网络 on 欧式fifty 的 blog

如何在 RouterOS 上利用 OSPF 和 PVE 上的 ShellCrash 打造无感网络

Thu, 29 Jan 2026 00:58:18 +0800

Note
本文内容基于 2026年1月29日 的环境撰写，使用的是 RouterOS 7.20.1 和 ShellCrash 1.9.4beta6，两者均作为 KVM 实例运行在 PVE 上。如果你使用的 RouterOS 或 ShellCrash 版本不同，具体内容可能会有所差异，请灵活变通。

简介

以前我通过 DHCP 指定网关的方式让网络中的设备使用代理。虽然这种方法能成功实现无感代理，但我没法把这种体验扩展到所有设备上，因为 ShellCrash 有时候是真的会“Crash（崩溃）”，这会直接影响正常的网络流量。我对 OSPF 功能早有耳闻，所以最近参考 DeepRouter 的文章在 RouterOS 上配置了 OSPF。这篇文章主要用来记录我的折腾经验，并分享我是如何增强整个系统的健壮性（Robustness）的。

ShellCrash 和 Bird 的配置

虽然把 ShellCrash 和 BIRD 部署在不同的实例里也没问题，但我 强烈建议 将它们部署在同一个实例中。

这里略过 ShellCrash 的安装过程，请确保在 DNS 配置中使用了 MIX 模式（按 2 (功能设置) - 2 (DNS 设置)）。

检查 IPv4 和 IPv6 转发配置

运行 sudo sysctl -p 并检查以下项是否已正确配置：

net.ipv4.ip_forward=1
net.ipv6.conf.all.forwarding=1

如果没有，请编辑 /etc/sysctl.conf 进行修改。

BIRD

我们将使用 !chnroutes 来区分国内 IP。

安装完 bird 后，请确保不要立即启用或启动它。我们需要先做一些配置工作。

对于 Debian 系统：

sudo apt update
sudo apt install bird2 make

bird.conf

编辑 /etc/bird/bird.conf 并按照如下内容进行修改。

请确保：

router id 是你的 ShellCrash/BIRD 实例的 IP。
ospf v2 和 v3 中的 interface 都要设置为该实例连接网关（LAN口）所使用的网卡接口名称。你可以通过 ip a 或 ip link 来查看，找到那个不是 lo 的接口。

log syslog all;

router id 192.168.114.51; # 这里改成你实例的 IP

protocol device {
 scan time 60;
}

protocol kernel {
 ipv4 {
 import none;
 export none;
 };
}
protocol kernel {
 ipv6 {
 import none;
 export none;
 };
}

protocol static {
 ipv4;
 include "/etc/bird/routes4.conf";
}
protocol static {
 ipv6;
 include "/etc/bird/routes6.conf";
}

protocol ospf v2 {
 ipv4 {
 export all;
 };
 area 0.0.0.0 {
 interface "ens18" { # 改成你的网卡接口名称
 type pointopoint;
 };
 };
}

protocol ospf v3 {
 ipv6 {
 export all;
 };
 area 0.0.0.0 {
 interface "ens18" { # 改成你的网卡接口名称
 type pointopoint;
 };
 };
}

生成路由表

git clone https://github.com/ous50/nchnroutes.git
cd nchnroutes
make

如果你连接 github.com 有困难，可以使用镜像站：

git clone https://hk.gh-proxy.org/https://github.com/ous50/nchnroutes.git
cd nchnroutes
make

如果看到以下输出，说明一切顺利，可以继续：

python3 produce.py
sudo mv routes4.conf /etc/bird/routes4.conf
sudo mv routes6.conf /etc/bird/routes6.conf
sudo birdc configure
BIRD 2.0.12 ready.
Reading configuration from /etc/bird/bird.conf
Reconfigured

RouterOS 配置

你需要先设置一个旁路路由表，以防止 OSPF 邻居建立后瞬间发生环路。

绕过 ShellCrash 防止环路并设置例外

我们将创建一个新的路由表来绕过来自 ShellCrash 的流量，从而防止死循环。

/routing table
add disabled=no fib name=bypass-shellcrash
/routing rule
add action=lookup-only-in-table comment="Bypass Shellcrash Gateway using Routing Mark" disabled=no routing-mark=bypass-shellcrash table=bypass-shellcrash

将你的默认路由从 main 表迁移到 bypass-shellcrash 表：

/ip route
add disabled=no distance=1 dst-address=<你的局域网网段带掩码> gateway=lan routing-table=bypass-shellcrash scope=30 suppress-hw-offload=no target-scope=10
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=<你的互联网网关> routing-table=bypass-shellcrash scope=30 suppress-hw-offload=no target-scope=10

防火墙标记 (Mangle)

请确保：

将 dst-address 改为你的局域网网段，保留前面的感叹号 !。
将 src-mac-address 改为 ShellCrash 实例网卡接口的 MAC 地址（可以在 ShellCrash 实例中用 ip link 查看，或者直接在 PVE 界面看）。

/ip firewall mangle
add action=mark-routing chain=prerouting comment=bypass-shellcrash-gateway dst-address=!192.168.0.0/23 new-routing-mark=bypass-shellcrash src-mac-address=11:45:14:19:19:81

OSPF 配置

默认情况下，你不需要更改此脚本中的任何内容。

/routing ospf instance
add disabled=no name=shellcrash
add disabled=no name=shellcrash-v6 version=3
/routing ospf area
add disabled=no instance=shellcrash name=ospf-area-v4
add disabled=no instance=shellcrash-v6 name=ospf-area-v6
/routing ospf interface-template
add area=ospf-area-v4 cost=10 disabled=no priority=32 type=ptp
add area=ospf-area-v6 cost=10 disabled=no priority=32 type=ptp

进阶技巧 (Tricks)

健壮的 DNS 设置

由于 ShellCrash 使用了 fake-ip 模式，你应该将 ShellCrash 的 DNS 设置为上游。

在这种情况下，我们假设将 RouterOS 的 DNS 下发给客户端，并使用以下 RouterOS 脚本来动态更新上游 DNS 源，以增强健壮性，防止 ShellCrash 挂掉导致全网断网。

:global ospfInstance "shellsrash"
:global ospfDNS "1.1.4.5" # 你的 ShellCrash 实例 IP
:global publicDNS "223.5.5.5" # 这里改为你用于直接上网的公共 DNS

# (true / false), 测试完成后关闭调试模式，否则日志里全是烦人的调试信息。
:local DEBUG false

# 标记最终状态，默认值为 false (down)
:local isOspfActive false

# 尝试寻找邻居
:local neighborIds [/routing ospf neighbor find instance=$ospfInstance]

# 检查是否找到邻居
:if ([:len $neighborIds] > 0) do={
 # 注意：这里我们假设只使用一个实例。
 # 如果你有多个实例，可能需要遍历查找。
 :local neighborState [/routing ospf neighbor get ($neighborIds->0) state]
 
 :if ($DEBUG) do={:log info "[DEBUG] Neighbor found! State: $neighborState"}
 
 # 只有当状态为 "Full" 时才认为 OSPF 活跃。记住是 "Full" 不是 "full"。这个状态名在不同 RouterOS 版本可能不同。
 :if ($neighborState = "Full") do={
 :set isOspfActive true
 }
} else={
 # 如果长度为 0，说明未找到邻居。检查 bird 配置/状态。
 :if ($DEBUG) do={:log info "[DEBUG] No OSPF neighbor found. Logic assumes DOWN."}
 :set isOspfActive false
}

# 根据变量 isOspfActive 更改 DNS
:local currentDNS [/ip dns get servers]

:if ($isOspfActive) do={
 # OSPF 在线
 :if ($DEBUG) do={:log info "[DEBUG] Decision: OSPF is UP."}
 
 :if ($currentDNS != $ospfDNS) do={
 :log warning "OSPF Shellcrash Up: Switching to OSPF DNS ($ospfDNS)."
 /ip dns set servers=$ospfDNS
 /ip dns cache flush
 } else={
 :if ($DEBUG) do={:log info "[DEBUG] DNS is already correct (OSPF)."}
 }
} else={
 # OSPF 离线 (或丢失邻居)
 :if ($DEBUG) do={:log info "[DEBUG] Decision: OSPF is DOWN/MISSING."}
 
 :if ($currentDNS != $publicDNS) do={
 :log warning "OSPF Shellcrash Down: Switching to Public DNS ($publicDNS)."
 /ip dns set servers=$publicDNS
 /ip dns cache flush
 } else={
 :if ($DEBUG) do={:log info "[DEBUG] DNS is already correct (Public)."}
 }
}

当 ShellCrash 崩溃时关闭 Bird

我们将使用一个 bash 脚本来主动检查 ShellCrash 是否存活。如果 API 无法连接，它将停止 Bird 服务以撤回 OSPF 路由。

将以下代码块复制并粘贴到你的 PVE Shell 中（以 clash 用户登录，或具有 sudo 权限的用户）：

# 1. 创建看门狗脚本 (Watchdog script)
# 注意：我们使用 'EOF' (带引号) 来防止创建时变量被展开。
sudo tee /home/clash/check_clash.sh > /dev/null << 'EOF'
#!/bin/bash

# 配置
API_URL="http://127.0.0.1:9999/"
LOG_FILE="/home/clash/clash_watchdog.log"
DEBUG=false
INTERVAL=3

# 初始化状态 (0=未知, 1=正常, 2=已崩溃)
LAST_STATE=0

while true; do
 # 检查 ShellCrash API
 HTTP_CODE=$(curl -s -m 1 -o /dev/null -w "%{http_code}" "$API_URL")
 
 if [ "$DEBUG" = "true" ]; then 
 echo "[DEBUG] Dashboard code: $HTTP_CODE"
 fi

 if [ "$HTTP_CODE" == "200" ]; then
 # ShellCrash 存活
 if [ "$LAST_STATE" != "1" ]; then
 DATE=$(date "+%Y-%m-%d %H:%M:%S")
 
 # 使用 systemctl 的返回码检查 Bird 是否在运行 (更可靠)
 sudo systemctl is-active --quiet bird
 BIRD_EXIT_CODE=$?
 
 if [ $BIRD_EXIT_CODE -ne 0 ]; then
 if [ "$DEBUG" = "true" ]; then 
 echo "ShellCrash detected. Starting Bird..."
 fi
 echo "[$DATE] ShellCrash recovered/detected. Starting Bird..." >> $LOG_FILE
 sudo systemctl start bird
 fi
 
 LAST_STATE=1
 fi
 else
 # ShellCrash 已挂
 if [ "$LAST_STATE" != "2" ]; then
 DATE=$(date "+%Y-%m-%d %H:%M:%S")
 if [ "$DEBUG" = "true" ]; then 
 echo "[$DATE] Alert! ShellCrash died (Code: $HTTP_CODE). Stopping Bird!"
 fi
 echo "[$DATE] Alert! ShellCrash died (Code: $HTTP_CODE). Stopping Bird!" >> $LOG_FILE
 
 sudo systemctl stop bird
 LAST_STATE=2
 fi
 fi

 sleep $INTERVAL
done
EOF

# 2. 赋予执行权限
sudo chmod +x /home/clash/check_clash.sh

# 3. 创建 Systemd 服务
sudo tee /etc/systemd/system/clash-watchdog.service > /dev/null << EOF
[Unit]
Description=ShellCrash Watchdog for Bird OSPF
After=network.target

[Service]
User=clash
Group=clash
ExecStart=/home/clash/check_clash.sh
Restart=always
RestartSec=3

[Install]
WantedBy=multi-user.target
EOF

# 4. 启用并启动
sudo systemctl daemon-reload
sudo systemctl enable --now clash-watchdog.service
sudo systemctl status clash-watchdog.service

在 PVE 上安装 EasyTier

Tue, 26 Aug 2025 10:30:16 +0800

安装 EasyTier

如果你的网络提供商干扰了 GitHub，你可以使用以下命令来安装 EasyTier：

apt update -y sudo unzip openssl 
wget -O /tmp/easytier.sh "https://ghfast.top/https://raw.githubusercontent.com/EasyTier/EasyTier/main/script/install.sh" && sudo bash /tmp/easytier.sh install --gh-proxy https://ghfast.top/
systemctl disable --now easytier@default.service

你可以在这里检查最新的代理。

否则，只需使用默认的 GitHub URL。

apt update -y sudo unzip openssl 
wget -O /tmp/easytier.sh "https://raw.githubusercontent.com/EasyTier/EasyTier/main/script/install.sh" && sudo bash /tmp/easytier.sh install
systemctl disable --now easytier@default.service

启用 EasyTier 服务

使用 easytier 仪表板进行管理

如果你希望使用 easytier 仪表板进行管理，可以使用以下命令启用该服务：

export USER=<你的用户名>
echo "[Unit]
Description=EasyTier Service
After=network.target syslog.target
Wants=network.target

[Service]
Type=simple
ExecStart=/usr/sbin/easytier-core -w $USER

[Install]
WantedBy=multi-user.target
" | sudo tee /etc/systemd/system/easytier.service

systemctl enable --now easytier.service

然后你就可以在 https://easytier.cn/web 访问 EasyTier 仪表板了。

请注意：你需要先在 EasyTier 仪表板中注册账号再启用该功能。

手动配置

直接跟随官方文档进行配置即可。

我有特别的 FnOS 配置和使用技巧

Fri, 08 Aug 2025 11:26:29 +0800

本文专注于飞牛OS使用时的优化。如需查看如何在 PVE 或实体机器安装飞牛OS，请看上一篇文章。

网络优化

以下可选步骤可提高网络吞吐量和隐私。

执行此脚本以启用 BBR 拥塞控制算法:

cat > /etc/sysctl.d/99-enable-bbr.conf <<EOF
net.core.default_qdisc=fq
net.ipv4.tcp_congestion_control=bbr
EOF

无需重启即可应用BBR配置：

sysctl -p /etc/sysctl.d/99-enable-bbr.conf

执行此脚本以启用现代 IPv6 隐私地址标准（RFC 7217 和 RFC 4941）：

cat > /etc/sysctl.d/99-enable-private-ipv6.conf <<EOF
net.ipv6.conf.all.use_tempaddr = 2
net.ipv6.conf.default.use_tempaddr = 2
net.ipv6.conf.all.addr_gen_mode=1
net.ipv6.conf.default.addr_gen_mode=1
EOF

应用sysctl配置：
```
sysctl -p /etc/sysctl.d/99-enable-private-ipv6.conf
```
🚨 警告：请不要在 FnOS Web 界面中使用“EUI-64”选项。这样做会通过在其 IPv6 地址中暴露设备的 MAC 地址使这些隐私增强功能失效。
应用网络更改

要激活新的 IPv6 地址设置，必须重置网络接口。这可以通过 nmcli 完成，而无需完全系统重启。

🚨 重要提示：从 PVE Web 控制台 (Xterm.js) 执行这些命令，因为通过 SSH 运行会因为IPv6地址改变导致连线断开，且可能无法恢复。

步骤 1：识别连接名称 列出所有活动连接以找到主接口的名称。
```
nmcli connection show
```
输出将列出可用的连接。记下您的以太网连接的名称，通常是 Wired connection 1。

步骤 2：重置连接 使用识别出的名称重新启动网络接口：
```
nmcli connection down "Wired connection 1" && nmcli connection up "Wired connection 1"
```
网络接口将重新启动。您可以使用 ip a 或者在 PVE Web 控制台中虚拟机的 Summary 页面中确认新的 IPv6 地址配置。

启用作为虚拟机宿主机的 IPv6 路由通告（RA）

要使其内部的虚拟机也能透过 SLAAC 获取 IPv6，需要更改其 RA 设定：

cat > /etc/sysctl.d/99-virtual-machine.conf <<EOF
net.ipv6.conf.all.accept_ra = 2
net.ipv6.conf.default.accept_ra = 2
EOF

sysctl -p /etc/sysctl.d/99-virtual-machine.conf

作为 PVE/QEMU 客户机时启用内存与CPU热插拔

修改 /etc/default/grub 以启用内存热插拔:

- GRUB_CMDLINE_LINUX="modprobe.blacklist=pcspkr"
+ GRUB_CMDLINE_LINUX="modprobe.blacklist=pcspkr memhp_default_state=online"

创建 UDEV 规则以启用 CPU 热插拔：

cat > /lib/udev/rules.d/80-hotplug-cpu.rules <<EOF
SUBSYSTEM=="cpu", ACTION=="add", TEST=="online", ATTR{online}=="0", ATTR{online}="1"
EOF

关闭虚拟机。
在 PVE 网页控制台的处理器页面中勾选「启用 NUMA」。
在 PVE 网页控制台的选项页面的「热插拔」选项列表中勾选内存与CPU。

在 Proxmox VE (PVE) 上安装 FnOS

Sun, 03 Aug 2025 10:12:00 +0800

简介

本文档解决了在 PVE 环境中安装 FnOS 后遇到的常见问题，例如系统被锁定和 PVE Web 控制台无响应。通过遵循这些步骤，您将获得一个完全可访问、安全且优化的 FnOS 虚拟机。

如果您已经安装完毕，并想查看更多优化技巧，请看这一篇文章

安装准备

FnOS ISO：访问 https://www.fnnas.com/ 并通过“直接下载”获取。

建议 PVE 至少具有 3GB RAM 和 2 核。

按照官方指南安装系统。

安装后配置

首次启动时，有两个主要问题会阻止访问新的 FnOS 实例：

登录禁用：在完成基于 Web 的初始设置之前，系统控制台不接受任何凭据（包括 root）。这对于可能只有 IPv6 访问权限的远程机器来说是个问题。
PVE 控制台无响应：PVE Web UI 中的 Xterm.js 串行控制台默认情况下无法工作。

以下部分提供了这些问题的解决方案。

获取初始 root 访问权限

首先，我们必须绕过标准启动序列来设置 root 密码。

在 PVE 控制台中，重启虚拟机。在 GRUB 启动菜单中，按 e 编辑启动参数。
找到以 linux 开头的行。它将类似于以下内容：
```
linux /boot/vmlinuz-6.12.18-trim root=UUID=... ro quiet
```
在此行末尾添加 single init=/bin/bash。此参数将系统直接引导到 root shell。
按 Ctrl+X 或 F10 启动。
在 root shell 中，执行 passwd 命令为 root 用户设置新密码。
完成后，重启虚拟机。引导参数更改是临时的，不会持久化。

启用永久控制台访问和功能

建立 root 访问权限后，永久修改 GRUB 配置以启用 PVE 串行控制台和其他功能。

使用新设置的密码以 root 身份登录。
编辑 GRUB 配置文件：nano /etc/default/grub。

修改 GRUB_CMDLINE_LINUX_DEFAULT 行，以包含串行控制台和可选的嵌套虚拟化 IOMMU 支持。

对于 Intel CPU：

- GRUB_CMDLINE_LINUX_DEFAULT="quiet"
+ GRUB_CMDLINE_LINUX_DEFAULT="quiet console=tty0 console=ttyS0,115200 intel_iommu=on iommu=pt"

对于 AMD CPU：

- GRUB_CMDLINE_LINUX_DEFAULT="quiet"
+ GRUB_CMDLINE_LINUX_DEFAULT="quiet console=tty0 console=ttyS0,115200 amd_iommu=on iommu=pt"

注意： console=ttyS0,115200 是 PVE Xterm.js 功能的关键参数。

保存更改并退出编辑器。
通过执行以下命令应用新配置：
```
update-grub
```
重启虚拟机。PVE Web 控制台现在应该完全正常工作。

安装 QEMU 客户机代理

为了更好地与 PVE 集成，例如在虚拟机摘要中显示网络信息，我们需要安装qemu-guest-agent。

```shell
apt update && apt -y install qemu-guest-agent
systemctl enable --now qemu-guest-agent
```

结语

您已成功在 Proxmox VE 上配置了 FnOS 实例。系统现在完全可访问，并与 PVE 主机正确集成。后续配置与优化我将在新的一篇文章展现。