spirytuslove
surge是无法开启端口转发的，没有这个功能，官方也不肯做，所以你只能将qb单独一个macvlan，即有个ip，然后在主路由比如ikuai处开启NAT转发源地址NAT 进口WAN 目的地址=qb的独立ip NAT地址=主路由地址
我建议还是单独搞个openwrt（虽然有点扯淡），openclash配合meta做的非常好，只是我添加rule不是很方便，每次得重启openclash，但是oc处直接开启黑白名单，把qb的ip去除，即不走clash（佛跳墙版的wrt默认都设置好了iptables），你qb的网关指向wrt的情况下，端口转发也正常。小白来说非常方便。
此外，openclash使用dnsmasq的DNS劫持并不需要开启fake-ip，redir模式下默认是返回真实IP，你可以自定义cloudflare的优选IP，也就是qb的dns仍然是wrt（surge不行，surge开启网关，dns为198.18.0.2，返回的不是真实ip），这样qb整体不流过openclash，dns仍然保持不动，享受DNS自定义。
我也在用surge做网关+增强，如果性价比那肯定不如垃圾的x86工控机+wrt+openclash来的高。
surge需要金贵的Mac mini+授权，边界效应，提升的体验有，但很少。而且也没有减少很多理论知识，甚至在排查问题时，你还能多学点 🙂
最后，surge在处理大量请求时，比如你的qb的pt/bt下载，即便m1的Mac mini很强，但还是卡顿，不建议surge接管qb
软件，我设置了IP-CIDR1走DIRECT，但由于不是专业流控，大量请求时，局域网内的其他设备会出现加载不了网页等现象（当然这可能是极端情况，家里是500M宽带）。此前我是J4125的垃圾工控机的ikuai+wrt的烂大街方案，粗糙但性能强劲，非常实用。反而在换到surge+16g的m1macmini之后感觉提升有限，甚至某些场景下倒车的情况。
