如何截获 Netflix TV 的（疑似内置）DNS 请求？

[CrazyRundong]

部署旁路由 Clash 代理后，家里所有设备都能够通过浏览器或者 iOS/iPad OS app 访问 Netflix 非自制剧，唯独电视（包括 Android TV 和 Apple TV ）会提示「检测到使用代理」而拒绝加载。

看了下 Clash 日志，似乎电视上的 Netflix app 会直接通过 IP 加载内容：

23.246.56.138:443 match IPCIDR(23.246.0.0/18) using Netflix[🇸🇬 IEPL-SS 新加坡 1]

而 23.246.56.138 的归属地为香港，可能由此触发了代理检测。怀疑是 Netflix app 使用某种内置的 DNS 服务，直接在国内解析域名到最近的香港节点了。现在的问题是如何截获这个 DNS 请求并把它转发到我的新加坡节点上？旁路由已经配置了 iptables 把所有 UDP 53 转发到 Clash ，但这似乎对 Netflix app 无效。

（作为对照，网页版 Netflix 的所有请求均被截获转发，Clash 日志能直接看到内容域名：）

ipv6-c014-hkg001-ix.1.oca.nflxvideo.net:443 match DomainSuffix(nflxvideo.net) using Netflix[🇸🇬 IEPL-SS 新加坡 1]

[Maskeney]

你规则不全

[knightdf]

参考： https://github.com/v2fly/domain-list-community/blob/master/data/netflix

[CrazyRundong]

@Maskeney #1 试过根据 src-ip 把来自电视的所有流量都转发到新加坡节点，还是有这个问题。所以怀疑是 DNS 相关的请求根本没被转发到 Clash 上。

[CrazyRundong]

@knightdf #2 把这些域名都加到了旁路由规则里，还是不行

[CrazyRundong]

临时解决方案：在电视上装了 Clash for Android 后开启全局模式，总算能正常访问了

[quzard]

openclash 可以预解析 Netflix 。可以试试

[Ives]

😂听到最多的 都是说软路由有问题

[TimothyT]

换节点 现在大多数解锁都是用 ipv6 解锁的，而 uwp 和 tv 端的 nf 是强行用 ipv4 ，看下机场是否支持 v4 解锁

[knightdf]

@CrazyRundong 我就是用的这个规则，全屋设备包括 android tv 都可以正常看

[Kinnice]

需要劫持 8.8.8.8/8.8.4.4

[hikiss]

翻了国外的，也是一样的问题，提供的方案就是劫持或者阻断 Netflix 的 hard coding 的 dns
https://vpnreviewer.com/androidtv-streaming-unblocking

[RealKela]

我最近 Apple TV 也遇到这个问题，服务器 IPv4 解锁的，web 也解锁就 TV app 没有解锁。有人知道怎么解决吗？

[mailshuxin]

我在是路由器上面，添加了两个静态路由黑洞：8.8.8.8/32 ，和 8.8.4.4/32
目前正在观察效果

[mailshuxin]

路由黑洞也不行.能看，但是第二天 VPS 的 IP 就被封了

[vtoex0000000002]

在路由器上做，

# fix dns, redirect all other dns server to 192.168.1.1#53, such as 114.. or 8..
iptables -t nat -N DNS
iptables -t nat -A DNS -p udp -j REDIRECT --to-ports 53
iptables -t nat -I PREROUTING -p udp --dport 53 -j DNS

然后在电脑上用 nslookup 测试，server 2.2.2.2 ，都能正常返回 dns

[vtoex0000000002]

github.com/0neday/Nvidia-Shield-TV-2017-Cookbook

拉到最低，

[vtoex0000000002]

没看你的内容，这个就是 tv 版的限制，我之前也遇到了

[semglassiebaba]

TV 版貌似有远程获取 cdn ip 的机制，拦截 dns 不起作用的，只能加 ip 规则

[qinyq]

@semglassiebaba iPhone 版也是，看一次封一次。。。难道也是因为获取 cdn ip 导致的？

[qjk201203ddd]

我也是这个问题，新版本里面都是直接 ip ，但之前老机器上用的 shellclash 都能正常。奈飞能用，迪士尼倒是不能用了

[cloudsigma]

在路由器里截取

# fix dns, redirect all other dns server to 192.168.1.1#53, such as 114.. or 8..
iptables -t nat -N DNS
iptables -t nat -A DNS -p udp -j REDIRECT --to-ports 53
iptables -t nat -I PREROUTING -p udp --dport 53 -j DNS

[CrazyRundong]

@cloudsigma #21 UDP 53 已经截取了的，连 TCP 53 都用 clash tun hijack 了。但现在除了直接在电视上开 clash for android 全局模式，其他方法都好像有概率触发代理检测或者限播非自制剧

[me221]

@CrazyRundong 我发现在 IOS 的 APP 更容易封 IP... 在隔壁找到 https://host.loc.com/thread-973557-1-1.html 这个帖子

[keyfunc]

payload:
- "23.246.0.0/18"
- "37.77.184.0/21"
- "45.57.0.0/17"
- "64.120.128.0/17"
- "66.197.128.0/17"
- "108.175.32.0/20"
- "192.173.64.0/18"
- "198.38.96.0/19"
- "198.45.48.0/20"