总结一下结合ss-tproxy + clash踩的坑 (ubuntu/mint 20)

[bash99]

用clash的原因比较简单，（暂时不知道怎么配置ss-redir或v2ray实现）

1. 带测速的负载均衡;
2. 规则尤其是规则订阅。
   用ss-tproxy的原因（没用 Clash Premiun Installer）：
3. 绕过国内ip不用clash去匹配
4. 进程比较独立干净

暂时能配置出来是 tproxy + tcponly + ipv4 模式，下面是ss-tproxy方面的坑：

1. 注意必须tproxy模式，否则user/group规则不生效时，clash发出的流量很容易被循环重定向。（无论是dns相关还是其它的多服务器均衡）
2. tcponly（不确认），但是我的clash 无论转内部的naive / v2ray 进程都会报 UDP not support，而且我暂时没有udp需求，因此就选择了tcponly。
3. ipv6的dns，不确定原因，但是现象是dig一个国内域名马上返回，nslookup 返回正确结果，但是不退出，后续无限等待。原因大概是nslookup 同时发出了ipv4/v6的解析请求，而AAAA请求挂死了。总之手工修改了 ss-proxy 启动 chinadns-ng的脚本，加了-N 选项来直接对 AAAA/ipv6请求返回不存在。
4. dnsmasq和systemd-resolver的坑：systemd-resolver监听在127.0.0.3 53端口，配置dnsmasq_conf_string=('listen-address=127.0.0.1')，或许改端口也可以，不过不确认。

下面是clash相关配置的坑：

1. 必须设置权限才能启动tproxy模式，sudo setcap cap_net_bind_service,cap_net_admin=+ep /usr/bin/clash
2. tpoxy似乎不能mix-port，必须单独端口。

我最终的ss-proxy文件内容

## mode
mode='chnroute' # chnroute 模式 (白名单)

## ipv4/6
ipv4='true'     # true:启用ipv4透明代理; false:关闭ipv4透明代理
ipv6='false'    # true:启用ipv6透明代理; false:关闭ipv6透明代理

## tproxy
tproxy='true'  # true:TPROXY+TPROXY; false:REDIRECT+TPROXY

## tcponly
tcponly='true' # true:仅代理TCP流量; false:代理TCP和UDP流量

## selfonly
selfonly='false' # true:仅代理本机流量; false:代理本机及"内网"流量
## proxy
# user/group(#1,推荐) vs svraddr+port(#2), user/group选其中一个填写(允许同时填写)
proxy_procuser='proxy'        # 本机代理进程的 user/uid，用来放行本机代理进程传出的流量
#proxy_procgroup=''       # 本机代理进程的 group/gid，用来放行本机代理进程传出的流量
proxy_tcpport='7893'    # ss/ssr/v2ray 等本机进程的 TCP 监听端口，该端口支持透明代理
proxy_startcmd=''     # 用于启动本机代理进程的 shell 命令，该命令应该能立即执行完毕
proxy_stopcmd=''      # 用于关闭本机代理进程的 shell 命令，该命令应该能立即执行完毕

## dns
dns_direct='114.114.114.114'          # 本地 IPv4 DNS，不能指定端口，也可以填组织、公司内部 DNS
#dns_direct6='240C::6666'              # 本地 IPv6 DNS，不能指定端口，也可以填组织、公司内部 DNS
dns_remote='8.8.8.8#53'               # 远程 IPv4 DNS，必须指定端口，提示：访问远程 DNS 会走代理
#dns_remote6='2001:4860:4860::8888#53' # 远程 IPv6 DNS，必须指定端口，提示：访问远程 DNS 会走代理

...

dnsmasq_conf_file=('/etc/dnsmasq.d/ubuntu-fan')                    # `--conf-file` 选项的参数，可以填多个，空格隔开
dnsmasq_conf_string=('listen-address=127.0.0.1')                  # 自定义配置，一个数组元素就是一行配置，空格隔开

...

clash的config.yaml 前部分内容

port: 7890
socks-port: 7891
tproxy-port: 7893
allow-lan: false
# log-level: debug
ipv6: false
mode: rule

dns:
  enable: false

我的clash是用proxy这个用户启动的
su - proxy -s /bin/sh -c /usr/local/clash/start.sh