Настройка QUIC в новой конфигурации

[alexgoryushkin]

Мой друг поделился со мной настройками для QUIC, но я не смог применить их с новой версией конфига

QUIC_PORTS=50000-65535
NFQWS_OPT_DESYNC_QUIC="--dpi-desync=fake --dpi-desync-repeats=6 --dpi-desync-any-protocol"

Я попробовал вот так

--filter-tcp=80 --dpi-desync=fake,split2 --dpi-desync-fooling=md5sig,badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin <HOSTLIST> --new
--filter-tcp=443 --dpi-desync=fake,split2 --dpi-desync-fooling=md5sig,badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin <HOSTLIST> --new
--filter-udp=443 --dpi-desync=fake,split2 --dpi-desync-fooling=md5sig,badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin <HOSTLIST> --new
--filter-l7=quic --dpi-desync=fake --dpi-desync-repeats=6 --dpi-desync-any-protocol <HOSTLIST>

Получил такой вывод

Clearing nftables
Starting daemon 3: /opt/zapret/nfq/nfqws --qnum=200
--filter-tcp=80 --dpi-desync=fake,split2 --dpi-desync-fooling=md5sig,badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin --hostlist=/opt/zapret/ipset/zapret-hosts-user.txt --hostlist-exclude=/opt/zapret/ipset/zapret-hosts-user-exclude.txt --new
--filter-tcp=443 --dpi-desync=fake,split2 --dpi-desync-fooling=md5sig,badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin --hostlist=/opt/zapret/ipset/zapret-hosts-user.txt --hostlist-exclude=/opt/zapret/ipset/zapret-hosts-user-exclude.txt --new
--filter-udp=443 --dpi-desync=fake,split2 --dpi-desync-fooling=md5sig,badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin --hostlist=/opt/zapret/ipset/zapret-hosts-user.txt --hostlist-exclude=/opt/zapret/ipset/zapret-hosts-user-exclude.txt --new
--filter-l7=quic --dpi-desync=fake --dpi-desync-repeats=6 --dpi-desync-any-protocol --hostlist=/opt/zapret/ipset/zapret-hosts-user.txt --hostlist-exclude=/opt/zapret/ipset/zapret-hosts-user-exclude.txt
Applying nftables
Creating ip list table (firewall type nftables)
setting high oom kill priority
reloading nftables set backend (no-update)
Inserting nftables ipv4 rule for nfqws postrouting (qnum 200) : tcp dport {80,443} ct original packets 1-9
Inserting nftables ipv4 rule for nfqws prerouting (qnum 200) : tcp sport {80,443} ct reply packets 1-3
Inserting nftables ipv4 rule for nfqws postrouting (qnum 200) : udp dport {443} ct original packets 1-9

Что я сделал не так?

[numbereleven-a]

если вам для войса дискорда, то есть готовый скрипт 50-discord, перекиньте его в папку custom.d

[andmt1]

на QUIC --dpi-desync-repeats=6 на "6" не работает. От 11 до 20 пробуйте

[bol-van]

Стратегия достаточно кривая, явно написана без понимания дела на основе испорченной копипасты.

Для quic desync-any-protocol не нужен.
filter-l7 лучше вообще не применять. Он предназначен для случаев, когда невозможно задать жесткий фильтр по портам. Для веб сайтов его задать можно.
Как написали выше, для дискорда есть отдельный кастом, который надо лишь перекинуть в custom.d. И не мучать верхние порты.
Для udp split бесполезен. Мало того, он будет забирать на себя весь udp 443, так что для quic дело даже не дойдет.
2 одинаковых стратегии для 80 и 443 легко обьединить через --filter-tcp=80-443
Без настройки новой системы перехвата 50000-65536 все равно бы не сработали

Разберитесь как это работает, иначе результат будет плохой

[Aspirata]

если вам для войса дискорда, то есть готовый скрипт 50-discord, перекиньте его в папку custom.d

А где этот скрипт и как поставить custom mode в новых версиях ?

[numbereleven-a]

в

если вам для войса дискорда, то есть готовый скрипт 50-discord, перекиньте его в папку custom.d

А где этот скрипт и как поставить custom mode в новых версиях ?

в custom.d.examples, мода больше нет, запрет сам понимает если в папке лежит скрипт

[Aspirata]

Спасибо, теперь всё работает !

P.S Под "всё" я подразумеваю discord, войсы discord и ютуб

[NewUse]

2 одинаковых стратегии для 80 и 443 легко обьединить через --filter-tcp=80-443

@bol-van

кажется сюда попадут не только 80 и 443 , но и порты с 81 по 442, кажется , для таких случаев нужно предусмотреть синтаксис, типа:
--filter-tcp=80,443

[bol-van]

В следующем релизе будет.
Там надо динамический список делать, в свое время поленился.
Но обычно между 80 и 443 ничего не перехватывается

[alexgoryushkin]

Спасибо, всё получилось настроить

Оставил в конфиге только одну строчку
--filter-tcp=80-443 --dpi-desync=fake,split2 --dpi-desync-fooling=md5sig,badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin <HOSTLIST>
И воспользовался custom скриптом 50-discord
cp /opt/zapret/init.d/openwrt/custom.d.examples/50-discord /opt/zapret/init.d/openwrt/custom.d

[bol-van]

Превосходно. Это так и должно работать.

[Afreetx]

раньше у меня было 2 строчки (на кинетике)

NFQWS_OPT_DESYNC="--dpi-desync=fake,split2 --dpi-desync-fooling=badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin"
NFQWS_OPT_DESYNC_QUIC="--dpi-desync=fake --dpi-desync-cutoff=d4 --dpi-desync-repeats=6 --dpi-desync-any-protocol" 

Ну и кастомный скрипт на дискорд, разумеется.
Всё работало отлично, за исключением того, что чтобы зайти в войс или начать демонстрацию экрана там, каждый раз перед этим приходилось перезапустить zapret (хуки и всё прочее не помогало, не знаю)

Полностью обновил сегодня zapret.
Сейчас много всяких вариантов перепробовал методом научного тыка в попытках сделать так как было, но разницы нет, вроде. Остановился на

--filter-tcp=80-443 --dpi-desync=fake,split2 --dpi-desync-fooling=badseq --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin <HOSTLIST>

Страницы грузятся, сайты запускаются, дискорд запускается. Но видео на одном сайте и, я отключил ipv6 чтобы проверить, на ютуб грузятся нормально только один раз из десятка перезогрузок страницы. Войс в дискорде вообще никак не хочет.

[HentayHentay]

Но видео на одном сайте и, я отключил ipv6 чтобы проверить, на ютуб грузятся нормально только один раз из десятка перезогрузок страницы

Для работы видео на ютубе нужно:
--filter-udp=443
--filter-tcp=80-443 --dpi-desync-any-protocol
Наглухо заблокированный 443 UDP
Отключить QUIC в браузере

PS Выбираем один из предложенных выше вариантов
PS2 Так-же в файл <HOSTLIST> внести адресa cайтов, которые ютуб использует
PS3 В предложенном вами варианте протокол QUIC не трогается , что ломает ютуб на видео

Войс в дискорде вообще никак не хочет.

Внести в файл, что скрывает переменная <HOSTLIST> адреса сайтов дискорда. В 50-discord лишь заданы пределы сети , но не адреса сайтов

[bol-van]

--filter-tcp=80-443 --dpi-desync-any-protocol

не надо давать дурные советы.