HydraRoute Neo - маршрутизация доменов и CIDR

[Ground_Zerro]

HydraRoute — название, в котором миф о многоголовой Гидре становится образом для системы маршрутов, способной разрастаться и ветвиться: стоит исчезнуть одному направлению, как на его месте возникают новые.

Описание
HydraRoute Neo — демон для раздельной маршрутизации трафика по доменам и CIDR на роутерах Keenetic.
Перехватывает DNS-ответы, добавляет полученные IP в ipset и маркирует трафик в iptables/mangle CONNMARK для перенаправления через нужный туннель или интерфейс. Дополнительно — параллельный L7-канал: TLS SNI и HTTP Host из исходящих соединений (закрывает слепые зоны DoH/DoT, hardcoded-IP, легаси-HTTP). Написан на C, единый статически скомпилированный бинарь без внешних зависимостей кроме libc и Linux API.

 

Возможности

• Не требует отключения системного DNS-сервера роутера
• Не встраивается в цепочку DNS, не использует сторонних компонентов
• Совместим с любой конфигурацией DNS на роутере: системный резолвер, DNS-маршрутизация Keenetic, AdGuard Home
• Маршрутизация через политики доступа Keenetic
• Прямая маршрутизация трафика на сетевые интерфейсы (DirectRoute)
• Поддержка статических CIDR-диапазонов с IPv4 и IPv6
• Работа с базами GeoIP и GeoSite в формате v2ray/xray .dat
• Перехват DNS-ответов LAN- и VPN-клиентов роутера (Ethernet, PPP, WireGuard, VPN-сервер, IPsec, туннели)
• Параллельный L7-канал (опц.): TLS SNI и HTTP Host через NFQUEUE с TCP-реассамблецией длинных ClientHello (Kyber/MLKEM)
• Корректная маршрутизация без переподключения (опц. ConntrackFlush)
• Управление через веб-интерфейс HRweb

Системные требования

• Роутер Keenetic с прошивкой выше v4.3.6
• Установленный Entware
• Системный компонент Keenetic Xtables-addons для Netfilter

 

Установка:

Выполните команду в терминале роутера:

opkg update && opkg install curl && curl -Ls "https://git.zerrolabs.org/Ground-Zerro/release/pages/keenetic/install-neo.sh" | sh

• Веб-интерфейс (HRweb) установится вместе с основной программой и будет доступен по адресу http://<IP роутера>:2000 Службы запускаются автоматически.

Обновление:

opkg update && opkg upgrade

• Файлы domain.conf и ip.list сохраняются при обновлении.

 

Веб-интерфейс HRweb

Отдельный компонент для визуального управления HydraRoute Neo без работы в терминале. Устанавливается автоматически вместе с hrneo. После запуска доступен по адресу: http://<IP роутера>:2000 Авторизация — через логин и пароль роутера.

Спойлер

Возможности HRweb

• Dashboard — управление маршрутизацией:
• Управление политиками маршрутизации (обычные через Keenetic и интерфейсные DirectRoute)
• Добавление и редактирование доменов и CIDR для каждой политики
• Загрузка доменных списков из GitHub репозиториев и по прямым ссылкам
• Интеграция с iplist.opencck.org
• Агрегация доменов из GeoSite-баз: просмотр тегов и добавление в политики
• Валидация доменов и CIDR, обнаружение конфликтов между политиками

Proxy (xRay) — управление прокси:

• Установка xRay
• Запуск и остановка службы xRay
• Создание прокси-интерфейсов через Builder из share-ссылок (vless://, vmess://, trojan://, ss://, socks://, http://) и URL подписок
• Редактирование JSON-конфигурации с подсветкой синтаксиса
• Удаление пользовательских интерфейсов
• Отображение статуса всех xRay-интерфейсов
• Автоматическое создание балансировщика нагрузки при добавлении нескольких серверов

HrNeo — настройка демона:

• Управление службой HrNeo (запуск/остановка)
• Редактирование всех параметров hrneo.conf через UI
• Управление GeoIP/GeoSite файлами: скачивание, автоматическое обновление по расписанию
• Настройка логирования

Диагностика маршрутизации:

• Пошаговая проверка прохождения трафика для конкретного домена
• Определяет политику и интерфейс для домена, состояние VPN-соединения, записи в ipset и правила iptables, маршрутизацию устройств в сети

Настройки:

• Экспорт и импорт конфигурации (домены + CIDR) в формате CSV
• Мониторинг загрузки CPU и RAM роутера в реальном времени
• Настройка источника баз GeoIP/GeoSite

Автообновление GeoIP/GeoSite:

• Автоматическое скачивание и обновление баз по расписанию. После загрузки hrneo перезапускается автоматически.
• Источник - репозиторий Geo-Aggregator

Удаление

Полное (включая логи, конфиги, зависимые пакеты, откат всех изменений системы):

curl -Ls "https://git.zerrolabs.org/Ground-Zerro/release/pages/keenetic/hr-uninstall.sh" | sh

будут удалены:

• пакеты: hrneo, hrweb, ipset, iptables, jq, hydraroute, adguardhome-go, node, node-npm, xray, xray-core
• папки: /opt/etc/HydraRoute, /opt/etc/AdGuardHome, /opt/etc/xray/

Стандартное:

opkg remove hrneo hrweb

 

 

Страничка проекта на Github.

Наиболее быстрый вариант задать вопрос или получить помощь - обратиться в группу Telegram.

 

updates

Спойлер

WebUI 1.4.1-1
HR Neo 0.6.1.-1
WebUI 1.6.2-1
WebUI 1.8.2-1
HR Neo 0.17.1.-1
HR Neo 0.18.1.-1
HR Neo 0.20.1.-1
WebUI 1.10.1.-1
HR Neo 0.22.1-1 WebUI 1.16.2.-2

 

Edited May 30 by Ground_Zerro
update

[BACbKA]

И сразу озвучу детский вопрос: как только загрузился вэб-интерфейс, я убиваю существующую политику по умолчанию. Хочу создать новую. Создаю  новую единственную политику, через кнопку "+политика". Политика создаётся, я ей присваиваю имя, тут всё нормально. А потом под именем политики горит надпись "нет активного подключения", ну и, естественно, никакие правила внутри этой политики не работают. Если создаю интерфейс с кнопки "+интерфейс", выбирая при этом ВПН и забиваю туда правила, то эти правила отрабатывают.

Я так понимаю, что я делаю, что-то не так. Как в таком случае к существующей политике с надписью "нет активного подключения" присвоить интерфейс? И надо ли это делать? С чего правильно начинать настройку HydraRoute? Ибо в гайде указано два вида маршрутизации: по политике и по интерфейсу. Получается, что просто по политике настроить ума не хватает.

[Кинетиковод]

1 час назад, BACbKA сказал:

Как в таком случае к существующей политике с надписью "нет активного подключения" присвоить интерфейс?

Интерфейс привязывается к политике не в вебморде HR, а в вебморде роутера. 

 

[Кинетиковод]

@Ground_Zerro

Установил обновлённую версию Classic. В вебморде роутера вместо трёх политик создалась только одна. В старой версии было три. Баг или фича? Прошивка 5.0.2

[Ground_Zerro]

8 часов назад, Кинетиковод сказал:

Установил обновлённую версию Classic. В вебморде роутера вместо трёх политик создалась только одна. В старой версии было три. Баг или фича? Прошивка 5.0.2

[Maxim Bondarenko]

17 часов назад, Ground_Zerro сказал:

обратиться в группу Telegram.

а можно ссылку?

[Кинетиковод]

@Ground_Zerro

Установил обновлённую версию, увидел одну политику, подумал глюк. Переустановил ещё раз, опять одна политика, подумал точно глюк. Перечитал мануал, оказалось так задумано. Не знаю что ещё изменилось в новой версии, но работает она так же классно, как и предыдущая. 

8 часов назад, Maxim Bondarenko сказал:

а можно ссылку?

Тут.

[BACbKA]

21 час назад, Кинетиковод сказал:

Интерфейс привязывается к политике не в вебморде HR, а в вебморде роутера. 

 

О как? А можно подробней разжевать, для дилетанта?

[Кинетиковод]

43 минуты назад, BACbKA сказал:

А можно подробней разжевать, для дилетанта?

Почитайте мануал тут. Вроде всё понятно расписано. 

[BACbKA]

34 минуты назад, Кинетиковод сказал:

Почитайте мануал тут. Вроде всё понятно расписано. 

Сам виноват, разобрался. Просто одни и те же имена присваивал и не видел, что в вебе создаётся уже созданное.

[dchusovitin]

Если есть настроенный AdGuardHome, то лучше не запускайте скрипт удаления. Удаляет папку с настройками adh, зачем-то...
Делайте бэкапы и проверяйте скрипты перед запуском. В этот раз я поленился 

[Tommi]

Здравствуйте!

После удаления программы, так же удалилась библиотека jq с которой у меня много связанных других приложений, думаю так делать не стоит!

 

П.С. Спасибо за приложение, задумка интересная! Но надо бы теперь посмотреть не удалилось что-то ещё нужное из библиотек...  😁
Удалял если что как по мануалу:   curl -Ls "https://ground-zerro.github.io/release/keenetic/hr-uninstall.sh" | sh

[TheBB]

2 часа назад, Tommi сказал:

не удалилось что-то ещё

from hr-uninstall.sh: 

	opkg remove hrneo hrweb ipset iptables jq hydraroute adguardhome-go node node-npm

 

[Ground_Zerro]

@BACbKA @dchusovitin

Скрипт появился не на ровном месте, тому были причины. Пользователи, которые не слишком разбираются, задавали одни и те же вопросы — "Как удалить AGH?", "Как включить системный DNS?", "Как всё удалить?". Спрашивали очень часто и каждый раз это отнимало много времени. И казалось бы, что сложного ввести две команды в терминал или CLI? Какие там могут возникнуть затруднения? А вот могут и больше, иной раз процесс переписки в целях "починить" на несколько дней затягивался. Не все семи пядей во лбу, да и не нужно это простым людям - в эти дебри погружаться.
Так и появился hr-uninstall.sh. Внутри тусовки зовём его "АНИГИЛЯТОР".

Опытные пользователи, всегда могут воспользоваться официальным способом удаления OPKG-пакетов - об этом есть запись в репозитории. Наверное, стоит добавить туда пометку про Анигилятор, раз уже прожжённые камрады базовый вопрос, как удалить пакет, задавать начали.
 

@TheBB

Спасибо.

[Tommi]

2 часа назад, TheBB сказал:

from hr-uninstall.sh: 

	opkg remove hrneo hrweb ipset iptables jq hydraroute adguardhome-go node node-npm

 

Ага, спасибо! На 31 строке hr-uninstall.sh уже увидел данную строчку, из этого у меня было как раз ipset, iptables, jq, node, node-npm )))

 

2 часа назад, Ground_Zerro сказал:

Наверное, стоит добавить туда пометку про Анигилятор

Наверное да, а то из репозитория инфо "полное удаление (в т.ч. файлы, логи etc.) с откатом всех изменений в системе:" не однозначно понятно, но правильно конечно было бы, мне залезть и проверить самому, поторопился 

[dchusovitin]

В 10.12.2025 в 01:55, Ground_Zerro сказал:

Скрипт появился не на ровном месте, тому были причины

Да, это понятно, написал на всякий случай. Лень подвела, не заметил одну строчку в скрипте 

И +1 голос за поддержку измененных портов админки роутера.

[Boomer]

Приветствую

А Adguard может работать с версией Neo? Или они вместе работают только с версией Classic?

Edited December 12, 2025 by Boomer

[Ground_Zerro]

4 часа назад, Boomer сказал:

А Adguard может работать с версией Neo?

Может.

Из очевидных вариантов:

1. Указать AGH в качестве единственного DNS в админке роутера.
-  AGH будет видеть статистику только роутера.

2. Поставить AGH на роутер в качестве системного резолвера (opkg dns-override).
- AGH будет отображать статистику всех клиентов.

У меня например он стоит на том же VPS в качестве DoH DNS, где развернут туннель. Так меньше нагружается роутер, да и работает побыстрей.

Статистика чуть меньше чем за неделю интересная, 90% DNS трафика это - шлак. Причем из шлака процентов наверное 80 это телеметрия и лишь остальное реклама.

 

[Boomer]

4 часа назад, Ground_Zerro сказал:

У меня например он стоит на том же VPS в качестве DoH DNS,

И тогда статистики по клиентам нет, верно? Или как-то удалось вам сделать чтобы статистика по клиентам была? 

[Ground_Zerro]

21 минуту назад, Boomer сказал:

И тогда статистики по клиентам нет

Нет, в таком случае по клиентам за роутером статистики нет.

Далее риторически:
Она настолько важна? Настолько важно раз в день заходить и смотреть сколько было заблокировано с телефона, а сколько с компьютера? В том смысле, что с этими данными делать? Радоваться что вот с компа сегодня заблокировано больше чем с мобильника, как-то сравнивать эти цифры, может презентации сделать какую-то...
Не совсем понимаю этот вайб 😆 Но каждому - своё.

[Boomer]

9 часов назад, Ground_Zerro сказал:

Далее риторически:

Спойлер

Небольшой оффтоп тогда. 

Ну мне интересно понять, кто так тарабанится к закрытым сайтам. Дома несколько устройств, две Яндекс колонки, одна (Лайт 1) каждую минуту стучится к метрике, а вторая (мини) гораздо реже. Умный дом, тоже больше всех запросы отправляет. Не каждый день захожу, но иногда, чтобы понять что и как.

Яндекс лайт например стабильно умирает ночью, судя по всему какая-то проблема с прошивкой и это по статистике можно отследить, в какой момент отвалилось то или иное устройство. 

Из-за статистики и пришлось Adguard крутить на роутере, вместо умного дома. 

 

Edited December 13, 2025 by Boomer

[rrrr]

установил classic на старую ультру с прошивкой 2.16

почему пишет "нет активного подключения"?

vpn запущен и работает, к политике привязан

что еще нужно сделать?

 

[Ground_Zerro]

@Boomer

Привет.

На прошлых прошивках, точнее прошлого поколения, не тестировалось ПО.
Могу только предположить почему так себя ведет, но починить это силами пользователя не получится.

На странице HR плитка политики исключительно для красоты. Если маршрутизация работает можно это игнорировать.

[rrrr]

@Ground_Zerro

не работает так, весь траффик идет через впн

[rrrr]

ну ладно, взял другой роутер с 4.3.6.3

поставил с нуля Neo

и я не пойму почему весь траффик идет через впн?

для теста поставил только 1 сайт, почему не маршрутищируется?

 

 

 

 

[Ground_Zerro]

@rrrr

Прежде чем пользоваться стоит почитать инструкцию.

Не нужно помещать устройства в политики, создаваемые HydraRoute.

Об этом написано в и инструкции на  GitHub и в самой программе.

[rrrr]

@Ground_Zerro

на фото же нет ни одного устройства в политике hydra, все в основной

[Ground_Zerro]

@rrrr

Согласен, просиотрел. В таком случае весь трафик не должен перенаправляться через vpn подключение, но:

12 часов назад, rrrr сказал:

весь траффик идет через впн

Непонятно. Где-то не верные настройки.

[Кинетиковод]

@rrrr

У вас на устройствах случаем свои dns не включены? В качестве dns должен быть только роутер, иначе схема работать не будет. 

[rrrr]

@Кинетиковод

dns только сам роутер, ну и основной провайдер выдал

 

@Ground_Zerro

какие еще настройки смотреть?

настроен только впн и все

и установлена hydra по инструкции

в политике hydrы поставил галку на впн

 

ps. как делать ссылку обращения на пользователя?)

Edited December 20, 2025 by rrrr