ITDog

Как сделать роутинг для определённых доменов на OpenWrt 22.03?

Суть работы описывал тут.
Я надеялся, что dnsmasq 2.87 портируют под openwrt 22. Но его портировали только под текущую dev версию, а для 22.03 портировать не стали. Это значит, что ждать его в 22.03 версии не стоит.
Но это openwrt, и мы можем делать то, что захочется. Можно взять этот пакет из dev версии, поставить и попробовать использовать. Сразу предупреждаю, что у вас могут всплыть какие-то проблемы. Я протестировал этот метод только в плане добавления ip адресов в sets, насчёт общей стабильности ничего сказать не могу.

Скачиваем пакет из https://downloads.openwrt.org/releases/23.05.0/packages/

Тут надо опять же знать архитектуру вашего роутера, узнаётся очень просто

root@OpenWrt:~# opkg print-architecture
arch all 1
arch noarch 1
arch mipsel_24kc 10

Это вывод с моего Xiaomi 3g. Идём в каталог mipsel_24kc. Оттуда переходим в base

Нужно два пакета:
- Сам dnsmasq-full
- Его зависимость, которой нет в 22.03, libubox20220927

Нужно устанавливать версию dnsmasq-full не выше 2.89-4. Следующие версии не совместимы с OpenWrt 22.03.

Копируем ссылку, переходим в /tmp и скачиваем. Это лишь пример комманд, у вас будут другие ссылки:

cd /tmp
wget https://downloads.openwrt.org/snapshots/packages/mipsel_24kc/base/dnsmasq-full_2.89-1_mipsel_24kc.ipk
wgethttps://downloads.openwrt.org/snapshots/packages/mipsel_24kc/base/libubox20220927_2022-09-27-ea560134-1_mipsel_24kc.ipk
wget https://downloads.openwrt.org/snapshots/packages/mipsel_24kc/base/libubus20220615_2022-06-15-9913aa61-1_mipsel_24kc.ipk

Теперь поставим зависимости, которые есть в репозитории

opkg update
opkg install libc libnettle8 libnetfilter-conntrack3 nftables-json

Удаляем стандартный dnsmasq и ставим скачанные пакеты

opkg remove dnsmasq
opkg install libubox20220927_2022-09-27-ea560134-1_x86_64.ipk
opkg install dnsmasq-full_2.88-1_x86_64.ipk

Если резолвинг сломался, следуйте инструкции из поста для 21 версии.

Добавляем ещё один ipset и правило в /etc/config/firewall

config ipset
        option name 'vpn_domains'
        option match 'dst_net'

config rule
        option name 'mark_domains'
        option src 'lan'
        option dest '*'
        option proto 'all'
        option ipset 'vpn_domains'
        option set_mark '0x1'
        option target 'MARK'
        option family 'ipv4'

После этого нужен рестарт

/etc/init.d/firewall restart

Добавляем необходимые домены в /etc/config/dhcp

Синтаксис, как для 21ой версии не работает, но новый (кстати, в 21ой тоже работет) мне кажется, даже более удобным и структурированным. Добавляется отдельным блоком

config ipset
  list name 'vpn_domains'
  list domain 'graylog.org'
  list domain 'terraform.io'
  list domain 'openai.com'

После добавления записей нужно рестартовать dnsmasq

/etc/init.d/dnsmasq restart

Зафорсим запрос на роутер для проверки

dig graylog.org @192.168.1.1

И проверим, что ip добавились в sets

nft list ruleset | grep -A 5 vpn_domains

Будут отображаться в elements

    elements = { 188.114.99.224, 188.114.98.224,
           76.76.21.21 }

Если возникнут проблемы и надо сделать "как было раньше", то удаляйте скачанный dnsmasq-full и устанавливайте стабильный из репозитория

opkg remove dnsmasq-full
opkg install dnsmasq