共计 2492 个字符，预计需要花费 7 分钟才能阅读完成。
Después de construir un sistema mágico de DNS basado en OpenClash + mosDNS + AdGuardHome, la experiencia de red se ha mejorado significativamente, pero también nos encontramos con el problema de la inestabilidad del mapeo de puertos de escritorio remoto. En este artículo, vamos a ir a través de los detalles de OpenClash 的“来源流量访问控制”功能成功解决该问题的过程，并提供安全映射建议，帮助你稳定又安心地远程访问内网设备。这是有公网的情况下我们使用DDNS远程访问我们局域网设备，如果没有公网IP我们也可以使用Cloudlfare新功能Zero Trust的Tunnel实现内网穿透，既安全又快速的免费远程访问我在《告别无公网 IP 焦虑：用 Cloudflare Tunnel / Zero Trust 打造真正可分享的飞牛fnOS NAS 免费远程访问方案》有详细的讲解与设置说明，支持多种协议模式，HTTPS的Web访问，SSH远程登录、包括我们的远程桌面、FTP等等，并且还支持邮箱验证，也更加的安全。感兴趣的有没有公网IP的可以一试。
En el último tutorial, repasamos el OpenClash + mosDNS + AdGuardHome Ha creado un sistema mágico de DNS de ventanilla única, y los tres trabajan juntos para maximizar la optimización de la experiencia en la red:
- OpenClashResponsable deacceso científico a Internety proxies transparentes;
- mosDNSResponsable del reenvío de cifrado DNS, de la gestión anticontaminación y de la gestión de múltiples flujos;
- AdGuardHomeLa primera línea de defensa consiste en recibir las peticiones DNS de los clientes, priorizar el bloqueo de los dominios anunciados y, a continuación, pasarlas a mosDNS para su posterior procesamiento.
Para verlo, abra esta página en un entorno de Internet con acceso a YouTube.
A continuación se ofrece una descripción gráfica completa que puede seguir leyendo.
A continuación se muestra el enlace completo para una consulta DNS:
Cliente → AdGuardHome → mosDNS → OpenClash (reenvío o conexión directa) → Extranet
Esta arquitectura bloquea los anuncios y evita la contaminación del DNS, al tiempo que trabaja con Scientific Internet Access para lograr una experiencia de acceso a la web eficiente, limpia y estable.
🧱 Problemas de conexión inestable de escritorio remoto.
Sin embargo, en la práctica, me encontré con un pequeño problema: elConexión extremadamente inestable para el acceso al escritorio remoto (RDP) a través de DDNS.La conexión suele “perderse” o ser “intermitente”.
Lo que me confunde es que esto ha sucedido antes cuando he utilizado la función PassWall+MosDNS+AdGuardHome Nunca he tenido un error de conexión cuando se utiliza en combinación como una herramienta científica de Internet. Para los usuarios como yo que dependen de Escritorio Remoto, esto es claramente un problema que debe ser resuelto.
Después de mucho solucionar problemas, encontré un ajuste potencialmente relevante en la configuración del plugin de OpenClash:
🔧 Control de acceso al tráfico de origen
En el menú Configuración de OpenClash, hay un menú llamado “Control de acceso al tráfico de origen” La descripción oficial del módulo es la siguiente:
- El tráfico de los puertos especificados localmente no pasará a través del núcleo. puede intentar activarlo cuando falle el reenvío bajo la puerta de enlace de derivación (enrutamiento de derivación);
- En el modo Fake-IP, sólo se admite el filtrado de solicitudes de tipo IP puro.
Esta función nos permite hacer excepciones para el tráfico procedente de puertos especificados.Eludir el núcleo de choquepermitiendo que este tráfico pase por el mecanismo de enrutamiento y reenvío nativo del sistema.
Después de configurarlo de acuerdo con el número de puerto real (3389), la conexión de escritorio remoto de inmediato se convirtió en suave y estable, y no más problemas de conexión caídos o fallidos, así que si usted también se encuentra con una conexión inestable puede tratar de encender un servidor de este tipo, espero que pueda resolver su problema.
🛡 Consejo de seguridad: ¡No expongas el puerto 3389 directamente!
Aunque ahora podemos estabilizar el acceso remoto, por razones de seguridadSe desaconseja encarecidamente asignar directamente el puerto 3389 de la intranet a la red pública.Porque 3389 es el puerto por defecto para Escritorio Remoto. Debido a que 3389 es el puerto por defecto para Escritorio Remoto, es altamente susceptible a escaneos, intentos de fuerza bruta y altos riesgos de seguridad.
Las prácticas recomendadas son las siguientes:
O utilizar ZeroTier, FRP, WireGuard, etc. para hacer la penetración en la intranet en lugar de la asignación de puertos.
Establezca el puerto público enpuerto de alto nivel(por ejemplo, 54289), que se reenvía a la intranet 3389;
Refuerce las contraseñas de acceso remoto y evite utilizar contraseñas débiles;
Habilite la política de bloqueo de fallos de inicio de sesión del sistema para evitar explosiones;
Trabaje con reglas de cortafuegos o listas blancas GeoIP para restringir las fuentes;
Aquí estoy usando el mapeo extranet diferente mapeo de puertos a la clase LAN puerto 3389 utilizado, el siguiente ejemplo es ros mapeo de puertos de enrutamiento.
✅ Resumen
Si está utilizando OpenClash como proxy transparente y asignando conexiones de escritorio remoto a través de DDNS, y experimenta inestabilidad en la conexión, pruebe a activar “Control de acceso al tráfico de origen”, que excluye a OpenClash de interferir con el tráfico en el puerto especificado y asegura que el escritorio remoto sea estable y esté disponible.
Tampoco ignores la seguridad del acceso remoto, recuerda hacer un buen trabajo de ocultación de puertos, anti-scanning, anti-bursting y otras medidas de seguridad, para tener tranquilidad.
Chinese 
English 
Spanish 
French 
German 
Japanese 
Portuguese 
Italian 
Dutch