ipset-dns для выборочного роутинга

[Mih-Miha]

Всем привет. Сначала пробовал сделать по инструкции из первого поста. Работало, но после перезагрузки приходилось запускать вручную.

Потом всё с чистого листа сделал по инструкции @Drafted. Работало пару месяцев, но сегодня отключали свет и после этого всё накрылось.

При этом при попытке ввести команду:

vi /opt/etc/dnsmasq.conf

 Получаю

vi /opt/etc/dnsmasq.conf: not found

 

Тоже самое и для команды:

cat /tmp/ndnproxymain.stat

 

Пробовал все переустановить. Всё настраивается, но не работает. Через несколько минут опять не работают вышеуказанные команды:(

Подскажите  в какую сторону хоть копать? 

И можно как-то отключить фильтрацию не удаляя список сайтов? А то сейчас ставлю vpn в приоритет, отключил opkg, но сайты из списка все равно не работают ((

Giga (KN-1010) 4.2.1

 

 

Изменено 20 октября пользователем Mih-Miha

[keenet07]

Менять в ручную маршрут по умолчанию. Или добавляйте в каждую запись домена посторонний символ или несколько, чтоб не срабатывало на целевой. Например вместо books.ru напишите zzzbooks.ru. И всё, исходный домен исключен. Только VPN должен быть отключен или устройство перезагружено.

Изменено 21 октября пользователем keenet07

[Mih-Miha]

Спасибо. 

Жаль, что нет простой кнопки "выкл", а то менять 50+ записей такое себе занятие.

Ещё ббы разобраться с основной проблемой 😞

[Dime77]

Поймал глюк, а именно если Wireguard включен, галочка "использовать для выхода в интернет" отключена и установлен IPset-dns, но почему то именно на не прописанные сайты роутер все равно может направлять через wireguard. 

Как это можно исправить?

 

[keenet07]

1 минуту назад, Dime77 сказал:

Поймал глюк, а именно если Wireguard включен, галочка "использовать для выхода в интернет" отключена и установлен IPset-dns, но почему то именно на не прописанные сайты роутер все равно может направлять через wireguard. 

Как это можно исправить?

 

Тут нужна конкретика. Как и в какой последовательности вы проверяете и ловите эту ситуацию. Какие домены точно прописаны в списки в веб-интерфейсе, а какие не были прописаны никогда. Не висят ли на одном IP адресе несколько доменов из тех которые вызывают у вас проблему.

[Dime77]

1 час назад, keenet07 сказал:

Тут нужна конкретика. Как и в какой последовательности вы проверяете и ловите эту ситуацию. Какие домены точно прописаны в списки в веб-интерфейсе, а какие не были прописаны никогда. Не висят ли на одном IP адресе несколько доменов из тех которые вызывают у вас проблему.

Прописаны в веб-интерфейсе следующие сайты:
discord.com
google.com
googleusercontent.com
googlevideo.com
gvt1.com
i.ytimg.com
twitch.tv
youtube.com

А проблема наблюдается на сайте vseinstrumenti.ru, проблема началась после того как vseinstrumenti.ru внедрил защиту Cloudflare.

Проявляется как: 
1)    Невозможно авторизоваться выходит ошибка
2)    Невозможно положить товар в корзину 
Создал отдельную политику подключения и оставил там только wireguard -  проблема не ушла, а вот если отключить wireguard подключение, то проблема сразу же решается.  Видимо Cloudflare как-то блочит траффик.

Но теперь ясно только то, что общее, наверное, между сайтами и есть тот самый Cloudflare
 

[keenet07]

1 час назад, Dime77 сказал:

Но теперь ясно только то, что общее, наверное, между сайтами и есть тот самый Cloudflare

Так и есть скорее всего. Среди прописанных доменов адресов Cloudflare я не увидел. Если только иногда что-то может туда проскочить. Или где-то ещё...

А вы до того как на ipset-dns перешли случайно не добавляли какие-нибудь статические пользовательские маршруты для доступа на какие-либо другие сайты через тот же wireguard? Может там чего лишнего использующего Cloudflare  и висит до сих пор?

Ну а в целом по ситуации остается тогда попробовать и домен vseinstrumenti.ru включить в список ipset-dns, если конечно это вас устроит. Или отключать wireguard при пользовании этим сайтом.

Изменено 1 ноября пользователем keenet07

[Dime77]

3 часа назад, keenet07 сказал:

Так и есть скорее всего. Среди прописанных доменов адресов Cloudflare я не увидел. Если только иногда что-то может туда проскочить. Или где-то ещё...

А вы до того как на ipset-dns перешли случайно не добавляли какие-нибудь статические пользовательские маршруты для доступа на какие-либо другие сайты через тот же wireguard? Может там чего лишнего использующего Cloudflare  и висит до сих пор?

Ну а в целом по ситуации остается тогда попробовать и домен vseinstrumenti.ru включить в список ipset-dns, если конечно это вас устроит. Или отключать wireguard при пользовании этим сайтом.

Да, при удалении маршрутов все начинает работать как нужно, маршруты прописаны для discord. 

Совпадающие маршруты
route ADD 104.16.0.0 MASK 255.240.0.0 0.0.0.0
route ADD 104.16.51.111 MASK 255.255.255.255 0.0.0.0
route ADD 104.17.0.0 MASK 255.240.0.0 0.0.0.0
route ADD 104.17.192.0 MASK 255.255.192.0 0.0.0.0
route ADD 104.18.0.0 MASK 255.254.0.0 0.0.0.0
route ADD 104.19.192.0 MASK 255.255.192.0 0.0.0.0

 

Изменено 1 ноября пользователем Dime77

[Dime77]

2 часа назад, keenet07 сказал:

Так и есть скорее всего. Среди прописанных доменов адресов Cloudflare я не увидел. Если только иногда что-то может туда проскочить. Или где-то ещё...

А вы до того как на ipset-dns перешли случайно не добавляли какие-нибудь статические пользовательские маршруты для доступа на какие-либо другие сайты через тот же wireguard? Может там чего лишнего использующего Cloudflare  и висит до сих пор?

Ну а в целом по ситуации остается тогда попробовать и домен vseinstrumenti.ru включить в список ipset-dns, если конечно это вас устроит. Или отключать wireguard при пользовании этим сайтом.

Спасибо большое, просто удалил из маршрута перекрёстные адреса и пока все работает нормально, в том числе и discord

[Bravi49]

Добрый день.

Всё было настроено по инструкции из первого поста и работало.

Обновил Keneetic Ultra до 4.2.1, после перезагрузки работать перестало.

Пробовал и не помогло:

1) Вводить команду /opt/etc/init.d/S52ipset-dns start, на что получал ответ

ipset v7.17: Set cannot be created: set with the same name already exists
ipset v7.17: Element cannot be added to the set: it's already added

2) Вводить команду /opt/etc/init.d/S52ipset-dns restart

3) Менять порт по совету из комментариев в S52ipset-dns и интернет-фильтрах с 5353 на 5300

4) Отключать и переподключать встроенное хранилище. (в какой-то момент кстати оно стало только отключаться, назад уже не переподключается. Помогает перезагрузка роутера).

5) Очищать ipset командой ipset flush bypass (ipset list bypass показывает, что список наполняется)

При этом обратил внимание, что мой WireGuard висит в статусе "нет соединения", хотя ползунок в положении "вкл". Т.е. происходит максимум одно рукопожатие, а дальше пир опять горит серым "вне сети".

Полагаю причина в этом, как можно исправить?

При этом к этому же VPN напрямую через телефон подключается (то есть сам VPN работает).

И на всякий случай: как удалить с роутера все вещи связанные с ipset? (вернуть роутер в состояние "до" установки и настройки ipset).

 

Изменено 6 ноября пользователем Bravi49

[speed21 Габриэлович]

В 06.11.2024 в 14:24, Bravi49 сказал:

И на всякий случай: как удалить с роутера все вещи связанные с ipset? (вернуть роутер в состояние "до" установки и настройки ipset).

Меня тоже интересует этот вопрос, хочу удалить, но непонятно как.

[keenet07]

2 часа назад, speed21 Габриэлович сказал:

Меня тоже интересует этот вопрос, хочу удалить, но непонятно как.

Откройте файл установки пакета IPSET-DNS если речь о нем и посмотрите структуру директорий и что куда копировалось. Удалите вручную.

[Denis P]

2 часа назад, speed21 Габриэлович сказал:

Меня тоже интересует этот вопрос, хочу удалить, но непонятно как.

Как и любой другой пакет из entware

opkg remove ipset-dns-keenetic

[fateev]

Сегодня ряд сайтов перестал работать. Где-то начал утекать DNS. Редиректит на станицу с запретом провайдера (причем какой-то магистральный). Даже через ресолв DNS внутри VPN. Пришлось добавить ресолв через DoT.

Изменено 10 ноября пользователем fateev

[spark1337]

А может ли эта приблуда использовать резольвер самого кинетика ?
Есть ли возможность его вот тут указать ?

Изменено 16 ноября пользователем spark1337

[keenet07]

5 минут назад, spark1337 сказал:

А может ли эта приблуда использовать резольвер самого кинетика ?
Есть ли возможность его вот тут указать ?

Конечно можно. Можно даже DOH/DOT там указать. И нужно будет убрать в одном из файлов строчку которая маршрутизирует DNS в сам туннель.

Изменено 16 ноября пользователем keenet07

[Gary Komarov]

В 08.04.2024 в 21:14, Drafted сказал:

ipset create bypass hash:ip

Спасибо за решение!

Мое замечания в т.ч. по результату попыток совмещения с решением обхода DPI от bol-van/zapret:
1. Лучше "ipset create bypass hash:net -exist", понятно проверить поддержку роутером "hash:net", если нет то оставить "hash:ip"
2. Чтобы в скриптах случайно не пересекалось, ipset надо переименовать с "bypass" на нечто более уникальное, например "bypass1"
Ибо существует опция "--queue-bypass"
Сделать "ipset create bypass1 hash:net -exist" и в прочих скриптах тоже "bypass1"

[spark1337]

On 11/16/2024 at 9:23 PM, keenet07 said:

Конечно можно. Можно даже DOH/DOT там указать. И нужно будет убрать в одном из файлов строчку которая маршрутизирует DNS в сам туннель.

Понял, спасибо. Есть еще вопросы, у меня 2 провайдера, т.е. 2 политики, можно ли сделать так, чтобы только трафик с определенной политики шел на впн в этом случае ? 

Например есть политика Test123, в нее добавлен условный телефон, и чтобы трафик к тому же ютубу шел в туннель только для тех, кто в политике Test123 ?
И как при изменении параметров в bypass.conf перезапускать ipset-dns ? 

[keenet07]

1 час назад, spark1337 сказал:

И как при изменении параметров в bypass.conf перезапускать ipset-dns ? 

/opt/etc/init.d/S52ipset-dns restart

Про политики не подскажу.

[aleeko]

В 18.11.2024 в 18:50, keenet07 сказал:

/opt/etc/init.d/S52ipset-dns restart

Про политики не подскажу.

сколько заметил в S52ipset-dns нет директивы на перезапуск
Можете подлиться вашим файлом S52ipset-dns?


И подскажите, какие домены добавить для Ютуба, что бы весь его контент переадресовывался в VPN?

[keenet07]

23 часа назад, aleeko сказал:

сколько заметил в S52ipset-dns нет директивы на перезапуск
Можете подлиться вашим файлом S52ipset-dns?

Он такой же как ваш. Приведенная выше команда неверная. Я её не проверял никогда.

Просто там перезагрузка никакая и не нужна. Скрипты срабатывают автоматически при обращении по доменам и всё проверяется и дополняется. Если нужно почистить все созданные маршруты, то нужна перезагрузка устройства. Скрипта отчищающего все внесенные маршруты я не видел.

[Dalex]

В 26.11.2024 в 13:35, aleeko сказал:

какие домены добавить для Ютуба

youtube.com
googlevideo.com
ytimg.com
ggpht.com
youtu.be
youtubei.googleapis.com
И для ребенка youtubekids.com

[aleeko]

ДОброе утро всем, замечаю уже второй день подряд, что утром после ночи и включения устройств, ipset list наполнен ip адресами, но сам Ютубе не открывается ни на одном устройстве.
Есть ли те, у кого стабильно работает утилита ipset?
сделал ipset flush -  очистить список адресов, c надеждой снова заполнить пул адресами
Но ipset list не заполняется...
Как можно перезапустить  ipset без перезагрузки роутера? 
И кому то удалось сделать так, что бы резолв не отлетал?

Изменено 2 декабря пользователем aleeko
Дополнение

[Дмитрий Елисеев]

Всем привет!
Подскажите, пожалуйста, решение от @Drafted 

работает с udp-протоколами или нет?
У меня войсчат discord'a и шэринг экрана к сожалению не работает. Останавливается на шаге: "Подключение к RTC", выдает о неудачном подключении и начинает заново подключаться

[umnick]

добрых суток!

мне нужно весть внешний трафик пустить через vpn подключение. 

поставил 

curl --interface wg0 http://myip.wtf/json

отдает правильный location.

пытался правилами весь трафик завернуть на wg0 - не получается.

поставил эту утилиту, рассчитывая перенаправить если не весь трафик, то хотя бы с указанных доменов. начал с 2ip.io

ping работает, traceroute - нет.

подскажите, пожалуйста, куда копать (мне нужно весь внешний трафик с локальной подсети пустить через vpn)

[keenet07]

Для этого вообще не требуется ничего дополнительного ставить.

В VPN соединении поставьте галку на Использовать для выхода в интернет.

Затем в Приоритетах подключений у вас появится это ваше VPN подключение. Создайте там для него новую политику и добавьте в неё устройства которые должны работать через этот VPN.

[umnick]

46 minutes ago, keenet07 said:

Для этого вообще не требуется ничего дополнительного ставить.

В VPN соединении поставьте галку на Использовать для выхода в интернет.

Затем в Приоритетах подключений у вас появится это ваше VPN подключение. Создайте там для него новую политику и добавьте в неё устройства которые должны работать через этот VPN.

спасибо за ответ. проблема в том, что как я выше написал, VPN на вебморде не виден (у меня старый кинетик, он многого уже не умеет).

проблему между тем решил, кому интересно, детали можно найти в теме amneziawg-go