咨询：Surge 在使用同机器上 Docker 中运行的代理服务时该如何配置？

l-qing

我目前的情况：

Surge For Mac 是最新的 v5 版本。
有个策略是需要访问公司网络，走 docker 中运行的代理服务。
（公司是 openvpn 的，我在 docker 中将 openvpn 转换为了普通是 socks5 协议。用的镜像是：https://github.com/curve25519xsalsa20poly1305/docker-openvpn-socks5）
同机器上还开了一个虚拟机，虚拟机中的服务会通过 docker 中的 openvpn 协议访问特定网络。
Surge 开启了系统代理和增强模式
Surge 会有个提示：Performance Degradation: The new Surge VIF mode is incompatible with Internet Sharing and virtual machine networks, and has automatically fallen back to the legacy mode, which may affect performance.

目前的效果：

虚拟机中的 DNS 设置的是 198.18.0.2，网关是 Surge 电脑的 IP。所以虚拟机就是完全通过 Surge 访问其他网络。
运行 Surge 的 MacOS 系统 DNS 会自动设置为 198.18.0.2
Docker 中的服务实际也会走到 Surge。
这里看上去是有环：虚拟机中的服务 -> Surge -> Docker 中的 socks5 -> Surge -> Docker -> xxx
目前的问题也确实是这样，如果虚拟机中的访问地址需要用到 Docker 中的服务，就有可能触发环。（短时间创建很多的连接）
如果我把 Surge 机器上的网关不设置成 198.18.0.2，那么不会形成环。但是虚拟机中的服务在握手阶段就有可能遇到 10s 超时的问题。（貌似是因为解析域名失败了，虚拟机中是访问的解析到特定网络中的域名。）
奇怪的是，少数情况下，又能成功连接成功，且能获取到数据。
也就是说，相同的域名，相同的请求方，但是行为却有 3 种。感觉不太科学。

我的尝试：

由于运行 Surge 的机器有多个网卡。（物理网卡和 WIFI）我试着通过另外一个网卡走入 Docker 中的服务，尝试无效。（配置了这个：, interface=en1, allow-other-interface=true）
docker 中的 openvpn 远端服务器的域名和 IP 已经配置过了对应的规则，走直连。DIRECT（要不然也不可能偶尔通偶尔不通）
修改 Surge 宿主机上的 DNS，移除 198.18.0.2 避免再次接管 Docker 中的流量。但是还是经常会遇到 10s 链接超时断开的问题。

请问：

这个网络，为什么偶尔还能联通呢？
如果开启了增强模式，还有可能稳定的让虚拟机中访问 openvpn 中特定网络的链路是通的么？
是不是只能放弃增强模式了？

l-qing

连接不通，10s 超时时的信息是：

Rule Evaluating - ≤ 1 ms
Establishing TCP Connection - ≤ 1 ms
Establishing TCP Connection - ≤ 1 ms

Events
20:04:33.953958 Rule matched: OR ((DOMAIN-SUFFIX,xxxxxx.cn), (IP-CIDR,10.0.0.0/16), (IP-CIDR,10.1.0.0/16), (IP-CIDR,192.168.16.0/20), (IP-CIDR,192.168.32.0/19), (IP-CIDR,192.168.64.0/18), (IP-CIDR,192.168.128.0/17))
20:04:33.954071 Policy decision path: XXX-VPN -> 🇭🇰 XXX-Local-IP
20:04:33.954442 Connecting with address: 192.168.1.247, bound to the specified interface: en1
20:04:33.954603 Connected to address 192.168.1.247 in 0ms
20:04:33.954657 TCP connection established
20:04:38.962347 Set up backup connection #2
20:04:38.963276 Connecting with address: 192.168.1.247, bound to the specified interface: en1
20:04:38.963417 Connected to address 192.168.1.247 in 0ms
20:04:38.963530 TCP connection established

连接正常时的日志：

Rule Evaluating - ≤ 1 ms
Establishing TCP Connection - ≤ 1 ms
Establishing TCP Connection - ≤ 1 ms
Active - 54 ms

Events
20:04:59.986294 Rule matched: OR ((DOMAIN-SUFFIX,xxxxxx.cn), (IP-CIDR,10.0.0.0/16), (IP-CIDR,10.1.0.0/16), (IP-CIDR,192.168.16.0/20), (IP-CIDR,192.168.32.0/19), (IP-CIDR,192.168.64.0/18), (IP-CIDR,192.168.128.0/17))
20:04:59.986385 Policy decision path: XXX-VPN -> 🇭🇰 XXX-Local-IP
20:04:59.987005 Connecting with address: 192.168.1.247, bound to the specified interface: en1
20:04:59.987119 Connected to address 192.168.1.247 in 0ms
20:04:59.987175 TCP connection established
20:05:04.988649 Set up backup connection #2
20:05:04.989061 Connecting with address: 192.168.1.247, bound to the specified interface: en1
20:05:04.989247 Connected to address 192.168.1.247 in 0ms
20:05:04.989325 TCP connection established
20:05:05.085829 HTTP request header found in the raw TCP connection.
20:05:05.139338 HTTP response header found in the raw TCP connection.
20:05:05.139803 Disconnect with reason: Closed by client

l-qing

看了这里的文档：”Surge Mac 与 VPN 一同使用“
https://nssurge.zendesk.com/hc/zh-cn/articles/900000519943-Surge-Mac-%E4%B8%8E-VPN-%E4%B8%80%E5%90%8C%E4%BD%BF%E7%94%A8

但是我的场景不完全一样，毕竟我是在 Docker 容器中开的 VPN，vpn 只影响了容器中的路由，并没有影响宿主机的。

l-qing

我的猜测在 Docker 容器中解析域名时，流量又回到了 Surge。
我在 Docker 中制定 /etc/hosts 中，配置域名对应的 IP，貌似从虚拟机中再请求特定网络时就不会遇到超时错误了。

l-qing

l-qing
又尝试了一下：

如果我把 Docker 中的 resolv.conf 改成 198.18.0.2，在虚拟机中通过域名的方式访问特定网络，必然会导致环。现象就是 surge 监控面板看到 docker 进程有大量的连接。（一秒钟上百条？）
如果把Docker 中的 resolv.conf 改成 192.168.1.1 这种，surge 监控面板看到 docker 进程只有1个连接，但是容易10s超时。
此时如果我再把域名对应的 IP 添加到 Docker 的 /etc/hosts 中，再次从虚拟机中请求，就是立马成功的。

l-qing

l-qing 我还尝试过，在 Surge 的 [Host] 上配置：* = server:syslib，但是跟 1 的效果一样，还是会出现环。

l-qing

我也尝试过，在 Surge 的 [Host] 上配置特定网络域名的 IP 地址，类似与 Docker 中的 /etc/hosts 中的配置，发现还是会出现 1 的现象，还是会出现环。

目前可行的方式就是把所有的域名加到 Docker 的 /etc/hosts 中。
但还不知道原理，不知道是否有更简单的绕过办法。

l-qing

@SurgeTeam 呼叫管理员。

l-qing

理论上，只要解决 Docker 容器中的域名解析问题，这个就好使了。
但是不管我怎么设置 Docker 中的 DNS（198.18.0.2 / 192.168.1.1 / 114.114.114 3种都单独配置过），都是不好使的。可能都是被宿主机上的 Surge 接管了。

忘记补充了 Docker 我也试过两种网络模式 --net=host 和 -p x:x

l-qing

再补充一点：

我在 MacBook 上，Surge 开增强模式，使用本机 Docker 上跑的 openvpn to socks5 访问特定网络，是没有遇到任何问题，也不需要在 docker 中改 hosts
我在 Mac Mini 上相同的配置（Surge 通过 mini 上的 docker 服务访问特定网络），好像就不行，遇到开头的问题。

唯一不同的地方是，mac mini 上装了 vmware 的虚拟机，Surge 启动时有个提示：

Performance Degradation: The new Surge VIF mode is incompatible with Internet Sharing and virtual machine networks, and has automatically fallen back to the legacy mode, which may affect performance.

不知道会不会是这个模式，导致了两者的行为差异?

l-qing

l-qing 基于这个猜想，我在 macbook 上强行开启了 Surge VIF: Use legacy mode，发现跟 Mac Mini 上的行为还是不一样，还是能很稳定的访问特定网络。

我进入 docker 容器发现，容器中的 resolv.conf 中地址不是 198.18.0.2
我试着把容器中的地址改回 198.18.0.2，再触发特定环境的网络访问，就可以完全复现 mac mini 上的现象，出现回环，不同的创建链接了。

我之前也在 mac mini 上的docker 容器中做过相同的配置，但是当时并不好使，我再试试。

l-qing

l-qing 试了下，在 mac mini 上仅修改 docker 中的 dns为非 198.18.0.2，还是不会像 macbook 上那样顺畅。虽然不会出现回环，但是会遇到 10s 超时的问题，比较频繁。
（mac mini 和 macbook 使用的是同一套 surge 配置，通过 icloud 同步的。）
我实在是想不出来还有什么原因导致了这种差异。

我也没法把 mac mini 还原系统再试，两者最大的不同就是 mini 中装了 vmware 的虚拟机，surge 启动⤴️会有上面的 “Performance Degradation” 提示。

SurgeTeam

V5 新版本的引擎与虚拟机网络并不兼容，安装 VMware 会产生提示是非常正确的行为。

l-qing

SurgeTeam 只说是影响性能，没想到都快影响功能了。😁

难道这偶尔 10s 都连不上是性能导致的？
如果是的话，我就认了，就这样讲究用了。

SurgeTeam

l-qing 10s 都连不上肯定是其他问题，新的 VIF 与旧版主要是最高带宽上的差距。但是你的环境太复杂了，抱歉我们无法给出解答。

l-qing

SurgeTeam 了解，我先用修改容器中的 hosts 方式来绕过。

zhwei

OrbStack 在升级到 0.12.0 后也遇到了相同的报错，取消下面勾选后正常。

Connect to Docker and machine networks

mtcnvioe

zhwei 破案了，纳闷为什么最近收到 Surge for macOS 这个错误：

Performance Degradation: The new Surge VIF mode is incompatible with Internet Sharing and virtual machine networks, and has automatically fallen back to the legacy mode, which may affect performance.

原来是 OrbStack 更新的问题，这里贴出 OrbStack 0.12.0 中和这个提示有关的 changelog：

Connect to Docker containers directly by IP address

Seamless bridge networks, no port forwarding needed

Connect to Linux machines by IP address (bridge network)

l-qing

mtcnvioe 我中间有段时间也换成了 OrbStack，但发现有莫名其妙的问题，还是老老实实换成了 Docker For Mac。
我是因为机器上还安装了 VMWare，所以会有那个提示。

其实这个性能问题的提示我并不太关心，我主要是遇到 10s 超时的问题，比较难受。几乎用不了。