¿Cómo evitar que el servidor SS acceda al segmento de red IP en China continental?

Revisé que ss parece tener una opción -ACL, [-ACL

Pero parece no ser de utilidad para ss-server. ¿Esto va a ser local?

Sin embargo, intenté negar todo acceso que coincidiera con el ipset en la salida e identificar el tráfico solo de SS con el ID del propietario, pero recuerdo que esto también impedía que SS devolviera mensajes al cliente.

En estos momentos tengo varias ideas en mente.

Hay una conexión marcada como puerto de entrada connmark para conectarse a SS-SERVER, y luego una conexión marcada como aceptar antes del segmento IP ACL que bloquea el acceso a la salida, pero aún no ha sido probado.

b libera la conexión al puerto SPORT de SS-SERVER en el extremo de salida y luego bloquea el segmento doméstico. Pero la desventaja es que múltiples puertos y múltiples usuarios requieren que se escriban más artículos.

c Cree un servidor proxy frente a SS, identifique ese servidor proxy con PID y restrinja su acceso a IP. La desventaja debería ser que consume memoria y luego el proxy transparente https generará un certificado.