Просмотр кода страницы RAMBA Selective VPN Gateway

{{DISPLAYTITLE:RAMBA Selective VPN Gateway}}

= RAMBA Selective VPN Gateway =

'''RAMBA Selective VPN Gateway''' — шлюз селективной маршрутизации трафика на базе
'''WireGuard + nftables + dnsmasq + HAPP/VLESS'''.

Система позволяет подключать мобильные устройства к домашней сети через WireGuard
и отправлять через HAPP только трафик выбранных сервисов.

Остальной интернет-трафик выходит напрямую через основной маршрутизатор.

По состоянию на сентябрь 2026 года через HAPP маршрутизируются:

* YouTube
* Instagram
* Telegram
* OpenAI / ChatGPT

Discord тестировался, однако был исключён из селективной маршрутизации из-за проблем
с голосовым UDP-трафиком.

== Архитектура ==

Основная схема:

<pre>
                         INTERNET
                            |
                  Public IP / Router
                            |
                   UDP 51821 -> 51820
                            |
                            v
                 +---------------------+
                 | CT103 vpn-gateway   |
                 | 192.168.1.53        |
                 |                     |
                 | WireGuard           |
                 | dnsmasq             |
                 | nftables            |
                 | policy routing      |
                 +----------+----------+
                            |
                +-----------+-----------+
                |                       |
        обычный трафик            выбранный трафик
                |                       |
                v                       v
         192.168.1.1             192.168.1.52
        основной роутер                 |
                                        v
                              +--------------------+
                              | CT502 happ-gateway |
                              | HAPP / VLESS       |
                              +---------+----------+
                                        |
                                        v
                                      VPN
</pre>

Клиент WireGuard использует:

<pre>
10.20.0.0/24
</pre>

Адрес шлюза:

<pre>
10.20.0.1
</pre>

== Компоненты ==

{| class="wikitable"
! Компонент
! Адрес
! Назначение
|-
| CT103 vpn-gateway
| 192.168.1.53
| WireGuard, DNS, nftables, selective routing
|-
| CT502 happ-gateway
| 192.168.1.52
| HAPP/VLESS VPN gateway
|-
| Основной маршрутизатор
| 192.168.1.1
| Обычный выход в Интернет
|-
| WireGuard
| 10.20.0.1/24
| VPN-сеть клиентов
|}

== WireGuard ==

WireGuard работает внутри LXC-контейнера '''CT103'''.

Основной интерфейс:

<pre>
wg0
</pre>

Адрес:

<pre>
10.20.0.1/24
</pre>

Порт WireGuard внутри сети:

<pre>
UDP 51820
</pre>

На внешнем маршрутизаторе настроен проброс:

<pre>
WAN UDP 51821
        |
        v
192.168.1.53:51820
</pre>

Клиенты используют:

<pre>
AllowedIPs = 0.0.0.0/0
DNS = 10.20.0.1
</pre>

Таким образом весь IPv4-трафик клиента сначала поступает на '''vpn-gateway''',
а уже там принимается решение о дальнейшем маршруте.

== Принцип селективной маршрутизации ==

Для выбранного трафика устанавливается:

<pre>
fwmark 0x1
</pre>

На CT103 существует отдельная таблица маршрутизации:

<pre>
table 200
</pre>

Правило:

<pre>
100: from all fwmark 0x1 lookup 200
</pre>

Таблица 200:

<pre>
default via 192.168.1.52 dev eth0
192.168.1.0/24 dev eth0 scope link src 192.168.1.53
</pre>

Таким образом:

<pre>
без mark
   |
   v
192.168.1.1
   |
   v
обычный Интернет


mark 0x1
   |
   v
table 200
   |
   v
192.168.1.52
   |
   v
HAPP
</pre>

== nftables ==

Основной конфигурационный файл:

<pre>
/etc/nftables.conf
</pre>

Актуальная логика:

<syntaxhighlight lang="text">
table ip selective {
    set happ_ipv4 {
        type ipv4_addr
    }

    set telegram_ipv4 {
        type ipv4_addr
        flags interval
        elements = {
            91.108.4.0/22,
            91.108.8.0/22,
            91.108.12.0/22,
            91.108.16.0/22,
            91.108.56.0/22,
            149.154.160.0/20
        }
    }

    chain prerouting {
        type filter hook prerouting priority mangle;
        policy accept;

        iifname "wg0" ip daddr @telegram_ipv4 \
            counter meta mark set 0x1

        iifname "wg0" ip daddr @happ_ipv4 \
            counter meta mark set 0x1
    }
}
</syntaxhighlight>

Набор:

<pre>
happ_ipv4
</pre>

заполняется динамически через '''dnsmasq'''.

Telegram использует отдельный статический набор IP-сетей, поскольку мобильное
приложение может устанавливать MTProto-соединения непосредственно с IP-адресами
Telegram.

== DNS-based routing ==

На CT103 работает '''dnsmasq'''.

WireGuard-клиенты используют:

<pre>
DNS = 10.20.0.1
</pre>

Конфигурация:

<pre>
/etc/dnsmasq.d/wireguard.conf
</pre>

Пример:

<syntaxhighlight lang="text">
interface=wg0
listen-address=10.20.0.1
bind-dynamic

no-resolv
server=1.1.1.1
server=1.0.0.1

cache-size=2000
</syntaxhighlight>

Домены сервисов находятся в:

<pre>
/etc/dnsmasq.d/happ-domains.conf
</pre>

При DNS-разрешении IP-адрес автоматически добавляется в nftables set:

<pre>
ip selective happ_ipv4
</pre>

После этого трафик WireGuard-клиента к этому IP получает '''mark 0x1'''.

== YouTube ==

Для YouTube используются:

<syntaxhighlight lang="text">
nftset=/youtube.com/4#ip#selective#happ_ipv4
nftset=/youtu.be/4#ip#selective#happ_ipv4
nftset=/googlevideo.com/4#ip#selective#happ_ipv4
nftset=/ytimg.com/4#ip#selective#happ_ipv4
nftset=/youtubei.googleapis.com/4#ip#selective#happ_ipv4
nftset=/ggpht.com/4#ip#selective#happ_ipv4
</syntaxhighlight>

Особенно важен:

<pre>
googlevideo.com
</pre>

так как через него передаётся значительная часть видеопотока YouTube.

== Instagram ==

Используются:

<syntaxhighlight lang="text">
nftset=/instagram.com/4#ip#selective#happ_ipv4
nftset=/cdninstagram.com/4#ip#selective#happ_ipv4
nftset=/fbcdn.net/4#ip#selective#happ_ipv4
</syntaxhighlight>

Следует учитывать, что '''fbcdn.net''' является общей инфраструктурой Meta.

Поэтому некоторые ресурсы других сервисов Meta также могут попасть через HAPP.

== Telegram ==

Одних DNS-правил для Telegram оказалось недостаточно.

Telegram может подключаться непосредственно к IP-адресам дата-центров.

Поэтому используется статический nftables set:

<syntaxhighlight lang="text">
set telegram_ipv4 {
    type ipv4_addr
    flags interval

    elements = {
        91.108.4.0/22,
        91.108.8.0/22,
        91.108.12.0/22,
        91.108.16.0/22,
        91.108.56.0/22,
        149.154.160.0/20
    }
}
</syntaxhighlight>

Трафик маркируется:

<syntaxhighlight lang="text">
iifname "wg0" ip daddr @telegram_ipv4 \
    counter meta mark set 0x1
</syntaxhighlight>

Работа правила проверяется счётчиком:

<syntaxhighlight lang="bash">
nft list chain ip selective prerouting
</syntaxhighlight>

== OpenAI / ChatGPT ==

Для OpenAI используется DNS-based routing.

Основные правила:

<syntaxhighlight lang="text">
nftset=/chatgpt.com/4#ip#selective#happ_ipv4
nftset=/openai.com/4#ip#selective#happ_ipv4
nftset=/auth.openai.com/4#ip#selective#happ_ipv4
nftset=/oaistatic.com/4#ip#selective#happ_ipv4
nftset=/oaiusercontent.com/4#ip#selective#happ_ipv4
nftset=/oaistatsig.com/4#ip#selective#happ_ipv4
nftset=/openaimerge.com/4#ip#selective#happ_ipv4
</syntaxhighlight>

При тестировании мобильного приложения ChatGPT после очистки набора:

<syntaxhighlight lang="bash">
nft flush set ip selective happ_ipv4
</syntaxhighlight>

DNS-запросы приложения снова заполняли '''happ_ipv4''', а счётчик правила
селективной маршрутизации увеличивался при отправке сообщений.

Таким образом работа ChatGPT через HAPP была подтверждена непосредственно
трафиком WireGuard-клиента.

== Discord ==

Discord первоначально был добавлен в DNS-based routing.

Тестировались домены:

<pre>
discord.com
discordapp.com
discordapp.net
discordcdn.com
discord.gg
discord.media
</pre>

Обычный HTTPS-трафик успешно попадал в '''happ_ipv4'''.

При тестировании голосового соединения были обнаружены отдельные UDP endpoints.

Примеры:

<pre>
155.212.196.192
155.212.204.196
</pre>

Был создан экспериментальный набор:

<pre>
discord_voice_ipv4
</pre>

и голосовой трафик начал попадать под '''mark 0x1'''.

Однако при реальном голосовом соединении наблюдались проблемы:

* очень небольшой объём трафика попадал под статическое правило;
* voice endpoint мог изменяться;
* входящий голос практически отсутствовал;
* маршрутизация двух отдельных IP не обеспечивала стабильную работу Discord Voice.

Поэтому эксперимент был отменён.

'''Текущее состояние: Discord полностью исключён из selective routing.'''

Discord проходит обычным маршрутом:

<pre>
Android
   |
WireGuard
   |
CT103 vpn-gateway
   |
192.168.1.1
   |
Internet
</pre>

Это решение принято намеренно, чтобы не нарушать работу голосовых каналов.

== HAPP Gateway ==

CT502:

<pre>
192.168.1.52
</pre>

работает как отдельный VLESS/HAPP gateway.

Используется TUN-интерфейс:

<pre>
thapp
</pre>

пример адреса:

<pre>
198.18.0.1/30
</pre>

HAPP создаёт отдельную таблицу маршрутизации:

<pre>
table 100
</pre>

Для корректного возврата трафика WireGuard необходимо сохранить маршруты:

<syntaxhighlight lang="bash">
ip route replace table 100 \
    192.168.1.0/24 dev eth0 src 192.168.1.52

ip route replace table 100 \
    10.20.0.0/24 via 192.168.1.53 dev eth0
</syntaxhighlight>

Иначе широкое правило:

<pre>
192.168.0.0/16
</pre>

может отправить обратный трафик WireGuard-клиента не в CT103.

== HAPP Auto Selector ==

На CT502 работает автоматический выбор HAPP-сервера.

Скрипт:

<pre>
/usr/local/sbin/happ-autoselect.sh
</pre>

Он выполняет реальные HTTP-запросы через тестовый HAPP proxy и сравнивает
время ответа нескольких стран.

Тестовые порты:

<pre>
SOCKS 12080
HTTP  12081
</pre>

Для каждого сервера выполняется несколько запросов и используется медианное
значение времени ответа.

Переключение производится только при достаточно заметном улучшении, чтобы
избежать постоянного переключения между близкими по скорости серверами.

Проверка выполняется systemd timer:

<pre>
happ-autoselect.timer
</pre>

== Проверка состояния ==

=== WireGuard ===

<syntaxhighlight lang="bash">
systemctl is-active wg-quick@wg0
wg show
</syntaxhighlight>

=== nftables ===

<syntaxhighlight lang="bash">
systemctl is-active nftables
nft list chain ip selective prerouting
</syntaxhighlight>

=== DNS ===

<syntaxhighlight lang="bash">
systemctl is-active dnsmasq
dnsmasq --test
</syntaxhighlight>

=== Dynamic HAPP set ===

<syntaxhighlight lang="bash">
nft list set ip selective happ_ipv4
</syntaxhighlight>

Очистить набор для диагностики:

<syntaxhighlight lang="bash">
nft flush set ip selective happ_ipv4
</syntaxhighlight>

После открытия нужного приложения набор должен заполниться снова.

=== Policy routing ===

<syntaxhighlight lang="bash">
ip rule show
ip route show table 200
</syntaxhighlight>

Ожидается:

<pre>
100: from all fwmark 0x1 lookup 200
</pre>

и:

<pre>
default via 192.168.1.52 dev eth0
</pre>

=== Проверка конкретного адреса ===

Обычный маршрут:

<syntaxhighlight lang="bash">
ip route get 1.1.1.1
</syntaxhighlight>

Маршрут с HAPP mark:

<syntaxhighlight lang="bash">
ip route get 1.1.1.1 mark 1
</syntaxhighlight>

Второй запрос должен использовать:

<pre>
table 200
via 192.168.1.52
</pre>

== Диагностика трафика ==

Трафик конкретного WireGuard-клиента можно наблюдать:

<syntaxhighlight lang="bash">
tcpdump -ni wg0 host 10.20.0.2
</syntaxhighlight>

HTTPS:

<syntaxhighlight lang="bash">
tcpdump -ni wg0 'host 10.20.0.2 and port 443'
</syntaxhighlight>

UDP:

<syntaxhighlight lang="bash">
tcpdump -ni wg0 'host 10.20.0.2 and udp'
</syntaxhighlight>

DNS и HTTPS одновременно:

<syntaxhighlight lang="bash">
tcpdump -ni wg0 \
    'host 10.20.0.2 and (port 53 or port 443)'
</syntaxhighlight>

Это основной способ поиска сервисов, которые используют дополнительные CDN,
UDP endpoints или прямые IP-соединения.

== Автозапуск ==

После перезагрузки CT103 должны быть активны:

<syntaxhighlight lang="bash">
systemctl is-active nftables
systemctl is-active dnsmasq
systemctl is-active wg-quick@wg0
systemctl is-active selective-routing
</syntaxhighlight>

Ожидаемый результат:

<pre>
active
active
active
active
</pre>

Сервис selective routing:

<pre>
selective-routing.service
</pre>

восстанавливает:

* маршрут локальной сети в table 200;
* default route через CT502;
* правило fwmark 0x1.

== Итоговая схема маршрутизации ==

<pre>
WireGuard Client
10.20.0.x
      |
      v
CT103 vpn-gateway
      |
      +--------------------------------------+
      |                                      |
      | обычный destination                  | selected destination
      |                                      |
      v                                      v
192.168.1.1                         nftables mark 0x1
      |                                      |
      |                                      v
      |                                  table 200
      |                                      |
      |                                      v
      |                               192.168.1.52
      |                                      |
      |                                      v
      |                                  HAPP/VLESS
      |                                      |
      +------------------+-------------------+
                         |
                         v
                      Internet
</pre>

== Текущее состояние ==

{| class="wikitable"
! Сервис
! Маршрут
! Метод
! Статус
|-
| YouTube
| HAPP
| DNS / nftset
| Работает
|-
| Instagram
| HAPP
| DNS / nftset
| Работает
|-
| Telegram
| HAPP
| Статические IP-сети + DNS
| Работает
|-
| ChatGPT / OpenAI
| HAPP
| DNS / nftset
| Работает
|-
| Discord
| Direct WAN
| Исключён из selective routing
| Голос через HAPP отключён
|-
| Остальной трафик
| Direct WAN
| Main routing table
| Работает
|}

== Безопасность ==

Закрытые ключи WireGuard не должны публиковаться в Wiki, Git или конфигурационных
примерах.

В документации допускается указывать:

* IP-адреса;
* порты;
* имена интерфейсов;
* публичные ключи при необходимости;
* архитектуру сети.

Не следует публиковать:

* WireGuard PrivateKey;
* API keys;
* HAPP/VLESS credentials;
* токены;
* пароли.

== Дальнейшее развитие ==

Возможные следующие этапы:

# Добавление новых сервисов через dnsmasq/nftset.
# Автоматическая диагностика новых destination IP.
# Разделение динамических nftables sets по сервисам.
# Статистика трафика отдельно для каждого сервиса.
# Web-интерфейс состояния gateway.
# Автоматическое тестирование HAPP-серверов.
# Мониторинг WireGuard-клиентов.
# Безопасная автоматизация добавления и удаления WireGuard-пользователей.

[[Категория:RAMBA]]
[[Категория:Infrastructure]]
[[Категория:VPN]]
[[Категория:WireGuard]]
[[Категория:Proxmox]]
[[Категория:Networking]]