感谢分享，但翻译质量对比了一下，还是 deepseek 优秀点。

做个 wireguard ，双向密钥认证基本没破解可能。只需要开放一个自定义端口，要扫出来也很不容易。

要求不高就直接用 wireguard 客户端连接，要求高就用 clash 做分流，家里服务有走 wireguard ，国内服务直连，国外就走梯子。

认真研究下 Apple 自带的 APP ，你会发现其实做得相当好用。
所以我推荐自带的提醒事项。

目前主流主要三种：官方电池，移植电芯+超容电池，第三方 0 循环小板+超容电池

官方电池：毫无疑问最好，官方品质+无任何副作用，缺点就是贵，要 700 多元的售价。

移植电芯+超容电池：电芯就是你原机的电池电路板（排线），这个电路板记录你原机电池信息，包括循环次数，电压、电量状态等。所谓移植电芯就是用你原机的电池电路板，与旧电池分离后，再焊接到新的电池上。移植它的作用是为了让系统识别电池为官方电池，避免弹窗+第三方部件提示。但是，原厂电池寿命下滑后，电池的电压会下降，实际的电池容量也会被记录在电路板上，这个就是所谓的降压锁容。因此哪怕你换了新的电池，实际上电芯认为电池电压，以及能用的电量部分跟旧电池是一样的。所以有人说，移植电芯属于智商税。对此我不做评价，请自行判断。

第三方 0 循环小板+超容电池：相比上面讲的移植电芯，这个办法就是解决降压锁容的问题。全新的 0 循环小板，没有任何电池信息，这保证手机能使用超容电芯的所有电量。这是让续航恢复最有效的办法。不过缺点也很明显，所谓 0 循环小板，都是第三方的，苹果肯定会弹窗或提示第三方部件。

个人建议是，如果你不久的未来会出二手，请考虑换官方电池，虽然贵，但你要想一下这个逻辑。
假设你手机原来二手价格是￥ 2000 ，更换官方电池后，你的手机仍然会比较保值，大概率还能继续卖￥ 2000 元。也就是说你实际所得是 2000-688 元（官方换电价格）=1312 元
假设你换了第三方电池，那你的手机大概率只能卖￥ 1700 左右，毕竟第三方拆修过。那你实际所得大是 1700-200 元（第三方换电费用）=1500 元
两者相差不足 200 元。但你能享受一段时间的官方品质+服务，我认为值得。

@JohnSwit 相当同意

@xiaoyutongxue #18 装个 duckduckgo 插件，默认就是它的搜索引擎

我从 passwall 转 openclash ，主要原因是 openclash 的分流做得更强大。
首先不否认 openclash 的设置 UI 做得很烂，尤其是功能逻辑，不够直观，基本上劝退好多用户。
不过如果你耐心研究，会发现其实 openclash 无比强大，其实网上，包括油管有大量的 openclash 教程，建议花费 2-3 小时研究，实操，这样你基本上就能掌握这个插件的核心玩法。

说回来你的需求。
现在主流机场的订阅链接都是带规则的，不然你以为你订阅之后的分流规则都是怎么来的？ openclash 可没自带规则。所以你每次更新订阅，都会覆盖你前面写的规则。
解决这个问题，有两个主流的办法：
1 、使用 openclash 里面的“规则集”功能，规则集你理解就是，在你原来机场订阅规则的基础上，再额外附加这些自定义规则内容，这个规则可以设置优先级，以规避你规则集的规则与机场规则的冲突。这样你每次更新订阅，不管机场规则如何，你的规则集都是独立在机场规则之外，不受影响，从而起到自定义规则的作用。
2 、在订阅源头下手。你既然玩 openclash 肯定听过订阅链接转换工具，这个可以帮你的订阅链接附加各类规则。原理就是这个。你可以在 github 之类的代码托管平台，维护一个你自己的自定义规则。然后通过订阅链接工具转换一个带有你维护规则的链接，这样每次你更新订阅，都是你维护的规则。
我比较推荐方法 2 ，规则你网上找，太多模板，也有好多大佬在维护。

正好在折腾各类盒子，磁贴收藏，感谢上面各位都把自己的干货无私分享出来。

@chenbin36255 #6
劫持可能只占你日常访问的 0.01%甚至远远低于 0.01%，单独把 0.01%的域名单独指定可信的 dns 来解析就好。不要大费周章去解决那些低概率事件。

@xiangran0028 完全一样。咖啡对我来说毫无作用，一点提升精神状态的作用都没，也不会影响晚上睡眠（ PS：我是躺床上就能秒睡的）。
以前喝咖啡会胃胀（有慢性胃炎），胃炎好了之后，逐步能接受咖啡，但也纯粹是觉得好喝（我喜欢喝甜的，例如瑞幸的生椰拿铁），所以最近偶尔会主动点来喝。但完全没有成瘾。

竟然是作者，之前看了七尺宇的 youtube ，了解到你这款插件。
目前看基本上能平替 openclash 。
不过个人建议（也有一些网友同样想法），在 Openwrt 里面的插件名字不要那么粗暴就叫 Mihomo ，这很容易引起误解，因为不少小白甚至分不清 GUI 和内核。可以考虑叫 Open-Mihomo 之类。
最后感谢开发者开发的工具，Openclash 迁移过去基本上没难度，日后有时间虚拟机装个试试。

不懂，既然你有费用考虑 CDN ，为何不直接把博客部署在正规的云端，既有 80443 ，也能做备案。为何非要通过 CDN 加速自己私人 NAS 的博客呢？

@JeffreyZhuang 那你以为加密了，腾讯和阿里作为服务端就记录不了吗？加密 dns 去到腾讯阿里始终要解密。这玩意就看你愿意泄露给谁而已。对我来说，腾讯阿里更容易用你的 dns 查询记录去做商业运作，例如关联你的访问记录去精准推送广告。所以我更可以泄露给运营商，也不会选择腾讯阿里。

同意 @yiwayhb 的方案，我目前也是这个方案：
既然有公网 IP 了，那首选：Wireguard/OpenVPN + RDP ，速度最优，安全性最高。
楼上都提到了 tailscale ，Zerotier 等，既然有公网 IP ，最好还是直接自建 VPN 了，这是最私有的方式。

备选：自建中继的 Rustdesk （建议自建中继部署在第三方 VPS 上），这样哪怕 Wireguard 、Openvpn 等出 bug 崩溃（概率很低），或者 ddns 失效，仍然有 Rustdesk 可保证连回家。
断网的话什么办法都没救。

个人看法：
1 、最优选择毫无疑问还是运营商 dns 。这是最优，最快，延迟最低的选择。比任何公共 dns 都要好。
2 、上面有人提到，运营商劫持 dns 跳反诈，我是没遇过。其实这个不要太纠结，手机正常情况下都是默认用运营商 dns ，从没用出什么问题。哪怕有劫持，这个要解决很简单，用 adg 之类的指定域名走指定 dns 解析就可以解决。或者，这类网站我判断大多数都是境外网站，代理工具分流设置一下也能避免用到国内 dns 解析。
3 、不需要用任何国内 doh 、dot 的 dns 。实测哪怕 dot 使用 UDP ，延迟都是比明文 dns 要高。其实国内公共 dns 服务商的加密 dns 形同脱裤子放屁，传输过程加密，但阿里腾讯的服务端仍然可以知道你用 dns 解析了什么网站，对隐私的保护效果基本为 0 。退一万步说，就算有隐私保护，也很难做到 doh dot 全覆盖，隐私泄露的洞洞随处可见。

综上，建议使用运营商 dns ，配合 adg ，乐观缓存，可以进一步提高 dns 解析速度，以及在必要的情况下，手动配置指定域名走指定 dns ，可以解决“极低概率”发生的 dns 劫持行为。

最后 bb 一句，adg 最好不要加各类拦截规则，效果很小，意义不大，还容易出各种奇怪的访问问题，增加访问延迟。

装了，发现我用的是 mac😂，没有鼠标

@vx007 #10 确实，国内加密 dns 基本上等同于脱裤子放屁。

我不是很理解。我用的是 Openclash ，fakeip 模式

在我的 dns 覆写设置里面，只勾选了“自定义上游 DNS 服务器"，并且在 nameserver 中，只配置了一组 dns ，就是我本地的 adguardhome ，为了获取更快的解析速度，我在 adg 的上游 dns 设置为运营商的明文 dns 。并没有使用任何国内外的 doh ，dot 加密 dns 。另外，openclash 的 dns 中，fallback 跟 nameserver-default 我均没勾选。注意，是没勾选。

在我的规则中，除了前面的各类自定义规则外，规则最后是：
ruleset=🎯 全球直连,[]GEOSITE,CN
ruleset=🚀 节点选择,[]GEOSITE,geolocation-!cn
ruleset=🎯 全球直连,[]GEOIP,LAN,no-resolve
ruleset=🎯 全球直连,[]GEOIP,CN,no-resolve
ruleset=🐟 漏网之鱼,[]FINAL

按以上配置，我无论如何测试 dns 泄露，均不会出现国内 dns 。而检测出来的 dns 均为我漏网之鱼所选择的节点。例如我漏网之鱼选择的是 hk ，那 ipleak （包括其它 dns 泄露检测网站）检测出来的就是 hk 。如果是新加坡，那检测出来的就是新加坡。

这个结论似乎跟 op 的结论相悖。因为我理解 op 要表达的意思是 nameserver 需要使用加密 dns 来防止泄露。但显然的，我的 dns 设置里面不含任何加密设置。

所以我其实也挺想了解及探讨这个问题。

@iceloon 没留意未读提醒，抱歉。关掉路由上的 UPnP / NAT-PMP 试试。