Denis P

Кривой клиент - легко

Кроме вас там отписался ровно один человек и представитель компании. Вы же сходили в техподдержку, как вам и было предложено, да?

теперь и на 5.1.3 некрасивая рамка, она с нами навсегда?

5.2A4 - актуально ~ # iptables-save | grep "_NDM_OUTPUT_DELAY ! -s 127.0.0.1/32 ! -d 127.0.0.1/32 -m mark --mark 0xffffab0 -m ndmmark --ndmmark 0x0/0x80 -j NFQUEUE --queue-num 64512" | wc -l 228

@eralde Подскажите пожалуйста, не рассматриваете ли вы возможность включения более одного "Wireguard VPN сервера"? На первый взгляд каких-то препятствий для реализации нет. Сейчас приходится делать это по старинке, т.е через "другие подключения", если нужны разные политики/правила для конкретных "серверов"

я ваш вопрос именно так и понял, но на всякий случай написал команды для того чтобы "завести" функционал)

повесить созданный профиль с именем "test" на домашний сегмент ip hotspot filter assign interface Bridge0 test ip hotspot filter profile test enable

5.2 А4 - не исправлено @eralde обратите пожалуйста внимание на эту проблему, в случае если у учётки admin сознательно отобран доступ к вебу (как и у многих других пользователей с открытым доступом снаружи) созданный токен не работает, а от другого пользователя, как я написал выше - удаляется после ребута

об этом и речь, реализовать готовый пресет/ы через мсэ. "разрешить только локалку" "разрешить только интернет" "разрешить локалку и интернет" в одной из довольно популярных реализаций: wg-easy есть такая "чудо кнопочка" Unlike "Allowed IPs" which only controls routing on the client side, these rules are enforced by the server using iptables/ip6tables and cannot be bypassed by the client.

на самом деле тут ведь даже не о гибкости речь, её мы сами можем "накрутить" через межсетевой экран на интерфейсе Wireguard VPN Server претензия только к "пресету" и то что он сделан через allow ips и только при генерации конфига

Со временем количество идентичных правил переваливает за 100 Селф тест прилагается

Только судя по этому можно сделать вывод что оно не особо заинтересовало общественность. З.ы. трястись по поводу своих днс запросов когда dpi и СОРМ'ы повсюду, ну, такое) З.з.ы dnscrypt в итоге стандартом так и не стал

для keenetic и netcraze разные

у вас их целых два, на стороне пира с серым адресом и на стороне пира с белым. сделайте всё по этой статье https://support.netcraze.ru/ultra/nc-1812/ru/21243-configuring-a-wireguard-vpn-between-two-routers.html а потом по той, что упоминалась выше.

так, погодите, у вас каша какая-то, сейчас речь уже про домены и выборочную маршрутизацию (которая настраивается на конечном клиенте и никак не на сервере) сначала разберитесь с тем чтобы у вас интернет работал через пира с серым адресом, а потому уже накидывайте доп. условия

Есть, но не интерфейс, а политику e.g. ip hotspot policy Wireguard0 Policy0

Половину пути вы уже прошли, осталось только добить, сценарий вполне реальный. У wg все пиры равнозначны, ничего не мешает ходить в "интернет" через тот у которого серый адрес https://support.netcraze.ru/ultra/nc-1812/ru/21424.html#21424-доступ-в-интернет-через-wireguard-туннель

Вы там в каком-то своем параллельном мире живёте или что? Если у сервиса в entware есть веб ему без проблем можно навесить домен 4го уровня для удобного доступа и управления или вам нужен wizard? И таких есть пачка проектов, изучите вопрос для начала. Сим заканчиваю оффтоп.

Это именно то, пакет для opkg (entware) может создать абсолютно любой желающий без каких либо ограничений

Реализация максимально топорная, не позволяющая менять "режимы" уже созданным пирам логичнее рулить этим через firewall, а не через разные подсети в allow ips, потому что ничего не мешает клиенту внести изменения ручками.

5.2 A3 - не исправлено

всё на месте, он ожидает значения вида ip http proxy cdb force-origin http://192.168.1.10:8080 судя по контексту вам должна помочь опция ip http proxy preserve-origin

этот адрес используется постоянно когда пользователь обращается из локалки в том числе и к своим доменам при использовании keendns. Есть стойкое ощущение что мы с вами говорим о разных вещах. Тем более это не я сам в конфиг днс прокси занёс) static_a = my.keenetic.net 198.51.100.11 1 static_aaaa = my.keenetic.net 2001:2::c633:640b 1 static_a = <*>.netcraze.io 198.51.100.11 1 static_aaaa = <*>.netcraze.io 2001:2::c633:640b 1 а раньше были глобальные, в совпадения я, конечно же, не верю. static_a = my.keenetic.net 78.47.125.180 1 static_aaaa = my.keenetic.net 2001:2:7847:1251:feee:ed78:4712:5180 1 rpc_const = on static_a = <*>.netcraze.io 78.47.125.180 1 static_aaaa = <*>.netcraze.io 2001:2:7847:1251:feee:ed78:4712:5180 1

Что любопытно, на предыдущих версиях, вероятно ещё на 4.х, точно было то о чём вы просите (в логе сообщение о невозможности разрешить адрес пира), видимо где-то потерялось