RouterOS V7 域名分流实战告别脚本拥抱自动化配置新范式如果你和我一样长期在RouterOS V6时代里为了一个“域名分流”功能不得不和一堆定时脚本、地址列表更新斗智斗勇那么RouterOS V7的到来无疑是一份迟到的礼物。过去我们为了实现某个域名走特定线路往往需要借助外部脚本定时解析域名并更新IP列表流程繁琐且存在延迟。而现在V7版本在路由表和防火墙规则层面引入了更精细、更原生的支持让基于域名的流量导向变得前所未有的直观和稳定。这篇文章就是为你——无论是负责企业多线负载的网络工程师还是追求家庭网络极致体验的技术爱好者——准备的一份从原理到实操的深度指南。我们将彻底抛开V6时代的复杂脚本探索RouterOS V7如何用更简洁的配置逻辑实现更高效的智能分流。1. 核心理念革新从“脚本维护IP”到“DNS驱动路由”在深入命令行之前理解RouterOS V7在此功能上的设计哲学转变至关重要。这能帮助你在未来面对更复杂场景时依然能灵活应对。V6时代的经典做法通常被称为“曲线救国”。核心思路是通过一个外部脚本比如跑在计划任务里定期去解析你想要分流的域名例如*.google.com获取其当前的所有A记录或AAAA记录IP地址然后将这些IP地址添加到一个名为overip或类似的地址列表中。最后配置防火墙Mangle规则对目标地址在这个列表中的数据包打上特定的路由标记使其走指定的网关出口。注意这种方法有几个固有缺陷。一是延迟性脚本执行间隔内域名IP若发生变化分流会失效或错误。二是管理负担每增加一个域名都需要调整脚本。三是可能产生大量冗余的IP条目影响设备性能。V7的优雅解决方案则巧妙利用了DNS解析过程本身。它引入了一个关键特性DNS静态条目现在可以直接将解析结果动态添加到一个指定的地址列表中并且这个动作是在DNS查询发生时实时完成的。这意味着实时性用户首次访问某个域名RouterOS为其解析DNS的同时就会把解析到的IP塞进你预设的列表。没有延迟。自动化无需任何外部脚本或定时任务。配置是一次性的后续该域名解析出任何新IP都会自动入列。精准性列表里只包含实际被解析并使用过的IP列表大小得到有效控制。本质上V7将分流策略的触发点从“IP地址”提前到了“域名解析”这个更上游的环节。我们不再需要维护一个可能很庞大的IP库而是告诉RouterOS“凡是以特定模式匹配的域名其解析出的IP都请放到这个篮子里。” 后续的路由策略只需要盯着这个“篮子”即可。这种“DNS驱动路由”的模式其工作流程可以概括为以下几步sequenceDiagram participant C as 客户端 participant R as RouterOS participant D as DNS服务器 participant F as 防火墙/路由 C-R: 请求访问 example.com R-D: 查询 example.com 的IP D--R: 返回IP地址 (如 142.250.185.78) Note over R: 关键步骤br/匹配DNS静态规则br/将IP加入“海外列表” R-F: IP 142.250.185.78 已被标记 F-F: 查询路由表br/确定该IP走“海外”网关 R--C: 返回IP地址 C-R: 向 142.250.185.78 发送数据 R-F: 数据包目标IP在“海外列表”中 F-R: 应用“海外”路由标记从指定网关发出2. 基础环境搭建路由表与默认网关在配置任何分流规则前我们必须先打好网络基础。假设你拥有两条出口线路线路A (默认线路)本地运营商线路网关为192.168.1.1用于访问国内资源速度快、延迟低。线路B (海外线路)具有国际访问能力的线路网关为10.0.0.1用于访问特定海外资源。我们的目标是让大部分流量走线路A而匹配特定域名的流量自动走线路B。2.1 创建独立的路由表这是V7与V6在配置语法上的一个重要区别。在V6中我们通常直接在ip route中使用routing-mark。而在V7中routing-table的概念被正式引入并分离routing-mark则是在防火墙中打上的标签用于选择使用哪张路由表。首先我们需要创建一张独立的路由表专门用于管理“海外”流量。/routing table add nameoversea fib这条命令创建了一张名为oversea的FIBForwarding Information Base类型路由表。你可以将oversea替换为任何你喜欢的名字例如global,proxy等。2.2 为海外线路添加默认路由接下来在这张新建的oversea路由表中添加一条默认路由指向你的海外线路网关。/ip route add dst-address0.0.0.0/0 gateway10.0.0.1 routing-tableoversea参数解读dst-address0.0.0.0/0: 匹配所有目标地址即默认路由。gateway10.0.0.1: 下一跳网关请替换为你的海外线路实际网关。routing-tableoversea: 关键指定此路由条目仅添加到名为oversea的路由表中不会影响主路由表。至此你的设备里现在至少有两张路由表在同时工作主路由表 (main)包含你所有接口的直连路由以及默认网关如192.168.1.1。海外路由表 (oversea)只包含一条指向10.0.0.1的默认路由。目前所有流量依然默认使用主路由表。我们需要一个“开关”将特定流量切换到oversea路由表。3. 核心配置DNS静态条目与地址列表的联动这是实现自动化域名分流最精妙的一环。我们将配置RouterOS的DNS服务器使其在解析特定域名时自动执行额外操作。3.1 配置DNS静态转发规则假设我们希望所有.google.com的子域名都走海外线路。我们需要创建一个DNS静态条目类型为FWD(转发)。/ip dns static add namegoogle.com forward-to8.8.8.8 typeFWD regexp.*\\.google\\.com\$命令详解参数值说明namegoogle.com这是一个基准名称实际匹配由regexp控制。typeFWD指定此为转发规则。所有匹配的查询将被转发至指定的DNS服务器。forward-to8.8.8.8将匹配的DNS查询转发到该服务器解析。这里使用海外的公共DNS确保解析出的是海外IP。请根据你的海外线路特性选择最优DNS例如你的海外网关可能也提供DNS服务。regexp.*\\.google\\.com\$正则表达式。.*匹配任意字符\\.转义点号\$匹配字符串结束。此表达式匹配所有以.google.com结尾的域名。但仅有转发还不够。我们需要让RouterOS记住这些被转发域名所解析出来的IP。这就需要用到V7的强大功能address-list。3.2 实现DNS解析结果自动入列修改上面的命令增加address-list参数/ip dns static add namegoogle.com forward-to8.8.8.8 typeFWD regexp.*\\.google\\.com\$ address-listoversea_ipaddress-listoversea_ip: 这是点睛之笔。它告诉RouterOS凡是通过此规则解析出的IPv4地址都自动添加到名为oversea_ip的地址列表中。如果解析出的是IPv6地址则会自动添加到一个名为oversea_ip6的列表中后缀自动加6。现在你可以去访问一下www.google.com或drive.google.com然后立即检查地址列表/ip firewall address-list print where listoversea_ip你应该会看到类似下面的输出条目前面带有一个D标志表示它是由DNS规则动态添加的。Flags: D - dynamic # ADDRESS LIST CREATION-TIME TIMEOUT 0 D 142.250.185.78 oversea_ip apr/16/2024 10:23:12 1 D 142.250.185.99 oversea_ip apr/16/2024 10:23:15提示address-list参数在V6的同类命令中不被支持这正是V6需要依赖外部脚本的主要原因。V7的这个原生支持极大地简化了流程。你可以为不同的域名组创建多条规则指向相同的或不同的address-list。例如为社交媒体再添加一条/ip dns static add nametwitter.com forward-to8.8.8.8 typeFWD regexp.*\\.twitter\\.com\$ address-listoversea_ip /ip dns static add namefacebook.com forward-to8.8.8.8 typeFWD regexp.*\\.facebook\\.com\$ address-listoversea_ip4. 流量识别与路由标记防火墙Mangle规则现在oversea_ip列表里已经动态填充了我们希望走海外线路的IP地址。下一步就是在流量经过路由器时识别出目标地址在这个列表中的数据包并为它们打上“海外路由”的标记。这需要在防火墙的Mangle表中添加规则。Mangle表主要用于修改数据包的各种标记mark这里我们使用mark-routing动作。4.1 创建路由标记规则假设你的内网网段是192.168.88.0/24。我们为从该网段发出、且目标IP在oversea_ip列表中的流量打上路由标记。/ip firewall mangle add chainprerouting src-address192.168.88.0/24 dst-address-listoversea_ip actionmark-routing new-routing-markoversea passthroughyes逐项解析chainprerouting: 在数据包进入路由决策之前进行处理这是标记路由的最佳位置。src-address192.168.88.0/24:限制源地址。非常重要这确保只有来自你指定内网的流量才会被分流。如果你有多个网段或想针对特定设备可以修改或添加多条规则。不加以限制可能导致路由器自身的流量如DNS查询也被错误标记。dst-address-listoversea_ip: 匹配条件。目标IP地址在oversea_ip这个动态地址列表中的数据包。actionmark-routing: 动作为“标记路由”。new-routing-markoversea: 将数据包的routing-mark设置为oversea。这个值必须与我们在第2.1步创建的路由表名称完全一致。系统会根据这个标记去选择对应的路由表。passthroughyes: 设置为yes后即使本条规则匹配并执行了动作数据包仍会继续向下匹配Mangle表中的后续规则。通常建议设为yes以保持防火墙规则的灵活性。4.2 规则顺序与性能考量防火墙规则是按顺序匹配的。你应该将这条分流规则放在Mangle表preroutingchain中相对靠前的位置但要在一些基础处理规则比如连接标记之后。一个常见的良好实践是在规则注释中写明用途并利用place-before参数来精确控制位置。你可以通过以下命令查看当前规则顺序/ip firewall mangle print where chainprerouting如果需要调整可以使用/ip firewall mangle move [规则ID] destination[目标规则ID之前]对于高性能环境dst-address-list的匹配是高效的。由于列表是动态的且通常只包含活跃IP对现代RouterOS硬件压力很小。5. 进阶策略与优化技巧基础配置完成后你的域名分流已经可以工作。但要打造一个稳健、高效的分流系统还需要考虑以下方面。5.1 DNS策略的精细化设计将所有分流域名的DNS都转发到8.8.8.8不一定是最优解。你需要一个清晰的DNS策略。默认DNS在/ip dns中设置servers为你的国内快速DNS如223.5.5.5和114.114.114.114。所有不匹配分流规则的域名将使用这些DNS解析。分流DNS在forward-to参数中最好使用你海外线路网关提供的DNS或者该线路延迟最低的海外公共DNS如1.1.1.1。这能确保解析出的IP在对应线路上访问最优。处理DNS泄露即使流量通过海外线路转发如果设备的DNS请求仍默认走国内线路可能会暴露你的访问意图。上述配置通过forward-to将特定域名的DNS查询也导向了海外DNS是解决此问题的一部分。更彻底的做法是在Mangle规则中也将源端口为53DNS且目标地址为海外DNS的UDP数据包同样标记为走海外路由。5.2 双栈支持IPv6如果你的网络环境支持IPv6并且海外线路也支持IPv6那么配置需要扩展。IPv6路由表同样需要为IPv6创建路由表并添加默认路由。/routing table add nameoversea6 fib /ipv6 route add dst-address::/0 gateway2001:db8::1 routing-tableoversea6请将网关替换为你的实际IPv6网关IPv6地址列表DNS静态规则在解析出IPv6地址时会自动添加到address-list参数名后加6的列表中。例如我们设置了address-listoversea_ip那么IPv6地址会被添加到oversea_ip6列表。IPv6 Mangle规则需要在ipv6 firewall mangle中创建类似的规则。/ipv6 firewall mangle add chainprerouting src-address2001:db8:88::/64 dst-address-listoversea_ip6 actionmark-routing new-routing-markoversea6 passthroughyes5.3 故障排查与监控当分流不生效时可以按照以下步骤排查检查DNS解析在RouterOS终端内使用/tool dns lookup hostwww.google.com server8.8.8.8手动测试看是否能解析出IP并观察该IP是否被正确添加到了oversea_ip列表中。检查地址列表使用/ip firewall address-list print where listoversea_ip确认目标IP是否在列表中。检查路由标记使用/tool torch src-address192.168.88.XX dst-address目标IP来实时监控数据包查看匹配的防火墙规则和最终使用的路由标记。检查路由使用/ip route print detail查看主路由表和oversea路由表的具体条目确认网关状态是否可达。规则顺序再次确认Mangle规则的位置和条件特别是src-address是否正确。5.4 性能与规模管理如果你需要分流的域名非常多管理大量的/ip dns static条目会变得繁琐。这时可以考虑使用通配符域名或地址列表作为条件。更宽泛的正则表达式例如regexp.*\\.(google|facebook|twitter|youtube)\\.com\$可以一条规则匹配多个顶级域名。但需谨慎避免匹配过度。使用地址列表管理域名RouterOS V7的DNS静态条目也支持match-server和match-address等更复杂的条件但将域名列表放在一个地址列表中然后通过脚本批量生成DNS静态规则是更可维护的方法。你可以创建一个地址列表domains_oversea里面添加的是域名如valuegoogle.com然后通过一个脚本读取这个列表自动生成或更新对应的DNS静态转发规则。这超出了本文基础范围但为大规模部署提供了思路。经过以上配置你的RouterOS V7已经建立起一套自动化的、基于域名的智能分流系统。这套系统的优势在于其声明式的配置你只需要告诉路由器“哪些域名走海外”剩下的IP收集、路由选择全部由系统自动、实时地完成。相比于V6时代它减少了至少80%的维护脚本工作并且大幅提升了分流准确性和及时性。在实际使用中最关键的体会是增加或修改一个需要分流的域名现在只需要简单添加或修改一条DNS静态规则所有客户端立即生效这种体验上的提升是颠覆性的。剩下的就是根据你的具体网络环境微调DNS策略和防火墙规则顺序使其达到最佳性能。