Skip to content

故障排查

zfl9 edited this page Apr 28, 2024 · 12 revisions

如果透明代理未正常工作,请按照如下顺序进行自我排查:

脚本是否报错

如果脚本执行有报错,先判断是不是配置问题,比如 ss-tproxy.conf 某些配置的语法错了。因为 ss-tproxy.conf 是一个 bash 脚本,因此必须符合 bash 的语法。比如给变量赋值时,等号两边不能有空格,字符串请尽量使用引号括起来,不允许空函数(如果函数确实要是空的,那就加个 return 语句)。

执行出错时,请带上 -x 选项,重新执行一遍,看看是哪行出错,报告问题时,请描述是哪条命令出错,并且附上完整的 -x 输出(如果有隐私数据,请自行修改)。

配置是否正确

检查 ss-tproxy.conf、代理软件的配置是否正确,README 说明了许多配置细节,ss-tproxy.conf 中也有详细说明,它们并不是废话,请细心阅读。比较容易出错的配置有:

  • tproxy:必须与本机代理进程的传入协议一致(主要是 TCP),TCP 有两种传入协议:REDIRECT(NAT)、TPROXY。

  • tcponly:如果 UDP 代理不支持(取决于代理套件、代理配置、server端配置、机场配置),请设为 true,只代理 TCP。

  • selfonly:如果希望代理内网主机,请设为 false,并且内网主机的 网关、DNS 必须都指向 ss-tproxy 主机。

  • proxy_procgroup:所有本机代理进程都必须以此 group 身份运行,运行 grep Gid /proc/进程PID/status,检查最后一列的 gid 是否与此处配置的 gid 一致(可以通过 /etc/group 文件获知 name 的 gid),如果不一致,说明没有以给定的 fsgid 身份运行。你可以使用 set_proxy_group 可执行文件名 修改所属 group,设置 setgid 权限位,然后重启代理进程,检查 fsgid 是否正确。如果代理进程有提供 change group 的功能,也可以使用它们来切换 gid。

  • proxy_tcpport:端口必须与本机代理进程的 TCP 传入端口一致,并且这个端口需要支持 REDIRECT/TPROXY 传入,具体是哪个,取决于 tproxy 配置。

  • proxy_udpport:端口必须与本机代理进程的 UDP 传入端口一致,并且这个端口需要支持 TPROXY 传入;如果是 tcponly 模式,此配置忽略。

  • dns_mainport:如果 ss-tproxy 主机上有其他进程监听了 53 端口,请修改为其他端口。已知 systemd-resolved 会监听 53 端口,建议关闭 systemd-resolved(或者将此处的端口改为其他值)。

  • ipts_set_snat:这个只会影响内网主机,如果黑名单正常访问(如google),但白名单无法访问(如baidu),可以将此选项改为 true,看看是否正常。

  • ipts_set_snat6:同 ipts_set_snat。

  • ipts_proxy_dst_port:如果不清楚作用,请保持默认值:留空。

服务是否 running

如果有某个服务不是 running 状态,请检查配置是否正确,端口是否冲突。并打开 代理进程、chinadns-ng 的详细日志,检查相关日志输出。

检查 dns 是否正常

在 ss-tproxy 主机检查 dns 是否正常,如果 curl 提示 Could not resolve host,那就是 dns 有问题。观察 dns进程的日志、代理进程的日志,看有没有异常提示。

记得白名单和黑名单都测试一下,如果白名单正常但黑名单不正常,通常就是代理软件有问题,检查代理是否支持 UDP,因为 dns 默认走 UDP 协议。

检查 tcp/udp 是否正常

比如使用 curl 访问白名单和黑名单,如果白名单正常,黑名单不正常,通常是代理软件问题,检查代理配置是否正确。

如果在其他主机出现黑名单正常,白名单不正常的情况,可能需要设置 snat 规则,请查看上面的 snat 配置说明。

通过 issue 报告问题

请给出 ss-tproxy.conf 配置、代理软件配置,代理程序的日志,dns程序的日志。

如果执行有报错,请带上 -x 再运行一次(如 ss-tproxy start -x),把调试输出发出来。

并描述是 DNS 有问题,还是 TCP/UDP 代理问题。是 ss-tproxy 本机有问题,还是内网主机有问题。