Outbounds

Outbounds сообщают keen-pbr, куда отправить совпавший трафик.

Каждый outbound tag должен соответствовать маске ^[a-z][a-z0-9_]*$ и быть не длиннее 24 символов.

Большинству пользователей достаточно:

• одного outbound типа interface для VPN-соединения
• одного outbound типа table с id=254 для прямого соединения, как правило wan
• при необходимости — одного outbound типа urltest для автоматического выбора лучшего из нескольких соединений

Если не знаете, с чего начать, возьмите тип interface и вернитесь к остальным позже.

Общий пример

{
  "outbounds": [
    {
      "type": "interface",
      "tag": "vpn",
      "interface": "tun0",
      "gateway": "10.8.0.1",
      "gateway6": "2001:db8::1"
    },
    {
      "type": "table",
      "tag": "wan",
      "table": 254
    }
  ]
}

Типы

interface

Используйте, когда хотите отправить трафик через конкретное соединение, например VPN-туннель или обычное интернет-соединение.

Если не заданы ни gateway, ни gateway6, keen-pbr создаёт и IPv4-, и IPv6-маршрут по умолчанию для этого interface outbound.

Если задан только один шлюз, keen-pbr создаёт обычный маршрут по умолчанию для соответствующего семейства адресов и маршрут unreachable для второго семейства, чтобы помеченный трафик не мог утечь за пределы таблицы outbound.

Если заданы и gateway, и gateway6, keen-pbr создаёт отдельные маршруты по умолчанию для IPv4 и IPv6.

{
  "outbounds": [
    {
      "type": "interface",
      "tag": "vpn",
      "interface": "tun0",
      "gateway": "10.8.0.1",
      "gateway6": "2001:db8::1"
    }
  ]
}

table

Используйте только если другой сервис в системе уже создал для вас отдельную таблицу маршрутизации и вы хотите, чтобы keen-pbr повторно использовал её.

Чтобы найти существующие ID таблиц перед выбором, проверьте текущее состояние политической маршрутизации и маршруты. Чтобы увидеть соответствия имён таблиц, проверьте /etc/iproute2/rt_tables:

ip rule show
cat /etc/iproute2/rt_tables

{
  "outbounds": [
    {
      "type": "table",
      "tag": "custom_table",
      "table": 200
    }
  ]
}

blackhole

Отбрасывает весь соответствующий трафик. Полезно для блокировки доступа к конкретным ресурсам.

{
  "outbounds": [
    {
      "type": "blackhole",
      "tag": "block"
    }
  ]
}

ignore

Пропускает трафик без какой-либо модификации маршрутизации. Используйте это, чтобы явно исключить трафик из других правил.

Когда правило маршрутизации разрешается в outbound типа ignore, keen-pbr устанавливает вердикт прохождения через firewall для этого трафика. Это останавливает дальнейшую обработку правил keen-pbr без установки mark или отбрасывания пакета. Ни таблица маршрутизации, ни ip rule не создаются для этого совпадения, поэтому пакет следует обычной системной маршрутизации. Поскольку правила маршрутизации оцениваются сверху вниз и первое совпадение выигрывает, ignore наиболее полезен для исключающих правил, размещённых перед более широкими перехватывающими правилами.

{
  "outbounds": [
    {
      "type": "ignore",
      "tag": "direct"
    }
  ]
}

urltest

Используйте это, когда у вас есть несколько кандидатов outbound и вы хотите, чтобы keen-pbr автоматически выбирал лучший доступный.

keen-pbr всегда добавляет в конец сгенерированной таблицы urltest терминальные маршруты unreachable по умолчанию для IPv4 и IPv6. Это работает как kill-switch: если выбранный маршрут или fallback-маршруты недоступны, помеченный трафик блокируется, а не уходит через обычную системную маршрутизацию.

Группы outbound

Группы проверяются по порядку. Внутри первой здоровой группы outbounds выбираются по наименьшей задержке. Если все outbounds в группе нездоровы, оценивается следующая группа. Это позволяет определить более сложные правила приоритета. Например, можно предпочесть один из двух более медленных outbounds сначала, и если оба недоступны, переключиться на другой outbound, который быстрее, но дороже.

Конфигурация повторов

Конфигурация Circuit Breaker

Состояния circuit breaker:

• closed — здоров, трафик проходит нормально
• open — сбой, трафик блокируется в период охлаждения
• half-open — тестирование восстановления с ограниченными запросами проверки

{
  "outbounds": [
    {
      "type": "urltest",
      "tag": "auto_select",
      "url": "https://www.gstatic.com/generate_204",
      "interval_ms": 180000,
      "probe_timeout_ms": 5000,
      "tolerance_ms": 100,
      "outbound_groups": [
        { "outbounds": ["vpn1", "vpn2"] },
        { "outbounds": ["wan"] }
      ],
      "retry": {
        "attempts": 3,
        "interval_ms": 1000
      },
      "circuit_breaker": {
        "failure_threshold": 5,
        "success_threshold": 2,
        "timeout_ms": 30000,
        "half_open_max_requests": 1
      }
    }
  ]
}