本内容来源于@什么值得买APP，观点仅代表作者本人 ｜作者：纵笔浮生

写在前面

1.iKuai +OpenWRT 做旁路由网络拓扑

前面几篇文章写完了，基本上折腾完了，以ESXi 8.0虚拟机为基础，安装作为iKuai 主路由，负责拨号及 DHCP，OpenWRT 做旁路由。

今天搞定SmartDNS+AdGuardHome设置分流与去广告。SmartDNS作为DNS管理并提供DNS缓存，实现国内国外DNS分流，彻底解决 DNS 污染问题、实现秒开网页。同时搭配AdGuardHome实现整个局域网去广告。

2.【AdGuardHome】有什么用？

作为著名广告拦截与反跟踪软件，可以将广告与追踪相关的域名屏蔽，同时不再需要安装任何客户端，包括 Windows、Mac、Android、iOS，下面我们说的是 OpenWrt 安装 AdGuard Home 设置全局广告拦截，教程开始之前，我先介绍一下 AdGuard Home 的工作原理。

AdGuard Home 的工作原理是在 DNS 的域名解析过程中拦截网页上的广告，目前支持 DNS over TLS 和 DNS over HTTPS，本教程讲解讲解如何配置 OpenWRT 的 AdGuardHome 实现DNS防污染加快网站解析速度 和 广告拦截。

3.什么是DNS？

开搞之前先搞清楚几个概念，便于折腾：

【客户端(client)】：指在本地的电脑或者软件，而服务器(server)就是在网上为客户端提供服务的电脑。client是发出请求 (request)的一方，而服务器(server)响应它的请求并为其提供服务。

img

【域名系统(Domain Name S ystem，缩写:DNS)】是互联网的一项服务。它作为将域名和 IP 地址相互映射的一个分布式数据库，是 Internet 上解决网上机器命名的一种系统，能够使人更方便地访问互联网。就像拜访朋友要先知道别人家怎么走一样，Internet 上当一台 主机要访问另外一台主机时，必须首先获知其地址。

4.域名解析：

域名解析就像我们初次拜访朋友一样，首先要知道人家的门牌号，然后按照地址去找。在 Internet 上只知道某台机器的域名还是不够的，还要有办法去找到那台机器。寻找这台机器的任务由网上一种被称为域名服务器的设备来完成的，而完成这一任务的过程就称为域名解析。

可以用 IP 地址标识，并且可以通过 IP 地址被访问，但即使是将 32 位的二进制 IP 地址写成 4 个 0～255 的十位数形式，也依然太长、太难记。因此，人们发明了域名 (Domain Name)，域名可将一个 IP 地址关联到一组有意义的字符上去。用户访问一个网站的时候，既可以输入该网站的 IP 地址，也可以输入其域名，对访问而言，两者是等价的。例如：微软公司的 Web 服务器的 IP 地址是 207.46.230.229，其对应的域名是 www.microsoft.com，不管用户在浏览器中输入的是 207.46.230.229 还是 www.microsoft.com，都可以访问其 Web 网站。

5.【53端口】

53端口是为(Domain Name Server(DNS域名服务器)服务器所开放的端口，主要用于域名解析，DNS 服务在 NT 系统中使用的最为广泛。通过 DNS 服务器可以实现域名与 IP 地址之间的转换，只要记住域名就可以快速访问网站。

6.DNSMASQ DNS服务器

OpenWrt默认使用的是DNSMASQ来管理DNS默认监管的 53 端口。我们这些上网的设备发出的 DNS 请求都是先到这里，然后再通过 DNS 转发(在常规设置中可以更改)送到网关，最后到运营商等 DNS 服务器进行查询。

DNSMASQ 是一个轻量级的DNS和DHCP 服务器，大约 200 多 KB，并且完整的包含了 DNS 服务器和 DHCP 服务器功能，非常适合 flash 空间有限的嵌入式系统。DNSMASQ作为OpenWrt默认的DNS 服务器和转发器，接收Client的 DNS 查询请求，并回复 DNS 查询结果。查询的结果可以来自本地缓存和公共 DNS 服务器，如果本地缓存没有记录，DNSMASQ 会将请求转发到公共的 DNS 服务器，并将公共的 DNS 解析的结果回复到请求的设备。

那SmartDNS 和 DNSMASQ 有什么区别？我们为何又这么折腾呢？

SMARTDNS 在设计上并不是替换 DNSMASQ 的，SMARTDNS 主要功能集中在 DNS 解析增强上，增强部分有：

多上游服务器并发请求，对结果进行测速后，返回最佳结果；

address，ipset 域名匹配采用高效算法，查询匹配更加快速高效，路由器设备依然高效。

域名匹配支持忽略特定域名，可单独匹配 IPv4， IPV6，支持多样化定制。

针对广告屏蔽功能做增强，返回 SOA，屏蔽广告效果更佳；

IPV4，IPV6 双栈 IP 优选机制，在双网情况下，选择最快的网络通讯。

支持最新的 TLS, HTTPS 协议，提供安全的 DNS 查询能力。

ECS 支持，是查询结果更佳准确。

域名 TTL 可指定，使访问更快速。

高速缓存机制，使访问更快速。

第二 DNS 支持自定义更多行为。

7.拟实现的DNS转发流程

设置最核心的部分就是DNS转发端口的衔接，而我们要做的就是把DNSMASQ、Adguardhome、SmartDNS三个插件里的DNS服务器功能分成三个层级，实现层层转发。依次是第一级DNSMASQ，第二级Adguardhome，第三级SmartDNS。

客户端 DNS 请求流程简单来说就是：

【客户端(client)】国内请求】→

→192.168.1.1:53→192.168.2.1:53(DNSMASQ)→192.168.2.1:5351(Adguardhome)→192.168.2.1:6053 (SmartDNS缓存)→上游国内DNS公共服务器→返回最快DNS给客户端

【客户端(client)】国外请求→

→192.168.1.1:53→192.168.2.1:53(DNSMASQ)→192.168.2.1:5351(Adguardhome)→192.168.2.1:5335 (SmartDNS缓存)→上游国外DNS公共服务器→返回最快DNS客户端

经过设置之后，openWrt的默认DNS服务器为DNSMASQ，本地的DNS由openWrt的SmartDNS负责解析缓存，DNSMASQ作为最底层的DNS服务器，只担任转发功能。

一、OpenWrt基本设置

1.配置OpenWrt的lan口设置

IPv4地址：为OpenWrt的网关，也是我们管理OpenWrt的地址，这里设置为192.168.50.2。

子网掩码：和ikuai一致保证同一个网段。

IPv4网关：指向ikuai的网关。保证OpenWrt的上网数据传输到ikuai再传输到外网。

使用自定义的DNS服务器：首先设置一个自定义的DNS，这里我们先设置一个能用的DNS即可，保证我们在设置过程中可以上网，后面设置好了，可以将DNS改为由OpenWrt代理，即输入OpenWrt的网关改成192.168.50.2。

2.关闭DHCP服务，统一由ikuai分配

楼主的电信网络没有IPv6服务，全部使用的是IPv4的服务，禁用掉IPv6服务。

3.lan高级设置

lan口高级设置里不勾选IPv6，勾选【开启开机自动运行】和【强制链路】：

4.Turbo ACC 加速

开启【Turbo ACC 加速】，如果前面已经开启了，检查网络内的【Turbo ACC 加速】设置是否正确：

只开启前三个即可，DNS缓存后面由SmartDNS来管理。如果开启了会产生冲突，冲突了就会不生效，关闭 Turbo ACC 网络加速设置的 DNS 加速。

5.防火墙设置

①基本设置

打开openwrt的防火墙， SYN-flood 防御、丢弃无效数据包起不起用都可。下面启用 FullCone-NAT、入站数据、出站数据、转发都设置为接受。

下面lan口开启：IP 动态伪装。

②防火墙自定义规则

一般 openwrt 防火墙默认有以几条规则，若没有，加上

iptables -t nat -A PREROUTING -p udp —dport 53 -j REDIRECT —to-ports 53

iptables -t nat -A PREROUTING -p tcp —dport 53 -j REDIRECT —to-ports 53

[ -n “$(command -v ip6tables)” ] && ip6tables -t nat -A PREROUTING -p udp —dport 53 -j REDIRECT —to-ports 53

[ -n “$(command -v ip6tables)” ] && ip6tables -t nat -A PREROUTING -p tcp —dport 53 -j REDIRECT —to-ports 53

③加入回程旁路由统一转发代码

自定义规则里再加入下面一条规则，如果现在使用的网卡是eth1或者eth2，这里同样修改为eth1或者eth2。

iptables -t nat -I POSTROUTING -o eth0 -j MASQUERADE

如果不加会导致我们广告屏蔽等功能失效，原理大概如下：

家里的上网设备对外发送一个上网请求数据包，向外发一个包，先发到旁路由openwrt(192.168.50.2)，如果不加这条规则，旁路由并没有修改这个包的源地址(192.168.50.XX)，这个包由旁路由openwrt转发给ikuai主路由(192.168.50.1)再到外网。外网回应的数据包，到了ikuai主路由(192.168.50.1)，主路由一查 NAT表，发现是设备(192.168.50.XX)的，就直接发给设备了，这个数据(包含广告)，没有经过openwrt(192.168.50.2)处理。我们加上这条命令后，回程返回的数据包会先回到openwrt进行处理，再返给设备。

需要设置情况：

ikuai主路由开 DHCP(未指向openwrt旁路由网关)，openwrt旁路由关 DHCP，旁路由只有 LAN 口工作，其他设备需设置静态网关为旁路由，需要设置。

ikuai主路由开 DHCP(未指向openwrt旁路由网关)，openwrt旁路由开 DHCP(强制模式开)，旁路由只有 LAN 口工作，其他设备通过强制 DHCP 获取旁路由网关，需要设置。

ikuai主路由开 DHCP(指向openwrt旁路由网关)，openwrt旁路由关 DHCP，旁路由只有 LAN 口工作，需要设置。

ikuai主路由关 DHCP，openwrt旁路由开 DHCP，openwrt旁路由只有 LAN 口工作，需要设置。

不需要设置的情况：

openwrt旁路由 WAN LAN 共用 eth0，不用设置。

ikuai单臂路由情况，openwrt作为拨号路由(有拨号就有 WAN 口)，不用设置。

二、ikuai的DNS设置

回到ikuai进行简单设置，这一步将ikuai的DNS设置为openwrt代理：

网关：设置为openwrt的网关：192.168.50.2

这样上网设备发出的数据，到达ikuai，ikuai会发送到openwrt进行一番处理，然后在发送到外网。回程的数据，ikuai也会发送到openwrt进行一番处理，然后转发到各个设备。

DNS：设置为openwrt代理：192.168.50.2

三、安装SmartDNS

安装：在 istore 中输入SmartDNS ，查找软件包安装即可，一般openwrt都带有这个服务，这个就不多说了。

在服务中打开SmartDNS：

四、SmartDNS设置

1.SmartDNS基础设置

基本设置→SmartDNS勾选启用→服务器组名称：china→端口默认【6053】→开启TCP服务器→勾选双栈IP优选→勾选域名预加载→勾选缓存过期服务→重定向默认「无」→缓存大小设为：1000000→域名TTL最大值设为：3600→勾选启动→保存&应用。

【双栈IP优选】：应注意自己的设备是否完全支持 IPv6，尤其是网络运营商是否支持

【重定向】：一定不要选择，后面我们用Adguard Home进行重定向。还有就是一些版本的SmartDNS，没有重定向功能，改成了自动设置 DNSMASQ，如果是这个版本注意不要点自动设置 DNSMASQ 。因为我自己是用的IPV4公网，这里IPV6的两项设置不勾选，如果用IPV6勾选此两项。

【停用HTTPS地址解析】：如果下面上游路由器添加HTTPS协议的话，停用HTTPS地址解析这一项不要勾选。

【缓存大小】：可根据需求填入，这里填入的数字是指缓存的条数，楼主写了个十万「100000」，自己可以多写几条。

【域名TTL】：是指缓存的时间，也就是DNS在本地保留生效的时间，留空则根据上游服务器告知的时间缓存，但是如果低于最小值，则按照最小值在缓存之内防止短时间多次查询，如果时间过长则按照最大值缓存防止失效。域名TTL可根据自己需求需求填入，最小值填入「300」、域名 TTL 最大值填入「3600」。域名TTL最大值如果我们这里填入3600，意思是缓存一个小时。同样如果填入864000，意思就是系统会帮我们缓存十天。

2.SmartDNS配置上游服务器

配置参考规则

smartdns 提供了域名缓存机制：对查询的域名，进行缓存，缓存时间符合 DNS TTL 规范。

①为提高缓存命中率，适当增大 cache 的记录数、通过 cache-size来设置缓存记录数。内存大的情况下，可适当调大。可以提高 cache 效率，加快访问速度

②适当设置最小 TTL 值：通过 rr-ttl-min`将最低 DNS TTL 时间设置为一个合理值，延长缓存时间。建议是超时时间设置在 10～30 分钟，避免服务器域名变化时，查询到失效域名。

③开启域名预获取功能：通过来启用域名预先获取功能，提高查询命中率。
配合上述 ttl 超时时间，smartdns 将在域名 ttl 即将超时使，再次发送查询请求，并缓存查询结果供后续使用。频繁访问的域名将会持续缓存。此功能将在空闲时消耗更多的 CPU。

④数量方面：SmartDNS 有测速机制，在配置上游服务器时，建议配置多个上游 DNS 服务器，包含多个不同区域的服务器，但总数建议在 10 个左右。

⑤隐私方面：默认情况下，SmartDNS 会将请求发送到所有配置的 DNS 服务器，若上游 DNS 服务器使用 DNS，或记录日志，将会导致隐私泄漏。所以在配置的时候要考虑：

配置使用可信的 DNS 服务器。

优先使用 TLS 查询。

设置上游 DNS 服务器组。

⑥IOS 系统解析缓慢问题怎么解决？
IOS14 开始，苹果支持了 DNS HTTPS (TYPE65) 记录的解析，此功能用于快速 DNS 查询和解决 HTTPS 链接相关的问题，但当前还是草案，另外会导致广告屏蔽等功能失效，建议通过如下配置关闭 TYPE65 记录查询。

force-qtype-SOA 65

按照以上规则我们开始进行配置

这里将DNS分别进行分组，当浏览国内网页时使用国内DNS，在访问国外网站时自动使用国外DNS。点新增开始下一步：

①添加国内DNS服务器

按照以下设置分别将下面的国内DNS插入进去，注意这里我们使用了国内国外分流，国内国外不宜添加过多，添加之前可以在网上测试下DNS的速度，国内国外各添加十条就够了。DNS测试网站

DNS服务器名称：自己随便定义

服务器组：china(自己随便定义，这个是国内组的意思)

端口：default(默认端口)

类型：udp(国内统一填写)

②添加添加运营商的DNS(隶属于国内组)

首先添加电信运营商给的DNS。这样在查询的时候会优先查询。打开ikuai wan口拨号页面，查看供应商给的DNS，可以看到电信供应商给了两个DNS：

将两个DNS复制出来，在SmartDNS分别添加上去。

116.228.111.118

180.168.255.18

添加完成，将上面的DNS删掉，尽量保证电信供应商的排在第1、2位置。

关于DNS，可以到dns.ip.cn查询：

③添加国内DNS服务器：

阿里公共DNS：223.5.5.5，223.6.6.6 类型选择：UDP

阿里加密DNS：aliDNS_ip/DNS-query 类型选择：https

阿里加密DNS：DNS.aliDNS.com/DNS-query 类型选择：https

腾讯公共DNS+：119.29.29.29 类型选择：UDP

腾讯加密DNS：doh.pub/DNS-query 类型选择：https

腾讯加密DNS：sm2.doh.pub/DNS-query 类型选择：https

百度公共DNS：180.76.76.76 类型选择：UDP

华为云公共DNS ：122.112.208.1，139.9.23.90 类型选择：UDP

114公共DNS：114.114.114.114，114.114.115.115 类型选择：UDP

OpenerDNS：42.120.21.30 类型选择：UDP

DNS派 电信 / 移动 / 铁通：101.226.4.6，218.30.118.6 类型选择：UDP

DNS派 联通：123.125.81.6，140.207.198.6 类型选择：UDP

添加完成：

④添加国外DNS服务器

下面进行添加国外DNS，国外DNS协议要添加UDP、TCP和TLS三种协议。

服务器组选择：guowai

添加一项额外的服务器参数(从默认服务器组排除)，填入：

-exclude-default-group

下面搜集了这些常见的国外DNS：

Google DNS：8.8.8.8，8.8.4.4 类型选择：tls(UDPTCP也可以加入)

Google加密DNS：dns.google/dns-query 类型选择：https

Google加密DNS：dns.google 类型选择：tls

CloudFlare：1.1.1.1类型选择：tls(UDPTCP也可以加入)

IBM Quad9：9.9.9.9类型选择：tls(UDPTCP也可以加入)

IBM Quad9：doh.opendns.com/dns-query 类型选择：https

Norton ConnectSafe：199.85.126.10 199.85.127.10 类型选择：UDP

威瑞信：64.6.64.6 64.6.65.6 类型选择：UDP

Comodo**安全DNS：** 8.26.56.2 68.20.247.20 类型选择：UDP

DNS Watch**：** 84.200.69.80 84.200.70.40 类型选择：UDP

OpenDNS：208.67.222.222，208.67.220.220类型选择：tls(UDPTCP也可以加入)

韩国电信DNS：168.126.63.1，168.126.63.2类型选择：tls(UDPTCP也可以加入)

V2EX DNS：199.91.73.222，178.79.131.110类型选择：tls(UDPTCP也可以加入)

有的版本的SmartDNS是有从默认服务器组排除这个选项的，如果有这个选项，国外的DNS服务器在添加的时候，勾选就可以了。这样就可以把国内组进行分开，访问国内网站的时候使用国内DNS，使用国外网站的时候，选择国外的DNS服务器。

添加完成：

⑤设置第二DNS服务器

启用第二 DNS 服务器，端口默认「5335」，因为很多插件的DNS服务中用的就是5335端口，这里设置后好了之后，直接选用即可。

服务器组我们选择上面的国外分组，其他的对照设置。

启用→开启「TCP 服务器」→本地端口设为5335→服务器组:guowa→勾选跳过测速→勾选跳过address规则→勾选跳过双栈优选→勾选跳过cache→启用——保存&应用

下面四项勾选，第二DNS服务器设置完毕。

⑥SmartDNS 自定义设置

在SmartDNS 自定义中添加下面两项分组信息，其他的删掉即可，只保留主体部分:

bind:6053 -group china

bind:5335 -group guowai

SmartDNS 自定义备份

# Add custom settings here.

# set log level
# log-level [level], level=fatal, error, warn, notice, info, debug
# log-level error

# log-size k,m,g
# log-size 128k

# log-file /var/log/smartDNS.log
# log-num 2

# List of hosts that supply bogus NX domain results
# bogus-nxdomain [ip/subnet]

bind:6053 -group china

bind:5335 -group guowai

五、配置AdGuard Home

1.AdGuard Home WEB端设置

在服务里打开AdGuard Home，可以看到基本设置、日志、手动设置三个选项。前两个是wed端可视设置，手动设置就是通过命令进行设置。

首先看第一项基础设置

①更新核心

首先更新核心版本，现在可以看到红色的状态是未运行和未重定向，如果特殊上网正常的话是可以更新的，点击检查更新，更新核心：

②手动更新核心

如果因为网络问题无法更新，那只能手动更新了。打开AdGuardHome，找到点击右下角，作者编译好的最新的版本。

打开列表，找到自己对应的版本，一般X86 64位平台选择换个版本即可。

下载打开压缩包，第一个AdGuardHome就是核心文件，我们只用到这一个就可以了。

我们打开winSCP，电脑上没有的可以去下载安装下：

安装完成后，新建连接。输入主机名，openwrt的IP地址，端口号不用该，输入用户名和密码，连接。

点击【打开目录】，路径输入/usr/bin/AdGuardHome/，确定打开。

将刚才下载的复制粘贴进来：

右击属性，分配权限，权限和下面一样就可以了。

这时可以看到核心已经有了。

2.重定向方式：

更新完核心之后可以看到，重定向选项，重定向方式有【作为 DNSMASQ 的上游服务器】、【重定向 53 端口到 Adguardhome】、【使用 53 端口替换DNSMASQ 】3种选择，这里先选择无，就是先不重定向，等到后面设置好了，我们再开启。

先来捋一下，AdGuard Home的上级DNS服务器是SmartDNS，这点是肯定的，我们主要是要理清DNSMASQ和Adguardhome之间的关系。而DNSMASQ和Adguardhome的上下级关系关系就是通过重定向来实现的。

关于三种重定向方式的区别。从下面luci-app-adguardhome的作者注释来看，【作为 DNSMASQ 的上游服务器】是最稳定的方式，就采用这个就好了，效果其实都一样，不要折腾，越折腾莫名其妙的问题越多。

作为 dnsmasq 的上游服务器 (在 AGH 中统计到的 ip 都为 127.0.0.1，代价就是没法统计局域网客户端，都显示 127.0.0.1 了，无法统计客户端及对应调整设置，基本上无影响，但是酸酸乳plus 正常)

重定向 53 端口到 AdGuardHome（ipv6 需要开启 ipv6 nat redirect 否则如果客户端使用 ipv6 过滤无效，不以 dnsmasq 为上游酸酸乳plus 失效）

使用 53 端口替换 dnsmasq (需要设置 AGH 的 dnsip 为 0.0.0.0, AGH 和 dnsmasq 的端口将被交换，不以 dnsmasq 为上游酸酸乳plus 失效)

然后勾选【详细日志】、【开机后网络准备好时重启】、【在关机时备份工作目录文件】所有的选项，保存启动AdGuard Home。

3.AdGuard Home web端配置

这时可以看到，AdGuard Home已经运行，但是还有一个红色的未重定向，这是正常的。

后打开下面框选的位置，打开AdGuard Home的web配置页面。

也可以直接输入旁路由地址：端口号，楼主旁路由地址是192.168.50.2，可以直接输入192.168.50.2:3000进行配置。会出来个网页。点击开始配置进入下一步：

①端口设置

网页管理界面——监听接口——所有接口，端口号设置为默认的3000。也可以设置成其他的，这个只要不和现用的其他端口冲突即可。

DNS 服务器——监听接口——所有接口，端口号设置为5351。(这个可以随便设置一个，同样也是不冲突就行)

②网页管理界面登录密码

配置AdGuard Home的网页管理界面登录密码，输入常用的账户密码即可。

点击进入下一步，检查有没有问题，可以把这些内容保存下来，省的以后忘记或者后面设置忘记了。

为保证 AdGuard Home 可以开始正常工作，您需要在设备上对其进行配置。AdGuard Home DNS 服务器正在监听以下地址:

127.0.0.1:5351

172.17.0.1:5351

192.168.50.2:5351

[::1]:5351

[fe80::62be:b4ff:fe09:c9f%br-lan]:5351

③设置AdGuard Home的上游DNS服务器

首先【常规设置】

常规设置里【使用过滤器和Hosts文件以拦截指定域名】勾选开启，其他选择关闭。不要问为什么，问就是稳定优先，已经够用，开了会出bug，网页崩溃、显示不全、打不开等种种问题。

日志和统计大家根据自己的喜好设置就可以了，这个没多大影响。

再打开【DNS设置】页面，设置AdGuard Home的上游DNS服务器：

前面我们已经在在SmartDNS设置了国内DNS端口为端口默认【6053】

SmartDNS第二DNS服务器（国外DNS）的端口为【5335】