Использование множественных стратегий обхода

[Guru1-228]

Использую установленный запрет на опенврт на роутере.

В чём суть, использую такое вундеркомбо --dpi-desync=fake,split2 --dpi-desync-ttl=0 --dpi-desync-ttl6=0 --dpi-desync-fooling=md5sig,badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin --dpi-desync-repeats=12, которое шикарно справляется с ютубом. Однако, другие часто сбрасывают соединение, и сайт либо долго грузится, либо частично не прогружается, картинки например.

С другой, более простой стратегией --dpi-desync=fake --dpi-desync-ttl=5 работает всё без нареканий, кроме ютуба.

Задача: сделать всё по красоте.

Почемусамнесмог: в инструкции нашёл использование в командной строке, но не в том случае, когда всё сделал установщик, и всё настраивается через файл конфига

Ну и собственно сюда спамлю за советом, как поступить? Вскрывать демона и дописывать, или имеются более нормальные варианты

[HentayHentay]

Ведение листов hostlist/ipset, где указываете список сайтов/подсетей, на которые должна среагировать та или иная стратегия.
Не забывая делить стратегию вставкой --new
Выбор за Вами

[Guru1-228]

Кажется мы друг друга не очень поняли. Настройка его через конфиг, где стратегия задаётся в NFQWS_OPT_DESYNC="--dpi-desync=fake --dpi-desync-ttl=5", а хост лист можно по сути только включить и выключить, MODE_FILTER=hostlist

Куда мне при таком раскладе присобачивать -new?

[HentayHentay]

тригер лист стратегия --new стратегия <HOSTLIST> <- как-то так. <HOSTLIST> - переменная , которая указывает на стандартные листы

Тригером может быть filter. Но тут ведение листов целиком и полностью ложиться на Вас

[Guru1-228]

я правильно понимаю? или куда мне это впердолить?
MODE_FILTER=hostlist --new --dpi-desync=fake --dpi-desync-ttl=5 <HOSTLIST>

[Guru1-228]

я в целом разобрался как этим пользоваться, только я пытаюсь выяснить куда впихнуться мне со своим -new, в какую часть конфига или демона

[HentayHentay]

Нет
MODE_FILTER=hostlist - это тип фильтра для запрета и к той записи не относиться
Советую почитать /docs/readme

"
hostlist=(путь до листа)  --dpi-desync=fake --dpi-desync-ttl=5 --new --dpi-desync=fake,split2 --dpi-desync-ttl=0 --dpi-desync-ttl6=0 --dpi-desync-fooling=md5sig,badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin --dpi-desync-repeats=12 <HOSTLIST>
"

В левую часть помещаем стратегию, которая отличная от общей. В правую часть помещаем стратегию, с которой все открывается.

[Guru1-228]

не один час пытаюсь добавить хоть что-то от себя, но оно игнорируется

куда мне это добавлять?

# 	
# change values here

# can help in case /tmp has not enough space
#TMPDIR=/opt/zapret/tmp

# redefine user for zapret daemons. required on Keenetic
#WS_USER=nobody

# override firewall type : iptables,nftables,ipfw
FWTYPE=nftables

# options for ipsets
# maximum number of elements in sets. also used for nft sets
SET_MAXELEM=522288
# too low hashsize can cause memory allocation errors on low RAM systems , even if RAM is enough
# too large hashsize will waste lots of RAM
IPSET_OPT="hashsize 262144 maxelem $SET_MAXELEM"
# dynamically generate additional ip. $1 = ipset/nfset/table name
#IPSET_HOOK="/etc/zapret.ipset.hook"

# options for ip2net. "-4" or "-6" auto added by ipset create script
IP2NET_OPT4="--prefix-length=22-30 --v4-threshold=3/4"
IP2NET_OPT6="--prefix-length=56-64 --v6-threshold=5"
# options for auto hostlist
AUTOHOSTLIST_RETRANS_THRESHOLD=3
AUTOHOSTLIST_FAIL_THRESHOLD=3
AUTOHOSTLIST_FAIL_TIME=60
# 1 = debug autohostlist positives to ipset/zapret-hosts-auto-debug.log
AUTOHOSTLIST_DEBUGLOG=0

# number of parallel threads for domain list resolves
MDIG_THREADS=30

# ipset/*.sh can compress large lists
GZIP_LISTS=1
# command to reload ip/host lists after update
# comment or leave empty for auto backend selection : ipset or ipfw if present
# on BSD systems with PF no auto reloading happens. you must provide your own command
# set to "-" to disable reload
#LISTS_RELOAD="pfctl -f /etc/pf.conf"

# override ports
HTTP_PORTS=80-81,85,2710
HTTPS_PORTS=443,500-501
QUIC_PORTS=443,444,50000-65535

# CHOOSE OPERATION MODE
# nfqws : nfqws for dpi desync
# tpws : tpws transparent mode
# tpws-socks : tpws socks mode
# filter : no daemon, just create ipset or download hostlist
# custom : custom mode. should modify custom init script and add your own code
MODE=nfqws
# apply fooling to http
MODE_HTTP=0
# for nfqws only. support http keep alives. enable only if DPI checks for http request in any outgoing packet
MODE_HTTP_KEEPALIVE=1
# apply fooling to https
MODE_HTTPS=1
# apply fooling to quic
MODE_QUIC=1

#custom hostlist
# none,ipset,hostlist,autohostlist
MODE_FILTER=hostlist


# CHOOSE NFQWS DAEMON OPTIONS for DPI desync mode. run "nfq/nfqws --help" for option list
DESYNC_MARK=0x40000000
DESYNC_MARK_POSTNAT=0x20000000
#ютубовая строка
#NFQWS_OPT_DESYNC="--dpi-desync=fake,split2 --dpi-desync-ttl=0 --dpi-desync-ttl6=0 --dpi-desync-fooling=md5sig,badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin --dpi-desync-repeats=12"
#основная стратегия
#NFQWS_OPT_DESYNC="--dpi-desync=fake,disorder2 --dpi-desync-ttl=1 --wssize 1:6"
#NFQWS_OPT_DESYNC_HTTP="--dpi-desync=split --dpi-desync-ttl=0 --dpi-desync-fooling=badsum"
#NFQWS_OPT_DESYNC_HTTPS="--wssize=1:6 --dpi-desync=split --dpi-desync-ttl=0 --dpi-desync-fooling=badsum"
#NFQWS_OPT_DESYNC_HTTP6="--dpi-desync=split --dpi-desync-ttl=5 --dpi-desync-fooling=none"
#NFQWS_OPT_DESYNC_HTTPS6="--wssize=1:6 --dpi-desync=split --dpi-desync-ttl=5 --dpi-desync-fooling=none"
#NFQWS_OPT_DESYNC_QUIC="--dpi-desync=fake --dpi-desync-repeats=6"
#NFQWS_OPT_DESYNC_QUIC_SUFFIX="--dpi-desync=fake,tamper --dpi-desync-any-protocol"
#NFQWS_OPT_DESYNC_QUIC6="--dpi-desync=hopbyhop"

# CHOOSE TPWS DAEMON OPTIONS. run "tpws/tpws --help" for option list
TPWS_OPT="--hostspell=HOST --split-http-req=method --split-pos=3 --oob"

# openwrt only : donttouch,none,software,hardware
FLOWOFFLOAD=hardware

# openwrt: specify networks to be treated as LAN. default is "lan"
#OPENWRT_LAN="lan"
# openwrt: specify networks to be treated as WAN. default wans are interfaces with default route
#OPENWRT_WAN4="lan"
#OPENWRT_WAN6="wan6 vpn6"

# for routers based on desktop linux and macos. has no effect in openwrt.
# CHOOSE LAN and optinally WAN/WAN6 NETWORK INTERFACES
# or leave them commented if its not router
# it's possible to specify multiple interfaces like this : IFACE_LAN="eth0 eth1 eth2"
# if IFACE_WAN6 is not defined it take the value of IFACE_WAN
#IFACE_LAN=eth0
#IFACE_WAN=eth1
#IFACE_WAN6="ipsec0 wireguard0 he_net"

# should start/stop command of init scripts apply firewall rules ?
# not applicable to openwrt with firewall3+iptables
INIT_APPLY_FW=1
# firewall apply hooks
#INIT_FW_PRE_UP_HOOK="/etc/firewall.zapret.hook.pre_up"
#INIT_FW_POST_UP_HOOK="/etc/firewall.zapret.hook.post_up"
#INIT_FW_PRE_DOWN_HOOK="/etc/firewall.zapret.hook.pre_down"
#INIT_FW_POST_DOWN_HOOK="/etc/firewall.zapret.hook.post_down"

# do not work with ipv4
#DISABLE_IPV4=1
# do not work with ipv6
DISABLE_IPV6=1

# select which init script will be used to get ip or host list
# possible values : get_user.sh get_antizapret.sh get_combined.sh get_reestr.sh get_hostlist.sh
# comment if not required
#GETLIST=

[nialone]

Автору огромное спасибо, я дожил до этого момента. ))
Столкнулся с аналогичной проблемой, вопросом интеграции.
Нашел себе 2 стратегии (тубус и всё остальное), но не понял как слить в один конфиг.

NFQWS_OPT="
--filter-tcp=80 --dpi-desync=fake,split2 --dpi-desync-fooling=md5sig <HOSTLIST> --new
--filter-tcp=443 --dpi-desync=fake,disorder2 --dpi-desync-fooling=md5sig <HOSTLIST> --new
--filter-udp=443 --dpi-desync=fake --dpi-desync-repeats=6 <HOSTLIST_NOAUTO>
"

NFQWS_OPT="
--filter-tcp=80 --hostlist=/opt/zapret/ipset/zapret-hosts-user.txt --dpi-desync=fake,split2 --dpi-desync-fooling=md5sig --new
--filter-tcp=443 --hostlist=/opt/zapret/ipset/lovetube.txt --dpi-desync=fake,split --dpi-desync-autottl=2 --dpi-desync-repeats=6 --dpi-desync-fooling=badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/quic_initial_www_google_com.bin --new
--filter-udp=443 --hostlist=/opt/zapret/ipset/lovetube.txt --dpi-desync=fake --dpi-desync-repeats=6 --dpi-desync-fake-quic=/opt/zapret/files/fake/quic_initial_www_google_com.bin
"

Методом ненаучного тыка, запись в новом конфиге у меня отлично работает и выглядит вот так:

NFQWS_OPT="
--filter-tcp=80 --dpi-desync=fake,split2 --dpi-desync-fooling=md5sig <HOSTLIST> --new
--filter-tcp=443 --hostlist=/opt/zapret/ipset/lovetube.txt --dpi-desync=fake,split --dpi-desync-autottl=2 --dpi-desync-repeats=6 --dpi-desync-fooling=badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/quic_initial_www_google_com.bin --new
--filter-udp=443 --hostlist=/opt/zapret/ipset/lovetube.txt --dpi-desync=fake --dpi-desync-repeats=6 --dpi-desync-fake-quic=/opt/zapret/files/fake/quic_initial_www_google_com.bin --new
--filter-tcp=443 --dpi-desync=fake,disorder2 --dpi-desync-fooling=md5sig <HOSTLIST> --new
--filter-udp=443 --dpi-desync=fake --dpi-desync-repeats=6 <HOSTLIST_NOAUTO>
"

Пришлось тщательно вычистить маленький список из большого чтобы не было коллизий.
Возможно, есть важность последовательности применения записей\правил.
Надо будет перечитать хелпинг для очистки совести, вдруг я ошибся и у автора будет дергаться глаз..

[HentayHentay]

NFQWS_OPT="
--filter-tcp=80 --dpi-desync=fake,split2 --dpi-desync-fooling=md5sig <HOSTLIST> --new
--filter-tcp=443 --hostlist=/opt/zapret/ipset/lovetube.txt --dpi-desync=fake,split --dpi-desync-autottl=2 --dpi-desync-repeats=6 --dpi-desync-fooling=badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/quic_initial_www_google_com.bin --new --dpi-desync=fake,disorder2 --dpi-desync-fooling=md5sig <HOSTLIST> --new
--filter-udp=443 --hostlist=/opt/zapret/ipset/lovetube.txt --dpi-desync=fake --dpi-desync-repeats=6 --dpi-desync-fake-quic=/opt/zapret/files/fake/quic_initial_www_google_com.bin --new --dpi-desync=fake --dpi-desync-repeats=6 <HOSTLIST>
"

У нас по 2 правила на 443 udp и 443 tcp.
Можно слить в один массив. Левая часть - уникальная с листом, а права уже с автолистом или просто режимом листом (хост или ип)

<HOSTLIST> - используем стандартные листы. Если режим не автохост, то ручное заполнение.

[nialone]

Прекрасное красивое решение. )

[aglu]

А такое должно работать с MODE_FILTER=none ?
Пытаюсь что-то вроде

--filter-tcp=443 --hostlist=FirstList.txt --dpi-desync=method1  --new
--filter-tcp=443 --hostlist=SecondList.txt --dpi-desync=method2  --new
--filter-tcp=80 --dpi-desync=generalMethod1 --new
--filter-tcp=443 --dpi-desync= generalMethod2 --new
--filter-udp=443 --dpi-desync= generalMethod3

Но в итоге применяется только первые стратегии, те что с хост-лист, а на общее не применяется.

[bol-van]

Надо всегда смотреть от параметров nfqws.
Он не знает что такое конфиг.
Он не знает что такое инсталл
Не знает что такое блокчек.
Он знает только параметры командной строки.
Все остальное - надстройка, обеспечивающая nfqws параметрами.
MODE_FILTER - это параметр надстройки, не nfqws.
MODE_FILTER влияет на способ замены маркеров стандартных листов в конфиге и еще на правила фаервола при режиме ipset. больше ни на что

[aglu]

Всё, сам дебил). Надо логи службы было смотреть. chmod +r и всё пошло.
Да, всё работает, пример конфига рабочий