Библиотека знаний - router

Asus - Router

Anonymous (anonymous@undisclosed.example.com) — 2026-04-11T16:49:43+00:00

Asus - Router

Устройства

RT-AC86U

GT-AX11000

Настройки прошивки Merlin

Расширения

https://www.snbforums.com/forums/asuswrt-merlin-addons.60/

Настройки

Тип NAT

Full Cone NAT - использует статическое сопоставление портов, позволяя входящим соединениям от любых внешних хостов достигать внутренних устройств через один и тот же внешний порт. Этот режим идеален для онлайн-игр, P2P-приложений и сервисов вроде Skype, где требуется легкий доступ извне.
Symmetric NAT - назначает уникальную комбинацию внешнего IP-адреса и порта для каждого соединения с разными внешними назначениями. Это обеспечивает более высокий уровень безопасности, но может вызывать проблемы совместимости с некоторыми P2P-приложениями, так как входящие пакеты без установленного соединения блокируются.

DPI

Zapret - DPI bypass multi platform Topics (NFQWS)

VPN

XRAY Server / XRAYUI

Logger / syslog-ng

Monitoring

https://www.snbforums.com/threads/rtrmon-v2-3-1-mar-8-2026-monitor-your-routers-health-new-wireguard-amtm-network-conn-bandwidth-diag-port-scanner-speedtest-v2-4-0beta4.96546/

Ошибки

No space left on device

$ admin@GT-AX11000-8220:/tmp/home/root# cat /dev/null > /jffs/.sys/TrafficAnalyzer/TrafficAnalyzer.db
-sh: can't create /jffs/.sys/TrafficAnalyzer/TrafficAnalyzer.db: No space left on device

Исправления

$ nvram set jffs2_format=1
$ nvram commit
$ reboot

Этот репозиторий содержит автоматически обновляемые правила маршрутизации

Anonymous (anonymous@undisclosed.example.com) — 2026-03-20T12:32:00+00:00

[asus]

Этот репозиторий содержит автоматически обновляемые правила маршрутизации

v2ray-rules-dat

https://github.com/Loyalsoldier/v2ray-rules-dat/releases/latest/download/geoip.dat https://github.com/Loyalsoldier/v2ray-rules-dat/releases/latest/download/geosite.dat

russia-v2ray-rules-dat

Этот репозиторий содержит автоматически обновляемые правила маршрутизации V2Ray, основанные на данных о заблокированных доменах и адресах в России.

https://github.com/runetfreedom/russia-v2ray-rules-dat/releases/latest/download/geoip.dat https://github.com/runetfreedom/russia-v2ray-rules-dat/releases/latest/download/geosite.dat

ModSyslogUI

Anonymous (anonymous@undisclosed.example.com) — 2026-04-11T16:23:22+00:00

ModSyslogUI

Scribe

Anonymous (anonymous@undisclosed.example.com) — 2025-12-06T03:31:22+00:00

[asus, merlin, amtm, entware, syslog]

Scribe

RFC3164 Network/Compute Devices -> syslog-ng (UDP port 514) ->
Promtail (port 1514) -> Loki (port 3100) <- Grafana (port 3000)

Syslog-ng — принимать логи по сети от других устройств и систем.
Loki — обрабатывать логи и отправлять их в Grafana для визуализации.
Grafana — визуализировать логи, собранные с помощью Loki.

Важно, что Syslog-ng, Loki и Grafana могут быть на одном сервере для оптимальной производительности, но Grafana может быть на отдельном сервере.

Настроить приём логов от устройств, например, по UDP-порту 514 или TCP-порту. В конфигурации syslog-ng можно указать источник логов и вывод в файл. Например, для приёма логов от MikroTik syslog-ng может слушать UDP-порт 5140 и записывать логи в JSON-файл. Настроить отправку логов на удалённый сервер, если устройства отправляют syslog с отклонением от формата RFC 3164 (например, устройства Cisco). В этом случае syslog-ng может преобразовывать syslog к формату RFC 5424.

Подготовка

$ amtm 
 ep
 /tmp/mnt/SYS

Установка

$ /usr/sbin/curl --retry 3 "https://raw.githubusercontent.com/AMTM-OSR/scribe/master/scribe.sh" -o "/jffs/scripts/scribe" && chmod 0755 /jffs/scripts/scribe && /jffs/scripts/scribe install

Настройка

nano /opt/etc/syslog-ng.conf

#############################################################################
# syslog-ng.conf customized for scribe on Asuswrt-Merlin firmware
# compare to /opt/share/syslog-ng/examples/syslog-ng.conf-opkg for differences from Entware distribution
#
# syslog-ng documentation: https://www.syslog-ng.com/technical-documents/list/syslog-ng-open-source-edition
#
# Release notes: https://github.com/syslog-ng/syslog-ng/releases
 
@version: 4.7
#@include "scl.conf" # uncomment this line to for additional functionality, see syslog-ng documentation
@include "/opt/etc/syslog-ng.d/" # Put any customization files in this directory
 
options {
    chain_hostnames(no); # Enable or disable the chained hostname format.
    create_dirs(yes);
    keep_hostname(yes); # Enable or disable hostname rewriting.
    log_fifo_size(256); # The number of messages that the output queue can store.
    log_msg_size(16384); # Maximum length of a message in bytes.
    stats(freq(21600)); # The period between two STATS messages sent by syslog-ng, containing statistics about dropped logs in seconds; 0 disables. (21,600 seconds = 6 hours)
    flush_lines(0); # How many lines are flushed to a destination at a time.
    use_fqdn(no); # Add Fully Qualified Domain Name instead of short hostname.
};
 
# syslog-ng gets messages from the system, kernel, and syslog-ng (internal)
# DO NOT use system() source; causes issues on HND routers
# so_rcvbuf = maximum number of messages per second * 1024
source src {
    unix-dgram("/dev/log" so_rcvbuf(65536) flags(syslog-protocol));
    file("/proc/kmsg" program_override("kernel") flags(kernel));
    internal();
#    udp(ip(192.168.x.y) port(514)); # uncomment this line to pass all network messages through syslog-ng filters
};
 
# if you only want to pass network messages through some syslog-ng filters, uncomment the source line below
# then add "source(net);" to the log statement in any filter you want to pass network messages through
#source net { udp(ip(192.168.x.y) port(514)); };
 
# set the filename for the default log file - anything not filtered out will end up here
destination messages { file("/opt/var/log/messages"); };
 
# to send log messages to the local network, uncomment the destination line below
# then add "destination(log_server);" to the log statement in any filter you want to pass network messages through
#destination log_server { udp("192.168.x.y" port(514)); };
 
log {
    source(src);
#    source(net); # uncomment this and "source net" function above to get udp log messages from local network
    destination(messages);
#    destination(log_server); # uncomment this and "destination log_server" function above to send udp log messages to local network
};

меняем функцию log на

destination d_fluentbit {
    syslog("192.168.1.132" transport("tcp") port(5140));
};
 
log {
    source(src);
#    source(net); # uncomment this and "source net" function above to get udp log messages from local network
    destination(messages);
#    destination(log_server); # uncomment this and "destination log_server" function above to send udp log messages to local network
    destination(d_fluentbit);
};

XRAY Server / XRAYUI

Anonymous (anonymous@undisclosed.example.com) — 2026-03-26T10:44:08+00:00

[router, vless, proxy, xrayui, xray]

XRAY Server / XRAYUI

https://github.com/DanielLavrushin/asuswrt-merlin-xrayui - Клиент на роутер
https://github.com/XTLS/Xray-core - Само приложение Xray

asuswrt-merlin-xrayui / Client

X-RAY UI плагин XRAY-Core для роутеров ASUS

Установка

$ wget -O /tmp/asuswrt-merlin-xrayui.tar.gz https://github.com/DanielLavrushin/asuswrt-merlin-xrayui/releases/latest/download/asuswrt-merlin-xrayui.tar.gz && rm -rf /jffs/addons/xrayui && tar -xzf /tmp/asuswrt-merlin-xrayui.tar.gz -C /jffs/addons && mv /jffs/addons/xrayui/xrayui /jffs/scripts/xrayui && chmod 0777 /jffs/scripts/xrayui && sh /jffs/scripts/xrayui install

Ошибка

Entware is not installed or opkg binary is not accessible.
Please install Entware first: https://github.com/Entware/Entware/wiki/Install-on-ASUSWRT

Entware

$ amtm
i
ep

Удаление

$ /jffs/scripts/xrayui uninstall

Обновление

$ wget -O /tmp/asuswrt-merlin-xrayui.tar.gz https://github.com/DanielLavrushin/asuswrt-merlin-xrayui/releases/latest/download/asuswrt-merlin-xrayui.tar.gz && rm -rf /jffs/addons/xrayui && tar -xzf /tmp/asuswrt-merlin-xrayui.tar.gz -C /jffs/addons && mv /jffs/addons/xrayui/xrayui /jffs/scripts/xrayui && chmod 0777 /jffs/scripts/xrayui && sh /jffs/scripts/xrayui update

3X-UI / Panel / Server

https://github.com/AghayeCoder/tx-ui

$ openssl req -x509 -keyout /etc/ssl/certs/3x-ui.key -out /etc/ssl/certs/3x-ui.pem -newkey rsa:4096 -sha256 -days 3650 -nodes -new
$ openssl x509 -noout -sha256 -fingerprint -in /etc/ssl/certs/3x-ui.pem

$ bash <(curl -Ls https://raw.githubusercontent.com/mhsanaei/3x-ui/master/install.sh)

Настройки / Подключения

Схема: Пользователь -> Nginx (443 порт) -> Xray

Это классическая схема «проксирование через WebSocket + TLS» (часто называемая WS + TLS или VLESS+WS+TLS).

Как это работает:

Пользователь подключается к вашему домену (например, yourdomain.com) по стандартному HTTPS-порту 443.
Nginx, получив запрос, проверяет его.
Ключевой момент:
Вы настраиваете в nginx правило, чтобы запросы, приходящие на определённый путь (например, /graphql, /ray, /ws), пересылались (проксировались) на локальный порт, где работает Xray (например, 127.0.0.1:10000).
Обычный веб-трафик (запрос к сайту) идёт к вашему сайту или отдаёт fake page, а трафик по секретному пути — к Xray.
Со стороны интернета весь трафик выглядит как обычный HTTPS, что обеспечивает высокую степень маскировки и обхода блокировок.

Зачем это нужно:

Маскировка: Трафик Xray выглядит как обычный веб-серфинг.
Надёжность: Используется порт 443, который почти всегда открыт.
Безопасность: TLS-шифрование завершается на nginx.
Разделение: На одном IP-адресе можно одновременно держать и сайт, и прокси-сервис.

Схема: Пользователь -> Nginx (2053 порт) -> Панель 3x-ui

Это схема для доступа к веб-панели управления Xray.

Как это работает:

Панель 3x-ui по умолчанию слушает свой порт (например, 2053) и отдаёт веб-интерфейс.
Вы НЕ открываете порт 2053 напрямую в фаерволе. Вместо этого вы настраиваете nginx как обратный прокси.
Nginx слушает порт 2053 на внешнем интерфейсе, принимает входящие соединения и передаёт их на внутренний порт панели 3x-ui (например, 127.0.0.1:2053).
Важное преимущество: Вы можете легко добавить к этому соединению аутентификацию (логин/пароль) на уровне nginx (auth_basic) или даже TLS-сертификат, чтобы шифровать доступ к самой панели, что сильно повышает безопасность.

Протоколы

Протокол	Транспорт	Модуль nginx	Особенности настройки
VLESS	TCP‑TLS, WS‑TLS, gRPC‑TLS, H2‑TLS	http, stream (для TCP)	Полная поддержка через proxy_pass (WS) или grpc_pass (gRPC).
VMess	TCP‑TLS, WS‑TLS, gRPC‑TLS, H2‑TLS	http, stream (для TCP)	Аналогично VLESS, требует правильных заголовков и пути.
Trojan	TCP‑TLS, WS‑TLS, gRPC‑TLS, H2‑TLS	http, stream (для TCP)	Часто используется как fallback‑протокол; проксируется как обычный TLS‑трафик.
Shadowsocks	TCP‑TLS, WS‑TLS, gRPC‑TLS (с obfs)	http (если с TLS), stream (чистый TCP)	Без obfs легко обнаруживается; в режиме TLS настраивается как обычный HTTPS‑прокси.
mKCP	(KCP over UDP) UDP	stream (с указанием udp)	Требует модуля ngx_stream_proxy_module с поддержкой UDP.
HTTP	Upgrade (WebSocket)	WS‑TLS http	Стандартная настройка WebSocket‑прокси с заголовками Upgrade, Connection.
xHTTP	(HTTP/2, HTTP/3)	H2‑TLS, QUIC	http (HTTP/2), экспериментальный модуль http3

Настройки

nginx

    location /grpc {
       # 1. Безопасность и основные настройки
       limit_except GET POST { deny all; } # Разрешаем только методы gRPC
       client_max_body_size 0;
    
       # 2. Критически важные заголовки для gRPC
       grpc_set_header Content-Type application/grpc;
       grpc_set_header TE trailers; # Обязательно для gRPC
       grpc_set_header Host $host;
       grpc_set_header X-Real-IP $remote_addr;
       grpc_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
       grpc_set_header X-Forwarded-Proto $scheme;
    
       # 3. Оптимизация таймаутов (более реалистичные значения)
       grpc_read_timeout 30m; # Для долгих потоков
       grpc_send_timeout 30m;
       grpc_connect_timeout 5s; # Быстрое отсечение недоступных серверов
    
       # 4. Оптимизация буферизации и производительности
       grpc_buffer_size 128k; # Увеличиваем буфер для gRPC потоков
       grpc_next_upstream error timeout http_502 http_503;
       grpc_next_upstream_timeout 0;
       grpc_next_upstream_tries 2;
    
       # 5. keepalive для upstream соединений (важно для Docker!)
       set $upstream_grpc proxy-grpc;
       grpc_pass grpc://$upstream_grpc;
    
       # 6. Для отладки (можно отключить в проде)
       # access_log /var/log/nginx/grpc_access.log upstream_time;
       # error_log /var/log/nginx/grpc_error.log debug;
    }

    # Xray grpc
    location /grpc {
        # Защита от больших тел запросов
        client_max_body_size 0;

        # Настройки таймаутов для gRPC (чтобы не рвалось соединение)
        grpc_read_timeout 1h;
        grpc_send_timeout 1h;
        client_body_timeout 1h;

        # Обязательные заголовки
        grpc_set_header X-Real-IP $remote_addr;
        grpc_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

        # Пробрасываем на апстрим
        grpc_pass grpc://proxy-grpc;
    }

Обязательные настройки

Отключает Flow Cache и NAT Acceleration
Корректно перезапускает сетевой стек
Безопасен для запуска при старте

$ cat > /jffs/scripts/init-start << 'EOF'
#!/bin/sh
 
# Отключаем аппаратное ускорение (Flow Cache / CTF) на Broadcom-роутерах
# Необходимо при использовании Xray / TPROXY / iptables-перехвата трафика
 
logger -t "DISABLE-HW-ACC" "Отключение аппаратного ускорения (Flow Cache и NAT Acceleration)..."
 
# Отключаем Cut-Through Forwarding (Flow Cache)
nvram set ctf_disable=1
 
# Отключаем fast NAT forwarding
nvram set nf_nat_fastforward=0
 
# Сохраняем настройки
nvram commit
 
# Перезапускаем firewall (вместо полной перезагрузки)
service restart_firewall
 
logger -t "DISABLE-HW-ACC" "Аппаратное ускорение отключено. Сетевой стек перезапущен."
EOF
 
$ chmod +x /jffs/scripts/init-start

$ cat > /jffs/scripts/nat-start << 'EOF'
#!/bin/sh
 
# Ждём, пока Xray UI применит свои правила (обычно 5–10 секунд после старта)
sleep 10
 
# Удаляем старые правила (на случай повторного запуска)
iptables -t mangle -D PREROUTING -s 192.168.0.0/16 -j RETURN 2>/dev/null
iptables -t mangle -D PREROUTING -s 10.0.0.0/8 -j RETURN 2>/dev/null
iptables -t mangle -D PREROUTING -s 172.16.0.0/12 -j RETURN 2>/dev/null
iptables -t mangle -D PREROUTING -d 192.168.0.0/16 -j RETURN 2>/dev/null
iptables -t mangle -D PREROUTING -d 10.0.0.0/8 -j RETURN 2>/dev/null
iptables -t mangle -D PREROUTING -d 172.16.0.0/12 -j RETURN 2>/dev/null
iptables -t mangle -D PREROUTING -d 127.0.0.0/8 -j RETURN 2>/dev/null
 
# Вставляем исключения В САМОЕ НАЧАЛО цепочки mangle
iptables -t mangle -I PREROUTING 1 -s 192.168.0.0/16 -j RETURN
iptables -t mangle -I PREROUTING 1 -s 10.0.0.0/8 -j RETURN
iptables -t mangle -I PREROUTING 1 -s 172.16.0.0/12 -j RETURN
iptables -t mangle -I PREROUTING 1 -d 192.168.0.0/16 -j RETURN
iptables -t mangle -I PREROUTING 1 -d 10.0.0.0/8 -j RETURN
iptables -t mangle -I PREROUTING 1 -d 172.16.0.0/12 -j RETURN
iptables -t mangle -I PREROUTING 1 -d 127.0.0.0/8 -j RETURN
 
# Логируем
logger -t "XRAY-FIX" "Локальные сети исключены из TPROXY через iptables (nat-start)."
EOF
 
$ chmod +x /jffs/scripts/nat-start
$ iptables -t mangle -L PREROUTING -n --line-numbers

X-RAY UI плагин XRAY-Core для роутеров ASUS

Anonymous (anonymous@undisclosed.example.com) — 2026-03-26T10:56:41+00:00

[xray, xrayui]

X-RAY UI плагин XRAY-Core для роутеров ASUS

DNS

Режимы

OFF — весь перехваченный трафик идёт в Xray. Правила маршрутизации работают полностью.
BYPASS — из конфига извлекаются домены правил с типом outbound freedom. Трафик на эти домены не попадает в Xray и идёт напрямую. Например, правило domain:ru → freedom означает, что весь трафик на .ru обходит Xray. Остальной трафик попадает в Xray.
REDIRECT — обратно BYPASS. Извлекаются домены правил с типом outbound не freedom, и только этот трафик направляется в Xray. Например, правило geosite:youtube → proxy означает, что только трафик YouTube попадёт в Xray, а всё остальное пойдёт напрямую.

DNS обход работает до правил маршрутизации Xray. Трафик, отфильтрованный на этом уровне, никогда не попадёт в Xray, и правила маршрутизации для него не применятся.

В категориях геодаты изредка встречаются записи с префиксом regexp:. Такие записи игнорируются DNS обходом — ipset не поддерживает регулярные выражения.

Zapret - DPI bypass multi platform Topics (NFQWS)

Anonymous (anonymous@undisclosed.example.com) — 2025-12-16T21:28:58+00:00

[asus, merlin, amtm, entware, router]

Zapret - DPI bypass multi platform Topics (NFQWS)

nfqws - Эта программа - модификатор пакетов и обработчик очереди NFQUEUE

Подготовка

$ amtm 
 ep
 /tmp/mnt/SYS

Установка и настройка zapret

https://github.com/bol-van/zapret

$ wget https://github.com/bol-van/zapret/releases/download/v72.3/zapret-v72.3.tar.gz
$ tar -xvzf zapret-v72.3.tar.gz
$ cd zapret-v72.3
$ ./install_easy.sh
- Y
- Y
- Y
- Y
- 1 : iptables
- Y
- N
- N
- Y
- N
- 3 - br0
- 8 - eth0
- 3

Выбираем iptables
Выбираем имя внутреннего сетевого интерфейса (LAN), br0 - обычно в роутере
Выбираем режим фильтрации трафика (none, ipset, hostlist, autohostlist). - none

Обновление

$ wget https://github.com/bol-van/zapret/releases/download/v72.3/zapret-v72.3.tar.gz
$ tar -xvzf zapret-v72.3.tar.gz
$ cd zapret-v72.3
$ ./install_bin.sh

Режимы фильтрации

none - фильтрация отключена, весь трафик обрабатывается утилитой. Простейший вариант. Рекомендую его использовать, если не хотите заморачиваться настройкой списков адресов, а хотите просто, чтобы быстро и просто все работало.
ipset - фильтрация трафика с помощью ipset. Сложный режим, как работает читаем в инструкции.
hostlist - фильтрация списком хостов из файлов: /opt/zapret/ipset/zapret-hosts-user.txt - прописывайте свои домены, которые нужно обрабатывать или в файле/opt/zapret/ipset/zapret-hosts-user-exclude.txt - домены, которые нужно исключить из обработки. Пишется по одному доменному имени или IP-адресу на строчку. То что там изначально написано в файлах - удаляем. Рекомендую это режим использовать, если хотите обрабатывать только определенные адреса или наоборот если хотите исключить из обработки некоторые адреса.
autohostlist -режим hostlist + распознавание блокировок и ведение автоматического листа.

Режим фильтра также можно потом менять через параметр MODE_FILTER в /opt/zapret/config.

Текущие настройки

nano /opt/zapret/config

WS_USER=nobody
FWTYPE=iptables
SET_MAXELEM=1048576
IPSET_OPT="hashsize 262144 maxelem $SET_MAXELEM"
IP2NET_OPT4="--prefix-length=22-30 --v4-threshold=3/4"
IP2NET_OPT6="--prefix-length=48-64 --v6-threshold=3"
AUTOHOSTLIST_RETRANS_THRESHOLD=3
AUTOHOSTLIST_FAIL_THRESHOLD=3
AUTOHOSTLIST_FAIL_TIME=30
AUTOHOSTLIST_DEBUGLOG=0
MDIG_THREADS=50
GZIP_LISTS=1
DESYNC_MARK=0x40000000
DESYNC_MARK_POSTNAT=0x20000000
TPWS_SOCKS_ENABLE=0
TPPORT_SOCKS=987
TPWS_SOCKS_OPT="
--filter-tcp=80 --methodeol  <HOSTLIST> --new
--filter-tcp=443 --split-pos=1,midsld --disorder <HOSTLIST>
"
TPWS_ENABLE=0
TPWS_PORTS=80,443
TPWS_OPT="
--filter-tcp=80 --methodeol --split-pos=2,midsld --hostlist=/opt/zapret/ipset/youtube_domain_list.txt --new
--filter-tcp=443 --split-pos=2,midsld --disorder --hostlist=/opt/zapret/ipset/youtube_domain_list.txt
"
NFQWS_ENABLE=1
NFQWS_PORTS_TCP=80,443
NFQWS_PORTS_UDP=443
NFQWS_TCP_PKT_OUT=$((6+$AUTOHOSTLIST_RETRANS_THRESHOLD))
NFQWS_TCP_PKT_IN=3
NFQWS_UDP_PKT_OUT=$((6+$AUTOHOSTLIST_RETRANS_THRESHOLD))
NFQWS_UDP_PKT_IN=0
MODE_HTTP=1
MODE_HTTPS=1
MODE_QUIC=1
NFQWS_OPT="
# YouTube rules
--filter-tcp=80 --dpi-desync=fake,multisplit --dpi-desync-ttl=1 --hostlist=/opt/zapret/ipset/youtube_domain_list.txt --new
--filter-tcp=443 --dpi-desync=fake,multidisorder --dpi-desync-split-pos=1 --dpi-desync-ttl=1 --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin --hostlist=/opt/zapret/ipset/youtube_domain_list.txt --new
#--filter-udp=443 --dpi-desync=fake --dpi-desync-ttl=1 --dpi-desync-fake-quic=/opt/zapret/files/fake/quic_initial_www_google_com.bin --hostlist=/opt/zapret/ipset/youtube_domain_list.txt
--filter-udp=443 --dpi-desync=fake --dpi-desync-repeats=6 --dpi-desync-ttl=0 --dpi-desync-any-protocol --dpi-desync-cutoff=d4 --dpi-desync-fooling=md5sig,badsum --dpi-desync-fake-quic=/opt/zapret/files/fake/quic_initial_www_google_com.bin --hostlist=/opt/zapret/ipset/youtube_domain_list.txt
 
# Main rules
--filter-tcp=80,443 --dpi-desync=fake --dpi-desync-ttl=0
--filter-udp=443 --dpi-desync=fake --dpi-desync-ttl=0
"
NFQWS_OPT_DESYNC="--dpi-desync=fake,disorder2 --dpi-desync-split-pos=1 --dpi-desync-ttl=0 --dpi-desync-fooling=md5sig,badsum --dpi-desync-repeats=6 --dpi-desync-any-protocol --dpi-desync-cutoff=d4 --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin"
NFQWS_OPT_DESYNC_QUIC="--dpi-desync=fake --dpi-desync-repeats=6 --dpi-desync-ttl=0 --dpi-desync-any-protocol --dpi-desync-cutoff=d4 --dpi-desync-fooling=md5sig,badsum --dpi-desync-fake-quic=/opt/zapret/files/fake/quic_initial_www_google_com.bin"
 
# Network settings
MODE_FILTER=none
FLOWOFFLOAD=disable
IFACE_LAN=br0
IFACE_WAN=eth0
 
# Initialization
INIT_APPLY_FW=1
DISABLE_IPV6=0
DEBUGLOG=0

# Network settings
MODE_FILTER=none
FLOWOFFLOAD=disable
IFACE_LAN=br0
IFACE_WAN=eth0
BIND_INTERFACE=1  # Interface binding for stability
 
# Caching and performance
ENABLE_DNS_CACHE=1
DNS_CACHE_SIZE=10000
DNS_CACHE_TTL=300
 
# Initialization
INIT_APPLY_FW=1
DISABLE_IPV6=0
DEBUGLOG=0
# Additional optimizations
#SKIP_IPv4_DISABLED=1
#SKIP_IPv6_DISABLED=1
ENABLE_FAST_START=1
PRELOAD_IPSETS=1  # Ipsets preloading for speed
 
# YouTube-specific optimizations
YOUTUBE_CDN_OPTIMIZE=1
ENABLE_QUIC_BYPASS=1
AGGRESSIVE_RETRANSMISSION=1

Подготовка листа доменов для обработки

$ echo '' > /opt/zapret/ipset/youtube_domain_list.txt

Только для теста

config-default

NWQWS_OPT

--debug=0|1                                               ; 1=выводить отладочные сообщения
--dry-run                                                 ; проверить опции командной строки и выйти. код 0 - успешная проверка.
--version                                                 ; вывести версию и выйти
--comment                                                 ; любой текст (игнорируется)
--daemon                                                  ; демонизировать прогу
--pidfile=<file>                                          ; сохранить PID в файл
--user=<username>                                         ; менять uid процесса
--uid=uid[:gid]                                           ; менять uid процесса
--qnum=N                                                  ; номер очереди N
--bind-fix4                                               ; пытаться решить проблему неверного выбора исходящего интерфейса для сгенерированных ipv4 пакетов
--bind-fix6                                               ; пытаться решить проблему неверного выбора исходящего интерфейса для сгенерированных ipv6 пакетов
--ctrack-timeouts=S:E:F[:U]                               ; таймауты внутреннего conntrack в состояниях SYN, ESTABLISHED, FIN, таймаут udp. по умолчанию 60:300:60:60
--ctrack-disable=[0|1]                                    ; 1 или остутствие аргумента отключает conntrack
--ipcache-lifetime=<int>                                  ; время жизни записей кэша IP в секундах. 0 - без ограничений.
--ipcache-hostname=[0|1]                                  ; 1 или отсутствие аргумента включают кэширование имен хостов для применения в стратегиях нулевой фазы
--wsize=<winsize>[:<scale_factor>]                        ; менять tcp window size на указанный размер в SYN,ACK. если не задан scale_factor, то он не меняется (устарело !)
--wssize=<winsize>[:<scale_factor>]                       ; менять tcp window size на указанный размер в исходящих пакетах. scale_factor по умолчанию 0. (см. conntrack !)
--wssize-cutoff=[n|d|s]N                                  ; изменять server window size в исходящих пакетах (n), пакетах данных (d), относительных sequence (s) по номеру меньше N
--wssize-forced-cutoff=0|1                                ; 1(default)=автоматически отключать wssize в случае обнаружения известного протокола
--synack-split=[syn|synack|acksyn]                        ; выполнить tcp split handshake. вместо SYN,ACK отсылать только SYN, SYN+ACK или ACK+SYN
--orig-ttl=<int>                                          ; модифицировать TTL оригинального пакета
--orig-ttl6=<int>                                         ; модифицировать ipv6 hop limit оригинальных пакетов.  если не указано, используется значение --orig-ttl
--orig-autottl=[<delta>[:<min>[-<max>]]|-]                ; режим auto ttl для ipv4 и ipv6. по умолчанию: +5:3-64. "0:0-0" или "-" отключает функцию
--orig-autottl6=[<delta>[:<min>[-<max>]]|-]               ; переопределение предыдущего параметра для ipv6
--orig-tcp-flags-set=<int|0xHEX|flaglist>                 ; устанавливать указанные tcp флаги (flags |= value). число , либо список через запятую : FIN,SYN,RST,PSH,ACK,URG,ECE,CWR,AE,R1,R2,R3
--orig-tcp-flags-unset=<int|0xHEX|flaglist>               ; удалять указанные tcp флаги (flags &= ~value)
--orig-mod-start=[n|d|s]N                                 ; применять orig-mod только в исходящих пакетах (n), пакетах данных (d), относительных sequence (s) по номеру больше или равно N
--orig-mod-cutoff=[n|d|s]N                                ; применять orig-mod только в исходящих пакетах (n), пакетах данных (d), относительных sequence (s) по номеру меньше N
--dup=<int>                                               ; высылать N дубликатов до оригинала
--dup-replace=[0|1]                                       ; 1 или отсутствие аргумента блокирует отправку оригинала. отправляются только дубликаты.
--dup-ttl=<int>                                           ; модифицировать TTL дубликатов
--dup-ttl6=<int>                                          ; модифицировать ipv6 hop limit дубликатов. если не указано, используется значение --dup-ttl
--dup-autottl=[<delta>[:<min>[-<max>]]|-]                 ; режим auto ttl для ipv4 и ipv6. по умолчанию: +1:3-64. "0:0-0" или "-" отключает функцию
--dup-autottl6=[<delta>[:<min>[-<max>]]|-]                ; переопределение предыдущего параметра для ipv6
--dup-tcp-flags-set=<int|0xHEX|flaglist>                  ; устанавливать указанные tcp флаги (flags |= value). число , либо список через запятую : FIN,SYN,RST,PSH,ACK,URG,ECE,CWR,AE,R1,R2,R3
--dup-tcp-flags-unset=<int|0xHEX|flaglist>                ; удалять указанные tcp флаги (flags &= ~value)
--dup-fooling=<fooling>                                   ; дополнительные методики как сделать, чтобы дубликат не дошел до сервера. none md5sig badseq badsum datanoack ts hopbyhop hopbyhop2
--dup-ts-increment=<int|0xHEX>                            ; инкремент TSval для ts. по умолчанию -600000
--dup-badseq-increment=<int|0xHEX>                        ; инкремент sequence number для badseq. по умолчанию -10000
--dup-badack-increment=<int|0xHEX>                        ; инкремент ack sequence number для badseq. по умолчанию -66000
--dup-ip-id=same|zero|seq|rnd                             ; режим назначения ip_id для пакетов dup
--dup-start=[n|d|s]N                                      ; применять dup только в исходящих пакетах (n), пакетах данных (d), относительных sequence (s) по номеру больше или равно N
--dup-cutoff=[n|d|s]N                                     ; применять dup только в исходящих пакетах (n), пакетах данных (d), относительных sequence (s) по номеру меньше N
--hostcase                                                ; менять регистр заголовка "Host:" по умолчанию на "host:".
--hostnospace                                             ; убрать пробел после "Host:" и переместить его в конец значения "User-Agent:" для сохранения длины пакета
--methodeol                                               ; добавить перевод строки в unix стиле ('\n') перед методом и убрать пробел из Host: : "GET / ... Host: domain.com" => "\nGET  / ... Host:domain.com"
--hostspell=HoST                                          ; точное написание заголовка Host (можно "HOST" или "HoSt"). автоматом включает --hostcase
--domcase                                                 ; домен после Host: сделать таким : TeSt.cOm
--ip-id=seq|seqgroup|rnd|zero                             ; режим назначения ip_id для генерированных пакетов
--dpi-desync=[<mode0>,]<mode>[,<mode2]                    ; атака по десинхронизации DPI. mode : synack syndata fake fakeknown rst rstack hopbyhop destopt ipfrag1 multisplit multidisorder fakedsplit hostfakesplit fakeddisorder ipfrag2 udplen tamper
--dpi-desync-fwmark=<int|0xHEX>                           ; бит fwmark для пометки десинхронизирующих пакетов, чтобы они повторно не падали в очередь. default = 0x40000000
--dpi-desync-ttl=<int>                                    ; установить ttl для десинхронизирующих пакетов
--dpi-desync-ttl6=<int>                                   ; установить ipv6 hop limit для десинхронизирующих пакетов. если не указано, используется значение --dpi-desync-ttl
--dpi-desync-autottl=[<delta>[:<min>[-<max>]]|-]          ; режим auto ttl для ipv4 и ipv6. по умолчанию: 1:3-20. "0:0-0" или "-" отключает функцию
--dpi-desync-autottl6=[<delta>[:<min>[-<max>]]|-]         ; переопределение предыдущего параметра для ipv6
--dpi-desync-tcp-flags-set=<int|0xHEX|flaglist>           ; устанавливать указанные tcp флаги (flags |= value). число , либо список через запятую : FIN,SYN,RST,PSH,ACK,URG,ECE,CWR,AE,R1,R2,R3
--dpi-desync-tcp-flags-unset=<int|0xHEX|flaglist>         ; удалять указанные tcp флаги (flags &= ~value)
--dpi-desync-fooling=<fooling>                            ; дополнительные методики как сделать, чтобы фейковый пакет не дошел до сервера. none md5sig badseq badsum datanoack ts hopbyhop hopbyhop2
--dpi-desync-repeats=<N>                                  ; посылать каждый генерируемый в nfqws пакет N раз (не влияет на остальные пакеты)
--dpi-desync-skip-nosni=0|1                               ; 1(default)=не применять dpi desync для запросов без hostname в SNI, в частности для ESNI
--dpi-desync-split-pos=N|-N|marker+N|marker-N             ; список через запятую маркеров для tcp сегментации в режимах split и disorder
--dpi-desync-split-seqovl=N|-N|marker+N|marker-N          ; единичный маркер, определяющий величину перекрытия sequence в режимах split и disorder. для split поддерживается только положительное число.
--dpi-desync-split-seqovl-pattern=[+ofs]@<filename>|0xHEX ; чем заполнять фейковую часть overlap
--dpi-desync-fakedsplit-pattern=[+ofs]@<filename>|0xHEX   ; чем заполнять фейки в fakedsplit/fakeddisorder
--dpi-desync-fakedsplit-mod=mod[,mod]                     ; может быть none, altorder=0|1|2|3 + 0|8|16
--dpi-desync-hostfakesplit-midhost=marker+N|marker-N      ; маркер дополнительного разреза сегмента с оригинальным хостом. должен попадать в пределы хоста.
--dpi-desync-hostfakesplit-mod=mod[,mod]                  ; может быть none, host=<hostname>, altorder=0|1
--dpi-desync-ts-increment=<int|0xHEX>                     ; инкремент TSval для ts. по умолчанию -600000
--dpi-desync-badseq-increment=<int|0xHEX>                 ; инкремент sequence number для badseq. по умолчанию -10000
--dpi-desync-badack-increment=<int|0xHEX>                 ; инкремент ack sequence number для badseq. по умолчанию -66000
--dpi-desync-any-protocol=0|1                             ; 0(default)=работать только по http request и tls clienthello  1=по всем непустым пакетам данных
--dpi-desync-fake-tcp-mod=mod[,mod]                       ; список через запятую режимов runtime модификации tcp фейков (любых) : none, seq
--dpi-desync-fake-http=[+ofs]@<filename>|0xHEX	          ; файл, содержащий фейковый http запрос для dpi-desync=fake, на замену стандартному www.iana.org
--dpi-desync-fake-tls=[+ofs]@<filename>|0xHEX|![+offset]  ; файл, содержащий фейковый tls clienthello для dpi-desync=fake, на замену стандартному. '!' = стандартный фейк
--dpi-desync-fake-tls-mod=mod[,mod]                       ; список через запятую режимов runtime модификации фейков : none,rnd,rndsni,sni=<sni>,dupsid,padencap
--dpi-desync-fake-unknown=[+ofs]@<filename>|0xHEX         ; файл, содержащий фейковый пейлоад неизвестного протокола для dpi-desync=fake, на замену стандартным нулям 256 байт
--dpi-desync-fake-syndata=[+ofs]@<filename>|0xHEX         ; файл, содержащий фейковый пейлоад пакета SYN для режима десинхронизации syndata
--dpi-desync-fake-quic=[+ofs]@<filename>|0xHEX            ; файл, содержащий фейковый QUIC Initial
--dpi-desync-fake-wireguard=[+ofs]@<filename>|0xHEX       ; файл, содержащий фейковый wireguard handshake initiation
--dpi-desync-fake-dht=[+ofs]@<filename>|0xHEX             ; файл, содержащий фейковый пейлоад DHT протокола для dpi-desync=fake, на замену стандартным нулям 64 байт
--dpi-desync-fake-discord=[+ofs]@<filename>|0xHEX         ; файл, содержащий фейковый пейлоад Discord протокола нахождения IP адреса для голосовых чатов для dpi-desync=fake, на замену стандартным нулям 64 байт
--dpi-desync-fake-stun=[+ofs]@<filename>|0xHEX            ; файл, содержащий фейковый пейлоад STUN протокола для dpi-desync=fake, на замену стандартным нулям 64 байт
--dpi-desync-fake-unknown-udp=[+ofs]@<filename>|0xHEX     ; файл, содержащий фейковый пейлоад неизвестного udp протокола для dpi-desync=fake, на замену стандартным нулям 64 байт
--dpi-desync-udplen-increment=<int>                       ; на сколько увеличивать длину udp пейлоада в режиме udplen
--dpi-desync-udplen-pattern=[+ofs]@<filename>|0xHEX       ; чем добивать udp пакет в режиме udplen. по умолчанию - нули
--dpi-desync-start=[n|d|s]N                               ; применять dpi desync только в исходящих пакетах (n), пакетах данных (d), относительных sequence (s) по номеру больше или равно N
--dpi-desync-cutoff=[n|d|s]N                              ; применять dpi desync только в исходящих пакетах (n), пакетах данных (d), относительных sequence (s) по номеру меньше N
--hostlist=<filename>                                     ; действовать только над доменами, входящими в список из filename. поддомены автоматически учитываются, если хост не начинается с '^'.
                                                          ; в файле должен быть хост на каждой строке.
                                                          ; список читается при старте и хранится в памяти в виде иерархической структуры для быстрого поиска.
                                                          ; при изменении времени модификации файла он перечитывается автоматически по необходимости
                                                          ; список может быть запакован в gzip. формат автоматически распознается и разжимается
                                                          ; списков может быть множество. пустой общий лист = его отсутствие
                                                          ; хосты извлекаются из Host: хедера обычных http запросов и из SNI в TLS ClientHello.
--hostlist-domains=<domain_list>                          ; фиксированный список доменов через зяпятую. можно использовать # в начале для комментирования отдельных доменов.
--hostlist-exclude=<filename>                             ; не применять дурение к доменам из листа. может быть множество листов. схема аналогична include листам.
--hostlist-exclude-domains=<domain_list>                  ; фиксированный список доменов через зяпятую. можно использовать # в начале для комментирования отдельных доменов.
--hostlist-auto=<filename>                                ; обнаруживать автоматически блокировки и заполнять автоматический hostlist (требует перенаправления входящего трафика)
--hostlist-auto-fail-threshold=<int>                      ; сколько раз нужно обнаружить ситуацию, похожую на блокировку, чтобы добавить хост в лист (по умолчанию: 3)
--hostlist-auto-fail-time=<int>                           ; все эти ситуации должны быть в пределах указанного количества секунд (по умолчанию: 60)
--hostlist-auto-retrans-threshold=<int>                   ; сколько ретрансмиссий запроса считать блокировкой (по умолчанию: 3)
--hostlist-auto-debug=<logfile>                           ; лог положительных решений по autohostlist. позволяет разобраться почему там появляются хосты.
--new                                                     ; начало новой стратегии (новый профиль)
--skip                                                    ; не использовать этот профиль . полезно для временной деактивации профиля без удаления параметров.
--filter-l3=ipv4|ipv6                                     ; фильтр версии ip для текущей стратегии
--filter-tcp=[~]port1[-port2]|*                           ; фильтр портов tcp для текущей стратегии. ~ означает инверсию. установка фильтра tcp и неустановка фильтра udp запрещает udp. поддерживается список через запятую.
--filter-udp=[~]port1[-port2]|*                           ; фильтр портов udp для текущей стратегии. ~ означает инверсию. установка фильтра udp и неустановка фильтра tcp запрещает tcp. поддерживается список через запятую.
--filter-l7=<proto>                                       ; фильтр протокола L6-L7. поддерживается несколько значений через запятую. proto : http tls quic wireguard dht discord stun unknown
--filter-ssid=ssid1[,ssid2,ssid3,...]                     ; фильтр по имени wifi сети (только для linux)
--ipset=<filename>                                        ; включающий ip list. на каждой строчке ip или cidr ipv4 или ipv6. поддерживается множество листов и gzip. перечитка автоматическая.
--ipset-ip=<ip_list>                                      ; фиксированный список подсетей через запятую. можно использовать # в начале для комментирования отдельных подсетей.
--ipset-exclude=<filename>                                ; исключающий ip list. на каждой строчке ip или cidr ipv4 или ipv6. поддерживается множество листов и gzip. перечитка автоматическая.
--ipset-exclude-ip=<ip_list>                              ; фиксированный список подсетей через запятую. можно использовать # в начале для комментирования отдельных подсетей.

Параметр / Комбинация	Возможная проблема
–dpi-desync=fake,multisplit & –dpi-desync=fake,multidisorder	Слишком агрессивные методы для TLS 1.2 могут нарушать стабильность соединения, что критично для Android-плееров и Smart TV.
–dpi-desync-split-pos=10	Слишком высокое значение может не работать для обхода и негативно влиять на производительность.
–dpi-desync-ttl=1 / –dpi-desync-ttl=0	Слишком низкий TTL может помешать пакетам достигать серверов Google, которые находятся "близко" к провайдеру, что приводит к сбоям
–dpi-desync-repeats=6	Может быть недостаточно для стабильного обхода, что приводит к подвисаниям YouTube на Android
Отсутствие –dpi-desync-fooling	Без ограничителей фейки могут применяться ко всем подключениям, ломая легитимные

Фильтры

nano /opt/zapret/ipset/zapret-hosts-user.txt

www.youtube.com
youtube.com

nano /opt/zapret/ipset/zapret-hosts-user-exclude.txt

nano /opt/zapret/ipset/youtube_domain_list.txt

10tv.app
1e100.net
7tv.app
7tv.gg
7tv.io
api.7tv.app
api.ffzap.com
api.frankerfacez.com
apis.google.com
betterttv.net
cdn.7tv.app
cdn.7tv.gg
cdn.betterttv.net
cdn.frankerfacez.com
cdn2.frankerfacez.com
doubleclick.net
emotes.7tv.app
events.7tv.app
frankerfacez.com
ggpht.com
googleapis.com
googleusercontent.com
googlevideo.com
gstatic.com
gvt1.com
jnn-pa.googleapis.com
l.google.com
m.youtube.com
nhacmp3youtube.com
play.google.com
static.7tv.app
video.google.com
wide-youtube.l.google.com
www.youtube.com
youtu.be
youtube.be
youtube.ca
youtube.co
youtube.co.in
youtube.co.uk
youtube.com
youtube.com.au
youtube.com.br
youtube.com.mx
youtube.com.tr
youtube.com.ua
youtube.de
youtube.es
youtube.fr
youtube.googleapis.com
youtube.jp
youtube.nl
youtube.pl
youtube.pt
youtube.ru
youtubeapi.com
youtubechildren.com
youtubecommunity.com
youtubecreators.com
youtubeeducation.com
youtubeembeddedplayer.googleapis.com
youtubei.googleapis.com
youtubekids.com
youtube-nocookie.com
youtube-studio.com
youtube-ui.l.google.com
yt.be
yt-video-upload.l.google.com
yt3.ggpht.com
ytimg.com
i.ytimg.com
static.doubleclick.net
googleads.g.doubleclick.net

nano /opt/zapret/ipset/zapret-ip-exclude.txt

0.0.0.0/8
10.0.0.0/8
192.168.0.0/16
172.16.0.0/12
100.64.0.0/10
169.254.0.0/16
224.0.0.0/3
255.255.255.255/32

Скрипты

discord

Отключение проверки контрольной суммы пакетов

$ opkg install procps-ng-sysctl

nano /opt/etc/init.d/S00fix

#!/bin/sh
start() {
    sysctl -w net.netfilter.nf_conntrack_checksum=0 &> /dev/null
}
stop() {
    sysctl -w net.netfilter.nf_conntrack_checksum=1 &> /dev/null
}
case "$1" in
    'start')
        start
        ;;
    'stop')
        stop
        ;;
    *)
        stop
        start
        ;;
esac
exit 0

$ chmod +x /opt/etc/init.d/S00fix

/tmp/mnt/SYS/entware/zapret/ipset/get_refilter_domains.sh

#!/bin/sh
 
IPSET_DIR="$(dirname "$0")"
IPSET_DIR="$(cd "$IPSET_DIR"; pwd)"
 
. "$IPSET_DIR/def.sh"
 
TMPLIST="$TMPDIR/list.txt"
 
URL="https://github.com/1andrevich/Re-filter-lists/releases/latest/download/domains_all.lst"
 
dl()
{
  # $1 - url
  # $2 - file
  # $3 - minsize
  # $4 - maxsize
  curl -L -H "Accept-Encoding: gzip" -k --fail --max-time 60 --connect-timeout 10 --retry 4 --max-filesize $4 -o "$TMPLIST" "$1" ||
  {
   echo list download failed : $1
   exit 2
  }
  dlsize=$(LC_ALL=C LANG=C wc -c "$TMPLIST" | xargs | cut -f 1 -d ' ')
  if test $dlsize -lt $3; then
   echo list is too small : $dlsize bytes. can be bad.
   exit 2
  fi
  zzcopy "$TMPLIST" "$2"
  rm -f "$TMPLIST"
}
 
# useful in case ipban set is used in custom scripts
FAIL=
getipban || FAIL=1
"$IPSET_DIR/create_ipset.sh"
[ -n "$FAIL" ] && exit
 
dl "$URL" "$ZHOSTLIST" 32768 4194304
 
hup_zapret_daemons
 
exit 0

Запуск

$ /tmp/mnt/SYS/entware/zapret/ipset/get_refilter_domains.sh
$ /opt/zapret/init.d/sysv/zapret restart
$ /opt/etc/init.d/S00fix start
$ iptables -S

Автозапуск

nano /jffs/scripts/firewall-start

#!/bin/sh
 
sleep 10
 
logger "hostlist" "Update domains list"
 
/tmp/mnt/SYS/entware/zapret/ipset/get_refilter_domains.sh
 
logger "firewall" "Applying dpi-start rules"
 
/opt/zapret/init.d/sysv/zapret restart
/opt/etc/init.d/S00fix start

$ chmod +x /jffs/scripts/firewall-start