HydraRoute Neo - маршрутизация доменов и CIDR

[Ground_Zerro]

HydraRoute — название, в котором миф о многоголовой Гидре становится образом для системы маршрутов, способной разрастаться и ветвиться: стоит исчезнуть одному направлению, как на его месте возникают новые.

Для чего:

• Точечная маршрутизация на основе доменных имен.
• IP маршрутизация в дополнение к механизмам, имеющимся в роутерах Keenetic.

Два варианта маршрутизации:

• Политики доступа - используется подключение в политике доступа (резервирование/многопутевая передача).
• Интерфейс - используется указанное подключение.

В обоих вариантах - подключения эксклюзивны: при пропадании линка трафик отправляются в "черную дыру".
Маршрутизация применяется только для устройств и сегментов сети находящихся в "политике по умолчанию".

Основной интерфейс:

Доменные имена и CIDR можно указать вручную, также есть загрузка списков из:

• Github проекта
• по прямой ссылке в интернете
• репозитория iplist от rekryt (iplist.opencck.org) /MIT License/

Реализован механизм "санитайзинга" введенных/загруженных данных - очистка от мусора, не валидных доменов, CIDR, дублей и вложенных доменов.
При сохранении, во избежание конфликтов маршрутизации, проводится проверка на пересекающиеся данные:

Промежуточных звеньев на пути DNS трафика - нет. Работа строится на анализе копий DNS-пакетов, поступающих в приложение через nfLog. Трафик Host<->DNS server не перенаправляется, не задерживается и не изменяется.

Системные требования и установка пакета

Спойлер

Системные требования:

- Роутер Keenetic с прошивкой выше v.4.3.6 и установленным [Entware](https://help.keenetic.com/hc/ru/articles/360021214160)
- Установите `curl`, если не установлен:

opkg install curl

Установка:

1. Добавьте репозиторий:

curl -Ls "https://ground-zerro.github.io/release/keenetic/install-feed.sh" | sh

2. Установите HR Neo:

opkg install hrneo

HydraRoute Neo готов к работе сразу после установки.

Если для работы с доменами консольной версии мало - установите Web-интерфейс:

opkg install hrweb

Более подробная информация по настройке доступна на Github.

Страничка проекта на Github.

Дополнительная информация

• Является homebrew приложением поддерживаемым только его автором, от OpenSource "сообщества" предложений помощи не поступало. При наличии необходимости готов предоставить исходники авторитетным участникам форума и/или мейнтейнерам Entware для анализа на backdoor и иных опасных вложений, составления компетентного мнения и его представления сообществу без раскрытия SourceCode.
• Если отсутствие исходников является для Вас проблемой - откажитесь от использования приложения, так всем будет спокойней.
• Проект вырос из идеи, изложенной на этом форуме.

Немного технических подробностей

Спойлер

• Бэкэнд: Go
• Фнонтэнд: HTML, JS, CSS 
• Взаимодействие с роутером: rci, ndmc

Механизм анализа DNS через NFLOG
Программа устанавливает правила iptables/ip6tables в цепочку OUTPUT таблицы mangle для перехвата DNS-ответов (порт 53 UDP/TCP) с помощью модуля xt_NFLOG. DNS-пакеты отправляются в NFLOG группу 100 через netfilter_queue. Монитор подписывается на эту группу через библиотеку go-nflog и получает копии пакетов в userspace без их блокировки.
Из DNS-ответов извлекаются A/AAAA записи с IP-адресами и CNAME-цепочки. Домены проверяются по watchlist через точное совпадение, суффиксы и regex-паттерны. При совпадении домена его IP добавляются в соответствующий ipset.

Механизм работы с iptables и ipset через netlink
Система взаимодействует с ipset напрямую через netlink-сокет NETLINK_NETFILTER без вызова внешних команд. Формируются низкоуровневые netlink-сообщения с протоколом NFNL_SUBSYS_IPSET: CREATE для создания ipset типа hash:net с опциональным timeout, ADD для добавления IP/CIDR, FLUSH для очистки.
Для iptables используется iptables-restore с опцией --noflush для массового добавления правил. Генерируется текстовый формат iptables-save с правилами CONNMARK для маркировки трафика в таблице mangle цепи PREROUTING: установка mark по ipset match, restore mark из conntrack. Это позволяет применить десятки правил одной операцией без блокировки.
Для direct routing к интерфейсам создаются правила с fwmark и таблицы маршрутизации через команды ip rule/ip route. Каждому интерфейсу выделяется уникальный fwmark и table ID.

Механизм санитайзинга и валидации
Домены проверяются по строгим критериям: длина 1-253 символа, только латиница, цифры, дефис и точка. Запрещены домены начинающиеся/заканчивающиеся точкой или дефисом. При парсинге watchlist отбрасываются строки с невалидным UTF-8. IP-адреса фильтруются: отклоняются unspecified (0.0.0.0/::), loopback (127.0.0.0/8/::1), сети 0.0.0.0/8, это предотвращает добавление служебных адресов в маршрутизацию. CIDR проверяются с валидацией IP и маски.

Механизм таймаутов в ipset для управления временем жизни адресов
Ipset-наборы создаются с поддержкой таймаута (по умолчанию 21600 секунд = 6 часов), что предотвращает бесконечное накопление устаревших IP-адресов.  По истечении таймаута запись удаляется из ipset, освобождая память и поддерживая актуальность маршрутизации.
Пользовательские CIDR из файла ip.list добавляются с бесконечным таймаутом (timeout=0). Это обеспечивает постоянную маршрутизацию статических диапазонов независимо от DNS-резолвов.
При отключении таймаутов (IpsetEnableTimeout=false) все адреса, включая DNS-резолвы, становятся постоянными и требуют ручной очистки.

Принцип работы hook-скрипта для поддержки правил в iptables
При изменениях в iptables/ip6tables таблицы mangle системой вызывается ndmc hook-скрипт. Скрипт проверяет существование PID-файла /var/run/hrneo.pid, валидирует что процесс с этим PID активен и отправляет сигнал работающему процессу приложения.
Обработчик сигналов перехватывает сигнал и вызывает функцию синхронизации правил Iptables. Функция получает актуальные markID политик через RCI API, сравнивает текущие правила iptables с требуемыми через кеш вывода iptables -t mangle -S. При обнаружении несоответствия markID удаляет старые правила через iptables -D и добавляет новые через iptables-restore. При полном отсутствии правил создает недостающие правила.
Удаление iptables правил может происходить при создании новой политики, up/down add/del интерфейса или других изменений конфигурации роутера.

*приведены лишь некоторые механизмы и решения, используемые в проекте.

Лучший и наиболее быстрый вариант задать вопрос или получить помощь: создать issue на Github или обратиться в группу Telegram.

update
Обновление 1.4.1-1

Изменено Четверг в 12:00 пользователем Ground_Zerro
1.4.1-1

[BACbKA]

И сразу озвучу детский вопрос: как только загрузился вэб-интерфейс, я убиваю существующую политику по умолчанию. Хочу создать новую. Создаю  новую единственную политику, через кнопку "+политика". Политика создаётся, я ей присваиваю имя, тут всё нормально. А потом под именем политики горит надпись "нет активного подключения", ну и, естественно, никакие правила внутри этой политики не работают. Если создаю интерфейс с кнопки "+интерфейс", выбирая при этом ВПН и забиваю туда правила, то эти правила отрабатывают.

Я так понимаю, что я делаю, что-то не так. Как в таком случае к существующей политике с надписью "нет активного подключения" присвоить интерфейс? И надо ли это делать? С чего правильно начинать настройку HydraRoute? Ибо в гайде указано два вида маршрутизации: по политике и по интерфейсу. Получается, что просто по политике настроить ума не хватает.

[Кинетиковод]

1 час назад, BACbKA сказал:

Как в таком случае к существующей политике с надписью "нет активного подключения" присвоить интерфейс?

Интерфейс привязывается к политике не в вебморде HR, а в вебморде роутера. 

 

[Кинетиковод]

@Ground_Zerro

Установил обновлённую версию Classic. В вебморде роутера вместо трёх политик создалась только одна. В старой версии было три. Баг или фича? Прошивка 5.0.2

[Ground_Zerro]

8 часов назад, Кинетиковод сказал:

Установил обновлённую версию Classic. В вебморде роутера вместо трёх политик создалась только одна. В старой версии было три. Баг или фича? Прошивка 5.0.2

[Maxim Bondarenko]

17 часов назад, Ground_Zerro сказал:

обратиться в группу Telegram.

а можно ссылку?

[Кинетиковод]

@Ground_Zerro

Установил обновлённую версию, увидел одну политику, подумал глюк. Переустановил ещё раз, опять одна политика, подумал точно глюк. Перечитал мануал, оказалось так задумано. Не знаю что ещё изменилось в новой версии, но работает она так же классно, как и предыдущая. 

8 часов назад, Maxim Bondarenko сказал:

а можно ссылку?

Тут.

[BACbKA]

21 час назад, Кинетиковод сказал:

Интерфейс привязывается к политике не в вебморде HR, а в вебморде роутера. 

 

О как? А можно подробней разжевать, для дилетанта?

[Кинетиковод]

43 минуты назад, BACbKA сказал:

А можно подробней разжевать, для дилетанта?

Почитайте мануал тут. Вроде всё понятно расписано. 

[BACbKA]

34 минуты назад, Кинетиковод сказал:

Почитайте мануал тут. Вроде всё понятно расписано. 

Сам виноват, разобрался. Просто одни и те же имена присваивал и не видел, что в вебе создаётся уже созданное.

[dchusovitin]

Если есть настроенный AdGuardHome, то лучше не запускайте скрипт удаления. Удаляет папку с настройками adh, зачем-то...
Делайте бэкапы и проверяйте скрипты перед запуском. В этот раз я поленился 

[Tommi]

Здравствуйте!

После удаления программы, так же удалилась библиотека jq с которой у меня много связанных других приложений, думаю так делать не стоит!

 

П.С. Спасибо за приложение, задумка интересная! Но надо бы теперь посмотреть не удалилось что-то ещё нужное из библиотек...  😁
Удалял если что как по мануалу:   curl -Ls "https://ground-zerro.github.io/release/keenetic/hr-uninstall.sh" | sh

[TheBB]

2 часа назад, Tommi сказал:

не удалилось что-то ещё

from hr-uninstall.sh: 

	opkg remove hrneo hrweb ipset iptables jq hydraroute adguardhome-go node node-npm

 

[Ground_Zerro]

@BACbKA @dchusovitin

Скрипт появился не на ровном месте, тому были причины. Пользователи, которые не слишком разбираются, задавали одни и те же вопросы — "Как удалить AGH?", "Как включить системный DNS?", "Как всё удалить?". Спрашивали очень часто и каждый раз это отнимало много времени. И казалось бы, что сложного ввести две команды в терминал или CLI? Какие там могут возникнуть затруднения? А вот могут и больше, иной раз процесс переписки в целях "починить" на несколько дней затягивался. Не все семи пядей во лбу, да и не нужно это простым людям - в эти дебри погружаться.
Так и появился hr-uninstall.sh. Внутри тусовки зовём его "АНИГИЛЯТОР".

Опытные пользователи, всегда могут воспользоваться официальным способом удаления OPKG-пакетов - об этом есть запись в репозитории. Наверное, стоит добавить туда пометку про Анигилятор, раз уже прожжённые камрады базовый вопрос, как удалить пакет, задавать начали.
 

@TheBB

Спасибо.

[Tommi]

2 часа назад, TheBB сказал:

from hr-uninstall.sh: 

	opkg remove hrneo hrweb ipset iptables jq hydraroute adguardhome-go node node-npm

 

Ага, спасибо! На 31 строке hr-uninstall.sh уже увидел данную строчку, из этого у меня было как раз ipset, iptables, jq, node, node-npm )))

 

2 часа назад, Ground_Zerro сказал:

Наверное, стоит добавить туда пометку про Анигилятор

Наверное да, а то из репозитория инфо "полное удаление (в т.ч. файлы, логи etc.) с откатом всех изменений в системе:" не однозначно понятно, но правильно конечно было бы, мне залезть и проверить самому, поторопился 

[dchusovitin]

В 10.12.2025 в 01:55, Ground_Zerro сказал:

Скрипт появился не на ровном месте, тому были причины

Да, это понятно, написал на всякий случай. Лень подвела, не заметил одну строчку в скрипте 

И +1 голос за поддержку измененных портов админки роутера.

[Boomer]

Приветствую

А Adguard может работать с версией Neo? Или они вместе работают только с версией Classic?

Изменено 12 декабря пользователем Boomer

[Ground_Zerro]

4 часа назад, Boomer сказал:

А Adguard может работать с версией Neo?

Может.

Из очевидных вариантов:

1. Указать AGH в качестве единственного DNS в админке роутера.
-  AGH будет видеть статистику только роутера.

2. Поставить AGH на роутер в качестве системного резолвера (opkg dns-override).
- AGH будет отображать статистику всех клиентов.

У меня например он стоит на том же VPS в качестве DoH DNS, где развернут туннель. Так меньше нагружается роутер, да и работает побыстрей.

Статистика чуть меньше чем за неделю интересная, 90% DNS трафика это - шлак. Причем из шлака процентов наверное 80 это телеметрия и лишь остальное реклама.

 

[Boomer]

4 часа назад, Ground_Zerro сказал:

У меня например он стоит на том же VPS в качестве DoH DNS,

И тогда статистики по клиентам нет, верно? Или как-то удалось вам сделать чтобы статистика по клиентам была? 

[Ground_Zerro]

21 минуту назад, Boomer сказал:

И тогда статистики по клиентам нет

Нет, в таком случае по клиентам за роутером статистики нет.

Далее риторически:
Она настолько важна? Настолько важно раз в день заходить и смотреть сколько было заблокировано с телефона, а сколько с компьютера? В том смысле, что с этими данными делать? Радоваться что вот с компа сегодня заблокировано больше чем с мобильника, как-то сравнивать эти цифры, может презентации сделать какую-то...
Не совсем понимаю этот вайб 😆 Но каждому - своё.

[Boomer]

9 часов назад, Ground_Zerro сказал:

Далее риторически:

Спойлер

Небольшой оффтоп тогда. 

Ну мне интересно понять, кто так тарабанится к закрытым сайтам. Дома несколько устройств, две Яндекс колонки, одна (Лайт 1) каждую минуту стучится к метрике, а вторая (мини) гораздо реже. Умный дом, тоже больше всех запросы отправляет. Не каждый день захожу, но иногда, чтобы понять что и как.

Яндекс лайт например стабильно умирает ночью, судя по всему какая-то проблема с прошивкой и это по статистике можно отследить, в какой момент отвалилось то или иное устройство. 

Из-за статистики и пришлось Adguard крутить на роутере, вместо умного дома. 

 

Изменено 13 декабря пользователем Boomer

[rrrr]

установил classic на старую ультру с прошивкой 2.16

почему пишет "нет активного подключения"?

vpn запущен и работает, к политике привязан

что еще нужно сделать?

 

[Ground_Zerro]

@Boomer

Привет.

На прошлых прошивках, точнее прошлого поколения, не тестировалось ПО.
Могу только предположить почему так себя ведет, но починить это силами пользователя не получится.

На странице HR плитка политики исключительно для красоты. Если маршрутизация работает можно это игнорировать.

[rrrr]

@Ground_Zerro

не работает так, весь траффик идет через впн

[rrrr]

ну ладно, взял другой роутер с 4.3.6.3

поставил с нуля Neo

и я не пойму почему весь траффик идет через впн?

для теста поставил только 1 сайт, почему не маршрутищируется?

 

 

 

 

[Ground_Zerro]

@rrrr

Прежде чем пользоваться стоит почитать инструкцию.

Не нужно помещать устройства в политики, создаваемые HydraRoute.

Об этом написано в и инструкции на  GitHub и в самой программе.

[rrrr]

@Ground_Zerro

на фото же нет ни одного устройства в политике hydra, все в основной

[Ground_Zerro]

@rrrr

Согласен, просиотрел. В таком случае весь трафик не должен перенаправляться через vpn подключение, но:

12 часов назад, rrrr сказал:

весь траффик идет через впн

Непонятно. Где-то не верные настройки.

[Кинетиковод]

@rrrr

У вас на устройствах случаем свои dns не включены? В качестве dns должен быть только роутер, иначе схема работать не будет. 

[rrrr]

@Кинетиковод

dns только сам роутер, ну и основной провайдер выдал

 

@Ground_Zerro

какие еще настройки смотреть?

настроен только впн и все

и установлена hydra по инструкции

в политике hydrы поставил галку на впн

 

ps. как делать ссылку обращения на пользователя?)

Изменено 20 декабря пользователем rrrr