[BUG] Домены из секции Exclusion получают FakeIP вместо реального DNS

[Awesomefreeman]

📝 Описание проблемы

Домены из секции Exclusion резолвятся через FakeIP (198.18.x.x) вместо реального DNS, из-за чего трафик к ним идёт через прокси, несмотря на явное исключение.

Причина

В /usr/bin/podkop функция prepare_source_ruleset безусловно вызывает sing_box_cm_patch_dns_route_rule с тегом $SB_FAKEIP_DNS_RULE_TAG для всех доменных ruleset-ов, включая те что принадлежат секциям с типом подключения exclusion (строки ~1020 и ~1138).

В результате домены из Exclusion добавляются в fakeip DNS rule наравне с доменами из main секции. При резолве исключённого домена sing-box возвращает FakeIP адрес, и пакет уходит через прокси.

Шаги для воспроизведения

1. Создать секцию Exclusion с любым доменом
2. Выполнить nslookup <домен> 127.0.0.42
3. В ответе будет адрес из диапазона 198.18.x.x (FakeIP)

✅ Ожидаемое поведение

Домены из секции Exclusion должны получать реальные IP адреса от DNS и маршрутизироваться напрямую, не через прокси.

🖥️ Информация о системе

• Podkop: v0.7.14
• Sing-box: 1.12.4
• OpenWrt: 24.10.1
• Устройство: Xiaomi Redmi Router AX6S

### ⚙️ Конфигурация

```shell

[romanilyin]

Та же проблема.
Podkop: v0.7.14
Sing-box: 1.12.4
OpenWrt: 25.12.2
Устройство: Cudy WR3000P

[romanilyin]

Ошибка как минимум в трех местах:

• configure_community_list_handler() добавляет ruleset в fakeip DNS rule: :1000-1001
• prepare_source_ruleset() делает то же для локальных/user domain ruleset: :1018-1021
• configure_remote_domain_or_subnet_list_handler() делает то же для remote domain ruleset: :1134-1137

Нужен патч в podkop/files/usr/bin/podkop:

• не добавлять domain ruleset в $SB_FAKEIP_DNS_RULE_TAG, если это exclusion, минимум в 3 местах: строки около 1001, 1020, 1136

[romanilyin]

Патч: podkop/files/usr/bin/podkop

diff --git a/podkop/files/usr/bin/podkop b/podkop/files/usr/bin/podkop
index XXXXXXX..YYYYYYY 100755
--- a/podkop/files/usr/bin/podkop
+++ b/podkop/files/usr/bin/podkop
@@ -998,7 +998,9 @@ configure_community_list_handler() {
 
     config=$(sing_box_cm_add_remote_ruleset "$config" "$ruleset_tag" "$format" "$url" "$detour" "$update_interval")
     config=$(sing_box_cm_patch_route_rule "$config" "$route_rule_tag" "rule_set" "$ruleset_tag")
-    config=$(sing_box_cm_patch_dns_route_rule "$config" "$SB_FAKEIP_DNS_RULE_TAG" "rule_set" "$ruleset_tag")
+    if [ "$route_rule_tag" != "$SB_EXCLUSION_RULE_TAG" ]; then
+        config=$(sing_box_cm_patch_dns_route_rule "$config" "$SB_FAKEIP_DNS_RULE_TAG" "rule_set" "$ruleset_tag")
+    fi
 }
 
 prepare_source_ruleset() {
@@ -1017,7 +1019,9 @@ prepare_source_ruleset() {
         config=$(sing_box_cm_patch_route_rule "$config" "$route_rule_tag" "rule_set" "$ruleset_tag")
         case "$type" in
         domains)
-            config=$(sing_box_cm_patch_dns_route_rule "$config" "$SB_FAKEIP_DNS_RULE_TAG" "rule_set" "$ruleset_tag")
+            if [ "$route_rule_tag" != "$SB_EXCLUSION_RULE_TAG" ]; then
+                config=$(sing_box_cm_patch_dns_route_rule "$config" "$SB_FAKEIP_DNS_RULE_TAG" "rule_set" "$ruleset_tag")
+            fi
             ;;
         subnets) ;;
         *)
@@ -1133,7 +1137,9 @@ configure_remote_domain_or_subnet_list_handler() {
         config=$(sing_box_cm_patch_route_rule "$config" "$route_rule_tag" "rule_set" "$ruleset_tag")
         case "$type" in
         domains)
-            config=$(sing_box_cm_patch_dns_route_rule "$config" "$SB_FAKEIP_DNS_RULE_TAG" "rule_set" "$ruleset_tag")
+            if [ "$route_rule_tag" != "$SB_EXCLUSION_RULE_TAG" ]; then
+                config=$(sing_box_cm_patch_dns_route_rule "$config" "$SB_FAKEIP_DNS_RULE_TAG" "rule_set" "$ruleset_tag")
+            fi
             ;;
         subnets) ;;
         *) log "Unsupported remote rule set type: $type" "error" ;;

[romanilyin]

fix-podkop-exclusion-fakeip.sh

#!/bin/sh
set -eu

PODKOP_BIN="/usr/bin/podkop"
BACKUP="/usr/bin/podkop.bak.$(date +%Y%m%d-%H%M%S)"
TMP="/tmp/podkop.patched.$$"
CONFIG_JSON="/etc/sing-box/config.json"

fail() {
    echo "ERROR: $*" >&2
    exit 1
}

need_cmd() {
    command -v "$1" >/dev/null 2>&1 || fail "command not found: $1"
}

need_cmd awk
need_cmd cmp
need_cmd cp
need_cmd chmod
need_cmd mv
need_cmd grep

[ -f "$PODKOP_BIN" ] || fail "$PODKOP_BIN not found"

cp "$PODKOP_BIN" "$BACKUP" || fail "failed to create backup"
echo "Backup created: $BACKUP"

awk '
BEGIN {
    done1001 = 0
    done1020 = 0
    done1136 = 0
}
{
    if ($0 ~ /config=\$\(sing_box_cm_patch_dns_route_rule "\$config" "\$SB_FAKEIP_DNS_RULE_TAG" "rule_set" "\$ruleset_tag"\)/) {
        if (done1001 == 0) {
            print "    if [ \"$route_rule_tag\" != \"$SB_EXCLUSION_RULE_TAG\" ]; then"
            print "        config=$(sing_box_cm_patch_dns_route_rule \"$config\" \"$SB_FAKEIP_DNS_RULE_TAG\" \"rule_set\" \"$ruleset_tag\")"
            print "    fi"
            done1001 = 1
            next
        } else if (done1020 == 0) {
            print "            if [ \"$route_rule_tag\" != \"$SB_EXCLUSION_RULE_TAG\" ]; then"
            print "                config=$(sing_box_cm_patch_dns_route_rule \"$config\" \"$SB_FAKEIP_DNS_RULE_TAG\" \"rule_set\" \"$ruleset_tag\")"
            print "            fi"
            done1020 = 1
            next
        } else if (done1136 == 0) {
            print "            if [ \"$route_rule_tag\" != \"$SB_EXCLUSION_RULE_TAG\" ]; then"
            print "                config=$(sing_box_cm_patch_dns_route_rule \"$config\" \"$SB_FAKEIP_DNS_RULE_TAG\" \"rule_set\" \"$ruleset_tag\")"
            print "            fi"
            done1136 = 1
            next
        }
    }
    print
}
END {
    if (done1001 != 1 || done1020 != 1 || done1136 != 1) {
        exit 42
    }
}
' "$PODKOP_BIN" > "$TMP" || {
    rm -f "$TMP"
    fail "patch markers not found as expected; podkop version may differ"
}

if cmp -s "$PODKOP_BIN" "$TMP"; then
    rm -f "$TMP"
    fail "no changes produced"
fi

chmod --reference="$PODKOP_BIN" "$TMP" 2>/dev/null || chmod 755 "$TMP"
mv "$TMP" "$PODKOP_BIN" || fail "failed to replace $PODKOP_BIN"

echo "Patched: $PODKOP_BIN"

if [ -x /etc/init.d/podkop ]; then
    /etc/init.d/podkop restart || fail "failed to restart podkop"
else
    service podkop restart || fail "failed to restart podkop"
fi

echo "podkop restarted"

if [ -f "$CONFIG_JSON" ]; then
    echo "Checking generated config..."
    if grep -A30 '"server": "fakeip-server"' "$CONFIG_JSON" | grep -q 'exclude_'; then
        echo "WARNING: exclusion rulesets still appear in fakeip DNS rule"
        exit 2
    else
        echo "OK: exclusion rulesets are not present in fakeip DNS rule"
    fi
else
    echo "WARNING: $CONFIG_JSON not found after restart"
fi

echo "Done"
echo "You can test with:"
echo "  nslookup yandex.ru 127.0.0.42"
echo "Expected: real IP, not 198.18.x.x"

[romanilyin]

Надо ещё покрытие тестами сделать и PR, но мне лень )

[Awesomefreeman]

@romanilyin а фикс проверяли? Сможете оформить в виде пул реквеста?

[romanilyin]

У себя проверял (25.12.2). Но без покрытия тестами кмк неправильно это в PR делать, а я пока не могу их написать (занят). Патч на роутере работает у меня, fake ip перестал отдаваться. Надо бы ещё для block проверить по идее и для proxy (я не смотрел так как не пользуюсь). Если кто-то допишет тесты и оформит, было бы круто.

[Amaderis]

Проблема действительно имеется. Проверял на серверах Rockstar, идут через 198.18..

[romanilyin]

Корень проблемы в том, что DNS исключённых сайтов должен резолвиться через DNS-сервер провайдера, а не через 8.8.8.8 или что там у вас в тоннеле, и наоборот. Иногда это не критично, иногда критично. Если мы не трогаем часть трафика, то не трогать его правильнее полностью.

[romanilyin]

Сделал обновленный патч для .17

fix-podkop-exclusion-fakeip.sh :

#!/bin/sh
set -eu

PODKOP_BIN="${PODKOP_BIN:-/usr/bin/podkop}"
BACKUP="${BACKUP:-$PODKOP_BIN.bak.$(date +%Y%m%d-%H%M%S)}"
TMP="${TMP:-/tmp/podkop.patched.$$}"
CONFIG_JSON="${CONFIG_JSON:-/etc/sing-box/config.json}"
RESTART_PODKOP="${RESTART_PODKOP:-1}"

fail() {
    echo "ERROR: $*" >&2
    exit 1
}

need_cmd() {
    command -v "$1" >/dev/null 2>&1 || fail "command not found: $1"
}

need_cmd awk
need_cmd cmp
need_cmd cp
need_cmd chmod
need_cmd mv
need_cmd grep
if [ "$RESTART_PODKOP" = "1" ]; then
    need_cmd uci
    need_cmd jq
fi

[ -f "$PODKOP_BIN" ] || fail "$PODKOP_BIN not found"

guard_count=$(grep -c 'route_rule_tag" != "$SB_EXCLUSION_RULE_TAG"' "$PODKOP_BIN" || true)
if [ "$guard_count" -ge 3 ]; then
    echo "Already patched: $PODKOP_BIN"
    exit 0
fi

cp "$PODKOP_BIN" "$BACKUP" || fail "failed to create backup"
echo "Backup created: $BACKUP"

awk '
BEGIN {
    patched = 0
}
{
    if ($0 ~ /config=\$\(sing_box_cm_patch_dns_route_rule "\$config" "\$SB_FAKEIP_DNS_RULE_TAG" "rule_set" "\$ruleset_tag"\)/) {
        indent = $0
        sub(/[^ ].*$/, "", indent)
        print indent "if [ \"$route_rule_tag\" != \"$SB_EXCLUSION_RULE_TAG\" ]; then"
        print indent "    config=$(sing_box_cm_patch_dns_route_rule \"$config\" \"$SB_FAKEIP_DNS_RULE_TAG\" \"rule_set\" \"$ruleset_tag\")"
        print indent "fi"
        patched++
        next
    }
    print
}
END {
    if (patched < 3) {
        exit 42
    }
}
' "$PODKOP_BIN" > "$TMP" || {
    rm -f "$TMP"
    fail "patch markers not found as expected; podkop version may differ"
}

if cmp -s "$PODKOP_BIN" "$TMP"; then
    rm -f "$TMP"
    fail "no changes produced"
fi

chmod --reference="$PODKOP_BIN" "$TMP" 2>/dev/null || chmod 755 "$TMP"
mv "$TMP" "$PODKOP_BIN" || fail "failed to replace $PODKOP_BIN"

echo "Patched: $PODKOP_BIN"

if [ "$RESTART_PODKOP" = "1" ]; then
    if [ -x /etc/init.d/podkop ]; then
        /etc/init.d/podkop restart || fail "failed to restart podkop"
    else
        service podkop restart || fail "failed to restart podkop"
    fi
    echo "podkop restarted"
else
    echo "podkop restart skipped because RESTART_PODKOP=$RESTART_PODKOP"
fi

if [ "$RESTART_PODKOP" = "1" ] && [ -f "$CONFIG_JSON" ]; then
    echo "Checking generated config..."
    check_attempt=1
    while [ "$check_attempt" -le 30 ]; do
        fakeip_rulesets=$(jq -r '.dns.rules[]? | select(.server == "fakeip-server") | .rule_set[]? // empty' "$CONFIG_JSON")
        exclusion_sections=$(uci show podkop 2>/dev/null | sed -n "s/^podkop\.\([^.]*\)\.connection_type='exclusion'.*/\1/p")
        found_exclusion=''

        for section in $exclusion_sections; do
            if printf '%s\n' "$fakeip_rulesets" | grep -Fq "${section}-"; then
                found_exclusion="$section"
                break
            fi
        done

        if [ -z "$found_exclusion" ]; then
            echo "OK: exclusion rulesets are not present in fakeip DNS rule"
            break
        fi

        if [ "$check_attempt" -eq 30 ]; then
            echo "WARNING: exclusion section '$found_exclusion' still appears in fakeip DNS rule"
            exit 2
        fi

        sleep 1
        check_attempt=$((check_attempt + 1))
    done
elif [ "$RESTART_PODKOP" = "1" ]; then
    echo "WARNING: $CONFIG_JSON not found after restart"
fi

echo "Done"
echo "You can test with:"
echo "  nslookup yandex.ru 127.0.0.42"
echo "Expected: real IP, not 198.18.x.x"

[arkhovansky]

Не являюсь экспертом, но по-моему, имеет место недопонимание, как работает секция Exclusion.
Да, она использует FakeIP, но это не значит, что трафик идёт в прокси. Он идёт в direct, потому что Podkop собирает из списков секции правило для этого (direct-правило).

• DNS-запрос клиента ->
  fake IP
• Клиент соединяется по fake IP ->
  sing-box восстанавливает домен как destination ->
  direct-правило по домену направляет в direct ->
  домен резолвится основным DNS ->
  соединение

Что будет, если FakeIP исключить:

UPD: Это неверно; исправление см. далее.

* DNS-запрос клиента ->
основной DNS ->
реальный IP
* Клиент соединяется по реальному IP ->
sing-box делает сниффинг домена для роутинга; destination остаётся в виде IP ->
direct-правило по домену направляет в direct ->
соединение

По сути, методом восстановления домена вместо FakeIP станет сниффинг, что менее надёжно.

[ampetelin]

Не являюсь экспертом, но по-моему, имеет место недопонимание, как работает секция Exclusion. Да, она использует FakeIP, но это не значит, что трафик идёт в прокси. Он идёт в direct, потому что Podkop собирает из списков секции правило для этого (direct-правило).

• DNS-запрос клиента ->
  fake IP
• Клиент соединяется по fake IP ->
  sing-box восстанавливает домен как destination ->
  direct-правило по домену направляет в direct ->
  домен резолвится основным DNS ->
  соединение

Что будет, если FakeIP исключить:

• DNS-запрос клиента ->
  основной DNS ->
  реальный IP
• Клиент соединяется по реальному IP ->
  sing-box делает сниффинг домена для роутинга; destination остаётся в виде IP ->
  direct-правило по домену направляет в direct ->
  соединение

По сути, методом восстановления домена вместо FakeIP станет сниффинг, что менее надёжно.

И да, и нет. Соединения секции exclusion действительно идут в direct, только получают FakeIP адреса на резолве, а не настоящие.

По хорошему такого быть не должно и все exclusion правила не должны вести соединения в sing-box, однако это сделано намеренно, т.к. exclusion секция не планировалась изначально и была добавлена в таком виде, в каком есть, чтобы не переписывать большое количество кода.

В будущем все домены exclusion секции не будут резолвится через FakeIP DNS сервер, что не будет вызывать их попадание в sing-box, а также появится ipset исключений для фаервола, который также не будет маркировать соединения, чтобы они не попадали в sing-box, что проигнорированно PR'ом выше.