iz07

Сейчас попробовал убрать из других политик домены верхнего уровня. Нет, не помогло и это

В официальной инструкции Амнезии так рекомендуется. Прошивка не запрещает на уровне валидации. Но как я писал выше, я пробовал указывать конкретные домены (см. про NL_DEBUG). И тут без изменений. Проблема для этих доменов та же.

Цель сделать так, чтобы российские сайты грузились через обычно соединением, а остальной мир - через VPN Прошивка 5.2 beta 1 1. Добавил DNS-серверы вручную в роутере ( 8.8.4.4, 1.1.1.1 ) 2. Добавил соединение со своим сервером Амнезии через компонент WireGuard 3. Добавил 2 политики: NL_ALL (где только VPN подключение активно) и NL_SPLIT (где 2 подключения активны - VPN и мой провайдер). Благодаря одному подключению, при NL_ALL все идет через VPN. А при NL_SPLIT через VPN идут только домены РФ сайты, благодаря маршрутизации, о которой ниже. 4. Настроил маршрутизацию указав домены ru, yandex.com, yandex.net, чтобы ко всем поддоменам шло обращение через провайдера напрямую. Прикрепил эту маршрутизацию к NL_SPLIT 5. Клиенту прикрепил политику NL_SPLIT. Зарубежное все работает отлично. А РФ сайты открываются через раз или совсем не открываются. Причем через curl также. Не только через браузер. Если клиенту прикреплять NL_ALL, то все открывается нормально. Ну разве что РФ сайты показываю заглушки про VPN (ожидаемо). Я пробовал сделать отдельную политику NL_DEBUG и прикрепить маршрутизацию НЕ через домены верхнего уровня (tld), а указать конкретные домены. Но это не помогло ровным счетом ни чем. Вопрос. Это баг в прошивке? Или я что-то делаю не так? Как поправить?

> да, в целом так. Но проблема у меня не в задержках/скорости Очень похожая проблема и у меня. Проблема не в скорости. Проблема в том, что российские сайты открываются через раз или совсем не открываются. Разные по-разному. Эта проблема с маршрутизацией, смотрю, на форуме в разных вариациях встречается.

> ибо у меня никакие сайты не ругаются на заглушки в браузере Не совсем понял о чем вы. Я говорил о том, что если переключиться на политику "все через VPN" для проверки, то все сайты открываются без задержек. Но сайты из белого списка РФ показывают свои заглушки типа "отключите VPN". И это ожидаемая работа. Уверен, что и у вас также работает. > Устройства у нас разные, настройки, стало быть, тоже разные Вы настраиваете выбор соединения (куда пойдет трафик - через VPN или напрямую) через Маршрутизация -> Маршруты DNS -> Списки доменных имен и "Правила маршрутизации" ? И там указываете список доменов (может быть, первого уровня)? Если да, то у нас похожие настройки. И я грешу именно на работу маршрутизации. Так как на политике "все через VPN" все открывается быстро и четко. > приложения ругаются выборочно и все мне уже известны Очень похоже на то как работает у меня при политике с разделением трафика - часть сайтов российских открываются через раз (Макс, Яндекс Почта, Карты Роснефть).

@purrrfect У меня вроде бы похожая проблема. Только в качестве клиента я сейчас использую ноутбук с Ubuntu 24. Пробовал и Андроид телефон. Там та же проблема. 1. Добавил DNS-серверы вручную в роутере ( 8.8.4.4, 1.1.1.1 ) 2. Добавил соединение со своим сервером Амнезии через компонент WireGuard 3. Добавил 2 политики: NL_ALL (где только VPN подключение активно) и NL_SPLIT (где 2 подключения активны - VPN и мой провайдер). Благодаря одному подключению, при NL_ALL все идет через VPN. А при NL_SPLIT через VPN идут только домены РФ сайты, благодаря маршрутизации, о которой ниже. 4. Настроил маршрутизацию указав домены ru, yandex.com, yandex.net, чтобы ко всем поддоменам шло обращение через провайдера напрямую. Прикрепил эту маршрутизацию к NL_SPLIT 5. Клиенту прикрепил политику NL_SPLIT. Зарубежное все работает отлично. А РФ сайты открываются через раз или совсем не открываются. Причем через curl также. Не только через браузер. Если клиенту прикреплять NL_ALL, то все открывается нормально. Ну разве что РФ сайты показываю заглушки про VPN. Я пробовал сделать отдельную политику NL_DEBUG и прикрепить маршрутизацию не через домены верхнего уровня (tld), а указать конкретные домены. Но это не помогло ровным счетом ни чем. Это такая же проблема как у вас? Не нашли решение?

Вопрос. А точно это проявляется только когда несколько (или много) списков доменных имен? У меня нечто похожее всего лишь при одном списке (для ru-сегмента) -

Добрый день Настроил на роутере соединение с VPN. За основу брал инструкцию. Только политику по-умолчанию не трогал. Создал 2 политики: 1-я - все через VPN, 2-я - русский сегмент напрямую, а остальное - через VPN (сплит). Когда клиента подключаю к политике, где все через VPN, то все сайты открываются нормально. Когда клиента подключаю через сплит-политику, то зарубежные сайты открываются нормально. А российские то открываются, то нет (например mail.yandex.ru не грузит часть своих ресурсов с https://csp.yandex.net). Есть такие, что совсем не открываются. У меня есть сайт в сегменте ru. Он не открывается совсем. Даже если захожу на свой сервер по ssh и IP (без указания домена), то соединение висит. На сервер попасть не могу под сплит политикой. Сервер в РФ, если это важно. Список доменных имен в маршрутизации: ru su рф vk.com yandex.com yandex.net Пробовал на своем сервере (где мой сайт) запускать захват пакетов: nohup timeout 300 tcpdump -Z root -ni any -w /tmp/test.pcap 'tcp port 443' >/dev/null 2>&1 & потом читать его после попытки обращения через curl к сайту через сплит политику. Захват показал следующее: Соединение пришло с IP провайдера (то есть предназначенного для RU), как и должно быть. TCP-рукопожатие и TLS прошли нормально. Сервер отправил сертификаты (3808 байт), клиент подтвердил их получение (ack 3808). Клиент прислал завершение TLS и сам GET (пакеты на 80 и 97 байт). Сервер их получил. Сервер отправил два пакета по 303 байта. Это Newsession Ticket, которые curl показал как полученные. Значит, данные от сервера до клиента дошли. А дальше от клиента не пришло больше ни одного пакета. Сервер больше минуты повторяет отправку (retransmission), потому что не получает подтверждения. Ответ на GET он не отправляет, так как застрял на этих повторах. Вывод от ИИ: примерно через 0,1 секунды после начала соединения пакеты к серверу перестают доходить, хотя в обратную сторону всё работает. Компьютер подтверждения отправляет (раз curl получил тикеты), но по пути от роутера к серверу они теряются или уходят не в тот интерфейс, скорее всего в VPN-туннель, где такое соединение никому не нужно. С ssh картина та же: после обмена ключами следующий пакет клиента до сервера не доходит, сервер ждёт. С политикой «по умолчанию» такого не происходит. Значит, это Keenetic посреди соединения меняет, куда отправлять ваши исходящие пакеты, именно в смешанной политике. Дополнение: Пробовал отладить через захват пакетов на роутере. Отчет, правда, не сам анализировал, а через ИИ. ВОт такой результат: Захват показал, что роутер начинает соединение через провайдера, а через долю секунды отправляет его пакеты в VPN-туннель. При правильном конфиге так быть не должно. Похоже на ошибку прошивки в функции «маршрут по доменам внутри политики»: это относительно новая возможность KeeneticOS.