Merge 5625c795ba into aae9c50f10

Conversion to a role

.github/workflows/public-galaxy.yml

@@ -2,7 +2,6 @@ name: Public to Ansible Galaxy
 
 on:
   push:
-    branches: [ "role" ]
     tags:
       - '*'
 
@@ -15,5 +14,4 @@ jobs:
       - name: Publish Ansible role to Galaxy
         uses: robertdebock/galaxy-action@1.2.1
         with:
-          galaxy_api_key: ${{ secrets.galaxy_api_key }}
+          galaxy_api_key: ${{ secrets.galaxy_api_key }}
-          git_branch: role

README-old.md

@@ -1,160 +0,0 @@
-# Описание
-Shell скрипт и playbook для Ansible. Автоматизируют настройку роутера на OpenWrt для роутинга по доменам и спискам IP-адресов.
-
-Полное описание происходящего: [Статья на хабре](https://habr.com/ru/articles/767464/)
-
-[Копия в моём блоге](https://itdog.info/tochechnyj-obhod-blokirovok-po-domenam-na-routere-s-openwrt/)
-
-## Скрипт для установки
-Запуск без скачивания
-```
-sh <(wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-install.sh)
-```
-
-Подробности описаны в статье указаной выше.
-
-## Ansible
-Для взаимодействия c OpenWRT используется модуль [gekmihesg/ansible-openwrt](https://github.com/gekmihesg/ansible-openwrt)
-
-Домены берутся из [отсюда](https://github.com/itdoginfo/allow-domains). Списки IP-адресов берутся с [antifilter.download](https://antifilter.download/)
-
-Тестировалось с
-- Ansible 2.10.8
-
-- OpenWrt 21.02.7
-- OpenWrt 22.03.5
-- OpenWrt 23.05.2
-
-### Выбор туннеля
-- Wireguard настраивается автоматически через переменные
-- OpenVPN устанавливается пакет, настраивается роутинг и зона. Само подключение (скопировать конфиг и перезапустить openvpn) нужно [настроить вручную](https://itdog.info/nastrojka-klienta-openvpn-na-openwrt/)
-- Sing-box устанавливает пакет, настраивается роутинг и зона. Также кладётся темплейт в `/etc/sing-box/config.json`. Нужно настроить `config.json` и сделать `service sing-box restart`
-Не работает под 21ой версией. Поэтому при его выборе playbook выдаст ошибку.
-Для 22ой версии нужно установить пакет вручную.
-- tun2socks настраивается только роутинг и зона. Всё остальное нужно настроить вручную
-
-Для **tunnel** четыре возможных значения:
-- wg
-- openvpn
-- singbox
-- tun2socks
-
-В случае использования WG обязательно нужно задать:
-
-**wg_server_address** - ip/url wireguard сервера
-
-**wg_private_key**, **wg_public_key** - ключи для "клиента"
-
-**wg_client_address** - адрес роутера в wg сети
-
-Если ваш wg сервер использует preshared_key, то раскомментируйте **wg_preshared_key** и задайте ключ
-
-Остальное можно менять, в зависимости от того, как настроен wireguard сервер
-
-**wg_access** и **wg_access_network** для доступа к роутеру через WG. Переменная wg_access_network должна иметь значение подсети, например 192.168.10.0/24.
-
-### Шифрование DNS
-Если ваш провайдер не подменяет DNS-запросы, ничего устанавливать не нужно.
-
-Для **dns_encrypt** три возможных значения:
-- dnscrypt
-- stubby
-- false/закомментировано - пропуск, ничего не устанавливается и не настраивается
-
-### Выбор страны
- Для **county** три [возможных значения](https://github.com/itdoginfo/allow-domains):
-- russia-inside
-- russia-outside
-- ukraine
-
-### 
-
-### Списки IP-адресов и домены
-Переменные **list_** обозначают, какие списки нужно установить. true - установить, false - не устанавливать и удалить, если уже есть
-
-Я советую использовать только домены
-```
-    list_domains: true
-```
-Если вам требуются списки IP-адресов, они также поддерживаются.
-
-При использовании **list_domains** нужен пакет dnsmasq-full.
-
-Для 23.05 dnsmasq-full устанавливается автоматически.
-
-Для OpenWrt 22.03 версия dnsmasq-full должна быть => 2.87, её нет в официальном репозитории, но можно установить из dev репозитория. Если это условие не выполнено, плейбук завершится с ошибкой.
-
-[Инструкция для OpenWrt 22.03](https://t.me/itdoginf/12)
-
-[Инструкция для OpenWrt 21.02](https://t.me/itdoginfo/8)
-
-### Использование
-
-Установить модуль gekmihesg/ansible-openwrt
-
-```
-ansible-galaxy install gekmihesg.openwrt
-```
-
-Скачать playbook и темплейты в /etc/ansible
-
-```
-cd /etc/ansible
-git clone https://github.com/itdoginfo/domain-routing-openwrt
-mv domain-routing-openwrt/* .
-rm -rf domain-routing-openwrt README.md
-```
-
-Добавить роутер в файл hosts в группу openwrt
-```
-[openwrt]
-192.168.1.1
-```
-
-Подставить переменные в **hivpn.yml**
-
-Для работы Ansible c OpenWrt необходимо, чтоб было выполнено одно из условий:
-- Отсутствие пароля для root (не рекомендуется)
-- Настроен доступ через публичный SSH-ключ в [конфиге dropbear](https://openwrt.org/docs/guide-user/security/dropbear.public-key.auth)
-
-Запуск playbook
-```
-ansible-playbook playbooks/hivpn.yml --limit 192.168.1.1
-```
-
-После выполнения playbook роутер сразу начнёт роутить необходмые домены в туннель/прокси.
-
-Если у вас были ошибки и они исправились при повторном запуске playbook, но при этом роутинг не заработал, сделайте рестарт сети и скрипта:
-```
-service network restart
-service getdomains start
-```
-
-# Скрипт для проверки конфигурации
-
-Написан для OpenWrt 23.05 и 22.03. На 21.02 работает только половина проверок.
-
-[x] - не обязательно означает, что эта часть не работает. Но это повод для ручной проверки.
-
-Есть функционал сохранения вывода скрипта, конфигурации сети и firewall в файл. Все чувствительные переменные при этом затираются.
-
-### Запуск
-```
-wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh
-```
-
-### Запустить с проверкой на подмену DNS
-```
-wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh -s dns
-```
-
-### Запустить с созданием dump
-```
-wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh -s dump
-```
-
-Поиск ошибок вручную: https://habr.com/ru/post/702388/
-
----
-
-[Telegram-канал с обновлениями](https://t.me/+lW1HmBO_Fa00M2Iy)

README.EN.md

@@ -0,0 +1,117 @@
+Domain routing OpenWrt
+=========
+
+Configuring domain routing on Openwrt router.
+
+
+Role Variables
+--------------
+
+Lists
+```
+  country: russia-inside|russia-outside|ukraine
+  list_domains: true|falase
+
+  list_subnet: false|true
+  list_ip: false|true
+  list_community: false|true
+```
+
+Tunnel
+```
+  tunnel: wg|openvpn|singbox|tun2socks
+```
+
+DoH or DoT
+```
+  dns_encrypt: false|dnscrypt|stubby
+```
+
+Nano package
+```
+  nano: true|false
+```
+
+Acces from wg network to router
+```
+  wg_access: false|true
+  wg_access_network: 192.168.80.0/24 (for example)
+```
+
+If wireguard is used:
+```
+    wg_server_address: wg-server-host
+    wg_private_key: privatekey-client
+    wg_public_key: publickey-client
+    wg_preshared_key: presharedkey-client
+    wg_client_port: 51820
+    wg_client_address: ip-client
+
+    wg_access: true
+    wg_access_network: wg-network
+```
+
+Dependencies
+------------
+
+[gekmihesg.openwrt](https://github.com/gekmihesg/ansible-openwrt)
+
+
+Example Playbook
+----------------
+
+The inventory file must contain the group `[openwrt]` where your router will be located.
+
+
+Wireguard, only domains, stubby, Russia, acces from wg network, host 192.168.1.1
+```
+- hosts: 192.168.1.1
+  remote_user: root
+
+  roles:
+    - itdoginfo.domain_routing_openwrt
+
+  vars:
+    tunnel: wg
+    dns_encrypt: stubby
+    country: russia-inside
+    
+    wg_access: true
+    wg_server_address: wg-server-host
+    wg_private_key: privatekey-client
+    wg_public_key: publickey-client
+    wg_preshared_key: presharedkey-client
+    wg_listen_port: 51820
+    wg_client_port: 51820
+    wg_client_address: ip-client
+    wg_access_network: wg-network
+```
+
+Sing-box, stubby, Russia
+```
+- hosts: 192.168.1.1
+  remote_user: root
+
+  roles:
+    - itdoginfo.domain_routing_openwrt
+
+  vars:
+    tunnel: singbox
+    dns_encrypt: stubby
+    country: russia-inside
+
+  tasks:
+  - name: sing-box config
+    template:
+      src: "templates/openwrt-sing-box-json.j2"
+      dest: "/etc/sing-box/config.json"
+      mode: 0644
+    notify:
+      - Restart sing-box
+      - Restart network
+```
+
+License
+-------
+
+GNU General Public License v3.0

README.md

@@ -1,78 +1,61 @@
-Domain routing OpenWrt
+[English role README](https://github.com/itdoginfo/domain-routing-openwrt/blob/master/README.EN.md)
-=========
 
-Configuring domain routing on Openwrt router.
+# Описание
+Shell скрипт и [роль для Ansible](https://galaxy.ansible.com/ui/standalone/roles/itdoginfo/domain_routing_openwrt). Автоматизируют настройку роутера на OpenWrt для роутинга по доменам и спискам IP-адресов.
 
+Полное описание происходящего:
+- [Статья на хабре](https://habr.com/ru/articles/767464/)
+- [Копия в моём блоге](https://itdog.info/tochechnyj-obhod-blokirovok-po-domenam-na-routere-s-openwrt/)
 
-Role Variables
+# Скрипт для установки
---------------
-
-Lists
 ```
-  country: russia-inside|russia-outside|ukraine
+sh <(wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-install.sh)
-  list_domains: true|falase
-
-  list_subnet: false|true
-  list_ip: false|true
-  list_community: false|true
 ```
 
-Tunnel
+## Скрипт для проверки конфигурации
+Написан для OpenWrt 23.05 и 22.03. На 21.02 работает только половина проверок.
+
+[x] - не обязательно означает, что эта часть не работает. Но это повод для ручной проверки.
+
+### Запуск
 ```
-  tunnel: wg|openvpn|singbox|tun2socks
+wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh
 ```
 
-DoH or DoT
+### Запустить с проверкой на подмену DNS
 ```
-  dns_encrypt: false|dnscrypt|stubby
+wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh -s dns
 ```
 
-Nano package
+### Запустить с созданием dump
+Все чувствительные переменные затираются.
+
 ```
-  nano: true|false
+wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh -s dump
 ```
 
-Acces from wg network to router
+Поиск ошибок вручную: https://habr.com/ru/post/702388/
+
+# Ansible
+Установить роль
 ```
-  wg_access: false|true
+ansible-galaxy role install itdoginfo.domain_routing_openwrt
 ```
 
-If wireguard is used:
+Примеры playbooks
-```
-    wg_server_address: wg-server-host
-    wg_private_key: privatekey-client
-    wg_public_key: publickey-client
-    #wg_preshared_key: presharedkey-client
-    wg_client_port: 51820
-    wg_client_address: ip-client
-    wg_access_network: wg-network
-```
 
-Dependencies
+Wireguard, only domains, stubby, Russia, acces from wg network (пример 192.168.80.0/24), host 192.168.1.1
-------------
-
-[gekmihesg.openwrt](https://github.com/gekmihesg/ansible-openwrt)
-
-
-Example Playbook
-----------------
-
-The inventory file must contain the group `[openwrt]` where your router will be located.
-
-
-Wireguard, only domains, stubby, Russia, acces from wg network, host 192.168.1.1
 ```
 - hosts: 192.168.1.1
   remote_user: root
 
   roles:
-    - domain-routing-openwrt
+    - itdoginfo.domain_routing_openwrt
 
   vars:
     tunnel: wg
     dns_encrypt: stubby
     country: russia-inside
-    wg_access: true
 
     wg_server_address: wg-server-host
     wg_private_key: privatekey-client
@@ -81,6 +64,8 @@ Wireguard, only domains, stubby, Russia, acces from wg network, host 192.168.1.1
     wg_listen_port: 51820
     wg_client_port: 51820
     wg_client_address: ip-client
+
+    wg_access: true
     wg_access_network: wg-network
 ```
 
@@ -90,15 +75,129 @@ Sing-box, stubby, Russia
   remote_user: root
 
   roles:
-    - domain-routing-openwrt
+    - itdoginfo.domain_routing_openwrt
 
   vars:
     tunnel: singbox
     dns_encrypt: stubby
     country: russia-inside
+
+  tasks:
+  - name: sing-box config
+    template:
+      src: "templates/openwrt-sing-box-json.j2"
+      dest: "/etc/sing-box/config.json"
+      mode: 0644
+    notify:
+      - Restart sing-box
+      - Restart network
 ```
 
-License
+В inventory файле роутер обязательно должен быть в группе `[openwrt]`
--------
+```
+[openwrt]
+192.168.1.1
+```
 
-GNU General Public License v3.0
+Для работы Ansible c OpenWrt необходимо, чтоб было выполнено одно из условий:
+- Отсутствие пароля для root (не рекомендуется)
+- Настроен доступ через публичный SSH-ключ в [конфиге dropbear](https://openwrt.org/docs/guide-user/security/dropbear.public-key.auth)
+
+После выполнения playbook роутер сразу начнёт роутить необходмые домены в туннель/прокси.
+
+Если у вас были ошибки и они исправились при повторном запуске playbook, но при этом роутинг не заработал, сделайте рестарт сети и скрипта:
+```
+service network restart
+service getdomains start
+```
+
+Тестировалось с
+- Ansible 2.10.8
+- OpenWrt 21.02.7
+- OpenWrt 22.03.5
+- OpenWrt 23.05.2
+
+## Выбор туннеля
+- Wireguard настраивается автоматически через переменные
+- OpenVPN устанавливается пакет, настраивается роутинг и зона. Само подключение (скопировать конфиг и перезапустить openvpn) нужно [настроить вручную](https://itdog.info/nastrojka-klienta-openvpn-na-openwrt/)
+- Sing-box устанавливает пакет, настраивается роутинг и зона. Также кладётся темплейт в `/etc/sing-box/config.json`. [Нужно настроить](https://habr.com/ru/articles/767458/) `config.json` и сделать `service sing-box restart`
+Не работает под 21ой версией. Поэтому при его выборе playbook выдаст ошибку.
+Для 22ой версии нужно установить пакет вручную.
+- tun2socks настраивается только роутинг и зона. Всё остальное нужно настроить вручную
+
+Для **tunnel** четыре возможных значения:
+- wg
+- openvpn
+- singbox
+- tun2socks
+
+В случае использования WG:
+```
+    wg_server_address: wg-server-host
+    wg_private_key: privatekey-client
+    wg_public_key: publickey-client
+    wg_preshared_key: presharedkey-client
+    wg_client_port: 51820
+    wg_client_address: ip-client
+```
+
+Если ваш wg сервер не использует `preshared_key`, то просто не задавайте её.
+
+**wg_access** и **wg_access_network** для доступа к роутеру через WG. Переменная wg_access_network должна иметь значение подсети, например 192.168.10.0/24.
+```
+    wg_access_network: wg-network
+    wg_access: true
+```
+
+## Шифрование DNS
+Если ваш провайдер не подменяет DNS-запросы, ничего устанавливать не нужно.
+
+Для **dns_encrypt** три возможных значения:
+- dnscrypt
+- stubby
+- false/закомментировано - пропуск, ничего не устанавливается и не настраивается
+
+## Выбор страны
+Выбор списка доменов.
+Для **county** три [возможных значения](https://github.com/itdoginfo/allow-domains):
+- russia-inside
+- russia-outside
+- ukraine
+
+## Списки IP-адресов
+Списки IP-адресов берутся с [antifilter.download](https://antifilter.download/)
+Переменные **list_** обозначают, какие списки нужно установить. true - установить, false - не устанавливать и удалить, если уже есть
+
+Доступные переменные
+```
+  list_domains: true
+  list_subnet: false
+  list_ip: falses
+  list_community: false
+```
+
+Я советую использовать только домены
+```
+    list_domains: true
+```
+Если вам требуются списки IP-адресов, они также поддерживаются.
+
+При использовании **list_domains** нужен пакет dnsmasq-full.
+
+Для 23.05 dnsmasq-full устанавливается автоматически.
+
+Для OpenWrt 22.03 версия dnsmasq-full должна быть => 2.87, её нет в официальном репозитории, но можно установить из dev репозитория. Если это условие не выполнено, плейбук завершится с ошибкой.
+
+[Инструкция для OpenWrt 22.03](https://t.me/itdoginf/12)
+
+[Инструкция для OpenWrt 21.02](https://t.me/itdoginfo/8)
+
+## Текстовый редактор nano
+Устанавливается по умолчанию. Можно выключить
+```
+  nano: false
+```
+
+---
+
+[Telegram-канал с обновлениями](https://t.me/+lW1HmBO_Fa00M2Iy)

getdomains-check.sh

@@ -134,7 +134,7 @@ if [ "$WG" == true ]; then
     if [ $ROUTE_TABLE -eq 1 ]; then
         checkpoint_true "Route table WG"
     else
-        checkpoint_false "Route table VPN"
+        checkpoint_false "Route table WG"
         echo "Details: https://cli.co/Atxr6U3"
     fi
 fi

getdomains-install.sh

@@ -26,7 +26,7 @@ EOF
 
 add_mark() {
     grep -q "99 vpn" /etc/iproute2/rt_tables || echo '99 vpn' >> /etc/iproute2/rt_tables
-    
+
     if ! uci show network | grep -q mark0x1; then
         printf "\033[32;1mConfigure mark rule\033[0m\n"
         uci add network rule
@@ -49,9 +49,9 @@ add_tunnel() {
 
     while true; do
     read -r -p '' TUNNEL
-        case $TUNNEL in 
+        case $TUNNEL in
 
-        1) 
+        1)
             TUNNEL=wg
             break
             ;;
@@ -61,12 +61,12 @@ add_tunnel() {
             break
             ;;
 
-        3) 
+        3)
             TUNNEL=singbox
             break
             ;;
 
-        4) 
+        4)
             TUNNEL=tun2socks
             break
             ;;
@@ -114,7 +114,7 @@ add_tunnel() {
         if [ "$WG_ENDPOINT_PORT" = '51820' ]; then
             echo $WG_ENDPOINT_PORT
         fi
-        
+
         uci set network.wg0=interface
         uci set network.wg0.proto='wireguard'
         uci set network.wg0.private_key=$WG_PRIVATE_KEY
@@ -182,7 +182,7 @@ cat << 'EOF' > /etc/sing-box/config.json
       "inet4_address": "172.16.250.1/30",
       "auto_route": false,
       "strict_route": false,
-      "sniff": true 
+      "sniff": true
    }
   ],
   "outbounds": [
@@ -275,7 +275,7 @@ add_zone() {
         uci set firewall.@zone[-1].family='ipv4'
         uci commit firewall
     fi
-    
+
     if [ "$TUNNEL" == 0 ]; then
         printf "\033[32;1mForwarding setting skipped\033[0m\n"
     elif uci show firewall | grep -q "@forwarding.*name='$TUNNEL-lan'"; then
@@ -354,7 +354,7 @@ add_set() {
 add_dns_resolver() {
     echo "Configure DNSCrypt2 or Stubby? It does matter if your ISP is spoofing DNS requests"
     DISK=$(df -m / | awk 'NR==2{ print $2 }')
-    if [[ "$DISK" -lt 32 ]]; then 
+    if [[ "$DISK" -lt 32 ]]; then
         printf "\033[31;1mYour router a disk have less than 32MB. It is not recommended to install DNSCrypt, it takes 10MB\033[0m\n"
     fi
     echo "Select:"
@@ -364,9 +364,9 @@ add_dns_resolver() {
 
     while true; do
     read -r -p '' DNS_RESOLVER
-        case $DNS_RESOLVER in 
+        case $DNS_RESOLVER in
 
-        1) 
+        1)
             echo "Skiped"
             break
             ;;
@@ -376,7 +376,7 @@ add_dns_resolver() {
             break
             ;;
 
-        3) 
+        3)
             DNS_RESOLVER=STUBBY
             break
             ;;
@@ -408,7 +408,7 @@ add_dns_resolver() {
                 uci add_list dhcp.@dnsmasq[0].server="127.0.0.53#53"
                 uci add_list dhcp.@dnsmasq[0].server='/use-application-dns.net/'
                 uci commit dhcp
-                
+
                 printf "\033[32;1mDnsmasq restart\033[0m\n"
 
                 /etc/init.d/dnsmasq restart
@@ -468,9 +468,9 @@ add_getdomains() {
 
     while true; do
     read -r -p '' COUNTRY
-        case $COUNTRY in 
+        case $COUNTRY in
 
-        1) 
+        1)
             COUNTRY=russia_inside
             break
             ;;
@@ -480,12 +480,12 @@ add_getdomains() {
             break
             ;;
 
-        3) 
+        3)
             COUNTRY=ukraine
             break
             ;;
 
-        4) 
+        4)
             echo "Skiped"
             COUNTRY=0
             break
@@ -518,7 +518,12 @@ start () {
 EOF
 cat << 'EOF' >> /etc/init.d/getdomains
     count=0
+    maxCount=10
     while true; do
+        if [ ${count} -eq ${maxCount} ]; then
+            echo "Break on ${maxCount} attempt"
+            break
+        fi
         if curl -m 3 github.com; then
             curl -f $DOMAINS --output /tmp/dnsmasq.d/domains.lst
             break

handlers/main.yml

@@ -1,4 +1,9 @@
 ---
+  - name: Restart sing-box
+    service:
+      name: sing-box
+      state: restarted
+
   - name: Restart network
     service:
       name: network

meta/main.yml

@@ -6,7 +6,7 @@ galaxy_info:
   description: Configuring domain routing on Openwrt router
   issue_tracker_url: https://github.com/itdoginfo/domain-routing-openwrt/issues
   license: GPL-3.0
-  min_ansible_version: 2.10.8
+  min_ansible_version: 2.10.7
   platforms:
     - name: OpenWrt
   galaxy_tags:

templates/openwrt-getdomains.j2

@@ -22,7 +22,12 @@ start () {
     DOMAINS=https://raw.githubusercontent.com/itdoginfo/allow-domains/main/Ukraine/inside-dnsmasq-ipset.lst
     {% endif %}
     count=0
+    maxCount=10
     while true; do
+        if [ ${count} -eq ${maxCount} ]; then
+            echo "Break on ${maxCount} attempt"
+            break
+        fi
         if curl -m 3 github.com; then
             curl -f $DOMAINS --output /tmp/dnsmasq.d/domains.lst
             break
@@ -46,7 +51,12 @@ start () {
     mkdir -p $dir
 
     count=0
+    maxCount=10
     while true; do
+        if [ ${count} -eq ${maxCount} ]; then
+            echo "Break on ${maxCount} attempt"
+            break
+        fi
         if curl -m 3 https://antifilter.download/; then
             {% if list_subnet %}
             curl -f -z $dir/subnet.lst https://antifilter.download/list/subnet.lst --output $dir/subnet.lst
@@ -56,7 +66,7 @@ start () {
             {% endif %}
             {% if list_community %}
             curl -f -z $dir/community.lst https://community.antifilter.download/list/community.lst --output $dir/community.lst
-            {% endif %}  
+            {% endif %}
             break
         else
             echo "antifilter.download is not available. Check the internet availability [$count]"
@@ -66,5 +76,5 @@ start () {
 
     echo "Firewall restart"
     /etc/init.d/firewall restart
-    {% endif %}  
+    {% endif %}
 }