Я доделал свой конфиг большое спасибо bol-van и net1vano за помощь и пояснения в чем я не прав

[larion928]

Я доделал свой конфиг для zapret2 (если у вы в мск а в особенности ваш оператор ростелеком то используйте мой конфиг скорее всего помжет

# this file is included from init scripts
# change values here

# can help in case /tmp has not enough space
#TMPDIR=/opt/zapret2/tmp

# redefine user for zapret daemons. required on Keenetic
#WS_USER=nobody

# override firewall type : iptables,nftables,ipfw
FWTYPE=nftables
# nftables only : set this to 0 to use pre-nat mode. default is post-nat.
# pre-nat mode disables some bypass techniques for forwarded traffic but allows to see client IP addresses in debug log
#POSTNAT=0

# options for ipsets
# maximum number of elements in sets. also used for nft sets
SET_MAXELEM=522288
# too low hashsize can cause memory allocation errors on low RAM systems , even if RAM is enough
# too large hashsize will waste lots of RAM
IPSET_OPT="hashsize 262144 maxelem $SET_MAXELEM"
# dynamically generate additional ip. $1 = ipset/nfset/table name
#IPSET_HOOK="/etc/zapret2.ipset.hook"

# options for ip2net. "-4" or "-6" auto added by ipset create script
IP2NET_OPT4="--prefix-length=22-30 --v4-threshold=3/4"
IP2NET_OPT6="--prefix-length=56-64 --v6-threshold=5"
# options for auto hostlist
# NOTE : in order for these adjustment to work it's required to redirect enough starting packets
# NOTE : set PKT_IN, PKT_OUT variables appropriately
AUTOHOSTLIST_INCOMING_MAXSEQ=4096
AUTOHOSTLIST_RETRANS_MAXSEQ=32768
AUTOHOSTLIST_RETRANS_RESET=1
AUTOHOSTLIST_RETRANS_THRESHOLD=2
AUTOHOSTLIST_FAIL_THRESHOLD=2
AUTOHOSTLIST_FAIL_TIME=60
AUTOHOSTLIST_UDP_IN=1
AUTOHOSTLIST_UDP_OUT=4
# 1 = debug autohostlist positives to ipset/zapret-hosts-auto-debug.log
AUTOHOSTLIST_DEBUGLOG=1

# number of parallel threads for domain list resolves
MDIG_THREADS=30
# EAI_AGAIN retries
MDIG_EAGAIN=10
# delay between EAI_AGAIN retries (ms)
MDIG_EAGAIN_DELAY=500

# ipset/*.sh can compress large lists
GZIP_LISTS=1
# command to reload ip/host lists after update
# comment or leave empty for auto backend selection : ipset or ipfw if present
# on BSD systems with PF no auto reloading happens. you must provide your own command
# set to "-" to disable reload
#LISTS_RELOAD="pfctl -f /etc/pf.conf"

# mark bit used by nfqws to prevent loop
DESYNC_MARK=0x40000000
DESYNC_MARK_POSTNAT=0x20000000

# do not pass outgoing traffic to nfqws not marked with this bit
# this setting allows to write your own rules to limit traffic that should be fooled
# for example based on source IP or incoming interface name
# no filter if not defined
#FILTER_MARK=0x10000000


NFQWS2_ENABLE=1
# redirect outgoing traffic with connbytes limiter applied in both directions.
NFQWS2_PORTS_TCP=80,443,2053,2083,2087,2096,8443
NFQWS2_PORTS_UDP=443,19294-19344,50000-65535
# PKT_OUT means connbytes dir original
# PKT_IN means connbytes dir reply
NFQWS2_TCP_PKT_OUT=9
NFQWS2_TCP_PKT_IN=3
NFQWS2_UDP_PKT_OUT=9
NFQWS2_UDP_PKT_IN=0
# redirect outgoing traffic without connbytes limiter and incoming with connbytes limiter
# normally it's needed only for stateless DPI that matches every packet in a single TCP session
# typical example are plain HTTP keep alives
# this mode can be very CPU consuming. enable with care !
#NFQWS2_PORTS_TCP_KEEPALIVE=
#NFQWS2_PORTS_UDP_KEEPALIVE=
# use <HOSTLIST> and <HOSTLIST_NOAUTO> placeholders to engage standard hostlists and autohostlist in ipset dir
# hostlist markers are replaced to empty string if MODE_FILTER does not satisfy
# <HOSTLIST_NOAUTO> appends ipset/zapret-hosts-auto.txt as normal list
NFQWS2_OPT="
--blob=quic_google:@/opt/zapret2/files/fake/quic_initial_www_google_com.bin

--filter-tcp=443 --filter-l7=tls 
--in-range=-s4096
--out-range=-d10
--payload=tls_client_hello
--lua-desync=circular:fails=2:maxtime=30:retrans=2:maxseq=16384:reset
--lua-desync=wssize:wsize=1:scale=6 --lua-desync=multidisorder:pos=1,midsld:strategy=1
--lua-desync=wssize:wsize=1:scale=6 --lua-desync=multidisorder:pos=1,sniext+1,host+1,midsld-2,midsld,midsld+2,endhost-1:strategy=2
--lua-desync=wssize:wsize=1:scale=6 --lua-desync=multisplit:pos=10:seqovl=1:strategy=3
--new

--filter-udp=443 --filter-l7=quic 
--out-range=-d10
--in-range=-d10
--payload=quic_initial
--lua-desync=circular:fails=2:maxtime=30:udp_out=4:udp_in=1
--lua-desync=fake:blob=quic_google:repeats=5:strategy=1
--lua-desync=fake:blob=fake_default_quic:repeats=5:strategy=2
--new

--filter-udp=50000-65535 --filter-l7=stun,discord 
--out-range=-d10
--payload=stun,discord_ip_discovery
--lua-desync=fake:blob=0x00000000000000000000000000000000:repeats=2
--new

--filter-tcp=80 --filter-l7=http
--out-range=-d10
--in-range=-d1
--payload=http_req
--lua-desync=fake:blob=fake_default_http:ip_autottl=-1,3-20:tcp_md5
--lua-desync=fakedsplit:ip_autottl=-1,3-20:tcp_md5
"

# none,ipset,hostlist,autohostlist
MODE_FILTER=none

# donttouch,none,software,hardware
FLOWOFFLOAD=hardware

# openwrt: specify networks to be treated as LAN. default is "lan"
#OPENWRT_LAN="lan lan2 lan3"
# openwrt: specify networks to be treated as WAN. default wans are interfaces with default route
#OPENWRT_WAN4="wan vpn"
#OPENWRT_WAN6="wan6 vpn6"

# for routers based on classic linux. has no effect in openwrt.
# CHOOSE LAN and optinally WAN/WAN6 NETWORK INTERFACES
# or leave them commented if its not router
# it's possible to specify multiple interfaces like this : IFACE_WAN="eth0 eth1 eth2"
# if IFACE_WAN6 is not defined it take the value of IFACE_WAN
IFACE_LAN=wlan0
IFACE_WAN=wlan0
#IFACE_WAN6="ipsec0 wireguard0 he_net"

# should start/stop command of init scripts apply firewall rules ?
# not applicable to openwrt with firewall3+iptables
INIT_APPLY_FW=1
# firewall apply hooks
#INIT_FW_PRE_UP_HOOK="/etc/firewall.zapret2.hook.pre_up"
#INIT_FW_POST_UP_HOOK="/etc/firewall.zapret2.hook.post_up"
#INIT_FW_PRE_DOWN_HOOK="/etc/firewall.zapret2.hook.pre_down"
#INIT_FW_POST_DOWN_HOOK="/etc/firewall.zapret2.hook.post_down"

# do not work with ipv4
#DISABLE_IPV4=1
# do not work with ipv6
DISABLE_IPV6=1

# drop icmp time exceeded messages for nfqws tampered connections
# in POSTNAT mode this can interfere with default mtr/traceroute in tcp or udp mode. use source port not redirected to nfqws
# set to 0 if you are not expecting connection breakage due to icmp in response to TCP SYN or UDP
FILTER_TTL_EXPIRED_ICMP=1

# select which init script will be used to get ip or host list
# possible values : get_user.sh get_antizapret.sh get_combined.sh get_reestr.sh get_hostlist.sh
# comment if not required
GETLIST=

[kry3]

А не могли бы еще папку list прикрепить, которую используете?
Потому что у меня странно, через WiFi все работает, а через браузер на компе работает не все

[larion928]

тут моя ошибка с hostlist ( я уже исправил скорее всего у вас все заработает с новым вариантом !

[larion928]

если у вас все еще не работает измените интерфейс

[I-am-all]

Я доделал свой конфиг для zapret2 (если у вы в мск а в особенности ваш оператор ростелеком то используйте мой конфиг скорее всего помжет

TLS 1.2 (Samsung) данная стратегия не работает

а в мск работает и та полегче что я давал внизу - более быстрое соединение и меньше нагрузка на проц

[bol-van]

Не будет работать хостлист с WSSIZE говорено сотни раз

[larion928]

Да я обновил конфиг но совсем забыл про эту дисскусию сейчас залью обновленный вариант исправляется просто тем что переводится с hostlist на ipset или none проще none но нагружает CPU

[djmagin]

Не будет работать хостлист с WSSIZE говорено сотни раз
Подскажите пожалуйста как сделать чтобы работало с хостлистом, автохост листом, дело в том что в режиме none zapret2 ломает некоторые сайты, например на алиэкспресс не грузятся картинки в карточках товаров пока запущен запрет 2. 1 запрет у меня замечательно работал с автохостлист, но ютуб работал на телефоне только через браузер. С конфигом выше все отлично работает, (кроме дискорда, да он мне и не особо нужен) но ломает некоторые сайты.

[larion928]

я попытаюсь что то придумать

[djmagin]

Дискорд с трудом и только через браузер, все остальное отлично. Ростелеком дальний восток. Использую iptables orangepi zero3 как шлюз

[larion928]

раньше с дс было лучше гайки закручивают сейчас пишу конфиг заново + правила iptables надо переписывать отдельно что бы открыть порты которые указанны в конфиге для работы

[larion928]

через два дня думаю допишу конфиг для лучшей работы с дс

[larion928]

я умаю что нашел в чем проблема скоро напишу

[I-am-all]

я умаю что нашел в чем проблема скоро напишу

и tls 1.2 😉
ИИ не потянул

[tappajaksi]

Пробовал разные конфиги, но по итогу не работает нормально Discord, пинг каждую минут в 5к уходит

[I-am-all]

москва домашний мегафон и вот так работает yt
ИИ создал с заданием от простого к сложному, чтобы не грузить openwrt роутер

--filter-tcp=443 --filter-l7=tls 
<HOSTLIST>
--out-range=-d10
--payload=tls_client_hello
--lua-desync=circular:fails=2:maxtime=30:retrans=2:maxseq=16384:reset
--lua-desync=wssize:wsize=1:scale=6 --lua-desync=multidisorder:pos=1,midsld:strategy=1
--lua-desync=wssize:wsize=1:scale=6 --lua-desync=multisplit:pos=10:seqovl=1:strategy=2
--lua-desync=wssize:wsize=1:scale=6 --lua-desync=multidisorder:pos=1,sniext+1,host+1,midsld-2,midsld,midsld+2,endhost-1:strategy=3
--new


--filter-udp=443 --filter-l7=quic 
<HOSTLIST>
--out-range=-d10
--payload=quic_initial
--lua-desync=circular:fails=1:maxtime=60
--lua-desync=udplen:increment=2:strategy=1
--lua-desync=fake:blob=fake_default_quic:repeats=2:strategy=2
--new

[larion928]

здесь попробцю взять quick но вот tls здесь такой же какой у меня :))

[a14inant]

Почему на телеке не хочет работать? На компе грузится ютуб.

[djmagin]

Рассказываю. Дискорд совсем не работает, да он мне не особо и нужен, запретграм постоянно зависает, ютуб работает сносно, но самая большая проблема тупят обычные сайты прям вот тыкаю сайт на компе в браузере в хроме (версия последняя) он его крутит крутит потом говорит мол нет интернета и через 2-5 секунд сайт открывается, (если службу запрет2 остановить все летает) на алике не грузятся фотки в карточках товара. С первым запретом все работало отлично единственная проблема была что на андройд ютуб именно через приложение не смотрится. Сделал вот так и все здорово зашевелилось. Посмотрим как покажет себя во времени, может кому подойдет. Дискорд хотелось бы чтобы тоже работал, но не критично, раз в месяц если открою и то хорошо, а пока убрал все с ним связанное. Если есть идеи как завести дискорд, или что то я сделал не правильно, буду рад услышать советы.

NFQWS2_OPT="
--blob=quic_google:@/opt/zapret2/files/fake/quic_initial_www_google_com.bin

--filter-tcp=443 --filter-l7=tls <HOSTLIST> 
--payload=tls_client_hello 
--lua-desync=multidisorder:pos=1,midsld 
--new

--filter-udp=443 --filter-l7=quic 
--out-range=-d10
--in-range=-d10
--payload=quic_initial
--lua-desync=circular:fails=2:maxtime=30:udp_out=4:udp_in=1
--lua-desync=fake:blob=quic_google:repeats=5:strategy=1
--lua-desync=fake:blob=fake_default_quic:repeats=5:strategy=2
--new

#--filter-udp=50000-65535 --filter-l7=stun,discord 
#--out-range=-d10
#--payload=stun,discord_ip_discovery
#--lua-desync=fake:blob=0x00000000000000000000000000000000:repeats=2
#--new

--filter-tcp=80 --filter-l7=http
--out-range=-d10
--in-range=-d1
--payload=http_req
--lua-desync=fake:blob=fake_default_http:ip_autottl=-1,3-20:tcp_md5
--lua-desync=fakedsplit:ip_autottl=-1,3-20:tcp_md5
"

# none,ipset,hostlist,autohostlist
MODE_FILTER=hostlist

# donttouch,none,software,hardware
FLOWOFFLOAD=donttouch

[I-am-all]

Рассказываю.

методом тыка хочется заставить работать?
так не получится

[djmagin]

методом тыка хочется заставить работать? так не получится
Понимаю, вот и прошу подсказки. И кстати снова сайты "застревают" как я описал выше. Наверное это из-за особенностей orangepi.

[I-am-all]

у меня работает настройка из самого первого сообщения
вот вбил ее и забыл

[djmagin]

у меня работает настройка из самого первого сообщения вот вбил ее и забыл

У меня тоже, но глючно.