DNS分流方案：DAE+双AdguardHome

[zuilintan]

目前想到的最完美的DNS分流方案，也是目前常驻的策略。
AdguardHome弃用Luci方式部署，改为Docker。
一个负责国内，一个负责国外，如此统计信息也更加清晰。

Todo

注意，由{}包裹的项需替换你的内容
DNS

# 若设为4，且域名同时有A和AAAA记录，dae只回应A类型的请求，并返回空回复给AAAA请求
ipversion_prefer: 4

# 绑定到本地地址以监听DNS查询请求
# 注意：虽然Reload时，日志会打印绑定失败，但不影响监听效果
# 尚无使用场景，暂时注释
#bind: 'tcp+udp://127.0.0.1:5325'

upstream {
  ali_dot: 'tls://dns.alidns.com:853'
  ali_doq: 'quic://dns.alidns.com:853'
  ali_doh3: 'h3://dns.alidns.com:443/dns-query'
  tencent_dot: 'tls://dot.pub:853'
  tencent_doh: 'https://doh.pub:443/dns-query'
  google_dot: 'tls://dns.google:853'
  google_doh3: 'h3://dns.google:443/dns-query'
  cloudflare_dot: 'tls://one.one.one.one:853'
  cloudflare_doh3: 'h3://cloudflare-dns.com:443/dns-query'
  cloudflare_private_dot: 'tls://{MyId}.cloudflare-gateway.com:853'
  cloudflare_private_doh3: 'h3://{MyId}.cloudflare-gateway.com:443/dns-query'
  quad9_dot: 'tls://dns.quad9.net:853'
  quad9_doh: 'https://dns.quad9.net:443/dns-query'
  adguard_doq: 'quic://dns-unfiltered.adguard.com:853'
  mosdns: 'udp://127.0.0.1:5335'
  adguard_home: 'udp://127.0.0.1:5345'
  adguard_home_nocn: 'udp://127.0.0.1:5346'
}

routing {
  request {
    # 禁用IPv6，可屏蔽AAAA相关日志的打印
    qtype(aaaa) -> reject
    # 禁用ECH，避免影响分流
    qtype(https) -> reject
    # 对于内网自定义域名，弃用"Dnsmasq-主机名映射"，改用"AdguardHome-DNS重写"。
    # 原因：后者由Docker部署，更便于备份与管理
    # 注意：至少在"Dnsmasq-主机名映射"保留一条OpenWRT的Web面板映射(e.g. router.lan)，否则一旦DAED关闭，就需要使用IP方能加载DAED的Web面板
    qname(geosite:private) -> adguard_home
    qname(geosite:cn) -> adguard_home
    fallback: adguard_home_nocn
  }
}

路由

## Core
# Linux独有
pname(NetworkManager, systemd-resolved) -> must_direct
# OpenWRT独有
pname(dnsmasq) -> must_direct
# 通过Glide创建强制直连的端口，以供下游的特殊场景使用
pname(glider) -> must_direct
# 通过v2rayA创建强制代理的端口，以供下游的特殊场景使用
pname(v2raya) -> must_direct
# 强制MosDns发出的请求，按DAE的“路由”规则来匹配(e.g. 223.5.5.5匹配"dip(geoip:cn) -> direct"，1.1.1.1匹配"fallback: proxy")
# 原因：国外DNS(1.1.1.1、8.8.8.8)的解析请求，通常会被国内运营商抢答，哪怕是DoH、DoT也会有阻断的情况，所以统一经由代理节点进行DNS解析为最佳方案
# 注意：不需要再写pname(mosdns) && l4proto(udp) && dport(5335) -> must_direct，冗余
pname(mosdns) -> must_rules
pname(AdGuardHome) -> must_rules

## DNS
# 原因：通常来讲，查询Geo是项耗时操作，此处直接明文确定DNS IP是否路由为Proxy，可加快DNS解析速度
dip(223.5.5.5, 223.6.6.6) -> direct
domain(full:dns.alidns.com) -> direct
dip(119.29.29.29, 119.28.28.28) -> direct
domain(full:doh.pub) -> direct
dip(8.8.8.8, 8.8.4.4) -> proxy
domain(full:dns.google) -> proxy
dip(1.1.1.1, 1.0.0.1) -> proxy
domain(full:one.one.one.one, full:cloudflare-dns.com, suffix:cloudflare-gateway.com) -> proxy

## PS(Proxy Server)
# 原因：假设没有下述规则的话，流程如下：
# 浏览器请求网址(e.g. Google) → MosDns根据Geo识别为国外域名 → MosDns使用国外DNS(e.g. 1.1.1.1:853)查询
# → DAE为1.1.1.1路由到proxy → DAE连接代理节点时发现其Address为域名
# → MosDns根据Geo识别Address为国外域名 → DAE为Address路由到proxy → ...
# 最终，形成链路回环
# 注意：极度重要！避免链路回环，强制直连代理节点中关联的域名(e.g. Address、SNI)
domain(suffix:{MyPS}) -> direct
domain(suffix:{MyNodeSNI}) -> direct
dip({MyPSIp}) -> direct

## Block
# 拦截UDP 443的QUIC流量，强制其回退到TCP 443，解决QUIC导致的卡顿与丢包等场景
# 注意：会阻塞DoH3、DoQ方式的DNS解析，对策为显式配置DNS规则并将其置于该条规则上方
#l4proto(udp) && dport(443) -> block
# 拦截IPv6流量(待确认，可能会影响Local IPv6)
ipversion(6) -> block
# DSCP规则(匹配 DSCP，可用于绕过 BT)，https://github.com/daeuniverse/dae/discussions/295
dscp(0x4) -> direct

## Private
# 已包含于geoip:private中
#dip(224.0.0.0/3, 'ff00::/8') -> direct
# 原因：内网通信无需分流，强制直连即可
# 注意：不可写为must_direct(很多教程都是错的)，否则下游服务在DNS查询会直接跳过路由器的DNS解析器(DAE、MosDns)
# e.g. 下游存在一台NAS，NAS中/etc/resolv.conf配置如下：
# nameserver 127.0.0.1
# nameserver 192.168.100.1
# nameserver 114.114.114.114
# nameserver 8.8.8.8
# 若配置为must_direct，则下游服务在请求DNS解析时，会跳过192.168.100.1，而直接向114.114.114.114、8.8.8.8请求，无法被路由器管理
dip(geoip:private) -> direct
domain(geosite:private) -> direct

## Special
# 测试“路由”规则是否生效
domain(full:myip.ipip.net) -> proxy
# 修正Nezha面板中内网穿透的NAS设备IP地址，https://nezha.wiki/guide/dashboardq.html
mac('{MyNasMac}') && domain(
full:blog.cloudflare.com,
full:developers.cloudflare.com,
full:hostinger.com,
full:ahrefs.com
) -> direct
# 修复Halo应用市场加载缓慢
#domain(geosite:getui) -> proxy

## AI
domain(geosite:category-ai-!cn) -> blockChina

## Communication
domain(geosite:telegram) -> proxy
domain(geosite:category-communication) -> proxy

## Company
domain(geosite:microsoft@cn) -> direct
domain(geosite:microsoft) -> proxy
domain(geosite:apple@cn) -> direct
domain(geosite:apple) -> proxy
domain(geosite:google@cn) -> direct
# geosite:youtube在下方Streaming处配置，此处需绕过
domain(geosite:google) && !domain(geosite:youtube) -> proxy
domain(geosite:cloudflare) -> proxy

## Gaming
# 好友列表的状态更新
domain(suffix:cm.steampowered.com) -> direct
# 影响IPCountry，e.g. “钱包”中货币切换，以及下载时是否走本地CDN
domain(suffix:steamserver.net) -> direct
domain(geosite:steam@cn) -> direct
# 该规则已被移除，https://github.com/Loyalsoldier/v2ray-rules-dat/issues/503
#domain(geosite:category-games@cn) -> direct
domain(geosite:category-games-cn) -> direct
domain(geosite:category-game-platforms-download@cn) -> direct
domain(geosite:category-games) -> gaming

## Streaming
domain(geosite:netflix) -> streaming
domain(geosite:disney) -> streaming
domain(geosite:tiktok) -> streaming
domain(geosite:youtube) -> streaming

## Download
domain(geosite:mega) -> download
domain(keyword:dl-a10b-, dl-z01a-, dl-b07-) -> download
domain(geosite:pikpak) -> download

## CN
dip(geoip:cn) -> direct
domain(geosite:cn) -> direct

## Fallback
fallback: proxy

Todo
内容有点多，一点一点烧烤