Запуск на Keenetic #208

azhinu · 2024-08-03T11:21:57Z

azhinu
Aug 3, 2024

Инструкция по установки на Keenetic: https://telegra.ph/Nastrojka-zapret-ot-bol-van-na-Keenetic-08-18
— —

Всем привет. Попыталась запустить на Keenetic. Следовала инструкции quick_start.txt
На роутере установила пакеты:
Kernel modules for Netfilter
Kernel modules for Traffic Control support
Extension package Xtables-addons for Netfilter

Для работы blockcheck.sh нужно было сделать ещё insmod /lib/modules/4.9-ndm-5/xt_NFQUEUE.ko

Дальше всё по инструкции.
Но при старте сервиса получаю ошибки iptables: No chain/target/match by that name.

Может кто-то подсказать, как это исправить?

Answered by PeterRunich

Aug 4, 2024

C 09.11.2024 больше не обновляю этот реплай т.к. более качественной информации по использованию zapret стало больше (ищите в соседнних тредах, репозиториях, форумах)

У меня keenetic extra 2. У него автоматом не грузились некоторые модули ядра.

insmod /lib/modules/4.9-ndm-4/xt_multiport.ko
insmod /lib/modules/4.9-ndm-4/xt_connbytes.ko
insmod /lib/modules/4.9-ndm-4/xt_NFQUEUE.ko

Вместо 4.9-ndm-4, у вас скорее всего будет другая версия вашего ядра.

Посмотреть загруженные модули
lsmod

Посмотреть все модули которые есть
ls /lib/modules/4.9-ndm-4

После проделанного, iptables: No chain/target/match by that name., должно починиться.
(Модули при перезагрузке автоматически не включаются, изучите в…

View full answer

PeterRunich · 2024-08-04T22:12:02Z

PeterRunich
Aug 4, 2024

C 09.11.2024 больше не обновляю этот реплай т.к. более качественной информации по использованию zapret стало больше (ищите в соседнних тредах, репозиториях, форумах)

У меня keenetic extra 2. У него автоматом не грузились некоторые модули ядра.

insmod /lib/modules/4.9-ndm-4/xt_multiport.ko
insmod /lib/modules/4.9-ndm-4/xt_connbytes.ko
insmod /lib/modules/4.9-ndm-4/xt_NFQUEUE.ko

Вместо 4.9-ndm-4, у вас скорее всего будет другая версия вашего ядра.

Посмотреть загруженные модули
lsmod

Посмотреть все модули которые есть
ls /lib/modules/4.9-ndm-4

После проделанного, iptables: No chain/target/match by that name., должно починиться.
(Модули при перезагрузке автоматически не включаются, изучите вариант автоматического включения модулей при запуске системы (интернет в помощь))

В /opt/zapret/config у меня стоит

WS_USER=nobody
MODE_FILTER=none

# ВНИМАНИЕ!!! Используется косая кавычка для объединения строк для красоты.
# WORD="ба"`      `"нан" в переменной WORD будет "банан", при переносе косой кавычки на след. строку результат будет аналогичен.
NFQWS_OPT_DESYNC=""`

`" --hostlist=/opt/zapret/ipset/youtube.txt"`
`" --dpi-desync=fake,disorder --dpi-desync-split-pos=50 --dpi-desync-ttl=3 --dpi-desync-fooling=md5sig"`
`" --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin --dpi-desync-split-seqovl-pattern=/opt/zapret/files/fake/tls_clienthello_iana_org.bin --dpi-desync-split-seqovl=1 --dpi-desync-split-tls=sni"`
`" --dpi-desync-repeats=20"`


`" --new --hostlist=/opt/zapret/ipset/my-list.txt"`
`" --dpi-desync=fake,disorder2 --dpi-desync-autottl --dpi-desync-fooling=datanoack,md5sig"


MODE_QUIC=1
NFQWS_OPT_DESYNC_QUIC="--dpi-desync=fake --dpi-desync-repeats=7"

Единственное, что может всё сломать это --dpi-desync-ttl=, подбирается индивидуально.

вы - - - dpi - - X - - - сервер где лежит ваш ресурс
Упрощено, ваша задача, раааазными схемами, подобрать время жизни пакета (ttl), чтобы он умирал после коробки dpi, но не успел еще дойти до сервера вашего сайта куда вы подключаетесь.
т.е в диаграмме с черточками вам будет достаточно ttl 7, чтобы пакет умер в X.
(считаем все черточки (узлы в реальности) и слово dpi (тоже узел) )
(tracert smth.com покажет все узлы которые вы проходите до сервера)

Чтобы это сделать для конкретного сайта (допустим googlevideo.com) берёте ping -i тут_цифра googlevideo.com -i ограничивает время жизни (ttl), пишите подбираете цифру чтобы пинг не доходил (будет писать Превышен срок жизни (TTL) при передаче пакета.).
возьмёте слишком маленький "ttl", то умрёте не дойдя до коробки dpi, пример Y
вы - Y - dpi - - X - - - сервер где лежит ваш ресурс

Это не подробный гайд, а просто наводка в какую сторону копать, есть нюансы, что на пути будет много коробок dpi и там будет нужно учесть (брать больший ttl), есть auto ttl читайте мануал запрета (если кто-то задается вопросом: "зачем мы пытаемся убить пакет (читайте мануал запрета), кратко, подобранный ttl будет применяться только к пакетам для обмана(что за пакеты читайте в описании disorder в мануале запрета) они не корректные поэтому и ломают коробку dpi, если мы допустим их до сервера ресурса до которого вы стучите то считайте, что сломаете и его").

Пояснение

У меня три стратегии

Первая применяется к хостам из /opt/zapret/ipset/youtube.txt (там только googlevideo.com)
Вторая применяется к хостам из /opt/zapret/ipset/my-list.txt (там все остальное, что подверглось блокировке, за основу взят
https://antizapret.prostovpn.org/domains-export.txt + дискорд домены + ютуб домены (ищите в соответствующих соседних тредах)
Третья для работы QUIC, я использую без хостлиста

Внимание!!!
Для работы дурения на уровне UDP (quic, discord voice, ...) на кинетиках требуется правило в ipset
добавить можно так iptables -t nat -A POSTROUTING -o eth2.2 -j MASQUERADE, вместо eth2.2 пишите то, что у вас в конфиге запрета $IFACE_WAN, при перезагрузке слетает, так же может слетать рандомно из-за особенностей кинетика (но это не точно). (Подробнее как правильно прописать ищите в доп. ссылках, ориентируйтесь на ipset правило, которое написано выше).

Обход для discord у меня работает, но написан по своему (в этом коменте он не описан), распространенный рабочий вариант ищите в соседних тредах #475.

Доп. ссылки
https://habr.com/ru/articles/834826/ (там можно найти патчи насчет доп. правила для quic)
https://telegra.ph/Nastrojka-zapret-ot-bol-van-na-Keentic-04-27 (там можно найти патчи чтобы не слетало правило)
#475 (comment)

Провайдер Wifire (Netbynet) дочка зеленого оператора МСК.

28 replies

PeterRunich Nov 28, 2024

@Chivapches
Могу предложить в моменты когда все перестает работать запустить ps | grep nfq, если он выводит процессы /opt/zapret/nfq/nfqws, значит zapret не крашиться и скорее всего проблема с iptables правилами.

Понаблюдать за правилом в ipset.
iptables -t nat -L -n -v| grep 'Chain POSTROUTING' -A 15
Должно быть что-то похожие на

Chain POSTROUTING (policy ACCEPT 59 packets, 4084 bytes)
 pkts bytes target     prot opt in     out     source               destination
 3316  406K _NDM_IPSEC_POSTROUTING_NAT  all  --  *      *       0.0.0.0/0            0.0.0.0/0
 3316  406K _NDM_SNAT  all  --  *      *       0.0.0.0/0            0.0.0.0/0
 3164  392K _NDM_SNAT_MAPT  all  --  *      *       0.0.0.0/0            0.0.0.0/0
 3164  392K _NDM_MASQ  all  --  *      *       0.0.0.0/0            0.0.0.0/0
 54 11231 MASQUERADE  all  --  *      eth2.2  0.0.0.0/0            0.0.0.0/0

Возможно в момент когда все перестает работать роутер забывает последние правило
54 11231 MASQUERADE all -- * eth2.2 0.0.0.0/0 0.0.0.0/0
(вместо eth2.2 у вас может быть другой интерфейс).
Лечиться это так https://telegra.ph/Nastrojka-zapret-ot-bol-van-na-Keentic-04-27 в пункте "Создаем небольшой скрипт, чтобы Keenetic не забывал правила."

Может быть косяк прошивки кинетекика (я сижу на последней в тестовой ветке)
Может быть утечка памяти где-то и процесс убивается
Я сижу не на последней версии запрета (68), но сомневаюсь что версии выше что-то ломают.

Больше идей нет. У меня конфиг работает.

azhinu Nov 28, 2024
Author

https://telegra.ph/Nastrojka-zapret-ot-bol-van-na-Keenetic-08-18#:~:text=%D0%A3%D1%81%D1%82%D0%B0%D0%BD%D0%B0%D0%B2%D0%BB%D0%B8%D0%B2%D0%B0%D0%B5%D0%BC%20%D1%81%D0%BA%D1%80%D0%B8%D0%BF%D1%82%2C%20%D0%BA%D0%BE%D1%82%D0%BE%D1%80%D1%8B%D0%B9%20%D0%B1%D1%83%D0%B4%D0%B5%D1%82%20%D0%B4%D0%B5%D1%80%D0%B6%D0%B0%D1%82%D1%8C%20%D0%BF%D1%80%D0%B0%D0%B2%D0%B8%D0%BB%D0%B0%20iptables%2C%20%D1%83%D1%81%D1%82%D0%B0%D0%BD%D0%BE%D0%B2%D0%BB%D0%B5%D0%BD%D0%BD%D1%8B%D0%B5%20Zapret%20%D0%B2%20%D0%B0%D0%BA%D1%82%D1%83%D0%B0%D0%BB%D1%8C%D0%BD%D0%BE%D0%BC%20%D1%81%D0%BE%D1%81%D1%82%D0%BE%D1%8F%D0%BD%D0%B8%D0%B8%3A

Chivapches Nov 30, 2024

@PeterRunich
У меня при запуске 3 ошибки как вы писали в самом верхнем сообщении:
~ # /opt/zapret/init.d/sysv/zapret start
insmod: ERROR: could not insert module /lib/modules/4.9-ndm-5/xt_multiport.ko: File exists
insmod: ERROR: could not insert module /lib/modules/4.9-ndm-5/xt_connbytes.ko: File exists
insmod: ERROR: could not insert module /lib/modules/4.9-ndm-5/xt_NFQUEUE.ko: File exists

Если я прописываю:
insmod /lib/modules/4.9-ndm-5/xt_multiport.ko
insmod /lib/modules/4.9-ndm-5/xt_connbytes.ko
insmod /lib/modules/4.9-ndm-5/xt_NFQUEUE.ko

Выходит опять та же ошибка:
~ # insmod /lib/modules/4.9-ndm-5/xt_multiport.ko
insmod: ERROR: could not insert module /lib/modules/4.9-ndm-5/xt_multiport.ko: File exists
~ # insmod /lib/modules/4.9-ndm-5/xt_connbytes.ko
insmod: ERROR: could not insert module /lib/modules/4.9-ndm-5/xt_connbytes.ko: File exists
~ # insmod /lib/modules/4.9-ndm-5/xt_NFQUEUE.ko
insmod: ERROR: could not insert module /lib/modules/4.9-ndm-5/xt_NFQUEUE.ko: File exists

lsmod показывает что вроде как модули загружены:
~ # lsmod
Module Size Used by
xt_NFQUEUE 3814 5
xt_connbytes 1911 5
xt_multiport 1558 5

ls /lib/modules/4.9-ndm-5 - тоже модули есть

NewUse Nov 30, 2024

ну так кажется модуль уже загружены, а ты пытаешься загрузить повторно, на работу влиять не должно

Chivapches Dec 2, 2024

Возможно в момент когда все перестает работать роутер забывает последние правило 54 11231 MASQUERADE all -- * eth2.2 0.0.0.0/0 0.0.0.0/0 (вместо eth2.2 у вас может быть другой интерфейс). Лечиться это так https://telegra.ph/Nastrojka-zapret-ot-bol-van-na-Keentic-04-27 в пункте "Создаем небольшой скрипт, чтобы Keenetic не забывал правила."

Спасибо, проблема была с S00fix, после того как скопировал содержимое работает уже целый день

azhinu · 2024-08-05T20:39:35Z

azhinu
Aug 5, 2024
Author

Напишу ещё в этой теме проблемы, с которыми я сталкивалась. В наличии 2 роутера, Keenetic Extra II и Extra 1711. Проблемы были разными. Опишу их все:

Не работает blockcheck. Все стратегии оказываются провальными. При этом после установки zapret работает.
a. Решение: Запустить blockcheck на другом устройстве. Возможно, придётся поиграться с TTL.
Blockcheck выдаёт NFQUEUE iptables or ip6tables target is missing. pls install modules..
a. Проблема в отсутствующем/не загруженном модуле NFQUEUE. Убедитесь, что компанент Kernel modules for Netfilter установлен (WebUI), а модуль xt_NFQUEUE.ko загружен. Если модуль не загружен, его и ещё два других (xt_multiport.ko, /xt_connbytes.ko) нужно загрузить. Этому посвящён данный топик.
/opt/zapret/init.d/sysv/zapret start выдаёт iptables: No chain/target/match by that name.
a. Проблема аналогична предыдущей.
Всё нормально стартует, стратегия рабочая, но ничего не работает.
a. Проверьте, что процесс nfqws работает (ps | grep nfqws)
b. Попробуйте запустить всё руками. У меня была ошибка non-existent username supplied. В файле /opt/zapret/config раскоментируйте строку: WS_USER=nobody.
c. Проверьте, что nfqws вообще работает. Запустите программу с флагом --debug. Например: /opt/zapret/nfq/nfqws --user=tpws --dpi-desync-fwmark=0x40000000 --qnum=200 --dpi-desync=fake --dpi-desync-ttl=3 --debug. В этом случае программа будет давать текстовый вывод при обработке пакетов. Если с флагом --debug при обращении к заблокированному ресурсу вывода нет — проблемы с правилами iptables.

А так же вот инструкция по установки на кинетик: https://telegra.ph/Nastrojka-zapret-ot-bol-van-na-Keenetic-08-18

1 reply

bol-van Aug 6, 2024
Maintainer

прекрасно. но юзера создавать не обязательно
достаточно раскоментировать Ws_user в config

Mihrutkin · 2024-08-06T04:52:52Z

Mihrutkin
Aug 6, 2024

Подскажите, встало ли на ultra?
На tplink ax23 не хватает места дл установки, буду меня роутер. Или посоветуйте подходящий

7 replies

bol-van Aug 13, 2024
Maintainer

в инете плодятся левые инструкции. в них может быть указано установить гит на роутер. он ооочень жирный. десятки мб

YaBrick Aug 13, 2024

git clone на KN 2910 тупо не сработает, он при распаковке слишком много памяти жрёт

ValdikSS Aug 13, 2024

Для чего может понадобиться это делать? Это излишне.

YaBrick Aug 13, 2024

Хотелось одной командой на роутер скопировать файлы запрета)..

ValdikSS Aug 13, 2024

https://github.com/bol-van/zapret/archive/refs/heads/master.zip

filkint · 2024-08-06T13:32:02Z

filkint
Aug 6, 2024

Не работает, пишет:
`/opt/etc/init.d/S90-zapret start
Starting daemon 2: /opt/zapret/nfq/nfqws --user=nobody --dpi-desync-fwmark=0x40000000 --qnum=200 --dpi-desync=split2 --hostlist=/opt/zapret/ipset/zapret-hosts-user.txt --hostlist-exclude=/opt/zapret/ipset/zapret-hosts-user-exclude.txt
Starting daemon 10: /opt/zapret/nfq/nfqws --user=nobody --dpi-desync-fwmark=0x40000000 --qnum=210 --user=nobody --dpi-desync-fwmark=0x40000000 --dpi-desync=fake --dpi-desync-repeats=6 --hostlist=/opt/zapret/ipset/zapret-hosts-user.txt --hostlist-exclude=/opt/zapret/ipset/zapret-hosts-user-exclude.txt
Applying iptables
Creating ip list table (firewall type iptables)
setting high oom kill priority
reloading ipset backend (no-update)
Adding iptables rule for nfqws postrouting (qnum 200) : -p tcp -m multiport --dports 443 -m connbytes --connbytes-dir=original --connbytes-mode=packets --connbytes 1:6 -m mark ! --mark 0x40000000/0x40000000
iptables v1.4.21: Set nozapret doesn't exist.

Try `iptables -h' or 'iptables --help' for more information.
Adding iptables rule for nfqws input+forward (qnum 200) : -p tcp -m multiport --sports 443 -m connbytes --connbytes-dir=reply --connbytes-mode=packets --connbytes 1:1
iptables v1.4.21: Set nozapret doesn't exist.

Try `iptables -h' or 'iptables --help' for more information.
iptables v1.4.21: Set nozapret doesn't exist.

Try `iptables -h' or 'iptables --help' for more information.
Adding iptables rule for nfqws postrouting (qnum 210) : -p udp -m multiport --dports 443 -m connbytes --connbytes-dir=original --connbytes-mode=packets --connbytes 1:6 -m mark ! --mark 0x40000000/0x40000000
iptables v1.4.21: Set nozapret doesn't exist.

Try iptables -h' or 'iptables --help' for more information.

5 replies

PeterRunich Aug 6, 2024

Попробуйте запустить /opt/zapret/ipset/get_config.sh

filkint Aug 6, 2024

Да, выяснил что nfqws не стартует, tpws запускается:

# /opt/zapret/ipset/get_config.sh setting high oom kill priority clearing all known DNS caches DNS is working digging 6 ipv4 domains : /opt/zapret/ipset/zapret-hosts-user-exclude.txt mdig stats : 00:00:00 : domains=0 success=0 error=0 digging 0 ipv4 domains : /opt/zapret/ipset/zapret-hosts-user.txt mdig stats : 00:00:00 : domains=0 success=0 error=0 digging 0 ipv4 domains : /opt/zapret/ipset/zapret-hosts-user-ipban.txt mdig stats : 00:00:00 : domains=0 success=0 error=0 % Total % Received % Xferd Average Speed Time Time Time Current Dload Upload Total Spent Left Speed 100 415k 100 415k 0 0 668k 0 --:--:-- --:--:-- --:--:-- 851k setting high oom kill priority reloading ipset backend (forced-update) ipset v7.17: The set with the given name does not exist Adding to ipset zapret : /opt/zapret/ipset/zapret-ip.txt ipset v7.17: Error in line 1: The set with the given name does not exist Adding to ipset zapret : /opt/zapret/ipset/zapret-ip-user.txt ipset v7.17: Error in line 1: The set with the given name does not exist ipset v7.17: The set with the given name does not exist Adding to ipset ipban : /opt/zapret/ipset/zapret-ip-user-ipban.txt ipset v7.17: The set with the given name does not exist Adding to ipset nozapret : /opt/zapret/ipset/zapret-ip-exclude.txt ipset v7.17: Error in line 1: The set with the given name does not exist
Извиняюсь, не знаю как отформатировать текст.

Вот выхлоп tpws:
`~ # /opt/etc/init.d/S90-zapret restart
Stopping daemon 1: /opt/zapret/tpws/tpws
stopped /opt/zapret/tpws/tpws (pid 25831)
Clearing iptables
Deleting iptables rule for tpws (port 988) : -p tcp -m multiport --dports 443
Starting daemon 1: /opt/zapret/tpws/tpws --user=nobody --bind-addr=127.0.0.127 --port=988 --split-pos=2 --hostlist=/opt/zapret/ipset/zapret-hosts-user.txt --hostlist-exclude=/opt/zapret/ipset/zapret-hosts-user-exclude.txt
Applying iptables
Creating ip list table (firewall type iptables)
setting high oom kill priority
reloading ipset backend (no-update)
Adding iptables rule for tpws (port 988) : -p tcp -m multiport --dports 443
iptables v1.4.21: Set nozapret doesn't exist.

Try iptables -h' or 'iptables --help' for more information.
Но curl не проходит, нет передачи данных.

PeterRunich Aug 6, 2024

Насколько я понимаю, у вас почему-то не создалисть ipset-ы автоматически.

Могу предложить попробовать создать их вручную
ipset create zapret hash:net maxelem 522288 hashsize 262144
ipset create ipban hash:net maxelem 522288 hashsize 262144
ipset create nozapret hash:net maxelem 65536 hashsize 1024

Потом запустить.
/opt/zapret/ipset/create_ipset.sh
/opt/zapret/ipset/get_config.sh

После этого, по идеии, строка iptables v1.4.21: Set nozapret doesn't exist. уйдёт и nfqws, tpws смогут запуститься.

filkint Aug 7, 2024

Не получается:
~ # ipset create zapret hash:net maxelem 522288 hashsize 262144 ipset v7.17: Kernel error received: set type not supported ~ # ipset create ipban hash:net maxelem 522288 hashsize 262144 ipset v7.17: Kernel error received: set type not supported ~ # ipset create nozapret hash:net maxelem 65536 hashsize 1024 ipset v7.17: Kernel error received: set type not supported ~ # /opt/zapret/ipset/create_ipset.sh setting high oom kill priority reloading ipset backend (forced-update) ipset v7.17: The set with the given name does not exist Adding to ipset zapret : /opt/zapret/ipset/zapret-ip.txt ipset v7.17: Error in line 1: The set with the given name does not exist Adding to ipset zapret : /opt/zapret/ipset/zapret-ip-user.txt ipset v7.17: Error in line 1: The set with the given name does not exist ipset v7.17: The set with the given name does not exist Adding to ipset ipban : /opt/zapret/ipset/zapret-ip-user-ipban.txt ipset v7.17: The set with the given name does not exist Adding to ipset nozapret : /opt/zapret/ipset/zapret-ip-exclude.txt ipset v7.17: Error in line 1: The set with the given name does not exist ~ # /opt/zapret/ipset/get_config.sh setting high oom kill priority clearing all known DNS caches DNS is working digging 6 ipv4 domains : /opt/zapret/ipset/zapret-hosts-user-exclude.txt mdig stats : 00:00:00 : domains=0 success=0 error=0 digging 0 ipv4 domains : /opt/zapret/ipset/zapret-hosts-user.txt mdig stats : 00:00:00 : domains=0 success=0 error=0 digging 0 ipv4 domains : /opt/zapret/ipset/zapret-hosts-user-ipban.txt mdig stats : 00:00:00 : domains=0 success=0 error=0 % Total % Received % Xferd Average Speed Time Time Time Current Dload Upload Total Spent Left Speed 100 415k 100 415k 0 0 706k 0 --:--:-- --:--:-- --:--:-- 794k setting high oom kill priority reloading ipset backend (forced-update) ipset v7.17: The set with the given name does not exist Adding to ipset zapret : /opt/zapret/ipset/zapret-ip.txt ipset v7.17: Error in line 1: The set with the given name does not exist Adding to ipset zapret : /opt/zapret/ipset/zapret-ip-user.txt ipset v7.17: Error in line 1: The set with the given name does not exist ipset v7.17: The set with the given name does not exist Adding to ipset ipban : /opt/zapret/ipset/zapret-ip-user-ipban.txt ipset v7.17: The set with the given name does not exist Adding to ipset nozapret : /opt/zapret/ipset/zapret-ip-exclude.txt ipset v7.17: Error in line 1: The set with the given name does not exist

PeterRunich Aug 7, 2024

Попробуйте включить insmod /lib/modules/ваше_ядро/ip_set_list_set.ko и повторите снова.

Uzhasteg · 2024-08-07T06:50:55Z

Uzhasteg
Aug 7, 2024

Подскажите, пожалуйста, может у кого так же. Роутер Keenetic Ultra (1810). Поставил все по инструкции, все норм работает, открывает сайты. Беда именно с ютубом. А именно: если пытаюсь загрузить видео с устройства, которое подключено по проводу - загружается быстро, работает хорошо. Если устройство по Wi-Fi подключено(с телефона), то по прежнему грузит очень очень медленно, при этом сайты (инстаграм и т.п) открывает. Так же стоит туннель WireGuard, и ситуация такая же. Если устройство по проводу - все быстро, по вифи - не грузит. Было у кого так? Буду безумно благодарен решению.

2 replies

electrifying Aug 7, 2024

Было у кого так?

Заблокируйте порт udp 443

Uzhasteg Aug 7, 2024

Было у кого так?

Заблокируйте порт udp 443

Закрыл, ситуация не поменялась...

YaBrick · 2024-08-08T15:08:56Z

YaBrick
Aug 8, 2024

Здравствуйте. Прошу помочь по двум вопросам - Keenetic KN-2910, параметры установки такие:
firewall type: iptables
ipv6 support: no
mode: nfqws
options:
NFQWS_OPT_DESYNC="--dpi-desync=fake,disorder2 --dpi-desync-ttl=9 --dpi-desync-fooling=datanoack,md5sig"
NFQWS_OPT_DESYNC_HTTP=""
NFQWS_OPT_DESYNC_HTTPS=""
NFQWS_OPT_DESYNC_HTTP6=""
NFQWS_OPT_DESYNC_HTTPS6=""
NFQWS_OPT_DESYNC_QUIC="--dpi-desync=fake --dpi-desync-repeats=6"
NFQWS_OPT_DESYNC_QUIC6=""
WAN interface: ANY (я не знаю какой из интерфейсов нужно было выбрать, изначально выбрал eth3 так как больше всего RX трафика приходило на eth3, но при установке с ним у меня не генерировался основной скрипт /opt/zapret/init.d/zapret, поэтому я выбрал ANY)
enable http support: yes
enable keep alive support: yes
enable https support: yes
enable quic support: yes
filtering: none

Вопрос 1 - при вызове ./zapret start выдает данные значения:
Starting daemon 1: /opt/zapret/nfq/nfqws --user=nobody --dpi-desync-fwmark=0x40000000 --qnum=200 --dpi-desync=fake,disorder2 --dpi-desync-ttl=9 --dpi-desync-fooling=datanoack,md5sig
Starting daemon 10: /opt/zapret/nfq/nfqws --user=nobody --dpi-desync-fwmark=0x40000000 --qnum=210 --user=nobody --dpi-desync-fwmark=0x40000000 --dpi-desync=fake --dpi-desync-repeats=6
Applying iptables
Creating ip list table (firewall type iptables)
setting high oom kill priority
reloading ipset backend (no-update)
Adding iptables rule for nfqws postrouting (qnum 200) : -p tcp -m multiport --dports 80,443 -m connbytes --connbytes-dir=original --connbytes-mode=packets --connbytes 1:6 -m mark ! --mark 0x40000000/0x40000000
Adding iptables rule for nfqws input+forward (qnum 200) : -p tcp -m multiport --sports 80,443 -m connbytes --connbytes-dir=reply --connbytes-mode=packets --connbytes 1:1
Adding iptables rule for nfqws postrouting (qnum 210) : -p udp -m multiport --dports 443 -m connbytes --connbytes-dir=original --connbytes-mode=packets --connbytes 1:6 -m mark ! --mark 0x40000000/0x40000000

Как можно после этого проверить работоспособность zapret-a? Имеется для этого какой-то готовый инструмент внутри проекта, который я пропустил?

Вопрос 2 - при вызове blockcheck.sh выдает ошибку:
/opt/zapret/nfq/nfqws or /opt/zapret/tpws/tpws or /opt/zapret/mdig/mdig is not available. run "/opt/zapret/install_bin.sh" or make -C "/opt/zapret"
При установке бинарников результат не меняется, install_bin выполняется успешно. Что мешает запуску blockcheck? При этом до этого я смог корректно его запустить, но параметры установки и отличия при прошлой установке выделить не могу, помню только то что файл успешно запускался.

Прилагаю файл конфига. Буду благодарен за любую оказанную помощь. Спасибо автору проекта за полезный и открытый инструмент.
config.txt

7 replies

Rem-online Aug 9, 2024

Сделай ip -4 a и посмотри,

Здравствуйте, отвечу я, так как вместе пытаеся победить роутер, итак по вашей команде выдает вот что

~ # ip -4 a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
6: ezcfg0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc fq_codel qlen 1000
inet 78.47.125.180/32 brd 78.255.255.255 scope global ezcfg0
valid_lft forever preferred_lft forever
8: eth3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel qlen 2000
inet 192.168.100.3/24 brd 192.168.100.255 scope global eth3
valid_lft forever preferred_lft forever
30: lte_br0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue
inet 10.250.248.200/23 brd 10.250.249.255 scope global lte_br0
valid_lft forever preferred_lft forever
31: br0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue
inet 192.168.1.1/24 brd 192.168.1.255 scope global br0
valid_lft forever preferred_lft forever
32: br1: <BROADCAST,MULTICAST> mtu 1500 qdisc noqueue
inet 10.1.30.1/24 brd 10.1.30.255 scope global br1
valid_lft forever preferred_lft forever
Предпалагаю, так как Кинетик подцеплен к оптическому модему РТК то наш вариант это пункт 8 ethe 3
по второму пункту, бинарник в папке /opt/zapret/nfq/nfqws имеется.

DimetryBadcoder Aug 9, 2024

Как можно после этого проверить работоспособность zapret-a? Имеется для этого какой-то готовый инструмент внутри проекта, который я пропустил?

Встроенного инструмента нет. Сделай curl https://rutracker.org, если отдаёт 301 — значит работает.

Вопрос 2

А где лежит сам запрет? По пути /opt/zapret/nfq/nfqws есть бинарник или нет? Директория проекта должна лежать в /opt/.

Вопрос, который не задавался.

Интерфейс нужно выбрать тот, на котором у тебя провайдеровский айпишник. Сделай ip -4 a и посмотри, на каком ip не твоей сети. У меня это был eth2.2.

У меня curl ругается на то, что не может проверить сертификат.
Интересно, что все сайты грузятся, YouTube не тормозит, но вот с curl проблемы, он не хочет работать.
Т. е. не обновляются программы, которые его используют, а PotPlayer не воспроизводит внешние видео.

В чём может быть проблема?
С отключённым запретом всё ок

DimetryBadcoder Aug 9, 2024

Короче, решил не греть голову и пользоваться листом хостов)
Но PotPlayer всё равно некоторые видео не хочет открывать, которые открывает без zapret

azhinu Aug 9, 2024
Author

@Rem-online да, похоже на eth3.

@DimetryBadcoder
opkg install ca-certificates

YaBrick Aug 12, 2024

В общем мы успешно устали и вместо этого подняли XRay в Германии и туда подцепили роутер (есть утилита xkeen для быстрой настройки XRay на кинетике, очень советую), поэтому у меня продолжения здесь больше не будет. Благодарю за помощь

nightrider77 · 2024-08-17T19:18:04Z

nightrider77
Aug 17, 2024

Keenetic Peak (aarch64).
В логах
Opkg::Manager: /opt/etc/ndm/netfilter.d/000-zapret.sh: iptables: No chain/target/match by that name.
Но всё работает (обход).
По какой причине появляется эта строчка? Ровно каждые 10 минут.

6 replies

nightrider77 Aug 17, 2024

А содержимое /opt/etc/ndm/netfilter.d/000-zapret.sh?

#!/bin/sh
[ "$type" == "ip6tables" ] && exit 0
[ "$table" != "mangle" ] && exit 0
/opt/zapret/init.d/sysv/zapret restart-fw

azhinu Aug 18, 2024
Author

Во-первых, запуск /opt/zapret/init.d/sysv/zapret restart-fw выдаёт ошибку?

electrifying Aug 18, 2024

По какой причине появляется эта строчка?

Не установлены
Модули ядра подсистемы Netfilter

nightrider77 Aug 18, 2024

Во-первых, запуск /opt/zapret/init.d/sysv/zapret restart-fw выдаёт ошибку?

не выдаёт, и обход работает. в этом и проблема.
но пару дней назад роутер повис, ничего не открывалось, даже админка.
помог ребут.

nightrider77 Aug 18, 2024

По какой причине появляется эта строчка?
Не установлены Модули ядра подсистемы Netfilter

В этом пакете ключевые модули (xt_NFQUEUE.ko и другие), обход бы не завёлся, если бы этих модулей не было.

Gandalfpipe · 2024-08-23T10:49:48Z

Gandalfpipe
Aug 23, 2024

А есть ссылка на старую инструкцию по установке?

2 replies

electrifying Aug 25, 2024

Да, вот она которую все потом и скопировали
https://telegra.ph/Nastrojka-zapret-ot-bol-van-na-Keentic-04-27

Gandalfpipe Aug 26, 2024

Спасибо

nightrider77 · 2024-08-26T21:01:33Z

nightrider77
Aug 26, 2024

А ещё интересное поведение.
С badsum в параметрах не работают nic.ru и reg.ru
Решил попробовать md5sig.
Reg.ru заработал, nic.ru нет, и вдобавок nnm-club перестал работать.
Вернул badsum на место. Сделал рестарт сервиса.
И не заработало как было раньше. Помогла только перезагрузка роутера.
Возможно, кроме этого сервиса, нужно делать рестарт ещё чего-то?

1 reply

azhinu Aug 26, 2024
Author

Во-первых, мне кажется, это стоит обсуждать в другом треде.
Во-вторых, за работу запрета отвечают две сущности: программа nfqws и правила iptables. Различные параметры = различные аргументы запуска nfqws. При тесте настроек можно запускать nfqws ручками, тогда всё точно применится. Если параметры обхода не изменились, значит не было перезапуска nfqws.

Alexino1979 · 2024-08-28T18:20:23Z

Alexino1979
Aug 28, 2024

Приветствую, не могу установить модуль xt_multiport.ko на keenetic giga 2 прошивка Версия ОС
2.16.D.12.0-8
.Все пакеты установлены, но этого модуля нет в списке ,когда выводишь все компоненты в терминале . Может есть какие либо другие способы установить?

1 reply

azhinu Aug 28, 2024
Author

Модули устанавливаются только через веб интерфейс. Если такого пункта в веб интерфейсе нет, значит слишком старая прошивка.

Alexino1979 · 2024-08-29T04:50:35Z

Alexino1979
Aug 29, 2024

Наверное, новее для него нет, жаль.Спасибо. From: azhinu ***@***.*** Sent: Wednesday, August 28, 2024 11:39 PM To: bol-van/zapret ***@***.***> Cc: Alexino1979 ***@***.***>; Comment ***@***.***> Subject: Re: [bol-van/zapret] Запуск на Keenetic (Discussion #208) Модули устанавливаются только через веб интерфейс. Если такого пункта в веб интерфейсе нет, значит слишком старая прошивка. — Reply to this email directly, view it on GitHub <#208 (reply in thread)> , or unsubscribe <https://github.com/notifications/unsubscribe-auth/BK3L2IZ3SMRDGE64XILYRBLZTYYO3AVCNFSM6AAAAABL52UWAKVHI2DSMVQWIX3LMV43URDJONRXK43TNFXW4Q3PNVWWK3TUHMYTANBXHE3DQMA> . You are receiving this because you commented. <https://github.com/notifications/beacon/BK3L2I7R3EBEYJ2TR3LGTEDZTYYO3A5CNFSM6AAAAABL52UWAKWGG33NNVSW45C7OR4XAZNRIRUXGY3VONZWS33OINXW23LFNZ2KUY3PNVWWK3TUL5UWJTQAT7UEA.gif> Message ID: < ***@***.***> ***@***.***>

0 replies

nightrider77 · 2024-09-03T11:33:04Z

nightrider77
Sep 3, 2024

Kenetic Peak зависает с завидной регулярностью, раз в 2 недели.
При этом пропадает Wi-Fi точка доступа и Ethernet порты хоть и мигают, но данные не передают.
В истории лога после перезагрузки
ndnproxy: can't send answer to 192.168.1.1 via [4]: network unreachable.

1 reply

nightrider77 Sep 3, 2024

с утечкой памяти на кинетиках про которую писали не может быть связано?

Возможно.

Создал файл /opt/root/memwatcher.sh (chmod a+x не забудьте) и поставил задачу 0 * * * * root sh /opt/root/memwatcher.sh

#!/bin/sh

mem="`free -mo | awk '/Mem/ { print $4 }'`"

if [ $mem -lt "100000" ]
then
  echo "Check mem: $mem NOT ok, rebooting"
  reboot
else
  echo "Check mem: $mem OK"
fi

Понаблюдаю.

Alexino1979 · 2024-09-03T12:06:05Z

Alexino1979
Sep 3, 2024

Не могу сказать, пока думаю как на keenetic giga 2 запустить.Модуль xt_multiport.ko не подгружает, прошивка старая. From: eastone11 ***@***.*** Sent: Tuesday, September 3, 2024 2:52 PM To: bol-van/zapret ***@***.***> Cc: Alexino1979 ***@***.***>; Comment ***@***.***> Subject: Re: [bol-van/zapret] Запуск на Keenetic (Discussion #208) с утечкой памяти на кинетиках про которую писали не может быть связано? — Reply to this email directly, view it on GitHub <#208 (comment)> , or unsubscribe <https://github.com/notifications/unsubscribe-auth/BK3L2I2YHQJRRTQ7DEBFWFDZUWPF3AVCNFSM6AAAAABL52UWAKVHI2DSMVQWIX3LMV43URDJONRXK43TNFXW4Q3PNVWWK3TUHMYTANJTGEZDGNY> . You are receiving this because you commented. <https://github.com/notifications/beacon/BK3L2I646UIJK7NS6R42P2LZUWPF3A5CNFSM6AAAAABL52UWAKWGG33NNVSW45C7OR4XAZNRIRUXGY3VONZWS33OINXW23LFNZ2KUY3PNVWWK3TUL5UWJTQAUCY2K.gif> Message ID: < ***@***.***> ***@***.***>

0 replies

Miles1727 · 2024-09-19T06:33:27Z

Miles1727
Sep 19, 2024

А есть инструкция ? как через хост лист настроить алгоритм фильтрации:
Для Ютуба подходит способ NFQWS_OPT_DESYNC="--dpi-desync=split2"
А для всего другого например этот способ --dpi-desync=fake,disorder2 --dpi-desync-ttl=9 --dpi-desync-fooling=datanoack,md5sig

Не работает (--dpi-desync=split2 --dpi-desync-ttl=9 --dpi-desync-fooling=datanoack,md5sig)

2 replies

bol-van Sep 19, 2024
Maintainer

--dpi-desync=split2 --dpi-desync-ttl=9 --dpi-desync-fooling=datanoack,md5sig
--dpi-desync=split2
абсолютно идентичны. для split2 остальные параметры не применяются.

В последней версии
--dpi-desync=split2 --hostlist=/path/to/list-youtube.txt --new --dpi-desync=fake,disorder2 --dpi-desync-ttl=9 --dpi-desync-fooling=datanoack,md5sig

Miles1727 Sep 19, 2024

--dpi-desync=split2 --hostlist=/opt/zapret/list-youtube.txt --new --dpi-desync=fake,disorder2 --dpi-desync-ttl=9 --dpi-desync-fooling=datanoack,md5sig
Спасибо, сработало, Торренты тоже работают

YanusBeda · 2024-09-22T04:48:04Z

YanusBeda
Sep 22, 2024

https://habr.com/ru/articles/834826/ Рабочий и проверенный способ установки Zapret на Keenetic. Проверено на личном Keenetic Giga (KN-1010) и на Keenetic Giga 3. В статье есть несколько скриптов, проще их заранее на ПК сделать, а потом на роутер закинуть.

0 replies

TurboKirill · 2024-10-08T14:12:06Z

TurboKirill
Oct 8, 2024

У меня Кинетик Вива, первый раз когда ставил, тоже заморачивался с "установкой для Кинетика" прописывал там что-то и прочее, а потом сбросил роутер на дефолт, просто установил на него Entware по инструкции с сайта Кинетика и установил zapret просто по дефолту, подправив только свой порт и стратегии и всё работает, ничего специального не делал.

0 replies

M-A-M-B-A · 2024-10-16T09:43:42Z

M-A-M-B-A
Oct 16, 2024

Необходимо ли отключать "Аппаратный сетевой ускоритель"?

3 replies

bol-van Oct 16, 2024
Maintainer

Обязательно

TurboKirill Oct 16, 2024

Необходимо ли отключать "Аппаратный сетевой ускоритель"?

не влияет, и без него работает и с ним, кинетик вива

bol-van Oct 17, 2024
Maintainer

tpws будет работать, nfqws - вряд ли

NewUse · 2024-10-23T19:42:10Z

NewUse
Oct 23, 2024

Коллеги, ставлю на Keenetic Extra (KN-1711), кажется, не поддерживаемая архитектура, кто-то пересобирал под него?

/opt/zapret # ./install_bin.sh
x86_64 is NOT OK
x86 is NOT OK
aarch64 is NOT OK
arm is NOT OK
mips64r2-msb is NOT OK
mips32r1-lsb is NOT OK
mips32r1-msb is NOT OK
ppc is NOT OK
no compatible binaries found
/opt/zapret # uname -a
Linux Keenetic-7260 4.9-ndm-5 #0 Wed Oct 2 17:01:16 2024 mips GNU/Linux

судя по Google он на mt7628n, т.е. архитектура mips 24kec
в терминах опенврт:
mipsel_24kc

14 replies

M-A-M-B-A Oct 24, 2024

Не корректно!

~ # modprob
-sh: modprob: not found

Запускал через insmod /lib/modules/4.9-ndm-5/xt_NFQUEUE.ko

Решение: У вас, скорее всего не загрузились модули ядра для iptables. Используйте следующую команду для их загрузки:

modprob xt_multiport
modprob xt_connbytes
modprob xt_NFQUEUE

NewUse Oct 24, 2024

у тебя не правильная команда, правильно modprobe

NewUse Oct 24, 2024

@bol-van кинетика под рукой сегодня нет, а на openwrt 19 mipsel_24kc не воспроизвелось, завтра попробую на openwrt 23 aarch64 протестить руками, сорри, что дёрнул.

bol-van Oct 25, 2024
Maintainer

У меня несколько рутеров на mips с openwrt в распоряжении. Везде нормально.

M-A-M-B-A Oct 25, 2024

у тебя не правильная команда, правильно modprobe

Нет такой комманды

/opt/zapret # modprobe xt_NFQUEUE
-sh: modprobe: not found

Помогло следующее:

insmod /lib/modules/4.9-ndm-5/xt_multiport.ko
insmod /lib/modules/4.9-ndm-5/xt_connbytes.ko
insmod /lib/modules/4.9-ndm-5/xt_NFQUEUE.ko

MAD-BUG · 2024-10-27T16:23:40Z

MAD-BUG
Oct 27, 2024

На прошивке версии 4.2.1 при команде стоп стало вылезать
sysctl: error: 'net.ipv4.conf.br0' must be of the form name=value
sysctl: error: 'nwg0/route_localnet' is an unknown key

1 reply

MAD-BUG Oct 28, 2024

Дополню, что br0 у меня основной мост для локальных устройств, без изменений и nwg0 интерфейс Wireguard а одном экземпляре. Оба прописаны как LAN интерфейсы в конфиге

NewUse · 2024-10-27T18:06:34Z

NewUse
Oct 27, 2024

получаю странную ошибку:
iptables: error while loading shared libraries: /opt/lib/libiptext6.so: invalid ELF header

0 replies

sverh4elovek · 2024-10-30T08:26:58Z

sverh4elovek
Oct 30, 2024

Делюсь ссылкой, что мне помогло настроить zapret на Keenetic Extra (KN-1711).
Подробнейшая инструкция по установке zapret на Keenetic #200 (reply in thread) (там ссылки).
У меня youtube заработал с внесением в конфиг для NFQWS этого блока https://ntc.party/t/zapret-%D0%BE%D0%B1%D1%81%D1%83%D0%B6%D0%B4%D0%B5%D0%BD%D0%B8%D0%B5/726/1939

0 replies

sverh4elovek · 2024-11-09T11:03:42Z

sverh4elovek
Nov 9, 2024

Есть у кого опыт установки zapret на Keenetic'и на архитектуре aarch64 :
Peak (KN-2710), Ultra (KN-1811), Giga (KN-1012), Hopper (KN-3811) и Hopper SE (KN-3812)
Отпишитесь, есть ли какие нюансы?
До этого успешно установил zapter на Keenetic Extra (KN-1711) на архитектуре mipsel, и все завелось ... а тут на aarch64 чет на этапе установки траблы.

8 replies

sverh4elovek Nov 9, 2024

т.е. искать и собирать недостающие бинарники теперь надо самостоятельно, а ранее они были в релизе запрета получается ... если так то понял.

NewUse Nov 9, 2024

ты что, руками собираешь на кинетике? совсем с дубу рухнул? там в easy_install.txt есть ссылка на релиз, из которого можно вытянуть бинарники

sverh4elovek Nov 9, 2024

ты что, руками собираешь на кинетике? совсем с дубу рухнул? там в easy_install.txt есть ссылка на релиз, из которого можно вытянуть бинарники

ну да ... пытаюсь руками ...
буду примного благодарен если укажете местоположение этого easy_install.txt ... перерыл https://github.com/bol-van/zapret так и не нашел

sverh4elovek Nov 9, 2024

видимо имелось ввиду это docs/quick_start.md изучаю.

sverh4elovek Nov 9, 2024

В общем затупил ... я установку проводил начал проводить из архива zapret-master ... в общем как обычно не изучил мануал. Все пошло, настраиваю дальше. Всем спасибо.

M-A-M-B-A · 2024-11-21T19:29:01Z

M-A-M-B-A
Nov 21, 2024

Хотелось бы переработать скрипт для загрузки модулей. Текущая версия не рабочая.

#208 (reply in thread)

insmod /lib/modules/4.9-ndm-5/xt_multiport.ko
insmod /lib/modules/4.9-ndm-5/xt_connbytes.ko
insmod /lib/modules/4.9-ndm-5/xt_NFQUEUE.ko

10 replies

unter223 Nov 22, 2024

Пропишите команды загрузки модулей прямо в файл zapret в функции do_start() в \zapret\init.d\sysv. У меня та же проблема, решил таким костылем

do_start()
{
	insmod /lib/modules/4.9-ndm-5/xt_multiport.ko
	insmod /lib/modules/4.9-ndm-5/xt_connbytes.ko
	insmod /lib/modules/4.9-ndm-5/xt_NFQUEUE.ko
	zapret_run_daemons
	[ "$INIT_APPLY_FW" != "1" ] || { zapret_apply_firewall; }
}

IndeecFOX Nov 22, 2024

Пропишите команды загрузки модулей прямо в файл zapret в функции do_start() в \zapret\init.d\sysv. У меня та же проблема, решил таким костылем

Перепроверил, да, тоже костыль этот делал, забыл про него уже))
С ним работает стабильно)

M-A-M-B-A Nov 22, 2024

Пропишите команды загрузки модулей прямо в файл zapret в функции do_start() в \zapret\init.d\sysv. У меня та же проблема, решил таким костылем
do_start()
{
	insmod /lib/modules/4.9-ndm-5/xt_multiport.ko
	insmod /lib/modules/4.9-ndm-5/xt_connbytes.ko
	insmod /lib/modules/4.9-ndm-5/xt_NFQUEUE.ko
	zapret_run_daemons
	[ "$INIT_APPLY_FW" != "1" ] || { zapret_apply_firewall; }
}

Так работает.

M-A-M-B-A Nov 26, 2024

Кто может проверить данный скрипт запуска модулей?
https://habr.com/ru/articles/834826

IndeecFOX Nov 26, 2024

Кто может проверить данный скрипт запуска модулей?

@M-A-M-B-A
Это тоже самое что выше просто с проверками и логами. Всё работает у меня. Инструкция полностью рабочая, автор поддерживает её актуальной.

M-A-M-B-A · 2024-11-27T08:55:32Z

M-A-M-B-A
Nov 27, 2024

Требуется ли скрипт отключения проверки контрольной суммы пакетов?
vi /opt/etc/init.d/S00fix

#!/bin/sh
start() {
    sysctl -w net.netfilter.nf_conntrack_checksum=0 &> /dev/null
}
stop() {
    sysctl -w net.netfilter.nf_conntrack_checksum=1 &> /dev/null
}
case "$1" in
    'start')
        start
        ;;
    'stop')
        stop
        ;;
    *)
        stop
        start
        ;;
esac
exit 0

1 reply

electrifying Nov 27, 2024

Да

uzz008 · 2024-11-28T15:44:56Z

uzz008
Nov 28, 2024

Установил 69.2 на kn-1913, на рррое все работает все грузит. Если переделываю Инет на DHCP и подключаю в настроенный роутер в LAN YT не грузит, туда видео загружает, но не кажет. В настройках, естественно меняю ррp0 на eth3. Подскажите как сделать чтобы работал в такой схеме. Первый роутер РТ на оптике, его не поменять, так что приходится так извращаться, на РТ роутере пробовал прописывать DNS вручную на гугль - не помогло.

3 replies

NewUse Nov 28, 2024

doh и dot настрой в первую очередь и установи игнорировать днс от провайдера

uzz008 Nov 28, 2024

doh и dot настрой в первую очередь и установи игнорировать днс от провайдера

это всё сделано сразу,
еще раз: на рррое всё работает всё грузит всё показывает.

NewUse Nov 28, 2024

пробовал искать стратегии?
они могут отличаться

azhinu · 2024-12-05T15:13:27Z

azhinu
Dec 5, 2024
Author

Я тут столкнулась с тем, что nfqws падает периодически. Нужно чем-то за ним следить и поднимать.

12 replies

azhinu Dec 5, 2024
Author

Вот последние строки дебаг лога:

IP4: 192.168.0.112 => 5.255.98.22 proto=tcp ttl=63 sport=58958 dport=443 flags=S seq=1128600818 ack_seq=0
desync profile search for tcp target=5.255.98.22:443 l7proto=unknown hostname=''
desync profile 1 matches
packet: id=3683 pass unmodified
packet: id=3684 len=64 mark=00000000
IP4: 192.168.0.112 => 5.255.98.22 proto=tcp ttl=63 sport=58959 dport=443 flags=S seq=584627828 ack_seq=0
desync profile search for tcp target=5.255.98.22:443 l7proto=unknown hostname=''
desync profile 1 matches
packet: id=3684 pass unmodified
packet: id=3685 len=64 mark=00000000
IP4: 192.168.0.112 => 5.255.98.22 proto=tcp ttl=63 sport=58960 dport=443 flags=S seq=604231380 ack_seq=0
desync profile search for tcp target=5.255.98.22:443 l7proto=unknown hostname=''
desync profile 1 matches
packet: id=3685 pass unmodified
packet: id=3686 len=64 mark=00000000
IP4: 192.168.0.112 => 5.255.98.22 proto=tcp ttl=63 sport=58961 dport=443 flags=S seq=2392520258 ack_seq=0
desync profile search for tcp target=5.255.98.22:443 l7proto=unknown hostname=''
desync profile 1 matches
packet: id=3686 pass unmodified
closing library handle

bol-van Dec 5, 2024
Maintainer

Куда писался лог ? Такое ощущение, что там кончилось место на диске.

Вот кусок кода, который выводит "closing library handle".

	DLOG_CONDUP("unbinding from queue %u\n", params.qnum);
	nfq_destroy_queue(qh);

#ifdef INSANE
	/* normally, applications SHOULD NOT issue this command, since
	 * it detaches other programs/sockets from AF_INET, too ! */
	DLOG_CONDUP("unbinding from AF_INET\n");
	nfq_unbind_pf(h, AF_INET);
#endif

	DLOG_CONDUP("closing library handle\n");
	nfq_close(h);
	return 0;

Перед ним точно такой же вызов с "unbinding from queue", но сообщения в логе нет.
Там единственный вариант, когда запись в лог может не сработать, связан с ошибкой открытия файла лога.

А принципиально важны сообщения здесь , но их нет

	do
	{
		while ((rv = recv(fd, buf, sizeof(buf), 0)) > 0)
		{
			int r = nfq_handle_packet(h, (char *)buf, rv);
			if (r) DLOG_ERR("nfq_handle_packet error %d\n", r);
		}
		DLOG_ERR("recv: errno %d\n",errno);
		DLOG_PERROR("recv");
		// do not fail on ENOBUFS
	} while(errno==ENOBUFS);

	DLOG_CONDUP("unbinding from queue %u\n", params.qnum);
	nfq_destroy_queue(qh);

azhinu Dec 5, 2024
Author

Куда писался лог ? Такое ощущение, что там кончилось место на диске.

На почти пустую 8гб флешку. Места там точно хватало.

bol-van Dec 5, 2024
Maintainer

Надо попробовать в консоль логить --debug без параметров
Может там выведет. По коду оно не может не вывести

В смысле запустить nfqws вне скрипта руками из консоли

azhinu Dec 5, 2024
Author

Очень странная фигня: когда запустила в консоли не падает. Уже 4 часа не падает. Хотя, когда запускаю скриптом, падает через полчаса-час.

Запуск на Keenetic #208

Replies: 26 comments · 115 replies

azhinu Nov 28, 2024 Author

azhinu Aug 5, 2024 Author

bol-van Aug 6, 2024 Maintainer

bol-van Aug 13, 2024 Maintainer

azhinu Aug 9, 2024 Author

azhinu Aug 18, 2024 Author

azhinu Aug 26, 2024 Author

azhinu Aug 28, 2024 Author

bol-van Sep 19, 2024 Maintainer

bol-van Oct 16, 2024 Maintainer

bol-van Oct 17, 2024 Maintainer

Replies: 26 comments 115 replies

azhinu Nov 28, 2024
Author

azhinu
Aug 5, 2024
Author

bol-van Aug 6, 2024
Maintainer

bol-van Aug 13, 2024
Maintainer

azhinu Aug 9, 2024
Author

azhinu Aug 18, 2024
Author

azhinu Aug 26, 2024
Author

azhinu Aug 28, 2024
Author

bol-van Sep 19, 2024
Maintainer

bol-van Oct 16, 2024
Maintainer

bol-van Oct 17, 2024
Maintainer