Redrafting

2025-12-14 02:54:29 +05:00 · 2024-04-18 16:54:27 +03:00
parent df8ecd5cdc
commit ec9971ef4b
5 changed files with 249 additions and 212 deletions
--- a/README.md
+++ b/README.md
@@ -1,78 +1,61 @@
-Domain routing OpenWrt
-=========
+[English role README](https://github.com/itdoginfo/domain-routing-openwrt/blob/role/README.EN.md)

-Configuring domain routing on Openwrt router.
+# Описание
+Shell скрипт и playbook для Ansible. Автоматизируют настройку роутера на OpenWrt для роутинга по доменам и спискам IP-адресов.

+Полное описание происходящего:
+- [Статья на хабре](https://habr.com/ru/articles/767464/)
+- [Копия в моём блоге](https://itdog.info/tochechnyj-obhod-blokirovok-po-domenam-na-routere-s-openwrt/)

-Role Variables
--------------
-
-Lists
+# Скрипт для установки
 ```
-  country: russia-inside|russia-outside|ukraine
-  list_domains: true|falase
-
-  list_subnet: false|true
-  list_ip: false|true
-  list_community: false|true
+sh <(wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-install.sh)
 ```

-Tunnel
+## Скрипт для проверки конфигурации
+Написан для OpenWrt 23.05 и 22.03. На 21.02 работает только половина проверок.
+
+[x] - не обязательно означает, что эта часть не работает. Но это повод для ручной проверки.
+
+### Запуск
 ```
-  tunnel: wg|openvpn|singbox|tun2socks
+wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh
 ```

-DoH or DoT
+### Запустить с проверкой на подмену DNS
 ```
-  dns_encrypt: false|dnscrypt|stubby
+wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh -s dns
 ```

-Nano package
+### Запустить с созданием dump
+Все чувствительные переменные затираются.
+
 ```
-  nano: true|false
+wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh -s dump
 ```

-Acces from wg network to router
+Поиск ошибок вручную: https://habr.com/ru/post/702388/
+
+# Ansible
+Установить роль
 ```
-  wg_access: false|true
+ansible-galaxy role install itdoginfo.domain_routing_openwrt
 ```

-If wireguard is used:
-```
-    wg_server_address: wg-server-host
-    wg_private_key: privatekey-client
-    wg_public_key: publickey-client
-    #wg_preshared_key: presharedkey-client
-    wg_client_port: 51820
-    wg_client_address: ip-client
-    wg_access_network: wg-network
-```
+Примеры playbooks

-Dependencies
------------
-
-[gekmihesg.openwrt](https://github.com/gekmihesg/ansible-openwrt)
-
-
-Example Playbook
----------------
-
-The inventory file must contain the group `[openwrt]` where your router will be located.
-
-
-Wireguard, only domains, stubby, Russia, acces from wg network, host 192.168.1.1
+Wireguard, only domains, stubby, Russia, acces from wg network (примерное значение 192.168.80.0/24), host 192.168.1.1
 ```
 - hosts: 192.168.1.1
  remote_user: root

  roles:
-    - domain-routing-openwrt
+    - itdoginfo.domain_routing_openwrt

  vars:
    tunnel: wg
    dns_encrypt: stubby
    country: russia-inside
-    wg_access: true

    wg_server_address: wg-server-host
    wg_private_key: privatekey-client
@@ -81,6 +64,8 @@ Wireguard, only domains, stubby, Russia, acces from wg network, host 192.168.1.1
    wg_listen_port: 51820
    wg_client_port: 51820
    wg_client_address: ip-client
+
+    wg_access: true
    wg_access_network: wg-network
 ```

@@ -90,7 +75,7 @@ Sing-box, stubby, Russia
  remote_user: root

  roles:
-    - domain-routing-openwrt
+    - itdoginfo.domain_routing_openwrt

  vars:
    tunnel: singbox
@@ -98,7 +83,112 @@ Sing-box, stubby, Russia
    country: russia-inside
 ```

-License
-------
+В inventory файле роутер обязательно должен быть в группе `[openwrt]`
+```
+[openwrt]
+192.168.1.1
+```

-GNU General Public License v3.0
+Для работы Ansible c OpenWrt необходимо, чтоб было выполнено одно из условий:
+- Отсутствие пароля для root (не рекомендуется)
+- Настроен доступ через публичный SSH-ключ в [конфиге dropbear](https://openwrt.org/docs/guide-user/security/dropbear.public-key.auth)
+
+После выполнения playbook роутер сразу начнёт роутить необходмые домены в туннель/прокси.
+
+Если у вас были ошибки и они исправились при повторном запуске playbook, но при этом роутинг не заработал, сделайте рестарт сети и скрипта:
+```
+service network restart
+service getdomains start
+```
+
+Тестировалось с
+- Ansible 2.10.8
+- OpenWrt 21.02.7
+- OpenWrt 22.03.5
+- OpenWrt 23.05.2
+
+## Выбор туннеля
+- Wireguard настраивается автоматически через переменные
+- OpenVPN устанавливается пакет, настраивается роутинг и зона. Само подключение (скопировать конфиг и перезапустить openvpn) нужно [настроить вручную](https://itdog.info/nastrojka-klienta-openvpn-na-openwrt/)
+- Sing-box устанавливает пакет, настраивается роутинг и зона. Также кладётся темплейт в `/etc/sing-box/config.json`. [Нужно настроить](https://habr.com/ru/articles/767458/) `config.json` и сделать `service sing-box restart`
+Не работает под 21ой версией. Поэтому при его выборе playbook выдаст ошибку.
+Для 22ой версии нужно установить пакет вручную.
+- tun2socks настраивается только роутинг и зона. Всё остальное нужно настроить вручную
+
+Для **tunnel** четыре возможных значения:
+- wg
+- openvpn
+- singbox
+- tun2socks
+
+В случае использования WG:
+```
+    wg_server_address: wg-server-host
+    wg_private_key: privatekey-client
+    wg_public_key: publickey-client
+    wg_preshared_key: presharedkey-client
+    wg_client_port: 51820
+    wg_client_address: ip-client
+```
+
+Если ваш wg сервер не использует `preshared_key`, то просто не задавайте её.
+
+**wg_access** и **wg_access_network** для доступа к роутеру через WG. Переменная wg_access_network должна иметь значение подсети, например 192.168.10.0/24.
+```
+    wg_access_network: wg-network
+    wg_access: true
+```
+
+## Шифрование DNS
+Если ваш провайдер не подменяет DNS-запросы, ничего устанавливать не нужно.
+
+Для **dns_encrypt** три возможных значения:
+- dnscrypt
+- stubby
+- false/закомментировано - пропуск, ничего не устанавливается и не настраивается
+
+## Выбор страны
+Выбор списка доменов.
+Для **county** три [возможных значения](https://github.com/itdoginfo/allow-domains):
+- russia-inside
+- russia-outside
+- ukraine
+
+## Списки IP-адресов
+Списки IP-адресов берутся с [antifilter.download](https://antifilter.download/)
+Переменные **list_** обозначают, какие списки нужно установить. true - установить, false - не устанавливать и удалить, если уже есть
+
+Доступные переменные
+```
+  list_domains: true
+  list_subnet: false
+  list_ip: falses
+  list_community: false
+```
+
+Я советую использовать только домены
+```
+    list_domains: true
+```
+Если вам требуются списки IP-адресов, они также поддерживаются.
+
+При использовании **list_domains** нужен пакет dnsmasq-full.
+
+Для 23.05 dnsmasq-full устанавливается автоматически.
+
+Для OpenWrt 22.03 версия dnsmasq-full должна быть => 2.87, её нет в официальном репозитории, но можно установить из dev репозитория. Если это условие не выполнено, плейбук завершится с ошибкой.
+
+[Инструкция для OpenWrt 22.03](https://t.me/itdoginf/12)
+
+[Инструкция для OpenWrt 21.02](https://t.me/itdoginfo/8)
+
+## Текстовый редактор nano
+Устанавливается по умолчанию
+Можно выключить
+```
+  nano: false
+```
+
+---
+
+[Telegram-канал с обновлениями](https://t.me/+lW1HmBO_Fa00M2Iy)