feat: мастер-скрипт setup.sh + перенос скриптов в scripts/
- все скрипты перенесены в scripts/ (ai-setup.sh, ru-bypass.sh, ks-off.sh, ks-on.sh) - setup.sh — новый мастер-скрипт с меню: шаги 1-2 отделены от опций 3-4 - пояснения к GATEWAY и DEV при выборе пункта 2 - ai-setup.sh: SCRIPT_DIR поднят на уровень выше (/../) чтобы находить home-configs/ - tests/test_fixes.sh, test_isolated.sh: пути обновлены на scripts/ai-setup.sh - QUICK_START.md, README.md, home-configs/network/README.md: пути обновлены Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>
This commit is contained in:
203
scripts/ru-bypass.sh
Normal file
203
scripts/ru-bypass.sh
Normal file
@@ -0,0 +1,203 @@
|
||||
#!/bin/bash
|
||||
# ru-bypass.sh — .ru трафик напрямую мимо Amnezia, всё остальное через VPN + kill switch
|
||||
#
|
||||
# Принцип: ipset + более специфичные маршруты имеют приоритет над amn0.
|
||||
# Kill switch (UFW) остаётся активным — не-.ru трафик при отвале Amnezia блокируется.
|
||||
#
|
||||
# Первый запуск устанавливает ipset, два systemd сервиса и NetworkManager dispatcher:
|
||||
# - ru-ipset-restore.service запускается ДО UFW, восстанавливает ipset из файла
|
||||
# - ru-bypass.service запускается после network-online, обновляет RIPE-список и маршруты
|
||||
# Каждый запуск обновляет список .ru IP-блоков из RIPE (кэш 24ч).
|
||||
#
|
||||
# Использование: sudo bash ru-bypass.sh
|
||||
|
||||
GATEWAY="${GATEWAY:-192.168.1.1}"
|
||||
DEV="${DEV:-wlp1s0}"
|
||||
SETNAME="ru-direct"
|
||||
CACHE="/var/cache/ru-delegations.txt"
|
||||
IPSET_SAVE="/etc/ipset.conf"
|
||||
RIPE_URL="https://ftp.ripe.net/pub/stats/ripencc/delegated-ripencc-latest"
|
||||
SCRIPT_DEST="/usr/local/bin/ru-bypass.sh"
|
||||
UFW_BEFORE="/etc/ufw/before.rules"
|
||||
|
||||
if [ "$(id -u)" != "0" ]; then
|
||||
echo "Запускай от root: sudo bash $0"
|
||||
exit 1
|
||||
fi
|
||||
|
||||
# --- Первичная настройка (однократно) ---
|
||||
|
||||
if ! command -v ipset >/dev/null 2>&1; then
|
||||
echo "Устанавливаем ipset..."
|
||||
apt-get install -y ipset
|
||||
fi
|
||||
|
||||
# Копируем скрипт в /usr/local/bin (нужно для systemd + NM dispatcher)
|
||||
SELF=$(realpath "$0")
|
||||
if [ "$SELF" != "$SCRIPT_DEST" ]; then
|
||||
cp "$SELF" "$SCRIPT_DEST"
|
||||
chmod +x "$SCRIPT_DEST"
|
||||
echo "Скрипт скопирован в $SCRIPT_DEST"
|
||||
fi
|
||||
|
||||
# Сервис восстановления ipset ДО старта UFW (однократно)
|
||||
RESTORE_SVC="/etc/systemd/system/ru-ipset-restore.service"
|
||||
if [ ! -f "$RESTORE_SVC" ]; then
|
||||
cat > "$RESTORE_SVC" <<EOF
|
||||
[Unit]
|
||||
Description=Restore ru-direct ipset before UFW starts
|
||||
DefaultDependencies=no
|
||||
Before=ufw.service network.target
|
||||
After=local-fs.target
|
||||
|
||||
[Service]
|
||||
Type=oneshot
|
||||
ExecStart=/sbin/ipset restore -exist -file $IPSET_SAVE
|
||||
RemainAfterExit=yes
|
||||
|
||||
[Install]
|
||||
WantedBy=multi-user.target
|
||||
EOF
|
||||
systemctl daemon-reload
|
||||
systemctl enable ru-ipset-restore.service
|
||||
echo "Сервис ru-ipset-restore установлен (стартует до UFW)."
|
||||
fi
|
||||
|
||||
# Основной сервис обновления маршрутов (однократно)
|
||||
BYPASS_SVC="/etc/systemd/system/ru-bypass.service"
|
||||
if [ ! -f "$BYPASS_SVC" ]; then
|
||||
cat > "$BYPASS_SVC" <<'EOF'
|
||||
[Unit]
|
||||
Description=Route .ru IP blocks directly (bypass Amnezia VPN)
|
||||
After=network-online.target ru-ipset-restore.service
|
||||
Wants=network-online.target
|
||||
|
||||
[Service]
|
||||
Type=oneshot
|
||||
ExecStart=/usr/local/bin/ru-bypass.sh
|
||||
RemainAfterExit=yes
|
||||
|
||||
[Install]
|
||||
WantedBy=multi-user.target
|
||||
EOF
|
||||
systemctl daemon-reload
|
||||
systemctl enable ru-bypass.service
|
||||
echo "Сервис ru-bypass установлен."
|
||||
fi
|
||||
|
||||
# NetworkManager dispatcher — авто-перезапуск когда amn0 поднимается (однократно)
|
||||
NM_DISPATCHER="/etc/NetworkManager/dispatcher.d/99-ru-bypass"
|
||||
if [ ! -f "$NM_DISPATCHER" ]; then
|
||||
cat > "$NM_DISPATCHER" <<'EOF'
|
||||
#!/bin/bash
|
||||
[ "$1" = "amn0" ] && [ "$2" = "up" ] && exec /usr/local/bin/ru-bypass.sh
|
||||
EOF
|
||||
chmod +x "$NM_DISPATCHER"
|
||||
echo "NetworkManager dispatcher установлен."
|
||||
fi
|
||||
|
||||
# --- Обновляем RIPE-список (кэш 24ч) ---
|
||||
|
||||
if [ ! -f "$CACHE" ] || [ $(( $(date +%s) - $(stat -c %Y "$CACHE" 2>/dev/null || echo 0) )) -gt 86400 ]; then
|
||||
echo "Обновляем список .ru IP-блоков из RIPE..."
|
||||
if curl -fsS -o "$CACHE.tmp" "$RIPE_URL"; then
|
||||
mv "$CACHE.tmp" "$CACHE"
|
||||
else
|
||||
echo "Предупреждение: не удалось скачать RIPE-список"
|
||||
if [ ! -f "$CACHE" ]; then exit 1; fi
|
||||
echo "Используем старый кэш от $(date -r "$CACHE")"
|
||||
fi
|
||||
fi
|
||||
|
||||
# --- Создаём/обновляем ipset ---
|
||||
|
||||
echo "Обновляем ipset $SETNAME..."
|
||||
# create -exist: не падает если уже есть (UFW на него ссылается, destroy ломает цепочку)
|
||||
ipset create "$SETNAME" hash:net -exist
|
||||
# flush: очищаем записи, но сохраняем сам set (iptables-правило остаётся валидным)
|
||||
ipset flush "$SETNAME"
|
||||
|
||||
python3 -c "
|
||||
import ipaddress
|
||||
|
||||
entries = 0
|
||||
with open('$CACHE') as f_in:
|
||||
for line in f_in:
|
||||
parts = line.strip().split('|')
|
||||
if len(parts) < 5 or parts[1] != 'RU' or parts[2] != 'ipv4':
|
||||
continue
|
||||
ip_str, count = parts[3], int(parts[4])
|
||||
first = ipaddress.IPv4Address(ip_str)
|
||||
last = first + count - 1
|
||||
for net in ipaddress.summarize_address_range(first, last):
|
||||
print(f'add $SETNAME {net}')
|
||||
entries += 1
|
||||
import sys; print(f'# entries: {entries}', file=sys.stderr)
|
||||
" 2>/tmp/ru-ipset-count.txt | ipset restore -exist -quiet
|
||||
|
||||
ENTRIES=$(ipset list "$SETNAME" 2>/dev/null | grep -c '/')
|
||||
echo "ipset обновлён: $ENTRIES записей"
|
||||
|
||||
# Сохраняем ipset на диск — ru-ipset-restore.service восстановит его до UFW при перезагрузке
|
||||
ipset save "$SETNAME" > "$IPSET_SAVE"
|
||||
echo "ipset сохранён в $IPSET_SAVE"
|
||||
|
||||
# --- Добавляем маршруты ---
|
||||
|
||||
echo "Добавляем маршруты..."
|
||||
rm -f /tmp/ru-routes.batch
|
||||
python3 -c "
|
||||
import ipaddress
|
||||
|
||||
with open('$CACHE') as f, open('/tmp/ru-routes.batch', 'w') as out:
|
||||
count = 0
|
||||
for line in f:
|
||||
parts = line.strip().split('|')
|
||||
if len(parts) < 5 or parts[1] != 'RU' or parts[2] != 'ipv4':
|
||||
continue
|
||||
ip_str, n = parts[3], int(parts[4])
|
||||
first = ipaddress.IPv4Address(ip_str)
|
||||
last = first + n - 1
|
||||
for net in ipaddress.summarize_address_range(first, last):
|
||||
out.write(f'route replace {net} via $GATEWAY dev $DEV\n')
|
||||
count += 1
|
||||
print(f'Маршрутов: {count}')
|
||||
"
|
||||
ip -force -batch /tmp/ru-routes.batch 2>/dev/null
|
||||
|
||||
# --- Маршруты для локальных сетей (*.loc, RFC1918) ---
|
||||
|
||||
LOCAL_NETS="10.0.0.0/8 172.16.0.0/12 192.168.0.0/16"
|
||||
echo "Добавляем маршруты для локальных сетей (*.loc / RFC1918)..."
|
||||
for net in $LOCAL_NETS; do
|
||||
ip route replace "$net" via "$GATEWAY" dev "$DEV" 2>/dev/null
|
||||
done
|
||||
|
||||
# --- Правило в UFW before.rules (однократно, после создания ipset) ---
|
||||
|
||||
UFW_MARKER="match-set $SETNAME"
|
||||
if ! grep -q "$UFW_MARKER" "$UFW_BEFORE" 2>/dev/null; then
|
||||
echo "Добавляем правило в UFW before.rules..."
|
||||
sed -i "0,/^COMMIT/{s/^COMMIT/# .ru bypass (ipset $SETNAME)\n-A ufw-before-output -m set --match-set $SETNAME dst -o $DEV -j ACCEPT\nCOMMIT/}" "$UFW_BEFORE"
|
||||
echo "UFW обновлён (.ru ipset)."
|
||||
fi
|
||||
|
||||
UFW_LOCAL_MARKER="local-nets-bypass"
|
||||
if ! grep -q "$UFW_LOCAL_MARKER" "$UFW_BEFORE" 2>/dev/null; then
|
||||
echo "Добавляем правила UFW для локальных сетей..."
|
||||
sed -i "0,/^COMMIT/{s/^COMMIT/# local nets bypass ($UFW_LOCAL_MARKER)\n-A ufw-before-output -d 10.0.0.0\/8 -o $DEV -j ACCEPT\n-A ufw-before-output -d 172.16.0.0\/12 -o $DEV -j ACCEPT\n-A ufw-before-output -d 192.168.0.0\/16 -o $DEV -j ACCEPT\nCOMMIT/}" "$UFW_BEFORE"
|
||||
echo "UFW обновлён (локальные сети)."
|
||||
fi
|
||||
|
||||
if grep -qE "$UFW_MARKER|$UFW_LOCAL_MARKER" "$UFW_BEFORE" 2>/dev/null; then
|
||||
if ufw status | grep -qE "активен|active"; then
|
||||
ufw reload
|
||||
fi
|
||||
fi
|
||||
|
||||
echo ""
|
||||
echo "Готово."
|
||||
RU_EXAMPLE=$(dig +short ya.ru A 2>/dev/null | head -1)
|
||||
echo " ip route get 8.8.8.8 -> dev amn0 (через VPN)"
|
||||
echo " ip route get ${RU_EXAMPLE:-<ya.ru ip>} -> dev $DEV (напрямую .ru)"
|
||||
echo " ip route get 10.10.0.1 -> dev $DEV (напрямую *.loc / RFC1918)"
|
||||
Reference in New Issue
Block a user