« Rev
@ntwrk   1850
Fwd »


Маfеt
в зависимости от исходного адреса
Andrey
а чо просто роут не добавить?
имеешь в виду вообще без ipset?
Маfеt
ну просто до конца не ясно зачем это все
Маfеt
у меня например, если надо чтоб с резервного канала отвечал хост написано 32765: from 89.19.2.2 lookup akado
Andrey
короче это делай и будет щастье
А -o eth0? Если мне надо чтоб оно в tun0 ушло
sexst
Делай)
Маfеt
и у меня по двум каналам хост отвечает
sexst
В процессе пропихивания сквозь ipt поменяется
sexst
Это как отправная точка считай, дальше поменяется по ходу
sexst
Ну у человека как минимум dst set есть в правиле, тут Ip rule не помощник
Маfеt
ну да
A
мне кажется, Дуров покупает впс подряд на всех хостингах на частное лицо, тупо поднимает проксю в свои ДЦ, и вперед. Не представляю, как хостеры смогут от этого избавиться, даже если захотят.. Паспорт только спрашивать..
нет, столько ip амазон просто так бы не отдал (базово они отдают определенно малое количество ресурсов на нового пользователя), далее, диджитал оушен отписался в твиттере о том, что они знают о блокировке ip в России и это типа для них норм, В гугл и амазон давно уже ушли письама от РКН, да и сами они блокировку заметили, но не выгнали, а это может означать предварительную договорённость о взаимном сотрудничестве, которое в свою очередь может быть даже никак не оплачиваемым со стороны Павла. У амазона/гугла других компаний так или иначе могут быть проблемы из-за РКН, да и он уже есть, например, в вижде того, что пользователи вынуждены переезжать от них к хостинг-провайдерам на территорию РФ, где у амазона и ДЦ то нет и не планируется
Маfеt
просто почему не сделать просто обычный роут в впне
Маfеt
если весь трафик на dst надо рулить в tun0
Andrey
ну просто до конца не ясно зачем это все
да банальный обход блокировок 😄 Есть dnsmasq который резолвит и обновляет ip, если хост из списка то сует его ip в ipset. ну а дальше вы знаете....
Маfеt
ну банальный обход делается банальным роутом
Sergey
попраьте рулы
sexst
ipset быстрее чем 100500 rule
Andrey
Делай)
Чота он на такое правило ругается: iptables -t mangle -A OUTPUT -o eth0 -m set -—match-set stage dst -j MARK —set-xmark 0x1/0xffffffff iptables v1.6.0: unknown option "set"
sexst
даже со всеми метками пакетов
Маfеt
если надо для кого-то делать обход а для кого-то нет, то да, надо mark
Sergey
зачем вам вообще маркировать пакеты?
Маfеt
даже из копипасты видно, что что-то не так с тире
Маfеt
напишите просто два минуса руками
sexst
--set
sexst
--m set
sexst
вот
Sergey
ipset быстрее чем 100500 rule
так можно просто 100500 роутов сделать, если не нужен полиси роутинг)
sexst
Такое на линуксе архитектурно медленнее чем Ipset с маркировками
Маfеt
херасе
sexst
ДАже с учетом изменений в поиске маршрута
Маfеt
то есть просто роут медленней чем ipset ?
Andrey
ну банальный обход делается банальным роутом
мне показалось через ipset проще обновлять. +dnsmasq сам сует туда IP. Мне тока домены ему сказать остается.
Sergey
эт почему роут медленней ipset +mark + iptables ?
sexst
ipset это Bloom фильтр, маршрутизация - разреженное дерево. Куча /32 через первое быстрее обрабатывается
Маfеt
ну хз. у меня скрипт на баше
Маfеt
там не так много адресов которые надо реально обходить
sexst
то есть просто роут медленней чем ipset ?
зависит. Для задач с кучей мелких префиксов реально да
Маfеt
у меня так хост файл для обхода блокировок выглядит
Маfеt
13.52.0.0/14;local 52.208.0.0/13;local 35.160.0.0/13;local 52.192.0.0/11;local 52.0.0.0/11;local 34.192.0.0/10;local #amazon end #xz che 13.32.0.0/12;local 151.101.0.0/16;local 35.156.0.0/14;local 52.57.0.0/16;local 54.224.0.0/12;local #xz che kod.opentg.us;local
Маfеt
раз в минуту кроном парсится))
Маfеt
еще есть такие строки
Маfеt
bt3.t-ru.org;ec2 bt01.nnm-club.cc;local bt01.nnm-club.info;local tr0.tor2me.info;ec2 bt.megapeer.org;ec2
Маfеt
скрипт резолвит и обходит
Маfеt
костыль адовый но работает)))
Sergey
да и кешируются роуты ж
sexst
Там ного фана под капотом. Добавить первый ip route table уже мощно сажает производительность форвардинга
sexst
Выкинули
Sergey
вообще я на марках и тейблах делал перенаправление в разные тунели даже для аута, но там какие-то заморочки были, надо вспоминать с фейковыми дефолтами в том числе
Маfеt
не роуты кешируются а коннтрек
Маfеt
но он сбрасывается рано или поздно
sexst
Ну раньше и роут-кеш был же
Маfеt
ну этого я не заметил
Sergey
а, да, его ж выпилили
Маfеt
видимо давно было
Sergey
Там ного фана под капотом. Добавить первый ip route table уже мощно сажает производительность форвардинга
я не углублялся в алгоритмы поиска по таблицам роутов, это где-то расписно кроме kernel src ?)
Andrey
Так, кароч правило добавилось. И теперь меня даж не кидает редиректом на страницу блокировки. Но траф похоже не идет куда надо(
Andrey
# ipset list Name: vpn Type: hash:ip Revision: 4 Header: family inet hashsize 1024 maxelem 65536 Size in memory: 176 References: 1 Members: 108.174.10.10 *mangle :PREROUTING ACCEPT [6397:1388841] :INPUT ACCEPT [1917:152146] :FORWARD ACCEPT [4476:1236455] :OUTPUT ACCEPT [1824:159747] :POSTROUTING ACCEPT [6298:1396055] -A OUTPUT -o eth0 -m set --match-set vpn dst -j MARK --set-xmark 0x1/0xffffffff # ip ro get 108.174.10.10 108.174.10.10 via 95.143.124.193 dev eth0 src 95.143.124.194 cache
sexst
Вот этого чувака безумно интересно почитать на сию тему https://vincent.bernat.im/en/blog/2017-performance-progression-ipv4-route-lookup-linux
Sergey
есть костыль - можете сжедать snat на этом tun0
Sergey
b dct dpktnbn gj bltt
Sergey
и все взлетит по идее
sexst
Да ну не знаем мы ничего про ipset и iptables на этапе ip route get
Маfеt
да кстати
sexst
смотрим без их учета вообще
Andrey
А то что у него маршрут в tun0 не заставит его сменить сорс? # ip rule 0: from all lookup local 220: from all lookup 220 1000: from all fwmark 0x1 lookup 320 32766: from all lookup main 32767: from all lookup default # ip ro list table 320 default dev tun0 scope link
Маfеt
короче я бы не стал так морочиться
sexst
Нет
sexst
Маршрут != nat
Sergey
т.к. оно уже по роутам пробежало
Маfеt
возможно кстати оно может снатиться при выходе уже с tun0 я хз как оно будет работать
Маfеt
но скорее всего лучше snat на tun0 сделать
« Rev
@ntwrk   1850
Fwd »