[5.2 b0] Часть списков DNS-маршрутов отрабатывается в политике некорректно

[FanIT]

Доброго времени суток. Имеется 7 списков доменных имен для DNS-маршрутизации, которые должны "ходить" через WireGuard. В политике по умолчанию все списки маршрутизируются корректно. Один из этих списков должен маршрутизироваться только для конкретного устройства.

Что сделано:

1. Создал отдельную политику.
2. Поместил в эту политику нужного клиента.
3. В правилах маршрутизации выбрал созданную политику.
4. Создал маршруты для каждого списка. В параметрах указал нужный список, интерфейс WG и созданную политику. Проставил галки в Включить маршрут, Добавлять автоматически и Эксклюзивный маршрут.

Часть маршрутов отрабатываются корректно, а часть игнорирует WG и направляются напрямую через провайдера. Какой-то закономерности я пока не обнаружил.

[Ivan111]

Подтверждаю, маршруты DNS сломаны и идут напрямую вне зависимости, какой интерфейс выбран

[SVN]

Так же подтверждаю.  Причём один и тот же маршрут после создания какое-то время идёт нормально(как настроен в DNS-маршрутизации) , а спустя какое-то  время уже не идёт по этому правилу. Вообще сайт не открывается... Дальше если отключить правило, то (спустя минуту) идёт напрямую, а если снова включить - то спустя минуты 3 идёт снова по заданному маршруту. Тоже какой-то закономерности не могу выявить.

Это очень круто, что работа над DNS-маршрутизацией идёт. Допилите пожалуйста, очень нужно!!!

Изменено 6 октября пользователем SVN

[Mineralwax]

Подтверждаю проблему. При удалении/добавлении DNS перезапускается DNS-кэш, поэтому маршрутизация временно восстанавливается. Но после какого-то времени снова ломается. Явных причин такому поведению не обнаружил.

[iz07]

Вопрос. А точно это проявляется только когда несколько (или много) списков доменных имен?

У меня нечто похожее всего лишь при одном списке (для ru-сегмента) - 

 

[iz07]

Интересно, кстати. @Sevmixser у вас маршрутизация настроена через домены верхнего уровня? То есть указаны ru,рф,su, а не прицельно (типа yandex.ru, max.ru)?

Пробовали ли ставить прицельно? Изменилось ли что-то при этом?

[Sevmixser]

Я пост потер потому что увидел, что у меня 5.2 b1 - а маршрутизация также не работает. Решил некорректно писать в ветке про b0.  Маршрутизация, настроена через домены верхнего уровня. Политик 7, раскидываю на 4 туннеля, не работает как заявлено, только в политике по умолчанию.

Изменено 27 октября пользователем Sevmixser

[iz07]

Посмотрите тут -

 

[Sevmixser]

В 5.2 b2 решили вопрос - при сохранении маршрута с любой политикой отличной от "политика по умолчанию" - system failed [0xcffd0876].  

[iz07]

А откатиться возможно?

[Sevmixser]

10 минут назад, iz07 сказал:

А откатиться возможно?

С любой прошивки можно  Я, видимо, буду откатываться на 5.1.8, подожду пока допилят маршрутизацию.

[iz07]

1 минуту назад, Sevmixser сказал:

подожду пока допилят маршрутизацию.

Не факт, что ее допилят, если не будет тех, кто это будет пробовать и давать обратную связь. 

Вы бы попробовали как оно без доменов первого уровня в маршрутизации работает.

[SVN]

2 часа назад, iz07 сказал:

Вы бы попробовали как оно без доменов первого уровня в маршрутизации работает.

А никак теперь не работает.  Хотя оно и не работало нормально, или непонятно как правильно создать, чтоб всегда работало, а не раз через 5 раз. Влияют ли какие-то условия, типа DoT/DoH или ещё что-то..... Теперь, подтверждаю, В 5.2 b2  при сохранении маршрута с любой политикой отличной от "политика по умолчанию" -  system failed [0xcffd0876]. и в журнале:  

• Network::ObjectGroup: "domain-name-list-3": group created.
• Network::ObjectGroup: "domain-name-list-3": set group description.
• Network::ObjectGroup: "domain-name-list-3": added included FQDN "ya.ru".
• Core::System::StartupConfig: saving (http/rci).
• Core::System::StartupConfig: configuration saved.
• Dns::Route::Manager: system failed [0xcffd0876].
• Dns::Route::Manager: unable to find the DNS route rule with index "".

Только никто на тему внимания  не обращает. То ли надо снова создавать отдельную по версии 5.2 b2  то ли не знаю...

Изменено 27 октября пользователем SVN

[OldManOne]

 Создаю отдельную политику для маршрутизации группы доменов через L2TP1 с резервом через L2TP0. Оба L2TP/IPsec-
  подключения подняты, connected: yes, fail: no.

  Конфигурация тестовой политики:

  ip policy TEST_POLICY
      permit global ISP
      permit global L2TP0
      permit global L2TP1
      permit auto

  В контексте этой политики выполняю:

  dns-proxy route object-group TEST_FQDN L2TP1 auto

  Получаю:

  Dns::Route::Manager error[268241014]:
  system failed [0xcffd0876].

  FQDN-группа предварительно создана и содержит 38 доменов. Экземпляр DNS-прокси тестовой политики существует. Повторная
  попытка после проверки его запуска даёт ту же ошибку. В show running-config правило не появляется. 

Изменено 28 октября пользователем OldManOne

[iz07]

А где вообще скачать 5.2 b1, если кому-либо нужно обновиться не до b2?

На https://osvault.keenetic.net/KN-3810/ я вижу только прошивки стабильной ветки

[Zlodey]

Похожая проблема на KN-3010, 5.2 Beta 2, но со статическими маршрутами.

Конфигурация: ~950 статических маршрутов ip route x.x.x.x/16 Wireguard0 auto + dns-proxy route object-group (списки доменов в WG). WireGuard = AmneziaWG до VPS.

Симптомы: туннель поднят (handshake OK, трафик ходит), но префиксы Google (64.233/16, 74.125/16, 142.250-251/16, 172.217/16, 216.58/16 и др.), 104.244.0.0/16, 8.8.8.8/32 — TCP SYN не проходит (connect timeout). Соседние префиксы через тот же интерфейс (31.13.0.0/16, 151.101.0.0/16, 8.47.0.0/16) при этом работают. В show ip route все маршруты присутствуют. Перезагрузка, down/up интерфейса, полное удаление статики и заливка нового списка (1360 маршрутов) не помогают. Откат на Beta 1 с тем же startup-config — всё работает.

Дополнительно в Beta 2: импорт файла маршрутов >1024 строк падает с libndmIp: the limit on the number of lines (1024) exceeded; маршруты, покрытые существующим более широким префиксом, не импортируются (routes imported: 0) — на Beta 1 оба случая работали.

startup-config и логи готов предоставить.

[hlnw]

В 28.10.2026 в 20:03, OldManOne сказал:

 Создаю отдельную политику для маршрутизации группы доменов через L2TP1 с резервом через L2TP0. Оба L2TP/IPsec-
  подключения подняты, connected: yes, fail: no.

  Конфигурация тестовой политики:

  ip policy TEST_POLICY
      permit global ISP
      permit global L2TP0
      permit global L2TP1
      permit auto

  В контексте этой политики выполняю:

  dns-proxy route object-group TEST_FQDN L2TP1 auto

  Получаю:

  Dns::Route::Manager error[268241014]:
  system failed [0xcffd0876].

  FQDN-группа предварительно создана и содержит 38 доменов. Экземпляр DNS-прокси тестовой политики существует. Повторная
  попытка после проверки его запуска даёт ту же ошибку. В show running-config правило не появляется. 

Будет исправлено в следующей версии ПО 5.2 в рамках кейса NDM-4831.

[iz07]

@SVN  @OldManOne  Полегчало ли с Beta 3?

Изменено Пятница в 14:47 пользователем iz07

[jagel]

по моим наблюдениям на Beta 3  все тоже самое - работает по заданному маршруту, потом в рандомный момент опять пускает по обычному каналу провайдера. 
И самое отвратительное что тоже самое происходит даже если привязать клиента к конкретной политике, все равно - в рандомные моменты он будет пускать трафик через провайдера. т.е. беда не ограничивается плохой работой DNS маршрутизации

[iz07]

А как вы определяете, что оно именно через основной канал идет?

[jagel]

ну, в частности, клиент чата ГПТ внезапно прямо во время задачи выдает - доступ запрещен и отображает российский ip.  Ждешь минут 15-20 и опять все норм на какое-то время. 
Те же самые сервера но через прямой клиент амнезии работают как часы, а с маршрутизатора - постоянно вот такая канитель. 
 

[info]

14 часов назад, jagel сказал:

по моим наблюдениям на Beta 3  все тоже самое - работает по заданному маршруту, потом в рандомный момент опять пускает по обычному каналу провайдера. 
И самое отвратительное что тоже самое происходит даже если привязать клиента к конкретной политике, все равно - в рандомные моменты он будет пускать трафик через провайдера. т.е. беда не ограничивается плохой работой DNS маршрутизации

Здравствуйте. Поясните пожалуйста, правильно ли я вас понял:

1. Создаем Приоритеты подключений -> Политика доступа в интернет -> Подключение через определенный интерфейс (WireGuard)
2. Приоритеты подключений -> Применение политик -> Назначаем клиенту

И в рандомные моменты времени трафик от клиента идет не через указанный интерфейс (политику) а напрямую, те через политику по умолчанию?