From 60b94f4e48b939a8154a6798b62429fb54ebeba7 Mon Sep 17 00:00:00 2001 From: itdoginfo Date: Thu, 18 Apr 2024 15:16:25 +0300 Subject: [PATCH 1/5] Added role --- README-old.md | 160 +++++++++++++++++++++ README.md | 194 +++++++++----------------- defaults/main.yml | 12 ++ handlers/main.yml | 26 ++++ meta/main.yml | 22 +++ playbooks/hivpn.yml => tasks/main.yml | 68 +-------- tests/inventory | 2 + tests/test.yml | 6 + 8 files changed, 303 insertions(+), 187 deletions(-) create mode 100644 README-old.md create mode 100644 defaults/main.yml create mode 100644 handlers/main.yml create mode 100644 meta/main.yml rename playbooks/hivpn.yml => tasks/main.yml (91%) create mode 100644 tests/inventory create mode 100644 tests/test.yml diff --git a/README-old.md b/README-old.md new file mode 100644 index 0000000..b02f29a --- /dev/null +++ b/README-old.md @@ -0,0 +1,160 @@ +# Описание +Shell скрипт и playbook для Ansible. Автоматизируют настройку роутера на OpenWrt для роутинга по доменам и спискам IP-адресов. + +Полное описание происходящего: [Статья на хабре](https://habr.com/ru/articles/767464/) + +[Копия в моём блоге](https://itdog.info/tochechnyj-obhod-blokirovok-po-domenam-na-routere-s-openwrt/) + +## Скрипт для установки +Запуск без скачивания +``` +sh <(wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-install.sh) +``` + +Подробности описаны в статье указаной выше. + +## Ansible +Для взаимодействия c OpenWRT используется модуль [gekmihesg/ansible-openwrt](https://github.com/gekmihesg/ansible-openwrt) + +Домены берутся из [отсюда](https://github.com/itdoginfo/allow-domains). Списки IP-адресов берутся с [antifilter.download](https://antifilter.download/) + +Тестировалось с +- Ansible 2.10.8 + +- OpenWrt 21.02.7 +- OpenWrt 22.03.5 +- OpenWrt 23.05.2 + +### Выбор туннеля +- Wireguard настраивается автоматически через переменные +- OpenVPN устанавливается пакет, настраивается роутинг и зона. Само подключение (скопировать конфиг и перезапустить openvpn) нужно [настроить вручную](https://itdog.info/nastrojka-klienta-openvpn-na-openwrt/) +- Sing-box устанавливает пакет, настраивается роутинг и зона. Также кладётся темплейт в `/etc/sing-box/config.json`. Нужно настроить `config.json` и сделать `service sing-box restart` +Не работает под 21ой версией. Поэтому при его выборе playbook выдаст ошибку. +Для 22ой версии нужно установить пакет вручную. +- tun2socks настраивается только роутинг и зона. Всё остальное нужно настроить вручную + +Для **tunnel** четыре возможных значения: +- wg +- openvpn +- singbox +- tun2socks + +В случае использования WG обязательно нужно задать: + +**wg_server_address** - ip/url wireguard сервера + +**wg_private_key**, **wg_public_key** - ключи для "клиента" + +**wg_client_address** - адрес роутера в wg сети + +Если ваш wg сервер использует preshared_key, то раскомментируйте **wg_preshared_key** и задайте ключ + +Остальное можно менять, в зависимости от того, как настроен wireguard сервер + +**wg_access** и **wg_access_network** для доступа к роутеру через WG. Переменная wg_access_network должна иметь значение подсети, например 192.168.10.0/24. + +### Шифрование DNS +Если ваш провайдер не подменяет DNS-запросы, ничего устанавливать не нужно. + +Для **dns_encrypt** три возможных значения: +- dnscrypt +- stubby +- false/закомментировано - пропуск, ничего не устанавливается и не настраивается + +### Выбор страны + Для **county** три [возможных значения](https://github.com/itdoginfo/allow-domains): +- russia-inside +- russia-outside +- ukraine + +### + +### Списки IP-адресов и домены +Переменные **list_** обозначают, какие списки нужно установить. true - установить, false - не устанавливать и удалить, если уже есть + +Я советую использовать только домены +``` + list_domains: true +``` +Если вам требуются списки IP-адресов, они также поддерживаются. + +При использовании **list_domains** нужен пакет dnsmasq-full. + +Для 23.05 dnsmasq-full устанавливается автоматически. + +Для OpenWrt 22.03 версия dnsmasq-full должна быть => 2.87, её нет в официальном репозитории, но можно установить из dev репозитория. Если это условие не выполнено, плейбук завершится с ошибкой. + +[Инструкция для OpenWrt 22.03](https://t.me/itdoginf/12) + +[Инструкция для OpenWrt 21.02](https://t.me/itdoginfo/8) + +### Использование + +Установить модуль gekmihesg/ansible-openwrt + +``` +ansible-galaxy install gekmihesg.openwrt +``` + +Скачать playbook и темплейты в /etc/ansible + +``` +cd /etc/ansible +git clone https://github.com/itdoginfo/domain-routing-openwrt +mv domain-routing-openwrt/* . +rm -rf domain-routing-openwrt README.md +``` + +Добавить роутер в файл hosts в группу openwrt +``` +[openwrt] +192.168.1.1 +``` + +Подставить переменные в **hivpn.yml** + +Для работы Ansible c OpenWrt необходимо, чтоб было выполнено одно из условий: +- Отсутствие пароля для root (не рекомендуется) +- Настроен доступ через публичный SSH-ключ в [конфиге dropbear](https://openwrt.org/docs/guide-user/security/dropbear.public-key.auth) + +Запуск playbook +``` +ansible-playbook playbooks/hivpn.yml --limit 192.168.1.1 +``` + +После выполнения playbook роутер сразу начнёт роутить необходмые домены в туннель/прокси. + +Если у вас были ошибки и они исправились при повторном запуске playbook, но при этом роутинг не заработал, сделайте рестарт сети и скрипта: +``` +service network restart +service getdomains start +``` + +# Скрипт для проверки конфигурации + +Написан для OpenWrt 23.05 и 22.03. На 21.02 работает только половина проверок. + +[x] - не обязательно означает, что эта часть не работает. Но это повод для ручной проверки. + +Есть функционал сохранения вывода скрипта, конфигурации сети и firewall в файл. Все чувствительные переменные при этом затираются. + +### Запуск +``` +wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh +``` + +### Запустить с проверкой на подмену DNS +``` +wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh -s dns +``` + +### Запустить с созданием dump +``` +wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh -s dump +``` + +Поиск ошибок вручную: https://habr.com/ru/post/702388/ + +--- + +[Telegram-канал с обновлениями](https://t.me/+lW1HmBO_Fa00M2Iy) \ No newline at end of file diff --git a/README.md b/README.md index b02f29a..9d15fe2 100644 --- a/README.md +++ b/README.md @@ -1,160 +1,104 @@ -# Описание -Shell скрипт и playbook для Ansible. Автоматизируют настройку роутера на OpenWrt для роутинга по доменам и спискам IP-адресов. +Domain routing OpenWrt +========= -Полное описание происходящего: [Статья на хабре](https://habr.com/ru/articles/767464/) +Configuring domain routing on Openwrt router. -[Копия в моём блоге](https://itdog.info/tochechnyj-obhod-blokirovok-po-domenam-na-routere-s-openwrt/) -## Скрипт для установки -Запуск без скачивания -``` -sh <(wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-install.sh) -``` - -Подробности описаны в статье указаной выше. - -## Ansible -Для взаимодействия c OpenWRT используется модуль [gekmihesg/ansible-openwrt](https://github.com/gekmihesg/ansible-openwrt) - -Домены берутся из [отсюда](https://github.com/itdoginfo/allow-domains). Списки IP-адресов берутся с [antifilter.download](https://antifilter.download/) - -Тестировалось с -- Ansible 2.10.8 - -- OpenWrt 21.02.7 -- OpenWrt 22.03.5 -- OpenWrt 23.05.2 - -### Выбор туннеля -- Wireguard настраивается автоматически через переменные -- OpenVPN устанавливается пакет, настраивается роутинг и зона. Само подключение (скопировать конфиг и перезапустить openvpn) нужно [настроить вручную](https://itdog.info/nastrojka-klienta-openvpn-na-openwrt/) -- Sing-box устанавливает пакет, настраивается роутинг и зона. Также кладётся темплейт в `/etc/sing-box/config.json`. Нужно настроить `config.json` и сделать `service sing-box restart` -Не работает под 21ой версией. Поэтому при его выборе playbook выдаст ошибку. -Для 22ой версии нужно установить пакет вручную. -- tun2socks настраивается только роутинг и зона. Всё остальное нужно настроить вручную - -Для **tunnel** четыре возможных значения: -- wg -- openvpn -- singbox -- tun2socks - -В случае использования WG обязательно нужно задать: +Role Variables +-------------- -**wg_server_address** - ip/url wireguard сервера - -**wg_private_key**, **wg_public_key** - ключи для "клиента" - -**wg_client_address** - адрес роутера в wg сети - -Если ваш wg сервер использует preshared_key, то раскомментируйте **wg_preshared_key** и задайте ключ - -Остальное можно менять, в зависимости от того, как настроен wireguard сервер - -**wg_access** и **wg_access_network** для доступа к роутеру через WG. Переменная wg_access_network должна иметь значение подсети, например 192.168.10.0/24. - -### Шифрование DNS -Если ваш провайдер не подменяет DNS-запросы, ничего устанавливать не нужно. - -Для **dns_encrypt** три возможных значения: -- dnscrypt -- stubby -- false/закомментировано - пропуск, ничего не устанавливается и не настраивается - -### Выбор страны - Для **county** три [возможных значения](https://github.com/itdoginfo/allow-domains): -- russia-inside -- russia-outside -- ukraine - -### +Lists +``` + country: russia-inside|russia-outside|ukraine + list_domains: true|falase -### Списки IP-адресов и домены -Переменные **list_** обозначают, какие списки нужно установить. true - установить, false - не устанавливать и удалить, если уже есть + list_subnet: false|true + list_ip: false|true + list_community: false|true +``` -Я советую использовать только домены +Tunnel ``` - list_domains: true + tunnel: wg|openvpn|singbox|tun2socks ``` -Если вам требуются списки IP-адресов, они также поддерживаются. - -При использовании **list_domains** нужен пакет dnsmasq-full. - -Для 23.05 dnsmasq-full устанавливается автоматически. - -Для OpenWrt 22.03 версия dnsmasq-full должна быть => 2.87, её нет в официальном репозитории, но можно установить из dev репозитория. Если это условие не выполнено, плейбук завершится с ошибкой. - -[Инструкция для OpenWrt 22.03](https://t.me/itdoginf/12) - -[Инструкция для OpenWrt 21.02](https://t.me/itdoginfo/8) - -### Использование - -Установить модуль gekmihesg/ansible-openwrt +DoH or DoT ``` -ansible-galaxy install gekmihesg.openwrt + dns_encrypt: false|dnscrypt|stubby ``` -Скачать playbook и темплейты в /etc/ansible - +Nano package ``` -cd /etc/ansible -git clone https://github.com/itdoginfo/domain-routing-openwrt -mv domain-routing-openwrt/* . -rm -rf domain-routing-openwrt README.md + nano: true|false ``` -Добавить роутер в файл hosts в группу openwrt +Acces from wg network to router ``` -[openwrt] -192.168.1.1 + wg_access: false|true ``` -Подставить переменные в **hivpn.yml** - -Для работы Ansible c OpenWrt необходимо, чтоб было выполнено одно из условий: -- Отсутствие пароля для root (не рекомендуется) -- Настроен доступ через публичный SSH-ключ в [конфиге dropbear](https://openwrt.org/docs/guide-user/security/dropbear.public-key.auth) - -Запуск playbook +If wireguard is used: ``` -ansible-playbook playbooks/hivpn.yml --limit 192.168.1.1 + wg_server_address: wg-server-host + wg_private_key: privatekey-client + wg_public_key: publickey-client + #wg_preshared_key: presharedkey-client + wg_client_port: 51820 + wg_client_address: ip-client + wg_access_network: wg-network ``` -После выполнения playbook роутер сразу начнёт роутить необходмые домены в туннель/прокси. +Dependencies +------------ -Если у вас были ошибки и они исправились при повторном запуске playbook, но при этом роутинг не заработал, сделайте рестарт сети и скрипта: -``` -service network restart -service getdomains start -``` +[gekmihesg.openwrt](https://github.com/gekmihesg/ansible-openwrt) -# Скрипт для проверки конфигурации -Написан для OpenWrt 23.05 и 22.03. На 21.02 работает только половина проверок. +Example Playbook +---------------- -[x] - не обязательно означает, что эта часть не работает. Но это повод для ручной проверки. +The inventory file must contain the group `[openwrt]` where your router will be located. -Есть функционал сохранения вывода скрипта, конфигурации сети и firewall в файл. Все чувствительные переменные при этом затираются. -### Запуск -``` -wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh +Wireguard, only domains, stubby, Russia, acces from wg network, host 192.168.1.1 ``` +- hosts: 192.168.1.1 + remote_user: root -### Запустить с проверкой на подмену DNS -``` -wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh -s dns -``` + roles: + - domain-routing-openwrt + + vars: + tunnel: wg + dns_encrypt: stubby + country: russia-inside + wg_access: true -### Запустить с созданием dump + wg_server_address: wg-server-host + wg_private_key: privatekey-client + wg_public_key: publickey-client + wg_preshared_key: presharedkey-client + wg_listen_port: 51820 + wg_client_port: 51820 + wg_client_address: ip-client + wg_access_network: wg-network ``` -wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh -s dump + +Sing-box, stubby, Russia ``` +- hosts: 192.168.1.1 + remote_user: root -Поиск ошибок вручную: https://habr.com/ru/post/702388/ + roles: + - domain-routing-openwrt + + vars: + tunnel: singbox + dns_encrypt: stubby + country: russia-inside +``` ---- +License +------- -[Telegram-канал с обновлениями](https://t.me/+lW1HmBO_Fa00M2Iy) \ No newline at end of file +GNU General Public License v3.0 \ No newline at end of file diff --git a/defaults/main.yml b/defaults/main.yml new file mode 100644 index 0000000..024d039 --- /dev/null +++ b/defaults/main.yml @@ -0,0 +1,12 @@ +--- + list_domains: true + list_subnet: false + list_ip: false + list_community: false + tunnel: wg + dns_encrypt: false + country: russia-inside + nano: true + wg_access: false + + wg_listen_port: 51820 \ No newline at end of file diff --git a/handlers/main.yml b/handlers/main.yml new file mode 100644 index 0000000..04dd6a9 --- /dev/null +++ b/handlers/main.yml @@ -0,0 +1,26 @@ +--- + - name: Restart network + service: + name: network + state: restarted + + - name: Restart firewall + service: + name: firewall + state: restarted + + - name: Run getdomains script + service: + name: getdomains + state: restarted + + - name: Restart dnscrypt-proxy + service: + name: dnscrypt-proxy + state: restarted + enabled: yes + + - name: Restart dnsmasq + service: + name: dnsmasq + state: restarted \ No newline at end of file diff --git a/meta/main.yml b/meta/main.yml new file mode 100644 index 0000000..d147668 --- /dev/null +++ b/meta/main.yml @@ -0,0 +1,22 @@ +--- +galaxy_info: + role_name: domain_routing_openwrt + namespace: itdoginfo + author: itdog + description: Configuring domain routing on Openwrt router + issue_tracker_url: https://github.com/itdoginfo/domain-routing-openwrt/issues + license: GPL-3.0 + min_ansible_version: 2.10.8 + platforms: + - name: OpenWrt + galaxy_tags: + - openwrt + - dnsmasq + - ipset + - wireguard + - sing-box + - openvpn + - bypass + - routing +dependencies: + - role: gekmihesg.openwrt \ No newline at end of file diff --git a/playbooks/hivpn.yml b/tasks/main.yml similarity index 91% rename from playbooks/hivpn.yml rename to tasks/main.yml index be8a3bc..18a2b6b 100644 --- a/playbooks/hivpn.yml +++ b/tasks/main.yml @@ -1,34 +1,5 @@ --- -- hosts: openwrt - - remote_user: root - - roles: - - gekmihesg.openwrt - - vars: - ansible_template_dir: /etc/ansible/templates/ - list_domains: true - list_subnet: false - list_ip: false - list_community: false - tunnel: wg - dns_encrypt: false - country: russia-inside - nano: true - wg_access: false - - wg_server_address: wg-server-host - wg_private_key: privatekey-client - wg_public_key: publickey-client - #wg_preshared_key: presharedkey-client - wg_listen_port: 51820 - wg_client_port: 51820 - wg_client_address: ip-client - wg_access_network: wg-network - - tasks: # Dnsmasq version check - name: Get dnsmasq version @@ -96,7 +67,7 @@ - name: getdomains script copy template: - src: "{{ ansible_template_dir }}openwrt-getdomains.j2" + src: "openwrt-getdomains.j2" dest: "/etc/init.d/getdomains" mode: a+x trim_blocks: false @@ -133,7 +104,7 @@ - name: Route for vpn table template: - src: "{{ ansible_template_dir }}openwrt-30-vpnroute.j2" + src: "openwrt-30-vpnroute.j2" dest: "/etc/hotplug.d/iface/30-vpnroute" mode: 0644 @@ -265,7 +236,7 @@ - name: template for sing-box.json template: - src: "{{ ansible_template_dir }}sing-box-json.j2" + src: "sing-box-json.j2" dest: "/etc/sing-box/config.json" mode: 0644 when: tunnel == "singbox" @@ -273,7 +244,7 @@ - name: template for config/sing-box template: - src: "{{ ansible_template_dir }}config-sing-box.j2" + src: "config-sing-box.j2" dest: "/etc/config/sing-box" mode: 0600 when: tunnel == "singbox" @@ -675,7 +646,7 @@ - Restart dnsmasq when: dns_encrypt == "stubby" -# Commit and handlers +# Commit - name: uci commit firewall uci: @@ -689,31 +660,4 @@ command: commit config: network notify: - - Restart network - - handlers: - - name: Restart network - service: - name: network - state: restarted - - - name: Restart firewall - service: - name: firewall - state: restarted - - - name: Run getdomains script - service: - name: getdomains - state: restarted - - - name: Restart dnscrypt-proxy - service: - name: dnscrypt-proxy - state: restarted - enabled: yes - - - name: Restart dnsmasq - service: - name: dnsmasq - state: restarted \ No newline at end of file + - Restart network \ No newline at end of file diff --git a/tests/inventory b/tests/inventory new file mode 100644 index 0000000..0ec060b --- /dev/null +++ b/tests/inventory @@ -0,0 +1,2 @@ +[openwrt] +192.168.56.23 diff --git a/tests/test.yml b/tests/test.yml new file mode 100644 index 0000000..42eeab2 --- /dev/null +++ b/tests/test.yml @@ -0,0 +1,6 @@ +--- +- hosts: openwrt + remote_user: root + + roles: + - domain_routing_openwrt \ No newline at end of file From 5e9576258e3c82e44e3ff3f18429e66646577624 Mon Sep 17 00:00:00 2001 From: itdoginfo Date: Thu, 18 Apr 2024 15:26:59 +0300 Subject: [PATCH 2/5] Added workflow --- .github/workflows/public-galaxy.yml | 19 +++++++++++++++++++ 1 file changed, 19 insertions(+) create mode 100644 .github/workflows/public-galaxy.yml diff --git a/.github/workflows/public-galaxy.yml b/.github/workflows/public-galaxy.yml new file mode 100644 index 0000000..c825783 --- /dev/null +++ b/.github/workflows/public-galaxy.yml @@ -0,0 +1,19 @@ +name: Public to Ansible Galaxy + +on: + push: + branches: [ "role" ] + tags: + - '*' + +jobs: + build: + runs-on: ubuntu-latest + steps: + - name: checkout + uses: actions/checkout@v4 + - name: Publish Ansible role to Galaxy + uses: itdoginfo/galaxy-action@1.2.1 + with: + galaxy_api_key: ${{ secrets.galaxy_api_key }} + git_branch: role From df8ecd5cdc243077d2b421a879d5c2ea261af89f Mon Sep 17 00:00:00 2001 From: itdoginfo Date: Thu, 18 Apr 2024 15:29:08 +0300 Subject: [PATCH 3/5] fix --- .github/workflows/public-galaxy.yml | 2 +- 1 file changed, 1 insertion(+), 1 deletion(-) diff --git a/.github/workflows/public-galaxy.yml b/.github/workflows/public-galaxy.yml index c825783..271c666 100644 --- a/.github/workflows/public-galaxy.yml +++ b/.github/workflows/public-galaxy.yml @@ -13,7 +13,7 @@ jobs: - name: checkout uses: actions/checkout@v4 - name: Publish Ansible role to Galaxy - uses: itdoginfo/galaxy-action@1.2.1 + uses: robertdebock/galaxy-action@1.2.1 with: galaxy_api_key: ${{ secrets.galaxy_api_key }} git_branch: role From ec9971ef4b73f0cd655711b0f587734525e5eeb5 Mon Sep 17 00:00:00 2001 From: itdoginfo Date: Thu, 18 Apr 2024 16:54:27 +0300 Subject: [PATCH 4/5] Redrafting --- .github/workflows/public-galaxy.yml | 2 +- README-old.md | 160 ----------------------- README.EN.md | 107 ++++++++++++++++ README.md | 188 ++++++++++++++++++++-------- meta/main.yml | 2 +- 5 files changed, 248 insertions(+), 211 deletions(-) delete mode 100644 README-old.md create mode 100644 README.EN.md diff --git a/.github/workflows/public-galaxy.yml b/.github/workflows/public-galaxy.yml index 271c666..8102858 100644 --- a/.github/workflows/public-galaxy.yml +++ b/.github/workflows/public-galaxy.yml @@ -16,4 +16,4 @@ jobs: uses: robertdebock/galaxy-action@1.2.1 with: galaxy_api_key: ${{ secrets.galaxy_api_key }} - git_branch: role + git_branch: 0.1.3 diff --git a/README-old.md b/README-old.md deleted file mode 100644 index b02f29a..0000000 --- a/README-old.md +++ /dev/null @@ -1,160 +0,0 @@ -# Описание -Shell скрипт и playbook для Ansible. Автоматизируют настройку роутера на OpenWrt для роутинга по доменам и спискам IP-адресов. - -Полное описание происходящего: [Статья на хабре](https://habr.com/ru/articles/767464/) - -[Копия в моём блоге](https://itdog.info/tochechnyj-obhod-blokirovok-po-domenam-na-routere-s-openwrt/) - -## Скрипт для установки -Запуск без скачивания -``` -sh <(wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-install.sh) -``` - -Подробности описаны в статье указаной выше. - -## Ansible -Для взаимодействия c OpenWRT используется модуль [gekmihesg/ansible-openwrt](https://github.com/gekmihesg/ansible-openwrt) - -Домены берутся из [отсюда](https://github.com/itdoginfo/allow-domains). Списки IP-адресов берутся с [antifilter.download](https://antifilter.download/) - -Тестировалось с -- Ansible 2.10.8 - -- OpenWrt 21.02.7 -- OpenWrt 22.03.5 -- OpenWrt 23.05.2 - -### Выбор туннеля -- Wireguard настраивается автоматически через переменные -- OpenVPN устанавливается пакет, настраивается роутинг и зона. Само подключение (скопировать конфиг и перезапустить openvpn) нужно [настроить вручную](https://itdog.info/nastrojka-klienta-openvpn-na-openwrt/) -- Sing-box устанавливает пакет, настраивается роутинг и зона. Также кладётся темплейт в `/etc/sing-box/config.json`. Нужно настроить `config.json` и сделать `service sing-box restart` -Не работает под 21ой версией. Поэтому при его выборе playbook выдаст ошибку. -Для 22ой версии нужно установить пакет вручную. -- tun2socks настраивается только роутинг и зона. Всё остальное нужно настроить вручную - -Для **tunnel** четыре возможных значения: -- wg -- openvpn -- singbox -- tun2socks - -В случае использования WG обязательно нужно задать: - -**wg_server_address** - ip/url wireguard сервера - -**wg_private_key**, **wg_public_key** - ключи для "клиента" - -**wg_client_address** - адрес роутера в wg сети - -Если ваш wg сервер использует preshared_key, то раскомментируйте **wg_preshared_key** и задайте ключ - -Остальное можно менять, в зависимости от того, как настроен wireguard сервер - -**wg_access** и **wg_access_network** для доступа к роутеру через WG. Переменная wg_access_network должна иметь значение подсети, например 192.168.10.0/24. - -### Шифрование DNS -Если ваш провайдер не подменяет DNS-запросы, ничего устанавливать не нужно. - -Для **dns_encrypt** три возможных значения: -- dnscrypt -- stubby -- false/закомментировано - пропуск, ничего не устанавливается и не настраивается - -### Выбор страны - Для **county** три [возможных значения](https://github.com/itdoginfo/allow-domains): -- russia-inside -- russia-outside -- ukraine - -### - -### Списки IP-адресов и домены -Переменные **list_** обозначают, какие списки нужно установить. true - установить, false - не устанавливать и удалить, если уже есть - -Я советую использовать только домены -``` - list_domains: true -``` -Если вам требуются списки IP-адресов, они также поддерживаются. - -При использовании **list_domains** нужен пакет dnsmasq-full. - -Для 23.05 dnsmasq-full устанавливается автоматически. - -Для OpenWrt 22.03 версия dnsmasq-full должна быть => 2.87, её нет в официальном репозитории, но можно установить из dev репозитория. Если это условие не выполнено, плейбук завершится с ошибкой. - -[Инструкция для OpenWrt 22.03](https://t.me/itdoginf/12) - -[Инструкция для OpenWrt 21.02](https://t.me/itdoginfo/8) - -### Использование - -Установить модуль gekmihesg/ansible-openwrt - -``` -ansible-galaxy install gekmihesg.openwrt -``` - -Скачать playbook и темплейты в /etc/ansible - -``` -cd /etc/ansible -git clone https://github.com/itdoginfo/domain-routing-openwrt -mv domain-routing-openwrt/* . -rm -rf domain-routing-openwrt README.md -``` - -Добавить роутер в файл hosts в группу openwrt -``` -[openwrt] -192.168.1.1 -``` - -Подставить переменные в **hivpn.yml** - -Для работы Ansible c OpenWrt необходимо, чтоб было выполнено одно из условий: -- Отсутствие пароля для root (не рекомендуется) -- Настроен доступ через публичный SSH-ключ в [конфиге dropbear](https://openwrt.org/docs/guide-user/security/dropbear.public-key.auth) - -Запуск playbook -``` -ansible-playbook playbooks/hivpn.yml --limit 192.168.1.1 -``` - -После выполнения playbook роутер сразу начнёт роутить необходмые домены в туннель/прокси. - -Если у вас были ошибки и они исправились при повторном запуске playbook, но при этом роутинг не заработал, сделайте рестарт сети и скрипта: -``` -service network restart -service getdomains start -``` - -# Скрипт для проверки конфигурации - -Написан для OpenWrt 23.05 и 22.03. На 21.02 работает только половина проверок. - -[x] - не обязательно означает, что эта часть не работает. Но это повод для ручной проверки. - -Есть функционал сохранения вывода скрипта, конфигурации сети и firewall в файл. Все чувствительные переменные при этом затираются. - -### Запуск -``` -wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh -``` - -### Запустить с проверкой на подмену DNS -``` -wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh -s dns -``` - -### Запустить с созданием dump -``` -wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh -s dump -``` - -Поиск ошибок вручную: https://habr.com/ru/post/702388/ - ---- - -[Telegram-канал с обновлениями](https://t.me/+lW1HmBO_Fa00M2Iy) \ No newline at end of file diff --git a/README.EN.md b/README.EN.md new file mode 100644 index 0000000..4b16213 --- /dev/null +++ b/README.EN.md @@ -0,0 +1,107 @@ +Domain routing OpenWrt +========= + +Configuring domain routing on Openwrt router. + + +Role Variables +-------------- + +Lists +``` + country: russia-inside|russia-outside|ukraine + list_domains: true|falase + + list_subnet: false|true + list_ip: false|true + list_community: false|true +``` + +Tunnel +``` + tunnel: wg|openvpn|singbox|tun2socks +``` + +DoH or DoT +``` + dns_encrypt: false|dnscrypt|stubby +``` + +Nano package +``` + nano: true|false +``` + +Acces from wg network to router +``` + wg_access: false|true + wg_access_network: 192.168.80.0/24 (for example) +``` + +If wireguard is used: +``` + wg_server_address: wg-server-host + wg_private_key: privatekey-client + wg_public_key: publickey-client + wg_preshared_key: presharedkey-client + wg_client_port: 51820 + wg_client_address: ip-client + + wg_access: true + wg_access_network: wg-network +``` + +Dependencies +------------ + +[gekmihesg.openwrt](https://github.com/gekmihesg/ansible-openwrt) + + +Example Playbook +---------------- + +The inventory file must contain the group `[openwrt]` where your router will be located. + + +Wireguard, only domains, stubby, Russia, acces from wg network, host 192.168.1.1 +``` +- hosts: 192.168.1.1 + remote_user: root + + roles: + - domain-routing-openwrt + + vars: + tunnel: wg + dns_encrypt: stubby + country: russia-inside + + wg_access: true + wg_server_address: wg-server-host + wg_private_key: privatekey-client + wg_public_key: publickey-client + wg_preshared_key: presharedkey-client + wg_listen_port: 51820 + wg_client_port: 51820 + wg_client_address: ip-client + wg_access_network: wg-network +``` + +Sing-box, stubby, Russia +``` +- hosts: 192.168.1.1 + remote_user: root + + roles: + - domain-routing-openwrt + + vars: + tunnel: singbox + dns_encrypt: stubby + country: russia-inside +``` + +License +------- + +GNU General Public License v3.0 \ No newline at end of file diff --git a/README.md b/README.md index 9d15fe2..ecd2fa4 100644 --- a/README.md +++ b/README.md @@ -1,78 +1,61 @@ -Domain routing OpenWrt -========= +[English role README](https://github.com/itdoginfo/domain-routing-openwrt/blob/role/README.EN.md) -Configuring domain routing on Openwrt router. +# Описание +Shell скрипт и playbook для Ansible. Автоматизируют настройку роутера на OpenWrt для роутинга по доменам и спискам IP-адресов. +Полное описание происходящего: +- [Статья на хабре](https://habr.com/ru/articles/767464/) +- [Копия в моём блоге](https://itdog.info/tochechnyj-obhod-blokirovok-po-domenam-na-routere-s-openwrt/) -Role Variables --------------- - -Lists +# Скрипт для установки ``` - country: russia-inside|russia-outside|ukraine - list_domains: true|falase - - list_subnet: false|true - list_ip: false|true - list_community: false|true +sh <(wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-install.sh) ``` -Tunnel -``` - tunnel: wg|openvpn|singbox|tun2socks -``` +## Скрипт для проверки конфигурации +Написан для OpenWrt 23.05 и 22.03. На 21.02 работает только половина проверок. -DoH or DoT -``` - dns_encrypt: false|dnscrypt|stubby -``` +[x] - не обязательно означает, что эта часть не работает. Но это повод для ручной проверки. -Nano package +### Запуск ``` - nano: true|false +wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh ``` -Acces from wg network to router +### Запустить с проверкой на подмену DNS ``` - wg_access: false|true +wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh -s dns ``` -If wireguard is used: +### Запустить с созданием dump +Все чувствительные переменные затираются. + ``` - wg_server_address: wg-server-host - wg_private_key: privatekey-client - wg_public_key: publickey-client - #wg_preshared_key: presharedkey-client - wg_client_port: 51820 - wg_client_address: ip-client - wg_access_network: wg-network +wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh -s dump ``` -Dependencies ------------- +Поиск ошибок вручную: https://habr.com/ru/post/702388/ -[gekmihesg.openwrt](https://github.com/gekmihesg/ansible-openwrt) - - -Example Playbook ----------------- - -The inventory file must contain the group `[openwrt]` where your router will be located. +# Ansible +Установить роль +``` +ansible-galaxy role install itdoginfo.domain_routing_openwrt +``` +Примеры playbooks -Wireguard, only domains, stubby, Russia, acces from wg network, host 192.168.1.1 +Wireguard, only domains, stubby, Russia, acces from wg network (примерное значение 192.168.80.0/24), host 192.168.1.1 ``` - hosts: 192.168.1.1 remote_user: root roles: - - domain-routing-openwrt + - itdoginfo.domain_routing_openwrt vars: tunnel: wg dns_encrypt: stubby country: russia-inside - wg_access: true wg_server_address: wg-server-host wg_private_key: privatekey-client @@ -81,6 +64,8 @@ Wireguard, only domains, stubby, Russia, acces from wg network, host 192.168.1.1 wg_listen_port: 51820 wg_client_port: 51820 wg_client_address: ip-client + + wg_access: true wg_access_network: wg-network ``` @@ -90,7 +75,7 @@ Sing-box, stubby, Russia remote_user: root roles: - - domain-routing-openwrt + - itdoginfo.domain_routing_openwrt vars: tunnel: singbox @@ -98,7 +83,112 @@ Sing-box, stubby, Russia country: russia-inside ``` -License -------- +В inventory файле роутер обязательно должен быть в группе `[openwrt]` +``` +[openwrt] +192.168.1.1 +``` + +Для работы Ansible c OpenWrt необходимо, чтоб было выполнено одно из условий: +- Отсутствие пароля для root (не рекомендуется) +- Настроен доступ через публичный SSH-ключ в [конфиге dropbear](https://openwrt.org/docs/guide-user/security/dropbear.public-key.auth) + +После выполнения playbook роутер сразу начнёт роутить необходмые домены в туннель/прокси. + +Если у вас были ошибки и они исправились при повторном запуске playbook, но при этом роутинг не заработал, сделайте рестарт сети и скрипта: +``` +service network restart +service getdomains start +``` + +Тестировалось с +- Ansible 2.10.8 +- OpenWrt 21.02.7 +- OpenWrt 22.03.5 +- OpenWrt 23.05.2 + +## Выбор туннеля +- Wireguard настраивается автоматически через переменные +- OpenVPN устанавливается пакет, настраивается роутинг и зона. Само подключение (скопировать конфиг и перезапустить openvpn) нужно [настроить вручную](https://itdog.info/nastrojka-klienta-openvpn-na-openwrt/) +- Sing-box устанавливает пакет, настраивается роутинг и зона. Также кладётся темплейт в `/etc/sing-box/config.json`. [Нужно настроить](https://habr.com/ru/articles/767458/) `config.json` и сделать `service sing-box restart` +Не работает под 21ой версией. Поэтому при его выборе playbook выдаст ошибку. +Для 22ой версии нужно установить пакет вручную. +- tun2socks настраивается только роутинг и зона. Всё остальное нужно настроить вручную + +Для **tunnel** четыре возможных значения: +- wg +- openvpn +- singbox +- tun2socks + +В случае использования WG: +``` + wg_server_address: wg-server-host + wg_private_key: privatekey-client + wg_public_key: publickey-client + wg_preshared_key: presharedkey-client + wg_client_port: 51820 + wg_client_address: ip-client +``` + +Если ваш wg сервер не использует `preshared_key`, то просто не задавайте её. + +**wg_access** и **wg_access_network** для доступа к роутеру через WG. Переменная wg_access_network должна иметь значение подсети, например 192.168.10.0/24. +``` + wg_access_network: wg-network + wg_access: true +``` + +## Шифрование DNS +Если ваш провайдер не подменяет DNS-запросы, ничего устанавливать не нужно. + +Для **dns_encrypt** три возможных значения: +- dnscrypt +- stubby +- false/закомментировано - пропуск, ничего не устанавливается и не настраивается + +## Выбор страны +Выбор списка доменов. +Для **county** три [возможных значения](https://github.com/itdoginfo/allow-domains): +- russia-inside +- russia-outside +- ukraine + +## Списки IP-адресов +Списки IP-адресов берутся с [antifilter.download](https://antifilter.download/) +Переменные **list_** обозначают, какие списки нужно установить. true - установить, false - не устанавливать и удалить, если уже есть + +Доступные переменные +``` + list_domains: true + list_subnet: false + list_ip: falses + list_community: false +``` + +Я советую использовать только домены +``` + list_domains: true +``` +Если вам требуются списки IP-адресов, они также поддерживаются. + +При использовании **list_domains** нужен пакет dnsmasq-full. + +Для 23.05 dnsmasq-full устанавливается автоматически. + +Для OpenWrt 22.03 версия dnsmasq-full должна быть => 2.87, её нет в официальном репозитории, но можно установить из dev репозитория. Если это условие не выполнено, плейбук завершится с ошибкой. + +[Инструкция для OpenWrt 22.03](https://t.me/itdoginf/12) + +[Инструкция для OpenWrt 21.02](https://t.me/itdoginfo/8) + +## Текстовый редактор nano +Устанавливается по умолчанию +Можно выключить +``` + nano: false +``` + +--- -GNU General Public License v3.0 \ No newline at end of file +[Telegram-канал с обновлениями](https://t.me/+lW1HmBO_Fa00M2Iy) \ No newline at end of file diff --git a/meta/main.yml b/meta/main.yml index d147668..a88247b 100644 --- a/meta/main.yml +++ b/meta/main.yml @@ -6,7 +6,7 @@ galaxy_info: description: Configuring domain routing on Openwrt router issue_tracker_url: https://github.com/itdoginfo/domain-routing-openwrt/issues license: GPL-3.0 - min_ansible_version: 2.10.8 + min_ansible_version: 2.10.7 platforms: - name: OpenWrt galaxy_tags: From 92f25df564fed61a06e1f2108d3092bb9931955e Mon Sep 17 00:00:00 2001 From: itdoginfo Date: Thu, 18 Apr 2024 16:58:59 +0300 Subject: [PATCH 5/5] Changed to master branch --- .github/workflows/public-galaxy.yml | 5 ++--- README.md | 2 +- 2 files changed, 3 insertions(+), 4 deletions(-) diff --git a/.github/workflows/public-galaxy.yml b/.github/workflows/public-galaxy.yml index 8102858..4b3570b 100644 --- a/.github/workflows/public-galaxy.yml +++ b/.github/workflows/public-galaxy.yml @@ -2,7 +2,7 @@ name: Public to Ansible Galaxy on: push: - branches: [ "role" ] + branches: [ "master" ] tags: - '*' @@ -15,5 +15,4 @@ jobs: - name: Publish Ansible role to Galaxy uses: robertdebock/galaxy-action@1.2.1 with: - galaxy_api_key: ${{ secrets.galaxy_api_key }} - git_branch: 0.1.3 + galaxy_api_key: ${{ secrets.galaxy_api_key }} \ No newline at end of file diff --git a/README.md b/README.md index ecd2fa4..d97e649 100644 --- a/README.md +++ b/README.md @@ -1,4 +1,4 @@ -[English role README](https://github.com/itdoginfo/domain-routing-openwrt/blob/role/README.EN.md) +[English role README](https://github.com/itdoginfo/domain-routing-openwrt/blob/master/README.EN.md) # Описание Shell скрипт и playbook для Ansible. Автоматизируют настройку роутера на OpenWrt для роутинга по доменам и спискам IP-адресов.