Обход блокировок в России через АнтиЗапрет на прошивке Keenetic версии 3.7 или старее

Внимание: АнтиЗапрет разблокирует не все заблокированные ресурсы. Например, не будут разблокированы YouTube и Discord.

1) В свойствах подключения к провайдеру включить настройку «Игнорировать DNS», а также вписать в качестве «DNS 1» и «DNS 2» адреса каких-нибудь публичных DNS-серверов, например, 77.88.8.8 и 9.9.9.10. Если у вас подключение к провайдеру по протоколу PPPoE, то это всё надо делать в настройках PPPoE. Если у вас модем, то всё это делать в настройках самого модема (вам виднее, где там у модема настройки, у модемов обычно свой веб-интерфейс).

Внимание: Если подключение к провайдеру у вас осуществляется в виде VPN-подключения (LT2P/PPTP) к какому-то непубличному серверу (например, tp.internet.beeline.ru или l2tp.freedom), адрес которого не резолвится через публичные DNS, то вместо домена (в примере выше tp.internet.beeline.ru) указывайте его IP. Иначе, подключение к провайдеру работать не будет, поскольку включена настройка «Игнорировать DNS».

Вы можете использовать любые публичные DNS (вместо 77.88.8.8 и 9.9.9.10, как в примере), главное, чтобы это были классические IPv4 DNS-серверы, никаких IPv6/DoH/DoT

2) В разделе «Другие подключения» создать OpenVPN-подключение с именем «AntiZapret». Включить настройки «Использовать для выхода в Интернет» и «Получать маршруты от удалённой стороны». Скачать файл конфигурации (зеркало на случай, если сайт заблокировали; ещё зеркало), открыть его блокнотом и вставить содержимое в поле «Конфигурация OpenVPN». Кроме того, туда же в самое начало или самый конец добавить следующие строки

pull-filter ignore block-outside-dns
route 77.88.8.8
route 9.9.9.10 

А также удалить строку setenv opt data-ciphers AES-128-GCM:AES-256-GCM:AES-128-CBC

Важно: эти адреса в конфиге OpenVPN должны полностью совпадать с теми, которые вы указали на шаге 1. Если вы на шаге 1 использовали не 77.88.8.8 и 9.9.9.10, а, скажем, 1.1.1.1, то и тут у вас будет route 1.1.1.1

3) Включить это только что созданное OpenVPN-подключение.

Если вы используете не публичный АнтиЗапрет, а свой собственный, развёрнутый на вашем сервере, то в инструкции ничего не меняется за исключением того, что на шаге 2 вы берёте свой файл конфигурации.

#antizapret #keenetic #openvpn

Обход блокировок в России через АнтиЗапрет на прошивке Keenetic версии 3.8 или новее

Внимание: АнтиЗапрет разблокирует не все заблокированные ресурсы. Например, не будут разблокированы YouTube и Discord.

Должны быть установлены компоненты «Фильтрация контента и блокировка рекламы при помощи облачных сервисов» и «Прокси-сервер DNS-over-HTTPS». На «пиратских» (неоригинальных) кинетиках компоненты уже установлены.

1) В разделе «Интернет-фильтр» на вкладке «Настройка DNS» в «Системный» профиль добавить серверы

Тип сервера DNS: DNS-over-HTTPS
URL сервера DNS: https://common.dot.dns.yandex.net/dns-query
Домен: v.31337.lol

Тип сервера DNS: DNS-over-HTTPS
URL сервера DNS: https://dns.google/dns-query
Домен: v.31337.lol

Вы можете использовать другие публичные DNS, главное, чтобы это были серверы DNS-over-HTTPS.

2) В том же разделе («Интернет-фильтр» на вкладке «Настройка DNS») в «Системном» отключить получение адресов от провайдера и добавить серверы

Тип сервера DNS:  По умолчанию
Адрес сервера DNS: 195.208.4.1

Тип сервера DNS:  По умолчанию
Адрес сервера DNS: 1.1.1.1

Вы можете использовать другие публичные серверы, главное, чтобы соблюдались условия:
* это должны быть классические IPv4 DNS-серверы, никаких IPv6/DoH/DoT
* эти серверы не должны пересекаться с теми, которые используются на предыдущем шаге (например, если вы использовали сервер dns.google, то тут нельзя использовать сервер 8.8.8.8, т. к. это один и тот же сервер)

Внимание: если у вас прошивка 3.9 и новее желательно отключить «Транзит запросов» для «Системного» профиля.

3) В разделе «Интернет-фильтр» на вкладке «Настройка DNS» создать профиль «AntiZapret» и добавить в него серверы

Тип сервера DNS:  По умолчанию
Адрес сервера DNS: 62.76.62.76

Тип сервера DNS:  По умолчанию
Адрес сервера DNS: 9.9.9.10

Нажать «Сохранить», чтобы рядом с именем профилей пропала звёздочка.

Вы можете использовать в профиле «AntiZapret» другие публичные серверы (вместо 62.76.62.76 и 9.9.9.10, как в примере), главное, чтобы соблюдались условия:
* это должны быть классические IPv4 DNS-серверы, никаких IPv6/DoH/DoT
* эти серверы не должны пересекаться с теми, которые использовались на предыдущих шагах (например, если вы использовали сервер dns.google на первом шаге, то тут нельзя использовать сервер 8.8.8.8, т. к. это один и тот же сервер)

Внимание: если у вас прошивка 3.9 и новее желательно отключить «Транзит запросов» для только что созданного профиля «AntiZapret».

4) В разделе «Интернет-фильтры» на вкладке «Контентный фильтр» выбрать режим фильтрации «Публичные DNS-резолверы и настраиваемые профили». Ниже в разделе «Профили контентной фильтрации по умолчанию» для всех сетей (домашняя, гостевая) выбрать из выпадающего списка профиль «AntiZapret» (он в самом низу выпадающего списка).

5) В разделе «Другие подключения» создать OpenVPN-подключение с именем «AntiZapret». Включить настройки «Использовать для выхода в Интернет» и «Получать маршруты от удаленной стороны». Скачать файл конфигурации (зеркало на случай, если сайт заблокировали; ещё зеркало), открыть его блокнотом и вставить содержимое в поле «Конфигурация OpenVPN». Кроме того, туда же в самое начало или самый конец добавить следующие строки

pull-filter ignore block-outside-dns
route 195.208.4.1
route 1.1.1.1
route 62.76.62.76
route 9.9.9.10

Важно: эти адреса в конфиге OpenVPN должны полностью совпадать с теми, которые вы указали на шагах 2 и 3. Если вы использовали не 62.76.62.76 и 9.9.9.10, а, скажем, 8.8.4.4, то и тут у вас будет route 8.8.4.4

Внимание: если у вас прошивка версии 3.8, нужно удалить строку setenv opt data-ciphers AES-128-GCM:AES-256-GCM:AES-128-CBC. На более свежих прошивках (3.9 и новее) это УДАЛЯТЬ НЕ НУЖНО.

6) Включить это только что созданное OpenVPN-подключение.

Если вы используете не публичный АнтиЗапрет, а свой собственный, развёрнутый на вашем сервере, то в инструкции ничего не меняется за исключением того, что шаг 1 вы пропускаете полностью, а на шаге 5 берёте свой файл конфигурации.

#antizapret #keenetic #openvpn

Что делать, если не работает обход блокировок через АнтиЗапрет на прошивке Keenetic

1) Добавьте в конфиг строку verb 5
Это заставит OpenVPN выдавать в системный журнал более подробные сведения о происходящем. После этого смотрите системный журнал в разделе настроек «Диагностика».

2) Возможно, провайдер заблокировал доступ к домену АнтиЗапрета. Особенно актуально для прошивок 3.6 и старее, где нет защиты от блокировки доступа к серверу. Скачайте актуальный файл конфигурации и убедитесь, что адрес в строке remote ... совпадает с тем, который указан в конфиге на роутере.

3) Пройдите стандартный тест («standard test») на сайте dnsleaktest.com
В результатах теста должен быть лишь ОДИН сервер — сервер АнтиЗапрета. Если вы видите какие-то другие серверы, возможно, на устройстве, на котором вы проходите тест, уже настроен какой-то VPN, установлено расширение для обхода блокировок в браузере, указаны вручную адреса сторонних DNS-серверов в настройках подключения к сети, либо включён «безопасный DNS» в настройках браузера или настройках операционной системы. Всё это необходимо отключить.

4) Проверьте, в какие IP-адреса преобразуются имена заблокированных доменов.
Самый простой способ: выполнить в консоли на клиентском устройстве (не на самом роутере) пинг заблокированного ресурса: ping rutracker.org

При правильных настройках пинг пойдёт до адреса, начинающегося с 10., например

Обмен пакетами с rutracker.org [10.224.0.209]

#antizapret #keenetic #troubleshooting

Обход блокировок и замедления YouTube на прошивке Keenetic с помощью tpws (имеет смысл пробовать, только если не устраивает работа nfqws, о котором см. ниже)

[!] Если у роутера нет USB-порта, то инструкция вам не подойдёт.

Обязательно должен быть установлен компонент «Модули ядра подсистемы Netfilter» (веб-интерфейс управления роутером → Параметры системы → Показать компоненты).

Дальше устанавливаем tpws по инструкции.
Если вы хотите лишь избежать замедления YouTube (например, если у вас обход блокировок уже настроен через АнтиЗапрет), то выберите при установке режим list.

После установки перезагрузите роутер.

______

Если замедление YouTube сохраняется, создайте правило файерволла, блокирующее протокол QUIC

Межсетевой экран → Домашняя сеть → Добавить правило

Включить правило: Включено
Описание: Блокировать QUIC
Действие: Запретить
Протокол: UDP
Номер порта назначения: Равен 443
Остальные параметры оставляем без изменений


Если в системном журнале возникают ошибки, связанные с iptables, установите компонент «Модули ядра подсистемы Netfilter» (веб-интерфейс управления роутером → Параметры системы → Показать компоненты).


Если в системном журнале возникают ошибки, связанные с ip6tables и ваш провайдер не поддерживает IPv6, игнорируйте их или отключите поддержку IPv6 в файле /opt/etc/tpws/tpws.conf:

IPV6_ENABLED=0

______


Обсуждение там же на GitHub, либо на NTC

#keenetic #youtube #tpws

Обход блокировок и замедления YouTube на прошивках Keenetic с помощью nfqws

По отзывам работает немного лучше, чем вариант с tpws, описанный выше.

[!] Если у роутера нет USB-порта, то инструкция вам не подойдёт.

Дальше устанавливаем nfwqs по инструкции.
Если вы хотите лишь избежать замедления YouTube (например, если у вас обход блокировок уже настроен через АнтиЗапрет), то выберите при установке режим list.

После установки перезагрузите роутер.

Обсуждение там же на GitHub, либо на NTC

#keenetic #youtube #nfqws

Cloudlare WARP на прошивке Keenetic

Понадобится прошивка 4.2 или новее. В более старых прошивках не поддерживается ASC для WireGuard. Также должен быть установлен компонент WireGuard.

1. Сгенерировать конфиг.

2. Другие подключения → Wireguard → Загрузить из файла → Загрузите сюда полученный конфиг.

3. В CLI выполнить команду show interface и определить имя интерфейса WireGuard (обычно Wireguard0).

4. В CLI выполнить команду interface Wireguard0 wireguard asc jc jmin jmax s1 s2 h1 h2 h3 h4

Wireguard0 — имя интерфейса, которое вы узнали на шаге 3
Вместо jc...h4 вписать соответствующие параметры из конфига (откройте его текстовым редактором),

В общем случае команда будет выглядеть примерно так interface Wireguard0 wireguard asc 120 23 911 0 0 1 2 3 4

5. В CLI выполните команду system configuration save

6. В веб-интерфейсе в настройках подключения WireGuard включите опцию «Использовать для выхода в интернет», а затем включите само подключение WireGuard и дождитесь, пока индикатор подключения станет из серого зелёным.

7. Настройте приоритеты подключений по вкусу (можно просто поместить подключение WireGuard первым в списке, тогда все клиенты будут выходить в интернет через VPN, либо можно там же создать политику и пустить лишь некоторых клиентов через VPN).

#keenetic #wireguard #warp