Мини гайд для тех, кто хочет поставить Zapret на роутер, но имеет неподходящий/слабый роутер

[Transmittance]

Предыстория

Летом 2024 года поставил запрет себе домой на роутер Keenetic Extra (KN-1710) (разработчику запрета огромное спасибо!). В сентябре того же года приехал в общагу в другом городе, появилась потребность поставить Zapret и туда. В общаге находился какой-то непонятный слабый роутер с низким количеством памяти, а другой за тысячи рублей для общаги покупать не хотелось. Поэтому пришла в голову идея, попробовать купить относительно старый роутер Keenetic за копейки, попробовать его перепрошить софтом энтузиастов, которые продолжают модифицировать новые софты для более неподдерживаемых роутеров.
Спойлер, всё получилось, потрачено 900 рублей (роутер + флешка).

Какой роутер купить

Покупайте Zyxel Keenetic Omni 2. Лично я брал на Авито, там много предложений и продают его за 800-1000 рублей.

Что сделать

Для начала необходимо перепрошить роутер, так как последнее официальное обновление ПО было выпущено в 2018 году, и на этой версии ПО нет необходимых для установки компонентов. Поэтму перепробовав много разных версий прошивки c 4PDA, была найденна подходящая --> kn_rf_delta_2.15.C.2.0-2.zip. Эта версия отличается новым интерфейсом (относительно интерфейса непрошитого Zyxel Keenetic Omni 2) и расширеным набором компонентов.

После прошивки для установки появляются все необходимые компоненты. Важно, что ненужные компоненты лучше удалить, иначе может не хватить места для нужных.

Если не хотите заморачиваться с натройкой запрета, рекомендую статью на хабре. Если делаете по этой статье, то на девятом этапе необходимо немного править init-скрипт - закоментировать запуск модуля xt_multiport, так как его попросту нет. Вообще этот модуль ни на что не влияет, на двух разных Keenetic Omni 2 у меня всё отлично работает и без него.

Что делать дальше

Если вам не нужен Wi-Fi и досаточно только проводного подключения, можете пользоваться вашим "новым" роутером. Однако я думаю что в 99.9% случаев требуется и Wi-Fi подключение. Проблема в том, что Zyxel Keenetic Omni 2 очень плох в этом плане, он работает только в диапазоне 2.4GHz, у меня постоянно были траблы с подключением при работе с Wi-Fi с Zyxel Keenetic Omni 2. Выход довольно прост - взять ваш имеющийся роутер и от LAN порта Keenetic Omni 2 по кабелю подключиться к WAN порту вашего другого роутера. Так модификация пакетов будет происходить на Keenetic Omni 2, от него можно подключть по проводам необходимые устройства, а Wi-Fi подключение будет происходить уже на другом роутере, в который по WAN порту будет поступать уже модифицированный трафик.

Вот такая картина должна получиться:

Здесь Keenetic Omni 2 используются исключительно для проводных подключений, а роутер Билайн и МТС - для Wi-Fi.

[Noreliks]

Привет, хитро придумал и всё работает, но есть нюанс. Подключив второй роутер к первому по WAN, получается так называемый Double NAT, то есть он уже начинает раздавать свои IP-адреса. Лучше всё таки подключить второй роутер к LAN и отключить у него DHCP в настройках, так все устройства будут в одной подсети и их будет проще настраивать через первый роутер

[dvpartizan]

Прошил на этот роутер Padavan от sereja8 с нужными модулями.
Всё, что нужно работает.

[TurboKirill]

так в том билайне больше памяти и тоже шьется насколько помню

[uzz008]

Отлично придумано, у меня другая проблема, роутер на прием интернета не заменить, вход по оптике и провайдер отказывается на замену роутера. Как сделать, чтобы интернет принимал роутер провайдера, за NATом пробовал - не получается. Т.е. если с LAN порта брать и в WAN другого роутера с запретом пускать - запрет не работает.

[TurboKirill]

А если свой роутер с приёмом оптики поставить?

[uzz008]

А если свой роутер с приёмом оптики поставить?

Да, это первая мысль была. И мысль была купить отдельный преобразователь оптика-витая пара. Но провайдер сказал, что работать не будет. GPON роутер. Проверять не стал - это всё в деньги упирается. Поставил режим моста на роутере провайдера и авторизацию на Кинетике, где стоит запрет, всё скопировал, но интернет не поймал, ковырялся долго. Дело в том что на роутере провайдера обрезанная прошивка или устаревшая, на Кинетике все гораздо шире настраивается. Короче после долгих пинаний так и забросил.

[TurboKirill]

А если свой роутер с приёмом оптики поставить?

Да, это первая мысль была. И мысль была купить отдельный преобразователь оптика-витая пара. Но провайдер сказал, что работать не будет. GPON роутер. Проверять не стал - это всё в деньги упирается. Поставил режим моста на роутере провайдера и авторизацию на Кинетике, где стоит запрет, всё скопировал, но интернет не поймал, ковырялся долго. Дело в том что на роутере провайдера обрезанная прошивка или устаревшая, на Кинетике все гораздо шире настраивается. Короче после долгих пинаний так и забросил.

Тут ещё вопрос работоспособности самого запрета. У меня, например, тоже Кинетик, и если его настраивать по мануалу Кинетика, то тоже не работает ничего. А если поставить просто запрет по дефолту, как на openwrt без опций "для Кинетика", а потом вручную уже поменять на хостлист и добавить все свои сайты и рабочий конфиг, то всё работает. Проблема только у ЭплТВ, который в отличии от всех остальных Эпл устройств, очень вредный, и я его просто пустил в обход на свой иностранный VPN.

[uzz008]

Тут ещё вопрос работоспособности самого запрета. У меня, например, тоже Кинетик, и если его настраивать по мануалу Кинетика, то тоже не работает ничего. А если поставить просто запрет по дефолту, как на openwrt без опций "для Кинетика", а потом вручную уже поменять на хостлист и добавить все свои сайты и рабочий конфиг, то всё работает. Проблема только у ЭплТВ, который в отличии от всех остальных Эпл устройств, очень вредный, и я его просто пустил в обход на свой иностранный VPN.

Работоспособность Кинетика проверена на другом месте, где витая пара приходит, тот же самый провайдер. YT показывает на всех устройствах: мобильники, компы и смарт тв. Ставил по руководству Keenet с хабра.

[Slona]

Все работает. У меня после МГТСовского оптического роутера стоит свой Ubiquiti. Просто между ними мост с внутренней /28 подсеткой

[Fenrir-0xFF]

Поделюсь немного практическим опытом работы с дерьмовыми не openWRT роутерами.
Если имеется возможность установки nfqws то збс, но чяще всего приходится давольствоваться tpws или byedpi, к счястью dnat поддерживается практически всеми роутерами.
Одна из главных проблем это малое количество свободного места доступного для записи, как правило размер раздела составляет всего 256кб, треть которого занимает файл конфига роутера, который может изменять свой размер. После заливки tpws или byedpi, списка с сайтами и скрипта запуска должно оставаться минимум 40кб свободного места иначе или после первойже перезагрузки или когда решите изменить настройки роутер зависнет, последующяя перезагрузка приведёт к бутлупу, в этом случяе спасает только полный сброс.

По размерам byedpi под upx'ом занимает на 35-45кб меньше места чем tpws, однако бинарики под RTL (lexra) есть только tpws.

В случяе нехватки свободного места на роутер заливается только скрипт запуска и список сайтов, сам же tpws автоматически грузиться в tmp через wget или ftp.
Сделать автозапуск в большинстве случяев без перепаковки прошивки нет возможности, но с учётом того что люди ребутят роутер обычно не чяще раза в месяц, то запустить скрипт вручную через telnet проблемы не составляет.

[bol-van]

Садомазо называется. Если нужны такие функции, го на барахолку. Хоть совсем старье, едва тянущее 100 мбит и 802.11n. Большинству этого достаточно

[Fenrir-0xFF]

Садомазо называется. Если нужны такие функции, го на барахолку. Хоть совсем старье, едва тянущее 100 мбит и 802.11n. Большинству этого достаточно

Большинство людей вобще не в теме и берут первое попавшееся железо, пользуются всякими vpn'ами которые со временем перестают работать, а когда узнают что есть более качественные альтернативы им попросту влом или жалко избавляться от старого железа и покупать новое.
Поэтому приходится так заморачиваться. Причём это касается и новых роутеров, на днях столкнулся с гигабитным роутером netis - все теже проблемы что и с древними dlink'ами - прошивок нормальных нет, модулей нет, доступной памяти практически нет, зато ОЗУ аж 128мб

[bol-van]

Если люди вообще не бум-бум, то им zapret ставить не надо.
Потому что завтра он перестанет, и придется опять вызывать сантехника.
Работа по установке на openwrt и на заводскую прошивку, где ничего нет и все надо ломать, причем для каждого роутера заново, она стоит гораздо больше, чем старый роутер под openwrt

[Fenrir-0xFF]

Потому что завтра он перестанет, и придется опять вызывать сантехника.

Чтобы люди сами с этим трахались, была мысля скриптик написать и сюда выложить, который автоматически rootFS перепаковывает и zapret внедряет и cgi скрипт для управления через web интерфейс добавить, в разделе доступном для RW только конфиг хранить.
Немного поэксперементировал на роутере Netgear и упёрся в подпись контрольной суммы.
На хабре чел под dlink прошивку перепаковывал и через cvimg подписывал, но у разных железок подписи чютка отличяются.

[kjkTommy]

Добрый день, подскажите 2026 год актуально?

[Transmittance]

Добрый день, прямо сейчас с помощью Keenetic Omni II смотрю ютьюб

[HentayHentay]

Для начало смотрим

• поддерживается опенврт - на сайте опенврт имеется список
• смотрим поддержку запретом альтернативных прошивок - смотрим их список (но тут садомазо полный)
• собрать свое из подручных средств и залепить линукс (особо красноглазым)

Все

[antonyRock]

такс, у меня keenetic 4G для него конечно же другая прошивка нужна ?

[HentayHentay]

Ну для начала область на котороую можно совершить запись
Есть - нет
Почему - скваш раздел и он только ro
USB - имеется под модем. Может порт под что-то другое рассчитан?

keenetic 4G

ОЗУ/ПЗУ/ядро

128мб/32мб/1

же другая прошивка нужна ?

Флешка и ентвар. Дальше выдержит ли устройство

[Iamimprovingmyself]

Привет. Прошил себе роутер на опенврт+поставил запрет. Есть ли способ что-то сделать с конфигом, чтобы работала инста?

[Iamimprovingmyself]

DoH, через мак заработало, а с мобилы не пускает :D

[Iamimprovingmyself]

устройство айфон 17

[Iamimprovingmyself]

и еще,видимо я себе сломал обход ютуба :D не подскажете какие адреса валидные вписать, чтобы работало?

[Transmittance]

Да, смотрите, на десктопных версиях надо DNS настраивать. На мобильных версиях у меня и без этого работает, просто с запретом. Ещё может быть такая штука, что в мобильном клиенте надо секунд 20 подождать как приложение запускаете, потом всё начинает грузиться. У меня так происходит в одном городе, в другом вообще без ожидания впускает. Если не грузится, может проблема с запретом, раз Вы упомянули про неработающий ютьюб.

Я тогда советую Вам воспользоваться форком запрета – zapret4rocket. Так называемый зифир. Он максимальтно юзер френдли, есть куча разных альтернативных стратегий и есть тг канал где Вам всегда помогут.

Хз почему я на Вы перешел) Автоматически

[Iamimprovingmyself]

Спасибо большое

[Kirius88]

Приветствую! Чтобы не создавать новую тему задам вопрос тут.
Есть Keenetic Giga (KN-1011) с установленным запретом (MODE_FILTER=hostlist + NFQWS). Подскажите пожалуйста: можно ли добавить в список все подсети (айпишники) недавно заблокированных больших хостеров типа Cloudflare, амазон и тд? Если да, то насколько больше станет нагрузка на роутер?

Просто каждый раз, когда не открывается очередной зарубежный сайт приходится идти и добавлять его домен (а иногда и несколько доменов) в файл hostlist. В результате поиск информации на зарубежных сайтах превратился уже в какой-то в ад.

[TurboKirill]

Если путешествуешь по разным зарубежным сайтам, то наверное лучше поставить self-host VPN, чем страдать, тем более, что zapret никак не поможет зайти на сайты, которые сами заблокировали доступ с российских IP

[DarkReggae]

Для Кинетиков есть форк NFQWS-Keenetic by Anonym-tsk (искать здесь на Гитхабе же).

[Transmittance]

Я лучше советую воспользоваться zapret4rocket. Так называемый зифир. Он максимально юзер френдли, есть куча разных альтернативных стратегий (постоянно обновляющихся) и есть тг канал где всегда помогут в случае чего.

[Hawkrays]

Можете подксазать, при запуске вот такая шляпа:
~ # /opt/zapret/init.d/sysv/zapret start
Starting daemon 3: /opt/zapret/nfq/nfqws --user=nobody --dpi-desync-fwmark=0x40000000 --qnum=200
--filter-tcp=80 --dpi-desync=fake,multisplit --dpi-desync-ttl=0 --dpi-desync-fooling=badsum,badseq --dpi-desync-fake-http=/opt/zapret/files/fake/zero_256.bin --new
--filter-tcp=443 --dpi-desync=fake,multidisorder --dpi-desync-split-pos=method+2,midsld,5 --dpi-desync-ttl=0 --dpi-desync-fooling=badsum,badseq --dpi-desync-repeats=1 --dpi-desync-any-protocol --dpi-desync-cutoff=d4 --dpi-desync-fake-tls=/opt/zapret/files/fake/zero_256.bin -dpi-desync-fake-tls-mod=none --dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_www_google_com.bin --dpi-desync-fake-tls-mod=sni=www.google.com,rnd,dupsid --new
--filter-udp=443 --dpi-desync=fake --dpi-desync-repeats=1 --dpi-desync-ttl=0 --dpi-desync-any-protocol --dpi-desync-cutoff=d4 --dpi-desync-fooling=badsum,badseq --dpi-desync-fake-quic=/opt/zapret/files/fake/zero_256.bin
Starting daemon 1000: /opt/zapret/nfq/nfqws --user=nobody --dpi-desync-fwmark=0x40000000 --qnum=65400 --dpi-desync=fake --dpi-desync-repeats=2
Starting daemon 1001: /opt/zapret/nfq/nfqws --user=nobody --dpi-desync-fwmark=0x40000000 --qnum=65401 --dpi-desync=fake --dpi-desync-repeats=2
Applying iptables
Creating ip list table (firewall type iptables)
setting high oom kill priority
reloading ipset backend (no-update)
nfq_unbind_pf(): Invalid argument
nfq_unbind_pf(): Invalid argument
nfq_unbind_pf(): Invalid argument
Inserting iptables rule for nfqws postrouting (qnum 200) : -p tcp -m multiport --dports 80,443 -m connbytes --connbytes-dir=original --connbytes-mode=packets --connbytes 1:9
iptables v1.4.21: Set nozapret doesn't exist.

Try `iptables -h' or 'iptables --help' for more information.
Inserting ip6tables rule for nfqws postrouting (qnum 200) : -p tcp -m multiport --dports 80,443 -m connbytes --connbytes-dir=original --connbytes-mode=packets --connbytes 1:9
ip6tables v1.4.21: Set nozapret6 doesn't exist.

Try `ip6tables -h' or 'ip6tables --help' for more information.
Inserting iptables rule for nfqws input+forward (qnum 200) : -p tcp -m multiport --sports 80,443 -m connbytes --connbytes-dir=reply --connbytes-mode=packets --connbytes 1:3
iptables v1.4.21: Set nozapret doesn't exist.

Try `iptables -h' or 'iptables --help' for more information.
iptables v1.4.21: Set nozapret doesn't exist.

Try `iptables -h' or 'iptables --help' for more information.
Inserting ip6tables rule for nfqws input+forward (qnum 200) : -p tcp -m multiport --sports 80,443 -m connbytes --connbytes-dir=reply --connbytes-mode=packets --connbytes 1:3
ip6tables v1.4.21: Set nozapret6 doesn't exist.

Try `ip6tables -h' or 'ip6tables --help' for more information.
ip6tables v1.4.21: Set nozapret6 doesn't exist.

Try `ip6tables -h' or 'ip6tables --help' for more information.
Inserting iptables rule for nfqws postrouting (qnum 200) : -p udp -m multiport --dports 443 -m connbytes --connbytes-dir=original --connbytes-mode=packets --connbytes 1:9
iptables v1.4.21: Set nozapret doesn't exist.

Try `iptables -h' or 'iptables --help' for more information.
Inserting ip6tables rule for nfqws postrouting (qnum 200) : -p udp -m multiport --dports 443 -m connbytes --connbytes-dir=original --connbytes-mode=packets --connbytes 1:9
ip6tables v1.4.21: Set nozapret6 doesn't exist.

Try `ip6tables -h' or 'ip6tables --help' for more information.
Inserting iptables rule for keenetic udp fix : -o eth2.2 -p udp -m mark --mark 0x40000000/0x40000000
Inserting iptables rule for nfqws postrouting (qnum 65400) : -p udp --dport 50000:50099 -m u32 --u32 0>>22&0x3C@4>>16=0x52&&0>>22&0x3C@8=0x00010046&&0>>22&0x3C@16=0&&0>>22&0x3C@76=0
iptables v1.4.21: Set nozapret doesn't exist.

Try `iptables -h' or 'iptables --help' for more information.
Inserting iptables rule for nfqws postrouting (qnum 65401) : -p udp -m u32 --u32 0>>22&0x3C@4>>16=28:65535&&0>>22&0x3C@12=0x2112A442&&0>>22&0x3C@8&0xC0000003=0
iptables v1.4.21: Set nozapret doesn't exist.

Try `iptables -h' or 'iptables --help' for more information.
Inserting ip6tables rule for nfqws postrouting (qnum 65401) : -p udp -m u32 --u32 44>>16=28:65535&&52=0x2112A442&&48&0xC0000003=0
ip6tables v1.4.21: Set nozapret6 doesn't exist.

Try `ip6tables -h' or 'ip6tables --help' for more information.
~ #

[bol-van]

Нет модулей ядра