Zapret on rooted Android devices | Zapret на рутированных Android устройствах

[Tula-gingerbread]

Привет! | Hello!

Что насчёт zapret на рутированных Android? Понятное дело, что с iptables не побалуешься без рута и всё такое. Думаю, что будет проще всего реализовать это с помощью модуля Magisk (так как он управляет сервисом), хотя наверняка есть и другие методы.

Бинари под aarch64 есть, iptables (или даже nftables?) на Android присутствуют с завода, NFQUEUE тоже есть (хотя не уверен, что на всех устройствах).

Я бы сам попытался, но не хочу получить кирпич из телефона, всё-таки хотелось бы это доверить более опытным в этом вопросе людям.

What about the zapret on rooted Android? It's clear that you can't play around with iptables without root and all that. I think the easiest way to implement this would be through the Magisk module (since it manages the service), although there are probably other methods as well.

There are binaries for aarch64, iptables (or even nftables?) are present on Android by default, and NFQUEUE is also available (though I'm not sure if it's on all devices).

I would try it myself, but I don't want to brick my phone; I would prefer to leave this to people who are more experienced in this matter.

******:/ # iptables -V                                                                                                                                                                       
iptables v1.8.7 (legacy)
******:/ # nft -V
/system/bin/sh: nft: inaccessible or not found
******:/ # cat /proc/net/ip_tables_targets | grep NFQUEUE                                                                                                                                    
NFQUEUE
NFQUEUE
NFQUEUE
NFQUEUE

[rolliebae]

Привет!

На рутированных устройствах Android действительно можно настроить фильтрацию трафика через iptables, и использование NFQUEUE для перехвата и обработки пакетов — это вполне рабочая идея. Однако, как ты правильно заметил, есть несколько нюансов, на которые стоит обратить внимание.

Основные моменты для реализации:

1. Рут-доступ и Magisk:
   Поскольку ты уже упомянул Magisk, это действительно один из самых удобных способов получить рут-доступ на Android и управлять системными компонентами, при этом сохраняя возможность проходить SafetyNet (если это важно). Magisk позволяет устанавливать модули, которые могут модифицировать сетевые настройки, в том числе iptables.

2. iptables vs nftables:
   На большинстве Android-устройств по умолчанию используется iptables (как ты и указал — версии 1.8.7 в legacy-режиме). nftables хотя и является более современной заменой iptables в Linux, на Android встречается реже и требует дополнительной настройки. Если iptables доступен, лучше использовать его — это проверенный и стабильный инструмент для таких задач.

3. NFQUEUE:
   Поскольку ты нашёл поддержку NFQUEUE в /proc/net/ip_tables_targets, это означает, что ядро устройства поддерживает данный механизм. NFQUEUE позволяет направить пакеты в пространство пользователя для более сложной обработки, например, через программу, которая будет решать, пропускать ли пакет или нет.

4. Бинарники под aarch64:
   Если ты уже подготовил необходимые бинарники под архитектуру ARM64, это очень хорошо. Важно убедиться, что они правильно скомпилированы для Android и что все зависимости учтены (например, библиотеки для работы с сетевыми стеком).

Возможный план действий:

1. Создание Magisk-модуля:
   Ты можешь создать модуль Magisk, который будет выполнять следующие действия:

   • Устанавливать нужные бинарники (например, iptables и программу для работы с NFQUEUE).
   • Настраивать правила iptables для перенаправления пакетов в NFQUEUE.
   • Запускать пользовательское приложение или скрипт, который будет обрабатывать пакеты (например, для блокировки определённых сайтов или протоколов).

   Пример базового скрипта для Magisk:

   #!/system/bin/sh
   
   # Пример правила iptables для перенаправления пакетов в NFQUEUE
   iptables -I INPUT -j NFQUEUE --queue-num 0
   iptables -I OUTPUT -j NFQUEUE --queue-num 0
   
   # Запуск программы для обработки пакетов в очереди
   /data/adb/modules/your_module/your_binary --queue-num 0

2. Обработка пакетов:
   Для обработки пакетов тебе нужно написать программу, которая будет работать с NFQUEUE. Это можно сделать на C/C++ с использованием библиотеки libnetfilter_queue или на Python с использованием модуля nfqueue-bindings. Пример на Python:

   import nfqueue
   from scapy.all import *
   
   def process_packet(payload):
       data = payload.get_data()
       pkt = IP(data)
       print(f"Packet received: {pkt.summary()}")
   
       # Например, блокировка пакетов с определённым IP
       if pkt.src == "1.2.3.4":
           print("Dropping packet")
           payload.set_verdict(nfqueue.NF_DROP)
       else:
           payload.set_verdict(nfqueue.NF_ACCEPT)
   
   q = nfqueue.queue()
   q.open()
   q.bind(socket.AF_INET)
   q.set_callback(process_packet)
   q.create_queue(0)
   
   try:
       q.try_run()
   except KeyboardInterrupt:
       q.unbind(socket.AF_INET)
       q.close()

3. Отладка и тестирование:
   Обязательно протестируй свою реализацию на тестовом устройстве или в эмуляторе. Важно убедиться, что система работает стабильно и без сбоев. Используй логи, чтобы отслеживать, как обрабатываются пакеты и нет ли потерь трафика.

[bol-van]

Это чатгпт написал ?

[spvkgn]

Как пример подобного magisk-модуля https://github.com/cyborg-one/nfqttl

[bol-van]

Тут вариантов полно.
У меня это сделано через /system/etc/init.d. Оттуда запускаю в том числе и скрипт, поднимающий zapret.
Для этого ничего особо не надо. Бизибокс желателен.

Если нужен блокчек - с этим посложнее. Пользуюсь минимальным alpine linux chroot-ом с legacy iptables. Работает.

Для удобства имею openssh , запускаемый так же из init.d

У magisk есть и своя .d директория для автозапуска в /data/adb/service.d

[ghost]

Можно пожалуйста для особо тупых инструкцию для андроида, чтобы параметры были +- как в бандле для винды (в т.ч. с использованием текстовых файлов)? рут есть, кастомная прошивка есть, бусибокс есть, термух есть. Если будет требоваться ввод прокси, то есть адгард для этого

[HvTcCore]

Автор, можешь свой бинарник iptables скинуть? У тебя версия поновее

[Fenrir-0xFF]

Есть же готовый скрипт под андроид #872
Устанавливается как через TWRP так и через Magisk, автоматически чекает iptables, т.к. на официальных прошивках они зачястую урезанные.
Также можно его на OpenWRT ставить и роутеры с другими прошивками если у них есть поддержка NFQUEUE
Официальные скрипты на Андроиде не робят даже на LineageOS, т.к. на ведре всё урезанное, сразу кучю ошибок выдают даже не доходя до запуска nfqws

Чёто первые сообщения какието странные на всякий случяй на инглише продублирую
This script for running zapret/nfqws on Android #872
Can be installed with TWRP or Magisk

All decync config in script file dpi:

###################
#Desync config 
DesyncHTTP=
...
DesyncHTTPS=
DesyncQUIC=


or NFQWS_OPT=

Auto hostlist default path InternalMemory/Android/DPI_list.txt

Если нужен блокчек - с этим посложнее.

Его для ведра на следующей неделе постараюсь сделать, там на данный момент есть простенький бета аналог блокчека dpitest
Как выяснилось curl на многих прошивках присутствует но не распознаёт dns, ктомуже на некоторых девайсах он урезанный.
У себя создал файл /etc/resolv.conf вроде стал распознавать, на Magisk'е не тестил, адреса dns для него можно вытащить из getprop | grep dns + дополнительно напихать всяких 8.8.8.8