Точечный обход блокировок РКН на роутере с OpenWrt с помощью WireGuard и DNSCrypt

Чем отличается от подобных материалов?

  • Реализация на чистом OpenWrt
  • Использование WireGuard
  • Конфигурация роутера организуется с помощью конфигов OpenWrt, а не кучей в одном скрипте
  • Предусмотрены ситуации при рестарте сети и перезагрузке
  • Потребляет мало ресурсов роутера: заблокированные подсети содержатся в iptables, а не в таблицах маршрутизации. Что позволяет развернуть это дело даже на слабых устройствах
  • Автоматизация конфигурации с помощью Ansible (не требуется python на роутере)

Видеоверсия

Почему OpenWrt и WireGuard?

OpenWrt ставится на очень много моделей soho роутеров, конфигурируется и расширяется как душа пожелает. Сейчас многие прошивки роутеров - это надстройки над OpenWrt.
Wireguard используется из-за его быстрой и простой настройки, а так же из-за высокой скорости передачи через туннель.

Немного о WireGuard

В нашем случае сервер - это VPS вне РКН, клиент - OpenWrt роутер дома. Когда вы захотите зайти на pornolab telegram, ваш роутер направит трафик через сервер с WireGuard.
WireGuard поднимает site-to-site соединение, т.е. и у сервера и у клиента имеется серверная и клиентская часть конфигурации. Если не понятно - станет понятно когда увидите конфигурацию.
У сервера и у клиента есть свои собственные приватный и публичный ключи.

Настройка WireGuard на сервере

Я проделываю всё на Ubuntu 18.04, но в официальной документации есть инструкции по установке для всех известных и не очень ОС.

Установка

При возникновении ошибки

Установите software-properties-common - пакет предоставляет возможность добавления и удаления PPA

Генерируем ключи для сервера
Ключи сохраним в директории WireGuard для удобства

Соответственно в файле privatekey-server будет приватный ключ, а в publickey-server - публичный.
Так же сгенерируем сразу ключ для клиента

Конфигурация

Конфиг хранится в /etc/wireguard/wg0.conf
Серверная часть выглядит так

Address - адрес для интерфейса wg (адрес внутри туннеля)
PrivateKey - Приватный ключ (privatekey-server)
ListenPort - Порт на котором служба ожидает подключения
Ну и делаем маскарадинг, потому что мы будем использовать этот сервер для выхода в интернет
Обратите внимание, что имя интерфейса в вашем случае может отличаться

Клиентская часть

PublicKey - публичный ключ нашего роутера (publickey-client)
AllowedIPs - подсети, которые будут доступны через этот туннель. Серверу требуется доступ только до адреса клиента

Обе части хранятся в одном конфиге.

Включаем автозапуск при перезагрузке

Делаем сервер маршрутизатором

Настроим фаервол. Предположим, что у нас на сервере только WireGuard и ssh

Сохраним конфигурацию iptables

Поднимаем wg интерфейс первый раз вручную

WireGuard сервер готов

UPD 27.06.19 Если ваш провайдер до сих пор использует PPoE, то нужно добавить правило

Настройка роутера

Я использую OpenWrt версии 18.06.1 на Xiaomi mi 3G и Asus RT-N16.

Логика работы роутера

Загружаем списки, помещаем их в iptables, все адреса из этих списков iptables помечает маркером 0x1. Далее все пакеты помеченные 0x1 идут в отдельную таблицу маршрутизации, все пакеты попавшие в эту таблицу маршрутизации идут через wg интерфейс.

Установка пакетов

Насчет занимаемого места на флеше, на всё понадобится примерно 0.9МБ. Если у вас совсем плохо с местом, замените curl wget'ом и можете не ставить dnscrypt-proxy.

Ставим пакеты. В OpenWrt это просто сделать через менеджер пакетов opkg

Загрузка списков

Всё, что можно сделать через стандартные возможности OpenWrt, сделано через них. Всё остальное (кроме hotplug) я поместил в небольшой скрипт

Списки запрещенных подсетей и адресов получаем файлами. Для них создаём директорию в /tmp. В /tmp - потому что это RAM, такая особенность OpenWrt, довольно удобная. На ROM роутера что-то писать лишний раз не стоит.
Выкачиваем списки с antifilter.download curl'ом, флаг z означает, что curl будет скачивать файл, только если удаленный файл отличается от локального или если его нет, как например в случае при загрузке роутера.
subnet.lst - список заблокированных подсетей, изменяется не часто.
ipsum.lst - список заблокированных адресов, который суммаризирован по маске. Вместо 150 тысяч записей получаем 15 тысяч - удобно.
После того как файлы у нас - рестартуем firewall, это нужно для того что бы ipset отработал и добавил списки в iptables, ipset у нас будет сконфигурен в /etc/config/firewall.

Скрипт этот мы добавляем в /etc/init.d/ назовём hirkn. Сделаем его исполняемым

Теперь у нас не просто скрипт, а целая служба. Для того, что бы он запускался при загрузке, делаем симлинк в /etc/rc.d. Нам нужно, что бы он запускался после всех остальных служб, поэтому делаем приставку S99

Списки нужно обновлять время от времени, добавляем запись в cron

Мне кажется вполне достаточным обновлять их раз в сутки. Имейте в виду, что при добавлении списков в ipset, отваливается сеть, в моём случае это 2 секунды.
Так же включите крон, по дефолту он отключен

Конфигурация таблицы маршрутизации

Создаем таблицу маршрутизации для трафика через туннель, просто добавив строку

в файл /etc/iproute2/rt_tables
Создать дефолтный маршрут для таблицы "vpn" через wg интерфейс можно командой

Но при рестарте сети маршрут пропадёт, поэтому создаём файл 30-rknroute в директории /etc/hotplug.d/iface/ с простым содержимым:

Это означает, что при включении\выключении интерфейсов будет добавляться наш маршрут. И соответственно, этот маршрут будет всегда прописан.

Конфигурация сети

Нам необходимо сконфигурировать WireGuard и правило для пакетов с меткой 0x1.

Конфигурация WireGuard располагается в /etc/config/network
"Серверная" часть

private_key - это privatekey-client, который мы генерировали при настройке сервера
list addresses - адрес wg интерфейса
listen_port - порт на котором WireGuard принимает соединения. Но соединение будет происходить через порт на сервере, поэтому здесь мы не будем открывать для него порт на firewall
proto - указываем протокол, что бы openwrt понимало что это конфигурация WireGuard

"Клиентская" часть

public_key - ключ publickey-server
allowed_ips - подсети, в которые может ходить трафик через тунель, в нашем случае никаких ограничей не требуется, поэтому 0.0.0.0/0
route_allowed_ips - флаг, который делает роут через wg интерфейс для перечисленных сетей из параметра allowed_ips. В нашем случае это не нужно, эту работу выполняет iptables
endpoint_host - ip/url нашего wg сервера
persistent_keepalive - интервал времени, через который отправляются пакеты для поддержки соединения
endpoint_port - порт wireguard на сервере

Ещё в конфигурацию network добавим правило, которое будет отправлять весь трафик, помеченный 0x1, в таблицу маршрутизации "vpn"

Конфигурация firewall

Добавим два правила маркировки пакетов, они не вписываются в синтаксис UCI openwrt, поэтому добавляем их "как есть" в /etc/firewall.user
UPD: На хабре подсказали, что вполне себе вписываются. Зададим их после настройки ipset

Конфигурация фаервола находится в /etc/config/firewall
Добавляем зону для wireguard. В openwrt зоны - это кастомные цепочки в iptables. Таким образом создаётся зона с одним\несколькими интерфейсами и уже на неё вешаются правила. Зона для wg выглядит например вот так

Мы разрешаем только выход трафика из интерфейса и включаем маскарадинг.

Теперь нужно разрешить переадресацию с lan зоны на wg зону

Настроим формирование списков в ipset

loadfile - файл из которого берем список
name - имя для нашего списка
storage, match - здесь указываем как хранить и какой тип данных. Будем хранить тип "подсеть"

UPD: Если хотите использовать список отдельных IP адресов, то вам необходимо увеличить размер списка ipset. В config ipset добавьте

Иначе вы будете получать ошибку

UPD: Добавим два правила маркировки пакетов

Эти правила подразумевают под собой, что все пакеты идущие в подсети из списков vpn_subnets и vpn_ipsum необходимо помечать маркером 0x1.

После этого рестартуем сеть

и запускаем скрипт

После отработки скрипта у вас должно всё заработать.
Проверьте маршрут на клиенте роутера

Бонусом настроим DNSCrypt

Зачем? Ваш провайдер может заботливо подменять ip адрес заблокированного ресурса, таким образом перенаправляя вас на свой ip с заглушкой, ну и наш обход по ip в данном случае не поможет. Для подмены не всегда даже нужно использовать dns сервер провайдера, ваши запросы могут перехватываться и ответы подменяться. Ну и к слову, это может делать не только провайдер.

Настраиваем конфиг /etc/config/dnscrypt-proxy примерно так

Таким образом у нас есть сервис dnscrypt на порту 5353 доступный на localhost.
Resolver - это dns, сервер поддерживающий шифрование. На роутере в файле /usr/share/dnscrypt-proxy/dnscrypt-resolvers.csv содержится список доступных, на момент выпуска установленной версии dnscrypt, серверов. А вот здесь https://dnscrypt.info/public-servers/ вообще все доступные серверы dnscrypt. Можете выбрать другого резолвера и/или добавить серверов для отказоустойчивости. Имейте в виду, что бы DNSCrypt работал с выбраным резолвером, он должен быть указан в dnscrypt-resolvers.csv

Настраиваем dnsmasq на работу с dnscrypt. В /etc/config/dhcp комментируем строчку

для того что бы не были задействованы dns серверы провайдера
и добавляем

Запись list server 'domain/ip_dns' указывает какой dns сервер использовать для резолва указанного домена. Таким образом мы не задействуем dnscrypt для синхронизации ntp - для работы службе dnscrypt важно иметь актуальное время.
При загрузке роутера, скрипт hirkn запускается быстрее чем стартует dnscrypt, таким образом домен antifilter.download не резолвится и списки не скачиваются. Можно сделать задержку или ещё что придумать, но пока что не вижу смысла.
UPD: необходимо добавить строку

в скрипт hirkn

В итоге мы получаем такую вставку в конфиг

UPD: На некоторых устройствах DNSCrypt запускается всё-равно после скрипта. Самый простой исправить - это добавить в /etc/config/dhcp строку

Отключаем использование провайдерских DNS для интерфейса wan
В /etc/config/network добавляем строку

к интерфейсу wan.
Получаем такую конфигурацию

/etc/init.d/network restart

Рестартуем dnsmasq


Илюстрация работы без DNSCrypt и c DNSCrypt

Автоматически развертываем с помощью Ansible

Playbook и темплейты лежат на [github](https://github.com/itdoginfo/ansible-openwrt-hirkn "github")
Используется модуль https://github.com/gekmihesg/ansible-openwrt, в нём не нужен python на роутере и есть поддержка uci.
Я постарался сделать так, что бы ваша конфигурация OpenWrt осталась не тронутой, но всё равно будьте бдительны.

Устанавливаем модуль gekmihesg/ansible-openwrt

Копируем плейбук и темлпейты

Добавляйте ваш роутер в hosts

Подставляете свои переменные в hirkn.yml

Обязательно нужно задать
wg_server_address - ip/url wireguard сервера
wg_private_key, wg_public_key - приватный ключ клиента и публичный сервера
Остальное можно не менять или менять, в зависимости от того как настроен WireGuard сервер

Запускаем playbook

После выполнения плейбука, роутер сразу начнёт выполнять обход блокировок через ваш wireguard сервер.

Почему не BGP?

Под openwrt есть две утилиты реализующих BGP - quagga и bird. Quagg'у мне не удалось заставить забирать данные с antifilter. Bird подружился с сервисом с полпинка, но как заставить добавлять полученным подсетям интерфейс по умолчанию я, к сожалению, не понял. (Буду рад узнать как это можно реализовать)
В комментариях к подобным статьям я видел, что роутеры у людей "призадумывались" на некоторое время, когда те загоняют списки в таблицу маршрутизации. С реализацией через ipset мой Xiaomi mi 3G задумывается на 2 секунды (Asus rt-n16 на 5 секунд), когда скармливаешь ему список из 15ти тысяч подсетей. При дальнейшей работе нагрузки на процессор не замечал.

Все материалы не являются призывом к действию и представлены для ознакомления с функционалом ОС Linux.

Закладка Постоянная ссылка.

14
Отправить ответ

avatar
6 Comment threads
8 Thread replies
1 Followers
 
Most reacted comment
Hottest comment thread
7 Comment authors
ЫшаАлександрPensharpeluziveПетр Recent comment authors
  Subscribe  
newest oldest most voted
Notify of
Andrey
Гость
Andrey

Зачем dnscrypt? Почему бы просто не завернуть dns трафик в туннель и использовать гугл днс или ещё какой?

Петр
Гость
Петр

Трафик шифруется?

eluzive
Гость
eluzive

А есть альтернатива antifilter.download ? Много левых ip, тот-же twitch навскидку.
Или надо использовать ip.lst для более точечного обхода? А то половина моего инета через vpn ходит, что не очень комфортно через 3G модем )

Pensharp
Гость
Pensharp

А есть тоже самое только для Украины?

Александр
Гость
Александр

option noresolv ‘1’ забыли указать. в видео есть. из-за этого долго не мог понять, что я делаю не так.

Александр
Гость
Александр

Не, нифига, после перезагрузки роутера wg show показывает, что все норм, а пинга нет. Может кто че подскажет?

Александр
Гость
Александр

ping -I wg0 telegram.org теперь пингуется, но с браузера зайти не могу. Все глючит, вообще ничего не пойму.

Ыша
Гость
Ыша

UPD 27.06.19 Если ваш провайдер до сих пор использует PPoE, то нужно добавить правило

Вопрос, а куда его прописать?