После обновления не работает Zapret на OpenWRT #892

Dzanzik · 2024-11-27T15:08:05Z

Dzanzik
Nov 27, 2024

Добрый день!
В сентябре развернул у себя на роутере OpenWRT Zapret
Все работало идеально.
После обновления ( когда поменялся config файл кординально)
Как не пытаюсь настроить - не помогает.
Сайты не открываются хотя запрет должен работать.

В то же время Win Bundle отлично работает на PC
Настройки в из батника
start "zapret: discord" /min "%~dp0winws.exe" ^
--wf-tcp=80,443,50000-65535 --wf-udp=443,50000-65535 ^
--filter-udp=443 --hostlist="%~dp0list-general.txt" --dpi-desync=fake --dpi-desync-udplen-increment=10 --dpi-desync-repeats=6 --dpi-desync-udplen-pattern=0xDEADBEEF --dpi-desync-fake-quic="%~dp0quic_initial_www_google_com.bin" --new ^
--filter-udp=50000-65535 --dpi-desync=fake,tamper --dpi-desync-any-protocol --dpi-desync-fake-quic="%~dp0quic_initial_www_google_com.bin" --new ^
--filter-tcp=80 --dpi-desync=fake,split2 --dpi-desync-autottl=2 --dpi-desync-fooling=md5sig --new ^
--filter-tcp=443 --hostlist="%~dp0list-general.txt" --dpi-desync=fake,split2 --dpi-desync-autottl=2 --dpi-desync-fooling=md5sig --dpi-desync-fake-tls="%~dp0tls_clienthello_www_google_com.bin" --new ^
--dpi-desync=fake,disorder2 --dpi-desync-autottl=2 --dpi-desync-fooling=md5sig
пытался разными способами перенести в Config файл на роутер, но так ничего и не завелось
В предыдущем формате Config файла все удалось нормально настроить(
Blockcheck выдает следующее.

SUMMARY
ipv4 rutracker.org curl_test_http : tpws --split-http-req=method --oob
ipv4 rutracker.org curl_test_http : nfqws --dpi-desync=fake --dpi-desync-ttl=6
ipv4 rutracker.org curl_test_https_tls12 : tpws not working
ipv4 rutracker.org curl_test_https_tls12 : nfqws --dpi-desync=fake --dpi-desync-ttl=7
ipv6 rutracker.org curl_test_http : tpws --split-http-req=method --oob
ipv6 rutracker.org curl_test_http : nfqws --dpi-desync=fake --dpi-desync-ttl=2
ipv6 rutracker.org curl_test_https_tls12 : tpws not working
ipv6 rutracker.org curl_test_https_tls12 : nfqws --dpi-desync=fake --dpi-desync-ttl=2

Пожалуйста, подскажите как правильно настроить
NNFQWS_OPT="
--filter-tcp=80 --dpi-desync=fake,multisplit --dpi-desync-split-pos=method+2 --dpi-desync-fooling=md5sig --new
--filter-tcp=443 --dpi-desync=fake,multidisorder --dpi-desync-split-pos=1,midsld --dpi-desync-fooling=badseq,md5sig --new
--filter-udp=443 --dpi-desync=fake --dpi-desync-repeats=6 <HOSTLIST_NOAUTO>

, или скиньте пожалуйста Config близкий к win bundle

Я конечно понимаю, что моих познаний наверное слишком мало, чтобы даже корректно сформулировать вопрос, но если кто-нибудь поможет - буду очень благодарен

bol-van · 2024-11-27T16:07:21Z

bol-van
Nov 27, 2024
Maintainer

это трэш флуд конфиг
плохая копипаста

1 reply

Dzanzik Nov 27, 2024
Author

Да, верно, все что делается, делается пожалуй кривой копипастой без понимания множества аспектов и вещей(
Но в первом случае до обновления копипаста помогла и все работало(
А теперь пытаясь все правильно настроить вникая и читая readme.. все равно ничего не выходит..
просто если win bundle работает с пары кликов отлично, то может и на роутере это можно как-то починить.
Понимаю что github в целом не место для таких нубов как я, но надеюсь что поможет ктонибудь завести zapret снова

pavel1000 · 2024-12-02T02:08:11Z

pavel1000
Dec 2, 2024

Полагаю, ответ состоит в том, что у вас неверный параметр NFQWS_OPT. Буквально сегодня обновился до версии 69.3 и тоже не с первого раза подобрал нужные настройки. В моем случае использовался именно nfqws, но уже не раз подмечали, что у разных провайдеров конфиги могут (и чаще всего будут) отличаться.

- SUMMARY
  ipv4 rutracker.org curl_test_http : tpws --split-pos=method+2 --oob
  ipv4 rutracker.org curl_test_http : tpws --methodeol
  ipv4 rutracker.org curl_test_http : nfqws --methodeol
  ipv4 rutracker.org curl_test_http : nfqws --dpi-desync=fake --dpi-desync-ttl=5
  ipv4 rutracker.org curl_test_http : nfqws --dpi-desync=fake --dpi-desync-fooling=datanoack
  ipv4 rutracker.org curl_test_http : nfqws --dpi-desync=fake --dpi-desync-fooling=md5sig
  ipv4 rutracker.org curl_test_http : nfqws --dpi-desync=fakedsplit --dpi-desync-ttl=5 --dpi-desync-split-pos=method+2
  ipv4 rutracker.org curl_test_http : nfqws --dpi-desync=fakedsplit --dpi-desync-fooling=datanoack --dpi-desync-split-pos=method+2
  ipv4 rutracker.org curl_test_http : nfqws --dpi-desync=fakedsplit --dpi-desync-fooling=md5sig --dpi-desync-split-pos=method+2
  ipv4 rutracker.org curl_test_http : nfqws --dpi-desync=fakeddisorder --dpi-desync-ttl=5 --dpi-desync-split-pos=method+2
  ipv4 rutracker.org curl_test_http : nfqws --dpi-desync=fakeddisorder --dpi-desync-fooling=datanoack --dpi-desync-split-pos=method+2
  ipv4 rutracker.org curl_test_http : nfqws --dpi-desync=fakeddisorder --dpi-desync-fooling=md5sig --dpi-desync-split-pos=method+2
  ipv4 rutracker.org curl_test_http : nfqws --dpi-desync=fake --dpi-desync-ttl=1 --dpi-desync-autottl=5 --dpi-desync-fake-http=0x00000000
  ipv4 rutracker.org curl_test_http : nfqws --dpi-desync=fakeddisorder --dpi-desync-ttl=1 --dpi-desync-autottl=2 --dpi-desync-split-pos=midsld
  ipv4 rutracker.org curl_test_http : nfqws --dpi-desync=syndata
  ipv4 rutracker.org curl_test_http : nfqws --dpi-desync=syndata --dpi-desync-fake-syndata=/tmp/zapret-v69.3/files/fake/http_iana_org.bin
  ipv4 rutracker.org curl_test_http : nfqws --dpi-desync=syndata,multisplit --dpi-desync-split-pos=method+2
  ipv4 rutracker.org curl_test_http : nfqws --dpi-desync=syndata,multisplit --dpi-desync-fake-syndata=/tmp/zapret-v69.3/files/fake/http_iana_org.bin --dpi-desync-split-pos=method+2
  ipv4 rutracker.org curl_test_http : nfqws --dpi-desync=syndata,multidisorder --dpi-desync-split-pos=method+2
  ipv4 rutracker.org curl_test_http : nfqws --dpi-desync=syndata,multidisorder --dpi-desync-fake-syndata=/tmp/zapret-v69.3/files/fake/http_iana_org.bin --dpi-desync-split-pos=method+2
  
  ipv4 rutracker.org curl_test_https_tls12 : tpws not working
  ipv4 rutracker.org curl_test_https_tls12 : nfqws --dpi-desync=fake --dpi-desync-ttl=5
  ipv4 rutracker.org curl_test_https_tls12 : nfqws --dpi-desync=fake --dpi-desync-fooling=badseq
  ipv4 rutracker.org curl_test_https_tls12 : nfqws --dpi-desync=fake --dpi-desync-fooling=md5sig
  ipv4 rutracker.org curl_test_https_tls12 : nfqws --dpi-desync=fake,multisplit --dpi-desync-ttl=1 --dpi-desync-autottl=1 --dpi-desync-split-pos=midsld
  ipv4 rutracker.org curl_test_https_tls12 : nfqws --dpi-desync=fake,multidisorder --dpi-desync-ttl=1 --dpi-desync-autottl=5 --dpi-desync-split-pos=1,midsld
  ipv4 rutracker.org curl_test_https_tls12 : nfqws --dpi-desync=fake,fakeddisorder --dpi-desync-ttl=1 --dpi-desync-autottl=1 --dpi-desync-split-pos=1
  ipv4 rutracker.org curl_test_https_tls12 : nfqws --dpi-desync=syndata,multisplit --dpi-desync-fake-syndata=/tmp/zapret-v69.3/files/fake/tls_clienthello_iana_org.bin --dpi-desync-split-pos=1
  ipv4 rutracker.org curl_test_https_tls12 : nfqws --dpi-desync=syndata,multidisorder --dpi-desync-fake-syndata=/tmp/zapret-v69.3/files/fake/tls_clienthello_iana_org.bin --dpi-desync-split-pos=1
  
  ipv4 youtube.com curl_test_http : working without bypass
  ipv4 youtube.com curl_test_https_tls12 : tpws --split-pos=2 --oob --mss=88
  ipv4 youtube.com curl_test_https_tls12 : tpws --split-pos=2 --disorder --mss=88
  ipv4 youtube.com curl_test_https_tls12 : tpws --split-pos=2 --oob --disorder --mss=88
  ipv4 youtube.com curl_test_https_tls12 : tpws --tlsrec=midsld --mss=88
  ipv4 youtube.com curl_test_https_tls12 : tpws --tlsrec=midsld --oob --mss=88
  ipv4 youtube.com curl_test_https_tls12 : tpws --tlsrec=midsld --disorder --mss=88
  ipv4 youtube.com curl_test_https_tls12 : tpws --tlsrec=midsld --oob --disorder --mss=88
  ipv4 youtube.com curl_test_https_tls12 : nfqws --dpi-desync=fake --dpi-desync-ttl=3 --dpi-desync-fake-tls=0x00000000
  ipv4 youtube.com curl_test_https_tls12 : nfqws --dpi-desync=fakedsplit --dpi-desync-fooling=badseq --dpi-desync-split-pos=1,midsld
  ipv4 youtube.com curl_test_https_tls12 : nfqws --dpi-desync=fake --dpi-desync-ttl=1 --dpi-desync-autottl=4
  ipv4 youtube.com curl_test_https_tls12 : nfqws --dpi-desync=fakedsplit --dpi-desync-ttl=1 --dpi-desync-autottl=3 --dpi-desync-split-pos=1
  ipv4 youtube.com curl_test_https_tls12 : nfqws --dpi-desync=syndata,multisplit --dpi-desync-fake-syndata=/tmp/zapret-v69.3/files/fake/tls_clienthello_iana_org.bin --dpi-desync-split-pos=1,midsld
  ipv4 youtube.com curl_test_https_tls12 : nfqws --dpi-desync=syndata,multidisorder --dpi-desync-fake-syndata=/tmp/zapret-v69.3/files/fake/tls_clienthello_iana_org.bin --dpi-desync-split-pos=1
  
  ipv4 discord.com curl_test_http : working without bypass
  ipv4 discord.com curl_test_https_tls12 : tpws --split-pos=host+1 --oob
  ipv4 discord.com curl_test_https_tls12 : tpws --split-pos=1,sniext+1,host+1,midsld,endhost-1 --disorder
  ipv4 discord.com curl_test_https_tls12 : tpws --split-pos=1,sniext+1,host+1,midsld,endhost-1 --oob --disorder
  ipv4 discord.com curl_test_https_tls12 : nfqws --dpi-desync=multidisorder --dpi-desync-split-pos=1,sniext+1,host+1,midsld-2,midsld,midsld+2,endhost-1
  ipv4 discord.com curl_test_https_tls12 : nfqws --dpi-desync=fake --dpi-desync-ttl=2
  ipv4 discord.com curl_test_https_tls12 : nfqws --dpi-desync=fake --dpi-desync-fooling=badseq
  ipv4 discord.com curl_test_https_tls12 : nfqws --dpi-desync=fake --dpi-desync-fooling=datanoack
  ipv4 discord.com curl_test_https_tls12 : nfqws --dpi-desync=fake --dpi-desync-fooling=md5sig
  ipv4 discord.com curl_test_https_tls12 : nfqws --dpi-desync=fakedsplit --dpi-desync-fooling=badseq --dpi-desync-split-pos=midsld
  ipv4 discord.com curl_test_https_tls12 : nfqws --dpi-desync=fake --dpi-desync-ttl=1 --dpi-desync-autottl=1
  ipv4 discord.com curl_test_https_tls12 : nfqws --dpi-desync=fake --dpi-desync-ttl=1 --dpi-desync-autottl=2
  ipv4 discord.com curl_test_https_tls12 : nfqws --dpi-desync=fake --dpi-desync-ttl=1 --dpi-desync-autottl=3
  ipv4 discord.com curl_test_https_tls12 : nfqws --dpi-desync=fake --dpi-desync-ttl=1 --dpi-desync-autottl=4
  ipv4 discord.com curl_test_https_tls12 : nfqws --dpi-desync=fake --dpi-desync-ttl=1 --dpi-desync-autottl=5
  ipv4 discord.com curl_test_https_tls12 : nfqws --dpi-desync=syndata --dpi-desync-fake-syndata=/tmp/zapret-v69.3/files/fake/tls_clienthello_iana_org.bin
  ipv4 discord.com curl_test_https_tls12 : nfqws --dpi-desync=syndata,multisplit --dpi-desync-fake-syndata=/tmp/zapret-v69.3/files/fake/tls_clienthello_iana_org.bin --dpi-desync-split-pos=1

Далее я попробовал конфиг, который бы выступал "объединением" нескольких подходящих вариантов. Я смотрел на наличие нужных флагов для разных сайтов и искал пересечения. Также, по полученным примерам, предположил, что можно произвольно объединять некоторые параметры. Например, как "--dpi-desync=syndata,multidisorder" или "--dpi-desync-split-pos=1,midsld".
В первой версии получился следующий (НЕ рабочий конфиг):
NFQWS_OPT="--filter-tcp=80 --dpi-desync=fakedsplit,fakeddisorder --dpi-desync-fooling=md5sig --dpi-desync-split-pos=method+2 --new
--filter-tcp=443 --dpi-desync=fake,fakedsplit,multidisorder --dpi-desync-split-pos=1,midsld --dpi-desync-fooling=badseq,md5sig --new
--filter-udp=443 --dpi-desync=fake --dpi-desync-repeats=6 <HOSTLIST_NOAUTO>"

Далее, после нескольких попыток, оставил только варианты, которые бы соответствовали одной из строк результата работы скрипта "blockcheck.sh" (который выдает SUMMARY, вроде того, что продемонстрирован выше).
Рабочий вариант:
NFQWS_OPT="
--filter-tcp=80 --dpi-desync=fakedsplit --dpi-desync-fooling=md5sig --dpi-desync-split-pos=method+2 --new
--filter-tcp=443 --dpi-desync=fakedsplit --dpi-desync-fooling=badseq --dpi-desync-split-pos=1,midsld --new
--filter-udp=443 --dpi-desync=fake --dpi-desync-repeats=6 <HOSTLIST_NOAUTO>"

В итоге получил все работающие сайты, добавив ещё для дискорда конфиг, как указано тут: #848
P.S. В остальной части конфига ничего не менялось, кроме "NFQWS_ENABLE=1" и "MODE_FILTER=autohostlist". Но данные параметры можно выбрать в процессе установки, а остальные остались по умолчанию.
P.S.2: Все остальные действия выполнены согласно инструкции: https://github.com/bol-van/zapret/blob/master/docs/quick_start.md

17 replies

eastone11 Dec 3, 2024

ну если всё заработало, тогда не надо
по ютубу отдельная история (если именно про видео)
Подробно тут:
https://ntc.party/t/%D0%BF%D0%BE%D0%B4%D0%B1%D0%BE%D1%80-%D1%80%D0%B0%D0%B1%D0%BE%D1%87%D0%B5%D0%B3%D0%BE-%D0%BA%D0%BE%D0%BD%D1%84%D0%B8%D0%B3%D0%B0-%D0%B4%D0%BB%D1%8F-ggc-%D1%8E%D1%82%D1%83%D0%B1%D0%B0-%D1%87%D0%B5%D1%80%D0%B5%D0%B7-blockcheck/10060

Как починить discord?
Для обхода использовать стратегии дурения доменов дискорда
Для войса перекинуть скрипт 50-discord из папки \init.d*****\custom.d.examples в custom.d

Dzanzik Dec 3, 2024
Author

Ну как заработало) часть простеньких сайтов)
Ну теперь главное впихивая стратегии.... не поломать то что уже заработало
С ссылкой сейчас ознакомлюсь

Скрипт Перекинул, результата не дало к сожалению

Dzanzik Dec 3, 2024
Author

ну если всё заработало, тогда не надо по ютубу отдельная история (если именно про видео) Подробно тут: https://ntc.party/t/%D0%BF%D0%BE%D0%B4%D0%B1%D0%BE%D1%80-%D1%80%D0%B0%D0%B1%D0%BE%D1%87%D0%B5%D0%B3%D0%BE-%D0%BA%D0%BE%D0%BD%D1%84%D0%B8%D0%B3%D0%B0-%D0%B4%D0%BB%D1%8F-ggc-%D1%8E%D1%82%D1%83%D0%B1%D0%B0-%D1%87%D0%B5%D1%80%D0%B5%D0%B7-blockcheck/10060

Почему то не открывается ссылка

pavel1000 Dec 3, 2024

Очень странно все это, когда ставил первый раз запрет в сентябре, все с первого раза без единого танца с бубном завелось, единственное помню, что MODE_QUIC=1 там проставил и что-то с этим связанное и все, автохостлист начал заполняться чем только не лень и все паровозиком пошло поехало. Сейчас же как не пытайся, будто он вообще не заводится... Однако как и писал в изначальном сообщении, версия Win bundle работает с пол клика..

ИТАК, Важный UPDATE После повторной чистовой установки zapret и учтения всех ваших советов и рекомендаций - Заработал rutor.info !!! Начал потихоньку грузиться дискорд но без RTC и еще пара сайтов, алилуя.

Но пока остается главная проблема ради чего все затевалось, не работает YouTube...

То что заработало - уже часть успеха. По поводу youtube - запустите blockcheck.sh и для youtube.com. А затем подберите стратегию, которая подходит и для какого-нибудь "обычного" сайта (rutor, rutracker и т.п.) и для youtube, одновременно (пересекающиеся строки в summary). После этого все должно работать.

pavel1000 Dec 3, 2024

ну если всё заработало, тогда не надо по ютубу отдельная история (если именно про видео) Подробно тут: https://ntc.party/t/%D0%BF%D0%BE%D0%B4%D0%B1%D0%BE%D1%80-%D1%80%D0%B0%D0%B1%D0%BE%D1%87%D0%B5%D0%B3%D0%BE-%D0%BA%D0%BE%D0%BD%D1%84%D0%B8%D0%B3%D0%B0-%D0%B4%D0%BB%D1%8F-ggc-%D1%8E%D1%82%D1%83%D0%B1%D0%B0-%D1%87%D0%B5%D1%80%D0%B5%D0%B7-blockcheck/10060

Почему то не открывается ссылка

Открывается с vpn)

Dzanzik · 2024-12-03T15:25:33Z

Dzanzik
Dec 3, 2024
Author

@eastone11, @pavel1000
можно еще глупый и наглый вопрос ребят...
Вот если стратегии из WinBundle нормально покрывают все мои задачи, нельзя как-то пряморуко и аккуратно из перенести из этого месева
--filter-udp=443 --hostlist="%~dp0list-general.txt" --dpi-desync=fake --dpi-desync-udplen-increment=10 --dpi-desync-repeats=6 --dpi-desync-udplen-pattern=0xDEADBEEF --dpi-desync-fake-quic="%~dp0quic_initial_www_google_com.bin" --new ^
--filter-udp=50000-65535 --dpi-desync=fake,tamper --dpi-desync-any-protocol --dpi-desync-fake-quic="%~dp0quic_initial_www_google_com.bin" --new ^
--filter-tcp=80 --dpi-desync=fake,split2 --dpi-desync-autottl=2 --dpi-desync-fooling=md5sig --new ^
--filter-tcp=443 --hostlist="%dp0list-general.txt" --dpi-desync=fake,split2 --dpi-desync-autottl=2 --dpi-desync-fooling=md5sig --dpi-desync-fake-tls="%dp0tls_clienthello_www_google_com.bin" --new ^
--dpi-desync=fake,disorder2 --dpi-desync-autottl=2 --dpi-desync-fooling=md5sig
в эти чудесные 3 строчки которые у меня в кофиге?) понятно, что вместо % будет указан нормальный путь к рельному файлу в папке с программой.
или таки проще по крупицам попробовать создать свою стратегию из блокчека?

9 replies

pavel1000 Dec 3, 2024

Тоже не пробовал WinBundle. Могу лишь предположить, что раз этот конфиг работает, но либо требует другого формата под отдельные флаги, либо другие пути. Но заморачиваться с этим, честно говоря, не хочется. Тут разбираться именно вам.

Нет, ни в коем случае не просил делать это за меня, просто именно вопрос, можно ли перенести, а пытаться буду уже сам.

вот вопрос еще.. прогнал как рекомендуется по ссылке ютьюб и в самари вижу следующее

SUMMARY
ipv4 rr4---sn-q4fl6nsr.googlevideo.com curl_test_http : working without bypass
ipv4 rr4---sn-q4fl6nsr.googlevideo.com curl_test_https_tls12 : tpws --split-pos=2 --oob --mss=88
ipv4 rr4---sn-q4fl6nsr.googlevideo.com curl_test_https_tls12 : tpws --split-pos=1 --disorder --mss=88
ipv4 rr4---sn-q4fl6nsr.googlevideo.com curl_test_https_tls12 : tpws --split-pos=1,sniext+1,host+1,midsld,endhost-1 --oob --disorder --mss=88
ipv4 rr4---sn-q4fl6nsr.googlevideo.com curl_test_https_tls12 : nfqws not working

если написано nfqws not working то я так понимаю надо tpws прописывать?

Да, в целом можно переносить, по структуре видно, что флаги/параметры +-те же.
Да, нужно tpws подбирать. Но сразу напомню, что комбинация tpws+nfqws сложнее настраивается. Проще оставить что-то одно. Насколько я знаю, tpws отрабатывает до nfqws, из-за чего nfqws уже срабатывает некорректно, но это решаемо.

Dzanzik Dec 3, 2024
Author

На данный момент тогда уйду на пару дней в попытки создания той самой своей комбинации.

Огромное спасибо @pavel1000 и @eastone11 вам ребята за помощь и терпение!

Jekyns Dec 15, 2024

На данный момент тогда уйду на пару дней в попытки создания той самой своей комбинации.

Огромное спасибо @pavel1000 и @eastone11 вам ребята за помощь и терпение!

как успехи?

Dzanzik Dec 16, 2024
Author

В итоге - как не подбирал флаги и параметры - YouTube так и не завелся.
В итоге почти все сайты открываются нормально, не работает только YouTube.
Скачал для ютюба отдельную прогу прям через оболочку роутера и вроде таким костылем всё работает кроме ютюба на смарт ТВ tiezen.
Но периодически так или иначе пробую менять конфиг, но пока безрезультатно.

Jekyns Dec 16, 2024

В итоге - как не подбирал флаги и параметры - YouTube так и не завелся. В итоге почти все сайты открываются нормально, не работает только YouTube. Скачал для ютюба отдельную прогу прям через оболочку роутера и вроде таким костылем всё работает кроме ютюба на смарт ТВ tiezen. Но периодически так или иначе пробую менять конфиг, но пока безрезультатно.

Можешь попробовать мой конфиг, я тоже долго искал, но теперь все работает и на ТВ и на телефоне и на компе

#s file is included from init scripts
# change values here

# can help in case /tmp has not enough space
#TMPDIR=/opt/zapret/tmp

# redefine user for zapret daemons. required on Keenetic
#WS_USER=nobody

# override firewall type : iptables,nftables,ipfw
FWTYPE=iptables
# nftables only : set this to 0 to use pre-nat mode. default is post-nat.
# pre-nat mode disables some bypass techniques for forwarded traffic but allows to see client IP addresses in debug log
#POSTNAT=0

# options for ipsets
# maximum number of elements in sets. also used for nft sets
SET_MAXELEM=522288
# too low hashsize can cause memory allocation errors on low RAM systems , even if RAM is enough
# too large hashsize will waste lots of RAM
IPSET_OPT="hashsize 262144 maxelem $SET_MAXELEM"
# dynamically generate additional ip. $1 = ipset/nfset/table name
#IPSET_HOOK="/etc/zapret.ipset.hook"

# options for ip2net. "-4" or "-6" auto added by ipset create script
IP2NET_OPT4="--prefix-length=22-30 --v4-threshold=3/4"
IP2NET_OPT6="--prefix-length=56-64 --v6-threshold=5"
# options for auto hostlist
AUTOHOSTLIST_RETRANS_THRESHOLD=3
AUTOHOSTLIST_FAIL_THRESHOLD=3
AUTOHOSTLIST_FAIL_TIME=60
# 1 = debug autohostlist positives to ipset/zapret-hosts-auto-debug.log
AUTOHOSTLIST_DEBUGLOG=0

# number of parallel threads for domain list resolves
MDIG_THREADS=30

# ipset/*.sh can compress large lists
GZIP_LISTS=1
# command to reload ip/host lists after update
# comment or leave empty for auto backend selection : ipset or ipfw if present
# on BSD systems with PF no auto reloading happens. you must provide your own command
# set to "-" to disable reload
#LISTS_RELOAD="pfctl -f /etc/pf.conf"

# mark bit used by nfqws to prevent loop
DESYNC_MARK=0x40000000
DESYNC_MARK_POSTNAT=0x20000000

TPWS_SOCKS_ENABLE=0
# tpws socks listens on this port on localhost and LAN interfaces
TPPORT_SOCKS=987
# use <HOSTLIST> and <HOSTLIST_NOAUTO> placeholders to engage standard hostlists and autohostlist in ipset dir
# hostlist markers are replaced to empty string if MODE_FILTER does not satisfy
# <HOSTLIST_NOAUTO> appends ipset/zapret-hosts-auto.txt as normal list
TPWS_SOCKS_OPT="
--filter-tcp=80 --methodeol <HOSTLIST> --new
--filter-tcp=443 --split-tls=sni --disorder <HOSTLIST>
"

TPWS_ENABLE=0
TPWS_PORTS=80,443
# use <HOSTLIST> and <HOSTLIST_NOAUTO> placeholders to engage standard hostlists and autohostlist in ipset dir
# hostlist markers are replaced to empty string if MODE_FILTER does not satisfy
# <HOSTLIST_NOAUTO> appends ipset/zapret-hosts-auto.txt as normal list
TPWS_OPT="
--filter-tcp=80 --methodeol <HOSTLIST> --new
--filter-tcp=443 --split-tls=sni --disorder <HOSTLIST>
"

NFQWS_ENABLE=1
# redirect outgoing traffic with connbytes limiter applied in both directions.
NFQWS_PORTS_TCP=80,443
NFQWS_PORTS_UDP=443
# PKT_OUT means connbytes dir original
# PKT_IN means connbytes dir reply
# this is --dpi-desync-cutoff=nX kernel mode implementation for linux. it saves a lot of CPU.
NFQWS_TCP_PKT_OUT=$((6+$AUTOHOSTLIST_RETRANS_THRESHOLD))
NFQWS_TCP_PKT_IN=3
NFQWS_UDP_PKT_OUT=$((6+$AUTOHOSTLIST_RETRANS_THRESHOLD))
NFQWS_UDP_PKT_IN=0
# redirect outgoing traffic without connbytes limiter and incoming with connbytes limiter
# normally it's needed only for stateless DPI that matches every packet in a single TCP session
# typical example are plain HTTP keep alives
# this mode can be very CPU consuming. enable with care !
#NFQWS_PORTS_TCP_KEEPALIVE=80
#NFQWS_PORTS_UDP_KEEPALIVE=
# use <HOSTLIST> and <HOSTLIST_NOAUTO> placeholders to engage standard hostlists and autohostlist in ipset dir
# hostlist markers are replaced to empty string if MODE_FILTER does not satisfy
# <HOSTLIST_NOAUTO> appends ipset/zapret-hosts-auto.txt as normal list
NFQWS_OPT="
--filter-tcp=80 --dpi-desync=fake,fakedsplit --dpi-desync-autottl=2 --dpi-desync-fooling=md5sig --new
--filter-tcp=443 --hostlist=/opt/zapret/lists/youtube.txt --dpi-desync=fake,multidisorder --dpi-desync-split-pos=1,midsld --dpi-desync-repeats=11 --dpi-desync-fooling=md5sig --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin --new
--filter-tcp=443 --dpi-desync=fake,multidisorder --dpi-desync-split-pos=midsld --dpi-desync-repeats=6 --dpi-desync-fooling=badseq,md5sig --new
--filter-udp=443 --hostlist=/opt/zapret/lists/youtube.txt --dpi-desync=fake --dpi-desync-repeats=11 --dpi-desync-fake-quic=/opt/zapret/files/fake/quic_initial_www_google_com.bin --new
--filter-udp=443 --dpi-desync=fake --dpi-desync-repeats=11
"
NFQWS_OPT_DESYNC_QUIC="
--dpi-desync=fake --dpi-desync-repeats=20 --dpi-desync-ttl=0  --dpi-desync-any-protocol --dpi-desync-cutoff=d4 --dpi-desync-fooling=md5sig,badsum --dpi-desync-fake-quic=/opt/zapret/files/fake/quic_initial_google_com.bin
"

NFQWS_OPT_DESYNC="
--dpi-desync=fake,disorder2 --dpi-desync-split-pos=1 --dpi-desync-ttl=0 --dpi-desync-fooling=md5sig,badsum --dpi-desync-repeats=20 --dpi-desync-any-protocol --dpi-desync-cutoff=d4 --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin
"

# none,ipset,hostlist,autohostlist
MODE_FILTER=none

# openwrt only : donttouch,none,software,hardware
FLOWOFFLOAD=none

# openwrt: specify networks to be treated as LAN. default is "lan"
#OPENWRT_LAN="lan lan2 lan3"
# openwrt: specify networks to be treated as WAN. default wans are interfaces with default route
#OPENWRT_WAN4="wan vpn"
#OPENWRT_WAN6="wan6 vpn6"

# for routers based on desktop linux and macos. has no effect in openwrt.
# CHOOSE LAN and optinally WAN/WAN6 NETWORK INTERFACES
# or leave them commented if its not router
# it's possible to specify multiple interfaces like this : IFACE_LAN="eth0 eth1 eth2"
# if IFACE_WAN6 is not defined it take the value of IFACE_WAN
#IFACE_LAN=
#IFACE_WAN=
#IFACE_WAN6="ipsec0 wireguard0 he_net"

# should start/stop command of init scripts apply firewall rules ?
# not applicable to openwrt with firewall3+iptables
INIT_APPLY_FW=1
# firewall apply hooks
#INIT_FW_PRE_UP_HOOK="/etc/firewall.zapret.hook.pre_up"
#INIT_FW_POST_UP_HOOK="/etc/firewall.zapret.hook.post_up"
#INIT_FW_PRE_DOWN_HOOK="/etc/firewall.zapret.hook.pre_down"
#INIT_FW_POST_DOWN_HOOK="/etc/firewall.zapret.hook.post_down"

# do not work with ipv4
#DISABLE_IPV4=1
# do not work with ipv6
DISABLE_IPV6=0

# select which init script will be used to get ip or host list
# possible values : get_user.sh get_antizapret.sh get_combined.sh get_reestr.sh get_hostlist.sh
# comment if not required
#GETLIST=

Provide feedback

Saved searches

Use saved searches to filter your results more quickly

После обновления не работает Zapret на OpenWRT #892

{{title}}

Replies: 3 comments 27 replies

{{title}}

{{title}}

{{title}}

{{editor}}'s edit

{{editor}}'s edit

{{title}}

{{title}}

{{title}}

{{title}}

{{title}}

{{title}}

{{editor}}'s edit

{{editor}}'s edit

{{title}}

{{editor}}'s edit

{{editor}}'s edit

{{title}}

{{title}}

{{title}}

{{title}}

{{editor}}'s edit

{{editor}}'s edit

Select a reply

После обновления не работает Zapret на OpenWRT #892

Replies: 3 comments · 27 replies

bol-van Nov 27, 2024 Maintainer

Dzanzik Nov 27, 2024 Author

Dzanzik Dec 3, 2024 Author

Dzanzik Dec 3, 2024 Author

Dzanzik Dec 3, 2024 Author

Dzanzik Dec 3, 2024 Author

Dzanzik Dec 16, 2024 Author

Replies: 3 comments 27 replies

bol-van
Nov 27, 2024
Maintainer

Dzanzik Nov 27, 2024
Author

Dzanzik Dec 3, 2024
Author

Dzanzik Dec 3, 2024
Author

Dzanzik
Dec 3, 2024
Author

Dzanzik Dec 3, 2024
Author

Dzanzik Dec 16, 2024
Author