Установка и настройка Zapret на OpenWrt.txt

### Установка и настройка zapret на роутер c openwrt 23.05.4
### Проверялось windows11, android - работает!!!

### Устанавливаем OpenWrrt на роутер.
### И Настраиваем Все Порты (wan, lan - добавить ВСЕ!)!!! Это Главное!
### Проверить программный flow offloading (должен быть отключен!)

### Заходим на роутер через Putty или как вы умеете.

### ставим программы

- opkg update
- opkg install iptables-mod-extra iptables-mod-nfqueue iptables-mod-filter iptables-mod-ipopt iptables-mod-conntrack-extra ipset curl ip6tables-mod-nat gzip grep git-http

### готовим директории и клонируем репу

- mkdir /opt
- cd /tmp
- git clone --depth 1 https://github.com/bol-van/zapret
- cd zapret/

### запускаем установочные скрипты, нужно правильно ответить на вопросы исходя из особенностей системы
### в моей системе nftables, метод обхода использовал nfqws, flow offloading отключен.
### HTTP = 0, HTTPS = 1, QUIC = 1 ( При nfqws quic можно включить и в браузере его тоже не отключать. C QUIC надо поиграться. Можно откл. и вкл. смотреть где лучше работает. с quic вроде ютюбе стабильнее на андроид работает.)

- ./install_bin.sh
- ./install_prereq.sh
- ./install_easy.sh

## После запуска я выбрал такие параметры;

do you want the installer to copy it for you (default : N) Y - #чтобы папка скопировалась в /opt

select firewall type :
1 : iptables
2 : nftables
your choice (default : iptables) : 2
selected : nftables #(здесь разбирайтесь сами. Работает и так и так, только роутер пишет, что конфликт маршрутов может быть, если выбрать iptable и nfqws)

enable ipv6 support (default : N) (Y/N) ? n  #(здесь сами решайте, если провайдер поддерживает, то наверно -Y)
* checking prerequisites
everything is present

select MODE :
1 : tpws
2 : tpws-socks
3 : nfqws
4 : filter
5 : custom
your choice (default : nfqws) : 3 
selected : nfqws

do you want to edit the options (default : N) (Y/N) ? n #(нажмите пока n, этот файл и надо будет редактировать после другой проверки)

enable http support (default : N) (Y/N) ?  #(включаем, если вам нужен http протокол, и вы уверены, что ваш файервол, роутер и браузер на него заходит. Лучше отключить, это незащищенный протокол)

enable keep alive support only if DPI checks every outgoing packet for http signature
dont enable otherwise because it consumes more cpu resources
enable http keep alive support (default : N) (Y/N) ? n #(при Y идет нагрузка на роутер и память,и если включен верхний пункт! )

enable https support (default : Y) (Y/N) ?

enable quic support (default : Y) (Y/N) ? y

select filtering :
1 : none
2 : ipset
3 : hostlist
4 : autohostlist
your choice (default : hostlist) : 4  #(можно попробовать 3 - hostlist) тогда программа сама будет учиться разблокировать сайты(не все)
selected : autohostlist

do you want to auto download ip/host list (default : Y) (Y/N) ? n
1 : get_antizapret_domains.sh
2 : get_reestr_resolvable_domains.sh
3 : get_reestr_hostlist.sh
your choice (default : get_antizapret_domains.sh) : 1
selected : get_antizapret_domains.sh #(у меня ничего не скачалось, может и к лучшему.
# Когда выбрал -3, то роутер у меня повис. 128 - Ram у меня. 
GETLIST=get_user.sh -  в конфиге это укажите, тогда ip будут преобразовываться из вашего списка.).

1 : donttouch
2 : none
3 : software
4 : hardware
your choice (default : donttouch) : 1
selected : donttouch

- cd ..
- rm -rf zapret/

### для удаления папки с tmp

- cd ..
- cd /opt/zapret

### Дальше запускаем команду, вот она и даст вам Ваши настройки для config файла!

- ./blockcheck.sh

### Запускайте несколько разных сайтов pornhub.com rutracker.org bbc.com 
### И лучше по 3-5 запросов чтобы было(по умолчанию 1).
### И вот после проверки копируюм ваши настройки и вставляем в config! Это будет Правильно.

### заполняем фаил со списком доменов
/opt/zapret/ipset/zapret-hosts-user.txt - #он находится здесь. 
### Я редактировал его через WinSCP(выбрать протокол SCP!). ( я простой пользователь) в линуксе не понимаю.

# список доменов на 10.08.2024, копируем их в zapret-hosts-user.txt или/и opt/zapret/ipset/zapret-hosts-google.txt
googlevideo.com
youtubei.googleapis.com
ytimg.com
yt3.ggpht.com
yt4.ggpht.com
youtube.com
youtubeembeddedplayer.googleapis.com
ytimg.l.google.com
jnn-pa.googleapis.com
youtube-nocookie.com
youtube-ui.l.google.com
yt-video-upload.l.google.com
wide-youtube.l.google.com
youtu.be
youtube.googleapis.com
yt.be
withyoutube.com
youtubeeducation.com
youtubefanfest.com
youtubegaming.com
youtubekids.com
youtubemobilesupport.com
youtube.ae
youtube.al
youtube.am
youtube.at
youtube.az
youtube.ba
youtube.be
youtube.bg
youtube.bh
youtube.bo
youtube.by
youtube.ca
youtube.cat
youtube.ch
youtube.cl
youtube.co
youtube.co.ae
youtube.co.at
youtube.co.cr
youtube.co.hu
youtube.co.id
youtube.co.il
youtube.co.in
youtube.co.jp
youtube.co.ke
youtube.co.kr
youtube.co.ma
youtube.co.nz
youtube.co.th
youtube.co.tz
youtube.co.ug
youtube.co.uk
youtube.co.ve
youtube.co.za
youtube.co.zw
youtube.com.ar
youtube.com.au
youtube.com.az
youtube.com.bd
youtube.com.bh
youtube.com.bo
youtube.com.br
youtube.com.by
youtube.com.co
youtube.com.do
youtube.com.ec
youtube.com.ee
youtube.com.eg
youtube.com.es
youtube.com.gh
youtube.com.gr
youtube.com.gt
youtube.com.hk
youtube.com.hn
youtube.com.hr
youtube.com.jm
youtube.com.jo
youtube.com.kw
youtube.com.lb
youtube.com.lv
youtube.com.ly
youtube.com.mk
youtube.com.mt
youtube.com.mx
youtube.com.my
youtube.com.ng
youtube.com.ni
youtube.com.om
youtube.com.pa
youtube.com.pe
youtube.com.ph
youtube.com.pk
youtube.com.pt
youtube.com.py
youtube.com.qa
youtube.com.ro
youtube.com.sa
youtube.com.sg
youtube.com.sv
youtube.com.tn
youtube.com.tr
youtube.com.tw
youtube.com.ua
youtube.com.uy
youtube.com.ve
youtube.cr
youtube.cz
youtube.de
youtube.dk
youtube.ee
youtube.es
youtube.fi
youtube.fr
youtube.ge
youtube.gr
youtube.gt
youtube.hk
youtube.hr
youtube.hu
youtube.ie
youtube.in
youtube.iq
youtube.is
youtube.it
youtube.jo
youtube.jp
youtube.kr
youtube.kz
youtube.la
youtube.lk
youtube.lt
youtube.lu
youtube.lv
youtube.ly
youtube.ma
youtube.md
youtube.me
youtube.mk
youtube.mn
youtube.mx
youtube.my
youtube.ng
youtube.ni
youtube.nl
youtube.no
youtube.pa
youtube.pe
youtube.ph
youtube.pk
youtube.pl
youtube.pr
youtube.pt
youtube.qa
youtube.ro
youtube.rs
youtube.ru
youtube.sa
youtube.se
youtube.sg
youtube.si
youtube.sk
youtube.sn
youtube.soy
youtube.sv
youtube.tn
youtube.tv
youtube.ua
youtube.ug
youtube.uy
youtube.vn
youtubego.co.id
youtubego.co.in
youtubego.com
youtubego.com.br
youtubego.id
youtubego.in


### настраиваем конфигурацию
/opt/zapret/config - #тоже редактировал через WinSCP

### опытнымм путем мне помогли следующие параметры:
MODE=nfqws
MODE_HTTP=1
MODE_HTTPS=1
MODE_QUIC=1
NFQWS_ENABLE=1
# redirect outgoing traffic with connbytes limiter applied in both directions.
NFQWS_PORTS_TCP=80,443
NFQWS_PORTS_UDP=443,50000-50090
# PKT_OUT means connbytes dir original
# PKT_IN means connbytes dir reply
# this is --dpi-desync-cutoff=nX kernel mode implementation for linux. it saves a lot of CPU.
NFQWS_TCP_PKT_OUT=$((6+$AUTOHOSTLIST_RETRANS_THRESHOLD))
NFQWS_TCP_PKT_IN=3
NFQWS_UDP_PKT_OUT=$((6+$AUTOHOSTLIST_RETRANS_THRESHOLD))
NFQWS_UDP_PKT_IN=0
# redirect outgoing traffic without connbytes limiter and incoming with connbytes limiter
# normally it's needed only for stateless DPI that matches every packet in a single TCP session
# typical example are plain HTTP keep alives
# this mode can be very CPU consuming. enable with care !
#NFQWS_PORTS_TCP_KEEPALIVE=80
#NFQWS_PORTS_UDP_KEEPALIVE=
# use <HOSTLIST> placeholders to engage standard hostlists and autohostlist in ipset dir
# they are replaced to empty string if MODE_FILTER does not satisfy
NFQWS_OPT="
--filter-tcp=80 --dpi-desync=fake,split2 --dpi-desync-autottl=5 --dpi-desync-fooling=md5sig,badseq --hostlist-auto=/opt/zapret/ipset/zapret-hosts-auto.txt --new
--filter-tcp=443 --hostlist=/opt/zapret/ipset/zapret-list-youtube.txt --dpi-desync=fake,split --dpi-desync-fake-tls=0x16030301 --dpi-desync-split-tls=sni --dpi-desync-fooling=md5sig --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin --new
--filter-tcp=80,443 --dpi-desync=fake,split --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_iana_org.bin --dpi-desync-split-pos=3 --dpi-desync-fooling=badseq --dpi-desync-ttl=8 --hostlist-auto=/opt/zapret/ipset/zapret-hosts-auto.txt --new
--filter-udp=443 --hostlist=/opt/zapret/ipset/zapret-list-youtube.txt --dpi-desync=fake,udplen --dpi-desync-repeats=2 --dpi-desync-udplen-increment=16 --dpi-desync-fake-quic=/opt/zapret/files/fake/quic_initial_www_google_com.bin --new
--filter-udp=443 --dpi-desync=fake,udplen quic_initial_facebook_com.bin --dpi-desync-repeats=11 --dpi-desync-udplen-increment=8
"
### Внимание!!! Это мои настройки, я их проверял командой . У вас могут они не работать. Проверяйте командой blockcheck.sh. Ютюбе! этой командой не проверяется. Пишет, что работает без обхода.

###выставляем их в настройках и сохраняем

### перезапускаем службу
- /etc/init.d/zapret restart

### После каждого изменения restart!

### Если какя-нибудь команда не проходит, то надо установить пакеты с названием этой команды.
### Можно это сделать и через вебинтерфейс.

### Как я уже писал, что не понимаю в линуксе.
### Разбирался почти неделю, но Ютюб стал работать в 4к ВЕЗДЕ! И это настройки для Ютюба.
### Заблокированные сайты не обходит, разбираюсь еще сам. 
### Это Мои Настройки!!! Я не претендую ни на что!!! Все благодарности bol-van

### Как Обновить Zapret!!! ###
установить unzip 1 раз
opkg update
opkg install unzip

- cd /tmp
- unzip zapret-master.zip
- zapret-master/install_easy.sh
.............. установка
- rm -r /tmp/zapret-master
#скачиваем zapret по ссылке ниже(2-я, /master)

###Кому нужен инстаграм, попробуйте прописать днс:
1.1.1.1
1.0.0.1
77.88.8.8
8.8.4.4
#Использовать объявляемые узлом DNS сервера(убрать галочку)

###И проверяйте обновления Zapret, автор часто в последнее время вносит правки. 
/etc/init.d/zapret stop - #останавливайте запрет, и меняете папки и файлы обновленные.
/etc/init.d/zapret restart

luci-app-attendedsysupgrade - #обновление прошивки Openwrt!
### Установить приложение из менеджера пакетов

# 2й способ установки zapret! (Самый простой способ!!!)
https://github.com/remittor/zapret-openwrt/wiki/Installing-zapret‐openwrt-package
https://github.com/remittor/zapret-openwrt.
Стратегия:
--filter-tcp=80 <HOSTLIST>
--dpi-desync=fake,split2
--dpi-desync-autottl=2
--dpi-desync-fooling=md5sig

--new
--filter-tcp=443
--ipset=/opt/zapret/ipset/zapret-ip-user.txt
--dpi-desync=split2
--dpi-desync-split-seqovl=681
--dpi-desync-split-seqovl-pattern=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin

--new
--filter-tcp=443 <HOSTLIST>
--dpi-desync=fake,multisplit
--dpi-desync-fake-tls-mod=rnd,dupsid,sni=fonts.google.com
--dpi-desync-fooling=badseq
--dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin

--new
--filter-tcp=80
--hostlist=/opt/zapret/ipset/zapret-hosts-user.txt
--dpi-desync=fake,multisplit
--dpi-desync-fooling=md5sig
--dpi-desync-autottl=1

--new
--filter-udp=443
--hostlist=/opt/zapret/ipset/zapret-hosts-user.txt
--dpi-desync=fake,multidisorder
--dpi-desync-fooling=md5sig,badseq
--dpi-desync-fake-quic=/opt/zapret/files/fake/quic_initial_www_google_com.bin

--new
--filter-udp=50000-50099
--filter-l7=discord,stun
--dpi-desync=fake

# 3й способ:
https://github.com/bol-van/zapret/releases
# скачиваем релиз. Распаковываем на ПК. 
# Папку zapret копируем в /opt(которую надо создать в корне диска). 
# Правой кнопкой мышки нажимаем на папку zapret  и ставим галочку(стать владельцем)

cd /opt/zapret
- ./install_bin.sh
- ./install_prereq.sh
- ./install_easy.sh
# в папку user-host добавьте свои сайты. создайте папку для ютюба.

УДАЧИ!!!

Как я обьединил zapret и впн. 
Если кому интересно - https://gist.github.com/barmaley6699/692cc2a6c9f6ac30345f66ca3de31ba5

да автохослист.

можно, пожалуйста, видео гайд?...
не могу разобраться, последнее сообщение, где куча настроек, у меня они не работают, может автохостлист неправильно настроил, не знаю.
в дискорде, кстати, аватарки не везде прогружаются, в чем причина, может кто в курсе? какую-то настройку может добавить?

как вы понимаете, какие настройки нужно вставить в строчку --filter-tcp=80, а какие в --filter-tcp=443 ?

У меня тоже сайты внесенные в файл zapret-hosts-user.txt как то криво работают, точнее начинают работать(открывается) и в один момент перестают. Если очистить этот файл, перезапустить, потом заново внести туда свой список и перезапустить , тгда начинаются открываться, проходит некоторое время и опять уже не открываются. При этом Ютуб работает нормально, ну у него свой отдельный файл с доменами zapret-hosts-google.txt , короче фигня какая та. Получается Только ютуб и работает на этом запрете.
Ставил по варианту 2(самый простой), т.е. установкой пакетов через веб люси.