用MACmini做主路由拨号，非旁路由，如何做端口映射。

tbs_spirit

问题：直接用macmini做主路由，surge5开启网关模式，dhcp服务。 pf防火墙设置端口映射无法穿透。
网络拓扑说明：MAC，虚拟接口ppp0（en0）负责拨号，获取外网ip，两个usb-c口转换成以太网桥接bridge1为内网地址10.0.0.0/24段。pf设置：rdr on ppp0 proto tcp from any to any port {500XX} -> 10.00.XX port 500XX 。
1.关闭macmini网关模式，该配置生效，外网可以穿透访问，打开网关配置失效。
2.开启macmini网关后，在bridge1抓包，可以看见外网数据包已经进来，且内网有tcp握手回报，但是好像只停在第一个回报上，tcp3次握手不能成功。
3.看了论坛只有近似配置，都是主路由+mac旁路由模式。问题都是产生在主路由nat转发回去的数据包因为再经过mac网关，使得mac网关没有记录，从而丢包。论坛上也提供了一些解决思路。
4.针对本情况，用mac直接做主路由的，又该如何解决，因为mac内置防火墙是pf，不是iptables。所以一些内在原理不得而知。
5.因为内网很多设备需要通过开端口的形式来得到完整功能，例如：aira2、ps5、plex等。所以不知道用类似nginx反代服务是否能起作用。个人猜测，还是需要端口映射才行。
真心请各位大拿帮忙答疑解惑。已经自己琢磨3天了，不得其解，故来论坛请教，十分感谢。

tbs_spirit

没有任何回复，是版主礼貌性的拒绝回答了吗？

SurgeTeam

tbs_spirit Surge 5 增强模式会修改 pf 配置可能导致冲突，建议在高级设置中开启传统 VIF 模式后再配置。

tbs_spirit

SurgeTeam
首先十分感谢程序组的回复。
我在高级设置中有看到VIF传统模式，但是上面写的性能较差。我觉得这种以牺牲性能为代价的解决方案，并不是良好的解决方式。又如您上述回复中，增强模式会修改pf配置，导致了冲突。能以这个切入点来解决吗？

tbs_spirit

SurgeTeam 不明所以的目前问题得到了解决。
解决方式：删除了mac静态路由表64/2 gateway：192.18.0.1 或32/3 gateway：192.18.0.1 条目的其中一条。而且奇怪的是，有时候要删除64/2有时候要产出32/3。我完全不知道是什么逻辑得以修复的。目前surge 依然处在网关模式，dhcp功能也可用。
能否告知这两条路由表条目表示的是什么意思。我在google上找遍了各种资料，依然没有找到64/2和32/3代表什么网段，或者什么意思。能否告知其路由条目具体表达的是什么意思？!!

Internet:
Destination Gateway Flags Netif Expire
default 10.0.0.1 UGScg en0
1 198.18.0.1 UGSc utun8
2/7 198.18.0.1 UGSc utun8
4/6 198.18.0.1 UGSc utun8
8/5 198.18.0.1 UGSc utun8
10/24 link#9 UCS en0 !
10.0.0.1/32 link#9 UCS en0 !
10.0.0.255 ff:ff:ff:ff:ff:ff UHLWbI en0 !
16/4 198.18.0.1 UGSc utun8
32/3 198.18.0.1 UGSc utun8
64/2 198.18.0.1 UGSc utun8

tbs_spirit

首先十分感谢程序组的回复。
我在高级设置中有看到VIF传统模式，但是上面写的性能较差。我觉得这种以牺牲性能为代价的解决方案，并不是良好的解决方式。又如您上述回复中，增强模式会修改pf配置，导致了冲突。能以这个切入点来解决吗？

SurgeTeam

tbs_spirit 性能的差距是 30Gbps vs 5Gbps 的差别，一般不会影响正常使用。

tbs_spirit

SurgeTeam
感谢提供了一种解决方案，同时可否阐明PF防火墙的上的配置，到底是因为哪些原因起了冲突的呢，理论上能否通过设置pf规则来解决此类问题?

tbs_spirit

SurgeTeam 恳请帮回答一下呗，感激不尽呢。

SurgeFan

我最近也在考虑mac mini m1 当主路由，Wifi 通过 Sharing 里 Internet Sharing 通过WiFi分享给其他设备。
测试其他设备连mac 分享的wifi 速度差不多60Mbps左右，虽然跑不满网线的带宽，但基本能用。

请问你测试的wifi分享速度如何呢？

tbs_spirit

SurgeFan 我家的拓扑是，mac mini的两个usb-c口我买了网口的转接设备，下接了一个无线AP，和一台网线直连的PC。所以我并没有直接使用mac mini的wifi，所以不得而知。但是在这个的结构下，其他入网设备基本能达到90%左右吧。

TaoLee0510

tbs_spirit

你的方案好浪费Mac mini的雷电口。
usb-c的网卡走的是USB总线，数据要经过CPU。性能较差。走PCI的网卡比较推荐。请参考https://khronokernel.github.io/macos/2021/11/22/PCIE-ETHERNET.html的总结。
最省钱的方案应该是某鱼淘个贝尔金雷电2的扩展坞，自带一个i210的PCI总线网卡，剩余的一个雷电二接口可以挂载一个apple自己的A1433雷电2转千兆网卡。在雷电三的Macmini上需要再添置一个雷电三转雷电2的adaptor。总价应该大约600块，就可以做到外接网卡都是PCI总线了。这样还能剩余一个雷电口干别的。
高阶的需要2.5G网卡的方案目前只有用caldigit的TS4了。菊链两台TS4就能有两个2.5G网卡了。理论上可菊链6台TS4，只要钱够。

tbs_spirit

Patrick 大神啊，您也帮我看看呗。

SurgeTeam

在 Mac 上直接使用 PPPoE 拨号用作路由并非 Surge Mac 所支持的技术方案，这种模式下会有很多路由问题需要手动解决，抱歉我们无法对这种使用场景提供技术支持。

bsx

SurgeTeam 同需求，好奇问下，如果想要自己解决，需要考虑哪些方面呢？

jakes

直接在 mac 上起个 haproxy 或 Nginx 转发流量就行了。

xp29119

jakes 这样会影响性能吗？我2.5g网口

xp29119

TaoLee0510 这省钱的方法只能跑千兆了？现在都流行2.5G内网了吧，我在淘宝买了个typec的2.5G网卡用的RTL8156b感觉没啥问题，好像贝尔金也有2.5G网卡某宝230元但好像用的也是RTL8156，至于买下面这个几千块的拓展乌真是有钱没地方花啊，现在某宝万兆M2mini只需3897元。

TaoLee0510

xp29119 作为一个路由器，除了性能外，最重要的就是稳定。RTL8156b的2.5G方案中，MacOS并没有专门的瑞昱驱动，用的是通用的USB驱动com.apple.driver.usb.cdc.ncm。虽然能识别2.5G速度，但是各家产品参差不齐，使用中各种问题网络上都能见到。目前能买到的走PCI通道的2.5G网卡只有caldigit的TS4。如果考虑价格，那USB没问题。我的回复至少在说如何最大化利用雷电口，并且保证网络性能罢了。

chenm0520

同op需求想使用mac mini做主路由，第一步就卡住了，试了各种方法都不行，虚拟机下跑个linux倒是可以拨通，日志如下，求协助
Thu Dec 19 14:01:02 2024 : PPPoE connection established.
Thu Dec 19 14:01:02 2024 : Using interface ppp0
Thu Dec 19 14:01:02 2024 : Connect: ppp0 <--> socket[34:16]
Thu Dec 19 14:04:05 2024 : LCP: timeout sending Config-Requests
Thu Dec 19 14:04:05 2024 : Connection terminated.
Thu Dec 19 14:04:05 2024 : PPPoE disconnecting...
Thu Dec 19 14:04:05 2024 : PPPoE disconnected
Thu Dec 19 14:10:53 2024 : publish_entry SCDSet() failed: Success!
Thu Dec 19 14:10:53 2024 : publish_entry SCDSet() failed: Success!