shadowsock手机可以,电脑不行

开源免费。shadowsock是一种socks5代理软件，通过手机可以连接到远程计算机的影梭代理服务器，从而通过代理服务进行上网，由于是开源免费的因此是电脑不行的。原文中的Shadowsocks简称ss，国内用户可以通过在ss配置相关信息而实现服务器代理。

我已经下载并得到了chnroutelist，也创建好了ipset。
查了一下 ss好像有个--acl选项，[--acl <acl_file>] config file of ACL (Access Control List)
但是貌似给ss-server没有用。 这个是个ss-local用的吗？
但是我先前尝试在OUTPUT reject所有匹配ipset的访问，并且用ownerid 识别出只有SS的流量，但是想起来这样也屏蔽了SS返回给客户端的报文。
目前想到几个思路，
A 是在INPUT标记连接到SS-SERVER的端口 connmark ，然后在OUTPUT的屏蔽访问IP段ACL之前accept 标记的连接，不过还没有测试
B 是在OUTPUT 放行 SS-SERVER的SPORT端口发出的连接，然后屏蔽国内的段。但是缺点是多端口多用户，就要写多条了。
C 在SS前面在做一个代理服务器，用PID 标识那个代理服务器并限制其访问IP端。缺点应该是耗内存，然后>