Обход блокировок на роутере!

[mk202 12]

3 минуты назад, Михаил Лукьянов сказал:

Последнее правило которое я дал - это для http. Новое - 5 декабря только сигнатура получена.

Про сигнатуру я не понимаю. Мне надо что-то еще сделать?

http пока не работает.

Edited December 11, 2018 by mk202

[Михаил Лукьянов 61]

Покажите:

iptables -t raw -nvL PREROUTING

[Михаил Лукьянов 61]

Пардон, вечером уже глаз замылен в последнем правиле таблица должна быть mangle а не raw:

iptables -t mangle -I PREROUTING -p tcp --sport 80 -m u32 --u32 "0x1e&0xffff=0x5010 && 0x73=0x7761726e && 0x77=0x696e672e && 0x7B=0x72742e72" -j DROP

 

[mk202 12]

5 минут назад, Михаил Лукьянов сказал:

Покажите:

iptables -t raw -nvL PREROUTING

лог ниже

Скрытый текст

root@<имя>:/opt/etc/init.d# iptables -t raw -nvL PREROUTING

Chain PREROUTING (policy ACCEPT 36117 packets, 9460K bytes)
 pkts bytes target     prot opt in     out     source               destination
    4   891 DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp spt:80 u32 "0x1e&0xffff=0x5010&&0x73=0x7761726e&&0x77=0x696e672e&&0x7b=0x72742e72"
    0     0 DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp spt:80 u32 "0x1e&0xffff=0x5010&&0x73=0x7761726e&&0x77=0x696e672e&&0x7b=0x72742e72"
    0     0 DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp spt:80 STRING match  "|0d0a4c6f636174696f6e3a20687474703a2f2f7761726e696e672e72742e7275|" ALGO name bm FROM 40 TO 200
    0     0 DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp spt:80 STRING match  "|0d0a4c6f636174696f6e3a20687474703a2f2f626c6f636b2e69702e63656e7465722e72742e7275|" ALGO name bm FROM 40 TO 200
    0     0 DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp spt:80 STRING match  "|0d0a4c6f636174696f6e3a20687474703a2f2f39352e3136372e31332e3530|" ALGO name bm FROM 40 TO 200
    0     0 DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp spt:80 STRING match  "|0d0a4c6f636174696f6e3a20687474703a2f2f7761726e696e672e72742e7275|" ALGO name bm FROM 40 TO 200
    7  1490 DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp spt:80 STRING match  "|0d0a4c6f636174696f6e3a20687474703a2f2f7761726e696e672e72742e7275|" ALGO name bm FROM 40 TO 200
    0     0 DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp spt:80 STRING match  "|0d0a4c6f636174696f6e3a20687474703a2f2f7761726e696e672e72742e7275|" ALGO name bm FROM 40 TO 200

 

Edited December 11, 2018 by mk202

[Михаил Лукьянов 61]

После удаления старых правил из скрипта нужно будет перезагрузить роутер. 

[mk202 12]

6 минут назад, Михаил Лукьянов сказал:

таблица должна быть mangle а не raw: 

Так:

Скрытый текст

#!/bin/sh

insmod /lib/modules/$(uname -r)/iptable_raw.ko
iptables -t mangle -I PREROUTING -p tcp --sport 443 -m connbytes --connbytes 1:4 --connbytes-mode packets --connbytes-dir reply -m u32 --u32 "0x4=0x10000 && 0x1E&0xffff=0x5004" -j DROP
iptables -t mangle -I PREROUTING -p tcp --sport 80 -m u32 --u32 "0x1e&0xffff=0x5010 && 0x73=0x7761726e && 0x77=0x696e672e && 0x7B=0x72742e72" -j DROP

 

[Михаил Лукьянов 61]

Да.

[mk202 12]

7 минут назад, Михаил Лукьянов сказал:

нужно будет перезагрузить роутер

Перезагрузил. https работает, а http нет

[Михаил Лукьянов 61]

Заглушку даёт или что-то другое?

[mk202 12]

Заглушку

[Михаил Лукьянов 61]

Что в адресной строке у заглушки?

[mk202 12]

7 минут назад, Михаил Лукьянов сказал:

Что в адресной строке у заглушки?

http://warning.rt.ru/?id=24&amp;st=0&amp;dt=195.82.146.214&amp;rs=http%3A%2F%2Frutracker.org%2Fforum%2Ftracker.php

[Михаил Лукьянов 61]

Покажите:

iptables -t mangle -nvL PREROUTING

 

[mk202 12]

7 минут назад, Михаил Лукьянов сказал:

Покажите:

iptables -t mangle -nvL PREROUTING

 

Скрытый текст

# iptables -t mangle -nvL PREROUTING
Chain PREROUTING (policy ACCEPT 3472 packets, 267K bytes)
 pkts bytes target     prot opt in     out     source               destination
    2   428 DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp spt:80 u32 "0x1e&0xffff=0x5010&&0x73=0x7761726e&&0x77=0x696e672e&&0x7b=0x72742e72"
    2    80 DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp spt:443 connbytes 1:4 connbytes mode packets connbytes direction reply u32 "0x4=0x10000&&0x1e&0xffff=0x5004"
    0     0 DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp spt:80 u32 "0x1e&0xffff=0x5010&&0x73=0x7761726e&&0x77=0x696e672e&&0x7b=0x72742e72"
    0     0 DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp spt:443 connbytes 1:4 connbytes mode packets connbytes direction reply u32 "0x4=0x10000&&0x1e&0xffff=0x5004"
 2024 63528 _NDM_PREROUTING_MC  all  --  *      *       0.0.0.0/0            224.0.0.0/4
 3502  268K _NDM_IPSEC_PREROUTING  all  --  *      *       0.0.0.0/0            0.0.0.0/0
 1996 62520 TTL        all  --  eth2.2 *       0.0.0.0/0            0.0.0.0/0            TTL increment by 1

Там eth2.2 мож надо на что-то заменить?

Edited December 11, 2018 by mk202

[Михаил Лукьянов 61]

Наши правила верхние, нижние ndm сам создаёт.

попробуйте вернуть и посмотреть что в адресной строке у заглушки будет:

iptables -t raw -I PREROUTING -p tcp --sport 80 -m string --hex-string "Location: http://warning.rt.ru" --algo bm -j DROP --from 40 --to 200

 

[mk202 12]

16 минут назад, Михаил Лукьянов сказал:

Наши правила верхние, нижние ndm сам создаёт.

попробуйте вернуть и посмотреть что в адресной строке у заглушки будет:

iptables -t raw -I PREROUTING -p tcp --sport 80 -m string --hex-string "Location: http://warning.rt.ru" --algo bm -j DROP --from 40 --to 200

 

Сделал, но не перегружал роутер, а запустил скрипт Антизапрет из mc. Новое содержимое ниже:

Скрытый текст

# more ./S98antizapret

#!/bin/sh
insmod /lib/modules/$(uname -r)/iptable_raw.ko
iptables -t mangle -I PREROUTING -p tcp --sport 443 -m connbytes --connbytes 1:4 --connbytes-mode packets --connbytes-dir reply -m u32 --u32 "0x4=0x10000 && 0x1E&0xffff=0x5004" -j DROP
iptables -t raw -I PREROUTING -p tcp --sport 80 -m string --hex-string "Location: http://warning.rt.ru" --algo bm -j DROP --from 40 --to 200

Получил: http://warning.rt.ru/?id=13&amp;st=0&amp;dt=195.82.146.214&amp;rs=http%3A%2F%2Frutracker.org%2Fforum%2Ftracker.php

Что интересно, захожу по http в корень сайта. Заглушки нет. Кликаю на любую ссылку внутри. Сайт (или кто-то ещё) переключает меня на https.

Но думаю это не решение проблемы. Торент программа скорее всего будет "заходить" сразу на внутреннюю ссылку, а там заглушка.

Когда я на внутренней ссылке заменил https на http получил заглушку:

http://warning.rt.ru/?id=12&amp;st=0&amp;dt=195.82.146.214&amp;rs=http%3A%2F%2Frutracker.org%2Fforum%2Fviewtopic.php%3Ft%3D5657934

Какой кнопкой Вы форматируете код скрипта в сообщениях?

 

Edited December 11, 2018 by mk202

[Михаил Лукьянов 61]

Сбросьте кэш браузера.

Покажите:

iptables -t raw -nvL PREROUTING

Кнопка форматирования так и называется код, выглядит <>.

[mk202 12]

16 минут назад, Михаил Лукьянов сказал:

Сбросьте кэш браузера.

Покажите:

iptables -t raw -nvL PREROUTING

Кнопка форматирования так и называется код, выглядит <>.

Лог

Скрытый текст

# iptables -t raw -nvL PREROUTING
Chain PREROUTING (policy ACCEPT 5550 packets, 278K bytes)
 pkts bytes target     prot opt in     out     source               destination
    6  1320 DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp spt:80 STRING match  "Location: http://warning.rt.ru" ALGO name bm FROM 40 TO 200

 

Кэш очистил, в корень пускает по http. Внутрь перехожу, переключаюсь(переключает) на  https

Если во внутренней ссылке меняю на http, получаю:

http://warning.rt.ru/?id=24&st=0&dt=195.82.146.214&rs=http%3A%2F%2Frutracker.org%2Fforum%2Fviewtopic.php%3Ft%3D5380893

Я Вас не утомил?

Edited December 11, 2018 by mk202

[Михаил Лукьянов 61]

Не хочется заморачиваться с tpws если честно, пока подумаю. Погоняйте свою торентокачалку - как она себя поведёт.

https://rutracker.org/forum/viewtopic.php?t=5126394 - ссылку выше уже давали, но это как раз ваш случай.

[mk202 12]

3 минуты назад, Михаил Лукьянов сказал:

Не хочется заморачиваться с tpws если честно, пока подумаю.

В любом случае огромное спасибо за внимание и терпение.

4 минуты назад, Михаил Лукьянов сказал:

Погоняйте свою торентокачалку - как она себя поведёт. 

Она у меня пока не "заводится". А точную причину я не знаю.

Если будут еще идеи я напишу.

[mk202 12]

В 11.12.2018 в 21:22, Михаил Лукьянов сказал:

Погоняйте свою торентокачалку - как она себя поведёт.

Рутрекер работает. Было бы приятно и в кинозал "пробиться".

Сейчас туда пускает только в корень. Внутренние ссылки перенаправляются в заглушку.

[SigmaPlus 29]

3 часа назад, mk202 сказал:

Сейчас туда пускает только в корень. Внутренние ссылки перенаправляются в заглушку.

Судя по моим наблюдениям не то чтобы пускает только в корень, пускает в принципе и дальше без заглушек при желании. Странная история. Собственно каждый последующий шаг возможен без заглушки если после предыдущего шага выжидать 2-3 минуты. Не выждали - попали на заглушку, выждали - продвинулись вперёд, для следующего перехода надо ждать опять... Это лечится? 

[mk202 12]

8 часов назад, SigmaPlus сказал:

Собственно каждый последующий шаг возможен без заглушки если после предыдущего шага выжидать 2-3 минуты.

Где-то так и выходит. Ткнул внутреннюю ссылку, получил заглушку, назад, вперёд и заглушка пройдена.

Не удаётся преодолеть экран логгирования. Тут всегда заглушка и метод "вперёд/назад", к сожалению не срабатывает.

[sc0rp1d 0]

В 28.09.2018 в 15:10, Михаил Лукьянов сказал:

С HTTPS вариантов немного - tor, прокси и vpn.

Спасибо за все ваши инструкции и модификации скриптов, очень полезно.

Подскажите, как связку redsocks + tor заменить на OpenVPN настроенный в VPN-подключениях в Web UI?

Edited January 4, 2019 by sc0rp1d

[Михаил Лукьянов 61]

В 04.01.2019 в 18:13, sc0rp1d сказал:

Спасибо за все ваши инструкции и модификации скриптов, очень полезно.

Подскажите, как связку redsocks + tor заменить на OpenVPN настроенный в VPN-подключениях в Web UI?

В файле /opt/etc/init.d/S99zapret нужно закомментировать строки отвечающие за перенаправление HTTPS:
 

#iptables -t nat -C PREROUTING -p tcp --dport 443 -m set --match-set zapret dst -j REDIRECT --to-port 8888 2>/dev/null || iptables -t nat -I PREROUTING -p tcp --dport 443 -m set --match-set zapret dst -j REDIRECT --to-port 8888
...
#iptables -t nat -D PREROUTING -p tcp --dport 443 -m set --match-set zapret dst -j REDIRECT --to-port 8888

В /opt/etc/ndm/openvpn-up.d создать файл zapret_vpn_up.sh:
 

#!/bin/sh
ip route add table 99 default dev ovpn_br1
ip rule add fwmark 9 lookup 99
iptables -t mangle -C PREROUTING -p tcp --dport 443 -m set --match-set zapret dst -j MARK --set-mark 9 2>/dev/null || iptables -t mangle -I PREROUTING -p tcp --dport 443 -m set --match-set zapret dst -j MARK --set-mark 9
sysctl -w net.ipv4.netfilter.ip_conntrack_fastnat=0

В /opt/etc/ndm/openvpn-down.d создать файл zapret_vpn_down.sh:
 

#!/bin/sh
ip route flush table 99
ip rule del fwmark 9 lookup 99
iptables -t mangle -D PREROUTING -p tcp --dport 443 -m set --match-set zapret dst -j MARK --set-mark 9
sysctl -w net.ipv4.netfilter.ip_conntrack_fastnat=1

Если скорость работы обычных сайтов заметно упадёт при этом то можно попробовать не отключать fastnat закомментировав последние строки в обоих скриптах, но у меня на 2.14.C.0.0-4 с включенным fastnat пакеты маркируются некорректно:(

Edited January 8, 2019 by Михаил Лукьянов

[Михаил Лукьянов 61]

Мне тут подсказывают что многие провайдеры пропускают фрагментированные HTTPS пакеты. Я включил по умолчанию фрагментацию на оба протокола - и HTTP и HTTPS. Просьба перекачать скрипт и проверить у кого заработало. Т.е. в большинстве случаев будет достаточно просто поставить скрипт и не нужно больше никаких торов, прокси и впн.

Edited January 8, 2019 by Михаил Лукьянов

[zetlinux 3]

59 минут назад, Михаил Лукьянов сказал:

Просьба перекачать скрипт и проверить у кого заработало.

Добрый день, Михаил. Подскажите - "перекачать скрипт" равносильно "выполнить всё, что в этом сообщении?"

[Михаил Лукьянов 61]

5 минут назад, zetlinux сказал:

Добрый день, Михаил. Подскажите - "перекачать скрипт" равносильно "выполнить всё, что в этом сообщении?"

/opt/etc/init.d/S99zapret stop
mv /opt/etc/init.d/S99zapret /opt/zapret/S99zapret.backup
curl https://raw.githubusercontent.com/LukyanovM/zapret/master/init.d/keenetic/S99zapret -o /opt/etc/init.d/S99zapret
chmod +x /opt/etc/init.d/S99zapret
/opt/etc/init.d/S99zapret start

 

[Сергей «Solaris» Сидоров 1]

В 08.01.2019 в 18:47, Михаил Лукьянов сказал:

Мне тут подсказывают что многие провайдеры пропускают фрагментированные HTTPS пакеты. Я включил по умолчанию фрагментацию на оба протокола - и HTTP и HTTPS. Просьба перекачать скрипт и проверить у кого заработало. Т.е. в большинстве случаев будет достаточно просто поставить скрипт и не нужно больше никаких торов, прокси и впн.

Мне не повезло, провайдер не пропускает и фрагментированные пакеты вообще. А сработает ли вариант если  пустить и HTTP и HTTPS через tor, дополнив ваш скрипт строкой для  80 порта? типа такого.

#!/opt/bin/sh
[ "$type" == "ip6tables" ] && exit 0
[ "$table" != "nat" ] && exit 0   # check the table name
iptables -t nat -I PREROUTING -p tcp --dport 443 -m set --match-set zapret dst -j REDIRECT --to-port 8888
iptables -t nat -I PREROUTING -p tcp --dport 80 -m set --match-set zapret dst -j REDIRECT --to-port 8888
/opt/bin/logger "redsocks redirected https rule created for zapret via netfilter hook"

 

[Dmitry Soloviev 0]

Добрый день.

Результаты проверки blockcheck с компьютера.

Скрытый текст

BlockCheck v0.0.9.6
Для получения корректных результатов используйте DNS-сервер провайдера и отключите средства обхода блокировок.

Проверка работоспособности IPv6: IPv6 недоступен.
[O] Тестируем IPv4 DNS
    Через системный DNS:     ['104.20.134.45', '104.20.135.45', '104.24.10.70', '104.24.11.70', '184.173.136.161', '195.8.215.136', '195.82.146.214', '5.178.68.100']
    Через Google DNS:     ['104.20.134.45', '104.20.135.45', '104.24.10.70', '104.24.11.70', '184.173.136.161', '195.8.215.136', '195.82.146.214', '5.178.68.100']
    Через Google API:     ['104.20.134.45', '104.20.135.45', '104.24.10.70', '104.24.11.70', '184.173.136.161', '195.8.215.136', '195.82.146.214', '5.178.68.100']
    Через недоступный DNS:     ['195.82.146.214']
[?] DNS-записи не подменяются
[?] DNS перенаправляется

[O] Тестируем HTTP (по настоящим IP-адресам сайтов)
    Открываем http://pbooru.com/
[?] Сайт открывается
    Открываем http://pbooru.com/index.php?page=post&s=view&id=303026
[?] Получен неожиданный ответ, скорее всего, страница-заглушка провайдера. Пробуем через прокси.
[?] Сайт открывается через прокси
    Открываем http://furry.booru.org/
[?] Сайт открывается
    Открываем http://rutracker.org/forum/index.php
[?] Сайт не открывается, пробуем через прокси
[?] Сайт открывается через прокси
    Открываем http://furry.booru.org/index.php?page=post&s=view&id=111173
[?] Получен неожиданный ответ, скорее всего, страница-заглушка провайдера. Пробуем через прокси.
[?] Сайт открывается через прокси
    Открываем http://a.putinhuylo.com/
[?] Сайт открывается

[O] Тестируем HTTPS
    Открываем https://www.dailymotion.com/
[?] Сайт не открывается
    Открываем https://lolibooru.moe/
[?] Сайт не открывается
    Открываем https://e621.net/
[?] Сайт не открывается
    Открываем https://rutracker.org/forum/index.php
[?] Сайт не открывается

[O] Тестируем обход DPI
    Пробуем способ «табуляция в конце домена» на rutracker.org
[?] Ошибка: timeout('timed out',)
    Пробуем способ «необычный порядок заголовков» на rutracker.org
[?] Ошибка: timeout('timed out',)
    Пробуем способ «фрагментирование заголовка, hoSt и отсутствие пробела одновременно» на rutracker.org
[?] Ошибка: timeout('timed out',)
    Пробуем способ «фрагментирование заголовка» на rutracker.org
[?] Ошибка: timeout('timed out',)
    Пробуем способ «отсутствие пробела между двоеточием и значением заголовка Host» на rutracker.org
[?] Ошибка: timeout('timed out',)
    Пробуем способ «дополнительный пробел после GET» на rutracker.org
[?] Ошибка: timeout('timed out',)
    Пробуем способ «перенос строки перед GET» на rutracker.org
[?] Ошибка: timeout('timed out',)
    Пробуем способ «заголовок hoSt вместо Host» на rutracker.org
[?] Ошибка: timeout('timed out',)
    Пробуем способ «заголовок hOSt вместо Host» на rutracker.org
[?] Ошибка: timeout('timed out',)
    Пробуем способ «значение Host БОЛЬШИМИ БУКВАМИ» на rutracker.org
[?] Ошибка: timeout('timed out',)
    Пробуем способ «точка в конце домена» на rutracker.org
[?] Ошибка: timeout('timed out',)
    Пробуем способ «перенос строки в заголовках в UNIX-стиле» на rutracker.org
[?] Ошибка: timeout('timed out',)
    Пробуем способ «табуляция в конце домена» на pbooru.com
[?] Сайт не открывается
    Пробуем способ «необычный порядок заголовков» на pbooru.com
[?] Сайт не открывается
    Пробуем способ «фрагментирование заголовка, hoSt и отсутствие пробела одновременно» на pbooru.com
[?] Сайт открывается
    Пробуем способ «фрагментирование заголовка» на pbooru.com
[?] Сайт не открывается
    Пробуем способ «отсутствие пробела между двоеточием и значением заголовка Host» на pbooru.com
[?] Сайт открывается
    Пробуем способ «дополнительный пробел после GET» на pbooru.com
[?] Сайт не открывается
    Пробуем способ «перенос строки перед GET» на pbooru.com
[?] Сайт открывается
    Пробуем способ «заголовок hoSt вместо Host» на pbooru.com
[?] Сайт не открывается
    Пробуем способ «заголовок hOSt вместо Host» на pbooru.com
[?] Сайт не открывается
    Пробуем способ «значение Host БОЛЬШИМИ БУКВАМИ» на pbooru.com
[?] Сайт не открывается
    Пробуем способ «точка в конце домена» на pbooru.com
[?] Сайт не открывается
    Пробуем способ «перенос строки в заголовках в UNIX-стиле» на pbooru.com
[?] Сайт не открывается

[!] Результат:
[?] Ваш провайдер перенаправляет сторонние IPv4 DNS-серверы на свой, но не подменяет DNS-записи.
 Это несколько странно и часто встречается в мобильных сетях.
 Если вы хотите использовать сторонний DNS, вам следует использовать шифрованный канал до DNS-серверов, например, через VPN, Tor, HTTPS/Socks прокси или DNSCrypt, но обходу блокировок это не поможет.
[?] Ваш провайдер полностью блокирует доступ к HTTPS-сайтам из реестра.
[?] У вашего провайдера "обычный" DPI. Вам поможет HTTPS/Socks прокси, VPN или Tor.
 

Правильно ли я понимаю, чтобы заработал обход блокировок по инструкции от @Михаил Лукьянов, требуется изначально разобраться с DNS запросами, например через DNSCrypt?