如何屏蔽 SS 服务器访问大陆的 IP 段

我已经下载并得到了chnroutelist，也创建好了ipset。
查了一下 ss好像有个--acl选项，[--acl <acl_file>] config file of ACL (Access Control List)
但是貌似给ss-server没有用。 这个是个ss-local用的吗？
但是我先前尝试在OUTPUT reject所有匹配ipset的访问，并且用ownerid 识别出只有SS的流量，但是想起来这样也屏蔽了SS返回给客户端的报文。
目前想到几个思路，
A 是在INPUT标记连接到SS-SERVER的端口 connmark ，然后在OUTPUT的屏蔽访问IP段ACL之前accept 标记的连接，不过还没有测试
B 是在OUTPUT 放行 SS-SERVER的SPORT端口发出的连接，然后屏蔽国内的段。但是缺点是多端口多用户，就要写多条了。
C 在SS前面在做一个代理服务器，用PID 标识那个代理服务器并限制其访问IP端。缺点应该是耗内存，然后>国际一线品牌路由有华硕 美国网件 美国思科 各有千秋，个人喜欢华硕比较稳定，这三款除了更新官方固件，你可以理解为系统，还可以刷第三方固件，第三方固件相比较官方固件，稳定性有的差一些，但是会有更多功能，也能够更好的挖掘出硬件的性能，除了智能手机外，路由器和无线接入点无疑是最常被破解和修改的消费级设备。一方面破解这些设备较为简单，另一方面破解、修改设备参数后能带来一系列好处，比如拥有更多的特性，改善路由功能，加强安全性，而且破解后还能配置原厂固件通常不允许修改的参数(例如天线输出功率)。第三方固件有好几家，其中比较受欢迎的固件就推荐梅林固件，例如梅林固件就有官方固件没有的离线下载和游戏模式，在游戏模式中，ss全称是ShadowSocks帐号 - PGfast网络加速号代理服务，
路由器多点同时登录限制：1个
支持电脑手机平板
加速PS4、XBOX ONE等游戏联机/下载
所有服务器可用+额外专属服务器
优化PS4联机和下载
日本/香港/新加坡/台湾/韩国/美国等数十条线路
¥18000
（平均15元/月）

绿茶模拟器是一款著名的安卓模拟器，主要用于在电脑上模拟安卓系统并运行安卓应用程序。在模拟器中使用Shadowsocks代理，可以实现科学上网的功能。
具体使用方法可以参考以下步骤：
1 首先下载并安装绿茶模拟器，安装完成后启动绿茶模拟器。
2 在绿茶模拟器中打开应用商店，搜索并安装Shadowsocks应用程序。
3 启动Shadowsocks应用程序，输入您的Shadowsocks账号和密码，连接Shadowsocks服务器。
4 在绿茶模拟器中打开任意一个应用程序，可以通过该应用程序测试网络是否已经成功科学上网。
需要注意的是，科学上网有一定的风险，因此建议您在遵守相关法律法规的前提下使用。同时，绿茶模拟器的SS代理功能可能会受到官方限制，使用时也需要注意相关风险。

1、首先安装好后默认是default配置，点击edit。
2、其次选择downloadconfigurationfile项。
3、最后提示是invalid配置，根据导入提示复制从服务商处购买的订阅地址，选择editintextmode编辑SS服务器的配置信再看proxy行，把IP、PORT、PASSWORD改一下。

SS+Proxifier，让应用程序通过Proxifier走SS线路，SS+SocksCap64与1用处一样，但SocksCap64支持UDP，实用路由器，有的可以刷固件，刷一个支持SS账户的然后登陆，设置就可以了

---