AdGuard Home для селективной маршрутизации доменов

r13 · 7 августа, 2023

Только что, coolmen0509 сказал:

А понял, глупый вопрос конечно - как в политиках по умолчанию убрать ВПН соединение, или если только для интернета основного новую политику?

Никак, просто его в самый низ по приоритетам сдвинуть и оно не будет использоваться.

coolmen0509 · 7 августа, 2023

У меня при таких настройках, да и на старых скриптах тоже - ipv6 от провайдера перестает получать. Может надо у скриптах строчку какую то модифицировать?

r13 · 7 августа, 2023

24 минуты назад, coolmen0509 сказал:

У меня при таких настройках, да и на старых скриптах тоже - ipv6 от провайдера перестает получать. Может надо у скриптах строчку какую то модифицировать?

Тут нужно прдробнее, что не получает, что за провайдер.

coolmen0509 · 7 августа, 2023

У провайдера нативный ipv6, как только ввожу скрипт и перезагружаю роутер - во время загрузки он получает адрес и сразу же отваливается и больше ipv6 нет пока не убрать скрипты. Да и еще если честно с вашим решением и сайты маркированные не открываются... (но это я наверное что-то не то делаю)..

r13 · 7 августа, 2023

1 час назад, coolmen0509 сказал:

У провайдера нативный ipv6, как только ввожу скрипт и перезагружаю роутер - во время загрузки он получает адрес и сразу же отваливается и больше ipv6 нет пока не убрать скрипты. Да и еще если честно с вашим решением и сайты маркированные не открываются... (но это я наверное что-то не то делаю)..

Понятнее не стало. Что значит отваливается? На интерфейсе поровайдера префикс остаётся?

coolmen0509 · 7 августа, 2023

Префикс, остается - но сайты ipv6 не видятся..

coolmen0509 · 7 августа, 2023

Конечно глупый вопрос, но в скрипте не написано - откидывать весь трафик, данной строчкой:

[ "$type" == "ip6tables" ] && exit

Скрытый текст

Изменено 7 августа, 2023 пользователем coolmen0509

r13 · 7 августа, 2023

1 минуту назад, coolmen0509 сказал:
Конечно глупый вопрос, но в скрипте не написано - откидывать весь трафик, данной строчкой:
[ "$type" == "ip6tables" ] && exit

Нет, это проверка типа хука.

6 минут назад, coolmen0509 сказал:

Префикс, остается - но сайты ipv6 не видятся..

Значит не отваливается.

Далее уже сложно без селфтеста угадывать...

Ну попробуем.

Какой выхлоп у команды:

show ipv6 route

coolmen0509 · 7 августа, 2023

Скрытый текст

image.png.0fb1d6f6f9af5e8d1d0bb2b36e2f4b2e.png

r13 · 7 августа, 2023

3 минуты назад, coolmen0509 сказал:

Скрыть содержимое

Это полный вывод?

В этом выводе нет маршрута по умолчанию, и fd префикс это от vpn туннеля?

coolmen0509 · 7 августа, 2023

34 минуты назад, r13 сказал:

Это полный вывод?

В этом выводе нет маршрута по умолчанию, и fd префикс это от vpn туннеля?

Это при неработающем после скриптов v6 был вывод (на роутинге нет от впна в6). ниже скрин с роутингом, когда все отключено, и работает только провайдер:

Скрытый текст

r13 · 7 августа, 2023

Идеи кончились...

Можно выяснить какой именно скрипт все сломал?

13 минуты назад, coolmen0509 сказал:

Это при неработающем после скриптов v6 был вывод (на роутинге нет от впна в6). ниже скрин с роутингом, когда все отключено, и работает только провайдер:

Скрыть содержимое

coolmen0509 · 8 августа, 2023

8 часов назад, r13 сказал:

Идеи кончились...

Можно выяснить какой именно скрипт все сломал?

Как выяснить, если бы я понимал бы - не спрашивал бы

r13 · 8 августа, 2023

36 минут назад, coolmen0509 сказал:

Как выяснить, если бы я понимал бы - не спрашивал бы

Добавлять по одному и смотреть на результат)

vasek00 · 8 августа, 2023

В свое время пробовал "хитрую" схему, но может она не хитрая, а как то мудрено или наоборот проще - по возможности контроль оставить ПО прошивки.

1. Есть профили :

- основной

- WG от WARP (в итоге "MARK set 0xffffd00" и table 42 в которой "default dev nwg0 scope link") актив канал только он

- WG от Proton (в итоге "MARK set 0xffffd02" и table 44 в которой "default dev nwg4 scope link") актив канал только он

Важная ремарка которую нужно учитывать - MARK пакетов будет только после наличия клиента в данном/нужном профиле, нет клиента нет и маркировки (но ее можно и руками)

2. Нужно было обеспечить доступ к netflix сайту для клиента -> это позволяет профиль от Proton.

Задача на клиенте использовать выход по WARP но на сайт netflix через Proton

Скрытый текст

скрипт в /opt/etc/ndm/netfilter.d

#!/bin/sh

[ "$table" != "mangle" ] && exit 0

if [ -z "$(iptables-save | grep 'netflix')" ]; then
 iptables -t mangle -I _NDM_HOTSPOT_PRERT -i br0 -s 192.168.130.2/32 -j RETURN
 iptables -t mangle -I _NDM_HOTSPOT_PRERT -i br0 -s 192.168.130.2/32 -j CONNMARK --save-mark 
 iptables -t mangle -I _NDM_HOTSPOT_PRERT -i br0 -s 192.168.130.2/32 -m set --match-set netflix dst -j MARK --set-mark 0xffffd02
 iptables -t mangle -I _NDM_HOTSPOT_PRERT -i br0 -s 192.168.130.2/32 -j MARK --set-mark 0xffffd00
fi

exit 0

Настройки AdguardHome 

ipset: []
  ipset_file: /opt/home/AdGuardHome/ipset.conf

И само содержимое файла 

flxvpn.net,netflix.ca,netflix.com,netflix.com.au,netflixdnstest10.com,netflixdnstest1.com,netflixdnstest2.com,netflixdnstest3.com,netflixdnstest4.com,netflixdnstest5.com,netflixdnstest6.com,netflixdnstest7.com,netflixdnstest8.com,netflixdnstest9.com,netflixinvestor.com,netflix.net,netflixstudios.com,netflixtechblog.com,nflxext.com,nflximg.com,nflximg.net,nflxso.net,nflxvideo.net/netflix

Единственную команду 
 
ipset create netflix hash:ip hashsize 4096

Можно поместить в /opt/etc/init.d/105-Start.sh например скрипт

Пояснения

_NDM_HOTSPOT_PRERT - это место как раз для HOTSPOT PREROUTING

Она будет выглядеть так

Chain _NDM_HOTSPOT_PRERT (1 references)
 pkts bytes target     prot opt in     out     source               destination         
  490 84052 MARK       all  --  br0    *       192.168.130.2        0.0.0.0/0            MARK set 0xffffd00
   79 26503 MARK       all  --  br0    *       192.168.130.2        0.0.0.0/0            match-set netflix dst MARK set 0xffffd02
  490 84052 CONNMARK   all  --  br0    *       192.168.130.2        0.0.0.0/0            CONNMARK save
  490 84052 RETURN     all  --  br0    *       192.168.130.2        0.0.0.0/0

и должна выглядеть именно так

т.е. у нас для клиента есть два варианте - на все сайты это WARP (mark 0xffffd00) а на сайт netflix это Proton (mark 0xffffd02) маршрутизация согласно профилям для данных маркировок.

Примечание чтоб остальное не нарушить для данного клиента он так же помещен в профиль WARP, хотя можно его и оставить в основном профиле, тогда это только

#!/bin/sh

[ "$table" != "mangle" ] && exit 0

if [ -z "$(iptables-save | grep 'netflix')" ]; then
 iptables -t mangle -I _NDM_HOTSPOT_PRERT -i br0 -s 192.168.130.2/32 -j RETURN
 iptables -t mangle -I _NDM_HOTSPOT_PRERT -i br0 -s 192.168.130.2/32 -j CONNMARK --save-mark 
 iptables -t mangle -I _NDM_HOTSPOT_PRERT -i br0 -s 192.168.130.2/32 -m set --match-set netflix dst -j MARK --set-mark 0xffffd02
fi

exit 0

/opt/etc/init.d # ipset list netflix

/opt/etc/init.d # ipset list netflix
Name: netflix
Type: hash:ip
Revision: 4
Header: family inet hashsize 4096 maxelem 65536
Size in memory: 1008
References: 2
Members:
54.246.79.9
54.74.73.31
46.137.171.215
45.57.0.158
3.251.50.149
34.252.74.1
45.57.90.1
45.57.91.1
54.73.148.110
18.200.8.190
198.38.115.173
54.170.196.176
198.38.115.168
52.31.48.193
45.57.0.163
198.38.115.185
54.155.178.5
52.214.181.141
54.155.246.232
/opt/etc/init.d #

***

Еще один пример на этом же методе но с " dscp "

 iptables -t mangle -I _NDM_HOTSPOT_PRERT -i br0 -s 192.168.130.2/32 -j RETURN
 iptables -t mangle -I _NDM_HOTSPOT_PRERT -i br0 -s 192.168.130.2/32 -j CONNMARK --save-mark 
 iptables -t mangle -I _NDM_HOTSPOT_PRERT -i br0 -s 192.168.130.2/32 -m dscp --dscp 63 -j MARK --set-mark 0xffffd01
 iptables -t mangle -I _NDM_HOTSPOT_PRERT -i br0 -s 192.168.130.2/32 -j MARK --set-mark 0xffffd00

-m dscp --dscp 63 - это маркировка для приложения на клиенте торрент качалки которая выходит по профилю multipath (его маркировка mark 0xffffd01 и его table 43), а все остальное на WARP профиль. Опять именно в такой последовательности -> сначала mark для профиля WARP и если пакет не для торрент то идем далее, если же он для торрента то устанавливаем mark для профиля multipath

Как и сказал выше суть его в том как можно больше использовать уже готовый функционал в ПО :

1. не надо строить ни каких своих table (WEB создаст профиль и table для него);

2. для поддержания актуальности таблицы роутинга поддержка ее на плечах ПО роутера, так как есть профиль -> есть и table

3. осталась только маркировка но тут как говориться вариантов много, кому как нравится

Как то так, все оба варианта проверены :

- по первому speedtest показал IP от WARP 104.28.ххх.ххх, и netflix открылся по Proton (так как регион RU заблокирован для него)

- по второму торрент качалка с клиента шла на multipath (видно было по системному монитору на двух каналах) а тот же speedtest с этого клиента по WARP.

Был замечен глюк не глюк (может просто накладка была) при втором варианте с применением

net.ipv4.fib_multipath_hash_policy 1

для multipath

***

DNS тут везде завернут на AGH, т.е. на любом интерфейсе IP DNS указывает на роутер, так как он вертится на

dns:
  bind_hosts:
    - 192.168.130.101
    - 127.0.0.1
  port: 53

и пока работает такая схема где 192.168.130.101 это сам роутер

ip name-server 192.168.130.101 "" on Wireguard0
ip name-server 192.168.130.101 "" on Wireguard4

где Wireguard0 это профиль WARP, а Wireguard4 это профиль Proton

Фильтры ни какие не используются и даже не рассматривались.

Изменено 8 августа, 2023 пользователем vasek00

r13 · 8 августа, 2023

В 06.08.2023 в 21:28, r13 сказал:

ЗЫ работоспособность скриптов проверил, но сейчас в локации без v6 так что полностью проверю через пару дней как буду дома(там аналогичная конструкция работает).

Такс проверено, работает, заодно оптимизировал на максимальное использование штатного функционала.

Как выясняется все равно инструкцию надо менять, так как с версии 4.0 скрипты в папке /opt/etc/ndm/ifstatechanged.d/ считаются устаревшими https://github.com/ndmsystems/packages/wiki/Opkg-Component#ndmifstatechangedd-obsoleted-since-40-kept-only-for-backward-compatibility.

Соответственно дубль 2:

Требования -

KeenOS версия 4.х
Развёрнутая среда Entware,
Рабочее VPN-соединение поверх провайдерского, по которому будет идти обращение к определённым доменам
Для работы через ipv6 наличие рабочего ipv6 на основном подключении и VPN

Установка пакетов

Подразумевается, что AGH будет использоваться вместо встроенной в прошивку службы DNS Proxy. Установите необходимые пакеты:

opkg install adguardhome-go ipset iptables ip-full curl jq

Выполните первоначальную настройку AGH, для чего в CLI роутера наберите:

opkg dns-override
system configuration save

В этот момент Entware-сервисы будут перезапущены, а интерфейс для первоначальной настройки AGH станет доступен по адресу http://192.168.1.1:3000, где 192.168.1.1 — IP-адрес роутера. Настройки по умолчанию подходят для большинства случаев.

Скриптовая обвязка

Результаты разрешения указанных доменных имён AGH будет помещать в ipset (bypass/bypass6 в примере), правилами iptables трафик по этим IP-адресам будет помечаться fwmark, c идентификатором соответствующим политике в KeenOS.

Первый скрипт — создание ipset'а при старте роутера. Создайте файл /opt/etc/init.d/S52ipset со следующим содержимым:

#!/bin/sh

PATH=/opt/sbin:/opt/bin:/opt/usr/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

if [ "$1" = "start" ]; then
    ipset create bypass hash:ip
    ipset create bypass6 hash:ip family inet6
fi

И еще пара скриптов для пометки трафика с помощью fwmark. Актуальная прошивка активно использует эту возможность, поэтому маркировать трафик приходится точечно.

В двух последующих скриптах заменить <Имя полиси> на название политики в которую нужно перенаправлять трафик

Создайте файл /opt/etc/ndm/netfilter.d/010-bypass.sh c контентом для пометки ipv4 трафика:

#!/bin/sh

[ "$type" == "ip6tables" ] && exit
[ "$table" != "mangle" ] && exit
[ -z "$(ipset --quiet list bypass)" ] && exit

if [ -z "$(iptables-save | grep bypass)" ]; then
     mark_id=`curl -kfsS http://localhost:79/rci/show/ip/policy 2>/dev/null | jq -r '.[] | select(.description == "<Имя полиси>") | .mark'`
     iptables -w -t mangle -A PREROUTING ! -i nwg0 -m conntrack --ctstate NEW -m set --match-set bypass dst -j CONNMARK --set-mark 0x$mark_id
     iptables -w -t mangle -A PREROUTING ! -i nwg0 -m set --match-set bypass dst -j CONNMARK --restore-mark
fi

Создайте файл /opt/etc/ndm/netfilter.d/011-bypass6.sh c контентом для пометки ipv6 трафика:

#!/bin/sh

[ "$type" != "ip6tables" ] && exit
[ "$table" != "mangle" ] && exit
[ -z "$(ipset --quiet list bypass6)" ] && exit

if [ -z "$(ip6tables-save | grep bypass6)" ]; then
     mark_id=`curl -kfsS http://localhost:79/rci/show/ip/policy 2>/dev/null | jq -r '.[] | select(.description == "<Имя полиси>") | .mark'`
     ip6tables -w -t mangle -A PREROUTING ! -i nwg0 -m conntrack --ctstate NEW -m set --match-set bypass6 dst -j CONNMARK --set-mark 0x$mark_id
     ip6tables -w -t mangle -A PREROUTING ! -i nwg0 -m set --match-set bypass6 dst -j CONNMARK --restore-mark
fi

В скриптах nwg0 — сетевой интерфейс VPN-соединения для выборочного обхода блокировок. Если затрудняетесь в его поиске, то посмотрите вывод команды ip addr.

Сделайте скрипты исполняемыми:

chmod +x /opt/etc/init.d/S52ipset
chmod +x /opt/etc/ndm/netfilter.d/010-bypass.sh
chmod +x /opt/etc/ndm/netfilter.d/011-bypass6.sh

и переходите к финальному пункту.

Список доменов для обхода блокировок

Найдите в конфигурационном файле AGH /opt/etc/AdGuardHome/AdGuardHome.yaml строчку ipset_file: "" и поменяйте на ipset_file: /opt/etc/AdGuardHome/ipset.conf.

Файл /opt/etc/AdGuardHome/ipset.conf будет единственным, требующим редактирования время от времени, в зависимости от изменения вашего персонального списка доменов для разблокировки. Он имеет следующий синтаксис:

intel.com,ipinfo.io/bypass,bypass6
instagram.com,cdninstagram.com/bypass,bypass6
epicgames.com,gog.com/bypass,bypass6

Т.е. в левой части через запятую указаны домены, требующие обхода блокировок, справа после слэша — ipset, в который AGH складывает результаты разрешения DNS-имён. Можно указать всё в одну строчку, можно разделить логически на несколько строк как в примере. Домены третьего уровня и выше также включаются в обход блокировок, т.е. указание intel.com включает www.intel.com, download.intel.com и пр.
Рекомендую добавить какой-нибудь «сигнальный» сервис, показывающий ваш текущий IP-адрес (ipinfo.io в примере). Так вы сможете проверить работоспособность настроенного решения. Учтите, что AGH не перечитывает изменённый файл, поэтому после правки перезапустите его с помощью:

/opt/etc/init.d/S99adguardhome restart

Диагностика проблем

Убедитесь в том, что набор ipset создан и наполняется в процессе работы:

# Проверка  ipv4
ipset --list bypass
# Проверка  ipv6
ipset --list bypass6

Вывод должен быть не пустой.

Посмотрите, существуют ли правила netfilter для пометки пакетов:

# Проверка  ipv4
iptables-save | grep bypass
# Проверка  ipv6
ip6tables-save | grep bypass6

После перезагрузки роутера проверьте в веб-интерфейсе Системный журнал, в нём не должно быть красных строк, связанных с настроенными скриптами.

В итоге:

Скрытый текст

avn · 8 августа, 2023

3 часа назад, r13 сказал:
Такс проверено, работает, заодно оптимизировал на максимальное использование штатного функционала.

Как выясняется все равно инструкцию надо менять, так как с версии 4.0 скрипты в папке /opt/etc/ndm/ifstatechanged.d/ считаются устаревшими https://github.com/ndmsystems/packages/wiki/Opkg-Component#ndmifstatechangedd-obsoleted-since-40-kept-only-for-backward-compatibility.

Соответственно дубль 2:

Требования -

KeenOS версия 4.х

Развёрнутая среда Entware,

Рабочее VPN-соединение поверх провайдерского, по которому будет идти обращение к определённым доменам

Для работы через ipv6 наличие рабочего ipv6 на основном подключении и VPN

Установка пакетов

Подразумевается, что AGH будет использоваться вместо встроенной в прошивку службы DNS Proxy. Установите необходимые пакеты:
opkg install adguardhome-go ipset iptables ip-full
Выполните первоначальную настройку AGH, для чего в CLI роутера наберите:
opkg dns-override
system configuration save
В этот момент Entware-сервисы будут перезапущены, а интерфейс для первоначальной настройки AGH станет доступен по адресу http://192.168.1.1:3000, где 192.168.1.1 — IP-адрес роутера. Настройки по умолчанию подходят для большинства случаев.

Скриптовая обвязка

Результаты разрешения указанных доменных имён AGH будет помещать в ipset (bypass/bypass6 в примере), правилами iptables трафик по этим IP-адресам будет помечаться fwmark, c идентификатором соответствующим политике в KeenOS.

Первый скрипт — создание ipset'а при старте роутера. Создайте файл /opt/etc/init.d/S52ipset со следующим содержимым:
#!/bin/sh

PATH=/opt/sbin:/opt/bin:/opt/usr/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

if [ "$1" = "start" ]; then
    ipset create bypass hash:ip
    ipset create bypass6 hash:ip family inet6
fi
И еще пара скриптов для пометки трафика с помощью fwmark. Актуальная прошивка активно использует эту возможность, поэтому маркировать трафик приходится точечно. Создайте файл /opt/etc/ndm/netfilter.d/010-bypass.sh c контентом для пометки ipv4 трафика:
#!/bin/sh

[ "$type" == "ip6tables" ] && exit
[ "$table" != "mangle" ] && exit
[ -z "$(ipset --quiet list bypass)" ] && exit

if [ -z "$(iptables-save | grep bypass)" ]; then
     iptables -w -t mangle -A PREROUTING ! -i nwg0 -m conntrack --ctstate NEW -m set --match-set bypass dst -j CONNMARK --set-mark 0xffffd02
     iptables -w -t mangle -A PREROUTING ! -i nwg0 -m set --match-set bypass dst -j CONNMARK --restore-mark
fi
Создайте файл /opt/etc/ndm/netfilter.d/011-bypass6.sh c контентом для пометки ipv6 трафика:
#!/bin/sh

[ "$type" != "ip6tables" ] && exit
[ "$table" != "mangle" ] && exit
[ -z "$(ipset --quiet list bypass6)" ] && exit

if [ -z "$(ip6tables-save | grep bypass6)" ]; then
     ip6tables -w -t mangle -A PREROUTING ! -i nwg0 -m conntrack --ctstate NEW -m set --match-set bypass6 dst -j CONNMARK --set-mark 0xffffd02
     ip6tables -w -t mangle -A PREROUTING ! -i nwg0 -m set --match-set bypass6 dst -j CONNMARK --restore-mark
fi
В скриптах nwg0 — сетевой интерфейс VPN-соединения для выборочного обхода блокировок. Если затрудняетесь в его поиске, то посмотрите вывод команды ip addr, идентификатор метки 0xffffd02

Для определения своего идентификатора выберите политику включающую в себя ваше VPN соединение

Показать содержимое

После чего выполните команду cli show ip policy и найдите нужный идентификатор в выводе(в скриптах используется шестнадцатеричный формат 0xffffd02):

Сделайте скрипты исполняемыми:
chmod +x /opt/etc/init.d/S52ipset
chmod +x /opt/etc/ndm/netfilter.d/010-bypass.sh
chmod +x /opt/etc/ndm/netfilter.d/011-bypass6.sh
и переходите к финальному пункту.

Список доменов для обхода блокировок

Найдите в конфигурационном файле AGH /opt/etc/AdGuardHome/AdGuardHome.yaml строчку ipset_file: "" и поменяйте на ipset_file: /opt/etc/AdGuardHome/ipset.conf.

Файл /opt/etc/AdGuardHome/ipset.conf будет единственным, требующим редактирования время от времени, в зависимости от изменения вашего персонального списка доменов для разблокировки. Он имеет следующий синтаксис:
intel.com,ipinfo.io/bypass,bypass6
instagram.com,cdninstagram.com/bypass,bypass6
epicgames.com,gog.com/bypass,bypass6
Т.е. в левой части через запятую указаны домены, требующие обхода блокировок, справа после слэша — ipset, в который AGH складывает результаты разрешения DNS-имён. Можно указать всё в одну строчку, можно разделить логически на несколько строк как в примере. Домены третьего уровня и выше также включаются в обход блокировок, т.е. указание intel.com включает www.intel.com, download.intel.com и пр.
Рекомендую добавить какой-нибудь «сигнальный» сервис, показывающий ваш текущий IP-адрес (ipinfo.io в примере). Так вы сможете проверить работоспособность настроенного решения. Учтите, что AGH не перечитывает изменённый файл, поэтому после правки перезапустите его с помощью:
/opt/etc/init.d/S99adguardhome restart
Диагностика проблем

Убедитесь в том, что набор ipset создан и наполняется в процессе работы:
# Проверка  ipv4
ipset --list bypass
# Проверка  ipv6
ipset --list bypass6
Вывод должен быть не пустой.

Посмотрите, существуют ли правила netfilter для пометки пакетов:
# Проверка  ipv4
iptables-save | grep bypass
# Проверка  ipv6
ip6tables-save | grep bypass6
После перезагрузки роутера проверьте в веб-интерфейсе Системный журнал, в нём не должно быть красных строк, связанных с настроенными скриптами.

В итоге:

Показать содержимое

Можно mark так найти

curl -kfsS http://localhost:79/rci/show/ip/policy 2>/dev/null | jq -r '.[] | select(.description == "Unblock-VPN") | .mark'

Mapuk37 · 9 августа, 2023

Подскажите плз все адреса для linkedin и Facebook

dogoma · 9 августа, 2023

32 минуты назад, Mapuk37 сказал:

Подскажите плз все адреса для linkedin и Facebook

юзаю этот сайт:

https://www.netify.ai/resources/applications/facebook

https://www.netify.ai/resources/applications/linkedin

Sergey K · 9 августа, 2023

Уф Лучшее враг хорошего, обновился с 398 на 402 все поломалось.

Вроде все исправил по этому гайду

Но нужная трассировка никак не идет

Spoiler

~ # ipset --list bypass
Name: bypass
Type: hash:ip
Revision: 4
Header: family inet hashsize 1024 maxelem 65536
Size in memory: 740
References: 2
Members:
[роскомнадзор]
31.13.72.175
~ # ipset --list bypass6
Name: bypass6
Type: hash:ip
Revision: 4
Header: family inet6 hashsize 1024 maxelem 65536
Size in memory: 1292
References: 2
Members:
2a03:2880:f20a:e6:face:b00c:0:6e2e
2001:470:1:18::223:250
~ # iptables-save | grep bypass
-A PREROUTING ! -i nwg0 -m conntrack --ctstate NEW -m set --match-set bypass dst -j CONNMARK --set-xmark 0xffffd02/0xffffffff
-A PREROUTING ! -i nwg0 -m set --match-set bypass dst -j CONNMARK --restore-mark --nfmask 0xffffffff --ctmask 0xffffffff
Can't find library for match `ndmslin'
~ # ip6tables-save | grep bypass6
-A PREROUTING ! -i nwg0 -m conntrack --ctstate NEW -m set --match-set bypass6 dst -j CONNMARK --set-xmark 0xffffd02/0xffffffff
-A PREROUTING ! -i nwg0 -m set --match-set bypass6 dst -j CONNMARK --restore-mark --nfmask 0xffffffff --ctmask 0xffffffff
~ #

>tracert 31.13.72.175

Трассировка маршрута к whatsapp-chatd-igd-p42-edge-shv-01-arn2.facebook.com [31.13.72.175]
с максимальным числом прыжков 30:

  1    <1 мс    <1 мс    <1 мс  KEENETIC [192.168.1.1]
  2     2 ms     2 ms     2 ms  [роскомнадзор].rt.ru [IP Шлюза РФ]  
  3     3 ms     2 ms     2 ms  ^C

Куда копнуть можно? Заранее спасибо за ответ.

Denis P · 9 августа, 2023

28 минут назад, Sergey K сказал:
Can't find library for match `ndmslin'

Не всё вы исправили

opkg update && opkg upgrade

Mapuk37 · 10 августа, 2023

.

Изменено 10 августа, 2023 пользователем Mapuk37
Не вставилапсь цитата, удалить

Mapuk37 · 10 августа, 2023

12 часа назад, dogoma сказал:

юзаю этот сайт:

https://www.netify.ai/resources/applications/facebook

https://www.netify.ai/resources/applications/linkedin

Супер, спасибо.

А есть что-то подобное для сайтов? Например у торрентов часто несколько адресов, на netify не находятся...

avn · 10 августа, 2023

13 часа назад, Sergey K сказал:

Уф Лучшее враг хорошего, обновился с 398 на 402 все поломалось.

Вроде все исправил по этому гайду

Но нужная трассировка никак не идет

Скрыть содержимое

~ # ipset --list bypass
Name: bypass
Type: hash:ip
Revision: 4
Header: family inet hashsize 1024 maxelem 65536
Size in memory: 740
References: 2
Members:
[роскомнадзор]
31.13.72.175
~ # ipset --list bypass6
Name: bypass6
Type: hash:ip
Revision: 4
Header: family inet6 hashsize 1024 maxelem 65536
Size in memory: 1292
References: 2
Members:
2a03:2880:f20a:e6:face:b00c:0:6e2e
2001:470:1:18::223:250
~ # iptables-save | grep bypass
-A PREROUTING ! -i nwg0 -m conntrack --ctstate NEW -m set --match-set bypass dst -j CONNMARK --set-xmark 0xffffd02/0xffffffff
-A PREROUTING ! -i nwg0 -m set --match-set bypass dst -j CONNMARK --restore-mark --nfmask 0xffffffff --ctmask 0xffffffff
Can't find library for match `ndmslin'
~ # ip6tables-save | grep bypass6
-A PREROUTING ! -i nwg0 -m conntrack --ctstate NEW -m set --match-set bypass6 dst -j CONNMARK --set-xmark 0xffffd02/0xffffffff
-A PREROUTING ! -i nwg0 -m set --match-set bypass6 dst -j CONNMARK --restore-mark --nfmask 0xffffffff --ctmask 0xffffffff
~ #

>tracert 31.13.72.175

Трассировка маршрута к whatsapp-chatd-igd-p42-edge-shv-01-arn2.facebook.com [31.13.72.175]
с максимальным числом прыжков 30:

  1    <1 мс    <1 мс    <1 мс  KEENETIC [192.168.1.1]
  2     2 ms     2 ms     2 ms  [роскомнадзор].rt.ru [IP Шлюза РФ]  
  3     3 ms     2 ms     2 ms  ^C

Куда копнуть можно? Заранее спасибо за ответ.

С роутера трассировку делаете? А зря...

Полиси создана? Проверьте метку по имени

curl -kfsS http://localhost:79/rci/show/ip/policy 2>/dev/null | jq -r '.[] | select(.description == "<Имя полиси>") | .mark'

Изменено 10 августа, 2023 пользователем avn

Mapuk37 · 11 августа, 2023

Подскажите, а у всех кто настроил эти методом переодически отваливаются vpn подключения?

Sergey K · 11 августа, 2023

On 8/9/2023 at 10:47 PM, Denis P said:

Не всё вы исправили

opkg update && opkg upgrade

Исправил переустановкой ~~ШINDOШS~~ entware

Почему то ругалось на отсутствие места в / хотя там сейчас тоже нет места )

}/opt/etc/AdGuardHome/data # df -h
Filesystem                Size      Used Available Use% Mounted on
/dev/root                18.3M     18.3M         0 100% /
tmpfs                   124.3M         0    124.3M   0% /dev
tmpfs                   124.3M    276.0K    124.0M   0% /tmp
/dev/ubi0_0              55.2M     48.6M      3.7M 93% /storage
/dev/ubi0_0              55.2M     48.6M      3.7M 93% /opt
/dev/sda1               931.5G    225.0G    706.5G 24% /tmp/mnt/72FA8041FA800417

22 hours ago, avn said:
С роутера трассировку делаете? А зря...

Полиси создана? Проверьте метку по имени
curl -kfsS http://localhost:79/rci/show/ip/policy 2>/dev/null | jq -r '.[] | select(.description == "<Имя полиси>") | .mark'

/opt/etc/AdGuardHome/data # curl -kfsS http://localhost:79/rci/show/ip/policy
{
}/opt/etc/AdGuardHome/data

чот непонял зачем она нужна? Вроде - до 402 этой конфигурации у меня не было. Сча еще раз покурю гайд.

vasek00 · 11 августа, 2023

36 минут назад, Mapuk37 сказал:

Подскажите, а у всех кто настроил эти методом переодически отваливаются vpn подключения?

Смотрите на данный момент времени логи роутера.

Sergey K · 11 августа, 2023

23 hours ago, avn said:
С роутера трассировку делаете? А зря...

Полиси создана? Проверьте метку по имени
curl -kfsS http://localhost:79/rci/show/ip/policy 2>/dev/null | jq -r '.[] | select(.description == "<Имя полиси>") | .mark'

Политику создал ( в 398 у меня ее не было, и как то работало без нее ну ок)

Spoiler

~ # curl -kfsS http://localhost:79/rci/show/ip/policy 2>/dev/null | jq -r '.[] | select(.description == "VPN") | .mark'
ffffd00
~ # cat /opt/etc/init.d/S52ipset
#!/bin/sh

PATH=/opt/sbin:/opt/bin:/opt/usr/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

if [ "$1" = "start" ]; then
ipset create bypass hash:ip
ipset create bypass6 hash:ip family inet6
fi
~ # cat /opt/etc/ndm/netfilter.d/010-bypass.sh
#!/bin/sh

[ "$type" == "ip6tables" ] && exit
[ "$table" != "mangle" ] && exit
[ -z "$(ipset --quiet list bypass)" ] && exit

if [ -z "$(iptables-save | grep bypass)" ]; then
iptables -w -t mangle -A PREROUTING ! -i nwg0 -m conntrack --ctstate NEW -m set --match-set bypass dst -j CONNMARK --set-mark 0xffffd00
iptables -w -t mangle -A PREROUTING ! -i nwg0 -m set --match-set bypass dst -j CONNMARK --restore-mark
fi
~ # cat /opt/etc/ndm/netfilter.d/011-bypass6.sh
#!/bin/sh

[ "$type" != "ip6tables" ] && exit
[ "$table" != "mangle" ] && exit
[ -z "$(ipset --quiet list bypass6)" ] && exit

if [ -z "$(ip6tables-save | grep bypass6)" ]; then
ip6tables -w -t mangle -A PREROUTING ! -i nwg0 -m conntrack --ctstate NEW -m set --match-set bypass6 dst -j CONNMARK --set-mark 0xffffd00
ip6tables -w -t mangle -A PREROUTING ! -i nwg0 -m set --match-set bypass6 dst -j CONNMARK --restore-mark

трассировка с обычного компа - пошла но с 50% потерями.

Статистика Ping для 34.117.59.81:
    Пакетов: отправлено = 70, получено = 35, потеряно = 35
    (50% потерь)
Приблизительное время приема-передачи в мс:
    Минимальное = 42мсек, Максимальное = 43 мсек, Среднее = 42 мсек
Control-C
^C
C:\Users\stdia>tracert ipinfo.io

Трассировка маршрута к ipinfo.io [34.117.59.81]
с максимальным числом прыжков 30:

1    <1 мс    <1 мс    <1 мс KEENETIC [192.168.1.1]
2    42 ms    42 ms    42 ms 10.7.0.1 (vpn)
3    42 ms    43 ms    42 ms ....

dogoma · 11 августа, 2023

Добрый день.

А подскажите, влияет ли на работу данного сетапа настройки размера журнала и размера логов в адгвард? Сейчас обе настройки выставлены на минимальный срок – 1 день, так как на прошлом роутере было не так много свободного места на внутреннем диске (сетап установлен на внутреннем диске роутера), но сейчас есть возможность увеличить эти параметры.

Поясню, кажется будто в начале дня инстаграм (ну и другие сайты помеченные для обхода) как-то долго грузятся, а потом в течении дня уже быстрее (типа таблица маршрутизации может чиститься?)

denk32 · 16 августа, 2023

Добрый вечер!

Подскажите в чем проблема. При добавлении доменов в файл ipset.conf в логах роутера выходят такие ошибки:

Авг 16 23:50:23 ndm
Opkg::Manager: /opt/etc/ndm/netfilter.d/010-bypass.sh: exit code 2.
Авг 16 23:50:23 ndm
Opkg::Manager: /opt/etc/ndm/netfilter.d/011-bypass6.sh: exit code 2.

Adguard Home перестает запускаться. В логах Adguard следующая ошибка:

2023/08/16 23:36:18.362721 [fatal] dnsServer.Prepare: preparing ipset settings: initializing ipset: ipset: getting ipsets from config line at idx 0: querying ipset "bypass": netfilter query: netlink receive: no such file or directory

AdGuard Home для селективной маршрутизации доменов

Рекомендуемые сообщения

Топ авторов темы

Популярные дни

Топ авторов темы

Популярные дни

Популярные посты

Александр Рыжов

r13

taravasya

Изображения в теме

Присоединяйтесь к обсуждению

Последние посетители 0 пользователей онлайн

Важная информация