[Keenetic] nfqws не всегда работает автоопределение заблокированных сайтов

[Gorodskih]

Добрый день.
Пользуюсь nfqws, устанавливаемым через этот пакет: https://github.com/Anonym-tsk/nfqws-keenetic
Роутер Keenetic Ultra (KN-1811). Провайдер Дом.ру.

Для разблокировки большинства сайтов (кроме, например, твиттера) достаточно использовать split2 без каких-либо дополнительных параметров. Но почему-то эти сайты не хотят автоматически добавляться в список. В debug журнале записей тоже нет.

Похоже, что блок идёт втупую по SNI. Смотрел через Wireshark. Если отправляется оригинальный SNI, то в ответ сразу приходит флаг RST, а в браузере собственно PR_CONNECT_RESET_ERROR. Если же, например, включить в Firefox "защиту", то вместо SNI посылается "cloudflare-ech.com" (ESNI) и блокировка не работает.

А вот твиттер, который разблокируется через fake, спокойно добавляется.
При этом tpws эти сайты (которые через split2) определяет и добавляет в список. (Твиттер через tpws не особо хочет работать.)

Знаю, что алгоритмы у nfqws и tpws разные, но не могу понять из-за какого различия перестаёт работать. У --hostlist-auto написано "требует перенаправления входящего трафика". Может ли быть проблема в этом? Не очень понятно, куда именно трафик должен перенаправляться. Отключил перенаправление входящих на 443 и 80, не помогло. Может у меня какие-то другие перенаправления в роутере есть...
Пробовал играться с разными вариантами обхода, но тоже не помогло. Возможно стоит попробовать какие-нибудь параметры, которые работают для всех подключений, независимо от списка?
Пробовал играться с --hostlist-auto-fail-threshold, --hostlist-auto-fail-time, --hostlist-auto-retrans-threshold но что-то тоже не получается стриггерить добавление.

Если нужны какие-нибудь дампы, то сделаю.

[bol-van]

автолист требует редиректа начальных входящих пакетов соединения
как мин ему нужны пакеты с флагом RST и http redirect
кинетик я не поддерживаю. что там делают с входящим трафом у них узнавайте или сами смотрите

у автолиста есть отдельный лог. егр и нужно включить

[Gorodskih]

А как это работает на других устройствах? nfqws всегда слушает все входящие на 443 порту или как-то по-другому? Если да, то nfqws в принципе невозможно использовать там, где нужны входящие https соединения? Это должно быть прописано в iptables?

У меня есть другой кинетик у другого провайдера и там nfqws прекрасно работает. Поэтому я и предполагаю, что дело не в кинетике, а в провайдере, блокировки которого nfqws почему-то не видит.

у автолиста есть отдельный лог. егр и нужно включить

Если вы про "--hostlist-auto-debug", то в нём эти сайты вообще не появляются. Никак. Или есть какой-то еще?

[bol-van]

может включено ускорение offload ?
есть --debug
там видно буднт какие пакеты на него идут и что он делает