Можно ли как то настроить что бы на nfqws конкретные сети/под сети уходили? а не весь трафик

[svsdval]

Можно ли как то настроить что бы на nfqws конкретные сети/под сети уходили? а не весь трафик. Суть в чём при nfqws заметно замедляются остальные сайты, что не приятно. TPWS я поднимал и настраивал так что бы конкретные IP и подсети заворачивались на TPWS через iptables и это работает. А вот как сделать так что бы nfqws заворачивался конкретный трафик (к примеру только от ютуба) не понятно.

Вот этот список для tpws работает без проблем для просмотра ютуба.

googlevideo.com subdomains

116.119.0.0/16
1.225.0.0/16
142.250.0.0/16
142.251.0.0/16
145.236.0.0/16
172.217.0.0/16
173.194.0.0/16
181.174.0.0/16
192.114.0.0/16
193.126.0.0/16
193.212.0.0/16
195.202.0.0/16
195.23.0.0/16
195.8.0.0/16
209.85.0.0/16
212.113.0.0/16
213.208.0.0/16
213.59.0.0/16
216.58.0.0/16
223.224.0.0/16
62.169.0.0/16
62.75.0.0/16
74.125.0.0/16
77.136.0.0/16
82.112.0.0/16

youtube imgs

108.177.0.0/16
142.250.0.0/16
142.251.0.0/16
172.217.0.0/16
173.194.0.0/16
192.178.0.0/16
209.85.0.0/16
216.58.0.0/16
64.233.0.0/16
74.125.0.0/16

Скажу сразу я не силён в iptables писал только относительно простые правила.
Есть идеи как это провернуть ?

[electrifying]

В конфиге есть строчка

# none,ipset,hostlist,autohostlist
MODE_FILTER=hostlist

Как я понимаю, если будет стоять режим none запрет будет пропускать через себя все сайты поэтому если нужно что бы работало что-то конкретное то надо выбрать hostlist и тогда запрет будет работать только для сайтов указанных в хостлисте

[svsdval]

у меня и стоит хост лист, но это не решает проблемы

[neduus]

В readme же все есть

Чтобы не трогать трафик на незаблокированные адреса, можно взять список заблокированных хостов, заресолвить его
в IP адреса и загнать в ipset zapret, затем добавить фильтр в команду :
iptables -t mangle -I POSTROUTING -o <внешний_интерфейс> -p tcp --dport 80 -m set --match-set zapret dst -j NFQUEUE --queue-num 200 --queue-bypass

и вообще по ключу ipset

[pwd491]

MODE_FILTER=ipset и дальше пишем в ipset/zapret-hosts-user.txt ipset/get_config.sh протащит это через mdig и сформирует ipset/zapret-ip-user.txt который загонится в ипсет

в zapret-hosts-user.txt можно указывать и домены, и IP, и подсети любых версий (4,6)

root@OpenWrt:~# /opt/zapret/ipset/get_config.sh 
setting high oom kill priority
clearing all known DNS caches
DNS is working
digging 6 ipv4 domains : /opt/zapret/ipset/zapret-hosts-user-exclude.txt
mdig stats : 00:00:00 : domains=0 success=0 error=0
digging 6 ipv6 domains : /opt/zapret/ipset/zapret-hosts-user-exclude.txt
mdig stats : 00:00:00 : domains=0 success=0 error=0
digging 0 ipv4 domains : /opt/zapret/ipset/zapret-hosts-user-ipban.txt
mdig stats : 00:00:00 : domains=0 success=0 error=0
digging 0 ipv6 domains : /opt/zapret/ipset/zapret-hosts-user-ipban.txt
mdig stats : 00:00:00 : domains=0 success=0 error=0
setting high oom kill priority
reloading ipset backend (forced-update)
Adding to ipset ipban : /opt/zapret/ipset/zapret-ip-user-ipban.txt
Adding to ipset nozapret : /opt/zapret/ipset/zapret-ip-exclude.txt
Adding to ipset ipban6 : /opt/zapret/ipset/zapret-ip-user-ipban6.txt
Adding to ipset nozapret6 : /opt/zapret/ipset/zapret-ip-exclude6.txt

и сформирует ipset/zapret-ip-user.txt

Не сформировал. В чём может быть причина? zapret-hosts-user.txt не пустой

[bol-van]

Скрипт получения листа в $GETLIST доменный, а не IPшный.
Даже если вписать MODE_FILTER=ipset, скрипты из ipset это не учитывают совсем
Надо или прогнать инсталятор, и он не предложит неправильных скриптов для выбранного фильтра, либо вписать в config GETLIST=get_user.sh

[pwd491]

Скрипт получения листа в $GETLIST доменный, а не IPшный. Даже если вписать MODE_FILTER=ipset, скрипты из ipset это не учитывают совсем Надо или прогнать инсталятор, и он не предложит неправильных скриптов для выбранного фильтра, либо вписать в config GETLIST=get_user.sh

Спасибо, помогло. А почему домены третьего уровня не проходят фильтрацию? get_user выделил 4 ip адресса для googlevideo.com

Маска вида *.googlevideo.com не будет работать? Значит нужно sub домены прописывать вручную?

[bol-van]

Потому что ipset значит ресолвинг всего в IP адреса. Заресолвить .* невозможно
Так же ipset не подходит для противодействия прыгающим IP на доменах. Хотя можно использовать ipset HOOK скрипт для загона целой ASки.

[neduus]

Заресолвить * можно (не 100%, а только то, что необходимо), по схеме микротик (arm)+container (docker) или микротик (любой)+в сети еще одно устройство (например армовский одноплатник со вторички типа raspberry pi, можно и x86(64) но не рентабельно). Возможна схема auto ipset (mikrotik) + hostlist (arm+nfqws).