Zapret + Xray

[Churs82]

Есть сервер на убунту, на нем в докере крутится xray . Как завернуть его исходящий трафик на Zapret. Локально блокчек при включенном zapret говорит, что все доступно. Ютуб на этой самой машине работает. А трафик выходящий из xray в докере видимо не обрабатывается, ютуб зависает на удаленных клиентах. Используется ipset , iptables, nfqws на всех интерфейсах.

[Churs82]

Может кому будет интересно. Сделал через дополнительный tpws socks . В x-ray сделал правило заворачивающее на прокси tpws на host-машине. А на хосте запускаю одновременно nfqws ipset iptables и tpws добавленный в кастомный скрипт запуска.
Дело в том, что docker не умеет делать себе nat и всяческие перенаправления через nftables , а заворачивания трафика с nat возможно только в нем. Поэтому и пришлось гнать исходящий трафик с x-ray через прокси, а не через nat. Tpws в моем случае не делает с трафиком ничего, просто пропускает все через себя. А уже nfqws после него преобразовывает пакеты по списку обманывая dpi . Можно было бы использовать любой другой socks-proxy, но tpws уже есть в комплекте, он маленький и простой.

[bol-van]

Должно быть проблема в network namespace.
network namespace можно считать отдельным пара-виртуальным хостом. Как другая система, доступная по сети.
Соответственно, придется делать все, как если бы дело было с другим хостом.
Всякие маршруты, рулесы, sysctl, таблесы и прочее.
Может так получиться, что борьба с докером обесценит его преимущества.
zapret - достаточно нетребовательная штука. Его легко поднять и без докера.
xray написан на go. Он собирается без особых зависимостей. Ему тоже докер не особо нужен

[Churs82]

Zapret не в докере, а на хостовой машине. В докере xray просто потому, что так удобнее. В контейнере уже все скомпилировано, настроено, разложено по папкам. Можно не лазить в консоль вообще, вэб-интерфейс 3x-ui доступен сразу после запуска контейнера. Вся проблема, что из докера наружу xray лезет через нат iptables, который для него докер прописывает сам. А из этого ната нельзя завернуть трафик на nfqws, как и написано в вашей инструкции. Переводить все на nftables и учить докер с ним взаимодействовать не охота. Гораздо проще оставить все как есть, но прогонять трафик из xray не через нат, а через socks-прокси на хостовой машине, после которого трафик идет как сгенерированный на хосте и попадает в nfqws, где к нему применяются стратегии --dpi-desync , работает autohostlist и т.д.
Таким образом в моем случае настройка выглядит так:

1. Скачать zapret положить в папку /opt/zapret Поставить недостающие пакеты при помощи прилагаемых к zapret скриптов .
2. Выяснить подходящую стратегию с помощью blockcheck.sh или найти здесь в обсуждениях .
3. Установить службу zapret при помощи install_easy.sh Выбрать в нем iptables, nfqws , вписать стратегию .
4. Добавить в скрипт запуска запуск tpws на желаемом порту и ip сетевого интерфейса докера. Ему никаких действий с пакетами делать не надо.
5. Скачать образ 3x-ui для докера и запустить его.
6. В вэб-интерфейсе 3x-ui пункте Настройки X-ray создать исходящий тег типа socks и указать в нем порт и ip прокси из пункта4.
7. Там же создать правило маршрутизации с параметром Outbound Tag равным тегу из 6 пункта. Можно весь трафик туда направлять, можно вписать что-то типа geosite:google для ютуба.
8. В общем-то все. Дальше можно создавать клиентские подключения и раздавать ссылки и qr-коды клиентским устройствам.

На андроидах у меня стоят nekkobox, на телевизорах v2rayNG на виндах invisible man . Роутеров на OpenWrt не напасешься, и на дачу, и родителям в деревню и т.д. На каждом устройстве городить зоопарк goodbyedpi под каждого провайдера, да еще и менять постоянно надоело. Сторонние vpn тоже то протокол заблочат, то сам впн загнется, то ключи менять надо каждые 3 дня.

[bol-van]

Вся проблема, что из докера наружу xray лезет через нат iptables, который для него докер прописывает сам. А из этого ната нельзя завернуть трафик на nfqws, как и написано в вашей инструкции.

Вообще на nfqws пакеты обычно на выходе в инет завертываются, и ему пофиг откуда они произошли.
Таблес завертывания надо делать в корневом неймспейсе, а не в докере.
Тогда для трафика с самой системы это будет OUTPUT, а с докера - FORWARD. Но nfqws висит на POSTROUTING, так что он в обоих случаях должен схватить трафик.
В nftables скрипты используют режим postnat, где трафик завертывается уже совсем близко к выходу, когда NAT уже сделан.
В iptables это невозможно, но это лишь поломает некоторые специфические стратегии. Такие, как fooling=datanoack
А в целом nfqws в режиме роутера работает на старых openwrt с iptables. С этим не должно быть проблем