Skip to content

Instantly share code, notes, and snippets.

@wiktorbgu
Created October 22, 2024 15:24
Show Gist options
  • Save wiktorbgu/1f2dfe99837d8f2803483be95814d2e5 to your computer and use it in GitHub Desktop.
Save wiktorbgu/1f2dfe99837d8f2803483be95814d2e5 to your computer and use it in GitHub Desktop.
Mikrotik WireGuard anti DPI

Чуть подправил скрипт , чтобы лишний раз не бегал по клиентским пирам, которые подключаются к этому роутеру, а только где роутер как клиент.
Работает убойно! Proton и Warp пробивает)

Upd.: увеличил время в фильтре до 2м30с как защита от ложных срабатываний у медленных подключений.
Считаю выполнение скрипта раз в 2 минуты средним нормальным значением.
Так же добавил в скрипт закомментированную строку с возможность исключения какого-либо wg интерфейса из проверки.

Update for ROS >= 7.17: у пиров изменили свойство is-responder на responder! добавил закоментированную строку в скрипт.
Если при выполнении скрипта на этапе генерации трафика выходит ошибка в лог, то:
выполнить команду /system/device-mode/print
если получаем mode: advanced и при этом в выводе нету traffic-gen: yes,
выполняем команду
/system/device-mode/update traffic-gen=yes и следуем инструкциям.
Официальная справка по device-mode.

:global Tx
:global Rx
/interface/wireguard/peers

# Для версии ROS >= 7.17
#:foreach i in=[find where disabled=no and responder!=yes] do={

# Исключить подключение wireguard-client по имени интерфейса чтобы скрипт его никогда не трогал
#:foreach i in=[find where disabled=no and is-responder!=yes and interface!="wireguard-client"] do={

:foreach i in=[find where disabled=no and is-responder!=yes] do={
  :local LocalTx [get $i tx]
  :local LocalRx [get $i rx]
  :local LastHandshake [get $i last-handshake]
  :if (([:tostr $LastHandshake] = "") or (($LastHandshake > [:totime "2m30s"]) and ($Rx->[:tostr $i] = $LocalRx))) do={
    :local rawHeader [:rndstr length=4 from=123456789abcdef]
    :local EndpointAddress [get $i endpoint-address]
    :local EndpointAddressIP $EndpointAddress
    :local EndpointAddressIP [get $i current-endpoint-address]
    :local name [get $i name]
    :local wgDstPort [get $i current-endpoint-port]
    :local interface [get $i interface]
    
    # Сбрасываем исходящий порт на уровне интерфейса
    /interface wireguard set $interface listen-port=0
    :local srcport [/interface/wireguard/get $interface listen-port];

    :log info ("WG name is $name, EndpointAddress $EndpointAddress , LastHandshake $LastHandshake, LastTx " . $Tx->[:tostr $i] . ", CurrentTx $LocalTx, LastRx " . $Rx->[:tostr $i] . ", CurrentRx $LocalRx")
    :log info ("WG Currentinterface $interface, srcport $srcport, EndpointAddressIP $EndpointAddressIP, DstPort $wgDstPort")
    :log info ("Generating spam for RKN")
    set $i disabled=yes
    /tool traffic-generator stream remove [find]
    /tool traffic-generator packet-template remove [find]
    :delay 1
    /tool/traffic-generator/packet-template/add header-stack=mac,ip,udp,raw ip-dst=$EndpointAddressIP name=packet-template-wg raw-header=$rawHeader special-footer=no udp-dst-port=$wgDstPort udp-src-port=$srcport
    :delay 1
    /tool traffic-generator stream add disabled=no mbps=1 name=stream1 id=3 packet-size=1450 pps=0 tx-template=packet-template-wg
    :delay 1
    /tool traffic-generator quick duration=4
    :delay 1

    :log info ("Starting WG $EndpointAddress")
    set $i endpoint-address=$EndpointAddress
    set $i disabled=no
  }
  :set ($Tx->[:tostr $i]) $LocalTx
  :set ($Rx->[:tostr $i]) $LocalRx
}

Настройки задания в планировщике

@wiktorbgu
Copy link
Author

Не встречал такого, даже с заворачиванием хендшейков в другой туннель счетчики ходят.
Версия ROS последняя?
А пробовали открыть порт входящий в брандмауэре для интерфейса WG?

@Cykooz
Copy link

Cykooz commented Nov 12, 2024

Прошивка 7.16.1.
До блокировки WG хендшейки нормально "бегали". Я даже ориентировался по ним, что что-то не так с тунелем.
Сейчас у меня ещё есть тунель внутри России, который не блокируется - там всё нормально с хендшейками, даже не смотря на то что один из peer-ов сидит за провайдерским NAT-ом с серым IP. Ничего специального, вроде открытия портов, я не делал для этого.
К тому же, как понима, порт в роутере нет смысла открывать, он автоматом должен быть открыт иначе как же WG будет работать. Но для проверки я разрешил в фаерволе input на порт, который слушает WG интерфейс. Трафик в нём идёт, но хендшейки не фиксируются.

@Cykooz
Copy link

Cykooz commented Nov 12, 2024

При этом параметры Rx и Tx в статистике пира тоже по нулям.

@wiktorbgu
Copy link
Author

У меня ощущение, что он даже и не работает, если даже трафик не считает) можем попробовать разобраться, в телегу закиньте скринов

@Cykooz
Copy link

Cykooz commented Nov 12, 2024

Трафик идёт, но его видно только в статистике WG интерфейса, а в пире аналогичная статистика по нулям. Специально traceroute-ом проверял, что запросы идут через WG, а не напрямую в интернет.

Sign up for free to join this conversation on GitHub. Already have an account? Sign in to comment