маршрутизация Xkeen

Demostin · 23 января

Добрый день!

Я вроде всё конфигурировал как надо, но интернет (не только сайты в 05_routing.json, все) не работает. Если отключаю полиси XKeen, тогда интернет работает (но, конечно, тогда без VPN). Где находятся логи xray? Файлы `/opt/var/log/xray/{access,error}.log` пусты, но `xkeen -status` пишет, что прокси клиент - запущен.

elmys · 23 января

3 часа назад, Demostin сказал:

Добрый день!

Я вроде всё конфигурировал как надо, но интернет (не только сайты в 05_routing.json, все) не работает. Если отключаю полиси XKeen, тогда интернет работает (но, конечно, тогда без VPN). Где находятся логи xray? Файлы `/opt/var/log/xray/{access,error}.log` пусты, но `xkeen -status` пишет, что прокси клиент - запущен.

Добрый вечер. Зайдите в те же конфиги рядом (01_log.json) и включите там нужный уровень, например

Цитата

"loglevel": "debug"

и разумеется потом xkeen -restart.

А соединения нет потому, что скорее всего tls подставной и соединение "отравлено" провайдером. Проверьте банальным curl -vI https://ваш-домен.com, либо смените в коннект-файле 04 домен на ip вашего сервера (в принципе можно и оставить ip, чем домен).

Изменено 23 января пользователем elmys
add

Demostin · 24 января

В 23.01.2026 в 20:21, elmys сказал:

Добрый вечер. Зайдите в те же конфиги рядом (01_log.json) и включите там нужный уровень, например

и разумеется потом xkeen -restart.

Это помогло, спасибо!

В 23.01.2026 в 20:21, elmys сказал:

А соединения нет потому, что скорее всего tls подставной и соединение "отравлено" провайдером. Проверьте банальным curl -vI https://ваш-домен.com, либо смените в коннект-файле 04 домен на ip вашего сервера (в принципе можно и оставить ip, чем домен).

Ммм... Но этот VPN у меня работает, если через hiddify. Правда, там скачается файл с нескольких способов подключения (большинство их них vl и vmess), и я не знаю, именно какой их них hiddify использует. Я просто брал первый vl.

Вот логи с xray:

2026/01/24 07:28:17.670961 [Debug] [1949350303] proxy/dokodemo: processing connection from: 192.168.2.109:34396
2026/01/24 07:28:17.671294 [Info] [1949350303] proxy/dokodemo: received request for 192.168.2.109:34396
2026/01/24 07:28:17.679389 [Info] [1949350303] app/dispatcher: sniffed domain: store.nintendo.it
2026/01/24 07:28:17.679987 [Info] [1949350303] app/dispatcher: taking detour [vless-reality] for [tcp:store.nintendo.it:80]
2026/01/24 07:28:17.680283 [Info] [1949350303] transport/internet/httpupgrade: creating connection to tcp:hs-de01.web2best.com:443
2026/01/24 07:28:17.680493 [Debug] [1949350303] transport/internet: dialing to tcp:hs-de01.web2best.com:443
2026/01/24 07:28:18.687086 [Error] [1949350303] transport/internet/httpupgrade: failed to dial to tcp:hs-de01.web2best.com:443 > dial tcp 45.9.116.110:443: connect: no route to host
2026/01/24 07:28:18.687397 [Info] [1949350303] transport/internet/httpupgrade: creating connection to tcp:hs-de01.web2best.com:443
2026/01/24 07:28:18.687609 [Debug] [1949350303] transport/internet: dialing to tcp:hs-de01.web2best.com:443
2026/01/24 07:28:19.684966 [Error] [1949350303] transport/internet/httpupgrade: failed to dial to tcp:hs-de01.web2best.com:443 > dial tcp 45.9.116.110:443: connect: no route to host
2026/01/24 07:28:19.886730 [Info] [1949350303] transport/internet/httpupgrade: creating connection to tcp:hs-de01.web2best.com:443
2026/01/24 07:28:19.889717 [Debug] [1949350303] transport/internet: dialing to tcp:hs-de01.web2best.com:443
2026/01/24 07:28:20.889702 [Error] [1949350303] transport/internet/httpupgrade: failed to dial to tcp:hs-de01.web2best.com:443 > dial tcp 45.9.116.110:443: connect: no route to host
2026/01/24 07:28:21.294352 [Info] [1949350303] transport/internet/httpupgrade: creating connection to tcp:hs-de01.web2best.com:443
2026/01/24 07:28:21.294790 [Debug] [1949350303] transport/internet: dialing to tcp:hs-de01.web2best.com:443
2026/01/24 07:28:23.446753 [Info] [1949350303] transport/internet/httpupgrade: creating connection to tcp:hs-de01.web2best.com:443
2026/01/24 07:28:23.447240 [Debug] [1949350303] transport/internet: dialing to tcp:hs-de01.web2best.com:443
2026/01/24 07:28:24.755396 [Info] [1949350303] app/proxyman/outbound: app/proxyman/outbound: failed to process outbound traffic > proxy/vless/outbound: failed to find an available destination > common/retry: [transport/internet/httpupgrade: failed to dial request to tcp:hs-de01.web2best.com:443 > dial tcp 45.9.116.110:443: connect: no route to host transport/internet/httpupgrade: failed to dial request to tcp:hs-de01.web2best.com:443 > transport/internet/httpupgrade: unrecognized reply] > common/retry: all retry attempts failed

stillgrey88 · 24 января

Всем привет! Прошу помочь с проблемой работы РУ трафика через direct, при рабочем ВПН (vless+reality/hysteria2).
Ситуация:
Проводной интернет. На Keenetic KN-3811 настроил entware+xkeen+mihomo (dot и doh adguard, заблочил udp 53 и 443, переназначил порт с 443 на 5443, остальные параметры роутера дефолтные) и поднял ВПН (сперва vless+reality, затем остановился на hysteria2, т.к. скорость выше). Сервер ВПН свой. Конфиг mihomo делал через https://generator.rockblack.pro/ . Сам руками ничего не правил.
Все работает некоторое время, но через некоторое время (2-12 часов) перестают открываться РУ сайты (не все) через direct на всех устройствах в сети, ВПН при этом работает корректно и даже РУ сайты через ВПН работают корректно. Через direct все пингуется корректно.

Пример проблемы:
nashe.ru - не открывается, ошибка PR_END_OF_FILE_ERROR
wildberris.ru - открывается
Все что направлено через ВПН - работает

Если через mihomo очистить кэш DNS и fake IP, то все сайты которые должны идти через direct отваливаются, даже google.com.
Но после перезагрузки xkeen (не роутера), все опять начинает работать, но временно.
Сперва думал, что ловлю блокировку провайдера, т.к. ломается рукопожатие и через браузер выходит ошибка, но остановила мысль, что через ВПН все работает нормально.

Конфиг для диагностики.yml

Ruthless · 25 января

Добрый день. В последнее время роутер пишет ошибку:

Opkg::Manager: /opt/etc/ndm/netfilter.d/proxy.sh: Illegal instruction.

Иногда после ребута роутера сам Xkeen бывает не поднимается с первого ребута, при запуске прокси тоже начинает ругаться с ошибкой Illegal instruction.

На 2 иногда 3 ребут роутера все запускается, но иногда отваливается инет на 2-3 сек, в это время как пишет ошибку. Раньше проблем не было.

Версия прошивки роутера: 5.0.4

Версия Xkeen: 1.1.3.9 Beta (время сборки: 2026-01-23 21:37:17 MSK)

elmys · 25 января

В 24.01.2026 в 10:45, Demostin сказал:

Но этот VPN у меня работает, если через hiddify

это не показатель. У таких клиентов как правило свои днс и обходы провайдерских днс. Нынче тенденция такая, что везде всё работает, но толкьо не на самом роутере

Изменено 25 января пользователем elmys

jameszero · 25 января

3 часа назад, Ruthless сказал:

В последнее время роутер пишет ошибку:

Opkg::Manager: /opt/etc/ndm/netfilter.d/proxy.sh: Illegal instruction.

Добрый день! Проблема с файловой системой флешки, лучше переустановить Entware

Ruthless · 25 января

16 минут назад, jameszero сказал:

Добрый день! Проблема с файловой системой флешки, лучше переустановить Entware

Спасибо, тогда на всякий случай сразу прикуплю свежую флешку.

frontend.test · 25 января

В 24.01.2026 в 20:28, stillgrey88 сказал:

заблочил udp 53

nameserver:
- https://dns10.quad9.net/dns-query
- https://dns.aa.net.uk/dns-query
- https://doh.opendns.com/dns-query
- https://dns.google/dns-query

перепиши через IP адреса, я уже на грабли наступал,
- https://9.9.9.10/dns-query
- https://dns.aa.net.uk/dns-query
- https://208.67.222.222/dns-query
- https://8.8.8.8/dns-query

я бы добавил
https://1.1.1.1/dns-query через IP

https://cloudflare-dns.com/dns-query и еще так потому как cloudflare-dns.com не только 1.1.1.1

2026/01/25 11:08:18.292949 [Info] app/dns: DOHL//8.8.4.4 got answer: cloudflare-dns.com. TypeA -> [104.16.248.249 104.16.249.249], rtt: 76.066834ms, lock: 107.941µs
2026/01/25 11:08:18.908656 [Info] app/dns: quic+local://94.140.15.15:853 got answer: cloudflare-dns.com. TypeA -> [104.16.249.249 104.16.248.249], rtt: 1.677813673s, lock: 55.593µs

еще https://adguard-dns.io/kb/ru/general/dns-providers/#ali-dns добавил

vleonv · 27 января

@jameszero, добрый день! А нет пока планов перевода в stable 1.1.3.9?

jameszero · 27 января

16 минут назад, vleonv сказал:

А нет пока планов перевода в stable 1.1.3.9?

Добрый день! Планы появятся, когда результаты бета-тестрования будут стабильно положительными. Всё зависит от активности пользователей, присоединяйтесь.

vleonv · 27 января

53 минуты назад, jameszero сказал:

присоединяйтесь

Я уже на ней с конца ноября. В моем случае все стабильно и вопросов/проблем не возникало

jameszero · 27 января

41 минуту назад, vleonv сказал:

В моем случае все стабильно и вопросов/проблем не возникало

Понятно. Только за сегодня я уже сделал два корректирующих коммита по багрепортам пользователей, так что о стабильности пока рано говорить

blood_devil · 27 января

Друзья привет! подозреваю что я не первый с такой проблемой, поиском по теме воспользовался, но безуспешно.

Занимаюсь настройкой роутинга, столкнулся с проблемой что весь трафик уходит в outboundTag "vl-reality", однако chatgpt.ком считает что с неправильного(по его мнению) ip захожу, "Unable to load site".

В случае подключения с таким же конфигом при помощи hiddify и отключенным xkeen считается chatgpt.ком вполне валидным.

Подскажите, пожалуйста, ЧЯДНТ?

Заранее спасибо.

Спойлер

{
"routing": {
"domainStrategy": "IPIfNonMatch",
"rules": [
{
"type": "field",
"inboundTag": [
"redirect",
"tproxy"
],
"outboundTag": "block",
"network": "udp",
"port": "135,137,138,139"
},
{
"type": "field",
"inboundTag": [
"redirect",
"tproxy"
],
"outboundTag": "block",
"domain": [
"ext:geosite_v2fly.dat:category-ads-all",
"google-analytics",
"analytics.yandex",
"appcenter.ms",
"app-measurement.com",
"firebase.io",
"crashlytics.com"
]
},
{
"type": "field",
"inboundTag": [
"redirect",
"tproxy"
],
"outboundTag": "direct",
"protocol": [
"bittorrent"
]
},
{
"type": "field",
"inboundTag": [
"redirect",
"tproxy"
],
"outboundTag": "direct",
"domain": [
"regexp:^([\\w\\-\\.]+\\.)ru$",
"regexp:^([\\w\\-\\.]+\\.)su$",
"regexp:^([\\w\\-\\.]+\\.)xn--p1ai$",
"regexp:^([\\w\\-\\.]+\\.)xn--p1acf$",
"regexp:^([\\w\\-\\.]+\\.)xn--80asehdb$",
"regexp:^([\\w\\-\\.]+\\.)xn--c1avg$",
"regexp:^([\\w\\-\\.]+\\.)xn--80aswg$",
"regexp:^([\\w\\-\\.]+\\.)xn--80adxhks$",
"regexp:^([\\w\\-\\.]+\\.)moscow$",
"regexp:^([\\w\\-\\.]+\\.)xn--d1acj3b$",
"ext:geosite_v2fly.dat:category-gov-ru",
"ext:geosite_v2fly.dat:yandex",
"ext:geosite_v2fly.dat:vk",
"ext:geosite_v2fly.dat:steam"
]
},
{
"type": "field",
"inboundTag": [
"redirect",
"tproxy"
],
"outboundTag": "direct",
"ip": [
"127.0.0.0/8",
"10.0.0.0/8",
"172.16.0.0/12",
"192.168.0.0/16",
"169.254.0.0/16",
"ext:geoip_zkeenip.dat:ru"
]
},
{
"type": "field",
"inboundTag": [
"redirect",
"tproxy"
],
"outboundTag": "vless-reality",
"network": "tcp,udp"
}
]
}
}

frontend.test · 28 января

15 часов назад, blood_devil сказал:

Подскажите, пожалуйста, ЧЯДНТ?

протокол QUIC отключи

            {
                "network": "udp",
                "outboundTag": "block",
                "port": "443",
                "type": "field"
            },

Изменено 28 января пользователем frontend.test

blood_devil · 28 января

11 часов назад, frontend.test сказал:

протокол QUIC отключи

            {
                "network": "udp",
                "outboundTag": "block",
                "port": "443",
                "type": "field"
            },

@frontend.test,Спасибо большое! Удалось победить недоступность chatgpt. использовал настройку выше в комбинации с отключением флагов в FF

network.http.http3.enable = false
network.http.http3.enable_0rtt = false

Изменено 28 января пользователем blood_devil
починил

Alex2025 · 28 января

Добрый всем вечер.

Обновился на крайнюю бету xkeen и на keenetic OS 5.0.4 - пока полет нормальный, проблем не заметил, как-то даже все пошустрее стало.

Но есть один момент, который смущает: для клиентов xkeen, не срабатывают правила из IntelliQoS, стоит их перенести в политику по умолчанию, все начинает работать как надо. Это баг или фича?

Конкретно хотел запретить доступ к определенным приложениям, в 5.0.4 - это теперь можно сделать.

jameszero · 29 января

17 часов назад, Alex2025 сказал:

для клиентов xkeen, не срабатывают правила из IntelliQoS

Добрый день! Шейпер, монитор трафика и IntelliQoS не работают в кастомной политике XKeen. By design.

Reukes · 29 января

Добрый день, проблема такая что при включенном xkeen у меня в steam очень грустная скорость скачивания, а в CS2 или подобных соревновательных играх пинг явно выше чем при отключенном xkeen (я тестил)

Подскажите как поправить, сколько не читал и не пробовал проблему решить не смог

Alex2025 · 29 января

7 часов назад, jameszero сказал:

Добрый день! Шейпер, монитор трафика и IntelliQoS не работают в кастомной политике XKeen. By design.

Добрый вечер, понял, благодарю за ответ.

Дизайн, так "дизайн")

Изменено 29 января пользователем Alex2025

vadek91 · 29 января

Здравствуйте! Подскажите пожалуй,как добавить правильно в роутинг фортнайт и эпик геймс.

// VPS подключение | Доменные имена
   {
   "inboundTag": ["redirect", "tproxy"],
   "outboundTag": "vl-reality",
   "type": "field",
   "domain": [
   "ext:geosite_v2fly.dat:epicgames",
   "ext:geosite_zkeen.dat:youtube",

Что-то ещё нужно вписывать и куда ?

frontend.test · 30 января

В 29.01.2026 в 00:26, blood_devil сказал:

недоступность chatgpt

проверка у chatgpt есть оказывается, я просто оставлю это тут https://chatgpt.com/cdn-cgi/trace

jameszero · 30 января

16 часов назад, Reukes сказал:

в steam очень грустная скорость

Добрый день! Подсети Стим можно добавить в исключения проксирования. В FAQ п.4 написано, как это сделать и выложен файл c IP-подсетями

t800 · 1 февраля

Привет

Честно искал в теме ответ на свой вопрос, но не преуспел. У одного меня restart отрабатывает порядка минуты? Версия - 1.1.3.9, обновлял сегодня.

Включал логи, выглядит так, как будто и стоп, и старт прям подолгу длятся.

jameszero · 1 февраля

2 часа назад, t800 сказал:

restart отрабатывает порядка минуты?

Обновитесь командой xkeen -uk, сегодня я выпустил фикс по этой проблеме

t800 · 1 февраля

2 часа назад, jameszero сказал:

Обновитесь командой xkeen -uk, сегодня я выпустил фикс по этой проблеме

Помогло, спасибо
На 5.0.* 1.1.3.9 обязательно использовать? Или в общем можно и на 1.1.3.8 работать?

upd. Пришлось откатиться на стабильную версию, потому что, судя по логам, по какой-то причине запросы 53 порт роутера перехватывались и отправлялись в туннель. Причём, не у всех клиентов. Глубоко я копать не стал, потому что вой из-за неработающего интернета стоял до небес. На 1.1.3.8 ситуация выправилась и жалобы "тут работает, вот тут как-то не работает" ушли.

Изменено 1 февраля пользователем t800

Akscyn · 1 февраля

В 22.11.2025 в 10:17, alex_io сказал:

Настроил xkeen, настроил политику доступа для ПК и телевизора, но проблема в том, что на пк работает все верно, youtube открывает, кинопоиск открывается, а вот на тв - ютуб работает, но кинопоиск - нет. Отключаю xkeen - кинопоиск работает, ютуб не работает.

Нужно отключить в сетевых настройках ТВ использование ipv6

jameszero · 2 февраля

10 часов назад, t800 сказал:

запросы 53 порт роутера перехватывались и отправлялись в туннель

Всегда читайте документацию перед обновлением

XKeen 1.1.3.9 более корректно определяет настроил ли пользователь проксирование DNS и в этом случае перехватывает DNS-запросы. Чтобы вернуть поведение, "как в версии 1.1.3.8", предусмотрен параметр запуска -dns

Kazantsev · 2 февраля

Если у меня два сервера, то такая настройка DNS OVER VL не будет работать? надо по другому делать? если кто знает, то как?

04_outbounds.json 05_routing.json

02_dns.json

t800 · 2 февраля

2 часа назад, jameszero сказал:

Всегда читайте документацию перед обновлением

XKeen 1.1.3.9 более корректно определяет настроил ли пользователь проксирование DNS и в этом случае перехватывает DNS-запросы. Чтобы вернуть поведение, "как в версии 1.1.3.8", предусмотрен параметр запуска -dns

Я прочитал. Но именно из этого описания не понял с ходу о чём речь. Сейчас уже более-менее разобрался, спасибо.

Буду очень признателен, если поможете понять следующее. Вот моя конфигурация 02_dns.json:

{
  "dns": {
    "servers": [
      {
        "address": "https+local://1.1.1.1/dns-query",
        "skipFallback": false
      },
      {
        "address": "https+local://8.8.8.8/dns-query",
        "skipFallback": false
      }
    ],
    "useSystemHosts": true,
    "queryStrategy": "UseIPv4",
    "tag": "dns_in"
  }
}

Я правильно понимаю, что, если перехват DNS-запросов выключен, то фактически обращение к любому ресурсу по fqdn выльется в два запроса: один запрос отправит маршрутизатор, чтобы вернуть IP клиенту, а второй запрос потом отправит xray, чтобы применить правила маршрутизации по доменному имени?

При этом, если перехват включён, то теоретически запрос внешнему DNS-серверу будет один: когда запрос от клиента кинетику будет перехвачен и отправлен в xray, потому что ответ кешируется и сам xray уже будет использовать кешированный IP-адрес?

маршрутизация Xkeen

Рекомендуемые сообщения

Топ авторов темы

Популярные дни

Топ авторов темы

Популярные дни

Популярные посты

Skrill0

Skrill0

Skrill0

Изображения в теме

Присоединяйтесь к обсуждению

Последние посетители 0 пользователей онлайн

Важная информация