NFQWS_PORTS_TCP и NFQWS_PORTS_UDP не позволяют задать больше 15 портов из-за ограничений iptables / ip6tables

[Prodavec]

config:
NFQWS_PORTS_TCP=80,443,2053-2096,8443,19294-19344,50000-50100,590-1400,3478,3482,5222-5242,10000

LOG:

Inserting iptables rule for nfqws postrouting (qnum 200) : -p tcp -m multiport --dports 80,443,2053:2096,8443,19294:19344,50000:50100,590:1400,3478,3482,5222:5242,10000 -m connbytes --connbytes-dir=original --connbytes-mode=packets --connbytes 1:9
iptables v1.4.21: too many ports specified

То есть тут 16 заданных портов, в которых границы диапазона рассматриваются как один порт. Я вынужден был добавить два диапазона, которые захватывают ненужные порты, чтобы iptables / ip6tables перестал ругаться, но это suboptimal

Для примера, убираем порт 80
NFQWS_PORTS_TCP=443,2053-2096,8443,19294-19344,50000-50100,590-1400,3478,3482,5222-5242,10000
И все заводится как по маслу.

Если игнорировать предупреждение, забив на него болт
iptables v1.4.21: too many ports specified
то вся кухня ломается и zapret / firewall не работают корректно.

Как я понял есть два пути решения проблемы:

1. Два раздельных iptables / ip6tables, каждый из которых захватывает не более 15 значений
2. Или ipset create myportsmask bitmap:port

Что хотелось бы видеть? Чтобы порты в NFQWS_PORTS_TCP и NFQWS_PORTS_UDP не требовали ручной работы по добавлению правил или возни с ipset каждый раз при изменении конфига. Ну или иное, более оптимальное решение, которое предложит разработчик или комьюнити.

PS --sports тоже ругается на лимит портов:

Inserting iptables rule for nfqws input+forward (qnum 200) : -p tcp -m multiport --sports 80,443,2053:2096,8443,19294:19344,50000:50100,590:1400,3478,3482,5222:5242,10000  -m connbytes --connbytes-dir=reply --connbytes-mode=packets --connbytes 1:3
iptables v1.4.21: too many ports specified
Try `iptables -h' or 'iptables --help' for more information.

[bol-van]

z1 EOL, в нем уже точно не буду копаться.
Можно использовать кастом или ручные правила для дополнительных портов.

Ценность iptables сейчас разве что для кинетиков и старых openwrt.
Есть железки , выпуск новых версий для которых прекратился. Старые таргеты ar71xx, которые не перевели на ath79, например.
В современных linux стоит использовать nft, где такой проблемы нет

[bol-van]

Кстати, что у вас за система ? Работают ли там ipset-ы по портам ?
Там же разные модули для разных типов ipset. Могли какие-то не положить

[Prodavec]

Keentic Hopper SE (KN-3812) source
KeeneticOS 4.3.6.3 (Available version 5.0.4, пока не ставил) patchnotes
Entware k3.10 (24-May-2025 20:59) source
Версия ядра 4.9-ndm-5

Устновка пакетов через
opkg install coreutils-sort curl grep gzip ipset iptables kmod_ndms xtables-addons_legacy
В последствии curl заменил на curl c QUIC, так как в репозитории opkg его нет

Модули из OPKG - pastebin
Модули перечисленные lsmod - pastebin
Список всех модулей
ls /lib/modules/4.9-ndm-5
pastebin

Работают ли там ipset-ы по портам ?

Да, работают. zapret запущен в режиме использования nfqws. tpws не используется.

В конфиге zapret'a стоит
FWTYPE=iptables

Предполагаю что nft можно завести на моей конфигурации, но надо будет че-то доставить и по колдовать. Более-менее понятно куда копать, видимо это наиболее оптимальное решение?

[bol-van]

На кинетике nft - не вариант.
Даже если каким-то волшебством удастся завести модули nft, там версия слишком стара. Будут ошибки и проблемы.

В z2 перевел dports на ipset, z1 трогать не буду.
Пишите кастом с перенаправлением на очередь 200
В смысле там надо дописать всего лишь еще одно правило, используя хелперы, чтобы не пропали настройки конфига, connbytes и предотвращение зацикливания по mark

[Prodavec]

Круто! Значит постепенно на z2 переедем. А пока костыль сделаю. Спасибо, целую горячо.

PS --sports если че тоже ругается на лимит. То есть там тоже нужен ipset.