透明代理，全程为透明代理网关，透明就是感觉不到，透明代理就是感觉不到自己使用代理。 至于什么网站地址可以使用代理这样的规则判断都交给了网关去处理。

因此，网关实际上起着流量转发的作用，将需要使用代理的请求中转到代理客户端处理，将不需要使用代理的请求正常处理。

正常家庭上网的模式是这样的：

这里的树莓派是可选设备，如果你打算实现旁路由。

实现透明代理的两个关键点：

常见DNS转发服务端：

DNS客户端和代理客户端的种类比较多，这里无法一一列举。

透明代理的核心是规则，Linux系统自带的iptables可以使用Forwarding转发规则来自定义网络请求规则。

路由器环境：

实现透明代理大致过程：

Clash服务的作用：

接下来，详细介绍每个服务的操作。

大部分Linux系统都支持iptables,包括路由器。

因此此方法通用所有Linux系统。

这里要完成的内容：

这里没有什么复杂的ipset规则定义，因为规则都交给了Clash实现配置。如果你没有使用Clash，那么这里你需要使用到了ipset定义URL规则保证只转发需要走代理的TCP请求通过Clash处理。

设置iptables命令如下：

当不想使用iptables规则时，当然要记得清理掉不需要的配置。否则路由器不知道会出现什么问题。

清除iptables规则的命令如下：

就这样，我们实现DNS请求和HTTP/HTTPS协议请求都转发给了Clash的工作。

下一步，我们就要操作Clash完成规则的配置。

分两部分说明：

Clash支持两种DNS模式：

下面是详细的DNS配置：

切换使用redir-host或fake-ip模式也很简单， 修改enhanced-mode: fake-ip,去掉fake-ip-range前面的#号。然后在iptables中增加如下语句：

其中的${redir_port}需要替换成Clash转发端口例如3333。

DNS解析问题已经解决啦！ 到这里就解决了DNS污染问题。但还有很多问题导致我们访问的网站链接被重置或无法访问。

因此，接下来，还要使用Clash转发代理进行HTTP/HTTPS请求转发。

我们之前已经使用iptables将80、443端口请求(也就是HTTP/HTTPS)请求都转发给3333端口(Clash的转发端口)。

因此，我们只需要在Clash中设置规则，决定哪些请求走代理转发，哪些直接转发。这些规则在Clash中配置起来非常简单。

我们看下Clash Premium版本支持的rule-providers配置内容：

看着有点长，但是与直接将每个域名都写进来相比已经很短了。

使用rule-provider的好处就是，规则可以定时更新，而且配置内容很规整。至于使用白名单还是黑名单方式就是最后的规则集设置了。

这里的配置方式采用了黑名单规则方式。

白名单最后的配置如下：

如果你想看配置示例，这里可以查看一个支持代理订阅源的配置 config.yaml

到这里，我们就完成了透明代理的所有工作。

再来回顾一下透明代理的实现过程：

希望通过这样的介绍，可以帮到你。

通常普通DNS查询是不安全的，可以被别人跟踪记录的，为了解决安全问题就产生了DoH和DoT等协议。