@bolvan есть запрет на openwrt роутере, есть файл zapret-hosts-user-exclude.txt с хостами, но хосты не эксклудятся, в доке написано:
Все скрипты ресолвят файл zapret-hosts-user-exclude.txt, создавая zapret-ip-exclude.txt и zapret-ip-exclude6.txt. Они загоняются в ipset-ы nozapret и nozapret6.
Вот мне надо отрезолвить zapret-hosts-user-exclude.txt, какой скрипт дернуть? Рестарт службы не помогает, по форуму/доке не нашел как грамотно сделать, ipset/create_ipset.sh дергать?
А во, нашел - ipset/get_user.sh
Мне одному кажется момент с резолвом zapret-hosts-user-exclude.txt супер неочевидным?
Это после каждого изменения его вручную резолвить надо?
Да, после каждого изменения надо ресолвить.
Если используется ipset фильтрация.
Потому что это ядерный ипсет, а не юзерский. Процесс nfqws имеет к нему ноль отношения, ничего не знает об этом файле и тем более не вызывает какие-либо скрипты для автоматического загона
Сетап вставляет крон раз в 2 дня
Помогите понять почему запрет дропает пакеты wireguard.
Openwrt 25 на роутере, zapret последний от remittor + custom wg4all с github, остальное отключено.
Если подключаться к wireguard с ПК за роутером то всё работает. В логе zapret раз в 90 секунд проскакивает пакет с wg init с вердиктом send modified.
Импортирую конфиг в luci-app-wireguard и соединения нет. В логе zapret вижу много попыток соединения. Только первый пакет проходит с send modified, а остальные с packet drop.
Единственное отличие в логе пакетов это порты из nf set, при успешном сценарии это in=br-lan out=wan, при неуспешном in=wg0 out=wan и ttl.
Смотрел tshark на сервере. При успешном сценарии вижу пакеты wg начиная с wg init. При неуспешном не вижу ничего, даже wg init не прилетает. Выглядит как блок со стороны провайдера, но я не могу понять почему вариант с коннектом с пк работает.
send modified вызвано исключительно postnat workaround.
это делается для первого пакета в потоке, для остальных не делается
нормальный лог дурения fake - отсылка фейка + отсылка оригинала modified или unmodified
drop может быть только при использовании ipfrag или иных дурилок - udplen, tamper, но они неуместны для wg
Никуда не добавлял wg0 в nf set. Не думаю что это нужно в моём сценарии. Интерфейс служит для VoIP звонков, три подсети туда заворачиваю через nft set стандартными средствами uci + ip rule. Но это все в prerouting работает и не доходит до zapret.
Сейчас прошил с нуля последний openwrt и zapret через easy-install, всё заработало c wireguard.
Буду смотреть свои скрипты к nft и старту сервисов, что-то намудрил.
На моём подключении не работает S2S и C2S с некоторыми XMPP-серверами. До большей части проблемных серверов удалось пробиться, но два не сдаются - и при этом они точно не забанены по IP.
Варианта десинка с any-protocol хотелось бы избежать, в таком случае частично ломаются уже рабочие S2S-подключения. Любые варианты mss-size сразу ломают все подключения.
У меня - zapret1. Если кто-то сможет подсказать стартовую позицию от которой можно отталкиваться - было бы здорово. В документации и тредах по zapret нашёл упоминание XMPP только в связи с zapret2, но по разным причинам в моей конфигурации он пока не применим.
На некоторых сайтах встречается. Обычно помогает или добавить их в исключение, или использовать для стратегию попроще, вместо фейка для пробива жёстких и 16 КБ блоков простой hostfakesplit с фулингом (какое-то время в прошлом году им прямо всё пробивалось).
Но некоторые сайты порой как будто пятисотят на российский айпи, тут только прокси или впн. А ещё есть некоторые сайты вроде xda-developers.com, howtogeek.com и ряда других, на них ERR_HTTP2_PROTOCOL_ERROR и даже из-под тора не открываются (как-то раз открылось далеко не с первого раза). Вроде все они хостятся на американском Амазоне, и фиг знает что с ними делать. Прямо аномалия какая-то.
xda-developers.com и xdaforums.com блокируют часть российских, японских и некоторых других IP из-за DDoS-атак. У меня на работе с IP от Orange Business, например, оба открываются без проблем, а с IP от Дом.ру открывается заглушка “Page could not be loaded”.
Ну, если бы они хоть что-то показывали, пусть даже банальный 503, было бы понятно. Но у меня прямо ERR_HTTP2_PROTOCOL_ERROR (в Firefox тоже ошибка соединения). Что за хрень? Увы, я не настолько силён в сетевых делах, чтобы разбирать пакеты и смотреть, что там не так.
Подскажите насчёт пробива голосового чата в дискорде. Сейчас не обязательно настраивать дурение на определённые домены и IP дискорда, а можно это сделать через фильтр? Как это сделать?
–filter-udp=50000-50090 --filter-l7=discord,stun < и дальше идёт стратегия >
Правильно?
discord - пробивает непосредственно голосовой чат дискорда.
stun - пробивает звонки в телеграме (Если это ещё возможно и их по IP не грохнули).
Насколько понимаю, с фильтрами --wf-raw порты не нужно указывать:
winws.exe --wf-tcp=80,443 ^
--wf-raw-part=@"windivert.filter\windivert_part.stun.txt" ^
--wf-raw-part=@"windivert.filter\windivert_part.discord_media.txt" ^
--filter-l7=discord,stun < и дальше идёт стратегия >
