Точечная маршрутизация на роутере с OpenWrt. WireGuard и DNSCrypt

log syslog all;
router id 10.20.0.2;

protocol kernel {
import none;
export all;
scan time 20; # Scan kernel routing table every 20 seconds
}
protocol device {
scan time 60;
}

protocol direct {
interface "wireguard"; # Restrict network interfaces it works with
}

filter ibgp_policy {
if ( dest = RTD_UNREACHABLE ) then {
gw = 10.20.0.1;
print "Alias accepted: ",net," next hop ",bgp_next_hop;
accept;
}
reject;
}
protocol bgp OurRouter {
description "Our Router";
neighbor 10.20.0.1 as 64999;
import all;
export none;
local as 64999;
passive off;
direct;
}


log syslog all;
router id 10.20.0.1;

protocol kernel {
scan time 60;
import none;
# export all; # Actually insert routes into the kernel routing table
}

protocol device {
scan time 60;
}

protocol direct {
interface "wg*", "tun*"; # Restrict network interfaces it works with
}

protocol static static_bgp {
import all;
include "pfxlist.txt";
include "iplist.txt";
}

protocol bgp OurRouter {
description "Our Router";
neighbor 10.20.0.2 as 64999;
import none;
export where proto = "static_bgp";
local as 64999;
passive off;
#multihop;
}
protocol bgp OurRouter1 {
description "Our Router1";
neighbor 10.20.0.3 as 64999;
import none;
export where proto = "static_bgp";
local as 64999;
passive off;
#multihop;
}


root@scw:/etc/bird# cat /usr/local/bin/chklist.sh 
#!/bin/bash
TMP_DIR=/tmp/blacklist
mkdir -p $TMP_DIR/list
cd $TMP_DIR/list
wget -N https://antifilter.download/list/ipsum.lst https://antifilter.download/list/subnet.lst
old=$(cat $TMP_DIR/md5.txt);
new=$(cat $TMP_DIR/list/*.lst | md5sum | head -c 32);
if [ "$old" != "$new" ]
then
    cat $TMP_DIR/list/ipsum.lst | sed 's_.*_route & reject;_' > /etc/bird/ipsum.txt
    cat $TMP_DIR/list/subnet.lst | sed 's_.*_route & reject;_' > /etc/bird/subnet.txt
    /usr/sbin/birdc configure;
    logger "RKN list reconfigured";
    echo $new > $TMP_DIR/md5.txt;
fi

root@scw:/etc/bird# cat /etc/bird/bird.conf 
log syslog all;
router id 172.24.2.2;

protocol kernel {
        scan time 60;
        import none;
        export where proto = "OurRouter";
}

protocol device {
        scan time 60;
}

protocol direct {
        interface "venet*", "tun*", "ppp*"; # Restrict network interfaces it works with
}

protocol static static_bgp {
        include "subnet.txt";
        include "ipsum.txt";
        include "custom.txt";
}

protocol bgp OurRouter {
        description "Our Router";
        neighbor 172.24.2.1 as 64999;
        import all;
        export where proto = "static_bgp";
        next hop self;
        local as 64998;
        source address 172.24.2.2;
        passive off;
}

root@scw:/etc/bird# cat subnet.txt 
route 46.101.128.0/17 reject;
route 64.137.0.0/17 reject;
...

1) для описания статического маршрута, который привязывается к поднятию/опусканию интерфейса используется секция route в /etc/config/network:

config route 'anti_rkn'
	option interface 'vpn'
	option target '0.0.0.0'
	option netmask '0.0.0.0'
	#у меня используется L2 VPN, поэтому вручную указываю
	#а для нормального VPN он сам возьмёт адрес некстхопа
	#option gateway '192.168.30.1'
	option table 'anti-rkn'

таким образом маршрут по умолчанию поднимется после поднятия интерфейса vpn и ему будет установлена таблица маршрутизации из /etc/iproute2/rt_tables

2) Использовать агрегированные адреса на мой взгляд не имеет смысл из-за высокой производительности при использовании ipset, там можно миллионы адресов загнать. Я у себя создал 3 ipset:

config ipset
	option name 'RKN-BLOCKED'
	option storage 'list'
	option match 'set'

config ipset
	option name 'RKN-BLOCKED-NET'
	option storage 'hash'
	option match 'net'

config ipset
	option name 'RKN-BLOCKED-IP'
	option storage 'hash'
	option match 'ip'
	option maxelem '256000'

Первый — это список из двух последующих

3) Обновлять списки адресов раз в сутки недостаточно, у меня стоит каждые 2 часа и очень мало случаев когда изменений не было, всё остальное время получаю новые заблокированные адреса. Поэтому я сделал свой скрипт, который и вызываю каждые 2 часа:

root@tl-wdr3600:~# cat /etc/anti-rkn/update-rkn-ip.sh 
#!/bin/sh
# Скрипт не сохраняет файлы с адресами на диске, все операции проводит в памяти

start=`date +%s`

# create temporary sets
ipset create _tmp1 hash:net
ipset create _tmp2 hash:ip maxelem 256000

# load new content to ipset
curl -s https://antifilter.download/list/subnet.lst | awk '{print "add _tmp1 "$1;} END {print FNR > "/tmp/rkn_nets"}' | ipset -! restore
curl -s https://antifilter.download/list/ip.lst | awk '{print "add _tmp2 "$1;} END {print FNR > "/tmp/rkn_ips"}' | ipset -! restore

# swap content
ipset swap RKN-BLOCKED-NET _tmp1
ipset swap RKN-BLOCKED-IP _tmp2

# delete temporary sets
ipset destroy _tmp1
ipset destroy _tmp2

end=`date +%s`

logger -t update-rkn-ip "Updating the list of Anti-RKN IPs was completed, subnet="$(cat /tmp/rkn_nets)", ip="$(cat /tmp/rkn_ips)", running time="$((end-start))"sec."

4) У вас при создании правил пометки пакетов осутствует строка с OUTPUT и таким образом пакеты исходящие с самого роутера не уйдут в туннель. Мой вариант:

root@tl-wdr3600:~# cat /etc/firewall.user 
# This file is interpreted as shell script.
# Put your custom iptables rules here, they will
# be executed with each firewall (re-)start.

ipset add RKN-BLOCKED RKN-BLOCKED-NET
ipset add RKN-BLOCKED RKN-BLOCKED-IP

iptables -t mangle -A PREROUTING -i br-lan -m set --match-set RKN-BLOCKED dst -j MARK --set-mark 0x1000
iptables -t mangle -A OUTPUT -m set --match-set RKN-BLOCKED dst -j MARK --set-mark 0x1000

5) Ну и при использовании hotplug можно (и наверное нужно) делать проверку на поднятие интерфейса в интернет (чтобы не вызывать загрузку адресов, если инета нет или отвалился):

root@tl-wdr3600:~# cat /etc/hotplug.d/iface/99-vpn.link-up 
#!/bin/sh

# run only after WAN link up
[ "$ACTION" = ifup -a "$INTERFACE" = wan ] || exit 0

/etc/init.d/firewall enabled || exit 0

fw3 -q network "$INTERFACE" >/dev/null || exit 0

/etc/anti-rkn/update-rkn-ip.sh

config ipset
option external 'VPN-Whitelist'
option match 'dest_ip'
option family 'ipv4'
option storage 'hash'

config rule
option name 'Mark-Whitelist-Packets'
option src 'lan'
option proto 'all'
option ipset 'VPN-Whitelist'
option set_mark '0x99'
option family 'ipv4'
option target 'MARK'


#!/bin/sh

dir=/tmp/lst
mkdir -p $dir

echo "Run download lists"
curl -z $dir/subnet.lst https://antifilter.download/list/subnet.lst --output $dir/subnet.lst
curl -z $dir/ipsum.lst https://antifilter.download/list/ipsum.lst --output $dir/ipsum.lst

echo "Create temporary sets"
ipset destroy -q vpn_subnets_tmp || true
ipset destroy -q vpn_ipsum_tmp || true
ipset create vpn_subnets_tmp hash:net
ipset create vpn_ipsum_tmp hash:net

echo "Fill temporary sets"
cat $dir/subnet.lst | xargs -n1 ipset add vpn_subnets_tmp
cat $dir/ipsum.lst | xargs -n1 ipset add vpn_ipsum_tmp

echo "Swap with real sets"
ipset swap vpn_subnets_tmp vpn_subnets
ipset swap vpn_ipsum_tmp vpn_ipsum
ipset destroy vpn_subnets_tmp
ipset destroy vpn_ipsum_tmp