pppppppo_98

Вообще не вариант. Внешний роутер провайдера, с ограниченной функциональностью доступной пользователю

Добрый вечер! Встала такая нетипичная задача. Итак имеется некотрая сеть в ней есть внешний роутер (не Кинетик), и еще один Кинетик kn1710,своим WAN присоединенный к LAN этого внешнего роутера (в это сети кажем адреса 192.168.1.0/24). Всю защиту сети внешний роутер берет на себя - я не парюсь. Кинетик работает в режиме роутера. На LAN/Wifi кинетика развернуты две сети основная(у этой сети адрес 10.0.10,0/24) и дополнительная которая играют роль шлюза с ВПН. Теперь меня просит знакомец, у которого это все стоит, а не можешь ли ты сделать так что бы основная сеть wifi работала в режиме ретраснлятора то есть : возможно ли создать мост в котором находился бы внешний интерфейс кинетика (wan), обе сети вайфай соотвествующие основной сети, и при этом бы дополнительная сеть так бы осталась чо надо сделать?

А принудительно отапргрейдить до последней прошивки можно?

Речь шла о кинетике 1710 с версией 3.9.7. Я обнаружил , что вообще ни один скрипт ни wan.d, ни в iflayerchanged.d не исполняется . И почему то прошивка тоже не обгоалется (роутер стоит вторым в цепи роутеров в домашней сети) зависает на 44% и все

а разве так можно загружать модуль для amneziawg? Разве не нужно запускать amneziawg-go?

Решил вот по уму пересобрать все свои скрипты для роутера. Смотрю доументацию есть папки скриптов /opt/etc/ndm, и в каждом из каталогов лежат скрипты для обработки асинхронных событий. Есть к меня amneziawg. Раньше в качестве защиты от пропадания связи, я по таймеры пинговал некоторый свой хост, и в случае отсутствия пинга перезапускал интерфейс, настраивал фаервол, и необходимую маршрутизацию. Ясен пень, что от пропадания сети я не застрахован, и поэтому волей неволей все равно придется проверять наличие сети... Но вот я прочитал о существовании hook скриптов, и задумался о том, что бы дополнительные настройки сети (настройки роутинга) перенести в hook скрипт. Насколько вообще эта идей удачна? В какую директорию класть скрипты iflayerchanged.d, wan.d? Следующий вопрос запуск amneziawg идет в три этапа сначала amneziawg -go подгружает необходимый модуль в ядро, затем конфигурируется сам интерфейс c помощью awg setconf или syncconf. А затем с помощью ip link set awg up, уже непосредственно возникает работающий линк. А теперь собственно вопрос в каком порядке возникают события приводящие к выполнению скриптов в папках wan.d, ifcreated.d, iflayerchanged.d?

Залез в /lib/modules/ . Смотрю там есть и btrfs, и xfs (ye tot exfat). И снова подниму вопрос о btrfs? Кто нибудь пользовал? Pro и contra? и второй вопрос а в в каком скрипте нужно ставить вставку этих модулей в ядре

Уважаемый в вашем скрипте есть уничтожение каталогов /opt/var /opt/tmp ... Я залез на роутер и вижу - ну почти все временные файлы и не большого размер , кроме Директории /opt/var/opkg-lists. в нем два файла entware размером 356 kb, и keendev 4k . В нем описания пакетов в текстовом виде. Я не знаю насколько необходимы эти файлы для верной работы opkg. Ну и отъедят они 400 к памяти. Насколько их можно удалять?

да вроде бы кроме i2pd никто постоянно к флешке не обращался. Но это в одном случае. Во втором случае этого процесса не было. Стандартная ext4 PS А что уважаемое сообщество скажет относительно журнала ext4. Имеет ли смысл его отключать при использовании на флешке? Ща как раз начал разворачивать систему на новой флешке.

Да понял. Спасибо. А файловая система у вас какая ext3?ext4?ext2? с журналом или без?

но судя по записи из таблицы монтажа файловых систем #mount /dev/root on / type squashfs (ro,relatime) tmpfs on /dev type tmpfs (rw,nosuid,noexec,relatime) none on /dev/pts type devpts (rw,nosuid,noexec,relatime,mode=600,ptmxmode=000) proc on /proc type proc (rw,nosuid,nodev,noexec,relatime) tmpfs on /tmp type tmpfs (rw,nosuid,nodev,relatime) sysfs on /sys type sysfs (rw,nosuid,nodev,noexec,relatime) none on /sys/kernel/debug type debugfs (rw,nosuid,noexec,relatime) /dev/ubi0_0 on /storage type ubifs (rw,relatime,compr=zlib) /dev/sda1 on /tmp/mnt/fe9517a3-99f2-4397-a45f-c820180f99a3 type ext4 (rw,noatime,data=ordered) /dev/sda1 on /opt type ext4 (rw,noatime,data=ordered) Все дерево /opt вместе с /opt/tmp находится на флеш накопителе (/dev/sda1). И тогда ИМХО вся проблема останется той же. Или у Вас /opt/tmp имеет другое место монтирования

Не знаю в нужную ли ветку я попал. Просьба модераторам перенести в нужную. 1. Итак у меня есть кинетик (не мой но под моим управлением и даже не один) с внешней флешкой, на который установлен У Entware (opkg). Уже два раза столкнулся с выходом флешки из строя. Везде установлены ext4. Насколько я понимаю ext4 не самая оптимальная файловая система для флеш-накопителей. Какие есть иные варианты файловых систем для entware? btrfs? 2. Расширение первого вопроса. Хозяин одного из кинетиков (kn1712) попросил и я ему поставил i2pd. Когда я увидел что i2pd постоянно пишет тысячи мелких файлов, я хозяину сказал, что в конце концов i2pd убьет флешку. Так и случилось, через 2 года флешка убилась. Расширяю первый вопрос. А есть ли какая нибудь файловая система для флеш-накопителя, с установленным entware, которая позволит постоянно (так работает i2pd) перезаписовать тысячи мелких файлов? Может быть есть какие то иные технические решения, аля организовать два раздела, или огранизовать раздел в памяти ?

Конфигурацию сетевую приведите (нужны конфигурация пиров, номера портов - насколько понял у вас несколько соединений самих соежинеий у вас случаем не конфликтуют?). Я на подобные грабли наступал несколько раз.... Скореевсего ошибка в конфигурации амнезии и/или роутинг А вообще с амнензией начинаются проблемы. DPi добрались и до нее . У меня пол сети помрело, правда пол сети жива, что удивительно концы в обоих случаях в одной и тойже стране, а втой что померла дык еще и значительная часть самой сети имела внутреннний трафик (то есть содиниения российских подсетей)... За просвящался говорят возможно параметры надо подстроить. Еще бы инструкцию с учетом реального опыта работы с DPI о выборе параметров Jc, Jmin, Jmax, S1, S2 гашел вот такую гнормальную статю с разьяснениями... Но нет рекомендация для практики за исключением Jc. https://mk16.de/blog/amneziawg-en/ А тут пишут что есои понизить Jс - увеличивает шансы на прохождение DPI https://github.com/amnezia-vpn/amnezia-client/issues/1010

я обычно тспользую tcpdump с фильтрами - дабы посмотреть куда доходит какой трафик.

CLI - это вы имеете ввиду интерфейс команд идущий вместе с роутером и описываемый в отдельном pdf файле на 800+ страниц... А не в entware (и amneziawg-go с репозитария zyxmon). И стало быть amneziawg-go только поднимает tun интерфейс и все? или таки go приложение , а не модуль ядра управляет трафиком (аутентификация, маршрутизация, шифрование) ЗЫ Я развернул небольшую сеть с десяток нодов подключенных к одному awg-устройству на кинетике (с помощью amneziawg-go и entware). И вот начал замечать нестабильную работу awg...Примерно раз в неделю приходится перегружать роутер ибо при выполнении комманды awg - нет никакого вывода, и соттвественно подкоманды awg тоже не работают

а меняли дефолтные параметры amneziawg на собственные? Я запустил примерно с неделю назад - пока полет нормальный, но у меня автоматом соединения поднимаются (по cron) при отвале - я за логом особо не слежу

В свете написанного камерадом hophey выше что вот эти комманды означают? Что в ядерном модуле поддерживается расширенные папаметры, и что коммандой amnezia-go я только скармливаю ядру параметры связи(ключи, пиров, s1,s2,h1,h2...)...Так надо понимать?

Уважаемые... Из-за ограничений поддержки веб конфигуратора (не поддкрживаются ipv6 адреса в опсании endpoint, а у меня только такие публичные адреса), пришлось использовать пакет из entware wireguard, ибо там в текстовом файле проблем нет с настройкой ipv6 сетей. Дык вот есть два интерфейса wireguard, написанный на си, и wireguard-go, написанный на go. Второй как я понимаю все сетевые операции проводит в userspace и ИМХО посему быстрым врядли будет. Второй из этих инрфейсов скомпиллировал zyxmon, о чем составил отдельную ветку на форуме.. А вот первый сетевые операции проводит в ядре, подгрeжая модуль wireguard.ko, и поэтому шустрый. Это все контекст... Теперь вопрос. А как работает эта команда - я просмотрел wireguard.ko (strings wireguard.ko), команду wg (strings /opt/bin/wg), и не обнаружил никаких следов обработки параметров Jc, Jmin, Jmax, S1 ... И если я вношу в эти параметры в конфигурационный файл, то мне говорит система об ошибке в конфигурационном файле. Модуль ядра тоже никаких параметров не принимает. А как тогда параметры из interface {name} wireguard asc {jc} {jmin} {jmax} {s1} {s2} {h1} {h2} {h3} {h4} попадают в ядро для дальнейшей офусификации трафика...или ndm поднимает какой-то другой модуль ядра? Или вообще обработка трафика интерфейсов поднятых в веб морде кинетика идет не в ядре? На десктопах удалось собрать awg - но они не в постоянной работе... Теперь вот загвоздка в кинетиках

И снова вопрос , теперь не связанный с кинетиком. По инструкции инсталлировал amneziawg на убунту. А как теперь интерфейс поднять. Ваергуард поднимал по иструкции с самого сайта https://www.wireguard.com/quickstart/ командой wg setconf wg0 myconfig.conf А теперь какой командой awg setconf wg0 myconfig.conf? А никакой модуль перед этим подгружать в ядро не надо?

cпасибо

Какой вариант да 1. Да Peer1.h1=Peer2.h1 и Peer1.h2=Peer2.h2 или 2.Да Peer1.h1=Peer2.h2 и Peer1.h2=Peer2.h1? КАк бы заимоисключающие опции...

Маршруты это только часть проблемы. Причем коли речь идет о телике - то может оказаться что надо разобраться с мультикастом.. Вторая часть проблемы фаервол причем на обоих сторонах соединения... Отдельная еще песня блокирование трафика по географическому признаку - от него только нат помогает защитится.

Излагаю... Набил херову тучу шишок на этом... Если знать ворожью мову и прочесть программный документ на сайте ваергуард. ТО можно узнать что сам ваергуард вообще никак маршрутизацию не меняет, все шо он делает смотрит с какой сети пришел пакет, и дешифрует или шифрует с помощью публичного/приватного ключа трафик пиров ... Возможно создатели прошивок кинетика вставили вместе с создание самого ваергурд установку каких-то очевидных маршрутов, но в целом за маршрутизацию в ответе сам пользователь. Компетенция пользователя выстраивать политику маршрутизации с участием всех сетевых интерфейсов (не только ваергуард)своего хоста по своему желанию. Амнезия вообще лишь обфусицифицирует ваергуард, дабы относительно малоинтелектуальные скрипты DPI (ибо они преднзначены для быстрой обработки огромного трафика) не поняли что этот трафик ВПН.

А параметры h1 -h4 должны быть одинаковы для обоих пиров. или Peer1.h1=Peer2.h2 и Peer1.h2=Peer2.h1?

ИМХО... Скорее всего нет... Сегмент ru состоит из тысяч AS м сеиевыз префиксов... И не дело ВПНов заниматься обработкой запросов на маршрутизацию. Для этого есть другие сервисы... Как это желать хрен знает ... Наверное какой нибудь BGP демон поднимать и зону ру как-то ручками с помощью geoip выделять.