dchusovitin

Немного покапался, ntce не виноват (изначально была идея), ndnproxy тоже (судя по трейсам). Но задержки видно. strace у процесса ndnproxy и у dig (из entware), один запрос, одновременно. Апстрим dns на 65053 (adgh), домен gosuslugi. adgh и ndnproxy быстро обрабатывают запрос (в пределах нескольких миллисекунд). Ответ до клиента доходит через 150+ мс. Где-то застревает в недрах ndm, хотя бы видно разницу. strace-gos-ndnproxy-3.txt strace-gos-dig-3.txt

Тоже самое, +100-200 мс на любой запрос, при наличии одного правила с пустым списком.

Это интерфейс админки роутера, у нее авторизация работает по другому. В один запрос там не авторизоваться. Раз, два Здесь используется 79 порт (не 80, как выше), на котором вообще нет авторизации. И сверху добавлена http basic авторизация (отличается от пред. пункта). Обращение по домену rci должно работать из локальной сети. Если надо закрыть доступ из внешней сети, то чуть сложнее (и могут быть некоторые проблемы, насколько помню). В локалке открыть доступ можно через перенаправление портов, но без авторизации (так что не надо так делать). И через софт в entware.

И кстати, на первом скрине ошибка в настройках. У doh домена в поле "домен" вписали значение, оно для другого нужно. Поле нужно очистить. Если заполнено, то этот сервер обслуживает запросы только на указанный домен. Из-за этого использовались провайдерские DNS. У DoT можно указывать "Домент TLS".

Тут к владельцу надо обращаться, на его стороне проблемы. dig/kdig отказываются подключаться, ошибка на уровне tls. Только пару утилит принимает его, которые не используют системные библиотеки. Если изменить на DoT, то сразу заработает. Гугл скорее по причине блокировки отвалился, там нечто другое. * поддерживает только http1.1 и из-за этого tls (alpn) фэйлится у части клиентов.

Изменить пароль админа, поставить более сложный. https://blog.keenetic.ru/pre-keeneticos-43-update/ Версия 4.3.6.3: Публичный доступ к веб-конфигуратору теперь блокируется на устройствах со слабыми паролями администратора, что снижает риск несанкционированного доступа. [NDM-4097]

Со временем починят, когда побольше людей напишут. Я наблюдал схожее, хоть сразу и не написал. На меньшем кол-ве доменов, и на ultra 1811/1812. Т.е. (возможно) производительность cpu не особо имеет значение. Как будто, где-то очередь, которая разбирается последовательно. Adguard тоже помогал (за встроенным dns), с включенным optimistic caching (отвечать всегда из кэша) и увеличинным ttl.

Не могу особо утверждать, но отключение немного странно работало (5.0.3). Убирались правила/маршруты, но наполнение ipset и/или опрос доменов продолжал крутиться в фоне (еще может от галочек зависеть, оба варианта). Надо было удалить правило полностью (список можно оставить), и лучше перезагрузиться. dns-proxy debug может помочь в определении, но вывода отладочной информации в журнал там будет много.

... треть интернета отвалилась в М/МО, не говоря уж про указанный сервис Оживет с параметрами из более свежих версий awg, если повезет (мне да).

Софт (shadowsocks-rust, -libev) поднимает локальный socks. Через компонент прошивки "Клиент прокси" создается подключение, сетевой интерфейс доступен и можно делать роутинг. Доступно в 4 версии прошивки. В 5 версии прошивки немного проще, благодаря OpkgTun. Создаем tun интерфейс через cli, софт/прошивка его использует. ss-rust умеет в tun режим. Есть более удобные инструменты - mihomo. Поддерживает ss и оба режима (прокси/tun).

Ошибка какая? Порт нужно указывать, плюс дебаг режим включить. Прошелся по истории комманд, как минимум консольному sstpc нужен флаг "--tls-ext". sstpc --user admin --password pass --tls-ext --log-level 4 --log-stderr domain.netcraze.link:port Плюс настройка ppp, но его настроек не сохранилось. Через плагин в NetworkManager просто поднимается, его легче использовать. И подсмотреть примерные аргументы для pppd у процесса. Но я отказался от sstp, в пользу openconnect, с ним все проще

Или так, по сути одно и тоже Большинство работает в 1080p, так что заметно будет.

У кого-то стоит плагин в браузере для обхода, либо способ через "днс", либо из-за ipv6 (неправильного определения геолокации). PS. Или сообщение выше, от spatiumstas =) Рандом и с другими доменами случается, но заметить сложнее.

Чтобы появился 1080p, т.к. он выключен для РФ. Нормальный пример, суть теста в частом смене адресов и большом пуле. Один (или два) домен добавить для теста в маршрутизацию - usher.ttvnw.net (+ gql.twitch.tv) Желательно обновлять страницу (чтобы поймать рандом и увидеть), или смотреть на наполнение ip (лучше). Если прыгать по трансляциям, то разницу можно заметить (пропадет 1080p). Сначала все работает, идет наполнение. Потом начинаются странности, описанные в пред. сообщении. С большинством сайтов нет особых проблем, если ip редко меняются. Я жду обновления, потом проверю и кину сценарий в поддержку. Если использовать альтернативные способы маршрутизации, то работает стабильно.

Заметно на cdn с гео ограничениями. Можно устроить тест на твиче (для работы 1080p), пустив два домена по маршрутам. Там вообще какие-то чудеса творятся. Бывает, что добавляется в object-group/ipset только один IP из четырех. Точнее практически всегда В object-group/ipset накопилось несколько десятков (под сотню) IP (т.к. все за CDN). Вроде корректно. Но тот добавленный (указанный выше) IP исчезает из списков через несколько секунд. Магия

Месяц уже ждем

Для эксперимента можно взять сишный (ядерный) модуль и сравнить поведение на другом устройстве, для начала. Но мало кто захочет это делать, проще дождаться добавления новых параметров в прошивку

Хотя бы один из вариантов исключили Я с нечто похожим тоже сталкиваюсь. На одну и туже конфигурацию (и ip сервера, схожей с вашей), вижу случайные проблемы. То не "подключается" (хэндшейки режутся) 5+ минут, то в один момент все начинает работать. С приложением не сравнивал, но скорее это проделке фильтров у прова.

Больше похоже на то, что в конфигурации есть доп. поля, которые не воспринимает кинетик. А приложение их понимает и все работает. Поля, которые добавили в 1.5+. Только остался вопрос с ребутами

Можно попробовать уменьшить "upstream timeout", по умолчанию там 10 секунд (слишком большое значение) до 3 секунд (либо меньше). Подключения могут долго висеть в случае проблем с интернетом/ограничениями и на них уходят ресурсы. Но скорее из-за другой софтины и/или нехватки памяти отлетает adguard.

Да, это понятно, написал на всякий случай. Лень подвела, не заметил одну строчку в скрипте И +1 голос за поддержку измененных портов админки роутера.

У клиентов есть свои таймауты, условия повторов, плюс особенности софта и сайтов. И в моменты отвала интернета начинается "шторм". Пример логики винды: У клиента таймаут 1 секунда, на сервере 3, вот и получаем x3 исх. подключений. На других платформах примерно такая же логика. Защиты от таких ситуаций не особо популярны, усложнение и могут другие проблемы привнести.

Если есть настроенный AdGuardHome, то лучше не запускайте скрипт удаления. Удаляет папку с настройками adh, зачем-то... Делайте бэкапы и проверяйте скрипты перед запуском. В этот раз я поленился

При сохранении/скачивании self-test в логе появляется ошибка. При повторной выгрузке - повторяется, после перезагрузки - повторяется. Сама генерация self-test вдруг стала занимать 10+ секунд. [C] Dec 3 18:37:02 ndm: Ntce::Database: system failed [0xcffd0847]. [C] Dec 3 18:37:33 ndm: Ntce::Database: system failed [0xcffd0847]. NC-1812, self-test в след сообщении.