之前写的 iptables/nftables 示例会给每个符合条件的包都发送一次伪装包，会影响通信效率，以我 fork 版本的 mark 写个新例子，mark 视运营商情况自行随意组合，例如设置 TTL 为 3 ，错误的 TCP 校验和，只在握手成功后发一次伪装包，为防止原始包抢先发出设置 jiffies 为 1 ，mark 是 0xDEA10103

1. iptables 太长发不出来，去项目主页看 https://github.com/kmb21y66/nf_deaf/

2. nftables 配置文件示例：

#!/usr/sbin/nft -f

#清空 nftables 规则，小心这一条
flush ruleset

table inet filter {
chain postrouting {
type filter hook postrouting priority 0 ; policy accept;
#被标记的连接不再打标记
ct mark 0xDEA10103 return
#IPv4 ，目的地址 1.1.1.1 ，TCP 端口 0-65535 ，长度大于 120 的包，设置连接标记和包标记后发出
ip daddr {1.1.1.1} tcp dport { 0-65535 } meta length gt 120 ct mark set 0xDEA10103 meta mark set 0xDEA10103 return
#IPv6 ，目的地址 2606:4700:4700::1111 ，TCP 端口 0-65535 ，长度大于 100 的包，设置连接标记和包标记后发出
ip6 daddr {2606:4700:4700::1111} tcp dport { 0-65535 } meta length gt 100 ct mark set 0xDEA10103 meta mark set 0xDEA10103 return
}
}

@microka 那里的 IP 填的是你使用的目的服务器地址

@q0000x 看项目主页我写的教程，肯定也是要添加 nftables

Fork 了一份 https://github.com/kmb21y66/nf_deaf
修改如下：
1. 删除 TCP Option 里的魔数 0x1312 ，避免检测，改为复制原数据包的 TCP Option ，同时避免了 TimeStamp 缺失问题。
2. 补全 TCP 头缺失的接收窗口。
3. 把 mark 左移三位，原来只能设置 0-31 的 TTL ，现在能设为正常的 0-255 。
4. 填好了测速的 payload ，不用自己改文件了。
这样一来只修改 TTL 的包至少 wireshark 看顺眼了，不会标黑了

Fork 了一份 https://github.com/kmb21y66/nf_deaf
修改如下：
1. 删除 TCP Option 里的魔数 0x1312 ，避免检测，改为复制原数据包的 TCP Option ，同时避免了 TimeStamp 缺失问题。
2. 补全 TCP 头缺失的接收窗口。
3. 把 mark 左移三位，原来只能设置 0-31 的 TTL ，现在能设为正常的 0-255 。
4. 填好了测速的 payload ，不用自己改文件了。
这样一来修改的包至少 wireshark 看顺眼了，不会标黑了

@dford 感觉是只有本省+本网不限速

@billytom 可以多找几个国内测速网站试试看，例如
www#speedtest#cn

浏览器 F12 看看报错，或抓包看看

还能加载网友的自定义规则，屏蔽广告、跟踪、pcdn 等域名

由于 ipv6 不能在中途分片，而且某些运营商会丢弃提示包过大的 ICMP 信息，导致了许多包石沉大海，最终连接失败。看看这篇 cloudflare 的博客文章，按照他们的测试结果不断调整自己的 mtu 和 mss ，直到连接正常，他们观察到 89.8%对端的 MTU 大于 1380+40=1420 ，75%的 MTU >= 1452:
https://blog.cloudflare.com/increasing-ipv6-mtu/

7. 如果用 nftables ，ipv4 和 ipv6 的命令分别是：（自行修改目的地址，自担风险，小心连不上服务器）
nft insert rule inet filter postrouting ip daddr {1.1.1.1} tcp dport { 0-65535 } meta length gt 120 meta mark set 0xdeaf0002 return comment "hahaha"

nft insert rule inet filter postrouting ip6 daddr {2606:4700:4700::1111} tcp dport { 0-65535 } meta length gt 100 meta mark set 0xdeaf0002 return comment "hahaha"
8. 如果用 iptables ，ipv4 和 ipv6 的命令分别是：（自行修改目的地址，自担风险，小心连不上服务器）
iptables -t mangle -A POSTROUTING -d 1.1.1.1 -p tcp --dport 0:65535 -m length --length 121:65535 -j MARK --set-mark 0xdeaf0002 -m comment --comment "hahaha"

ip6tables -t mangle -A POSTROUTING -d 2606:4700:4700::1111 -p tcp --dport 0:65535 -m length --length 101:65535 -j MARK --set-mark 0xdeaf0002 -m comment --comment "hahaha"

6. 接下来需要给特定数据包打标记，该内核模块的触发条件是 mark 的高 16 位为 0xdeaf ，低 16 位的定义如下所示：
15：设置 TCP 的确认号
14：设置 TCP 的序号
13：设置 TCP 校验和
12-10：指定重复发送的次数
9-5：设置延迟发送时间(jiffies)
4-0：设置 TTL 值
那么我们想把 TTL 设置为 2 ，别的不变，只需要设置 mark 为 0xdeaf0002 ，仅修改总大小大于 120(ipv4)和 100(ipv6)的包，避免影响握手

在 Linux 路由器成功使用，编译并加载模块后，通过匹配数据包大小的方式跳过握手包，把教程分享给大家，不用谢：
1. git clone 楼主的仓库，不用多说。
2. 可以修改源码里的 payload 为你喜欢的内容，也可以在加载模块后修改/sys/kernel/debug/nf_deaf/buf 的内容，例如：
#define NF_DEAF_BUF_DEFAULT "GET / HTTP/1.1\r\n\
Host: www.speedtest.cn\r\n\
User-Agent: Mozilla/5.0\r\n\
Accept: */*\r\n\
Connection: close\r\n\
\r\n"
3. 改一下 MakeFile：
obj-m += nf_deaf.o
KDIR := /lib/modules/$(shell uname -r)/build

all:
$(MAKE) -C $(KDIR) M=$(PWD) modules

clean:
$(MAKE) -C $(KDIR) M=$(PWD) clean

4. 在源码目录运行 make 命令编译，没有 make 或 gcc 的自行安装
5. 加载内核模块：insmod nf_deaf.ko ，若命令 lsmod |grep nf_deaf 有返回那么就加载完成啦