phd: Programmers don't die, they just GOSUB without RETURN.

Сын купил себе какой-то дорогой Galaxy, и под это дело я выпросил у него какой-нибудь старый телефон. Юноша отдал мне свой старый игровой. Китайский noname, но прикольный, обвешанный светодиодиками и дополнительными игровыми кнопками. Что особенно прикольно — оболочка MIUI от Xiaomi, по лицензии. Теперь у меня два телефона с почти идентичным системным софтом.

Сын скинул свой до заводских настроек, а я свой, чтобы удалить все шпионские закладки. Вечер пятницы я посвятил настройкам ОС, а половину субботы установке и настройке приложений. Теперь у меня Telegram, WhatsApp и VPN отдельно, российские шпиёны отдельно.

На втором телефоне оказалось 256 гигов хранилища, а на моём основном только 128, и музыка у меня раньше влезала впритык. На втором же телефоне можно не стесняться, так что всё воскресенье заливал на него музыку.

Съездил на дачу помочь жене. Заодно проверил новую конфигурацию в реальных условиях. На телефоне всё заработало сразу, на планшете сначала не заработало почти ничего, только OpenVPN/TCP. Через полчаса чёрные коробочки внезапно разжали зубы, и всё заработало. Это было удивительно, непонятно, но приятно.

В пятницу или субботу поеду с ноутбуком…

Upd пятница, 14 августа. Я на даче с ноутбуком. Все VPN работают, ничего не блокируются. Очень странно и очень приятно.

Upd2 суббота, Чёрные коробочки спохватились и блокируют WG и AWG с ноутбука. На телефоне эти протоколы работают; видимо, у Линукса и Андроила разные сигнатуры протоколов.

OpenVPN на ноутбуке работает. SSH в Амстердам напрямую часто тормозит, но полностью не блокируется. SSH в Амстердам поверх OpenVPN работает отлично. SSH в Амстердам поверх SSH домой — без проблем. Отлично работает xray.

Две недели пытаюсь наладить маршрутизацию всех моих VPN через домашний сервер; я ещё напишу, зачем, сейчас только одна техническая деталь, которая меня 2 недели и тормозила.

Не работали. Один только xray заработал, но у него своя маршрутизация, его легко настроить. А остальные никак. В одно плечо работает, в 2 нет. Между ноутбуком и домашним сервером пакеты ходят по любому протоколы; между д/с и амстердамской виртуалкой без проблем; а с ноутбука в Амстердам через д/с — нет: пакеты добегают до д/с и дропаются. И не мог понять, почему.

Прорыв случился вчера, когда я экспериментировал с OpenVPN. Подключил клиент на ноуте по TCP, а уход в Амстердам с д/с у меня по UDP. И с помощью tcpdump смотрю пакеты. Они на интерфейс tun0 прибегают, а в tun1 не забегают. Тут я догадываюсь, что надо между tun0 и tun1 разрешить forward. И точно, стоило только его включить — всё заработало как надо.

Отключаю клиент TCP, включаю UDP. Пакеты на д/с забегают сразу в tun1, и умирают. Ну, если мне один раз forward помог, то может и второй раз поможет. Но где те 2 интерфейса, чтобы наладить между ними передачу? Мне что, запустить на д/с второй сервер OpenVPN/UDP, подключать клиентов к нему, и отправлять из него пакеты на запад? Это бы сработало, но это странное решение. Нельзя как-то проще?

И тут у меня случается озарение. А что, если?… А вдруг?… Нет, не может такого быть! Но всё-таки, вдруг отправка пакетов из интерфейса в себя тоже требует разрешения на forward? Я могу понять input и output, они у меня везде, где надо, разрешены. Но forward? До сих пор был разрешён между физическими сетевыми картами и виртуальными интерфейсами, но не между всем виртуальными; я не хочу маршрутизировать пакеты из одного VPN в другой, достаточно, что один VPN работает во всей цепочке "мобильное устройство — домашний сервер — амстердамская виртуалка". И уж тем более я ни разу в жизни не сталкивался с необходимостью разрешить форвард в себя. Мне просто не приходило в голову, что форвард допускает наличие одного интерфейса, да ещё требует его разрешить.

Однако это легко проверить; быстро пишу команду nft add rule — и ура, всё заработало! Вот жеж!!!

Добавил в свои скрипты для создания файервола разрешения на форвард в себя для всех интерфейсов. И отдельно между всеми интерфейсами OpenVPN, их у меня 3 — сервер TCP, сервер UDP, клиент между д/с и Амстердамом; раньше клиент был дома, сервер в Амс, сейчас наоборот, но это уже совсем второстепенные детали. Вечером поэкспериментирую в протоколами WG и AWG.

PS. Зашифрованный пакет прибегает с ноутбука по VPN, VPN его расшифровывает и выплёвывает в интерфейс tun1 (или wg0, или awg0, неважно). Linux подхватывает пакет, смотрит в таблицы маршрутизации, и видит, что его надо опять засунуть в tun1 для передачи дальше. Где, чёрт возьми, тут forward? Input/output вижу, но forward?

В недрах сервера apt-get'ы
Обновляют ядра где-то…

Обновлял ядра и сломал загрузку на двух устройствах из четырёх. Причём как раз на железных — на ноутбуке и домашнем сервере. Загрузился с флэшки, починил. Но чтобы загрузить с флэшки сервер, пришлось повозиться, у него очень странный BIOS.

Потом включил везде WG и AWG, и запустил пинги между всеми. Т.е. я сначала хотел проверить пинги между двумя амстердамскими виртуалками, надеясь, что уж там всё работает. А фиг. Между домом и старой виртуалкой пинги ходят по обоим протоколам, а новая заблокирована напрочь. Такое ощущение, что у этого хостера чёрные коробочки стоят и в Амстердаме. А у старого почему-то нет.

Это окончательно убедило меня, что переезд назад был правильным делом. Новую временную виртуалку можно отключать и удалять.

Upd. OpenVPN между домом и старой виртуалкой тоже работает. xray пока не стал пробовать.

Upd2. xray не работает. WG и AWG работают всюду, хотя это не сразу видно — пинги на IP интерфейсов не всегда проходят. Но пинг на внутренний адрес на основной виртуалке, маршрутизируемый по WG, пингуется отовсюду стабильно. С пингами на IP интерфейсов странно.

Upd3 25.07.2026. xray я тоже заставил работать. Исправил ошибки в конфигах, сменил донора сертификата на более местного, какого-то амстердамского дата-центра. Маршрутизацию настроил просто — с ноутбука всё домой, а дома либо во внутреннюю сеть, либо в Амстердам.

Я понял, в чём у меня проблема с xray. Я использую простой протокол VLESS без наворотов. У меня на сервере конфиг строк 20, из которых половина — фигурные скобочки (конфиг в формате JSON).

А коммерческие VPN (я за последние недели познакомился с несколькими, потому что моя жена пробовала тестовые периоды перед тем, как заплатить) используют протокол VLESS Reality XHTTP. Это сейчас самый продвинутый вариант.

Ну и мне придётся изучить детали настройки. Интернет полон примеров и программ генерации конфигов (3X-UI). Единственное, чего я пока не понял — какую ключевую пару надо создать; какой алгоритм, сколько бит. Продолжаю изучать…

С 8 вечера до полуночи не работал ssh. Т.е. сам по себе работал, но немедленно зависал при попытке воспользоваться socks-прокси или передать файл. Я так понимаю, чёрная коробочка не понимает именно socks-прокси, а блокирует любую подозрительную активность, например, большой объём трафика.

Пришлось запустить коммерческий socks-прокси, через него пустить OpenVPN, а поверх VPN уже ssh. Так работало.

Поставил последнюю версию v2ray. Взял готовый бинарник. Соединение v2ray-v2ray работает, но по-прежнему тормозит. Happ не подключается. Так что я зря ругал дебиановский v2ray. Дело не в том, что он старый, а в том, что v2ray в принципе негодная программа.

Надо переходить на XRay.

Вечером перестал работать socks-прокси по ssh. ssh server работает, а ssh -D 1080 server работает 5 секунд, потом зависает насмерть. Я проверил ssh-vpn — он тоже не работает. Похоже, чёрные коробочки у провайдеров научились много чего блокировать.

Я повторно установил Happ и загрузил в него конфиг коммерческого VPN — это работает.

Попытался подключиться Happ'ом к моему серверному v2ray — не подключается, v2ray ругается на номер версии протокола. В Debian, как всегда, устаревший софт.

Пока я экспериментировал, заработал ssh, и прокси и VPN. Чёрная коробочка на ночь заснула.

Сын нашёл VPN со смешным именем "Повел Дурев"; якобы это персонаж из мема, но, по-моему, этот "мем" энформит его же автор. Юридически VPN зарегистрирован в Алма-Ате, работает по протоколу VLESS. Работает неплохо, стоит умеренно, есть скидки при оплате за полгода/год/два. Сын попал на рекламную акцию и купил 2 года за 3 тыщи рублей. 50 стран выхода, до 10 устройств на аккаунт, так что я попросил сына подключить и меня. Годится любая программа для VLESS, есть своя собственная, она мне не понравилась. Ещё создатель рекомендует Happ; в Linux этот Happ работает не очень хорошо; GUI сильно тормозит и глючит, и удалось включить только SOCKS-прокси, но не VPN; а SOCKS у меня и так есть. На Андроиде VPN работает на отлично.

Тем временем мой домашний провайдер начал блокировать OpenVPN и WireGuard. Нужно ускорить переход на AmneziaWG и собственный VLESS. Пока в случае крайней нужды можно запустить ssh-vpn (ssh -w) или OpenVPN поверх SOCKS-прокси; я проверял, это работает.

Upd. В Happ есть встроенный ping, и, конечно, самые быстрые точки выхода в ближайших странах — Польша, Финляндия, Нидерланды, Германия, Франция. Хм, хм, Франция уже не очень ближняя страна, не знал, что у них такой хороший Интернет.

PS. Пост без зеркалирования в ЖЖ, потому что пропаганда VPN.

В Амстердаме авария. То ли мой хостер сдох, то ли его хостер (а значит полегло много хостеров). Соответственно, недоступна моя виртуалка, а на ней у меня всё — DNS, почта, VPN, web. Поддержка пишет, что авария, в детали не вдаются, "ведутся работы по восстановлению." Ну, жду.

Без VPN недоступна половина Интернета, потому что сейчас блокируются даже сайты, которые вроде бы не блокируются. Пришлось срочно купить у другого хостера маленькую виртуалку в Латвии и поднять на ней SOCKS-прокси. Оплатил на 3 дня.

Upd 3 июня. Ожил сайт хостера с информацией, что это авария у инфраструктурного провайдера. Работы по восстановлению продолжаются.

Upd 8 июня. Похоже, я попал под это: https://www.kommersant.ru/doc/8726892

Мой хостер обещал до 7-го числа переехать в другой дата-центр, сегодня перенесли на 10-ое. Беда. 😭

X-Post в ЖЖ.

У нас на работе случилось обновление конфига OpenVPN. И я выбрался, наконец, улучшить свои. Запустил openvpn под пользователем openvpn. Для этого пришлось настроить sudo — разрешить пользователю openvpn выполнять скрипты настройки файервола и resolvconf от рута.

Заодно заменил tls-auth на tls-crypt в надежде, что DPI от РКЦ не опознает трафик и будет меньше блокировать.

X-Post в ЖЖ.