[BUG]Everything works normally except for the Windows client.

[lencil]

自查

• OpenWrt 版本在 23.05 及以上
• Linux Kernel 版本在 5.10 及以上
• 使用firewall4（nftables）而非firewall3（iptables）
• 已经关闭了DNSMASQ的DNS 重定向选项（如无此项请忽略）
• 已停止运行其他代理插件，并确认环境正常

确认

• 我已经搜索过Issue，没有找到相关问题
• 我已经查看过Wiki，没有找到解决办法
• 我使用的是由此仓库代码构建的插件，而不是其他Fork
• 我使用的是最新版的插件
• 这确实是插件的问题，而不是核心/面板/订阅转换服务的问题
• 我提供了正确的、有效的、可以帮助DEBUG的信息
• 我提供的信息里不包含公网IP、MAC、代理节点等敏感信息

系统

OpenWrt

BUG 描述

路由器安装最新的openwrt 23.05.5，安装官方源的mihomo。订阅clash配置文件。访问控制设置为默认“全部允许“
所有连接到路由器的机器均为dhcp获取ip。路由器为一级路由，直接pppoe到运营商。
除windows机器外，android手机，ios，macbook科学上网均正常。
但在不同的两台windows机器上，均出现以下诡异问题，刚连接上路由器的1分种左右内，科学上网正常，大概1分钟过后，便无法科学上网，国内网站正常。如果断开和路由器的连接再插上，又能持续1分钟正常，然后又不正常了。尝试关闭路由器的ipv6，和windows网络适配器的ipv6协议，但问题依旧。
如将这台windows机器切换连接到到另一个装有openclash的路由器，windows也是正常的。

试过两台windows机器分别是windows 10和windows 11，都有此问题，不确定是不是机器问题，不确定是否是bug。

预期行为

windows正常

复现步骤

同描述

[morytyann]

Windows上DNS解析是否获取到Fake-IP？

[lencil]

Windows上DNS解析是否获取到Fake-IP？

PS C:> nslookup google.com

服务器：UnKnown
Address：fdb2:b4aa:112e::1

名称：google.com.lan
Address：198.18.8.226

[morytyann]

猜不到什么原因，我这里是正常的，你可以装个Windows虚拟机，设置成桥接，如果正常那应该是你配置有问题。

毕竟又不能识别谁是Windows谁不是，也没有特殊对待谁，你的其他机器也正常，只可能是配置问题了。

[psqtdhx]

Windows上DNS解析是否获取到Fake-IP？

PS C：> nslookup google.com

服务器：Unknown Address：fdb2：b4aa：112e：：1

名称:google.com.lan 地址：198.18.8.226

你的 fake-ip 为何能拿到 IPV6 地址？

[lencil]

破案了，是chrome内核的问题，用firefox就正常，很奇怪，所有chromium内核的浏览器都不能访问。。。

[morytyann]

哦~那可能是你没有关闭安全DNS导致的。

[lencil]

哦~那可能是你没有关闭安全DNS导致的。

试过了，也无效，真是见鬼了，机器上所有Chromium内核的浏览器都试过了（chrome, chromium, edge, supermium），都有同样的问题。。。用本机的clash或openclash就是正常的。现在也没找到确切的原因。机器上也从没装过类似360之类的劫持流氓软件。

[morytyann]

浏览器报的什么错？是不是你的系统代理或者浏览器插件（SwitchyOmega等）设置了代理导致的？

[lencil]

浏览器报的什么错？是不是你的系统代理或者浏览器插件（SwitchyOmega等）设置了代理导致的？

浏览器基本上都是CONNECTION CLOSED或CONNECTION END 之类的。
系统代理全都没有，而我全新安装了无插件各种版本的基于chromium内核的浏览器，全都一样。而且只有内网的windows上有问题，:)

[morytyann]

面板里有连接吗？设置上系统代理试试呢？🤔

[lencil]

面板里有连接吗？设置上系统代理试试呢？🤔

我再慢慢地找找答案吧，有答案了我会在这里放出解决方案。也许只是一个我本地很sb的配置问题。

[lencil]

发现chrome代理异常时经常会报
ERR_SSL_VERSION_OR_CIPHER_MISMATCH
几个猜测
1.所有chrome内核的证书和tls版本设置都是走的windows系统，所以chrome和edge都有问题。
2.firefox有自己的证书管理，所以不受影响。

但，原因还没找到，咱们服务已经是tls 1.2以上了吧？

[morytyann]

打开chrome://flags/#enable-quic，然后禁用它再试试？

[lencil]

打开chrome://flags/#enable-quic，然后禁用它再试试？

没用，最诡异的是打开浏览器的30秒到1份钟是正常的，然后就突然坏了。

[morytyann]

你需要一个Windows虚拟机，如果在虚拟机里测试正常，那就重装系统吧。🤔

[lencil]

你需要一个Windows虚拟机，如果在虚拟机里测试正常，那就重装系统吧。🤔

话虽这么说，但好奇心使然。。。继续查。

[lencil]

基本确定是Chromemiu内核dns解析错误，但不知是为什么，配置：
chrome://net-internals/?#dns 打开，会发现nslookup的结果和powershell中总是不一致的，powershell中才是对的。
1）已经关闭了chrome的"安全获取DNS"选项
2）没有任何chrome插件扩展干扰
3）包括edge在内的所有新安装的基于Chromium内核的浏览器都是这样的

[psqtdhx]

要不要试试关闭Dnsmasq DNS重定向

[psqtdhx]

顺便把 IPv6 ULA 前缀 也删了吧，看着很不爽~

[lencil]

要不要试试关闭Dnsmasq DNS重定向

这个在23.05里面怎么关？UI上好像没有了。

[lencil]

问题终于查出并解决：
使用wireshark抓包分析，发现chrome即使在ui上关闭了“安全DNS“的情况下，也不一定真正关闭，解析dns也会经由google自己认为安全的server而非系统。
后来经查阅，Chrome内部实际上有自己的dns resolver，何时启用，何时使用system的，有一套复杂的逻辑（我也没时间去看Chromium源码）,ui上的"安全DNS"不一定起作用（这个太坑爹！！！）
我猜测，Chrome应该是为了绝对的安全，在他dns内核的逻辑综合判断当前系统，认为处于不安全的环境时，就会强制启用自身的dns解析。至于基于什么逻辑来判断你的系统不安全，这个得去看源码了。
解决方法很简单，在Chrome快捷方式加上启动参数 --disable-features="dns-over-https,AsyncDns"参数**，这个参数会直接忽略ui上的“安全DNS"，会强制关闭chrome内部的dns解析服务。在最新版Chromium内核130(包括edge)测试通过。

[morytyann]

那就剩最后一个问题了，为何其他人包括我的都是正常的？我这里版本也是130，没有特殊配置。🤔

[psqtdhx]

我刚开始玩mihomo也遇到DNS污染问题，经常拿不到正确的地址，也是时好时坏，现在忘记当时报什么错了，后来是研究了wiki，发现要手动关闭DNS重定向，我记得其他插件是自动的，再后来搭建了好几个ADG，观察dns走向，现在完美运行，dns一个都不漏，

[lencil]

那就剩最后一个问题了，为何其他人包括我的都是正常的？我这里版本也是130，没有特殊配置。🤔

我查资料，可以理解Chrome UI上的"安全DNS"选项只是告诉Chrome有使用"安全DNS“的可能性，内核中不是绝对的，他会综合判断当前环境决定是否使用系统dns服务还是用他内置的dns解析。所以大多数机器正常也就不奇怪了。只有我这台机器很奇葩。