OpenClash

给 WireGuard Endpoint 排除 Fake-IP 后，我重启了 OpenClash。随后 PicGo 报图床域名解析失败。一开始以为是那个域名的记录坏了，后来发现是旁路由的普通 DNS 查询出了问题。 怎么确认是旁路由 DNS Mac 走 OpenWrt 旁路由时，查询图床域名返回 SERVFAIL；直接问主路由却能得到真实 IP。baidu.com 等需要真实 IP 的域名也失败，而 google.com 还能拿到 198.18.x.x 的 Fake-IP。这说明“Fake-IP 能返回”不等于上游 DNS 正常。 ...

本实验使用一台带公网 IPv4 的 VPS 作为固定 WireGuard 中转节点，使 Mac、手机等终端能够稳定访问 NAT 后面的家庭局域网。家庭侧最终由 OpenWrt 旁路由承载 WireGuard，主路由只增加一条静态路由，家庭服务器本身不再需要运行 WireGuard。 实验最终跑通，但过程中遇到了三个容易混淆的问题：OpenClash 将 WireGuard Endpoint 解析为 Fake-IP、OpenWrt 防火墙主动拒绝 WireGuard 到 LAN 的转发，以及 wg-quick 重载配置后没有自动增加新的系统路由。本文按实际排查顺序记录配置、现象、判断依据和结果。 ...