网络代理

基于 eBPF 的 Linux 透明代理工具

eBPF

dae 是面向 Linux 的透明代理工具，使用 eBPF 在内核中处理透明代理与流量分流，让直连流量绕过代理应用转发。它支持按本机进程名或局域网设备 MAC 地址分流，并可依据不同网络类型的延迟测试结果自动选择节点。

{"title":"Real Direct 分流需要开启 IP 转发"}

{"title":"公网主机同时运行 UDP 服务时需配置端口直连规则","detail":"若与 Shadowsocks 或其他 UDP 服务同机部署，服务发往客户端的 UDP 流量也可能被代理；官方要求为服务端口添加 must_direct 规则，该规则也会让该端口的 DNS 流量直连。"}

{"title":"DNS 分流配置不当可能拖慢国内网站首次访问","detail":"官方提醒，部分国内域名若被交给境外 DNS 解析，可能导致 TLS 握手耗时较长；使用域名集合做 DNS 路由时也需留意误分类。"}

{"title":"需要 Linux 5.17 或更新内核及所需内核配置","detail":"官方指南要求低于 5.17 的内核先升级；OpenWrt、Armbian 等嵌入式发行版可能默认关闭部分所需选项，安装前应核对。"}

{"title":"Real Direct 让直连流量绕过代理应用转发","detail":"需要开启 IP 转发。官方描述，这条直连路径的性能损耗很小，额外资源消耗可忽略；这一描述针对直连流量，不代表所有代理流量的性能保证。"}

{"title":"节点选择可区分传输协议与 IP 版本","detail":"分别测试 TCP、UDP、IPv4、IPv6 延迟，再按用户策略为对应流量选择节点，不只是使用一个统一的延迟结果。"}

{"title":"重载配置不会中断现有连接","detail":"修改配置时可使用重载操作，而不必为了应用配置中断已有连接；也支持临时暂停 dae。"}

不适合无法开启 IP 转发但需要 Real Direct 分流的场景：Real Direct 明确要求开启 ipforward，无法开启时不能满足这项需求。

不适合内核低于 5.17 且无法升级的 Linux 设备：官方安装指南要求低于最低内核版本的设备先升级，不能直接满足该部署需求。

需要分别管理 Linux 本机应用和局域网设备代理规则的人：进程名与 MAC 地址两类匹配方式，可以分别覆盖应用级和设备级分流任务。

希望按不同网络类型自动选择代理节点的人：可分别测试 TCP、UDP、IPv4、IPv6 延迟，再按策略为相应流量选择节点。

需要经常调整代理配置并保留已有连接的管理员：配置重载不会中断现有连接，适合在持续联网时调整配置。

内核级透明分流：通过 Linux 内核中的 eBPF 分流；开启 IP 转发后，直连路径可绕过代理应用。

按应用与设备分流：既能按本机进程名区分流量，也能按局域网设备 MAC 地址制定规则。

按策略自动选节点：结合延迟测试与用户定义的策略，为对应流量自动切换节点。

进程与设备匹配：支持本机进程名匹配，以及局域网 MAC 地址匹配。

反向匹配规则：分流规则支持反向匹配，可表达不符合匹配条件的流量。

自动节点切换：测试不同协议与 IP 版本的延迟，按用户策略选择节点。

DNS 解析流程：支持高级 DNS 解析流程，并可配置 DNS 路由。

全锥形 NAT：列出 Shadowsocks、Trojan(-go)、SOCKS5 支持，但注明未测试。

配置重载与暂停：可在不中断现有连接的情况下重载配置，也可临时暂停。

PPPoE 接口配置：可代理 PPPoE 接口，需指定 pppd 创建的接口而非物理接口。