Пробуем КВАС

Zeleza · 21 июня, 2022

Вниманию всех, кто пользуется КВАСом, был выявлен отказ работы WhatsApp на компьютерах из-за проблемы наличия доменных имен этого сервиса в списках блокировки при активации режима блокировки рекламы. Если проблема проявилась, то либо отключите блокировку рекламы, либо внесите доменное имя whatsapp.com в БС - kvas add *whatsapp.com.

Update:
Обновитесь пожалуйста по ссылке выше - была устранена проблема обновления данных при добавлении доменного имени в список.

Изменено 21 июня, 2022 пользователем Zeleza

Zeleza · 23 июня, 2022

Обновление КВАСа небольшое: версия 1.0 beta 3

Исправлена ошибка, возникавшая порой при установке пакета - "dnsmasq: cannot read /opt/etc/kvas.dnsmasq: No such file or directory"

i81 · 23 июня, 2022

3 часа назад, Zeleza сказал:

версия 1.0 beta 3

Здравствуйте, товарищи!

Как правильно обновится с версии скрипта 0.9-10?

kilia · 23 июня, 2022

Добрый день!

20 минут назад, i81 сказал:

Как правильно обновится с версии скрипта 0.9-10?

opkg remove kvas
opkg install /opt/apps/packages/kvas_1.0-beta_3_all.ipk

Zeleza · 23 июня, 2022

Доброго всем дня

В 23.06.2022 в 12:28, kilia сказал:
opkg remove kvas
opkg install /opt/apps/packages/kvas_1.0-beta_3_all.ipk

Я бы еще добавил, что при удалении, при запросе об удалении файлов конфигурации, необходимо ответить "да".

Update:
Если установлен vpu или zezl - просьба удалить все маршруты из WUI посредством команд vpu purge и/или zpu purge

Изменено 27 июня, 2022 пользователем Zeleza

i81 · 24 июня, 2022

Доброго дня, коллеги!

Столкнулся сегодня столкнулся с неочевидным для меня моментом - КВАС работает только для основной сети (bridge 0), Если согласна "гостевая" сеть, а по сути это bridge 1 уже то для клиентов этой сети КВАС уже не работает

Многоуважаемый @Zeleza подсказал что поправить в конфигах, что бы заработало и для bridge 1.

Коллеги, прошу проголосовать лайками на посте этом у кого есть вторая сеть и кто бы хотел иметь возможность активировать КВАС и для клиентов этой сети. Автор сказал, что-то если ещё будут люди, которым это нужно то он постарается реализовать выбор клиентских интерфейсов через команды КВАСа.

Заранее большое спасибо всем!

Zeleza · 24 июня, 2022

Пробуем КВАС версия 1.0 beta 5

Исправлены несколько ошибок при смене DNS (кvas dns 8.8.4.4)
Добавлен "небольшой костыль" для добавления в vpn - гостевую сеть (по просьбе @i81). Использование:

kvas bridge del br1 - удалить гостевой мост
kvas bridge add br1 - добавить гостевой
Это решение является "костылём", так как подставить id необходимой сети автоматически пока не знаю как. Если будут мысли - пишите.

Изменено 24 июня, 2022 пользователем Zeleza

i81 · 24 июня, 2022

4 часа назад, Zeleza сказал:

id необходимой сети

А чем чревато постановки всех id системы? Если есть сеть - будет работать обход, нет сети - хлеба вроде не просит эта настойка.

Zeleza · 25 июня, 2022

Доброго всем дня,

23 часа назад, i81 сказал:

Коллеги, прошу проголосовать лайками на посте этом у кого есть вторая сеть и кто бы хотел иметь возможность активировать КВАС и для клиентов этой сети.

Задача показалась интересной и не трудоемкой, потому пробуем КВАС версия 1.0 beta 6 с реализацией данного функционала и уже без "костыля" ).

Использование:

kvas bridge del - удалить существующую текущую гостевую сеть
kvas bridge add - добавить гостевую сеть на выбор

Изменено 25 июня, 2022 пользователем Zeleza

Штепсель · 25 июня, 2022

Добрый вечер. @Zeleza, спасибо за проделанную работу по Квасу.

Как и многие здесь, столкнулся с проблемами с фб. У доменов *fbcdn.net отличаются IP для доступа из РФ и для доступа из страны выхода через VPN. Как мелкий костыль, возможно можно сделать функцию указания интерфейса для проверки IP для добавленных доменов? Например:

Цитата

kvas add *fbcdn.net tun0

PS. И еще вопрос, вроде в теме это не обсуждалось. IP и подсети нельзя добавить в Квас?

Zeleza · 25 июня, 2022

Доброго вечера,

29 минут назад, Штепсель сказал:

можно сделать функцию указания интерфейса для проверки IP для добавленных доменов?

Пожалуйста по подробнее. Не до конца ясна цель подобного функционала.

29 минут назад, Штепсель сказал:

IP и подсети нельзя добавить в Квас?

Забираем и пробуем КВАС версия 1.0 beta 7

Штепсель · 25 июня, 2022

33 минуты назад, Zeleza сказал:

Пожалуйста по подробнее. Не до конца ясна цель подобного функционала.

Хм. Вот сейчас тесты провёл и отпала эта необходимость, вроде.

Но, похоже, не отрабатывает правило *fbcdn.net, поддомены scontent-cdg2-1.xx.fbcdn.net и static.xx.fbcdn.net заработали только после принудительного их указания.

И что-то не нашёл возможности белого списка для адблока. Пока добавил нужный домен в список доменов для обхода, но как-то костыльно это выглядит.

Штепсель · 25 июня, 2022

Получается, что правило

ipset=/:.*fbcdn\.net:/unblock

не отрабатывает

avn · 26 июня, 2022

14 часа назад, Штепсель сказал:
Получается, что правило
ipset=/:.*fbcdn\.net:/unblock
не отрабатывает

Попробуйте такое правило

ipset=/fbcdn.net/unblock

Штепсель · 26 июня, 2022

1 час назад, avn сказал:
Попробуйте такое правило
ipset=/fbcdn.net/unblock

Ну я же квасом добавляю, он не дает добавить домен, т.к. уже есть домен со звёздочкой.

Штепсель · 26 июня, 2022

Еще заметил странность. В винде 11 стандартные настройки получение всего по DHCP, делаю

ping static.xx.fbcdn.net
При проверке связи не удалось обнаружить узел static.xx.fbcdn.net.
Проверьте имя узла и повторите попытку.

С роутера всё нормально пингуется, прописываю на винде DNS 8.8.8.8 - не пингуется, ставлю галку, чтобы использовался шифрованный DNS - начинает пинговаться. Т.е. ростелеком перехватывает запросы к DNS. Но почему при установке роутера в качестве DNS, пинг не идёт, хотя с самого роутера идёт?

Zeleza · 26 июня, 2022

Доброго дня

1 час назад, Штепсель сказал:

Ну я же квасом добавляю, он не дает добавить домен, т.к. уже есть домен со звёздочкой.

Не совсем Вас понимаю, разве нельзя удалить то, что не нужно и добавить, что что необходимо?

kvas del *fbcdn.net
kvas add fbcdn.net

Zeleza · 26 июня, 2022

Пробуем КВАС 1.0 beta 8

Добавлена возможность установки AdGuard Home в качестве DNS сервера.
Исправлены мелкие недочеты

Использование:

kvas dns adguard

Команда установит AdGuard Home в качестве DNS сервера автоматически, если AdGuard Home установлен на самом роутере и попросит ввести "ip:port", если у Вас AdGuard Home расположен где-то в сети.

mr.robot · 26 июня, 2022

Подскажите, пожалуйста, возможно ли ваше решение повесить на vps, где работает Wireguard?

Идея в том, чтобы при включенном Wireguard на телефоне трафик шел также по списку, а по всем летел напрямую.

Изменено 26 июня, 2022 пользователем mr.robot

Zeleza · 26 июня, 2022

Доброго вечера,

51 минуту назад, mr.robot сказал:

Подскажите, пожалуйста, возможно ли ваше решение повесить на vps, где работает Wireguard?

Так именно для этого и предназначен КВАС. Можно работать не только с wg, но и со списком иных vpn, которые перечислены в первом сообщении данной темы.

Изменено 26 июня, 2022 пользователем Zeleza

zyxmon · 26 июня, 2022

Еще можно в КВАС добавить такой функционал -

kvas -noaaaa example.com

Должно работать и с dnsmasq и atguardhome.

PS Если есть желание лично проверить через wg - в личку.

Сергей «Solaris» Сидоров · 26 июня, 2022

Добрый ночер. Поставил, с Wireguard работает отлично. @Zeleza мое почтение!

Вопрос остался в наличии шифрования. test выдаёт что шифрование отключено, а crypt что шифрование подключено. Чему верить?

~ # kvas test
---------------------------------------------------------------------------------
Состояние службы dnsmasq                                          ЗАПУЩЕНА
Отслеживание [:53] порта сервисом dnsmasq                         СЛЕДИМ
---------------------------------------------------------------------------------
Состояние vpn соединения wg0                                      ПОДКЮЧЕНО
Таблица маршрутов 1001                                            ЗАПОЛНЕНА
В правилах маркировки таблица 1001                                ДОБАВЛЕНА
Правила маркировки трафика в iptable                              ДОБАВЛЕНЫ
Шифрование DNS посредством dnscrypt-proxy2                        ОТКЛЮЧЕНО
---------------------------------------------------------------------------------
Наличие правил разблокировки в iptable                            ЕСТЬ
Заполнение ipset таблицы скриптами КВАСа                          ЗАПОЛНЕНА
Список разблокировки                                              ЗАПОЛНЕН
---------------------------------------------------------------------------------
Проверка заполнения ipset таблицы при посещении сайта.            
---------------------------------------------------------------------------------
Для проверки заполнения откройте на компьютере браузер
Если браузер открыт, то очистите все куки в нем.
Затем зайдите на сайт https://2ip.ru
На странице должен появиться IP Вашего VDS провайдера.
После чего вновь перейдите сюда и нажмите на любую клавишу.
---------------------------------------------------------------------------------
Таблица ipset                                                     ЗАПОЛНЕНА
---------------------------------------------------------------------------------
~ # kvas crypt
---------------------------------------------------------------------------------
Шифрование DNS                                                    ПОДКЛЮЧЕНО
---------------------------------------------------------------------------------

Zeleza · 27 июня, 2022

Доброго дня

15 часов назад, zyxmon сказал:

Должно работать и с dnsmasq и atguardhome.

В текущей версии IPv6 не поддерживает.
Чуть позже реализую, спасибо за идею.

9 часов назад, Сергей «Solaris» Сидоров сказал:

Вопрос остался в наличии шифрования. test выдаёт что шифрование отключено, а crypt что шифрование подключено.

Спасибо за внимательность.
Исправил, пробуем КВАС версии 1.0 beta 10.

Исправлены ошибки при отображении шифрования kvas crypt
Исправлена ошибка, которая приводила к перегрузке роутера при сканировании интерфейсов по команде kvas vnp set на прошивках >=3.8.

Изменено 27 июня, 2022 пользователем Zeleza

Teutonick · 27 июня, 2022

Добрый день! А можно посмотреть исходники программы?

И еще вопрос, у меня почему то не завелось, пишет:

failed to load names from /opt/etc/hosts: No such file or directory

Попробую, пожалуй, все снести и настроить заново.

Изменено 27 июня, 2022 пользователем Teutonick

mr.robot · 27 июня, 2022

16 hours ago, Zeleza said:

Доброго вечера,

Так именно для этого и предназначен КВАС. Можно работать не только с wg, но и со списком иных vpn, которые перечислены в первом сообщении данной темы.

На всякий случай уточню, я правильно понял, что Квас можно установить в Убунту?

Zeleza · 27 июня, 2022

46 минут назад, Teutonick сказал:

А можно посмотреть исходники программы?

opkg files kvas
ls /opt/apps/kvas/files/

45 минут назад, mr.robot сказал:

На всякий случай уточню, я правильно понял, что Квас можно установить в Убунту?

В Вашем профиле написано, что у Вас имеется роутер от Keenetic. С этим учетом и с учетом Вашего внимательного прочтения первого сообщения этой темы (раздел Ограничения ) и был дан ответ.
Нет, на Ubuntu установить нет возможности, если у Вас только не стоит на ней эмулятор KeenOS.

Изменено 27 июня, 2022 пользователем Zeleza

Andrey Che · 27 июня, 2022

Выбрал в качестве ДНС сервера adguard.

Kvas dns test выдаёт такой результат:

Скрытый текст

kvas dns test
---------------------------------------------------------------------------------
Тестируем получение адреса домена facebook.com ;; WARNING: response timeout for 0.0.0.0@6153(UDP)
;; WARNING: response timeout for 0.0.0.0@6153(UDP)
;; WARNING: response timeout for 0.0.0.0@6153(UDP)
;; ERROR: failed to query server 0.0.0.0@6153(UDP)
ПУСТО

Kvas test:

Скрытый текст

---------------------------------------------------------------------------------
Состояние службы dnsmasq                                          ЗАПУЩЕНА
Отслеживание [:53] порта сервисом dnsmasq                         СЛЕДИМ
---------------------------------------------------------------------------------
Состояние vpn соединения WGCF_Cloudflare                          ПОДКЮЧЕНО
Таблица маршрутов 1001                                            ЗАПОЛНЕНА
В правилах маркировки таблица 1001                                ДОБАВЛЕНА
Правила маркировки трафика в iptable                              ДОБАВЛЕНЫ
Шифрование DNS посредством dnscrypt-proxy2                        ОТКЛЮЧЕНО
---------------------------------------------------------------------------------
Наличие правил разблокировки в iptable                            ЕСТЬ
Заполнение ipset таблицы скриптами КВАСа                          ПУСТАЯ
Повтороная проверка заполнения ipset таблицы                      ОШИБКА
Проверье работу скрипта /opt/etc/ndm/fs.d/100-ipset

А вот ответ на команду kvas debug:

Скрытый текст

---------------------------------------------------------------------------------
Состояние службы dnsmasq ЗАПУЩЕНА
---------------------------------------------------------------------------------
Выборка из файла конфигурации dnsmasq
---------------------------------------------------------------------------------
user=nobody
pid-file=/var/run/opt-dnsmasq.pid
interface=br0

listen-address=192.168.1.1
listen-address=127.0.0.1
port=53

min-port=4096 # Указываем минимальную границу портов, которые будут использоваться в качестве источника для исходящих DNS-запросов.
cache-size=1536 # Указываем размер кеша в записях

bogus-priv          # Разрешаем подделывать обратные запросы для диапазонов частных адресов RFC1918
no-negcache         # Запрещаем кэшировать неудачные результаты поиска
no-resolv           # Запрещаем читать DNS из resolv.conf
no-poll             # Запрещаем опрашивать файл resolv.conf, перезагружаем только при SIGHUP
clear-on-reload     # Очищаем кеш DNS при перезагрузке dnsmasq
expand-hosts        # Преобразуем простые имена в /etc/hosts с помощью доменного суффикса
localise-queries    # Возвращает ответы на DNS-запросы из /etc/hosts и --interface-name и --dynamic-host, которые зависят от интерфейса, по которому был полуен запрос.
domain-needed       # Указывает dnsmasq никогда не пересылать запросы A или AAAA для простых имен, без точек или частей домена, на вышестоящие серверы имен.
log-async           # Включаем асинхронное ведение журнала
stop-dns-rebind     # Отклоняем адреса с вышестоящих DNS серверов, которые находятся в частных диапазонах.
rebind-localhost-ok # Освобождаем 127.0.0.0/8 и ::1 от повторной привязки проверок.

server=0.0.0.0#6153
conf-file=/opt/etc/kvas.dnsmasq

---------------------------------------------------------------------------------
Состояние vpn соединения WGCF_Cloudflare ПОДКЮЧЕНО
---------------------------------------------------------------------------------
Таблица заполенния машрутов 1001
---------------------------------------------------------------------------------
default via 172.16.0.2 dev nwg0
10.1.30.0/24 dev br1 scope link src 10.1.30.1
46.35.224.0/19 dev eth3 scope link src 46.35.253.164
162.159.193.5 via 46.35.248.1 dev eth3
192.168.1.0/24 dev br0 scope link src 192.168.1.1

---------------------------------------------------------------------------------
Таблица правил маршрутизации 1001
---------------------------------------------------------------------------------
0:      from all lookup local
10:     from all fwmark 0xffffcff lookup main
164:    from all fwmark 0xffffd00 lookup 42
165:    from all fwmark 0xffffd00 lookup unspec blackhole
166:    from all fwmark 0xffffd01 lookup 43
167:    from all fwmark 0xffffd01 lookup unspec blackhole
222:    from 172.16.0.2 lookup 84
1778:   from all fwmark 0xd1000 lookup 1001
32766: from all lookup main
32767: from all lookup default

---------------------------------------------------------------------------------
Переустановка iptables для vpn завершена УСПЕШНО
---------------------------------------------------------------------------------
Правила перенаправления трафика unblock в iptables
---------------------------------------------------------------------------------
-A PREROUTING -m conntrack --ctstate NEW -m set --match-set unblock dst -j CONNMARK --set-xmark 0xd1000/0xffffffff
-A PREROUTING -j CONNMARK --restore-mark --nfmask 0xffffffff --ctmask 0xffffffff

---------------------------------------------------------------------------------
Состояние службы dnscrypt-proxy2 ОСТАНОВЛЕНА
---------------------------------------------------------------------------------
Файл конфигурации dnscrypt-proxy
---------------------------------------------------------------------------------
---------------------------------------------------------------------------------
Содержание файла конфигурации /opt/etc/dnscrypt-proxy.toml
---------------------------------------------------------------------------------

listen_addresses=['[::]:9153']

max_clients=250

ipv4_servers=true

ipv6_servers=false

dnscrypt_servers=true

doh_servers=true

odoh_servers=false

require_dnssec=true

require_nolog=true

require_nofilter=true

disabled_server_names=[]

force_tcp=false

timeout=5000

keepalive=30

cert_refresh_delay=240

bootstrap_resolvers=['9.9.9.9:53','8.8.8.8:53']

ignore_system_dns=true

netprobe_timeout=60

netprobe_address='9.9.9.9:53'

log_files_max_size=10

log_files_max_age=7

log_files_max_backups=1

block_ipv6=false

block_unqualified=true

block_undelegated=true

reject_ttl=10

cache=true

cache_size=4096

cache_min_ttl=2400

cache_max_ttl=86400

cache_neg_min_ttl=60

cache_neg_max_ttl=600

[captive_portals]

[local_doh]

[query_log]

format='tsv'

[nx_log]

format='tsv'

[blocked_names]

[blocked_ips]

[allowed_names]

[allowed_ips]

[schedules]

[sources]

[sources.'public-resolvers']
urls=['https://raw.githubusercontent.com/DNSCrypt/dnscrypt-resolvers/master/v3/public-resolvers.md','https://download.dnscrypt.info/resolvers-list/v3/public-esolvers.md','https://ipv6.download.dnscrypt.info/resolvers-list/v3/public-resolvers.md','https://download.dnscrypt.net/resolvers-list/v3/public-resolvers.md]
cache_file='public-resolvers.md'
minisign_key='RWQf6LRCGA9i53mlYecO4IzT51TGPpvWucNSCh1CBM0QTaLn73Y7GFO3'
refresh_delay=72
prefix=''

[sources.'relays']
urls=['https://raw.githubusercontent.com/DNSCrypt/dnscrypt-resolvers/master/v3/relays.md','https://download.dnscrypt.info/resolvers-list/v3/relays.md','https//ipv6.download.dnscrypt.info/resolvers-list/v3/relays.md','https://download.dnscrypt.net/resolvers-list/v3/relays.md']
cache_file='relays.md'
minisign_key='RWQf6LRCGA9i53mlYecO4IzT51TGPpvWucNSCh1CBM0QTaLn73Y7GFO3'
refresh_delay=72
prefix=''

[broken_implementations]

fragments_blocked=['cisco','cisco-ipv6','cisco-familyshield','cisco-familyshield-ipv6','cleanbrowsing-adult','cleanbrowsing-adult-ipv6','cleanbrowsing-family,'cleanbrowsing-family-ipv6','cleanbrowsing-security','cleanbrowsing-security-ipv6']

[doh_client_x509_auth]

[anonymized_dns]

skip_incompatible=false

[dns64]

[static]

---------------------------------------------------------------------------------
Выборка из файла конфигурации dnscrypt-proxy2
---------------------------------------------------------------------------------
listen_addresses = ['[::]:9153']
cache = true

---------------------------------------------------------------------------------
Список разблокировки (20 записей)
---------------------------------------------------------------------------------
*ads-twitter.com
*cdnfacebook.com
*cdninstagram.com
*f.vision
*facebook.com
*fbcdn.net
*instagram.com
*rutracker.org
*twitter.com
2ip.ru
4pda.ru
browserleaks.com
openwrt.org

---------------------------------------------------------------------------------
Скрипт заполнения таблицы ipset /opt/bin/kvas_ipset
---------------------------------------------------------------------------------
#!/bin/sh
# проверяем доступность сети
until ADDRS=$(kdig +short ya.ru @0.0.0.0:6153 ) && [ -n "${ADDRS}" ] > /dev/null 2>&1; do sleep 5; done

# обновляем таблицу ipset данными из файла с доменными именами, IP и сетями
while read -r line || [ -n "${line}" ]; do

# пропускаем строки c минусами - это рекламные сайты
[ "${line::1}" = "-" ] && continue

# удаляем из строки комментарии - все что встречается после символа # и сам символ
line=$(echo "${line}" | sed 's/#.*$//g' | tr -s ' ' )
# пропускаем пустые строки и строки с комментариями
[ -z "${line}" ] && continue
# пропускаем строки с комментариями
[ "${line:0:1}" = "#" ] && continue

# убираем плюс перед доменным именем
if [ "${line::1}" = "+" ]; then line="${line:1:${#line}}"; fi

# обрабатываем и добавляем в таблицу сети, например 134.55.16.0/24
cidr=$(echo "${line}" | grep -Eo '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}/[0-9]{1,2}')
if [ -n "${cidr}" ]; then
ipset -exist add unblock "${cidr}"
continue
fi

# обрабатываем и добавляем в таблицу интервалы сетей, например 134.55.16.0-134.55.18.0
range=$(echo "${line}" | grep -Eo '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}-[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}')
if [ -n "${range}" ]; then
ipset -exist add unblock "${range}"
continue
fi

# обрабатываем и добавляем в таблицу IP адреса, например 134.55.16.34
addr=$(echo "${line}" | grep -Eo '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}')
if [ -n "${addr}" ]; then
ipset -exist add unblock "${addr}"
continue
fi

# обрабатываем и добавляем в таблицу домены, из которых получаем сначала IP адреса
line=$(echo "${line}" | sed 's/\*//')
kdig +short "${line}" @0.0.0.0:6153 | grep -Eo '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}' \
| awk '{system("ipset -exist add unblock "$1)}'

done < /opt/etc/kvas.list

kilia · 27 июня, 2022

Добрый день!

19 минут назад, Teutonick сказал:

Добрый день! А можно посмотреть исходники программы?

И еще вопрос, у меня почему то не завелось, пишет:

failed to load names from /opt/etc/hosts: No such file or directory

Попробую, пожалуй, все снести и настроить заново.

Можно попробовать:

touch /opt/etc/hosts

Zeleza · 27 июня, 2022

22 минуты назад, Andrey Che сказал:

Kvas dns test выдаёт такой результат:

Доброго дня,
Чуть подправил, пробуем КВАС

Zeleza · 27 июня, 2022

45 минут назад, Teutonick сказал:

failed to load names from /opt/etc/hosts: No such file or directory

Доброго дня,

Многократно писал - если есть желание узнать что-либо о проблеме случившейся:

пожалуйста пишите в личку о ней, не превращайте тему в мусорный ящик
специально создал команду kvas debug, для подобных случаев. Пожалуйста, потрудитесь, прислать вывод этой команды.

Изменено 27 июня, 2022 пользователем Zeleza

Пробуем КВАС

Рекомендуемые сообщения

Топ авторов темы

Популярные дни

Топ авторов темы

Популярные дни

Популярные посты

Zeleza

Zeleza

Zeleza

Изображения в теме

Присоединяйтесь к обсуждению

Последние посетители 0 пользователей онлайн

Важная информация