5GPN — 让解析决定流量去向

QUERY   A   POLICY   ANSWER
··························································
DIRECT ─────────────────────── REAL IP
GATEWAY ────────────────────── 10.0.0.1
BLOCK ──────────────────────── NXDOMAIN

DNS DECISION FEED LIVE

QUERY dot.5gpn.example:853 12:42:08.517

A intranet.example DIRECT

A global.example GATEWAY

A encrypted-dns.example NXDOMAIN

FIRST MATCH ONE MIHOMO PROCESS OPERATOR OWNED

DNS STEERING / SELF-HOSTED

一次 DoT 查询只做一个决定：直连、进入网关或拒绝。客户端只填一个域名，出口仍由你掌控。

安装 5GPN 沿着一次解析看下去

DoT :853 only · 可路由 IPv4 · 无需常驻 App
Open source · MIT · One mihomo process

ONE QUESTION / THREE ANSWERS

一个问题，三个答案。

DNS 决定入口；节点与传输仍由你的 mihomo YAML 负责。

ANSWERREAL IP

本地直出

返回真实地址。auto 会逐个 A 记录仲裁，同一答案可同时包含直连与网关地址。

intranet.example → DIRECT

ANSWERGATEWAY IP

进入网关

返回网关 IPv4，再由同一个 mihomo 进程接管连接；最终出口继续遵循你的规则。

global.example → GATEWAY

ANSWERNXDOMAIN

入口拒绝

直接返回 NXDOMAIN。客户端若绕过指定 resolver，也会绕过这条域名策略。

encrypted-dns.example → BLOCK

INSTALL / TWO RUNTIMES

选一种运行方式，
把网关留在自己手里。

两种方式都已正式可用，在这里同级呈现。选原生还是容器，取决于你已有的运维栈，而不是成熟度差别。

READY NOW

主机级安装，配置完全归你。

准备一台可路由 IPv4 的 systemd Linux 主机。安装器校验固定 release 产物，收集域名与证书配置，并在发布前完成检查。

需要 root、交互式 TTY 与 apt / dnf / yum
生产环境需 TCP 80 / 443 / 853 可达
不修改宿主防火墙，不接管完整 mihomo YAML

root@gateway — native install

# Run on a clean systemd Linux gateway

$ curl -fsSL \
  https://raw.githubusercontent.com/\
  moooyo/5gpn/main/quick-install.sh | sudo bash

✓ release checksum verified ✓ operator config preserved ✓ 5gpn-mihomo.service active

https://console.<your-domain>/ui/

READY NOW

一个镜像、一个容器、一个 Compose 服务。

启动文件随 release 包一起下发并与镜像 tag 对应。配置就是两次编辑，不需要 chown 或 chmod。Compose 要求显式 FIVEGPN_IMAGE，没有可移动的默认值 —— 下面固定写死版本号，而不是 latest，这样你拿到的就是你读过的那一版。

Docker Engine 28+、纯 cgroup v2、systemd cgroup driver
域名 DNS 托管在 Cloudflare，证书走 DNS-01 通配符签发
首次启动打印控制器密钥，即 Console 登录凭据
状态在两个具名卷里；升级镜像不影响配置、证书与插件
无 privileged、无 SYS_ADMIN、无 Docker socket，镜像根只读

root@host — docker compose

# Engine 28+, cgroup v2, Cloudflare-hosted domain

$ TAG=0.0.82
$ curl -fLO .../releases/download/$TAG/\
  5gpn-installer.tar.gz && sha256sum -c checksums.txt
$ tar xzf 5gpn-installer.tar.gz -C 5gpn-$TAG

$ cp docker/bootstrap/config.env.example \
  docker/bootstrap/config.env
# 两次编辑：域名邮箱，与 Cloudflare API token
# 不需要 chown / chmod

$ export FIVEGPN_IMAGE=ghcr.io/moooyo/5gpn:$TAG
$ docker compose up -d gateway

✓ cgroup delegation verified ✓ DNS-01 wildcard issued ✓ controller secret printed once ✓ 5gpn-mihomo running as PID 1

https://console.<your-domain>/ui/

共同契约

同一 DNS 决策语义
TCP 80 / 443 / 853
配置归运维者
同一 Console

DESIGNED LIMITS

边界写在页面上，
而不是藏在故障里。

5GPN 仍处于 pre-release。它明确说明负责什么，也明确拒绝把缺失能力包装成特性。

DNS

DoT-only 入口

客户端 DNS 只接受 DoT :853；Android Private DNS 与 iOS profile 可直接接入。

CONFIG

配置属于运维者

节点、代理组、规则与完整 YAML 由你维护；控制面只热应用完整配置。

PROCESS

一个故障域

DNS、转发、扩展、Telegram 与 Controller 都在 mihomo 内，由 systemd 做整进程恢复。

HTTP/3

明确不支持

系统固定全局拒绝 UDP/443，产品管理不可关闭。兼容客户端可能回退到 TCP，但不作保证；H3-only 客户端会失败。

FAILURE

失败不伪装成成功

安装器会在发布前检查并原子写入；一旦发布已经开始，失败会明确报告主机可能处于部分安装状态，不承诺自动回滚。

阅读完整架构与限制

ONE CONTROL PLANE

日常管理，
不必回到命令行。

浏览器 Console 负责状态、DNS 日志、策略、订阅与扩展审阅；root TUI 处理证书、静态节点与生命周期动作。

在 GitHub 查看项目

WEB CONSOLE console.<domain>/ui/

有序 DNS 策略与诊断
连接、上游与订阅状态
扩展启用前的权限审阅

ROOT TUI $ sudo 5gpn

配置、修复与卸载
证书与接入信息
窄范围静态节点事务

YOUR DNS. YOUR POLICY.

先看清边界，
再把第一条解析交给 5GPN。

查看安装命令看看 Apple Relay