# 调整ECS的插件
  - tag: ecs_client
    type: ecs
    args:
      auto: false
      ipv4: "219.141.136.0" # 填写本地宽带的 IP 地址
      mask4: 24
      force_overwrite: false # 关闭强制复写，否则内网使用 dig 等工具将无法使用 +subnet= 的命令  

  # 接收到内网请求的处理逻辑 
  - tag: lan_sequence
    type: sequence
    args:
      exec:
        # 统计
        - met
        - _query_summary

        # 域名映射IP
        - hosts

        # 修改 ECS
        - ecs_client #此处会将内网请求附带上配置的本地 ISP 网段作为 ECS
        - _edns0_filter_ecs_only

        # 使用主流程进行后续查询
        - main_sequence #分流之类的都可以填在 main_sequence 里

  # 接收到外网请求的处理逻辑 
  - tag: wlan_sequence
    type: sequence
    args:
      exec:
        # 统计
        - met
        - _query_summary

        # 域名映射IP
        - hosts

        # 公网访问自动获取 ECS
        # 此处不需启用类似ecs_auto的插件，因为已经由下游 AdguardHome 传输上来了
        #- ecs_auto
        - _edns0_filter_ecs_only

        # 使用主流程进行后续查询
        - main_sequence #分流之类的都可以填在 main_sequence 里

  # 内网访问使用的端口
  - exec: lan_sequence
    timeout: 5
    listeners:
      - protocol: udp
        addr: "0.0.0.0:5353"
      - protocol: tcp
        addr: "0.0.0.0:5353"
  # 公网使用的端口，可以按需求自行配置 DOH 等
  - exec: wlan_sequence
    timeout: 5
    listeners:
      - protocol: udp
        addr: "0.0.0.0:5335"
      - protocol: tcp
        addr: "0.0.0.0:5335"
   

# 前面是其他curl命令
# 获取 Fastly IP 地址段，首次使用 jq 命令可能需要先用 apt 安装
curl https://api.fastly.com/public-ip-list | jq --raw-output '.addresses[],.ipv6_addresses[]' > /tmp/easymosdns/fastlyip.txt && \

# 获取 Github 上他人整理的 AkamaiCloud IP地址段，后面 sed 是让 ChatGPT 写的，可能有更简洁的写法。
curl https://raw.githubusercontent.com/blackmatrix7/ios_rule_script/master/rule/Surge/Cloud/AkamaiCloud/AkamaiCloud_Resolve.list | sed '/^#/d;s/IP-CIDR,//g;s/IP-CIDR6,//g;s/^[ \t]*//;s/[ \t]*$//' > /tmp/easymosdns/akamai_ip.txt && \

# 注意，上述 AkamaiCloud IP地址段由于没有找到官方的地址，因此可能存在不完全准确的情况。

# 合并两个文件
cat /tmp/easymosdns/akamai_ip.txt /tmp/easymosdns/fastlyip.txt | sort -u > /tmp/easymosdns/CDN_not_follow_ecs.txt && \
rm -rf /tmp/easymosdns/akamai_ip.txt && \
rm -rf /tmp/easymosdns/fastlyip.txt && \

# 后面是将 tmp 目录中文件复制到正式文件夹的命令

   - tag: CDN_not_follow_ecs
      file: ./rules/CDN_not_follow_ecs.txt

   # 匹配不遵守ECS协议的CDN的IP范围
   - tag: response_non_ECS_CDN_IP
      type: response_matcher
      args:
         ip:
         - "provider:CDN_not_follow_ecs"

   # 下面的逻辑直接修改于 easymosdns 原始配置，请根据自己配置调整

   # 剩下的未知域名用IP分流，分流原理请参考 fallback 的工作流程
   # primary 从远程服务器获取应答，丢弃本地IP的结果
      - primary:
         - _prefer_ipv4
         - ecs_global
         - forward_googledns
         - ttl_short
         # 这里进行检查是否命中 Akamai 和 Fastly 的 IP 地址且是境外 IP 时，转发给 Cloudflare Gateway DNS 解析。
         - if: "(! response_has_local_ip) && (response_non_ECS_CDN_IP)" 
            exec:
               - forward_CFgateway         
               - ttl_long
               _ _return
         # 如果海外解析返回了境内 IP，则丢弃解析等待 fallback
         - if: response_has_local_ip 
            exec:
               - _drop_response

         # secondary 从本地服务器获取应答
         secondary:
         - ecs_auto
         # 境内改成直接使用阿里 DNS 解析
         - forward_alidns
         # 命中污染 IP 则重新发回境外进行解析
         - if: "(! response_has_local_ip) && [_response_valid_answer] || (response_has_gfw_ip)"
            exec:
               - _prefer_ipv4
               - ecs_cn
               # 修改为发往 Cloudflare Gateway DNS 进行处理
               - forward_CFgateway
               - ttl_long
         # 如果 primary 超过这个延时还没响应，可以假设 primary 出现了问题
         # 这时会采用 secondary 应答。单位: 毫秒
         fast_fallback: 2500
         always_standby: true #这里改成 true 让 primary 和 secondary 并发请求，再根据逻辑判断选用谁的解析

ip rule add from 127.0.0.1/8 iif lo table 123
ip route add local 0.0.0.0/0 dev lo table 123

ip -6 rule add from ::1/128 iif lo table 123
ip -6 route add local ::/0 dev lo table 123

sudo vi /etc/systemd/system/go-mmproxy.service

[Unit]
Description=go-mmproxy

[Service]
Type=simple
Restart=always
RestartSec=3
# 可以在运行 go-mmproxy 前用其他命令或脚本重置对应路由，
# 确保 go-mmproxy 接管 frpc 流量成功。
ExecStartPre=/etc/mosdns/mmproxy_route_reset.sh
# 此处假定 go-mmproxy 位于 /root/work/bin/ 下，
# frpc 客户端端口为 8443, AdguardHome 监听端口为 5553.
ExecStart=/root/work/bin/go-mmproxy -l 0.0.0.0:8443 -4 127.0.0.1:5553

[Install]
WantedBy=multi-user.target

sudo systemctl daemon-reload
sudo systemctl start go-mmproxy
sudo systemctl status go-mmproxy
sudo systemctl enable go-mmproxy

# AdguardHome 需要将请求发送到这里
bind [::]:1053 -no-dualstack-selection -no-speed-check
bind-tcp [::]:1053 -no-dualstack-selection -no-speed-check

server 127.0.0.1:5335 # 这里是 mosdns 的监听端口

cache-size 5000
cache-persist no
prefetch-domain yes
serve-expired no

  send-client-subnet: 0.0.0.0/0
  send-client-subnet: ::0/0
  max-client-subnet-ipv4: 24
  max-client-subnet-ipv6: 56
  client-subnet-always-forward: yes 

  # subnetcache 一定要有，否则不会对 ECS 请求进行缓存
  module-config: "subnetcache cachedb iterator" 

server {
        listen 8443 ssl http2 proxy_protocol; # 需要加入 proxy_protocol 参数，8443 为 frpc 客户端端口
        server_name doh.example.com; #这里填写域名
        index index.php index.html index.htm default.php default.htm default.html
        root /usr/share/nginx/html; 

        # HTTPS 证书
        ssl_certificate /etc/nginx/cert/dns/fullchain.pem;
        ssl_certificate_key /etc/nginx/cert/dns/privkey.pem;

        # 开启 OCSP Stapling
        ssl_stapling on;
        ssl_stapling_verify on; # 启用OCSP响应验证，OCSP信息响应适用的证书
        resolver 223.5.5.5 119.29.29.29 valid=60s; #添加resolver解析OSCP响应服务器的主机名，valid表示缓存。
        resolver_timeout 2s; # resolver_timeout表示网络超时时间

        #反向代理 DoH
        location ^~ /dns-query {
                proxy_pass https://127.0.0.1:9443/dns-query; # 9443 为 AdguardHome DOH 端口
                proxy_set_header Host $host;
                # 通过 $proxy_protocol_addr 参数向 header 中添加真实 IP 信息
                proxy_set_header X-Real-IP $proxy_protocol_addr; 
                proxy_set_header X-Forwarded-For $proxy_protocol_addr;
                proxy_set_header REMOTE-HOST $proxy_protocol_addr;
        }

        #禁止远程访问仪表盘
        location / {
                return 403;
        }
}