Нужна помощь с кастомным скриптом

[chinese-maintainer]

Хочу запустить экземпляр nfqws со своими параметрами. За основу взял скрипт 50-nfqws-ipset Убрал из него лишнее в виде создания кастом таблицы. На выходе получается следующее:

nft list ruleset
...
        chain postnat {
                oifname @wanif udp dport 443 ct original packets 1-9 ip daddr != @nozapret meta mark set meta mark | 0x20000000 ct mark set ct mark | 0x40000000 queue flags bypass to 65400
                oifname @wanif tcp dport { 80, 443 } ct original packets 1-9 ip daddr != @nozapret meta mark set meta mark | 0x20000000 ct mark set ct mark | 0x40000000 queue flags bypass to 65400
                oifname @wanif udp dport 443 ct original packets 1-9 ip daddr != @nozapret meta mark set meta mark | 0x20000000 ct mark set ct mark | 0x40000000 queue flags bypass to 200
                oifname @wanif tcp dport { 80, 443 } ct original packets 1-9 ip daddr != @nozapret meta mark set meta mark | 0x20000000 ct mark set ct mark | 0x40000000 queue flags bypass to 200
        }

        chain prenat {
                type filter hook prerouting priority dstnat - 1; policy accept;
                iifname @wanif tcp sport { 80, 443 } ct original packets 1-3 ip saddr != @nozapret ct mark set ct mark | 0x40000000 queue flags bypass to 65400
                iifname @wanif tcp sport { 80, 443 } ct reply packets 1-3 ip saddr != @nozapret ct mark set ct mark | 0x40000000 queue flags bypass to 200
        }

В postnat вроде все правильно. А в prenat получается вместо ct reply packets ct original packets Что нужно исправить в этой функции:

zapret_custom_firewall_nft()
{
	local f4 f6 subnets
	local first_packets_only="$nft_connbytes 1-$NFQWS_MY1_PKT_OUT"

	[ -n "$NFQWS_MY1_PORTS_TCP" ] && {
		[ -n "$NFQWS_MY1_TCP_PKT_OUT" -a "$NFQWS_MY1_TCP_PKT_OUT" != 0 ] && {
			f4="tcp dport {$NFQWS_MY1_PORTS_TCP} $(nft_first_packets $NFQWS_MY1_TCP_PKT_OUT)"
			f6="$f4 ip6 daddr @$NFQWS_MY1_NAME6"
			nft_fw_nfqws_post $1 "$f4" "$f6" $QNUM_NFQWS_MY1
		}
		[ -n "$NFQWS_MY1_TCP_PKT_IN" -a "$NFQWS_MY1_TCP_PKT_IN" != 0 ] && {
			f4="tcp sport {$NFQWS_MY1_PORTS_TCP} $(nft_first_packets $NFQWS_MY1_TCP_PKT_IN)"
			f6="$f4 ip6 saddr @$NFQWS_MY1_NAME6"
			nft_fw_nfqws_pre $1 "$f4" "$f6" $QNUM_NFQWS_MY1
		}
	}
...
}

[bol-van]

nft_connbytes - это константа для прямого направления. в ней зашито ровно то, что вызывает вопрос
использовать ее для обратного нельзя

[chinese-maintainer]

Я думал, что это и делал, например:

ct mark | 0x40000004 queue flags bypass to 65400

типа с этим марком должно идти на инстанс 65400

[bol-van]

Там делается какой-то OR, но нет нигде проверки
рекомендую с чатгпт побеседовать

[chinese-maintainer]

Я пожалуй не буду заморачиваться и возьму ваш готовый 50-nfqws-ipset, который уже походу и выдает готовое решение:

chain prenat {
   type filter hook prerouting priority dstnat - 1; policy accept;
   iifname @wanif tcp sport { 80, 443 } ct reply packets 1-3 ip saddr @my01nfqws4 ip saddr != @nozapret ct mark set ct mark | 0x40000000 queue flags bypass to 65400
   iifname @wanif tcp sport { 80, 443 } ct reply packets 1-3 ip saddr != @nozapret ct mark set ct mark | 0x40000000 queue flags bypass to 200
}

и перейду в режим MODE_FILTER=ipset, но тут возникает вопрос: если я создам несколько таблиц nft и запихаю туда много разного то допустим если один и тот же IP будет одновременно в нескольких таблицах какое будет поведение nfqws? В режиме MODE_FILTER=hostlist приоритет обработки был понятен, в порядке как прописаны стратегии в конфиге, а тут как быть, вариант плодить свои chain и задавать приоритеты?

[bol-van]

Скрипты запуска работают только с одной таблицей - zapret или zapret2.
Редирект на очередь может быть только один. Если он сработал, другого не будет. Неважно в какой таблице.
Принципиальны хуки и их приоритеты. Сами таблицы нужны лишь для удобства разделения правил и для хранения сетов. Сеты привязаны к таблице и не могут быть адресованы из другой.
MODE_FILTER=ipset влияет только на основной инстанс. Чтобы он влиял на кастомы, нужно запрограммировать эту логику

[chinese-maintainer]

Я создал 4 своих таблицы. 3 из них кастомными скриптами я заполняю IP/CIDR ASes адресами, 4-я таблица в виде dynamic,timeout для ютуба, которая заполняется резолвом из dnsmasq. В результате я получил 4 инстанса. По логике каждый инстанс должен обрабатывать свою таблицу, по крайней мере это задается в правилах, типа:

ip daddr @my10nfqws4
ip saddr @my10nfqws4

Кроме этого я отказался от большого и по сути уже бесполезного листа antizapret_domains, в результате получил распараллеливание и нативную работу с таблицами ipset - все стало летать, по сравнению с тугим режимом hostlist. В общем спасибо, все что хотел сделал.