Налады

Экран «Налады» збірае ўсе параметры праграмы ў адным месцы. Злева — унутраны спіс раздзелаў, справа — налады выбранага раздзела. Раздзелаў дзевяць: «Прылада», «Сістэма», «Сетка і фільтры», «DNS», «Даныя», «Сканер», «Абнаўленне», «Зваротная сувязь» і «Выдаліць пакет».

Ніжэй разгледжаны ўсе пункты па парадку — што кожны робіць, якія значэнні дапушчальныя і калі іх варта чапаць. Чытаць запар не абавязкова: пераходзьце да патрэбнага раздзела.

Як уладкаваны экран «Налады»

Раздзелы злева. Націск на назве адкрывае яго параметры справа. Актыўны раздзел падсвечаны; на тэлефоне спіс раздзелаў і змест ідуць адзін пад адным.

Кнопка «Захаваць». Яна ёсць амаль у кожным раздзеле і з’яўляецца, калі вы нешта змянілі. Націсніце яе, каб запісаць змены — без гэтага праўка не прыменіцца. Пасля захавання праграма адказвае кароткім паведамленнем: «Налады захаваныя.» альбо паведамленнем пра тое, што для поўнага прымянення часткі змяненняў спатрэбіцца перазапуск праграмы, — і пералічвае тое, што патрабуе перазапуску.

Што захоўваецца само. Частка простых перамыкачоў запісваецца адразу, без кнопкі: стартавая старонка, інтэрвал праверкі тунеля для DNS, аўтаматычная праверка абнаўленняў і яе інтэрвал. Побач з такімі пунктамі кнопкі «Захаваць» няма — гэта нармальна.

Што патрабуе перазапуску праграмы. Змены адраса і порта панэлі, сеткавых портаў, механізма сеткавага экрана, тэрміну захоўвання журналаў, аўтазапуску і ліку рэзервовых копій прымяняюцца пасля перазапуску Квас Про — праграма сама напіша пра гэта пасля захавання. Налады сканера і абарона ад падмены DNS прымяняюцца адразу.

Экспертны рэжым. Частка параметраў схаваная, пакуль не ўключаны «Экспертны рэжым налад». Падрабязна пра яго — у раздзеле «Экспертны рэжым налад» у канцы гэтай старонкі.

Прылада

Раздзел пра тое, як ваша прылада выглядае і называецца ў інтэрфейсе.

• Імя прылады — поле для кароткага імя (да 64 сімвалаў), па якім вы пазнаеце свой роўтар у верхнім радку праграмы. Калі пакінуць поле пустым, замест імя пакажацца сеткавы адрас прылады. Імя правяраецца на серверы, таму ў адказ на недапушчальнае праграма папросіць выправіць.
• Колеравы акцэнт — палітра каляровых кружкоў побач з імем, уключаючы варыянт «Без колеру». Калі ў вас некалькі роўтараў з Квас Про, розныя колеры дапамагаюць не пераблытаць, дзе вы цяпер знаходзіцеся.
• Даменнае імя ў сетцы — асобная панэль пад панэллю «Імя прылады», паказваецца толькі ў экспертным рэжыме налад: поле для кароткай часткі імя і выбар зоны (.lan або .home). Гэта імя, па якім роўтар адказвае ў вашай лакальнай сетцы і па якім адкрываецца гэтая панэль, напрыклад https://router.lan. «Імя прылады» вышэй — толькі подпіс у інтэрфейсе (там можна пісаць па-руску), на працу сеткі яно не ўплывае. У даменным імені дапушчальныя толькі лацініца, лічбы і злучок; калі пакінуць поле пустым, вернуцца імёны па змаўчанні (kvaspro.lan і іншыя). Ранейшыя імёны працягваюць працаваць — новае дадаецца да іх. Захаванае імя працягвае працаваць і пры выключаным экспертным рэжыме: рэжым хавае толькі панэль, а не само імя.
• Праверка імя ў сетцы. Перад захаваннем Квас Про пытае DNS-серверы вашай лакальнай сеткі, ці не адказвае хтосьці яшчэ па гэтым імені іншым адрасам. Калі імя занятае, з’явіцца папярэджанне з адрасам таго, хто на яго адказвае, і прапанова выбраць іншае імя. Захаваць занятае імя ўсё роўна можна — кнопкай «Захаваць усё роўна»: рашэнне застаецца за вамі.
• Сертыфікат і пераход на новае імя. Для панэлі выпускаецца лакальны сертыфікат (свой цэнтр Квас Про), таму новае імя адразу патрапляе ў яго, і пасля захавання ўкладка сама адкрываецца па новым адрасе. Пакуль карэнны сертыфікат Квас Про не ўсталяваны на вашай прыладзе, браўзер пакажа папярэджанне пра сертыфікат — гэта чакана, а не памылка прадукту; усталяваць яго можна ў раздзеле «Сетка і фільтры» → «HTTPS-фільтрацыя». Калі адкрыць панэль па новым імені зараз нельга (напрыклад, налады яшчэ прымяняюцца), укладка застанецца на ранейшым адрасе і напіша прычыну.
• «Захаваць» — свая кнопка ў гэтым раздзеле: яна запісвае імя, колер і даменнае імя ў сетцы.

Што мяняць навічку. Упішыце зразумелае імя, выберыце колер. Даменнае імя ў сетцы патрэбна рэдка: каб задаць свой адрас роўтара, уключыце экспертны рэжым налад (выключальнік — у правай панэлі, у самым нізе), упішыце кароткае імя лацініцай, выберыце зону і націсніце «Захаваць».

Сістэма

Раздзел пра базавыя паводзіны праграмы пры ўключэнні роўтара.

• Аўтазапуск пры ўключэнні роўтара — перамыкач, уключаны па змаўчанні. Калі ён уключаны, ядро маршрутызацыі запускаецца само пры ўключэнні і перазагрузцы роўтара і аднаўляецца пасля збою — абарона працуе без вашага ўдзелу. Змена прымяняецца пасля перазапуску праграмы.
• Адкрываць пасля ўваходу — выпадаючы спіс стартавай старонкі: «Апошняя адкрытая» (па змаўчанні), «Манітор», «Белы спіс», «Злучэнні», «Свае серверы», «DNS-серверы», «Кліенты», «Фільтры», «Закваскі», «Дыягностыка», «Журнал», «Налады». Выбірайце тое, чым карыстаецеся часцей за ўсё. Захоўваецца адразу.
• Тэрмін захоўвання журналаў (дні) — лік ад 1 да 365; па змаўчанні 14. Праз колькі дзён аўтаматычна выдаляюцца старыя запісы журналаў, каб яны не займалі памяць роўтара. Меншы тэрмін — менш месца трэба; большы — даўжэй захоўваецца гісторыя для разбору. Прымяняецца пасля перазапуску.

Што мяняць навічку. Пакіньце аўтазапуск уключаным, а астатняе — па жаданні. Падрабязней пра журналы — у раздзеле «Экраны і кнопкі».

Кнопка перазагрузкі роўтара

У правым верхнім куце налад, побач з кнопкай падтрымкі праекта і кнопкай поўнаэкраннага рэжыму, стаіць кнопка перазагрузкі роўтара (значок сілкавання). Яна відаць з любога раздзела налад — шукаць яе ў глыбіні меню не трэба.

Перазагрузка пытае пацверджанне словам і называе наступствы: інтэрнэт і панэль кіравання стануць недаступнымі ўсім прыладам сеткі на 1–3 хвіліны, незавершаныя загрузкі перапыняцца, а налады, спісы і злучэнні захаваюцца. Пасля пацверджання адкрываецца акно чакання: як толькі прылада зноў адкажа, старонка сама вернецца на экран уваходу. Калі чаканне зацягнулася, акно сумленна скажа, што прылада не адказвае, і працягне чакаць.

Калі перазагрузка на гэтай прыладзе недаступная (служба запушчана без правоў суперкарыстальніка, няма штатнай каманды перазагрузкі або панэль адкрыта не на роўтары), праграма не хавае кнопку, а тлумачыць прычыну словамі ў тым жа акне.

Экспертныя пункты ў «Сістэме»

Гэтыя радкі відаць толькі пры ўключаным экспертным рэжыме:

• Спосаб перахопу трафіку — як роўтар забірае трафік прылад у абароненае злучэнне. Варыянты названы простымі словамі, тэхнічная назва стаіць толькі ў даведцы: «Звычайны» (TPROXY) — перахоплівае ўвесь трафік, уключаючы хуткія злучэнні; тэхнічна гэта гібрыд: звычайныя злучэнні ідуць праз REDIRECT, хуткія — праз TPROXY. На Keenetic для яго ў прашыўцы патрэбны кампанент Netfilter. «Сумяшчальны» (REDIRECT) — працуе на любым Keenetic, у тым ліку без гэтага кампанента: звычайныя злучэнні і DNS ідуць па правілах, а QUIC закрываецца прыладам з тунелем, астатні UDP не перахопліваецца. Рэжым выбіраеце вы: прадукт больш не перамыкае яго сам, на Keenetic змаўчанне — «Сумяшчальны», на OpenWrt — «Звычайны». У абодвух рэжымах QUIC не перахопліваецца, а закрываецца тунэльным прыладам, таму праграма пераходзіць на звычайнае злучэнне; прылады з прамымі маршрутамі QUIC не губляюць. «Дыягнастычны» (TUN) — правяральны рэжым, на частцы роўтараў ён не запускаецца. Пад полем адразу відаць даведка пра выбраны варыянт, а спосабы, непрацаздольныя на вашай прыладзе, паказаны неактыўнымі з тлумачэннем прычыны — выбраць і захаваць такі спосаб нельга. Што працуе менавіта на вашым роўтары і чаму, паказвае раздзел «Дыягностыка» — пра яго ў «Экранах і кнопках»; асаблівасці Keenetic разгледжаныя на старонцы «Асаблівасці працы на Entware».
• Механізм сеткавага экрана — «Аўта» (па змаўчанні), nftables або iptables. «Аўта» падбірае адпаведны механізм па вашай сістэме; уручную выбіраюць, толькі калі аўтаматыка памылілася.
• Куды накіроўваць трафік па змаўчанні — «Раздзельны тунель» (па змаўчанні: праз абаронены канал ідуць толькі сайты з белага спісу) або «Увесь трафік» (увесь трафік ідзе праз тунель).
• Інтэрвал праверкі тунеля для DNS, с — лік ад 30 да 600 з крокам 10; па змаўчанні 30. Так праграма ўпэўніваецца, што DNS-серверы даступныя. Захоўваецца адразу.
• Колькасць пінгаў злучэння — лік ад 1 да 10; па змаўчанні 1. Колькі замераў затрымкі робіць праграма пры праверцы злучэння. Калі павялічыць, затрымка паказваецца дакладней, але праверка займае больш часу; першая спроба — разагрэўная і ў сярэдняе не ўваходзіць.

Службовыя журналы: файлы для перадачы распрацоўшчыку

Раздзел відаць у экспертным рэжыме. Гэта не журнал для чытання ў панэлі, а файлы службы, якія можна спампаваць і перадаць распрацоўшчыку — так прычына адмовы відаць без падключэння да роўтара.

Зверху раздзела стаіць картка «Усе журналы ніжэй — адным архівам»: выберыце тэрмін — за дзень, за тыдзень, усё або свая дата і час — і прыйдзе адзін архіў з запісамі ўсіх журналаў за гэты перыяд (у «Спампоўкі» ён захоўваецца як kvaspro-logs-<нумар версіі>.tar.gz, да 32 МіБ). У архіў пападаюць усе дзённыя файлы, чые суткі перасякаюцца з тэрмінам, а не толькі сённяшні. Чаго не хапае, сказана ў змесце архіва (README.txt): адсутныя дні названыя датамі і прычынай — «выдаленыя захоўваннем або журнал у той дзень не вёўся», — а журналы, якіх яшчэ няма на прыладзе, названыя там жа.

Ніжэй — увесь спіс журналаў, па адным радку на журнал. Парадак і назвы тыя ж, што ў панэлі, — ад усталявання да абнаўленняў:

1. «Усталяванне праграмы» — як праграма ставілася на роўтар.
2. «Запуск праграмы» — што друкавалася пры запуску службы.
3. «Налады і памылкі» — прымяненне налад, перазапускі, памылкі.
4. «Перазапускі і гадзіны працы» — гадзіны працы і перазапускі пасля падзення.
5. «Маршрутызацыя ядра» — злучэнні, правілы і памылкі ядра.
6. «Сеткавы экран» — што прапушчана, а што зачынена.
7. «Пераключэнні маршрутаў» — адмова маршруту і пераход на запасны.
8. «Абнаўленні і адкаты» — спампоўка, праверка подпісу, адкат.

Назвы тыя ж, што ва ўкладцы «Журнал»: журнал маршрутызацыі ядра называецца «Маршрутызацыя ядра» і там, і ў спісе — адзін і той жа журнал не носіць дзвюх назваў. Імён файлаў і памераў у спісе больш няма: яны паказваюцца ў падказцы, калі затрымаць курсор на назве або тлумачэнні. У журнала «Налады і памылкі» файлаў столькі, колькі дзён ляжыць на прыладзе, і ў падказцы побач з іх агульным аб’ёмам стаіць «(усе дні)». Калі файла яшчэ няма, так і напісана — «Файл не знойдзены», а кнопка «Спампаваць» бачная, але недаступная.

• Адзін радок — адзін журнал. Мінулы кавалак (.log.1, .log.prev, мінулыя дні) не асобны радок: кнопка «Спампаваць» аддае журнал цалкам — мінулыя часткі і бягучы склейваюцца па часе.
• Перад спампоўваннем выбіраецца тэрмін — за дзень, за тыдзень, усё або свая дата і час; акно тэрміну ўжываецца і да мінулых частак журнала. Той жа выбар ёсць у архіва.
• Фармат выбіраецца ў тым жа акне. У архіва подпіс «Фармат запісаў унутры архіва», і радком побач сказана, што сам архіў заўсёды адзін файл .tar.gz: фармат задае выгляд кожнага файла ўнутры яго. У адзіночнага журнала подпіс ранейшы — «Фармат файла».

• Ключы, паролі і токены са строк выразаюцца перад аддачай — файл можна адпраўляць распрацоўшчыку, не вычытваючы яго радок за радком.
• Журнал большы за 8 МіБ аддаецца пачаткам, каб спампоўванне не заняло ўсю памяць роўтара; той жа межар у кожнага файла ўнутры архіва.
• Спампоўваць файлы журналаў можна і пры ўваходзе без токена. Інакш журнал было б не дастаць з прылады, дзе токен уводзіць няма дзе; абарона пры гэтым не здымаецца — строкі чысцяцца на аддачы, а спіс файлаў абмежаваны пералікам журналаў службы.

Сетка і фільтры

Раздзел пра тое, як адкрываецца сама панэль кіравання і хто мае да яе доступ.

• Хто можа адкрыць панэль — спіс дыяпазонаў адрасоў (CIDR), з якіх дазволены ўваход: па змаўчанні 10.0.0.0/8, 172.16.0.0/12 і 192.168.0.0/16. Дыяпазоны дадаюцца і выдаляюцца чыпамі. Гэта галоўная абарона панэлі: звузіўшы круг, вы зачыніце ўваход для старонніх у сетцы. Гэты радок відаць заўсёды.
• «Уваходзіць без токена з гэтых адрасоў» — перамыкач пад спісам: з адрасоў і падсетак з яго панэль адкрываецца адразу, без старонкі ўваходу. Па змаўчанні выключаны; падрабязней — у раздзеле «Уваход без токена з гэтых адрасоў» ніжэй.
• Адрас і порт панэлі кіравання — з’яўляецца толькі ў экспертным рэжыме. Дзе праграма слухае звароты да панэлі: 0.0.0.0 азначае «на ўсіх сеткавых падключэннях роўтара», можна паказаць канкрэтны адрас, каб абмежаваць доступ адной сеткай; порт — ад 1 да 65535 (па змаўчанні 7799). Гэта ўнутраныя дзверы праграмы, а не адрас для ўваходу: звонку прамы доступ да гэтага порта зачынены, і панэль адкрываюць без порта — па кароткім імені або па дадатковым адрасе роўтара (гл. «Уваход у вэб-інтэрфейс»). Змена прымяняецца пасля перазапуску: пасля змены адраса або порта панэль адкрываецца па новым адрасе. Радок схаваны наўмысна — змяніўшы адрас або порт наўздагад, лёгка страціць доступ да панэлі.
• Ніжэй у раздзеле ідуць карткі «HTTPS-фільтрацыя» і «Крыніца спісу «Расія»» (другая — асобная картка пад першай, абедзве раскрываюцца націскам па загалоўку), а апошнім — раскрывальны блок «Дадатковыя налады» для дасведчаных карыстальнікаў (ён не патрабуе экспертнага рэжыму):
  • Выключаныя лакальныя сеткі — дыяпазоны, да якіх правілы маршрутызацыі не прымяняюцца (па змаўчанні лакальныя сеткі і 127.0.0.0/8).
  • Порт кіравання ядром (Clash API) — па змаўчанні 9090.
  • Порт празрыстага перахопу — па змаўчанні 7893.
  • Порт DNS ядра — па змаўчанні 1053 (на OpenWrt зборка падстаўляе 5353).
  • Мяжа зваротаў да панэлі (у секунду) — па змаўчанні 10: абарона ад перабору і выпадковых усплёскаў запытаў.
  • Час чакання праверкі ядра (мс) — па змаўчанні 15000.
  • Колькасць спроб праверкі ядра — ад 0 да 10, па змаўчанні 2.
  • Затрымка перад ужываннем (мс) — па змаўчанні 2000: праграма пачакае і прымяніць правілы адным разам, а не пасля кожнага націску.
  • Колькі рэзервовых копій налад захоўваць — ад 1 да 50, па змаўчанні 5.

Што мяняць навічку. Звычайна нічога. Адрас і порт панэлі наогул схаваны да экспертнага рэжыму — і гэта абарона ад выпадковай страты доступу. Адрас панэлі зручна трымаць пад рукой: ён жа патрэбны, каб адкрыць праграму з тэлефона (гл. Мабільны рэжым).

Уваход без токена з гэтых адрасоў

Перамыкач «Уваходзіць без токена з гэтых адрасоў» пазбаўляе ад уводу токена там, дзе гэта надакучвае: са сваіх хатніх прылад панэль адкрываецца адразу, без старонкі ўваходу.

Спачатку сумленна пра цану. Токен — гэта ключ-пароль да панэлі, і застаецца ён галоўным. Уваход без токена — не «яшчэ адна зручнасць», а паслабленне абароны: панэль пачынае давяраць адрасу, а адрас у хатняй сетцы можа заняць любая іншая прылада — госць, сусед па агульнай сетцы, чужы тэлефон, які падключыўся да вашага Wi-Fi. Усё, што даступна звычайнаму ўваходу, стане даступным і такой прыладзе: маршруты, белы спіс, фільтры, налады. Таму па змаўчанні перамыкач выключаны, а ўключаючы яго, варта адразу звузіць спіс сетак вышэй да сваёй уласнай.

Што робіць перамыкач і чаго ён не робіць:

• Працуе толькі па абароненым канале. Калі панэль адкрыта па звычайным http, токен спытаюць як раней — інакш ключ-пароль пайшоў бы па сетцы адкрытым тэкстам. Не дзейнічае ўваход без токена і тады, калі перад панэллю пастаўлены давераны пасярэднік: у гэтым выпадку адрас кліента бярэцца з загалоўка запыту, а давяраць загалоўку нельга.
• Толькі для адрасоў і падсетак са спісу «Хто можа адкрыць панэль». Адрас, якога ў спісе няма, убачыць старонку ўваходу. Нават з самай скрыні — з адраса 127.0.0.1 — токен па-ранейшаму пытаюць: паслабленне выдадзена роўна пералічаным сеткам.
• Уваход жыве гадзіну без зваротаў і не даўжэй за дванаццаць гадзін з моманту ўваходу. Далей панэль папросіць увайсці па токене.
• Выключэнне перамыкача закрывае НОВЫЯ такія ўваходы, а з адкрытай панэлі не выкідае. Токен спытаюць пры наступным уваходзе: пасля выхаду, пасля заканчэння тэрміну ўваходу або з іншага браўзера. Ужо адкрытыя ўваходы працягваюць працаваць да свайго тэрміну — гадзіна без зваротаў, не больш за дванаццаць гадзін ад уваходу, — і на той прыладзе, дзе перамыкач выключылі, і на астатніх, якім уваход быў дазволены. Зачыніць доступ прама зараз можна кнопкай «Выхад» на самой прыладзе.
• Перамыкач — гэта згода на «моцныя» дзеянні з гэтых адрасоў. Пакуль ён уключаны, прылада не пытае токен і тады, калі справа даходзіць да дзеянняў над самой прыладай: захаваць і замяніць стан (экспарт і імпарт — у файле ляжаць ключы злучэнняў), скінуць налады, знішчыць даныя, усталяваць і выдаліць пакет, усталяваць абнаўленне, перазагрузіць роўтар, стварыць ключ SSH. Уключайце яго толькі для сваёй хатняй сеткі і толькі калі давяраеце ўсім прыладам у ёй: любая з іх атрымлівае гэтыя правы без пароля.
• Адно выключэнне — пашырэнне самога доступу. Па токене патрэбна тое, што доступ МЯНЯЕ: змяніць адрас і порт панэлі, дадаць сетку ў спіс, уключыць гэты перамыкач. Прыбраць сетку са спісу і выключыць перамыкач можна і без токена — гэтым уладальнік зачыняе дзверы, якія адкрыў. Адрас і порт панэлі патрабуюць токена пры любой змене: памылка ў іх адрэзвае доступ да панэлі.
• Выключылі перамыкач — правы здымаюцца пры наступным звароце. Асобнага перазапуску не патрэбна.
• Выключэнне — спампоўванне службовых журналаў. Яно працуе і без токена: журнал патрэбны якраз тады, калі з прыладай штосьці не так, і патрабаваць дзеля яго ўваход па ключы значыла б пакінуць чалавека без сродку разбору. Змест пры гэтым чысціцца на аддачы — ключы, паролі і токены са строк выразаюцца, — а спампаваць можна толькі файлы з пераліку журналаў службы (гл. «Службовыя журналы»).
• Кожны такі ўваход і кожная адмова па адрасе запісваюцца ў журнал. На старонцы «Журнал» ва ўкладцы «Журнал аўдыту» відаць і «Уваход без токена», і «Адмова ў доступе да панэлі», і «Змена доступу да панэлі».
• Унутры панэлі відаць, што ўваход не па токене. Пад верхнім радком з’яўляецца паласа «Вы ўвайшлі без токена» з адрасам і кнопкай «Увайсці па токене» — каб можна было ў любы момант увайсці поўнавартасна.

Што запісваецца ў журнал прылады

Акрамя журналаў панэлі, праграма вядзе журнал працы службы — службовы файл на роўтары пра працу самой праграмы; у «Службовых журналах» ён ляжыць файламі за кожны дзень. Ён патрэбны для разбору непаладак, а не як гісторыя наведванняў:

• Адкрыццё панэлі відаць у ім і па абароненым адрасе, а не толькі па адкрытым канале, як раней: у запісе ёсць час, метад запыту, шлях, версія пратакола, час і код адказу. Загаловак з імем вузла, адрас кліента і змест cookie у запіс не пераносяцца.
• Імёны чужых сайтаў у журнал не трапляюць. Зварот да іншага вузла праз той жа абаронены ўваход у журнале не адлюстроўваецца зусім — ні імя сайта, ні адрас кліента па такім звароце: журнал не павінен станавіцца гісторыяй наведванняў уладальніка.
• Запіс пра запыт з недазволеным імем вузла (браўзер звярнуўся да панэлі па імені, якога яна не ведае) змяшчае толькі шлях і сам факт адмовы. Імя вузла з’яўляецца ў ім толькі тады, калі ўладальнік сам уключыў падрабязны журнал.

HTTPS-фільтрацыя

Тут жа жыве раздзел «HTTPS-фільтрацыя» (пераехаў сюды са старонкі «Фільтры» — так усе налады доступу сабраныя ў адным месцы).

• Спампоўка карэннага сертыфіката — даступна заўсёды: без усталяванага сертыфіката старонка-папярэджанне замест небяспечнага сайта не паказваецца, браўзер выдае памылку сертыфіката. Побач — профіль для iPhone/iPad і інструкцыя па ўсталяванні.
• Адбітак карэннага сертыфіката — побач з кнопкамі спампоўкі паказаны SHA-256 дзейнага сертыфіката ў тым выглядзе, у якім яго друкуюць openssl і «Звязка ключоў» macOS. Зверце яго з адбіткам сертыфіката на сваіх прыладах: калі радкі разышліся, там давераны ранейшы сертыфікат, браўзер будзе папярэджваць пра падмену — спампуйце сертыфікат нанова і ўсталюйце яго. Калі сертыфіката на прыладзе яшчэ няма, радок не паказваецца.
• Перамыкач «HTTPS-фільтрацыя небяспечных сайтаў» — адзіны перамыкач рэжыму «Назад / Працягнуць» для небяспечных сайтаў па HTTP і HTTPS. Патрабуе экспертнага рэжыму: без яго замест перамыкача паказваецца падказка.
• «Домены з замацаванымі сертыфікатамі» — толькі ў экспертным рэжыме. Гэта спіс сайтаў, якія не расшыфроўваюцца: праграмы банкаў, дзяржпаслуг і месенджараў з замацаванымі сертыфікатамі працягваюць працаваць. Убудаваны спіс ужо ўлічаны — тут дадаюцца свае дамены (да 100). Дадавайце сюды сайт, калі пасля ўключэння HTTPS-фільтрацыі ён перастаў адкрывацца. Дамены прымаюцца і на кірыліцы (банк.рф): Квас Про сам прыводзіць іх да машыннай формы. Калі адрас запісаны няправільна, прычына відаць пад полем, а кнопка «Дадаць» недаступная — значэнне не прападзе моўчкі. Калі дамен з гэтага спісу блакуе уключаны фільтр (напрыклад, рэкламныя дамены Google), правіла фільтра мацнейшае: вы ўбачыце старонку блакіроўкі з кнопкай «Працягнуць», а не памылку абароны.

«Крыніца спісу «Расія»» — асобная картка пад карткай HTTPS-фільтрацыі, аформленая так жа (свой загаловак, раскрываецца націскам) і відаць толькі ў экспертным рэжыме. Экспертная налада на выпадак, калі стандартная крыніца рэестра недаступная: можна паказаць свой адрас (спіс даменаў па радках, фармат plain). Пустое поле — стандартная крыніца. Змена прымяніцца пры наступным абнаўленні рэестра.

DNS

DNS — служба, якая ператварае імя сайта (тое, што вы ўводзіце ў адрасным радку) у яго сеткавы адрас. Ад яе залежаць і хуткасць адкрыцця сайтаў, і частка абароны.

• Табліца сервераў — па кожным радку відаць адрас, порт, пратакол, маршрут, стан перамыкача і вынік праверкі затрымкі. Падтрымліваюцца пратаколы UDP, TCP, DoT, DoH, H3 і QUIC. Кнопкі «Праверыць» (замер затрымкі), «Змяніць», «Выдаліць», ніжэй — «+ Дадаць DNS».
• На вузкім акне табліца цалкам ператвараецца ў карткі (па картцы на сервер): так адрас, порт і кнопкі застаюцца чытэльнымі і не сціскаюцца ў палоску. Рэжым выбіраецца па фактычнай шырыні самога раздзела, а не акна: месца пад табліцу адбіраюць бакавыя панэлі, таму арыентавацца на шырыню акна нельга.
• Порт — асобны слупок. Пустое поле азначае «порт з адраса», а калі яго ў адрасе няма — стандартны порт пратакола (53 для UDP/TCP, 853 для DoT/DoQ, 443 для DoH/H3). Свой порт патрэбны, напрыклад, для AdGuard Home і падобных рэзолвераў у кантэйнеры, якія слухаюць не 53-і порт. Дапушчальныя значэнні ад 1 да 65535.
• «+ Дадаць DNS» — акно з двума шляхамі: гатовы сервер з каталога (Cloudflare, Google, Quad9, AdGuard і Яндекс DNS — тыя ж профілі, што ў майстры першага запуску; адрас, пратакол і порт бяруцца з профілю) альбо свой адрас уручную. Паўторна адзін і той жа сервер не дадасца — праграма скажа, што ён ужо у спісе.
  • Яндекс DNS дададзены таму, што серверы гэтага рэзолвера стаяць у Расіі (па даных Яндекса — больш за 100 сервераў DNS у краіне), таму ён даступны з РФ па сваім уладкаванні, а не па ўдачы маршрутызацыі. Працуе па DoH (шыфраваны DNS паверх HTTPS) на дакументаваным адрасе https://77.88.8.8/dns-query — рэжым базавы, без фільтрацыі: фільтрацыяй займаецца сам Квас Про, і старонні фільтруючы рэзолвер мог бы перашкодзіць вашай жа разблакоўцы сайта.
  • Новы сервер дадаецца кнопкай «Дадаць DNS-сервер»: адкрываецца акно з тымі ж палямі (адрас, порт, пратакол, маршрут, уключэнне) і падказкамі. Захаванне запісвае і зачыняе акно, «Адмена», Escape і націск міма акна зачыняюць яго без запісу, а памылка праверкі паказваецца прама ля поля, і акно застаецца адкрытым. Тым жа акном правіцца ўжо дададзены сервер. Радкі ўжо дададзеных сервераў пры гэтым не мяняюцца.
• Маршрут (detour) — праз якое злучэнне звяртацца да гэтага DNS-сервера; ёсць і аўтаматычны падбор.
• Адзін і той жа адрас на розных маршрутах — гэта два розныя запісы, і гэта нармальна: сервер для «Напрамую» і той жа сервер для тунеля суіснуюць. Дублікатам лічыцца толькі супадзенне адраса і маршруту; тады праграма адмаўляе і называе і адрас, і маршрут.
• Сервер «Напрамую» не падмяняе агульны рэзолвер. Нават калі вы дадалі свой DNS-сервер з маршрутам «Напрамую», агульны разбор імёнаў працягваецца ўбудаванымі рэзолверамі, а абароненае злучэнне не залежыць ад даступнасці вашага сервера. Ваш сервер пры гэтым выкарыстоўваецца там, дзе вы яго прызначылі — у правілах груп з маршрутам «Напрамую».
• Перахоп DNS — праграма перахоплівае DNS-запыты прылад толькі па UDP на порт 53; запыты па TCP і на іншыя парты ідуць напрамую. Адрасы сервераў імёнаў з вашага спісу выключаны з перахопу: запыт рэзолвера да свайго вышэйшага сервера не заварочваецца назад, і пятля DNS не ўзнікае. Выключэнне працуе па крыніцы — для любога адраса, а па атрымальніку — толькі для адрасоў у лакальнай сетцы. Побач са спісам пра гэта ёсць тлумачальны радок.
• «Кіраванне зашыфраваным DNS (DoH/DoT)» — картка, даступная толькі ў экспертным рэжыме:
  • перамыкач уключае і выключае абарону ад падмены DNS;
  • «Рэжым» — «Стандарт» або «Узмоцнены». «Стандарт» не дае прыладам абыходзіць абарону праз абаронены DNS буйных сэрвісаў, звычайныя праграмы працуюць як раней. «Узмоцнены» робіць тое ж для значна шырэйшага спісу сэрвісаў; уласны трафік роўтара ён не закранае, і панэль кіравання застаецца даступнай. Калі ў браўзеры або праграме ўключаны ўласны «абаронены DNS», ён перастане працаваць і сайты могуць не адкрывацца — тады выберыце «Стандарт» або адключыце абаронены DNS у гэтай праграме;
  • «Блакаваць порт :853 (DoT/DoQ)» — зачыніць абыходны канал;
  • «Firefox canary (use-application-dns.net)» — праверка, якую выкарыстоўваюць браўзеры;
  • «DROP па IP рэзолвераў» — жорсткая блакіроўка старонніх рэзолвераў; даступная толькі ў «Узмоцненым» рэжыме.

Што мяняць навічку. Налады па змаўчанні падыходзяць большасці. Дадавайце свой DNS-сервер, толькі калі вам яго парэкамендавалі або вы дакладна ведаеце яго адрас.

Даныя

Раздзел пра рэзервовую копію і аднаўленне.

• Захаванне стану — кнопка «Захаваць у файл»: спампоўвае ўсе кіраваныя налады (злучэнні, групы, белы спіс, DNS, параметры) адным файлам JSON з датай у імені. Вынік паказваецца прама пад кнопкай.
• Загрузка стану — выбар файла .json і кнопка «Загрузіць з файла» (актыўная, калі файл выбраны). Бягучы кіраваны стан замяняецца данымі з файла; падчас працы паказваецца блакуючае акно «Імпартуем стан…», а пасля — вынік з лічыльнікамі.

Навошта. Зручна перанесці налады на іншы роўтар або вярнуць іх пасля скіду, не наладжваючы ўсё нанова.

«Небяспечная зона» ў «Даных»

У экспертным рэжыме ніжэй з’яўляецца чырвоны блок з незваротнымі дзеяннямі. Кожнае патрабуе пацверджання ўводам слова — і адмяніць яго нельга:

• Загрузка з заменай усіх даных — слова «ЗАМЯНІЦЬ»;
• Скінуць налады — слова «СКІД»: налады інтэрфейсу і паводзін вяртаюцца да значэнняў па змаўчанні; злучэнні, белы спіс і DNS не закранаюцца;
• Выдаліць усе злучэнні — слова «ВЫДАЛІЦЬ»: выдаляюцца ўсе VPN-злучэнні, а залежныя ад іх групы і запісы белага спісу могуць стаць несапраўднымі.

Што мяняць навічку. Час ад часу рабіце «Захаваць у файл» і трымайце копію ў надзейным месцы. Кнопкі «небяспечнай зоны» не чапайце без патрэбы.

Сканер

Раздзел відаць толькі ў экспертным рэжыме. Тут задаюцца абмежаванні для памочніка, які сам шукае адрасы, патрэбныя сайту пры даданні ў белы спіс.

• Глыбіня абыходу — ад 1 да 4; па змаўчанні 2. 1 — толькі сам сайт, 2 — плюс сайты, ад якіх ён напрамую залежыць, 3–4 — яшчэ глыбей (даўжэй і цяжэй для роўтара).
• Ліміт старонак — ад 1 да 100; па змаўчанні 12. Колькі старонак правяраць за адзін раз, каб пошук не зацягнуўся.
• Ліміт часу, с — ад 1 да 120; па змаўчанні 25. Колькі секунд адвесці на пошук. Калі не паспее — пакажа тое, што ўжо знайшоў.
• Галінаванне на старонку — ад 1 да 50; па змаўчанні 6. Колькі новых адрасоў браць з адной старонкі.

Нулявыя значэнні праграма не прымае. Змены прымяняюцца без перазапуску — сканер чытае іх пры кожным пошуку.

Што мяняць навічку. Нічога: значэнні па змаўчанні разлічаны на звычайны роўтар. Калі пошук ідзе занадта доўга і нагружае роўтар — паменшыце глыбіню або ліміт часу.

Абнаўленне

Раздзел пра праверку і ўсталяванне новых версій праграмы.

• Бягучая версія і праверка — тут відаць, што ўсталявана, і можна праверыць наяўнасць новай версіі па сетцы: выпуск бярэцца з сервера спамповак праекта.
• Картка абнаўлення — калі версія даступная, паказваецца яе нумар, памер, спіс змен і кнопка «Усталяваць» з пацверджаннем. У акне пацверджання відаць, які выпуск і адкуль ставіцца. Абнаўленне ідзе з праверкай подпісу, ставіцца побач з бягучай версіяй і аўтаматычна адкочваецца пры збоі.
• Аўтаматычная праверка — перамыкач «Правяраць абнаўленні аўтаматычна» (уключаны па змаўчанні) і спіс «Інтэрвал праверкі»: кожную гадзіну, 6 гадзін, 12 гадзін (па змаўчанні) або раз у суткі. Спіс відаць толькі пры ўключанай аўтаправерцы; выбар захоўваецца адразу.
• Гісторыя ўсталяванняў — спіс пераходаў «версія → версія» з вынікам кожнага («Паспяхова», «Адкат», «Правал», «Чакае пацверджання») і спасылкамі на апісанне выпуску ў «Гісторыі версій».

Што мяняць навічку. Дастаткова зрэдку зазірнуць сюды і націснуць «Праверыць». Падрабязней — у раздзеле Абнаўленні.

Зваротная сувязь

Раздзел, праз які можна адправіць распрацоўшчыку пажаданне або паведаміць пра праблему.

• Канал адпраўкі — «Пошта» або «Тэлеграм»; ад выбару залежыць поле кантакту.
• Кантакт для адказу — у канале «Пошта» гэта ваш адрас, у канале «Тэлеграм» — уліковы запіс Telegram. Значэнне правяраецца пры ўводзе і яшчэ раз на службе: імя карыстальніка Telegram прымаецца даўжынёй ад 5 да 32 знакаў (лацінскія літары, лічбы, падкрэсліванні), адрас пошты — выгляду імя@дамен.зона без прабелаў; адрасы на іншых мовах таксама прымаюцца. Няправільнае значэнне не адпраўляецца, а пад полем сказана, што менавіта выправіць.
• Загаловак — кароткая тэма ліста.
• Пажаданне — тэкст не карацей за пяць слоў: так паведамленне зразумелае без удакладняльных пытанняў.
• «Адправіць» — кнопка становіцца актыўнай, калі запоўнены кантакт, загаловак і пажаданне. У канале «Пошта» праграма адкрые вашу паштовую праграму з ужо запоўненым лістом — застанецца толькі адправіць; у канале «Тэлеграм» паведамленне адпраўляе сама прылада.

Што мяняць навічку. Нічога наладжваць не трэба — проста запоўніце форму, калі будзе што сказаць. Падрабязней — у раздзеле Зваротная сувязь і падтрымка.

Выдаліць пакет

Раздзел для поўнага выдалення праграмы з роўтара. Дзеянне незваротнае, таму тут усё ўладкавана ў два крокі.

• Пяць галачак складу выдалення (уключаныя ўсе): аднавіць сетку і сеткавы экран, выдаліць канфігурацыю і даныя, выдаліць усе залежныя пакеты, выдаліць журналы, выдаліць выканальны файл. Зніміце лішнія, калі хочаце захаваць нешта на роўтары.
• «Выдаліць Квас Про і скінуць роўтар да заводскіх налад» — асобны ўзаемавыключальны пункт: пры яго выбары пяць галачак вышэй становяцца недаступнымі. Выбірайце, толькі калі сапраўды хочаце вярнуць роўтар у зыходны стан.
• Пацверджанне — пасля націску кнопкі праграма папросіць увесці фразу «ВЫДАЛІЦЬ КВАС ПРО». Затым запускаецца поўнаэкранны працэс з шасці стадый і журналам; перарываць яго не варта.

Што мяняць навічку. Карыстайцеся гэтым пунктам усвядомлена. Перад выдаленнем зрабіце экспарт налад (раздзел «Даныя»), каб пры жаданні вярнуцца. Як уладкавана выдаленне і як зняць праграму з каманднага радка — у раздзеле «Выдаленне Квас Про з роўтара».

Экспертны рэжым налад

Экспертны рэжым адкрывае налады, з якімі варта абыходзіцца асцярожна: тэхнічныя параметры маршрутызацыі, незваротныя дзеянні з данымі і тонкая налада сканера. Пакуль рэжым выключаны, вы бачыце толькі простыя і бяспечныя налады — і гэта правільны выбар для большасці.

Дзе знаходзіцца выключальнік

Выключальнік жыве не ў спісе раздзелаў, а ў правай панэлі — той, што адкрываецца кнопкай з іконкай бакавой панэлі ў правым верхнім куце. Прагартайце панэль да самага нізу: пад блокам «Інфармацыя пра Квас Про» ёсць радок «Экспертны рэжым налад» з перамыкачом. На шырокім экране панэль выглядае так:

Кароткая падказка побач з перамыкачом паўтарае галоўнае: рэжым адкрывае небяспечную зону і пашыраныя элементы інтэрфейсу. Уключайце яго, толькі калі разумееце наступствы.

Што адкрывае рэжым

Пасля ўключэння ў раздзелах з’яўляюцца новыя радкі, а адзін раздзел дадаецца цалкам. Самае прыкметнае следства — чырвоная «Небяспечная зона» у раздзеле «Даныя»:

Поўны пералік таго, што становіцца даступным:

• Сістэма — «Спосаб перахопу трафіку», «Механізм сеткавага экрана», «Куды накіроўваць трафік па змаўчанні», «Інтэрвал праверкі тунеля для DNS», «Колькасць пінгаў злучэння»;
• Прылада — панэль «Даменнае імя ў сетцы»: імя, па якім роўтар адказвае ў лакальнай сетцы, і яго зона (.lan / .home). Само захаванае імя працуе і без экспертнага рэжыму — рэжым хавае толькі панэль;
• Сетка і фільтры — сам раздзел «Дадатковыя налады» даступны заўсёды, а вось яго значэнні варта мяняць з разуменнем: парты, тайм-аўты, лік рэзервовых копій; плюс у экспертным рэжыме адкрываюцца «Домены з замацаванымі сертыфікатамі» і «Крыніца спісу «Расія»», а таксама перамыкач HTTPS-фільтрацыі;
• DNS — картка «Кіраванне зашыфраваным DNS (DoH/DoT)» цалкам;
• Даныя — «Небяспечная зона»: замена ўсіх даных, скід налад, выдаленне ўсіх злучэнняў;
• Сканер — раздзел з’яўляецца ў спісе злева толькі ў экспертным рэжыме;
• Злучэнні — кнопка «Налады» каля злучэння, якая адкрывае ручное рэдагаванне параметраў канала.

Як рэжым працуе

• Уключаецца і выключаецца імгненна. Ніякага перазапуску не трэба: раздзелы абнаўляюцца адразу пасля націску на перамыкач.

• Значэнні не адкочваюцца — акрамя злучэнняў без абароны. Выключэнне рэжыму само па сабе нічога не скідвае: тое, што вы ўжо захавалі ў экспертным рэжыме, працягвае дзейнічаць. Выключэнне — злучэнні, якім патрэбны экспертны рэжым (профіль без шыфравання і профіль з адключанай праверкай сертыфіката сервера): пакуль такое злучэнне ўключанае, праграма не дасць выключыць рэжым і назаве гэтыя злучэнні па імёнах, а па-за рэжымам такое злучэнне не ўключыцца і не пойдзе ў працу ядра — пра пропуск застанецца запіс у службовым часопісе.

• Лішніх пацверджанняў не дадае. Рэжым толькі робіць небяспечныя дзеянні бачнымі, а кожнае з іх і без таго патрабуе ўводу слова-пацверджання («ЗАМЯНІЦЬ», «СКІД», «ВЫДАЛІЦЬ»).

• Калі быў адкрыты раздзел «Сканер», пры выключэнні рэжыму праграма сама пераключыць вас на іншы раздзел — каб вы не засталіся на схаваным пункце.

Сумежныя раздзелы: Мабільны рэжым · Экраны і кнопкі · Абнаўленні ·

Зваротная сувязь і падтрымка