iKuai + OpenWrt 双软路由分流终极实操：如何实现境内直连低延迟与境外流量智能分流？

[ 公网光猫 (Bridge 桥接模式) ]
              │ (WAN 物理直连 / 2.5G 网口 / PPPoE 拨号)
              ▼
┌────────────────────────────────────────────────────────────────────────┐
│  iKuai 物理主路由 (硬件平台: Intel J4125 / N100 / 多网卡物理机)          │
│  - 物理 LAN IP: 192.168.1.1 (子网掩码: 255.255.255.0)                   │
│  - 核心职责: PPPoE 硬件拨号、线速 NAT 转发、七层 DPI 流控、DHCP 分组下发  │
│  - 本地 DNS: 运营商 Local DNS / 119.29.29.29 / 223.5.5.5               │
└───────────────────────────────────┬────────────────────────────────────┘
                                    │ (物理千兆 / 2.5G 局域网总线交换机)
            ┌───────────────────────┴────────────────────────┐
            ▼                                                ▼
┌───────────────────────────────────────┐   ┌────────────────────────────────────┐
│ OpenWrt 旁路网关 (虚拟机/Docker/小主机) │   │ 普通直连设备池 (Pool A: 国内直连)   │
│ - 静态 IP: 192.168.1.2                │   │ - 智能电视/NAS/父母手机/扫地机器人   │
│ - 网关指向: 192.168.1.1 (iKuai)       │   │ - IP 分配段: 192.168.1.100~199     │
│ - 关闭全部自带 DHCP 服务              │   │ - 网关自动下发: 192.168.1.1        │
│ - 运行组件: Sing-box/Mihomo + MosDNS  │   │ - DNS 自动下发: 192.168.1.1        │
└───────────────────┬───────────────────┘   └────────────────────────────────────┘
                    │ (针对特种设备下发 Option 3 网关)
                    ▼
┌────────────────────────────────────────────────────────────────────────┐
│ 极客/研发终端设备池 (Pool B: 智能代理分流设备)                            │
│ - 个人主力 PC / 开发工作站 / 海外平板 / 游戏主机代理通道                 │
│ - 静态绑定 IP: 192.168.1.200~250                                       │
│ - 网关指向: 192.168.1.2 (OpenWrt 旁路由)                               │
│ - DNS 指向: 192.168.1.2 (MosDNS 智能分流与防污染核心)                  │
└────────────────────────────────────────────────────────────────────────┘
          

# /etc/mosdns/config.yaml - 实验室高可用双软路由 DNS 防污染配置
log:
  level: info
  file: "/var/log/mosdns.log"

plugins:
  # 1. 国内域名白名单载入 (geosite:cn)
  - tag: domain_china
    type: domain_set
    args:
      files:
        - "/var/mosdns/geosite_cn.txt"

  # 2. 国内 IP 库载入 (geoip:cn)
  - tag: ip_china
    type: ip_set
    args:
      files:
        - "/var/mosdns/geoip_cn.txt"

  # 3. 国内主路由上游 DNS (指向 iKuai 本地高缓存 DNS)
  - tag: forward_local
    type: forward
    args:
      concurrent: 2
      upstreams:
        - addr: "192.168.1.1:53"
        - addr: "223.5.5.5"

  # 4. 远程纯净 DoT / DoH 上游 (防篡改加密通道)
  - tag: forward_remote
    type: forward
    args:
      concurrent: 2
      upstreams:
        - addr: "tls://1.1.1.1:853"
          enable_pipeline: true
        - addr: "tls://8.8.8.8:853"
          enable_pipeline: true

  # 5. 核心分流主逻辑序列
  - tag: main_sequence
    type: sequence
    args:
      - exec: $forward_local
      - matches:
          - qname $domain_china
        exec: accept

      # 针对非白名单域名，执行纯净远程解析
      - exec: $forward_remote
      - matches:
          - resp_ip $ip_china
        exec: accept

  # 6. 本地监听服务
  - tag: udp_server
    type: udp_server
    args:
      entry: main_sequence
      listen: "0.0.0.0:53"
          

# 1. 验证国内域名是否经由 iKuai 正确解析为本地最近 CDN 节点
$ nslookup -query=A bilibili.com 192.168.1.2
Server:     192.168.1.2
Address:    192.168.1.2#53

Non-authoritative answer:
Name:   bilibili.com
Address: 119.3.238.163  # 腾讯云/华为云境内极速 CDN，延迟 < 5ms

# 2. 验证海外域名是否彻底规避 GFW 伪造的假 IP (如 203.0.113.x 投毒地址)
$ nslookup -query=A twitter.com 192.168.1.2
Server:     192.168.1.2
Address:    192.168.1.2#53

Non-authoritative answer:
Name:   twitter.com
Address: 104.244.42.1   # 真实官方 Twitter Anycast 节点，无任何 DNS 投毒特征

# 3. 校验终端经由旁路由向目标发起的 HTTP/2 握手连通性与回程链路
$ curl -I -s --connect-timeout 3 https://www.google.com | grep "HTTP"
HTTP/2 200