Denis P

Это значит слабый пароль у пользователя admin, нужно сменить на более сложный (теперь такие требования) и всё заработает

конечно, можно и так, вопрос был именно про opkg object-group fqdn и о том с чем его "едят"

еще с 4.3, её функционал разобран довольно детально, складывает в ipset адреса, так же как и в 5.0, но без включения "роутинга" как раз в случае, если мы собрались рулить им через opkg.

не поможет, потому что -A PREROUTING -m mark --mark 0x0 -j _NDM_DNSRT_PREROUTING_MANGLE да и метки там динамические с таблицами

технически - да, но о подобных ограничениях разработчики упоминали еще в 4.3, когда только часть функционала была реализована

Потому что в политиках обращение идет не к 53 порту, а заворот на другие, системные порты

пишем в cli show netfilter изучаем )

запросы исходящие от клиентов, а не от самого роутера, plaintext не блокировать а заворачивать на свой резолвер. + блок dot и популярных doh.

пока что он есть только для 4110 и на английском языке https://storage.googleapis.com/docs.help.keenetic.com/cli/5.0/en/cli_manual_kn-4110.pdf

@Le ecureuil просьба добавить эти подсети https://core.telegram.org/resources/cidr.txt в ntce.json к телеге, в данный момент блок по приложению не работает бан вышеуказанных подсетей в МСЭ дает положительный результат

Как же нет, если вы её не показываете?

т.е. роутеры пиры должны следовать правилам dns маршрутизации и кинетик выступает в качестве dns сервера на них? пока что к схеме вопросы возникают)

Так это вы сейчас про статикроуты, а тема то про новую фичу из 5.0

этим клиентам точно назначена политика по умолчанию?

установите версию 5.0 и компонент wireguard server, там всё упрощено максимально