Настройка QUIC в новой конфигурации

[alexgoryushkin]

Мой друг поделился со мной настройками для QUIC, но я не смог применить их с новой версией конфига

QUIC_PORTS=50000-65535
NFQWS_OPT_DESYNC_QUIC="--dpi-desync=fake --dpi-desync-repeats=6 --dpi-desync-any-protocol"

Я попробовал вот так

--filter-tcp=80 --dpi-desync=fake,split2 --dpi-desync-fooling=md5sig,badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin <HOSTLIST> --new
--filter-tcp=443 --dpi-desync=fake,split2 --dpi-desync-fooling=md5sig,badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin <HOSTLIST> --new
--filter-udp=443 --dpi-desync=fake,split2 --dpi-desync-fooling=md5sig,badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin <HOSTLIST> --new
--filter-l7=quic --dpi-desync=fake --dpi-desync-repeats=6 --dpi-desync-any-protocol <HOSTLIST>

Получил такой вывод

Clearing nftables
Starting daemon 3: /opt/zapret/nfq/nfqws --qnum=200
--filter-tcp=80 --dpi-desync=fake,split2 --dpi-desync-fooling=md5sig,badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin --hostlist=/opt/zapret/ipset/zapret-hosts-user.txt --hostlist-exclude=/opt/zapret/ipset/zapret-hosts-user-exclude.txt --new
--filter-tcp=443 --dpi-desync=fake,split2 --dpi-desync-fooling=md5sig,badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin --hostlist=/opt/zapret/ipset/zapret-hosts-user.txt --hostlist-exclude=/opt/zapret/ipset/zapret-hosts-user-exclude.txt --new
--filter-udp=443 --dpi-desync=fake,split2 --dpi-desync-fooling=md5sig,badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin --hostlist=/opt/zapret/ipset/zapret-hosts-user.txt --hostlist-exclude=/opt/zapret/ipset/zapret-hosts-user-exclude.txt --new
--filter-l7=quic --dpi-desync=fake --dpi-desync-repeats=6 --dpi-desync-any-protocol --hostlist=/opt/zapret/ipset/zapret-hosts-user.txt --hostlist-exclude=/opt/zapret/ipset/zapret-hosts-user-exclude.txt
Applying nftables
Creating ip list table (firewall type nftables)
setting high oom kill priority
reloading nftables set backend (no-update)
Inserting nftables ipv4 rule for nfqws postrouting (qnum 200) : tcp dport {80,443} ct original packets 1-9
Inserting nftables ipv4 rule for nfqws prerouting (qnum 200) : tcp sport {80,443} ct reply packets 1-3
Inserting nftables ipv4 rule for nfqws postrouting (qnum 200) : udp dport {443} ct original packets 1-9

Что я сделал не так?

[eastone11]

если вам для войса дискорда, то есть готовый скрипт 50-discord, перекиньте его в папку custom.d

[andmt1]

на QUIC --dpi-desync-repeats=6 на "6" не работает. От 11 до 20 пробуйте

[bol-van]

Стратегия достаточно кривая, явно написана без понимания дела на основе испорченной копипасты.

Для quic desync-any-protocol не нужен.
filter-l7 лучше вообще не применять. Он предназначен для случаев, когда невозможно задать жесткий фильтр по портам. Для веб сайтов его задать можно.
Как написали выше, для дискорда есть отдельный кастом, который надо лишь перекинуть в custom.d. И не мучать верхние порты.
Для udp split бесполезен. Мало того, он будет забирать на себя весь udp 443, так что для quic дело даже не дойдет.
2 одинаковых стратегии для 80 и 443 легко обьединить через --filter-tcp=80-443
Без настройки новой системы перехвата 50000-65536 все равно бы не сработали

Разберитесь как это работает, иначе результат будет плохой

[Aspirata]

если вам для войса дискорда, то есть готовый скрипт 50-discord, перекиньте его в папку custom.d

А где этот скрипт и как поставить custom mode в новых версиях ?

[eastone11]

в

если вам для войса дискорда, то есть готовый скрипт 50-discord, перекиньте его в папку custom.d

А где этот скрипт и как поставить custom mode в новых версиях ?

в custom.d.examples, мода больше нет, запрет сам понимает если в папке лежит скрипт

[Aspirata]

Спасибо, теперь всё работает !

P.S Под "всё" я подразумеваю discord, войсы discord и ютуб

[NewUse]

2 одинаковых стратегии для 80 и 443 легко обьединить через --filter-tcp=80-443

@bol-van

кажется сюда попадут не только 80 и 443 , но и порты с 81 по 442, кажется , для таких случаев нужно предусмотреть синтаксис, типа:
--filter-tcp=80,443

[bol-van]

В следующем релизе будет.
Там надо динамический список делать, в свое время поленился.
Но обычно между 80 и 443 ничего не перехватывается

[alexgoryushkin]

Спасибо, всё получилось настроить

Оставил в конфиге только одну строчку
--filter-tcp=80-443 --dpi-desync=fake,split2 --dpi-desync-fooling=md5sig,badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin <HOSTLIST>
И воспользовался custom скриптом 50-discord
cp /opt/zapret/init.d/openwrt/custom.d.examples/50-discord /opt/zapret/init.d/openwrt/custom.d

[bol-van]

Превосходно. Это так и должно работать.

[Afreetx]

раньше у меня было 2 строчки (на кинетике)

NFQWS_OPT_DESYNC="--dpi-desync=fake,split2 --dpi-desync-fooling=badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin"
NFQWS_OPT_DESYNC_QUIC="--dpi-desync=fake --dpi-desync-cutoff=d4 --dpi-desync-repeats=6 --dpi-desync-any-protocol" 

Ну и кастомный скрипт на дискорд, разумеется.
Всё работало отлично, за исключением того, что чтобы зайти в войс или начать демонстрацию экрана там, каждый раз перед этим приходилось перезапустить zapret (хуки и всё прочее не помогало, не знаю)

Полностью обновил сегодня zapret.
Сейчас много всяких вариантов перепробовал методом научного тыка в попытках сделать так как было, но разницы нет, вроде. Остановился на

--filter-tcp=80-443 --dpi-desync=fake,split2 --dpi-desync-fooling=badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin <HOSTLIST>

Страницы грузятся, сайты запускаются, дискорд запускается. Но видео на одном сайте и, я отключил ipv6 чтобы проверить, на ютуб грузятся нормально только один раз из десятка перезогрузок страницы. Войс в дискорде вообще никак не хочет.

[HentayHentay]

Но видео на одном сайте и, я отключил ipv6 чтобы проверить, на ютуб грузятся нормально только один раз из десятка перезогрузок страницы

Для работы видео на ютубе нужно:
--filter-udp=443
--filter-tcp=80-443 --dpi-desync-any-protocol
Наглухо заблокированный 443 UDP
Отключить QUIC в браузере

PS Выбираем один из предложенных выше вариантов
PS2 Так-же в файл <HOSTLIST> внести адресa cайтов, которые ютуб использует
PS3 В предложенном вами варианте протокол QUIC не трогается , что ломает ютуб на видео

Войс в дискорде вообще никак не хочет.

Внести в файл, что скрывает переменная <HOSTLIST> адреса сайтов дискорда. В 50-discord лишь заданы пределы сети , но не адреса сайтов

[bol-van]

--filter-tcp=80-443 --dpi-desync-any-protocol

не надо давать дурные советы.

[Afreetx]

Но видео на одном сайте и, я отключил ipv6 чтобы проверить, на ютуб грузятся нормально только один раз из десятка перезогрузок страницы

Для работы видео на ютубе нужно: --filter-udp=443 --filter-tcp=80-443 --dpi-desync-any-protocol Наглухо заблокированный 443 UDP Отключить QUIC в браузере

PS Выбираем один из предложенных выше вариантов PS2 Так-же в файл <HOSTLIST> внести адресa cайтов, которые ютуб использует PS3 В предложенном вами варианте протокол QUIC не трогается , что ломает ютуб на видео

Войс в дискорде вообще никак не хочет.

Внести в файл, что скрывает переменная <HOSTLIST> адреса сайтов дискорда. В 50-discord лишь заданы пределы сети , но не адреса сайтов

--filter-tcp=80-443 --dpi-desync-any-protocol - я это пробовал, не дает положительного результата, т.к. bol-van говорит что это плохо, то я убрал

--filter-udp=443 - попробовал ничего не изменило

HOSTLIST конечно же содержит все адреса ютуба и дискорда, у меня же до этого уже как-то работало, ну и дискорд открывается.

[bol-van]

Вы ничего хорошего не достигните, подставляя все подряд параметры без понятия как они работают.
--filter сам по себ не делает ничего. он лишь задает фильтр для текущего профиля.
для quic все, что в принципе может сработать, это --dpi-desync=fake, --dpi-desync-repeats, --dpi-desync-fake-quic
Про остальное забудьте

[bol-van]

Вы неверно лог интерпретируете.
Надо смотреть действия по одному конкретно взятому пакету.
Если сначала идет UDP, проверяется профиль 2, а потом TCP и проверяется профиль 1, то эти события никак не связаны. Никакого "потом" нет.
udp видимо прописан на 2 профиле с фильтром --filter-udp.
Хостлисты для профилей, не удовлетворяющих жесткому фильтру, не проверяются

[eastone11]

Если сначала идет UDP, проверяется профиль 2
udp видимо прописан на 2 профиле с фильтром --filter-udp

Хорошо, то есть профиль 2 это --hostlist=/opt/zapret_files/zapret-hosts-youtube.txt в настройке udp, почему он не находит googlevideo.com в нём хотя он там есть? В профиле 1 который для TCP используется эта же ссылка и он его находит.

[bol-van]

Могу только гадать, потому что нет полной строки запуска и содержимого листов.

[eastone11]

--filter-udp=443 -dpi-desync=fake --dpi-desync-fake-quic=/opt/zapret/files/fake/quic_initial_www_google_com.bin --dpi-desync-repeats=20 --hostlist=/opt/zapret_files/zapret-hosts-youtube.txt --new
"

Для udp писал, думал хватит

вот фул

"

Прикрепил листы

[bol-van]

Там 3 профиля, и до профиля 3 дело не доходит, потому что между ними профиль без фильтра.
Процессинг профилей идет слево направо, а не ищется среди всех udp 443
Кроме того, применение zapret-hosts-user.txt автоматически не идет в новых версиях. Там нужен маркер <HOSTLIST>

[eastone11]

Там 3 профиля, и до профиля 3 дело не доходит, потому что между ними профиль без фильтра. Процессинг профилей идет слево направо, а не ищется среди всех udp 443 Кроме того, применение zapret-hosts-user.txt автоматически не идет в новых версиях. Там нужен маркер <HOSTLIST>

маркер съел спойлер почему...

3ий профиль это ауто? если так до да до него не доходит. Я не могу понять профиль 2 это zapret-hosts-youtube.txt?

[eastone11]

Процессинг профилей идет слево направо

получается 1ый это ютубский, 2ой юзерский, 3ий ауто?

[bol-van]

В таком варианте udp 443 попадает в профиль 2 и не проходит по zapret-hosts-user.txt
udp 443 надо вверх поднять

[eastone11]

В таком варианте udp 443 попадает в профиль 2 и не проходит по zapret-hosts-user.txt udp 443 надо вверх поднять

поменять местами tcp и udp? у меня так труба вообще не работает, или что значит поднять? если ты про пробел после --new и перед --filter-udp, то его нет в конфиге, опять спойлер нагадил.

получается 1ый это ютубский, 2ой юзерский, 3ий ауто?

[bol-van]

Все специализации с фильтром наверх, без фильтра - вниз

--filter-tcp=443 свой лист
--filter-udp=443 свой лист
нет фильтра --dpi-desync=... <HOSTLIST>

[eastone11]

Все специализации с фильтром наверх, без фильтра - вниз

--filter-tcp=443 свой лист
--filter-udp=443 свой лист
нет фильтра --dpi-desync=... <HOSTLIST>

воо, спасибо, ну я бы в жизни не догадался что вот так можно добавить, может написать такой вариант оформления в талмут? в # включение стандартной опции nfqws

[bol-van]

Это напрямую следует из алгоритма процессинга профилей. Важна очередность.
Примеры есть в docs/quick_start.txt

[eastone11]

Это напрямую следует из алгоритма процессинга профилей. Важна очередность. Примеры есть в docs/quick_start.txt

понял, я его читал в августе + тут еще переделка под новую версию, спасибо в любом случае, квик старт перечитаю

[bol-van]

В моем варианте небольшая проблемка есть.
Если вдруг udp не попадает в лист, то оно валится на проверку в последний профиль. А там стратегия написана для tcp.
По хорошему надо бы еще фильтр поставить.
--filter-tcp=80-443
пока так

в следующем релизе в filter можно будет указывать перечень портов через запятую

[eastone11]

В моем варианте небольшая проблемка есть. Если вдруг udp не попадает в лист, то оно валится на проверку в последний профиль. А там стратегия написана для tcp. По хорошему надо бы еще фильтр поставить. --filter-tcp=80-443 пока так

в следующем релизе в filter можно будет указывать перечень портов через запятую

обновился, --filter-tcp=80,443 работает нормально, спасибо
и профиля теперь в дебаге удобно понимать какой что