Правила маршрутизации

Правила маршрутизации соединяют ваши списки с вашими outbounds.

Большинству пользователей нужно только одно простое правило для каждого списка, например:

{
  "route": {
    "rules": [
      {
        "list": ["my_sites"],
        "outbound": "vpn"
      }
    ]
  }
}

Правила проверяются сверху вниз. Первое совпадение выигрывает. Трафик, который не соответствует никакому правилу, остаётся немаркированным и следует обычной системной маршрутизации.

Конфигурация

{
  "route": {
    "inbound_interfaces": [...],
    "rules": [...]
  }
}

Поля правила маршрутизации

Примеры

Базовый — маршрутизация списка через VPN

{
  "route": {
    "rules": [
      {
        "enabled": true,
        "list": ["my_domains", "my_ips", "remote_list"],
        "outbound": "vpn"
      }
    ]
  }
}

Временное отключение правила без удаления

{
  "route": {
    "rules": [
      {
        "enabled": false,
        "list": ["my_domains"],
        "outbound": "vpn"
      }
    ]
  }
}

Когда enabled отсутствует или установлен в null, правило обрабатывается как включённое.

Фильтр входящих интерфейсов — обработка только пакетов с br0

{
  "route": {
    "inbound_interfaces": ["br0"],
    "rules": [
      {
        "list": ["my_domains"],
        "outbound": "vpn"
      }
    ]
  }
}

Фильтр входящих интерфейсов отключён (отсутствует или пустой)

Если inbound_interfaces отсутствует (по умолчанию) или явно установлен в пустой массив, фильтрация интерфейсов отключена и правила маршрутизации применяются независимо от входящего интерфейса.

{
  "route": {
    "inbound_interfaces": [],
    "rules": [
      {
        "list": ["my_domains"],
        "outbound": "vpn"
      }
    ]
  }
}

Фильтр портов — только HTTPS TCP из двух подсетей

{
  "route": {
    "rules": [
      {
        "list": ["my_domains"],
        "src_addr": "192.168.20.0/24,192.168.30.0/24",
        "proto": "tcp",
        "dest_port": "443",
        "outbound": "vpn"
      }
    ]
  }
}

Фильтр DSCP — направить маркированный трафик через VPN

DSCP (Differentiated Services Code Point) — это 6-битная метка в IP-заголовке. Обычно она используется для QoS, но keen-pbr может использовать её как условие маршрутизации: пометьте пакеты на клиентском устройстве, затем сопоставьте эту метку в правиле маршрутизации. Это удобно для маршрутизации по приложениям, когда у приложения нет стабильных доменов, IP-адресов или портов назначения.

{
  "route": {
    "rules": [
      {
        "dscp": 46,
        "outbound": "vpn"
      }
    ]
  }
}

DSCP можно комбинировать с теми же фильтрами списков, протокола, адресов и портов, что и в других правилах маршрутизации. Например, "dscp": 46 вместе с "src_addr": "192.168.10.20" направит только маркированные пакеты с этого хоста.

DSCP-метка должна уже быть в пакете, когда он приходит на роутер. Настраивайте маркировку на устройстве, где запущено приложение.

Windows: пометить одно приложение

Запустите PowerShell от имени администратора:

New-NetQosPolicy -Name "keen-pbr Zoom DSCP" -AppPathNameMatchCondition "zoom.exe" -DSCPAction 46

AppPathNameMatchCondition может быть именем исполняемого файла, например zoom.exe, или полным путём к приложению. После этого Windows будет помечать трафик подходящего приложения DSCP 46, а keen-pbr сможет маршрутизировать его правилом с "dscp": 46.

Linux: пометить трафик пользователя

В Linux можно помечать пакеты, созданные конкретным локальным пользователем. Замените ivan в примерах ниже на имя пользователя, от которого запускается приложение, которое нужно маршрутизировать.

Через nftables:

sudo nft add table inet pbr_dscp
sudo nft 'add chain inet pbr_dscp output { type route hook output priority mangle; policy accept; }'
sudo nft add rule inet pbr_dscp output meta skuid ivan ip dscp set 46
sudo nft add rule inet pbr_dscp output meta skuid ivan ip6 dscp set 46

Через iptables:

sudo iptables -t mangle -A OUTPUT -m owner --uid-owner ivan -j DSCP --set-dscp 46
sudo ip6tables -t mangle -A OUTPUT -m owner --uid-owner ivan -j DSCP --set-dscp 46

Матчер owner в iptables работает с локально созданными пакетами, а не с пересылаемым трафиком. Для DSCP-маршрутизации с Linux-ноутбука или ПК добавляйте эти правила на этом ноутбуке или ПК, а не на роутере с keen-pbr.

Фильтр адресов — сопоставление конкретной подсети источника

{
  "route": {
    "rules": [
      {
        "list": ["my_ips"],
        "src_addr": "192.168.10.0/24",
        "outbound": "vpn"
      }
    ]
  }
}

Полный фильтр — Google DNS из подсети через VPN

{
  "route": {
    "rules": [
      {
        "list": ["my_domains"],
        "src_addr": "192.168.10.0/24",
        "dest_addr": "8.8.8.8",
        "dest_port": "53",
        "outbound": "vpn"
      }
    ]
  }
}

Отрицание — все источники, кроме локальной LAN

{
  "route": {
    "rules": [
      {
        "list": ["my_ips"],
        "src_addr": "!192.168.1.0/24",
        "outbound": "vpn"
      }
    ]
  }
}

Отрицание — весь TCP, кроме HTTPS, идёт через VPN

{
  "route": {
    "rules": [
      {
        "list": ["my_domains"],
        "proto": "tcp",
        "dest_port": "!443",
        "outbound": "vpn"
      }
    ]
  }
}

Отрицание — весь UDP, кроме DNS и NTP, идёт через VPN

{
  "route": {
    "rules": [
      {
        "list": ["my_domains"],
        "proto": "udp",
        "dest_port": "!53,123",
        "outbound": "vpn"
      }
    ]
  }
}

Отрицание — блокировка трафика, НЕ идущего в доверенную подсеть

{
  "route": {
    "rules": [
      {
        "list": ["my_ips"],
        "dest_addr": "!10.0.0.0/8,172.16.0.0/12",
        "outbound": "block"
      }
    ]
  }
}