
10# NOTE: This stage was built with the bindist Use flag enabled
11
12# This sets the language of build output to English.
13# Please keep this setting intact when reporting bugs.
14LC_MESSAGES=C.utf8
15
16# FEATURES="distcc parallel-fetch"
17FEATURES="parallel-fetch"
18
19GENTOO_MIRRORS="https://mirrors.ustc.edu.cn/gentoo/"
20
21## 本机CPU太差了, 所以安装的时候用了一下distcc, 有兴趣的话可以去官方wifi里查一下
22# MAKEOPTS="-j51 -l4"
23# 本机是4核的, 为了平时安装升级软件不影响正常上网, 所以仅使用2核
24MAKEOPTS="-j2"
25
26USE="-kde -X -qt5 -gnome -gtk -dvd -alsa -cdr ipv6"
27
28ACCEPT_LICENSE="*"
29
30# LINGUAS="en en_US zh_CN"
31
32VIDEO_CARDS="intel"
33
34GRUB_PLATFORMS="efi-64"

配置成路由器

其实把 Gentoo 配置成路由器, 官方也是有文档的. 为了更友好一些, 我略补充一下 Home Router 这个我以双网卡的机器来举例.

这里有几个问题需要解决:

WAN 网络的配置
LAN 网络的配置
IPTV 网络的配置
内核转发以及 NAT 的配置
DNS 服务器配置

我觉得我越写条理越差, 我是不是应该把IPTV独立一文出来

WAN 网络配置

我的是静态IP, 也就是说没有在光猫上做桥接, 我觉得没有必要, 因为带宽跑的满满的. 光猫拨号其实有一个好处, 就是你的路由器如果挂了, 把家里的交换机的线直接拔到光猫上, 不影响上网(影响科学)

这里补充一个小的姿势点, 如果你的路由器是软路由, 一个 WAN 一个 LAN 就够了, 家里有很多的设置需要接入, 在 LAN 上接一个交换机. 现在很多人家里有NAS 设备, 或是多台内网设备之间拷贝数据. 软路由故明思意, 是通过软件做转发的, 转发数据是要经过 CPU 的, 效率不高. 交换机是有专门的芯片负责转发, 所以效率高很多.

vim /etc/config/net

1config_enp1s0f1="192.168.1.2 netmask 255.255.255.0 brd 192.168.1.255"
2routes_enp1s0f1="default via 192.168.1.1"
3dns_servers_enp1s0f1="114.114.114.114"

1ln -s /etc/init.d/net /etc/init.d/net.enp1s0f1
2/etc/init.d/net.enp1s0f1 restart

LAN 网络配置

LAN 的网段, 我习惯使用 192.168.88.0/24 vim /etc/config/net

1config_enp1s0f0="192.168.88.1 netmask 255.255.255.0 brd 192.168.88.255"
2routers_enp1s0f0="192.168.88.1"

1ln -s /etc/init.d/net /etc/init.d/net.enp1s0f0
2/etc/init.d/net.enp1s0f0 restart

IPTV 网络配置

我的是 vlan id 是 85 . bridge 在 Linux 内部是交换机的意思, 因为要接收 vlan id 是 85 的数据, 所以需要使用到交换机的功能. vim /etc/config/net

 1vlans_enp1s0f1="85 51"
 2# vlans_enp2s0="85 51"
 3config_enp1s0f1_85="null"
 4config_enp1s0f1_51="null"
 5# bridge_briptv85="enp1s0f1:85 enp2s0:85"
 6bridge_briptv85="enp1s0f1.85"
 7# dhcp_briptv85="nogateway"
 8config_briptv85="dhcp"
 9briptv85_dhcp="nodns nogateway"
10# dns_servers_briptv85="114.114.114.114"
11emtric_briptv85=20
12# dns_servers_briptv51="null"

1/etc/init.d/net.briptv85 start

内核转发以及 `NAT` 的配置

vim /etc/sysctl.conf

 1# IPv4 forward规则
 2net.ipv4.ip_forward=1
 3net.ipv4.ip_dynaddr = 1
 4### rp_fileter 针对 wan 我使用的是严格模式, 其它的都是不校验, 一是没有安全问题, 二是 IPTV的需要
 5net.ipv4.conf.default.rp_filter = 0
 6net.ipv4.conf.all.rp_filter = 0
 7net.ipv4.conf.enp1s0f1.rp_filter = 1
 8net.ipv4.conf.briptv85.rp_filter = 0
 9net.ipv4.conf.wg0.rp_filter = 0
10net.ipv4.icmp_echo_ignore_broadcasts = 0
11# net.ipv4.conf.briptv85.rp_filter = 0
12# /proc/sys/net/ipv4/conf/all/proxy_arp
13net.ipv4.conf.all.proxy_arp = 0
14
15net.ipv4.tcp_fastopen=3
16
17# 开启 bbr, 都懂的
18net.core.default_qdisc=fq
19net.ipv4.tcp_congestion_control=bbr

1sysctl -p

配置 NAT: Linux 有强大的 iptables 所以 NAT 使用这个就好了, 貌似也没有别的选择, nftables 么? 不想学. 都是操作 netfilter 的, 据说性能有一定的提升, 而且书写规则更友好.

  1export LAN=enp1s0f0
  2export WAN=enp1s0f1
  3export IPTV85=briptv85
  4export IPTV15=briptv15
  5export WG=wg0
  6export TUNSERVER=tun0
  7export TUNFOX=tun1
  8
  9# 清空iptables规则, 和NAT表
 10iptables -F
 11iptables -Z
 12iptables -t nat -F
 13
 14# 允许从 WAN 访问 内部的服务
 15## 允许ping
 16iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
 17iptables -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT
 18### iptables -A INPUT -p icmp --icmp-type 8 -s 0/0 -j DROP # 禁ping
 19
 20# iptables -A INPUT -p TCP --dport 22 -i ${WAN} -j ACCEPT # SSH
 21# iptables -A OUTPUT -p TCP --sport ssh -j ACCEPT
 22### OPEN VPN
 23iptables -A INPUT -p TCP --dport 8194 -i ${WAN} -j ACCEPT # OPENVPN
 24iptables -A INPUT -p UDP --dport 8194 -i ${WAN} -j ACCEPT # OPENVPN
 25### shadowsocks
 26iptables -A INPUT -p TCP --dport 5500 -i ${WAN} -j ACCEPT # shadownsocks TCP
 27iptables -A INPUT -p UDP --dport 5500 -i ${WAN} -j ACCEPT # shadownsocks UDP
 28iptables -A INPUT -p TCP --dport 5560 -i ${WAN} -j ACCEPT # shadownsocks TCP
 29iptables -A INPUT -p UDP --dport 5560 -i ${WAN} -j ACCEPT # shadownsocks UDP
 30### ipsec vpn
 31iptables -A INPUT -p UDP --dport 4500 -i ${WAN} -j ACCEPT # IPSec VPN / IKE
 32iptables -A INPUT -p TCP --dport 4500 -i ${WAN} -j ACCEPT # IPSec VPN / IKE TCP
 33iptables -A INPUT -p UDP --dport 500 -i ${WAN} -j ACCEPT # IPSec VPN
 34iptables -A INPUT -p TCP --dport 500 -i ${WAN} -j ACCEPT # IPSec VPN
 35### wireguard
 36iptables -A INPUT -p UDP --dport 9901 -i ${WAN} -j ACCEPT # IPSec VPN
 37iptables -A INPUT -p TCP --dport 9901 -i ${WAN} -j ACCEPT # IPSec VPN
 38### cloud
 39iptables -A INPUT -p UDP --dport 8443 -i ${WAN} -j ACCEPT # IPSec VPN
 40iptables -A INPUT -p TCP --dport 8443 -i ${WAN} -j ACCEPT # IPSec VPN
 41
 42
 43## 8443 DNAT到 192.168.88.8服务上,  改nginx
 44# iptables -t nat -A PREROUTING -p TCP --dport 8443 -i ${WAN} -j DNAT --to 192.168.88.8:8443
 45# iptables -t nat -A POSTROUTING -p TCP -d 192.168.88.8 --dport 8443 -j SNAT --to 192.168.88.1
 46
 47# 添加NAT规则
 48iptables -A FORWARD -i ${LAN} -d 192.168.88.0/24 -j DROP
 49iptables -A FORWARD -i ${LAN} -s 192.168.88.0/24 -j ACCEPT
 50iptables -A FORWARD -i ${WAN} -d 192.168.88.0/24 -j ACCEPT
 51# iptables -A FORWARD -i ${LAN} -s 192.168.18.0/24 -j ACCEPT
 52iptables -A FORWARD -i ${LAN} -d 192.168.18.0/24 -j ACCEPT
 53iptables -A FORWARD -i ${WAN} -d 192.168.18.0/24 -j ACCEPT
 54iptables -A FORWARD -i ${TUNSERVER} -d 192.168.88.0/24 -j ACCEPT
 55# iptables -A FORWARD -o tun1 -d 192.168.18.0/24 -j ACCEPT
 56# iptables -A FORWARD -i ${WAN} -s 10.8.9.0/24 -j ACCEPT
 57iptables -A FORWARD -i ${WG} -j ACCEPT
 58iptables -A FORWARD -o ${WG} -j ACCEPT
 59iptables -A FORWARD -i ${TUNFOX} -j ACCEPT
 60
 61# 如果遇到奇怪的错误（例如无法访问某些网页，而其他网页加载正常），则可能是“路径MTU发现”（Path MTU Discovery）问题
 62iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
 63
 64## IPTV 的INPUT,OUTPUT,FORWARD都是ACCEPT我也不清楚为什么, 从OPENWRT里抄的, 貌似不需要
 65# iptables -A FORWARD -i ${IPTV85} -s 0.0.0.0/0 -j ACCEPT
 66# iptables -A FORWARD -i ${IPTV15} -s 0.0.0.0/0 -j ACCEPT
 67
 68## 添加路由规则, 把LAN的数据转发WAN (伪装,适合外网IP地址变化的配置)
 69iptables -t nat -A POSTROUTING -d 192.168.18.0/24 -o tun1 -j MASQUERADE
 70iptables -t nat -A POSTROUTING -s 192.168.88.0/24 -o ${WAN} -j MASQUERADE
 71# iptables -t nat -A POSTROUTING -s 10.0.8.0/24 -o ${LAN} -j MASQUERADE
 72iptables -t nat -A POSTROUTING -s 10.8.9.0/24 -o ${WAN} -j MASQUERADE
 73
 74# IPv6
 75ip6tables -A INPUT -p icmpv6 -j ACCEPT
 76
 77# 添加默认规则
 78iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
 79iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
 80
 81iptables -A INPUT -i ${LAN} -j ACCEPT
 82iptables -A OUTPUT -o ${LAN} -j ACCEPT
 83
 84iptables -A INPUT -i ${WG} -j ACCEPT
 85iptables -A OUTPUT -o ${WG} -j ACCEPT
 86
 87iptables -A INPUT -i lo -j ACCEPT
 88iptables -A OUTPUT -o lo -j ACCEPT
 89
 90iptables -A INPUT -i ${TUNFOX} -j ACCEPT
 91iptables -A OUTPUT -o ${TUNFOX} -j ACCEPT
 92
 93iptables -A INPUT -i ${TUNSERVER} -j ACCEPT
 94iptables -A OUTPUT -o ${TUNSERVER} -j ACCEPT
 95
 96iptables -A INPUT -i ${WAN} -j DROP
 97iptables -A OUTPUT -o ${WAN} -j ACCEPT
 98
 99iptables -A INPUT -i ${IPTV85} -j ACCEPT
100
101### 严口径, 白名单机制
102iptables -P FORWARD DROP
103iptables -P OUTPUT ACCEPT
104iptables -P INPUT DROP

保存为 firewall-init.sh . 运行它

1bash firewall-init.sh

如果需要开机自动配置

1/etc/init.d/iptables save
2rc-update add iptables default

配置 `DNS` 服务器

个人比较喜欢 Dnsmasq, 就以这个举例子. Dnsmasq 本身也有 dhcp 的功能, 所以就不必为 dhcp 单独再开服务了.

vim /etc/dnsmasq.conf

 1resolv-file=/etc/resolv.dnsmasq.conf
 2no-resolv
 3
 4# only for LAN interface
 5# interface=enp1s0f0
 6# DHCP ip address range
 7# no-dhcp-interface=enp1s0f1
 8dhcp-range=192.168.88.20,192.168.88.99,255.255.255.0,9h
 9# DHCP 下发配置
10# dhcp-option=option:dns-server,192.168.88.1, 114.114.114.114
11dhcp-option=option:dns-server,192.168.88.1
12dhcp-option=option:router,192.168.88.1
13# dhcp-option=option:ntp-server,192.168.88.1
14# Broadcast Address
15dhcp-option=28,192.168.88.255
16
17dhcp-authoritative
18
19## IPTV 伪造报文, 非桥应该不需要的
20dhcp-option-force=125,00:00:00:00:3a:02:06:48:47:57:2d:43:54:03:04:5a:58:48:4e:0a:02:20:00:0b:02:00:55:0d:02:00:2e
21dhcp-option=15
22dhcp-option=28
23dhcp-option=60,00:00:01:00:02:03:43:50:45:03:0e:45:38:20:47:50:4f:4e:20:52:4f:55:54:45:52:04:03:31:2E:30
24
25# 内网域名解析配置 也可以写到 hosts文件了
26# address=/aa.bb.com/192.168.88.8
27
28# NIC MAC address mac与ip绑定
29# dhcp-host=b4:2e:99:d7:33:b1,192.168.88.88 # 举个栗子
30
31
32cache-size=102400
33
34# 上游DNS, 后面配置科学的部分会在xray里拦截这个udp数据包的
35server=114.114.114.114
36conf-dir=/etc/dnsmasq.d

1/etc/init.d/dnsmasq restart

这个时候, 你的路由器就可以正常工作了

IPTV 的是需要 udpxy 转单播的

1emerge udpxy

vim /etc/config/udpxy

1UDPXYOPTS="-S -a 0.0.0.0 -p 4022 -m briptv85"

1/etc/init.d/udpxy restart

关于IPTV播放列表, 自己网上搜

使用 Gentoo Linux 搭建简单路由器并支持IPTV功能

背景

步骤

安装 Gentoo Linux