Запустить на MerlinWRT

[Rokudze]

Приветы! У меня роутер ASUS RT AX82U. Мерлин от gnuton. Поставить запрет удалось, а вот запустить — нет. Проблема в iptables.

Starting daemon 1: /tmp/mnt/sd_entware/entware/zapret/tpws/tpws --uid 1:1 --bind-addr=127.0.0.127 --port=988 --split-pos=2 --hostlist=/tmp/mnt/sd_entware/entware/zapret/ipset/zapret-hosts.txt.gz --hostlist=/tmp/mnt/sd_entware/entware/zapret/ipset/zapret-hosts-user.txt --hostlist-exclude=/tmp/mnt/sd_entware/entware/zapret/ipset/zapret-hosts-user-exclude.txt
/opt/zapret/init.d/sysv/zapret: line 1: pgrep: not found
Applying iptables
Creating ip list table (firewall type iptables)
setting high oom kill priority
reloading ipset backend (no-update)
Adding iptables rule for tpws (port 988) :  -p tcp -m multiport --dports 443
iptables: No chain/target/match by that name.

Хелп.

[Rokudze]

Нужно было поменять режим на NFQWS. Это помогло.

Другая проблема. Проверка обхода в виде

curl  -v4s -o/dev/null -k --connect-to ::google.com -k -H Host:\ metsalehti-staging-s4uzwwd6nq-lz.a.run.app https://test.googlevideo.com/app/uploads/2021/11/2022-mediakortti.pdf -w %{speed_download}

работает, но на деле ютуб или какие-либо другие запрещённые сайты не загружаются. Фильтр hostlist, загрузил антизапрет. В zapret-hosts-user.txt прописано:

googleapis.com
youtube.com
i.ytimg.com
i9.ytimg.com
wide-youtube.l.google.com
le-in-f119.1e100.net
li-in-f119.1e100.net
lb-in-f119.1e100.net
lg-in-f119.1e100.net
lt-in-f119.1e100.net
la-in-f119.1e100.net
lk-in-f119.1e100.net
lq-in-f119.1e100.net
lh-in-f119.1e100.net
lj-in-f119.1e100.net
lm-in-f119.1e100.net
lf-in-f119.1e100.net
lo-in-f119.1e100.net
lu-in-f119.1e100.net
lr-in-f119.1e100.net
yt3.ggpht.com
googlevideo.com

В config используется:

NFQWS_OPT_DESYNC="--dpi-desync=fake,disorder2 --dpi-desync-ttl=9 --dpi-desync-fooling=datanoack,md5sig"

[Rokudze]

Новые вводные. Когда кильнул запрет, оказалось, что некоторые процессы не запущены.

kill: can't kill pid 29593: No such process
Stopping daemon 10: /tmp/mnt/sd_entware/entware/zapret/nfq/nfqws
kill: can't kill pid 29641: No such process

А при запуске теперь выдаёт (внимание на последнюю строку):

Starting daemon 10: /tmp/mnt/sd_entware/entware/zapret/nfq/nfqws --uid 1:1 --dpi-desync-fwmark=0x40000000 --qnum=210 --uid 1:1 --dpi-desync-fwmark=0x40000000 --dpi-desync=fake --dpi-desync-repeats=6 --hostlist=/tmp/mnt/sd_entware/entware/zapret/ipset/zapret-hosts-user.txt --hostlist-exclude=/tmp/mnt/sd_entware/entware/zapret/ipset/zapret-hosts-user-exclude.txt --hostlist-auto=/tmp/mnt/sd_entware/entware/zapret/ipset/zapret-hosts-auto.txt --hostlist-auto-fail-threshold=3 --hostlist-auto-fail-time=60 --hostlist-auto-retrans-threshold=3 
Applying iptables
Creating ip list table (firewall type iptables)
setting high oom kill priority
reloading ipset backend (no-update)
Adding iptables rule for nfqws postrouting (qnum 200) : -p tcp -m multiport --dports 80 -m mark ! --mark 0x40000000/0x40000000
Adding iptables rule for nfqws input+forward (qnum 200) : -m connbytes --connbytes-dir=reply --connbytes-mode=packets --connbytes 1:9 -p tcp -m multiport --sports 80
Adding iptables rule for nfqws postrouting (qnum 200) : -p tcp -m multiport --dports 443 -m connbytes --connbytes-dir=original --connbytes-mode=packets --connbytes 1:9 -m mark ! --mark 0x40000000/0x40000000
Adding iptables rule for nfqws input+forward (qnum 200) : -p tcp -m multiport --sports 443 -m connbytes --connbytes-dir=reply --connbytes-mode=packets --connbytes 1:9
Adding ip6tables rule for nfqws postrouting (qnum 200) : -p tcp -m multiport --dports 80 -m mark ! --mark 0x40000000/0x40000000
Adding ip6tables rule for nfqws input+forward (qnum 200) : -m connbytes --connbytes-dir=reply --connbytes-mode=packets --connbytes 1:9 -p tcp -m multiport --sports 80
Adding ip6tables rule for nfqws postrouting (qnum 200) : -p tcp -m multiport --dports 443 -m connbytes --connbytes-dir=original --connbytes-mode=packets --connbytes 1:9 -m mark ! --mark 0x40000000/0x40000000
Adding ip6tables rule for nfqws input+forward (qnum 200) : -p tcp -m multiport --sports 443 -m connbytes --connbytes-dir=reply --connbytes-mode=packets --connbytes 1:9
Adding iptables rule for nfqws postrouting (qnum 210) :  -p udp -m multiport --dports 443 -m connbytes --connbytes-dir=original --connbytes-mode=packets --connbytes 1:9 -m mark ! --mark 0x40000000/0x40000000
Adding ip6tables rule for nfqws postrouting (qnum 210) :  -p udp -m multiport --dports 443 -m connbytes --connbytes-dir=original --connbytes-mode=packets --connbytes 1:9 -m mark ! --mark 0x40000000/0x40000000
/opt/zapret/init.d/sysv/zapret: line 1: sysctl: not found

[Rokudze]

Оказывается, на этой прошивке sysctl заменяется /proc/sys. Осталось понять, где подменить, чтобы заработало. В первой строке sysv/zapret ничего подобного нет.

[bol-van]

sysctl и так работает через /proc/sys
Напишите батник-замену sysctl, если его нет или подтяните бинарик

[Dushnilin]

Оказывается, на этой прошивке sysctl заменяется /proc/sys. Осталось понять, где подменить, чтобы заработало. В первой строке sysv/zapret ничего подобного нет.

Может напишешь небольшой гайд как всё провернуть?) Вроде шарю, но поверхностно.

[Rokudze]

Напишите батник-замену sysctl, если его нет или подтяните бинарик

Поставил procps-ng-sysctl. Ошибок больше не вижу, но ничего из списка не открывается (точнее, главная ютуба открывается, но видео не грузятся). Иду копать конфиг.

[Rokudze]

Продолжаю пытаться, но пока безуспешно. Запускается без проблем, но видео на ютубе не загружается ни при каком конфиге. Перебрал десятки как сам, так и из соседней темы (но там счастливчики с OpenWRT в основном). Остальные ресурсы (x.com, например) вовсе не загружаются, хотя и прописаны в хосте.

[Rokudze]

HAR ютуба
@bol-van подскажи, пожалуйста, если знаешь решение.
www.youtube.com.har.zip

[Rokudze]

Я завёл! Работает и на десктопе, и на телефоне, и даже на телевизоре (Tizen).
База:
NFQWS
Hostlist – antizapret.

Отсюда взял несколько изменённых строк для нашей прошивки:

В файле common\linux_fw.sh заменить "sysctl -w net.netfilter.nf_conntrack_tcp_be_liberal=$1" на "echo $1 > /proc/sys/net/netfilter/nf_conntrack_tcp_be_liberal"
"sysctl -q -w net.ipv4.conf.$1.route_localnet="$enable"" на "echo "$enable" > /proc/sys/net/ipv4/conf/$1/route_localnet" в файле common/linux_iphelper.sh
в config определить WS_USER=admin

Дополнительно прописал команду:

iptables -t mangle -S | grep NFQUEU
pidof nfqw

В config указал:

NFQWS_OPT_DESYNC="--dpi-desync=fake,split2 --dpi-desync-ttl=4 --dpi-desync-ttl6=2 --dpi-desync-split-pos=1 --wssize 1:6 --dpi-desync-fooling=md5sig"

Иии это наконец-то сработало!

[Karpoffd]

Ставь параметры = m и запускай вручную, либо прописывай в скрипте, всё работает

[HiHat]

@Karpoffd поделись, пожалуйста, своей собранной прошивкой!

[Karpoffd]

Держи

Модули ядра у меня запускаются вручную

Выполняй код
modprobe -a -q nfnetlink_queue xt_multiport xt_connbytes xt_NFQUEUE
После запуска служба прекрасно стартует и работает

Можешь куда-нибудь в скрипт оформить, для того чтобы каждый раз руками модули ядра не запускать

[HiHat]

Держи

Модули ядра у меня запускаются вручную

Большое спасибо!
Выяснилось, что работает только если модуль nfnetlink_queue загружаемый (CONFIG_NETFILTER_NETLINK_QUEUE=m) а не встроенный как я пробовал!

[HiHat]

Создал PR, чтобы в оригинальную прошивку добавили: RMerl/asuswrt-merlin.ng#861

[JarlPenguin]

Пытаюсь запустить на RT-AC88U:

Starting daemon 3: /tmp/mnt/sda1/entware/zapret/nfq/nfqws --user=admin --dpi-desync-fwmark=0x40000000 --qnum=200
--filter-tcp=80 --dpi-desync=fake,split2 --dpi-desync-split-seqovl=1 --dpi-desync-ttl=5 --new
--filter-tcp=443 --dpi-desync=fake,split2 --dpi-desync-split-seqovl=1 --dpi-desync-split-tls=sniext --dpi-desync-ttl=5 --new
--filter-udp=443 --dpi-desync=fake --dpi-desync-repeats=4 --dpi-desync-fake-quic=/opt/zapret/files/fake/quic_initial_www_google_com.bin --new
--filter-udp=50000-50099 --dpi-desync=fake --dpi-desync-any-protocol --dpi-desync-cutoff=d2 --dpi-desync-fake-quic=/opt/zapret/files/fake/quic_initial_www_google_com.bin

Applying iptables
Creating ip list table (firewall type iptables)
setting high oom kill priority
reloading ipset backend (no-update)
Inserting iptables rule for nfqws postrouting (qnum 200) : -p tcp -m multiport --dports 80,443 -m connbytes --connbytes-dir=original --connbytes-mode=packets --connbytes 1:9
Inserting ip6tables rule for nfqws postrouting (qnum 200) : -p tcp -m multiport --dports 80,443 -m connbytes --connbytes-dir=original --connbytes-mode=packets --connbytes 1:9
Inserting iptables rule for nfqws input+forward (qnum 200) : -p tcp -m multiport --sports 80,443  -m connbytes --connbytes-dir=reply --connbytes-mode=packets --connbytes 1:3
Inserting ip6tables rule for nfqws input+forward (qnum 200) : -p tcp -m multiport --sports 80,443  -m connbytes --connbytes-dir=reply --connbytes-mode=packets --connbytes 1:3
Inserting iptables rule for nfqws postrouting (qnum 200) : -p udp -m multiport --dports 443,50000:50099 -m connbytes --connbytes-dir=original --connbytes-mode=packets --connbytes 1:9
Inserting ip6tables rule for nfqws postrouting (qnum 200) : -p udp -m multiport --dports 443,50000:50099 -m connbytes --connbytes-dir=original --connbytes-mode=packets --connbytes 1:9

На других устройствах ничего не грузится, но та же стратегия работает на компьютере. Может быть в конфигурации что-то не так?
https://hasteb.in/PFngVkijNeX3KF2

[JarlPenguin]

Выключил NAT Acceleration, но всё равно Discord и YouTube отказываются работать с теми же стратегиями, которые работают на компьютере...

[JarlPenguin]

Update: Установил OpenWRT и теперь обход по UDP тоже работает.

[zemik]

При попытке запуска на стоковой прошивке с установленным entware:

easy install is supported only from default location : /opt/zapret
currently its run from /opt/tmp/opt/zapret
do you want the installer to copy it for you (default : N) (Y/N) ? y
cp: can't create directory '/opt/zapret': Read-only file system
mkdir: can't create directory '/opt/zapret/tmp': No such file or directory
relaunching itself from /opt/zapret
./install_easy.sh: exec: line 875: /opt/zapret/install_easy.sh: not found

[HiHat]

cp: can't create directory '/opt/zapret': Read-only file system

не удаётся создать каталог '/opt/zapret'!

[bol-van]

На стоках squashfs. Инсталл работать не будет.