20220718更新：更新域名匹配正则，添加每周更新脚本。由于缓存查询时间增加过多，此方法不推荐，详情参考文章后部。

之前写过两篇文章介绍实现域名分流解析的方案，一个是使用dnsmasq基于大陆域名白名单分流解析域名，另一个是使用overture替换dnsmasq做域名分流解析。
这次介绍的方案与dnsmasq类似，默认使用境外dns服务器解析，境内域名使用白名单转发到境内dns服务器。
routeros在v6.47中增加了静态条目规则type属性，其中包含FWD类型。FWD类型可以将指定域名转发到指定的DNS服务器。
以下以routeros v7.3.1的chr版本为环境，dns服务器是8.8.8.8和8.8.4.4
增加alicdn.com域名及子域名转发给114.114.114.114解析。正则匹配如下

^(.*\.)?alicdn\.com$

命令如下

/ip/dns/static/add regexp="^(.*\\.)?alicdn\\.com\$" forward-to=114.114.114.114 ttl=300s

详细命令请参考官方wiki。
这里使用dnsmasq-china-list做白名单转发给境内dns服务器解析，生成脚本如下

/ip/dns/static/remove [/ip/dns/static/find type=FWD]
/ip/dns/static/add regexp="^(.*\\.)?0-100\\.com\$" forward-to=114.114.114.114 ttl=300s
/ip/dns/static/add regexp="^(.*\\.)?0-6\\.com\$" forward-to=114.114.114.114 ttl=300s
/ip/dns/static/add regexp="^(.*\\.)?00\\.net\$" forward-to=114.114.114.114 ttl=300s
/ip/dns/static/add regexp="^(.*\\.)?000\\.link\$" forward-to=114.114.114.114 ttl=300s
/ip/dns/static/add regexp="^(.*\\.)?00000\\.host\$" forward-to=114.114.114.114 ttl=300s
/ip/dns/static/add regexp="^(.*\\.)?00042\\.com\$" forward-to=114.114.114.114 ttl=300s
/ip/dns/static/add regexp="^(.*\\.)?00058\\.com\$" forward-to=114.114.114.114 ttl=300s
/ip/dns/static/add regexp="^(.*\\.)?0006266\\.com\$" forward-to=114.114.114.114 ttl=300s
/ip/dns/static/add regexp="^(.*\\.)?0007\\.net\$" forward-to=114.114.114.114 ttl=300s
...

脚本有接近7万行，使用intel i5-7200u分配2逻辑核心的虚拟机首次执行需要约3.5分钟，阿里云1核心服务器首次执行需要2.5分钟，再次执行需要7.5分钟，再次执行时会先删除type=FWD的静态条目，脚本执行时cpu占用100%，所以cpu性能较差时需要耐心等待。

这里下载每周自动生成的脚本。
导入方法：使用

/import dns.rsc

导入，等待完成。

使用RouterOS自带dns转发功能做域名分流解析优点是可以抛弃openwrt或者linux服务器的小尾巴，实现routeros单一系统完成全部网络功能，特别适合不支持直通的cpu裸装routeros的情况。
缺点和使用dnsmasq分流解析一样，境内域名列表更新不及时，可能导致一些新的域名解析成境外地址。

另外，导入dns转发脚本后不要使用webfig打开dns静态列表，条目太多会卡死。
附：自动生成dns.rsc脚本

#!/bin/bash
echo "/ip/dns/static/remove [/ip/dns/static/find type=FWD]">/tmp/dns.rsc && curl -s https://raw.githubusercontent.com/felixonmars/dnsmasq-china-list/master/accelerated-domains.china.conf|sed '/#/d'|sed 's/\/114.114.114.114//g'|sed 's/\./\\\\./g'|sed 's/server=\//\/ip\/dns\/static\/add regexp=\"^(.*\\\\.)?/g'|sed 's/$/&\\$\" forward-to=114.114.114.114 ttl=300s/g'>>/tmp/dns.rsc

发现问题：
1，routeros的dns本地缓存查询时间显著增加，使用dig命令发现未导入时缓存查询时间小于1ms，导入后缓存查询时间约28ms，白名单域名反而查询时间更短。
2，在dns设置增加缓存到1gb后观察，发现导入后占用约180mb缓存。另可以通过观察缓存大小来大致确定导入进度。

20201203更新：Routeros V7的分流方法参考Routeros V7配置策略路由
20201202更新：Routeros V7连接境外服务器的vpn方式可以参考Routeros 配置WireGuard
20200503更新：添加dnsmasq白名单分流解析
20200416更新：添加使用ipip.net的大陆ip列表生成命令并添加了私有ip地址

ros使用pppoe连网，ros上配置vpn连接香港服务器上的ros。目标：内网需要翻墙的ip通过大陆ip列表分流，大陆ip走默认路由，境外ip走vpn。其他内网ip全部走默认路由。
首先下载大陆ip列表，推荐方法2
方法1:

curl 'http://ftp.apnic.net/apnic/stats/apnic/delegated-apnic-latest' | grep ipv4 | grep CN | awk -F\| '{ printf("%s/%d\n", $4, 32-log($5)/log(2)) }' > chnroute.txt

生成的txt文件使用sublime的多行编辑功能或其他方式转换成ros的cn-ip.rsc脚本格式。

/ip firewall address-list
add list=cn-ip address=1.0.1.0/24
add list=cn-ip address=1.0.2.0/23
。。。

方法2:使用ipip.net发布在github的大陆ip列表生成

curl -s https://raw.githubusercontent.com/17mon/china_ip_list/master/china_ip_list.txt |sed -e 's/^/add address=/g' -e 's/$/ list=CNIP/g'|sed -e $'1i\\\n/ip firewall address-list' -e $'1i\\\nremove [/ip firewall address-list find list=CNIP]' -e $'1i\\\nadd address=10.0.0.0/8 list=CNIP comment=private-network' -e $'1i\\\nadd address=172.16.0.0/12 list=CNIP comment=private-network' -e $'1i\\\nadd address=192.168.0.0/16 list=CNIP comment=private-network'>cnip.rsc

以上脚本在CNIP列表里添加了私有ip地址192.168.0.0/16，172.16.0.0/12和10.0.0.0/8

方法3:下载别人制作好的脚本
http://www.iwik.org/ipcountry/mikrotik/CN

使用import cnip.rsc导入ros。添加内网需要翻墙的ip列表。
配置ip firewall的mangle
prerouting,source address list,destination address list取反，destination address type,address type local,invert,mark routing,cross-gfw。
配置ip routes的网关
0.0.0.0/0，gateway设置为vpn对端地址，routing mark 使用上面的cross-gfw。

现在解决dns问题，由于ros的dns功能比较弱，这里使用dnsmasq
内网一台linux系统，可以是虚拟机，可以是容器，安装dnsmasq。配置dnsmasq的源dns为google dns，然后使用github上的大陆网址白名单生成脚本添加需要使用大陆解析的域名。https://github.com/felixonmars/dnsmasq-china-list
具体方法参考使用dnsmasq基于大陆域名白名单分流解析域名

dhcp分配的主dns是pcap——dnsproxy搭建的dns服务器，备用dns是四个8
chrome加载js、css等cdn服务器上等静态文件时，一直pending直到超时failed，而同时safari，wget、dig等加载和解析都是没有问题的。

safari和wget、dig等都默认使用主dns地址去解析域名，chrome可能基于某些原因使用了8.8.8.8，chrome加载pending超时之后faild不显示ip地址，而使用dig去查询域名的时候使用的是主dns地址去查询的，所以获取的地址没有问题，在使用chrome://net-internals去调试chrome的时候没有仔细看dns栏里的解析地址，后来使用wireshark抓包发现大量tcp重传，重传包的目的地址是拒绝访问的ip，再翻过头来去看chrome://net-internals/#dns里的解析地址，发现cnd解析到的地址是拒绝访问的ip，推测chrome使用的dns服务有问题，查看dhcp获取的dns地址，发现备用dns服务器为8.8.8.8，修改dhcp配置，重新连接网络后，问题解决。