本文转自《飞羽博客》，本文原始地址：https://cokebar.info/archives/962，有删改
本方案依靠GFWList，List中的域名站点走代理，不在List中的域名不走代理，根据域名判断。然而其实本质上依然是根据IP判断是否代理，列表内的IP走代理，列表外的直连；而这个IP列表我们可以通过dnsmasq-full来自动生成；dnsmasq-full可以将解析域名得到的IP加到一个ipset中，利用这个ipset来判断走不走代理。实际是完成了gfwlist（域名列表）到dnsmasq的ipset规则再到IP地址的转换。同样，本方案依然可以搭配ChinaDNS搭配使用，也可以使用ss-tunnel，或者是自己的DNS服务器。
本方案的优点明确，只有被墙的站点才走代理，但是gfwlist并不能100%涵盖被墙站点，而且有些国外站点直连速度远不如走代理，特别是你代理服务器速度较快，希望通过代理加速国外访问时，此方案就不是那么好用了。请酌情选择你所使用的方案。
一、安装
首次安装的话，先安装必要的包，确保路由器联网，先更新软件包列表（下载有问题的请手动到openwrt.org下载所有需要的包并上传到路由器上使用opkg install XXX.ipk命令安装）：
opkg update
shadowsocks有openssl（文件名是shadowsocks-libev-X.XX.ipk）和polarssl（文件名是shadowsocks-libev-polarssl-X.XX.ipk）两个版本选择，ROM空间吃紧的就选择后者吧。
下载链接如下，请根据自己CPU型号选取相应版本：
shadowsocks-libev: http://sourceforge.net/projects/openwrt-dist/files/shadowsocks-libev/
先安装必要的包，如果要用polarssl版本的shadowsocks（polarssl体积更小）：
opkg install iptables–mod–nat–extra ipset libpolarssl
如果要用普通版本（openssl）的shadowsocks，那么(openssl兼容性更好)：
opkg install iptables–mod–nat–extra ipset libopenssl
期间可能遇到如下错误提示：
kmod: failed to insert /lib/modules/3.10.44/ip_set.ko
kmod: failed to insert /lib/modules/3.10.44/ip_set_bitmap_ip.ko
kmod: failed to insert /lib/modules/3.10.44/ip_set_bitmap_ipmac.ko
...
没关系这是因为安装的包需要重启系统，我们做完剩下的步骤最后再重启。
然后卸载dnsmasq并安装dnsmasq-full以及剩下的包:
opkg remove dnsmasq && opkg install dnsmasq–full
cd /tmp
opkg install shadowsocks–libev_x.x.x–x_ar71xx.ipk
二、配置
1、配置 /etc/shadowsocks.json ，格式如下：
{
“server”: “X.X.X.X”,
“server_port”: “443”,
“password”: “password”,
“local_port”: “1080”,
“method”: “rc4-md5”
}
修改 /etc/init.d/shadowsocks ，其实就是把Client Mode注释掉再把Proxy Mode的注释去掉：
#!/bin/sh /etc/rc.common
START=95
SERVICE_USE_PID=1
SERVICE_WRITE_PID=1
SERVICE_DAEMONIZE=1
SERVICE_PID_FILE=/var/run/shadowsocks.pid
CONFIG=/etc/shadowsocks.json
DNS=8.8.8.8:53
TUNNEL_PORT=5353
start() {
# Client Mode
#service_start /usr/bin/ss-local -c $CONFIG -b 0.0.0.0 -f $SERVICE_PID_FILE
# Proxy Mode
service_start /usr/bin/ss–redir –c $CONFIG –b 0.0.0.0 –f $SERVICE_PID_FILE
# Tunnel
#service_start /usr/bin/ss-tunnel -c $CONFIG -b 0.0.0.0 -u -l $TUNNEL_PORT -L $DNS
}
stop() {
# Client Mode
#service_stop /usr/bin/ss-local
# Proxy Mode
service_stop /usr/bin/ss–redir
# Tunnel
#service_stop /usr/bin/ss-tunnel
}
然后启动shadowsocks，并设置开机运行：
/etc/init.d/shadowsocks enable
/etc/init.d/shadowsocks start
2、配置dnsmasq和ipset
将如下规则加入自定义防火墙规则中（最后的1080是shadowsocks的本地端口 酌情修改）：
ipset –N gfwlist iphash
iptables –t nat –A PREROUTING –p tcp –m set —match–set gfwlist dst –j REDIRECT —to–port 1080
修改 /etc/dnsmasq.conf ，在最后加入 conf–dir=/etc/dnsmasq.d ，新建并进入目录 /etc/dnsmasq.d ，下载 dnsmasq_list.conf 后放入该目录。
自动生成dnsmasq_list.conf 的脚本本人放在这里：https://github.com/cokebar/gfwlist2dnsmasq
你可能需要自行修改这个文件，格式如下：
#使用不受污染干扰的DNS解析该域名 可以将此IP改为自己使用的DNS服务器
server=/google.com/127.0.0.1#5353
#将解析出来的IP保存到名为gfwlist的ipset表中
ipset=/google.com/gfwlist
下面详细说一下DNS的方案，有三种：
比如说DNS服务器IP是：3.4.5.6，端口是5050，那么使用替换功能将/etc/dnsmasq.d/dnsmasq_list.conf 里面的 127.0.0.1#5353 全部替换成 3.4.5.6#5050 即可。
最后重启路由器即可。
使用ss-tunnel转发UDP的DNS请求，修改 /etc/init.d/shadowsocks 文件，如需修改上游DNS，请修改DNS=8.8.8.8:53 字段，本地端口修改 TUNNEL_PORT=5353 ：
#!/bin/sh /etc/rc.common
START=95
SERVICE_USE_PID=1
SERVICE_WRITE_PID=1
SERVICE_DAEMONIZE=1
SERVICE_PID_FILE=/var/run/shadowsocks.pid
CONFIG=/etc/shadowsocks.json
DNS=8.8.8.8:53
TUNNEL_PORT=5353
start() {
# Client Mode
#service_start /usr/bin/ss-local -c $CONFIG -b 0.0.0.0 -f $SERVICE_PID_FILE
# Proxy Mode
service_start /usr/bin/ss–redir –c $CONFIG –b 0.0.0.0 –f $SERVICE_PID_FILE
# Tunnel
service_start /usr/bin/ss–tunnel –c $CONFIG –b 0.0.0.0 –u –l $TUNNEL_PORT –L $DNS
}
stop() {
# Client Mode
#service_stop /usr/bin/ss-local
# Proxy Mode
service_stop /usr/bin/ss–redir
# Tunnel
service_stop /usr/bin/ss–tunnel
}
最后重启路由器即可。
此方案使用ChinaDNS来做防DNS污染，先下载并安装相应的包：
chinadns-openwrt: http://sourceforge.net/projects/openwrt-dist/files/chinadns/
luci-app-chinadns: http://sourceforge.net/projects/openwrt-dist/files/luci-app/chinadns/
然后进行安装：
opkg install ChinaDNS_x.x.x–x_ar71xx.ipk
opkg install luci–app–chinadns_x.x.x–x_all.ipk
特别提醒：2015.1.8，由于ChinaDNS-C更名为ChinaDNS，所以包名有变化，此前安装过ChinaDNS-C的，需要手动卸载并重新安装新版。
安装完成后，进到luci，指向服务，点击ChinaDNS，填入上游服务器地址，可以保留默认的114.114.114.114,8.8.4.4，确保本地端口是5353（也就是和dnsmasq_list.conf里面的127.0.0.1#5353保持一致），勾选“启用压缩指针”，然后保存并应用。
或者不勾选“启用压缩指针”，但要酌情填写延迟时间，默认0.3秒：
最后重启路由器即可。对于特殊情况，如长宽用户无法使用方案一和方案二时（长宽用户不支持方案三），可以考虑换成TCP方式，参照《TCP 方式查询解决 DNS 污染问题》
PS1：发现有不少人之前用过chnroute方案，然后改成gfwlist方案，此时记得把忽略解析文件的勾选去掉并把原来的设置填回去：
PS2：默认只有连接路由的设备翻了墙，为了让路由器自身也能够翻墙（如使用路由器获取gfwlist更新dnsmasq_list.conf时候，gfwlist的URL是被墙站点，此时需要路由器自身也要翻墙）做出如下配置，先在自定义防火墙规则中额外加一条：
iptables –t nat –A OUTPUT –p tcp –m set —match–set gfwlist dst –j REDIRECT —to–port 1080
然后再WAN口配置中如图所示，将DNS手动指定为127.0.0.1：
最后在DHCP/DNS设置中将你的ISP的DNS填入（或者使用114DNS等公共DNS）
