Denis P
-
Постов
1 371 -
Зарегистрирован
-
Победитель дней
23
Тип контента
Профили
Форумы
Галерея
Загрузки
Блоги
События
Сообщения, опубликованные Denis P
-
-
2 часа назад, myazykov сказал:
Есть Giga на Beta 1. Есть AWG подключение.
как можно задавать приоритеты/сегменты подключений подключенным из внешней сети через VPN устройствам? Во внутренней сети можешь любому устройству назначить любой приоритет. При подключении к роутеру по VPN всегда приоритет - по умолчанию Обсуждалось, что можно обойти через сегмент. Можно, но сегмент задается на все VPN подключение (У меня работает WG сервер и IKEv2). Хочется в рамках одного VPN подключения назначать разные сегменты в зависимости от устройства/подключения.
Для чего? В определенных сценариях для совершения, например, звонка, надо чтобы весь трафик ушел в туннель. Но 99% времени нужна просто маршрутизация по DNS через стандартный приоритетиз коробки такой возможности нет, через entware можно например вот так
ip rule add from 192.168.98.10 table 4096
номер таблицы смотреть в show ip policy -
21 минуту назад, Viktor. сказал:
Могу предложить только свою реализацю, т.к. последняя актуальная здесь лично у меня 100% ломала удаленный доступ к роутеру и пропускала IP адреса через CG-NAT. Проверял только на имеющимся роутере Hopper в течении месяца стабильно работает, выдает разные белые IP и ошибки не сыпал.
ваш скрипт в принципе не может быть рабочим, конкретно
ndmcli connection PPPoE0 disconnect sleep 5 ndmcli connection PPPoE0 connect sleep 15 ndmcli service keenetic-cloud restartndmcli не существует в природе как и service keenetic-cloud restart
-
1
-
-
22 часа назад, Greg6542 сказал:
В AdGuard Home можно задать разные DNS для разных адресов.
https://github.com/AdguardTeam/AdGuardHome/wiki/Configuration#upstreams-for-domains
именно то, на что вы ссылаетесь, есть из коробки уже много много лет, см. поле "домен" при добавлении сервера
у ТСа реквест совсем о другом-
2
-
-
2 минуты назад, Fat32alist сказал:
Абсолютно согласен. НО в моей ситуации попытки handshake для пиров, которые неактивны и более чем 10 минут происходят. В этом и суть
вы у пиров на сервере keepalive не проставили случайно?
-
2 часа назад, Fat32alist сказал:
Это конечно спасибо, но разве нормально со стороны сервера ожидать handshake после того как пир помечен как неактивный?
ADD Команда system log suppress wireguard абсолютно никак не повлияла на журналпир помечается как не активный только примерно через 2 минуты - это специфика вг (не конкретно у кинетика)
а команда конечно же не повлияла, я вам дал ссылку на тему в разделе "развитие". Фича, увы, не реализована -
-
2 часа назад, slydiman сказал:
Невозможность выставить trunk на портах экстендера в mesh - тоже очень серьезная проблема.
Здрасьте приехали, они по дефолту транками и являются
-
1 час назад, vasek00 сказал:
А это
[W] May 16 18:43:53 dropbear[9440]: Bad password attempt for 'root' from 92.118.228.251:55038 [I] May 16 18:43:54 dropbear[9440]: Exit before auth from <92.118.228.251:55038>: (user 'root', 1 fails): Exited normally [I] May 16 18:44:25 dropbear[9455]: Child connection from 92.118.228.251:48118 [W] May 16 18:44:26 dropbear[9455]: Bad password attempt for 'root' from 92.118.228.251:48118 [I] May 16 18:44:34 dropbear[9455]: Exit before auth from <92.118.228.251:48118>: (user 'root', 1 fails): Exited normally [I] May 16 18:45:04 dropbear[9461]: Child connection from 92.118.228.251:56234 [W] May 16 18:45:05 dropbear[9461]: Login attempt for nonexistent user from 92.118.228.251:56234 [I] May 16 18:45:06 dropbear[9461]: Exit before auth from <92.118.228.251:56234>: Exited normallyограничен через межсетевой экран
Не покажите где данный порт (по умолчанию он 222) от службы Entware-dropbear ограничен в межсетевом.
По умолчанию заблокировано всё, что не разрешено (кроме исключений приведенных выше, там будут в том числе и vpn сервера), вероятно вы сами открыли доступ.
Изучайте правила вашего межсетевого экрана, возможно что-то упустили.
По вашей логике все порты в кинетике открыты, если их ручками не закрыть. -
2 часа назад, vasek00 сказал:
Странно, что на разных.
Можете показать как это происходит, что он недоступен.
~ # netstat -ntulp | grep dropb tcp 0 0 0.0.0.0:2PORT2 0.0.0.0:* LISTEN 1052/dropbear tcp 0 0 0.0.0.0:KeenPORT 0.0.0.0:* LISTEN 1282/dropbear tcp 0 0 :::2PORT2 :::* LISTEN 1052/dropbear tcp 0 0 :::KeenPORT :::* LISTEN 1282/dropbear ~ # ps | grep drop 1052 root 2636 S /opt/sbin/dropbear -p 2PORT2 -P /var/run/dropbear/dropbear.pid 1282 root 5312 S /usr/sbin/dropbearпока вижу это, 2PORT2 этот из Entware, что так же упомянутые в логе записи которые выше.
Я просто сделал то же самое что и для родного
SSH_IN -p tcp -m tcp --dport KeenPORT -m set --match-set _NDM_BFD_SSH4 src --return-nomatch ! --update-counters ! --update-subcounters -j DROP SSH_OUT -p tcp -m tcp --sport KeenPORT -m set --match-set _NDM_BFD_SSH4 dst --return-nomatch ! --update-counters ! --update-subcounters -j DROPдля прошивочного
SSH_IN -p tcp -m tcp --dport 2PORT2 -m set --match-set _NDM_BFD_SSH4 src --return-nomatch ! --update-counters ! --update-subcounters -j DROP SSH_OUT -p tcp -m tcp --sport 2PORT2 -m set --match-set _NDM_BFD_SSH4 dst --return-nomatch ! --update-counters ! --update-subcounters -j DROPдля dropbear из Entware сделал так же, хотя из WEB можно по проще
-p tcp -m tcp --dport 2PORT2 -j ACCEPTв iptables в таблице filter есть целая цепочка, _NDM_IP_PUBLIC, в которой прекрасно видно какие порты у нас разрешены для доступа "снаружи"
то что сервис "слушает" совсем не означает что доступ к нему не ограничен через межсетевой экран
там же, в filter можно найти пользовательские правила, например разрешенный icmp снаружи выглядит таким образом
-A @GigabitEthernet1 -p icmp -j ACCEPT -
15 часов назад, vasek00 сказал:
Не расскажите как сервис 1052 по умолчанию заблокирован
1052 root 2636 S /opt/sbin/dropbear -p ХХХХХ -P /var/run/dropbear/dropbear.pid 1282 root 5312 S /usr/sbin/dropbearПример выше как то не говорит об этом.
О какой слежке речь, если тема "Добавить возможность в WEB установку security-level/lockout-policy".
есть ощущение что мы разговариваем с вами на разных языках. Попробую расставить все точки над "ё"
dropbear от entware недоступен из интернетов по умолчанию.
Вы просите реализовать lockout-policy для службы из entware, верно? -
8 минут назад, Racer X сказал:
Ибо галка запрета транзита блокирует только обычный открытый DNS по 53 порту
нет, именно блокирует DoT и DoH (популярные). Редиректит 53.
-
3 часа назад, vasek00 сказал:
2. просто заблокировать данный порт 222 (так как он в conf при установке) через WEB
Он по умолчанию и так заблокирован, по этому и остальные аргументы довольно странные.
Следить за службами/портами в opkg из ndms так себе затея, учитывая что пользователь развернуть там может практически что угодно. -
8 часов назад, Serbernar сказал:
inflating "aarch64-installer.tar.gz".
Архив не для вашей модели.
-
1
-
-
22 минуты назад, hoaxisr сказал:
Он "однозначно" выключается через невообразимо долгое время. Т.е. до статуса "административно" down проходит куча времени. А вот статус "failed" от pingcheck вообще не влияет на работу этой функции, даже когда failedcount>установленного в профиле pingcheck. Можете проверить самостоятельно, в ТП об этом писал, но обратного гудка не слышно и вера потеряна.
Рекомендовать использовать этот функционал я бы точно не стал. Особенно в свете наличия сторонних решений, умеющих делать не тупое наполнение ipset от резолва, а сравнивать SNI и IP и маршрутизировать избирательно даже сервисы за CDN.
Вы проверяли с
interface X ping-check restart
?
Фокус то именно в этом...
-
17 минут назад, hoaxisr сказал:
Заявленный функционал fallback для fqdn как не работал, так и не работает.
А тут момент, все зависит от типа интерфейса. Например если речь о вг, нужно повесить на него пинг чек, чтобы интерфейс однозначно отключался при недоступности пира
-
1 час назад, vincome сказал:
Маршрутизация по ДНС сейчас автоматически использует маркер политики по умолчанию.
Наоборот, проверяет нет ли метки и только в этом случае переходит к нужной цепочке
-A PREROUTING -m mark --mark 0x0 -j _NDM_DNSRT_PREROUTING_MANGLE
При наличии entware эта проверка убирается довольно просто и правила начинают работать в других политиках. Вероятно в 5.2 это и будет сделано, но это не точно
-
В 29.04.2026 в 13:18, JohnDoe27 сказал:
Поломали dropbear на последнем обновлении, так же как и busybox:
opkg install dropbear
Installing dropbear (2025.89-1) to root...
Configuring dropbear.
Generating 2048 bit rsa key, this may take a while...
Public key portion is:
ssh-rsa .....root@localhost
Fingerprint: ...
Unknown key type 'ecdsa'
Usage: /opt/bin/dropbearkey -t <type> -f <filename> [-s bits]
-t type Type of key to generate. One of:
rsa
ed25519
-f filename Use filename for the secret key.
~/.ssh/id_dropbear is recommended for client keys.
-s bits Key size in bits, should be a multiple of 8 (optional)
Ed25519 has a fixed size of 256 bits
-y Just print the publickey and fingerprint for the
private key in <filename>.
-C Specify the key comment (email).
Generating 256 bit ed25519 key, this may take a while...
После этого dropbear запускается, но не принимает ключи. Откат на старую версию 2024.86-1 решает проблему.
Вы точно используете репозиторий bin.entware.net ?
А то сейчас окажется что на каком-то из зеркал версия с ecdsa осталась
-
техподдержка багу признала, обещали починить.
-
28 минут назад, KonstantinM сказал:
Я так понимаю без вариантов....
В первую очередь стоит обращаться в техподдержку, контакты указаны тут
-
12 минут назад, Кинетиковод сказал:
Очевидно это разные подходы в маршрутизации
и снова вы пришли к неверному выводу, перечитайте пожалуйста мои сообщения.
Если вам сложно верить "на слово" берем entware и смотрим ipset'ы в названиях которых есть _NDM_OGDN_
а дальше в iptables упоминания этих же наборов и/или в цепочку _NDM_DNSRT_PREROUTING_MANGLE . Откроете для себя много нового.-
1
-
-
4 минуты назад, Кинетиковод сказал:
Очевидно при резолве куча ненужный подсетей не добавляется. Плюс набор доменов для разных сервисов не будет меняться так же часто, как могут меняться CIDR. В этом и есть плюс именно доменной маршрутизации. А накидать вместо доменов кучу подсетей можно, но это такой себе костыль. Почему в стоке глючит именно доменная маршрутизация это отдельный вопрос, но замена доменов на CIDR это не решение проблемы, в этом случае можно домены вообще не добавлять и это уже не будет именно доменной маршрутизацией. Если вы в маршрутизатор накидали CIDR и рассказываете всем, что у вас доменная маршрутизация работает отлично, то что тут можно сказать? Человек использующий только домены думает, что он наверное делает что-то не так, ведь у других же всё работает.
Настоящая, исключительно доменная маршрутизация прекрасно работает в сторонних маршрутизаторах. МТ и HR на сегодня самые актуальные, другие маршрутизаторы можно считать морально устаревшими, хоть и у стариков есть свои плюсы.
Есть стойкое ощущение что вы просто проигнорировали вышенаписанное. Нет ни одного упоминания того что CIDR правильнее и лучше.
Текст был только о принципе работы и почему при указании CIDR и fqdn в одном и том же модуле может наблюдаться разное поведение. -
33 минуты назад, Кинетиковод сказал:
То что CIDR это не доменная маршрутизация никого не интересует
Вы бы хоть посмотрели как оно работает изнутри, перед тем как делать подобные выводы.
Вся проблема маршрутизации именно доменов не в маршрутах как таковых (которые по факту ими и не являются), а в резолве и последующем наполнении ipset'ов. При указании cidr'a запись в ipset добавляется точно так же, но набор не меняется и не дополняется без участия пользователя.
tldr
dns-proxy слишком медленно резолвит адреса и наполняет ipset'ы-
1
-
-
3 часа назад, DVG сказал:
Добрый день. Ссылка уже не рабочая, поэтому если не сложно, то поясните, как надо настроить домен?
-
7 часов назад, vvfd сказал:
Собственно вопрос в первом посте был в том можно ли завернуть трафик с роутера принудительно в тоннель силами кинетика, если я это соединение не вижу в интерфейсах ни в каком виде.
KN-1912 EAEU мертвые ссылки в прошивке
в Веб-интерфейс
Опубликовано
в новых версиях по ссылки ведут как раз на support.keenetic.ru - если вы туда не попадаете и происходит редирект, вероятно стоит отключить VPN