如何屏蔽 SS 服务器访问大陆的 IP 段

我已经下载并得到了chnroutelist，也创建好了ipset。
查了一下 ss好像有个--acl选项，[--acl <acl_file>] config file of ACL (Access Control List)
但是貌似给ss-server没有用。 这个是个ss-local用的吗？
但是我先前尝试在OUTPUT reject所有匹配ipset的访问，并且用ownerid 识别出只有SS的流量，但是想起来这样也屏蔽了SS返回给客户端的报文。
目前想到几个思路，
A 是在INPUT标记连接到SS-SERVER的端口 connmark ，然后在OUTPUT的屏蔽访问IP段ACL之前accept 标记的连接，不过还没有测试
B 是在OUTPUT 放行 SS-SERVER的SPORT端口发出的连接，然后屏蔽国内的段。但是缺点是多端口多用户，就要写多条了。
C 在SS前面在做一个代理服务器，用PID 标识那个代理服务器并限制其访问IP端。缺点应该是耗内存，然后>如果考虑pk和战场三个职业各有特点。都可以考虑选择：
1、zs
防御战士就不废话了，那是为raid而生的，野外就是一残废。狂暴战士具有很强的战斗力和杀伤力。单狂暴战士对装备的依赖比较重，没有好的装备的狂暴战士比较垃圾。同时如果想做一个好的狂暴战士，药水或者工程学方面的消费也比较高，必须要舍得花成本。这样的狂暴战士是相当恐怖的。
2、dz
有句话，可以充分的体现dz的特点，野外没有dz杀不了的人，只有dz不想杀的人。这点对于任何配点形式和装备的dz都适用。原因在于dz杀人必须等待合适的时机出手。dz是个非常强调节奏感和控制的职业。因为对于很多职业来说，只要给他一秒间隙，他便能反过来干掉dz。即使dz装备再好。dz可以在某种程度上看作是小号的狂战，加了隐身能力。但盗贼的问题在于，没有一个服务器dz不是人满为患。
3、ss
ss是法系职业中的另类。一方面是法系中的血牛，一方面是一个孤独的职业。这个职业配点灵活，不同的配点对应打法不同。对于 *** 作要求相对较高。应该是比较有乐趣的一个职业。可以说是比较适合野外的。但dz是他的天敌，野外还是比较怕偷袭的。因为好的dz是不会给ss出手机会的，会一晕到死。
看你的情况以前使用ms得。如果没用用过近战职业，我推荐你用ss因为近战概念和法系的远程概念完全不同， *** 作起来你就知道了。我开始用ss后来玩小号dz得时候花了好长时间才习惯。

你装了什么第三方的软同步软件吧，需要同步到网络服务器的那种。
comandroidss就是这个进程的名字，但是ss这样的命名一看就觉得不是很正规的样子
如果不是流氓软件，那只能说这个开发者太没品了，所以开发的软件也没品，建议卸载掉，如果已经不知道是哪个程序了，可以尝试备份个人资料，恢复出厂设置。

---