Особенности работы на Entware

Квас Про работает на роутерах двух семейств: OpenWrt и Keenetic (Entware). На Keenetic у прошивки есть особенности, поэтому набор доступных способов перехвата зависит от того, что умеет конкретный роутер. Эта страница объясняет, чем режимы различаются, какой выбрать и чего ожидать.

Какие режимы перехвата доступны

В разделе Настройки → Способ перехвата трафика Квас Про показывает только те режимы, которые реально работают на вашем роутере. Недоступный режим виден неактивным с пояснением причины: сохранённый нерабочий режим означал бы, что трафик идёт мимо правил, а человек об этом не знает.

Режим выбираете вы. Продукт не переключает его сам: на Keenetic умолчание — «Совместимый», а «Обычный» включается только вашим выбором. На OpenWrt умолчание — «Обычный».

«Обычный» — весь трафик под правилами. Он нужен, когда важно, чтобы под правила попадал весь трафик устройств, включая быстрые соединения, — например, чтобы приложение не могло уйти мимо туннеля или блокировки. Для устройств в вашей сети разницы нет: они ничего не настраивают и не замечают, какой режим выбран.

В этой версии «Обычный» устроен из двух частей: обычные соединения перехватывает один механизм (техническое название — REDIRECT), быстрые соединения (UDP) — другой (TPROXY). Для человека это одна настройка, а не два режима; в панели он по-прежнему называется «Обычный». Так устроено на обеих платформах — и на Keenetic, и на OpenWrt: различается только внутренняя механика сетевого экрана, а для устройств в сети разницы нет. Так сделано потому, что на старых ядрах Keenetic перехват обычных соединений через TPROXY принимал только первый пакет и не доносил данные клиента: режим «включался и подтверждался, а сайты не открывались». Поэтому обычные соединения идут проверенным путём, а быстрые — тем, который умеет UDP.

Где «Обычный» не сработает — это относится только к Keenetic. На Keenetic он не заработает в одном случае: если в прошивке отключён компонент «Модули ядра подсистемы Netfilter» — без него роутер не умеет вторую часть перехвата, и продукт не даст выбрать режим. В этом случае выберите «Совместимый» (работает всегда) или «Диагностический» (проверочный режим; запускается не на всех роутерах). На OpenWrt такого компонента нет и он не нужен: «Обычный» там доступен сразу и работает по умолчанию.

«Совместимый» — запасной режим и умолчание на Keenetic. Он работает на любом Keenetic, в том числе без компонента Netfilter. Обычные соединения и DNS идут по вашим правилам полностью, а QUIC не перехватывается: устройствам, которым положен туннель, он закрывается, и приложение переходит на обычное соединение. Остальные быстрые соединения (UDP) в этом режиме не перехватываются — поэтому «Обычный» и нужен, когда важно забрать под правила весь трафик.

«Диагностический» забирает трафик через виртуальный сетевой интерфейс. Это проверочный режим — убедиться, что защищённое соединение поднимается; для постоянной работы выбирайте «Обычный» или «Совместимый».

Чтобы «Обычный» стал доступен на Keenetic, в прошивке нужен компонент — «Модули ядра подсистемы Netfilter». Модули этого компонента Квас Про загружает сам: при запуске службы и по кнопке «Проверить снова» в оповещении. Ручных команд в консоли для этого не нужно; после перезагрузки роутера в памяти ядра модулей снова нет, и продукт загрузит их при старте службы. Компонент в панели роутера нужен для того, чтобы файлы модулей были в системе, — саму загрузку продукт делает сам и ничего не выгружает: после перезагрузки роутера всё как было. Как добавить компонент — в разделе «Если полного перехвата нет» ниже.

Что перехватывается

«Обычный» перехватывает обычные соединения (TCP), DNS и быстрые соединения (UDP), кроме QUIC — о нём ниже. «Совместимый» перехватывает обычные соединения (TCP) и DNS, а остальные быстрые соединения не перехватывает.

• Обычные соединения (TCP) — то есть сайты, мессенджеры, обновления, почта. Они попадают под ваши правила: туннель, прямые маршруты, блокировки.
• Быстрые соединения (UDP) — игры, звонки, служебный обмен. В «Обычном» они попадают под ваши правила. Исключение — QUIC (UDP, порт 443): его продукт не заводит в перехват, а закрывает туннельным устройствам, чтобы приложение перешло на обычное соединение.
• DNS-запросы устройств (порт 53) — благодаря этому работает фильтрация по именам сайтов, блокировка рекламы и трекеров, а также защита от подмены DNS. Адреса серверов имён из вашего списка исключены из перехвата, поэтому запрос резолвера к своему вышестоящему серверу не заворачивается обратно — петли DNS не возникает. Подробнее — в разделе «Настройки».

QUIC в обоих режимах

Трафик QUIC (UDP, порт 443) не перехватывается ни в одном режиме. QUIC — сравнительно новый способ соединения, им по умолчанию пользуются Chrome, YouTube и другие крупные сервисы. В «Совместимом» причина в прошивке роутера: перехват UDP в ней выключен, пока в набор компонентов не добавлены модули подсистемы Netfilter. В «Обычном» перехват UDP работает, но вход, которым Квас Про забирает QUIC, на Keenetic/Entware не даёт рабочего соединения — страница висела бы до таймаута. Поэтому QUIC выведен из перехвата в обоих режимах и закрывается устройствам, которым предписан туннель: приложение сразу получает отказ и переходит на обычный TCP, который перехвачен и идёт по правилам. Устройства с прямыми маршрутами QUIC не теряют.

На роутерах OpenWrt «Обычный» режим доступен сразу, но это не меняет правило: QUIC и там не перехватывается и так же отклоняется устройствам с туннелем, чтобы браузер сразу перешёл на TCP. На Keenetic «Обычный» становится доступен, когда в прошивке есть компонент Netfilter, — об этом следующий раздел.

Меры, принятые в обоих режимах

Чтобы особенности прошивки не превращались в дыры в защите, в продукте сделано следующее:

1. Блокировки действуют всегда. Правила из ваших списков с целью «Блокировать» применяются независимо от того, работает ли защищённое соединение в этот момент. Запрещённый сайт не получит выход в сеть ни при каких обстоятельствах.
2. Запрет QUIC для устройств, которым положен туннель. Если устройству предписано идти через защищённое соединение, QUIC для него закрывается — и приложение автоматически переходит на обычный TCP, который под правилами. Такой трафик снова идёт через туннель, а не мимо него. Устройства, которым предписано идти напрямую, не затрагиваются: у них QUIC работает как обычно.
3. Честная диагностика. Встроенная диагностика показывает, какой режим перехвата используется и есть ли ограничения на этом роутере, — без предположений, что «всё точно работает». В разделе Диагностика строка «QUIC закрыт для туннельных устройств» подтверждает, что запрет из пункта 2 действительно построен. Строка появляется в обоих режимах — и в «Совместимом», и в «Обычном»: она говорит о факте запрета, а не о способе перехвата.
4. IPv6 закрыт, пока работает туннель. Перехват работает по IPv4, поэтому IPv6-трафик уходил бы мимо туннеля и мимо правил. Пока устройствам предписано идти через защищённое соединение, выход IPv6 наружу закрыт (REJECT) — сама локальная сеть, роутер, DNS-порты внешних резолверов из списка каталога и ваши локальные сети из «Исключений» не затрагиваются. Следствие названо честно: закрыт он ВСЕМ устройствам локальной сети, включая те, что идут напрямую, — их IPv6-адреса продукту неизвестны (обнаружение идёт по IPv4). IPv6 внутри локальной сети продолжает работать. Как только туннель снят со всех устройств, запрет снимается сам.
5. Правила привязываются к устройству, а не к адресу. Если роутер выдаст устройству новый адрес по DHCP, правила не потеряются: Квас Про определяет устройство по аппаратному адресу (MAC), который не меняется. Если устройство всё же оказалось вне правил, вы увидите это в интерфейсе и сможете исправить одной кнопкой.

Если полного перехвата нет

Если нужно, чтобы под правила попадали и быстрые соединения, а «Обычного» в списке нет, в прошивку добавляется компонент «Модули ядра подсистемы Netfilter» (английское название — Kernel modules for Netfilter). После этого продукт сам загрузит модули, «Обычный» станет доступен — и вы выберете его в Настройки → Способ перехвата трафика: продукт больше не переключает режим сам.

Как его добавить:

1. Откройте панель управления роутера — именно роутера, а не панель Квас Про, — и войдите в неё.
2. Перейдите: Управление → Общие настройки → Изменение набора компонентов. В части версий прошивки этот раздел называется «Настройки системы».
3. Найдите компонент поиском по слову netfilter и включите «Модули ядра подсистемы Netfilter».
4. Примените набор компонентов и перезагрузите роутер.
5. Вернитесь в Квас Про. Модули продукт загрузит сам — при запуске службы, а если роутер уже перезагружен и служба работает, по кнопке «Проверить снова» в оповещении (в журнале появится запись о загрузке модуля). После этого откройте Настройки → Способ перехвата трафика и выберите «Обычный» вручную. Если «Обычного» всё равно нет, откройте Диагностику: там сказано, чего не хватает — файлов модулей в системе нет, загрузить их не удалось или проверка не получила ответа.

Компонента может не быть в вашей версии прошивки — тогда полного перехвата на этом роутере не будет, и продукт скажет об этом прямо (словами «файлов модулей в системе нет»), а не промолчит. Продукт не обещает того, чего не проверил: он показывает фактическое состояние роутера — в том числе после своей загрузки модулей, — подтверждает перехват живой проверкой правила в сетевом экране, а доступность режима видна в Диагностике.

Второй путь остаётся: поставить в качестве точки перехвата роутер OpenWrt — там «Обычный» режим доступен сразу.

Если что-то выглядит не так

Начните с колокола уведомлений в правом верхнем углу: продукт сам сообщает о критических состояниях — соединение не отвечает, устройство вне правил, ядро остановлено. Те же сигналы видны на странице Монитор (правая панель) и в разделе Диагностика, а рядом с проблемой есть действие для исправления (например, перезапуск соединения или обновление адреса устройства).