Вопрос с zapret

[winmaoz]

Подскажите, использую такой конфиг (ниже) на OpenWrt 24.10.0 [250214], ютюб инста работает, но при попытке использовать различные другие средства обхода из 3х букв аля КВН, не подключется.
В частности интересует ПЛОТОН (заменить Л на Р) КВН (заменить на др 3 буквы обхода), и он уже не может ничего сделать, говорит "у меня лапки" а очень хотелось бы чтобыв работало это.

Пробовал перебирать др конфиги все тщетно.

--filter-tcp=80 ˂HOSTLIST˃
--dpi-desync=fake,fakedsplit
--dpi-desync-autottl=2
--dpi-desync-fooling=badsum

--new
--filter-tcp=443
--hostlist=/opt/zapret/ipset/zapret-hosts-google.txt
--dpi-desync=fake,multidisorder
--dpi-desync-split-pos=1,midsld
--dpi-desync-repeats=11
--dpi-desync-fooling=badsum

--new
--filter-udp=443
--hostlist=/opt/zapret/ipset/zapret-hosts-google.txt
--dpi-desync=fake
--dpi-desync-repeats=11
--dpi-desync-fake-quic=/opt/zapret/files/fake/quic_initial_www_google_com.bin

--new
--filter-udp=443 ˂HOSTLIST_NOAUTO˃
--dpi-desync=fake
--dpi-desync-repeats=11

--new
--filter-tcp=443 ˂HOSTLIST˃
--dpi-desync=multidisorder
--dpi-desync-split-pos=1,sniext+1,host+1,midsld-2,midsld,midsld+2,endhost-1

и если это невозможно то может подскажите способ пустить весь трафик с "подмесом" чтобы все работало.
Ну или еще какой вариант чтобы можно было на телеке смотреть ТыТруба и КВН пользоваться
zapret-hosts-google.txt

googlevideo.com
youtubei.googleapis.com
ytimg.com
yt3.ggpht.com
yt4.ggpht.com
youtube.com
youtubeembeddedplayer.googleapis.com
ytimg.l.google.com
jnn-pa.googleapis.com
youtube-nocookie.com
youtube-ui.l.google.com
yt-video-upload.l.google.com
wide-youtube.l.google.com

/opt/zapret/ipset/zapret-hosts-user-exclude.txt

10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
169.254.0.0/16
fc00::/7
fe80::/10

/opt/zapret/ipset/zapret-ip-exclude.txt

10.0.0.0/8
169.254.0.0/16
172.16.0.0/12
192.168.0.0/16

/opt/zapret/ipset/zapret-hosts-user.txt
пустой

[winmaoz]

/opt/zapret/config

# this file is included from init scripts
# change values here

# can help in case /tmp has not enough space
#TMPDIR=/opt/zapret/tmp

# redefine user for zapret daemons. required on Keenetic
WS_USER="daemon"

# override firewall type : iptables,nftables,ipfw
FWTYPE=nftables

# nftables only : set this to 0 to use pre-nat mode. default is post-nat.
# pre-nat mode disables some bypass techniques for forwarded traffic but allows to see client IP addresses in debug log
POSTNAT=1

# options for ipsets
# maximum number of elements in sets. also used for nft sets
SET_MAXELEM=522288

# too low hashsize can cause memory allocation errors on low RAM systems , even if RAM is enough
# too large hashsize will waste lots of RAM
IPSET_OPT="hashsize 262144 maxelem $SET_MAXELEM"

# dynamically generate additional ip. $1 = ipset/nfset/table name
#IPSET_HOOK="/etc/zapret.ipset.hook"

# options for ip2net. "-4" or "-6" auto added by ipset create script
IP2NET_OPT4="--prefix-length=22-30 --v4-threshold=3/4"
IP2NET_OPT6="--prefix-length=56-64 --v6-threshold=5"

# options for auto hostlist
AUTOHOSTLIST_RETRANS_THRESHOLD=3
AUTOHOSTLIST_FAIL_THRESHOLD=3
AUTOHOSTLIST_FAIL_TIME=60
# 1 = debug autohostlist positives to ipset/zapret-hosts-auto-debug.log
AUTOHOSTLIST_DEBUGLOG=0

# number of parallel threads for domain list resolves
MDIG_THREADS=30

# ipset/*.sh can compress large lists
GZIP_LISTS=0

# command to reload ip/host lists after update
# comment or leave empty for auto backend selection : ipset or ipfw if present
# on BSD systems with PF no auto reloading happens. you must provide your own command
# set to "-" to disable reload
#LISTS_RELOAD="pfctl -f /etc/pf.conf"

# none,ipset,hostlist,autohostlist
MODE_FILTER=autohostlist

# mark bit used by nfqws to prevent loop
DESYNC_MARK=0x40000000
DESYNC_MARK_POSTNAT=0x20000000


TPWS_SOCKS_ENABLE=0
# tpws socks listens on this port on localhost and LAN interfaces
TPPORT_SOCKS=987
# use <HOSTLIST> and <HOSTLIST_NOAUTO> placeholders to engage standard hostlists and autohostlist in ipset dir
# hostlist markers are replaced to empty string if MODE_FILTER does not satisfy
# <HOSTLIST_NOAUTO> appends ipset/zapret-hosts-auto.txt as normal list
TPWS_SOCKS_OPT="--filter-tcp=80 --methodeol <HOSTLIST> --new --filter-tcp=443 --split-tls=sni --disorder <HOSTLIST>"

TPWS_ENABLE=0
TPWS_PORTS="80,443"
# use <HOSTLIST> and <HOSTLIST_NOAUTO> placeholders to engage standard hostlists and autohostlist in ipset dir
# hostlist markers are replaced to empty string if MODE_FILTER does not satisfy
# <HOSTLIST_NOAUTO> appends ipset/zapret-hosts-auto.txt as normal list
TPWS_OPT="--filter-tcp=80 --methodeol <HOSTLIST> --new --filter-tcp=443 --split-tls=sni --disorder <HOSTLIST>"


NFQWS_ENABLE=1

# redirect outgoing traffic with connbytes limiter applied in both directions.
NFQWS_PORTS_TCP="80,443"
NFQWS_PORTS_UDP="443,50000-50099"

# PKT_OUT means connbytes dir original
# PKT_IN means connbytes dir reply
# this is --dpi-desync-cutoff=nX kernel mode implementation for linux. it saves a lot of CPU.
NFQWS_TCP_PKT_OUT="9"
NFQWS_TCP_PKT_IN="3"
NFQWS_UDP_PKT_OUT="9"
NFQWS_UDP_PKT_IN="0"

# redirect outgoing traffic without connbytes limiter and incoming with connbytes limiter
# normally it's needed only for stateless DPI that matches every packet in a single TCP session
# typical example are plain HTTP keep alives
# this mode can be very CPU consuming. enable with care !
NFQWS_PORTS_TCP_KEEPALIVE=0
NFQWS_PORTS_UDP_KEEPALIVE=0

# use <HOSTLIST> and <HOSTLIST_NOAUTO> placeholders to engage standard hostlists and autohostlist in ipset dir
# hostlist markers are replaced to empty string if MODE_FILTER does not satisfy
# <HOSTLIST_NOAUTO> appends ipset/zapret-hosts-auto.txt as normal list
NFQWS_OPT="--filter-tcp=80 <HOSTLIST> --dpi-desync=fake,fakedsplit --dpi-desync-autottl=2 --dpi-desync-fooling=badsum --new --filter-tcp=443 --hostlist=/opt/zapret/ipset/zapret-hosts-google.txt --dpi-desync=fake,multidisorder --dpi-desync-split-pos=1,midsld --dpi-desync-repeats=11 --dpi-desync-fooling=badsum --new --filter-udp=443 --hostlist=/opt/zapret/ipset/zapret-hosts-google.txt --dpi-desync=fake --dpi-desync-repeats=11 --dpi-desync-fake-quic=/opt/zapret/files/fake/quic_initial_www_google_com.bin --new --filter-udp=443 <HOSTLIST_NOAUTO> --dpi-desync=fake --dpi-desync-repeats=11 --new --filter-tcp=443 <HOSTLIST> --dpi-desync=multidisorder --dpi-desync-split-pos=1,sniext+1,host+1,midsld-2,midsld,midsld+2,endhost-1"


DISABLE_CUSTOM=0

# FlowOffload mode : donttouch,none,software,hardware
FLOWOFFLOAD=software

# openwrt: specify networks to be treated as LAN. default is "lan"
#OPENWRT_LAN="lan lan2 lan3"

# openwrt: specify networks to be treated as WAN. default wans are interfaces with default route
#OPENWRT_WAN4="wan vpn"
#OPENWRT_WAN6="wan6 vpn6"

# for routers based on desktop linux and macos. has no effect in openwrt.
# CHOOSE LAN and optinally WAN/WAN6 NETWORK INTERFACES
# or leave them commented if its not router
# it's possible to specify multiple interfaces like this : IFACE_LAN="eth0 eth1 eth2"
# if IFACE_WAN6 is not defined it take the value of IFACE_WAN
#IFACE_LAN=eth0
#IFACE_WAN=eth1
#IFACE_WAN6="ipsec0 wireguard0 he_net"

# should start/stop command of init scripts apply firewall rules ?
# not applicable to openwrt with firewall3+iptables
INIT_APPLY_FW=1

# firewall apply hooks
#INIT_FW_PRE_UP_HOOK="/etc/firewall.zapret.hook.pre_up"
#INIT_FW_POST_UP_HOOK="/etc/firewall.zapret.hook.post_up"
#INIT_FW_PRE_DOWN_HOOK="/etc/firewall.zapret.hook.pre_down"
#INIT_FW_POST_DOWN_HOOK="/etc/firewall.zapret.hook.post_down"

# do not work with ipv4
DISABLE_IPV4=0

# do not work with ipv6
DISABLE_IPV6=1

# select which init script will be used to get ip or host list
# possible values : get_user.sh get_antizapret.sh get_combined.sh get_reestr.sh get_hostlist.sh
# comment if not required
#GETLIST=get_antizapret_domains.sh


DAEMON_LOG_ENABLE=1

DAEMON_LOG_FILE="/tmp/zapret+<DAEMON_NAME>+<DAEMON_IDNUM>+<DAEMON_CFGNAME>.log"

[agbtar]

нуда люди растут!

--new
--filter-tcp=443
--hostlist=/opt/zapret/ipset/zapret-hosts-google.txt
--dpi-desync=fake,multidisorder
--dpi-desync-split-pos=1,midsld
--dpi-desync-repeats=11
--dpi-desync-fooling=badsum

а если ещё --hostlist=/opt/zapret/ipset/zapret-hosts-google.txt убрать - практически рассвет разума.

можно конечно задать вопрос: "а на какой адрес вы швыряете фейк и фейк чего ?.." но не все сразу.

[winmaoz]

я честно взял конфиг из интернета.
Я думал логика какая.. Я указываю "протокол порт" и говорю "подмешай левак" для этого..
А частности если я добавил hostlist то конкретно для этих адресатов..

и пробовал убрать hostlist и думал тогда подмес будет везде, но видимо я ошибаюсь.. и это не помогло.

Но теперь пытаюсь переварить ваши слова.. и не пойму.. толи меня послали.. толи совет как починить дали..

[agbtar]

ну вы способны настраивать что-то не понимая сути вопроса. в этом между нами принципиальная разница.
ну скопипастите:

--filter-tcp=80,443 --dpi-desync=syndata,multisplit --dpi-desync-split-seqovl=678
--dpi-desync-split-seqovl-pattern=/zapret_fake/rnd1.bin
--dpi-desync-fake-syndata=/zapret_fake/rnd2.bin
--dpi-desync-split-pos=2,host+5,sld-1,midsld,endsld,sniext

я специально паттерны подлиннее набил - для лучшего товарного вида :)))

позиции разреза маскируют SNI googlevideocom порежем так google|video| .com seqovl засыпает мусром точки разреза. чем больше секвол тем лучше но ограничения MTU. seqovl ломает видовые сайты, но таких сайтов практически нет.

впринципе вы даже можите оставить --dpi-desync=fake,multidisorder поменяйте только точки разреза: --dpi-desync-split-pos=2,host+5,sld-1,midsld,endsld,sniext

[winmaoz]

Спасибо за конфигурацию, но увы не помогло

--filter-tcp=80,443
--dpi-desync=syndata,multisplit
--dpi-desync-split-seqovl=678
--dpi-desync-split-seqovl-pattern=0xbf2ea12d438ad8e1efda424e77a185123afa66e4d134e27e00102345e3156de4da84e27e8010c34512abcd04e1a68c5f13e46b1e04e2fa
--dpi-desync-fake-syndata=0xaf4ef123438ad7e1afda424e77a185123afa66e4d184e27e00102345e31b6de4da84e27e8010c34572abcd04e1a68c5f12e45b1e43d2f8
--dpi-desync-split-pos=2,host+5,sld-1,midsld,endsld,sniext

попробовал данную конфигурацию, ютюб пашет, инетрнет есть ,
но "платон квн" так и не хочет в приложении проходить авторизацию
или на др устройстве ранее была авторизованная сессия не подключается к серверам..

[agbtar]

отлично. дело в том --filter-tcp=80,443 - означает протоколы и порты это старомодный веб. ваше приложение просто не попадает под действие правил. поэтому в конфигурации есть еще например --filter-udp=443 - это новомодный quic.
старайтесь не определять второй раз фильтер если только вы это не делаете специально.

вам нужно выяснить порты и протоколы которые использует ваше приложение. и определить для этих портов правила. есть некоторые сложности: multisplit - расчитан только на tcp

а въехал ;))) "платон квн" - это что отечечственное? оно на винде скорей всего. вам нужно просто наоборот набить файл с исключением или попробуйте убрать --dpi-desync-split-seqovl=678 совсем. пока у многих прокатывает.

[winmaoz]

Да нет, просто в свете последних событий, боюсь лишний раз упоминать для конспирации ПлатонКВН тк сочтут за "распространение информации"
необходимо пользоваться "КВН" для того чтобы переключаться разными странами и по сайтам ходить.
Вот и ищется "способ" чтобы "работало"..
Ранее был какой-то конфиг, который очень долго работал, но видимо настройки у РКН поменялись и все перестало, я пробовал разные конфиги применить не пошло дело..
попробовал "сам вникнуть", но сильно не мой профиль, понял что я "делаю одно и тоже" и это не приносит резльтата. Поискал подобное но не нашел, решитл спросить, тк я 2-3 дня пробовал пробовал но результата для "КВН" это не дало

[agbtar]

ну вы все тайны раскрыли. уберите немедлено :))) на ссылку пишет нот фаунд нужно выяснить что использует в качестве транспорта этот платон. это ваягвард скорей всего... надо лезть читать про него. мне проверять сложно. фря то конечно ваягвард умеет но надо искать сервер. вы лучше конспирацию уберите, а старый конфиг покажите - попробуем что-то придумать.

написано Proton VPN utilizes OpenVPN IKEv2 and WireGuard без тисипидампа ловить походу нечего.

да можно посмотреть старый конфиг, но очень много неизвестных.

написано для вая гвард 51820 UDP по дифолту, но он конфигурируется. начинаться должно видимо с --filter-udp=51820 может ещё диапазон портов. есть --filter-udp=51820 в старом конфиге? покажите может допилем.

P.S.
кажется разобрался с вашим платоном. что-то точно заблокировано по IP - запрет не поможет. попробуйте конечно написано в слепую, вряд ли будет работать:

--filter-udp=51820
--dpi-desync-any-protocol=1
--dpi-desync=ipfrag1,udplen
--dpi-desync-ipfrag-pos-udp=8
--dpi-desync-udplen-increment=35 
--dpi-desync-udplen-pattern=/zapret_fake/rnd1.bin

насыпьте ему туда ещё портов которые могут теоретически использоваться.