1. 为什么非得用 USB 网口 Ubuntu 做广告过滤网关——从家庭网络真实痛点出发你家 WiFi 的广告是不是越刷越多抖音开屏、微信朋友圈、甚至手机系统自带的天气 App 都开始塞满推广更别提那些弹窗式“您的浏览器已过期请下载XX安全卫士”的流氓提示——它们不是来自某个网站而是像空气一样弥漫在整个局域网里。我试过在路由器后台加 hosts、试过改 DNS、试过装 OpenWrt 插件最后发现绝大多数家用路由器的 CPU 和内存根本扛不住实时解析全屋设备的 DNS 请求规则匹配重定向响应这一整套操作。尤其当孩子平板在看动画、老婆手机在追剧、你电脑在跑编译、NAS 在同步备份时路由器 CPU 占用直接飙到 95%WiFi 掉包率飙升连 ping 都开始丢包。这时候我才真正理解“网关级过滤”的分量——它不能是路由器上一个半死不活的插件而必须是一个独立、稳定、可监控、能升级的专用服务节点。Ubuntu 服务器天然具备这个能力它不依赖路由器固件不共享路由器资源可以跑在一台闲置的 NUC、旧笔记本、甚至树莓派 5 上USB 网口比如 ASIX AX88179、Realtek RTL8153 芯片方案则提供了关键的物理隔离层它让这台 Ubuntu 机器同时拥有两个完全独立的网络身份——一个接光猫/主路由WAN 口一个接你家主交换机或无线 APLAN 口。它不再是“连上网的电脑”而是真正意义上的“中间网关”。这不是炫技是实测结果在我家 12 台在线设备含 IoT 摄像头、智能音箱、儿童手表的负载下AdGuard Home 在 Ubuntu USB 网口组合中 CPU 占用长期稳定在 3%~7%内存占用 180MB 左右DNS 响应延迟平均 8ms比直接用光猫 DNS 快 3 倍以上。更重要的是它彻底终结了“路由器重启后广告又回来”的魔咒——因为过滤逻辑完全脱离路由器固件规则更新、日志查看、客户端管理全在浏览器里点几下就能完成。你不需要懂 iptables也不需要背诵 dnsmasq 配置语法但你必须清楚USB 网口在这里不是“多插一个网线”而是构建可信网络边界的物理锚点。后面所有配置都建立在这个双网口隔离架构之上。2. USB 网口选型与 Ubuntu 内核兼容性验证——别让硬件成为第一道坎很多人卡在第一步插上 USB 网卡ip a里压根看不到新接口。这不是驱动没装而是你买的 USB 网卡芯片Ubuntu 内核压根不认识。市面上标称“免驱”的 USB 网卡90% 是骗小白的营销话术。真正的免驱是指该芯片的 Linux 驱动已随内核源码一同发布并被主流发行版默认启用。我们只认芯片型号不认品牌包装盒。我实测过 17 款常见 USB 网卡最终锁定三款真正“开箱即用”的方案按优先级排序芯片型号典型品牌/型号Ubuntu 20.04 默认支持lsusb输出关键字段实测最大稳定吞吐备注ASIX AX88179Cable Matters USB 3.0 to Gigabit✅ 内核 5.4 原生支持ID 0b95:1790 ASIX Electronics Corp. AX88179 Gigabit Ethernet940 Mbps最稳发热低USB 3.0 供电足Realtek RTL8153UGREEN USB-C to Gigabit✅ 内核 4.15 原生支持ID 0bda:8153 Realtek Semiconductor Corp. RTL8153 Gigabit Ethernet Adapter920 Mbps性价比高注意选 USB-C 版本非 Micro-USBASIX AX88178AStarTech USB 2.0 to Fast Ethernet✅ 内核 5.0 原生支持ID 0b95:178a ASIX Electronics Corp. AX88178A92 Mbps仅限百兆场景适合老设备提示执行lsusb后重点看ID xxxx:xxxx后面的厂商 ID 和产品 ID。不要相信“Windows 下能用Linux 就一定行”——Windows 驱动是厂商单独写的Linux 驱动靠社区维护。AX88179 和 RTL8153 是目前社区维护最完善、问题反馈最少的两个芯片。验证步骤必须亲手做不能跳过插入 USB 网卡执行dmesg -w保持运行然后sudo modprobe ax88179_178aAX88179或sudo modprobe r8152RTL8153观察dmesg -w输出若看到ax88179_178a 1-1.2:1.0 eth1: register ax88179_178a at usb-0000:00:14.0-1.2, ASIX AX88179 USB 3.0 Gigabit Ethernet, xx:xx:xx:xx:xx:xx这类信息说明驱动加载成功网卡已被识别为eth1或enx...执行ip link show确认新接口状态为DOWN正常尚未配置 IP关键一步拔掉 USB 网卡执行dmesg | tail -20确认无usb 1-1.2: failed to reset device或ax88179_178a: probe of 1-1.2:1.0 failed with error -5类报错。有报错供电不足或芯片不兼容立刻换卡。我踩过的最大坑是买了某品牌“千兆 USB-C 网卡”lsusb显示ID 2357:010c查资料说是 RTL8153但实测在 Ubuntu 22.04 下r8152模块加载后dmesg报r8152 1-1.2:1.0: cant disable ASPM导致网卡间歇性断连。最后发现是该厂商用了 RTL8153 的阉割版固件必须手动刷写官方固件才能稳定。所以我的建议很直接新手只买 Cable MattersAX88179或 UGREENRTL8153的指定型号别贪便宜别信“兼容 Linux”宣传语只认芯片 ID。省下的调试时间够你把 AdGuard Home 的全部规则都研究三遍。3. 双网口网络拓扑搭建与静态路由配置——让 Ubuntu 成为不可绕过的流量必经之路现在 USB 网卡已识别为eth1板载网卡接光猫是eth0。接下来不是简单配个 IP 就完事而是要构建一个强制流量走向所有家庭设备的 DNS 请求、所有网页访问的初始连接都必须先经过这台 Ubuntu 服务器再由它决定是放行还是拦截。这要求 Ubuntu 同时扮演两个角色对上游光猫是普通客户端对下游全家 WiFi 设备是 DHCP 服务器和 DNS 权威。拓扑结构必须清晰[光猫] ——(WAN)—— [Ubuntu: eth0] | |——(LAN)—— [主交换机] —— [无线 AP] —— [手机/电脑/平板] | └—— [Ubuntu 自身服务]配置分三步走缺一不可3.1 配置 WAN 口eth0获取上游网络目标让 Ubuntu 能上网且不暴露自身 IP 给家庭设备。使用netplanUbuntu 18.04 默认网络管理器# /etc/netplan/01-network-manager-all.yaml network: version: 2 renderer: networkd ethernets: eth0: dhcp4: true dhcp4-overrides: route-metric: 100 eth1: dhcp4: false addresses: [192.168.50.1/24] # LAN 口固定 IP作为下游网关 nameservers: addresses: [127.0.0.1] # 关键让 Ubuntu 自身 DNS 查询也走 AdGuard Home注意dhcp4-overrides: route-metric: 100是精髓。它确保当 Ubuntu 有多个网卡时系统默认路由走eth0metric100而不是eth1metric1000默认值。否则 Ubuntu 自身会“迷路”无法访问外网。执行sudo netplan apply后验证ip route show default应输出default via 192.168.1.1 dev eth0 metric 100假设光猫 IP 是 192.168.1.1ping -I eth0 8.8.8.8必须通ping -I eth1 192.168.50.1必须通自环测试。3.2 配置 LAN 口eth1为下游网关eth1的 IP192.168.50.1/24是整个家庭局域网的新网关地址。所有设备的网关必须指向它否则流量不会经过。这里有两个选择方案 A推荐关闭光猫 DHCP由 Ubuntu 全权接管进入光猫后台关闭其 DHCP Server 功能。然后在 Ubuntu 上安装dnsmasq作为轻量 DHCP 服务器sudo apt install dnsmasq编辑/etc/dnsmasq.confinterfaceeth1 bind-interfaces dhcp-range192.168.50.100,192.168.50.200,12h dhcp-optionoption:router,192.168.50.1 dhcp-optionoption:dns-server,192.168.50.1重启sudo systemctl restart dnsmasq。此时任何新连入 WiFi 的设备自动获得192.168.50.x网段 IP网关和 DNS 均为192.168.50.1。方案 B保留光猫 DHCP仅修改 DNS 指向如果光猫 DHCP 不可关闭如运营商定制版则需登录光猫后台将 DHCP 分配的 DNS 服务器地址手动改为192.168.50.1。这是最简方案但部分光猫不支持自定义 DNS或修改后重启失效。提示方案 A 更可控但需确保光猫处于“桥接模式”或“路由模式下 DHCP 关闭”否则可能产生双 NAT。方案 B 更快落地但需反复验证光猫设置是否持久。3.3 开启 IPv4 转发与 iptables SNATUbuntu 默认禁止 IP 转发必须显式开启否则eth0和eth1之间无法通信echo net.ipv4.ip_forward1 | sudo tee -a /etc/sysctl.conf sudo sysctl -p然后配置 iptables让来自eth1的流量能“伪装”成eth0的 IP 访问外网sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE sudo iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT sudo iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT保存规则Ubuntu 20.04sudo apt install iptables-persistent sudo netfilter-persistent save验证用一台手机连上 WiFi手动设置 IP 为192.168.50.50网关192.168.50.1DNS192.168.50.1然后ping 8.8.8.8。如果通说明双网口路由已打通如果不通90% 是ip_forward未开启或 iptables 规则未生效。4. AdGuard Home 部署与核心过滤策略调优——不止于“屏蔽广告”AdGuard Home 不是简单的 DNS 黑名单工具它是一套完整的网络请求生命周期管理器。它的强大在于你能精确控制“什么请求、在什么条件下、以什么方式、被如何处理”。部署本身很简单Docker 一行命令但策略调优才是决定过滤效果和网络稳定性的核心。4.1 Docker 一键部署与基础安全加固# 创建数据目录 sudo mkdir -p /opt/adguardhome/work /opt/adguardhome/conf # 拉取镜像并运行绑定到 eth1 的 53 端口 sudo docker run -d \ -p 53:53/tcp -p 53:53/udp \ -p 3000:3000 \ -v /opt/adguardhome/work:/opt/adguardhome/work \ -v /opt/adguardhome/conf:/opt/adguardhome/conf \ -e TZAsia/Shanghai \ --name adguardhome \ --restartalways \ adguard/adguardhome首次访问http://192.168.50.1:3000按向导完成初始化设置管理员密码、选择eth1为监听接口。关键安全动作进入Settings → General → Admin access关闭Allow from any address只允许192.168.50.0/24访问管理界面进入Settings → DNS → Protection开启Enable protection和Block malicious domainsSettings → DNS → Upstream DNS servers中上游 DNS 推荐组合https://dns.adguard-dns.com/dns-query加密 tls://1.1.1.1备用避免单点故障。4.2 过滤规则的三层防御体系AdGuard Home 的规则不是堆砌越多越好而是要分层、有主次。我实测有效的三层结构如下第一层基础恶意域名库保底防护在Filtering → DNS blocking → Add filter中添加https://adguardteam.github.io/AdGuardSDNSFilter/Filters/filter.txtAdGuard 官方 SDNS 过滤器覆盖 95% 常见广告、跟踪、恶意软件域名https://raw.githubusercontent.com/privacy-protection-tools/anti-AD/master/anti-ad-domains.txt中文环境强适配专治微信、抖音、淘宝等国内 App 广告。注意添加后点击Update now并观察Filtering → Stats中的Blocked requests曲线。正常家庭环境下每小时应有 2000~5000 次拦截。如果长期为 0说明设备 DNS 未正确指向192.168.50.1。第二层精准去广告规则提升体验针对具体 App 的顽固广告用Custom filtering rules自定义规则微信朋友圈||mp.weixin.qq.com^$domainmp.weixin.qq.com阻止朋友圈信息流广告请求抖音开屏||log.snssdk.com^$domainsnssdk.com抖音域名小红书||api.xiaohongshu.com^$domainxiaohongshu.com所有视频平台会员弹窗||vip.*.com^$domain~vip.iqiyi.com|~vip.mgtv.com白名单例外避免误杀。规则语法解释||表示匹配子域名^表示域名结束符$domain指定仅在特定域名下生效~表示白名单。这些规则不是网上抄来的是我用 Chrome DevTools 的 Network 面板抓取对应 App 的实际请求 URL再反向推导出的精准匹配模式。第三层家长控制与设备级分流精细化管理Clients页面可为每台设备单独设置过滤策略孩子的平板启用Block adult content并添加自定义规则||pornhub.com^ ||xvideos.com^老人的手机禁用所有过滤Disable protection避免误杀健康类 App 的 APINAS 设备添加Bypass规则让其直连192.168.1.1光猫不经过 AdGuard保证 SMB/NFS 服务零延迟。提示Bypass规则不是“不走 AdGuard”而是“AdGuard 不对该设备的 DNS 请求做任何处理直接转发给上游 DNS”。这对需要精确 DNS 解析的设备如 Plex、Home Assistant至关重要。4.3 日志分析与误拦截排查过滤不是一劳永逸。某天你发现“公司 VPN 连不上了”或者“银行 App 提示网络异常”大概率是 AdGuard Home 误杀了关键域名。这时Query log就是你的侦探工具进入Filtering → Query log开启Log all queries复现问题如打开银行 App在日志中搜索bank、vpn、ssl等关键词找到被BLOCKED的域名如ocsp.digicert.com复制该域名进入Filtering → Custom filtering rules添加白名单规则||ocsp.digicert.com^点击Apply changes立即生效。我统计过一个稳定运行 3 个月的家庭网关平均每月需添加 2~3 条白名单规则。这不是配置缺陷而是广告过滤与现代 HTTPS 加密、证书校验机制之间的必然博弈。真正的高手不是追求 100% 拦截率而是能在拦截率与可用性之间找到那个黄金平衡点。5. 稳定性保障与日常运维技巧——让它像水电一样可靠部署完成只是开始让这套系统 7×24 小时不宕机、不误判、不拖慢网络才是资深玩家的真正门槛。以下是我三年运维 4 台同类网关总结出的硬核技巧5.1 防止 USB 网卡休眠断连Linux 内核默认会对 USB 设备启用电源管理长时间无流量时自动挂起导致eth1接口消失。现象是深夜或凌晨全家 WiFi 突然断网ip a里eth1不见了dmesg里有usb 1-1.2: suspend字样。解决方案是永久禁用 USB 电源管理# 查找 USB 网卡对应的总线号如 1-1.2 lsusb | grep -i ax88\|rtl8153 # 创建 udev 规则 echo SUBSYSTEMusb, ATTR{power/autosuspend}-1 | sudo tee /etc/udev/rules.d/50-usb-power.rules sudo udevadm control --reload-rules sudo udevadm trigger原理ATTR{power/autosuspend}-1表示禁用自动挂起。-1是 Linux USB 电源管理的特殊值代表“永不休眠”。5.2 AdGuard Home 自动更新与崩溃恢复Docker 容器可能因内存溢出或配置错误崩溃。不能每次崩溃都手动docker start。用systemd服务兜底# 创建服务文件 sudo tee /etc/systemd/system/adguardhome.service EOF [Unit] DescriptionAdGuard Home Afterdocker.service StartLimitIntervalSec0 [Service] Typeoneshot ExecStart/usr/bin/docker start -a adguardhome ExecStop/usr/bin/docker stop -t 2 adguardhome Restartalways RestartSec5 [Install] WantedBymulti-user.target EOF sudo systemctl daemon-reload sudo systemctl enable adguardhome sudo systemctl start adguardhome这样即使 AdGuard Home 容器意外退出systemd 会在 5 秒内自动拉起用户无感知。5.3 网络健康度可视化监控光靠ping和curl太原始。我在 Ubuntu 上部署了一个极简监控页每 30 秒刷新一次关键指标eth0出口带宽cat /sys/class/net/eth0/statistics/tx_byteseth1入口带宽cat /sys/class/net/eth1/statistics/rx_bytesAdGuard Home 当前拦截数curl -s http://127.0.0.1:3000/control/status | jq .blocked_filtering系统负载uptime | awk -Fload average: {print $2}。脚本放在/opt/monitor.sh用cron每分钟执行一次结果写入/var/www/html/status.json。再用一个 20 行 HTML 文件读取并展示。手机浏览器访问http://192.168.50.1/status.html就能看到实时网络脉搏。这不是炫技是当你发现“孩子说视频卡顿”时能 10 秒内判断是带宽瓶颈、DNS 延迟还是 AdGuard 规则过载。5.4 一次到位的灾难恢复方案最怕的不是故障而是故障后手忙脚乱。我的恢复包包含三样东西Netplan 配置快照sudo cp /etc/netplan/*.yaml /root/netplan-backup/命名含日期AdGuard Home 配置导出在 Web 界面Settings → Export settings存为/root/adguard-backup/settings.jsonDocker 镜像离线包docker save adguard/adguardhome /root/adguard-backup/adguardhome.tar。恢复时U 盘启动 Ubuntu Live CD → 挂载原系统盘 → 复制三份文件 →sudo cp ... sudo netplan apply sudo docker load ... sudo docker run ...。全程 8 分钟比重装系统快 10 倍。最后分享一个真实体会这套方案运行最久的一台是从 2021 年 3 月部署至今从未重启过。它不像某些“智能路由器”那样隔三差五推送固件更新、强制重启也不像云服务那样担心厂商跑路。它就在你家弱电箱里安静地工作像一盏永不熄灭的灯。你不需要天天盯着它但你知道只要它在全家的网络就干净、稳定、自主。这就是技术回归本质的样子——不是制造依赖而是赋予掌控。
Ubuntu双网口广告过滤网关搭建指南
发布时间：2026/7/8 18:23:18
1. 为什么非得用 USB 网口 Ubuntu 做广告过滤网关——从家庭网络真实痛点出发你家 WiFi 的广告是不是越刷越多抖音开屏、微信朋友圈、甚至手机系统自带的天气 App 都开始塞满推广更别提那些弹窗式“您的浏览器已过期请下载XX安全卫士”的流氓提示——它们不是来自某个网站而是像空气一样弥漫在整个局域网里。我试过在路由器后台加 hosts、试过改 DNS、试过装 OpenWrt 插件最后发现绝大多数家用路由器的 CPU 和内存根本扛不住实时解析全屋设备的 DNS 请求规则匹配重定向响应这一整套操作。尤其当孩子平板在看动画、老婆手机在追剧、你电脑在跑编译、NAS 在同步备份时路由器 CPU 占用直接飙到 95%WiFi 掉包率飙升连 ping 都开始丢包。这时候我才真正理解“网关级过滤”的分量——它不能是路由器上一个半死不活的插件而必须是一个独立、稳定、可监控、能升级的专用服务节点。Ubuntu 服务器天然具备这个能力它不依赖路由器固件不共享路由器资源可以跑在一台闲置的 NUC、旧笔记本、甚至树莓派 5 上USB 网口比如 ASIX AX88179、Realtek RTL8153 芯片方案则提供了关键的物理隔离层它让这台 Ubuntu 机器同时拥有两个完全独立的网络身份——一个接光猫/主路由WAN 口一个接你家主交换机或无线 APLAN 口。它不再是“连上网的电脑”而是真正意义上的“中间网关”。这不是炫技是实测结果在我家 12 台在线设备含 IoT 摄像头、智能音箱、儿童手表的负载下AdGuard Home 在 Ubuntu USB 网口组合中 CPU 占用长期稳定在 3%~7%内存占用 180MB 左右DNS 响应延迟平均 8ms比直接用光猫 DNS 快 3 倍以上。更重要的是它彻底终结了“路由器重启后广告又回来”的魔咒——因为过滤逻辑完全脱离路由器固件规则更新、日志查看、客户端管理全在浏览器里点几下就能完成。你不需要懂 iptables也不需要背诵 dnsmasq 配置语法但你必须清楚USB 网口在这里不是“多插一个网线”而是构建可信网络边界的物理锚点。后面所有配置都建立在这个双网口隔离架构之上。2. USB 网口选型与 Ubuntu 内核兼容性验证——别让硬件成为第一道坎很多人卡在第一步插上 USB 网卡ip a里压根看不到新接口。这不是驱动没装而是你买的 USB 网卡芯片Ubuntu 内核压根不认识。市面上标称“免驱”的 USB 网卡90% 是骗小白的营销话术。真正的免驱是指该芯片的 Linux 驱动已随内核源码一同发布并被主流发行版默认启用。我们只认芯片型号不认品牌包装盒。我实测过 17 款常见 USB 网卡最终锁定三款真正“开箱即用”的方案按优先级排序芯片型号典型品牌/型号Ubuntu 20.04 默认支持lsusb输出关键字段实测最大稳定吞吐备注ASIX AX88179Cable Matters USB 3.0 to Gigabit✅ 内核 5.4 原生支持ID 0b95:1790 ASIX Electronics Corp. AX88179 Gigabit Ethernet940 Mbps最稳发热低USB 3.0 供电足Realtek RTL8153UGREEN USB-C to Gigabit✅ 内核 4.15 原生支持ID 0bda:8153 Realtek Semiconductor Corp. RTL8153 Gigabit Ethernet Adapter920 Mbps性价比高注意选 USB-C 版本非 Micro-USBASIX AX88178AStarTech USB 2.0 to Fast Ethernet✅ 内核 5.0 原生支持ID 0b95:178a ASIX Electronics Corp. AX88178A92 Mbps仅限百兆场景适合老设备提示执行lsusb后重点看ID xxxx:xxxx后面的厂商 ID 和产品 ID。不要相信“Windows 下能用Linux 就一定行”——Windows 驱动是厂商单独写的Linux 驱动靠社区维护。AX88179 和 RTL8153 是目前社区维护最完善、问题反馈最少的两个芯片。验证步骤必须亲手做不能跳过插入 USB 网卡执行dmesg -w保持运行然后sudo modprobe ax88179_178aAX88179或sudo modprobe r8152RTL8153观察dmesg -w输出若看到ax88179_178a 1-1.2:1.0 eth1: register ax88179_178a at usb-0000:00:14.0-1.2, ASIX AX88179 USB 3.0 Gigabit Ethernet, xx:xx:xx:xx:xx:xx这类信息说明驱动加载成功网卡已被识别为eth1或enx...执行ip link show确认新接口状态为DOWN正常尚未配置 IP关键一步拔掉 USB 网卡执行dmesg | tail -20确认无usb 1-1.2: failed to reset device或ax88179_178a: probe of 1-1.2:1.0 failed with error -5类报错。有报错供电不足或芯片不兼容立刻换卡。我踩过的最大坑是买了某品牌“千兆 USB-C 网卡”lsusb显示ID 2357:010c查资料说是 RTL8153但实测在 Ubuntu 22.04 下r8152模块加载后dmesg报r8152 1-1.2:1.0: cant disable ASPM导致网卡间歇性断连。最后发现是该厂商用了 RTL8153 的阉割版固件必须手动刷写官方固件才能稳定。所以我的建议很直接新手只买 Cable MattersAX88179或 UGREENRTL8153的指定型号别贪便宜别信“兼容 Linux”宣传语只认芯片 ID。省下的调试时间够你把 AdGuard Home 的全部规则都研究三遍。3. 双网口网络拓扑搭建与静态路由配置——让 Ubuntu 成为不可绕过的流量必经之路现在 USB 网卡已识别为eth1板载网卡接光猫是eth0。接下来不是简单配个 IP 就完事而是要构建一个强制流量走向所有家庭设备的 DNS 请求、所有网页访问的初始连接都必须先经过这台 Ubuntu 服务器再由它决定是放行还是拦截。这要求 Ubuntu 同时扮演两个角色对上游光猫是普通客户端对下游全家 WiFi 设备是 DHCP 服务器和 DNS 权威。拓扑结构必须清晰[光猫] ——(WAN)—— [Ubuntu: eth0] | |——(LAN)—— [主交换机] —— [无线 AP] —— [手机/电脑/平板] | └—— [Ubuntu 自身服务]配置分三步走缺一不可3.1 配置 WAN 口eth0获取上游网络目标让 Ubuntu 能上网且不暴露自身 IP 给家庭设备。使用netplanUbuntu 18.04 默认网络管理器# /etc/netplan/01-network-manager-all.yaml network: version: 2 renderer: networkd ethernets: eth0: dhcp4: true dhcp4-overrides: route-metric: 100 eth1: dhcp4: false addresses: [192.168.50.1/24] # LAN 口固定 IP作为下游网关 nameservers: addresses: [127.0.0.1] # 关键让 Ubuntu 自身 DNS 查询也走 AdGuard Home注意dhcp4-overrides: route-metric: 100是精髓。它确保当 Ubuntu 有多个网卡时系统默认路由走eth0metric100而不是eth1metric1000默认值。否则 Ubuntu 自身会“迷路”无法访问外网。执行sudo netplan apply后验证ip route show default应输出default via 192.168.1.1 dev eth0 metric 100假设光猫 IP 是 192.168.1.1ping -I eth0 8.8.8.8必须通ping -I eth1 192.168.50.1必须通自环测试。3.2 配置 LAN 口eth1为下游网关eth1的 IP192.168.50.1/24是整个家庭局域网的新网关地址。所有设备的网关必须指向它否则流量不会经过。这里有两个选择方案 A推荐关闭光猫 DHCP由 Ubuntu 全权接管进入光猫后台关闭其 DHCP Server 功能。然后在 Ubuntu 上安装dnsmasq作为轻量 DHCP 服务器sudo apt install dnsmasq编辑/etc/dnsmasq.confinterfaceeth1 bind-interfaces dhcp-range192.168.50.100,192.168.50.200,12h dhcp-optionoption:router,192.168.50.1 dhcp-optionoption:dns-server,192.168.50.1重启sudo systemctl restart dnsmasq。此时任何新连入 WiFi 的设备自动获得192.168.50.x网段 IP网关和 DNS 均为192.168.50.1。方案 B保留光猫 DHCP仅修改 DNS 指向如果光猫 DHCP 不可关闭如运营商定制版则需登录光猫后台将 DHCP 分配的 DNS 服务器地址手动改为192.168.50.1。这是最简方案但部分光猫不支持自定义 DNS或修改后重启失效。提示方案 A 更可控但需确保光猫处于“桥接模式”或“路由模式下 DHCP 关闭”否则可能产生双 NAT。方案 B 更快落地但需反复验证光猫设置是否持久。3.3 开启 IPv4 转发与 iptables SNATUbuntu 默认禁止 IP 转发必须显式开启否则eth0和eth1之间无法通信echo net.ipv4.ip_forward1 | sudo tee -a /etc/sysctl.conf sudo sysctl -p然后配置 iptables让来自eth1的流量能“伪装”成eth0的 IP 访问外网sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE sudo iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT sudo iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT保存规则Ubuntu 20.04sudo apt install iptables-persistent sudo netfilter-persistent save验证用一台手机连上 WiFi手动设置 IP 为192.168.50.50网关192.168.50.1DNS192.168.50.1然后ping 8.8.8.8。如果通说明双网口路由已打通如果不通90% 是ip_forward未开启或 iptables 规则未生效。4. AdGuard Home 部署与核心过滤策略调优——不止于“屏蔽广告”AdGuard Home 不是简单的 DNS 黑名单工具它是一套完整的网络请求生命周期管理器。它的强大在于你能精确控制“什么请求、在什么条件下、以什么方式、被如何处理”。部署本身很简单Docker 一行命令但策略调优才是决定过滤效果和网络稳定性的核心。4.1 Docker 一键部署与基础安全加固# 创建数据目录 sudo mkdir -p /opt/adguardhome/work /opt/adguardhome/conf # 拉取镜像并运行绑定到 eth1 的 53 端口 sudo docker run -d \ -p 53:53/tcp -p 53:53/udp \ -p 3000:3000 \ -v /opt/adguardhome/work:/opt/adguardhome/work \ -v /opt/adguardhome/conf:/opt/adguardhome/conf \ -e TZAsia/Shanghai \ --name adguardhome \ --restartalways \ adguard/adguardhome首次访问http://192.168.50.1:3000按向导完成初始化设置管理员密码、选择eth1为监听接口。关键安全动作进入Settings → General → Admin access关闭Allow from any address只允许192.168.50.0/24访问管理界面进入Settings → DNS → Protection开启Enable protection和Block malicious domainsSettings → DNS → Upstream DNS servers中上游 DNS 推荐组合https://dns.adguard-dns.com/dns-query加密 tls://1.1.1.1备用避免单点故障。4.2 过滤规则的三层防御体系AdGuard Home 的规则不是堆砌越多越好而是要分层、有主次。我实测有效的三层结构如下第一层基础恶意域名库保底防护在Filtering → DNS blocking → Add filter中添加https://adguardteam.github.io/AdGuardSDNSFilter/Filters/filter.txtAdGuard 官方 SDNS 过滤器覆盖 95% 常见广告、跟踪、恶意软件域名https://raw.githubusercontent.com/privacy-protection-tools/anti-AD/master/anti-ad-domains.txt中文环境强适配专治微信、抖音、淘宝等国内 App 广告。注意添加后点击Update now并观察Filtering → Stats中的Blocked requests曲线。正常家庭环境下每小时应有 2000~5000 次拦截。如果长期为 0说明设备 DNS 未正确指向192.168.50.1。第二层精准去广告规则提升体验针对具体 App 的顽固广告用Custom filtering rules自定义规则微信朋友圈||mp.weixin.qq.com^$domainmp.weixin.qq.com阻止朋友圈信息流广告请求抖音开屏||log.snssdk.com^$domainsnssdk.com抖音域名小红书||api.xiaohongshu.com^$domainxiaohongshu.com所有视频平台会员弹窗||vip.*.com^$domain~vip.iqiyi.com|~vip.mgtv.com白名单例外避免误杀。规则语法解释||表示匹配子域名^表示域名结束符$domain指定仅在特定域名下生效~表示白名单。这些规则不是网上抄来的是我用 Chrome DevTools 的 Network 面板抓取对应 App 的实际请求 URL再反向推导出的精准匹配模式。第三层家长控制与设备级分流精细化管理Clients页面可为每台设备单独设置过滤策略孩子的平板启用Block adult content并添加自定义规则||pornhub.com^ ||xvideos.com^老人的手机禁用所有过滤Disable protection避免误杀健康类 App 的 APINAS 设备添加Bypass规则让其直连192.168.1.1光猫不经过 AdGuard保证 SMB/NFS 服务零延迟。提示Bypass规则不是“不走 AdGuard”而是“AdGuard 不对该设备的 DNS 请求做任何处理直接转发给上游 DNS”。这对需要精确 DNS 解析的设备如 Plex、Home Assistant至关重要。4.3 日志分析与误拦截排查过滤不是一劳永逸。某天你发现“公司 VPN 连不上了”或者“银行 App 提示网络异常”大概率是 AdGuard Home 误杀了关键域名。这时Query log就是你的侦探工具进入Filtering → Query log开启Log all queries复现问题如打开银行 App在日志中搜索bank、vpn、ssl等关键词找到被BLOCKED的域名如ocsp.digicert.com复制该域名进入Filtering → Custom filtering rules添加白名单规则||ocsp.digicert.com^点击Apply changes立即生效。我统计过一个稳定运行 3 个月的家庭网关平均每月需添加 2~3 条白名单规则。这不是配置缺陷而是广告过滤与现代 HTTPS 加密、证书校验机制之间的必然博弈。真正的高手不是追求 100% 拦截率而是能在拦截率与可用性之间找到那个黄金平衡点。5. 稳定性保障与日常运维技巧——让它像水电一样可靠部署完成只是开始让这套系统 7×24 小时不宕机、不误判、不拖慢网络才是资深玩家的真正门槛。以下是我三年运维 4 台同类网关总结出的硬核技巧5.1 防止 USB 网卡休眠断连Linux 内核默认会对 USB 设备启用电源管理长时间无流量时自动挂起导致eth1接口消失。现象是深夜或凌晨全家 WiFi 突然断网ip a里eth1不见了dmesg里有usb 1-1.2: suspend字样。解决方案是永久禁用 USB 电源管理# 查找 USB 网卡对应的总线号如 1-1.2 lsusb | grep -i ax88\|rtl8153 # 创建 udev 规则 echo SUBSYSTEMusb, ATTR{power/autosuspend}-1 | sudo tee /etc/udev/rules.d/50-usb-power.rules sudo udevadm control --reload-rules sudo udevadm trigger原理ATTR{power/autosuspend}-1表示禁用自动挂起。-1是 Linux USB 电源管理的特殊值代表“永不休眠”。5.2 AdGuard Home 自动更新与崩溃恢复Docker 容器可能因内存溢出或配置错误崩溃。不能每次崩溃都手动docker start。用systemd服务兜底# 创建服务文件 sudo tee /etc/systemd/system/adguardhome.service EOF [Unit] DescriptionAdGuard Home Afterdocker.service StartLimitIntervalSec0 [Service] Typeoneshot ExecStart/usr/bin/docker start -a adguardhome ExecStop/usr/bin/docker stop -t 2 adguardhome Restartalways RestartSec5 [Install] WantedBymulti-user.target EOF sudo systemctl daemon-reload sudo systemctl enable adguardhome sudo systemctl start adguardhome这样即使 AdGuard Home 容器意外退出systemd 会在 5 秒内自动拉起用户无感知。5.3 网络健康度可视化监控光靠ping和curl太原始。我在 Ubuntu 上部署了一个极简监控页每 30 秒刷新一次关键指标eth0出口带宽cat /sys/class/net/eth0/statistics/tx_byteseth1入口带宽cat /sys/class/net/eth1/statistics/rx_bytesAdGuard Home 当前拦截数curl -s http://127.0.0.1:3000/control/status | jq .blocked_filtering系统负载uptime | awk -Fload average: {print $2}。脚本放在/opt/monitor.sh用cron每分钟执行一次结果写入/var/www/html/status.json。再用一个 20 行 HTML 文件读取并展示。手机浏览器访问http://192.168.50.1/status.html就能看到实时网络脉搏。这不是炫技是当你发现“孩子说视频卡顿”时能 10 秒内判断是带宽瓶颈、DNS 延迟还是 AdGuard 规则过载。5.4 一次到位的灾难恢复方案最怕的不是故障而是故障后手忙脚乱。我的恢复包包含三样东西Netplan 配置快照sudo cp /etc/netplan/*.yaml /root/netplan-backup/命名含日期AdGuard Home 配置导出在 Web 界面Settings → Export settings存为/root/adguard-backup/settings.jsonDocker 镜像离线包docker save adguard/adguardhome /root/adguard-backup/adguardhome.tar。恢复时U 盘启动 Ubuntu Live CD → 挂载原系统盘 → 复制三份文件 →sudo cp ... sudo netplan apply sudo docker load ... sudo docker run ...。全程 8 分钟比重装系统快 10 倍。最后分享一个真实体会这套方案运行最久的一台是从 2021 年 3 月部署至今从未重启过。它不像某些“智能路由器”那样隔三差五推送固件更新、强制重启也不像云服务那样担心厂商跑路。它就在你家弱电箱里安静地工作像一盏永不熄灭的灯。你不需要天天盯着它但你知道只要它在全家的网络就干净、稳定、自主。这就是技术回归本质的样子——不是制造依赖而是赋予掌控。
相关文章
终极指南：使用QMCDecode轻松解密QQ音乐加密文件
终极指南：使用QMCDecode轻松解密QQ音乐加密文件 【免费下载链接】QMCDecode QQ音乐QMC格式转换为普通格式(qmcflac转flac，qmc0,qmc3转mp3, mflac,mflac0等转flac)，仅支持macOS，可自动识别到QQ音乐下载目录，默认转换结果…
从循环开始：理解 Claude Code 的 Loop 机制
从循环开始：理解 Claude Code 的 Loop 机制深入解析 Claude Code 团队如何定义、触发和停止循环（Loop）什么是 Loop？ 循环（Loop） 是指智能体重复执行工作，直到满足停止条件。 循环可按触发方式、…
REPENTOGON终极指南：5个步骤解锁《以撒的结合》完整模组体验
REPENTOGON终极指南：5个步骤解锁《以撒的结合》完整模组体验 【免费下载链接】REPENTOGON Script extender for The Binding of Isaac: Repentance 项目地址: https://gitcode.com/gh_mirrors/re/REPENTOGON REPENTOGON是一款专为《以撒的结合：悔…
Java环境配置全指南：从JDK安装到环境变量实战
1. 为什么“Java环境配置”是每个开发者绕不开的第一道坎刚接触编程的人常以为写代码就是打开IDE敲几行System.out.println("Hello World")，按下运行键就完事了。但现实是：你连这行字都印不出来——IDE报错“找不到JDK”，命令行输入…
OpenClaw智能体技能平台：跨云部署与生产级编排实践
1. OpenClaw 是什么？它不是另一个“大模型前端”，而是智能体工作流的底盘级工具 OpenClaw 这个名字最近在开发者社区里出现频率陡增，但很多人点开 GitHub 仓库后第一反应是：“这玩意儿和 Dify、Langflow 有什么区别？”…
Claude Code不是官方产品：API调用与跨平台客户端搭建指南
1. 先说清楚：Claude Code 不是官方产品，它到底是什么？ 很多人点开搜索“Claude Code 安装教程”，第一反应是——这是 Anthropic 官方推出的 IDE 或编程插件？结果下载安装后发现打不开、报错、根本连不上 Claude API&a…
NBM5100A双级电源管理在PIC18F45K50低功耗设计中的应用
1. 项目背景与核心挑战 在物联网设备和便携式电子产品设计中，电池寿命和电流供应能力始终是工程师面临的两大核心挑战。以PIC18F45K50这类低功耗微控制器为核心的系统，往往需要应对突发性高电流负载的需求，而传统方案要么牺牲响应速度&#x…
基于51/STM32单片机水质检测系统 PH 浊度温度电导率TDS报警WIFI311(设计源文件+万字报告+讲解)（支持资料、图片参考_相关定制）_
基于51/STM32单片机水质检测系统 PH 浊度温度电导率TDS报警WIFI311(设计源文件万字报告讲解)（支持资料、图片参考_相关定制）_ 特点：一个成品的好坏要看产品功能的完整性，本产品有单片机处理单元，常见的PH、温度、浊度、…
终极指南：如何在5分钟内为OBS Studio添加免费本地AI实时字幕和翻译功能
终极指南：如何在5分钟内为OBS Studio添加免费本地AI实时字幕和翻译功能 【免费下载链接】obs-localvocal OBS plugin for local speech recognition and captioning using AI 项目地址: https://gitcode.com/gh_mirrors/ob/obs-localvocal 想要为直播或视频添…
VOC/COCO/YOLO 3种格式互转实战：Python脚本实现80%代码复用
VOC/COCO/YOLO 3种格式互转实战：Python脚本实现80%代码复用 在计算机视觉项目中，数据格式转换是算法工程师和数据工程师的日常痛点。当你需要将PASCAL VOC格式的数据集迁移到YOLOv7训练框架，或是将COCO格式的标注转换为轻量化的TXT格式时&…
3大核心能力重塑《明日方舟》游戏体验：MAA自动化助手的革命性突破
3大核心能力重塑《明日方舟》游戏体验：MAA自动化助手的革命性突破 【免费下载链接】MaaAssistantArknights 《明日方舟》小助手，全日常一键长草！| A one-click tool for the daily tasks of Arknights, supporting all clients. 项目地址: …
高精度模拟信号数字化方案：ADS122U04与dsPIC33EP512MU810应用
1. 项目概述：高精度模拟信号数字化方案在工业测量、医疗设备和环境监测等领域，我们经常需要将温度、压力、光照等模拟信号转换为数字信号进行处理。ADS122U04和dsPIC33EP512MU810的组合，为这类应用提供了高精度、低功耗的解决方案。ADS122U04…
3步彻底解决Windows右键菜单混乱问题：ContextMenuManager使用全攻略
3步彻底解决Windows右键菜单混乱问题：ContextMenuManager使用全攻略 【免费下载链接】ContextMenuManager 🖱️ 纯粹的Windows右键菜单管理程序 项目地址: https://gitcode.com/gh_mirrors/co/ContextMenuManager 你是否曾为Windows右键菜单中那些…
从GitHub安全案例解析常见漏洞与防护实践
1. 项目概述：从GitHub Trending看安全实战 最近在GitHub Trending上看到一个项目，叫 skills4/skills ，它因为一些安全漏洞案例被大家讨论。这其实是一个挺典型的场景：一个旨在展示或教授某种技能的仓库，本身却成了安…
MLT 2026启示：因果推理与概率建模驱动下一代LLM应用
# MLT 2026启示：因果推理与概率建模驱动下一代LLM应用## 一、背景与挑战：从“黑箱预测”到“可信推理”2026年6月，第7届机器学习与趋势国际会议（MLT 2026）将在悉尼召开。会议议程中，“因果与可解释机器学习…
FAE放射组学分析工具：医学影像特征探索的完整解决方案
FAE放射组学分析工具：医学影像特征探索的完整解决方案 【免费下载链接】FAE FeAture Explorer 项目地址: https://gitcode.com/gh_mirrors/fae/FAE 你是否曾经面对海量医学影像数据感到无从下手？想要从CT、MRI等影像中提取有价值的定量特征&#…
0.69B参数实现中文多模态AI：揭秘Qwen3-SmVL模型融合技术的完整实战指南
0.69B参数实现中文多模态AI：揭秘Qwen3-SmVL模型融合技术的完整实战指南 【免费下载链接】happy-llm 📚 从零开始构建大模型 项目地址: https://gitcode.com/GitHub_Trending/ha/happy-llm 还在为大型多模态模型动辄数十亿参数、显存占用高而烦恼&…
解锁AMD Ryzen处理器性能潜力的SMU调试神器：从新手到专家的完整指南
解锁AMD Ryzen处理器性能潜力的SMU调试神器：从新手到专家的完整指南 【免费下载链接】SMUDebugTool A dedicated tool to help write/read various parameters of Ryzen-based systems, such as manual overclock, SMU, PCI, CPUID, MSR and Power Table. 项目地址…