маршрутизация Xkeen

[elmys]

1 час назад, Artusib сказал:

Приветствую. Подскажите, есть две одинаковые модели кинетика, на одном настроен xkeen. Могу ли я установить xkeen на второй роутер путем резервного копирования и развертывания архива на новой флэш? С заменой 4 файла outbounds конечно.

Добрый вечер. ИИ ответило положительно:

Да, вы можете установить xkeen на второй роутер Keenetic путем резервного копирования и развертывания. Этот способ часто используется, чтобы не настраивать всё с нуля.

Ваш план правильный. Основные шаги будут такими:

1. Создание резервной копии: На роутере, где уже настроен xkeen, создайте резервную копию настроек (файл startup-config.conf).

2. Подготовка новой флешки: Подготовьте новую USB-флешку для второго роутера (отформатируйте в FAT32).

3. Развертывание на новом роутере:

   • Вставьте флешку в новый роутер.

   • Перенесите на неё все необходимые файлы из архива резервной копии, включая файлы xkeen.

   • Обязательно замените 4 файла outbounds на новые, соответствующие второму роутеру. Это критически важно, чтобы избежать конфликтов и корректно настроить маршрутизацию и другие параметры для второго устройства.

   • Загрузите конфигурацию с флешки на новый роутер.

После этого роутер должен загрузиться с настроенным xkeen. Возможно, потребуется дополнительная небольшая настройка, но основная часть конфигурации будет уже перенесена.

[Neytrino]

elmys

ИИ и Keenetic - две вещи несовместные (спросите у ИИ как сделать что-нить в кинетике через CLI, а потом - попробуйте то что он вам ответит)...

[Sagromur]

Нашел бажец в 04_register_init.sh  get_exclude_ip6()

ip -6 route get 2001:4860:4860::8888 2>/dev/null | awk '/src/ {print $NF}'

Как я понял пытаемся исключить обращения к роутеру из проксирования, но по факту ip -6 route get
в последнем столбце отдает метрику (по крайней мере у меня)

# ip -6 route get 2001:4860:4860::8888
2001:4860:4860::8888 via fe80::ea4:2ff:fe58:1001 dev ppp0  src 2a02:2698:542a:1817:2989:b7bf:3b93:5467  metric 1024

 # ip -6 route get 2001:4860:4860::8888 2>/dev/null | awk '/src/ {print $NF}'
1024

Если указать явно 7й столбец то отдаст адрес роутера правильно

# ip -6 route get 2001:4860:4860::8888 2>/dev/null | awk '/src/ {print $7}'
2a02:2698:542a:1817:2989:b7bf:3b93:5467

В качестве идеи я бы предложил добавить весь префикс выданный провайдером, чтобы дать клиентам локальной сети спокойно обращаться друг к другу.
 

# curl -s localhost:79/rci/show/ipv6/prefixes/ 2>/dev/null | jq -r '."prefix"[] | {"prefix": .prefix, "inte
rface" : .interface} | select(.interface | . == "PPPoE0") | .prefix'
2a02:2698:542a:1817::/64

На гениальность идеи не претендую, скорее всего разломает что-нибудь дальше на этапе добавления правил ip6tables и придется там подпирать.
Просто поделился мыслями из желания помочь в развитии проекта)  

[chp]

Подскажите пожалуйста.
Настроил всё по этой инструкции https://github.com/Corvus-Malus/XKeen?tab=readme-ov-file
При запуске xkeen -start прокси клиент запускается, но в логах перед этим суёт ошибку:

Цитата

Failed to start: main: failed to load config files: [/opt/etc/xray/configs/01_log.json /opt/etc/xray/configs/02_transport.json /opt/etc/xray/configs/03_inbounds.json /opt/etc/xray/configs/04_outbounds.json /opt/etc/xray/configs/05_routing.json /opt/etc/xray/configs/06_policy.json] > common/errors: The feature Global transport config has been removed and migrated to streamSettings in inbounds and outbounds. Please update your config(s) according to release note and documentation.

После этого ни один сайт не открывается.
Либо инструкция устарела, либо руки у меня кривые. Я так понял, что-то не то с конфигами, но что?

[jameszero]

2 часа назад, Sagromur сказал:

по факту ip -6 route get
в последнем столбце отдает метрику

Спасибо за замечание. Проблема в том, что мне провайдер не предоставляет IPv6 и отладка этого кода затруднительна. Данную команду я взял из оригинального XKeen и она переехала в форк "как есть"

Появилась идея брать значение после src и обрезать хвост после адреса. Если не затруднит, проверьте, пожалуйста, следующий код

ip -6 route get 2001:4860:4860::8888 2>/dev/null | awk -F 'src ' '{print $2}' | awk '{print $1}'

 

[jameszero]

1 час назад, chp сказал:

Global transport config has been removed

Удалите файл 02_transport.json, он не поддерживается новыми ядрами xray. Эта информация есть в инструкции по приведенной вами ссылке

[FLK]

В 04.08.2025 в 21:54, elmys сказал:

1. ...отформатируйте в FAT32...

😁 а что так можно было?

Edited August 5, 2025 by FLK

[sergin]

Добрый день!
Коллеги, а кто-нибудь понимает реализацию цепочки xkeen_mask?
Архитектурно это должно быть проксирование хоста (роутера), но есть пару вопросов
1.  Одним из условий перехода в xkeen_mask из OUTPUT является -m owner '!' --uid-owner xkeen 
Но uid xkeen = uid root = 0, следовательно в  xkeen_mask пойдет все, что не root или не имеет uid (у меня это весь исходящий WG трафик). Мне казалось, что здесь надо отсекать пакеты самого xray. А это скорее  проверка на gid
2. В xkeen_mask правило -j CONNMARK --set-mark 0x111 не меняет маршрутизацию пакета. У меня просто все соединения WG радостно получают connmark=273 (0x111) и все. Других проявлений работы этого правила я не нашел.
3. По факту, трафик самого роутера не проксируется (хотя не очень понятно зачем?)
Буд благодарен, если кто пояснит, что делает цепочка xkeen_mask
И для каких целей имеет смысл проксировать трафика роутера

Edited August 6, 2025 by sergin

[Sagromur]

22 часа назад, jameszero сказал:

Спасибо за замечание. Проблема в том, что мне провайдер не предоставляет IPv6 и отладка этого кода затруднительна. Данную команду я взял из оригинального XKeen и она переехала в форк "как есть"

Появилась идея брать значение после src и обрезать хвост после адреса. Если не затруднит, проверьте, пожалуйста, следующий код

ip -6 route get 2001:4860:4860::8888 2>/dev/null | awk -F 'src ' '{print $2}' | awk '{print $1}'

 

Да, работает хорошо. Отдает текущий ipv6
 

# ip -6 route get 2001:4860:4860::8888 2>/dev/null | awk -F 'src ' '{print $2}
' | awk '{print $1}'
2a02:2698:542a:1817:2989:b7bf:3b93:5467

 

[Casper17]

Здравствуйте! Подскажите пожалуйста, можно ли настроить так, чтобы у некоторых устройств в локальной сети весь трафик шел через VPN, а не выборочная маршрутизация?!

[jameszero]

@Casper17

FAQ п.17

[dymo]

chat gpt похоже обновился, и теперь не работает, до этого все работало с пропиской в 5_routing

        "openai.com",
        "chat.openai.com",
        "chatgpt.com",
        "oaistatic.com",
        "cdn.oaistatic.com",
        "oaiusercontent.com",
        "platform.openai.com"

[electro_ente]

Есть ли готовые списки для What's app и web whats app?

[jameszero]

@electro_ente

Ошиблись форумом. Здесь это не обсуждается.

[Pusan]

Добрый день!

Текущая версия XKeen 1.1.3, как обновится до версии 1.1.3.7.

Цитата

# xkeen -ux
  Проверка обновления Xray
  Нет доступных обновлений Xray
~ # xkeen -uk
  Проверка обновления XKeen
  Нет доступных обновлений XKeen

 

[Ryuuga]

Добрый день. 

Подскажите, в чем может быть беда. 

Сегодня часов в 10 утра "отвалился", xkeen на провайдере Ростелеком. 

Все сайты из разблока перестали работать, работают только те, что напрямую. 

Пока писал, заметил что hiddify через вайфай тоже не работает, через мобильную сеть все ок. 

 Впс с vless reality.

[jameszero]

1 час назад, Pusan сказал:

как обновится до версии 1.1.3.7

Установите поверх следующими командами. Все ваши конфиги сохранятся. Не забудьте удалить файл 02_transport.json, если ещё не сделали это

opkg update && opkg upgrade && opkg install curl tar
curl -OL https://raw.githubusercontent.com/jameszeroX/XKeen/main/install.sh
chmod +x ./install.sh
./install.sh
#

 

[Pusan]

Спасибо обновил

Цитата

~ # xkeen -v
  Текущая версия XKeen 1.1.3.7
~ # xkeen -restart
  Прокси-клиент остановлен
Xray 25.8.3 (Xray, Penetrates Everything.) bd86732 (go1.24.5 linux/mipsle)
A unified platform for anti-censorship.
2025/08/12 10:47:20.121139 Using confdir from env: /opt/etc/xray/configs
2025/08/12 10:47:20.131886 [Info] infra/conf/serial: Reading config: &{Name:/opt/etc/xray/configs/01_log.json Format:json}
2025/08/12 10:47:20.156791 [Info] infra/conf/serial: Reading config: &{Name:/opt/etc/xray/configs/03_inbounds.json Format:json}
2025/08/12 10:47:20.160235 [Info] infra/conf: [/opt/etc/xray/configs/03_inbounds.json] appended inbound with tag: redirect
2025/08/12 10:47:20.160495 [Info] infra/conf: [/opt/etc/xray/configs/03_inbounds.json] appended inbound with tag: tproxy
2025/08/12 10:47:20.160833 [Info] infra/conf/serial: Reading config: &{Name:/opt/etc/xray/configs/04_outbounds.json Format:json}
2025/08/12 10:47:20.165129 [Info] infra/conf: [/opt/etc/xray/configs/04_outbounds.json] prepend outbound with tag: vless-reality
2025/08/12 10:47:20.165478 [Info] infra/conf: [/opt/etc/xray/configs/04_outbounds.json] prepend outbound with tag: direct
2025/08/12 10:47:20.165644 [Info] infra/conf: [/opt/etc/xray/configs/04_outbounds.json] prepend outbound with tag: block
2025/08/12 10:47:20.165887 [Info] infra/conf/serial: Reading config: &{Name:/opt/etc/xray/configs/05_routing.json Format:json}
2025/08/12 10:47:20.170254 [Info] infra/conf/serial: Reading config: &{Name:/opt/etc/xray/configs/06_policy.json Format:json}
  Прокси-клиент запущен
~ #

Не посмотрите файлы конфига, что то через прокси вообще перестал заходить. Если файлы в норме буду разбираться дальше.
 

03_inbounds.json 04_outbounds.json 05_routing.json

[Pusan]

2 часа назад, Ryuuga сказал:

Добрый день. 

Подскажите, в чем может быть беда. 

Сегодня часов в 10 утра "отвалился", xkeen на провайдере Ростелеком. 

Все сайты из разблока перестали работать, работают только те, что напрямую. 

Пока писал, заметил что hiddify через вайфай тоже не работает, через мобильную сеть все ок. 

 Впс с vless reality.

Аналогично, разбираюсь. Начал с обновления...

[elmys]

2 часа назад, Ryuuga сказал:

hiddify через вайфай тоже не работает

Сперва попробуйте hiddify заменить на neko. У меня только так работало. Ну а на мобильном интернете у меня vless траффик давно уже не пускает...

[jameszero]

1 час назад, Pusan сказал:

Не посмотрите файлы конфига

Ошибок в файлах не вижу. Можно конечно добавить в inbounds параметр routeOnly, но поскольку вы указали domainStrategy в роутинге, то это не обязательно. В любом случае, проблема с прокси не из-за этого.

[Pusan]

39 минут назад, jameszero сказал:

Ошибок в файлах не вижу. Можно конечно добавить в inbounds параметр routeOnly, но поскольку вы указали domainStrategy в роутинге, то это не обязательно. В любом случае, проблема с прокси не из-за этого.

Спасибо

[Y K]

Добрый день!

Ткните пожалуйста, где написано как сделать так, чтобы XKeen работал для всего устройства, а не только для своей политики.

Заранее спасибо.

[jameszero]

3 часа назад, Y K сказал:

чтобы XKeen работал для всего устройства, а не только для своей политики

Добрый день!

Просто не создавайте политику)

[ip_tara]

В 12.08.2025 в 14:06, Pusan сказал:

через прокси вообще перестал заходить.

с вашими конфигами правила по ip работать не будут. но у вас такое правило одно, только для google. Если что-то другое через прокси не открывается, то возможно это на стороне сервера проблема, он не знает, что с нужным доменом делать, потому что он ваш запрос по домену получает.

[wellkam]

Всем привет.

В общем сделал всё по инструкциям и всё работает, но есть одно но...
У меня есть настроенный KeenDNS и на одном ПК работает веб-сервер. Через этот веб-сервер у меня опубликована база 1С. Сама база вполне отвечает, когда я к ней обращаюсь из интернета, открывается страница авторизации и т.д. Перестали приходить веб-хуки от телеграм-бота и я не понимаю, что такого я изменил в настройках, что они перестали проходить, и как вообще расследовать?.. В самой базе смотрел, там нет ни входящих запросов, ни каких либо ошибок. Сам веб-сервер на Apache2.4, но я не знаю как в него смотреть. В принципе косвенно могу утверждать, что он работает, ведь при подключении по доменному имени база открывается.

Итак, я нашёл проблему, вызвав метод api телеграм getWebhookInfo. Он выдаёт ошибку "SSL error {error:0A000086:SSL routines::certificate verify failed}" - но ведь KeenDNS сам выдаёт сертификат. У меня там пишет "С сертификатом SSL". Получается, что телеграм перестал доверять SSL сертификату после установки xkeen?

P.S. Насколько я понял проблема описана где-то тут https://help.keenetic.com/hc/ru/articles/360020977339-В-каких-случаях-не-работает-продление-получение-SSL-сертификата-для-домена-службы-KeenDNS

Хотя насколько я могу судить, всё это работает. Я удалял и вписывал домен заново, как итог в журнале есть вот такая запись: [I] Aug 21 13:25:22 ndm: Acme::Client: new certificate is saved for domain "***.netcraze.pro". - Сертификат успешно создался. Сам телеграм что-то чудит, но именно после установки XKeen. Что это может быть?

Останавливал XKeen не помогает...

Edited August 21, 2025 by wellkam

[Keenoman]

Всем привет.
Нужна помощь по настройке.
xkeen  установлен на флешке. Есть VPS с установленным marzban и VLESS, который работает при подключении напрямую с любого клиента (например foxray или nekobox). Но через кинетик не получается запустить. 

Конфиг файл routing использую вариант: ru напрямую, не ru через VPS. 
Так вот сейчас РУ сайты открываются, а не РУ вообще не открываются. Похоже, не устанавливается линк c моим VPS. Так как в статистике VPS нет подключений.
Не знаю, куда копать. 

И нормально ли, что при подключении по SSH к кинетику бесконечно сыпятся сообщения

 

 

Надеюсь, ничего не нарушил.

 

05_routing.json

Edited August 21, 2025 by Keenoman

[jameszero]

22 часа назад, wellkam сказал:

всё работает, но есть одно но

Добрый день! Вы же перенесли 443 порт по инструкции? Телеграм бот скорей всего по 443 и пытается достучаться. Если бот позволяет указать ему новый порт, то сделайте это ***.netcraze.pro:порт

[jameszero]

19 часов назад, Keenoman сказал:

бесконечно сыпятся сообщения

Меняйте SNI на сервере и в роутере, либо смените в outbounds роутера fingerprint на firefox вместо chrome

[wellkam]

jameszero, спасибо большое за помощь! помогло в строке при установке вебхука прописать явно порт 8443. По умолчанию он на 80 или на 443 порт стучится, не важно. Главное, что теперь всё снова работает.

Хотел ещё поинтересоваться про то, что нашёл в инструкциях к своей модели: "Установка OPKG Entware на встроенную память роутера". В веб-конфигураторе роутера показывает, что объём встроенной памяти 46,4 МБ, при этом на установленной флэшке Entware заняла 84,9 МБ, но файловые системы разные. Стоит ли пробовать поставить Entware на встроенную память роутера или это заведомо не очень хороший вариант?

Edited August 22, 2025 by wellkam