diff --git a/.github/workflows/public-galaxy.yml b/.github/workflows/public-galaxy.yml index 271c666..8102858 100644 --- a/.github/workflows/public-galaxy.yml +++ b/.github/workflows/public-galaxy.yml @@ -16,4 +16,4 @@ jobs: uses: robertdebock/galaxy-action@1.2.1 with: galaxy_api_key: ${{ secrets.galaxy_api_key }} - git_branch: role + git_branch: 0.1.3 diff --git a/README-old.md b/README-old.md deleted file mode 100644 index b02f29a..0000000 --- a/README-old.md +++ /dev/null @@ -1,160 +0,0 @@ -# Описание -Shell скрипт и playbook для Ansible. Автоматизируют настройку роутера на OpenWrt для роутинга по доменам и спискам IP-адресов. - -Полное описание происходящего: [Статья на хабре](https://habr.com/ru/articles/767464/) - -[Копия в моём блоге](https://itdog.info/tochechnyj-obhod-blokirovok-po-domenam-na-routere-s-openwrt/) - -## Скрипт для установки -Запуск без скачивания -``` -sh <(wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-install.sh) -``` - -Подробности описаны в статье указаной выше. - -## Ansible -Для взаимодействия c OpenWRT используется модуль [gekmihesg/ansible-openwrt](https://github.com/gekmihesg/ansible-openwrt) - -Домены берутся из [отсюда](https://github.com/itdoginfo/allow-domains). Списки IP-адресов берутся с [antifilter.download](https://antifilter.download/) - -Тестировалось с -- Ansible 2.10.8 - -- OpenWrt 21.02.7 -- OpenWrt 22.03.5 -- OpenWrt 23.05.2 - -### Выбор туннеля -- Wireguard настраивается автоматически через переменные -- OpenVPN устанавливается пакет, настраивается роутинг и зона. Само подключение (скопировать конфиг и перезапустить openvpn) нужно [настроить вручную](https://itdog.info/nastrojka-klienta-openvpn-na-openwrt/) -- Sing-box устанавливает пакет, настраивается роутинг и зона. Также кладётся темплейт в `/etc/sing-box/config.json`. Нужно настроить `config.json` и сделать `service sing-box restart` -Не работает под 21ой версией. Поэтому при его выборе playbook выдаст ошибку. -Для 22ой версии нужно установить пакет вручную. -- tun2socks настраивается только роутинг и зона. Всё остальное нужно настроить вручную - -Для **tunnel** четыре возможных значения: -- wg -- openvpn -- singbox -- tun2socks - -В случае использования WG обязательно нужно задать: - -**wg_server_address** - ip/url wireguard сервера - -**wg_private_key**, **wg_public_key** - ключи для "клиента" - -**wg_client_address** - адрес роутера в wg сети - -Если ваш wg сервер использует preshared_key, то раскомментируйте **wg_preshared_key** и задайте ключ - -Остальное можно менять, в зависимости от того, как настроен wireguard сервер - -**wg_access** и **wg_access_network** для доступа к роутеру через WG. Переменная wg_access_network должна иметь значение подсети, например 192.168.10.0/24. - -### Шифрование DNS -Если ваш провайдер не подменяет DNS-запросы, ничего устанавливать не нужно. - -Для **dns_encrypt** три возможных значения: -- dnscrypt -- stubby -- false/закомментировано - пропуск, ничего не устанавливается и не настраивается - -### Выбор страны - Для **county** три [возможных значения](https://github.com/itdoginfo/allow-domains): -- russia-inside -- russia-outside -- ukraine - -### - -### Списки IP-адресов и домены -Переменные **list_** обозначают, какие списки нужно установить. true - установить, false - не устанавливать и удалить, если уже есть - -Я советую использовать только домены -``` - list_domains: true -``` -Если вам требуются списки IP-адресов, они также поддерживаются. - -При использовании **list_domains** нужен пакет dnsmasq-full. - -Для 23.05 dnsmasq-full устанавливается автоматически. - -Для OpenWrt 22.03 версия dnsmasq-full должна быть => 2.87, её нет в официальном репозитории, но можно установить из dev репозитория. Если это условие не выполнено, плейбук завершится с ошибкой. - -[Инструкция для OpenWrt 22.03](https://t.me/itdoginf/12) - -[Инструкция для OpenWrt 21.02](https://t.me/itdoginfo/8) - -### Использование - -Установить модуль gekmihesg/ansible-openwrt - -``` -ansible-galaxy install gekmihesg.openwrt -``` - -Скачать playbook и темплейты в /etc/ansible - -``` -cd /etc/ansible -git clone https://github.com/itdoginfo/domain-routing-openwrt -mv domain-routing-openwrt/* . -rm -rf domain-routing-openwrt README.md -``` - -Добавить роутер в файл hosts в группу openwrt -``` -[openwrt] -192.168.1.1 -``` - -Подставить переменные в **hivpn.yml** - -Для работы Ansible c OpenWrt необходимо, чтоб было выполнено одно из условий: -- Отсутствие пароля для root (не рекомендуется) -- Настроен доступ через публичный SSH-ключ в [конфиге dropbear](https://openwrt.org/docs/guide-user/security/dropbear.public-key.auth) - -Запуск playbook -``` -ansible-playbook playbooks/hivpn.yml --limit 192.168.1.1 -``` - -После выполнения playbook роутер сразу начнёт роутить необходмые домены в туннель/прокси. - -Если у вас были ошибки и они исправились при повторном запуске playbook, но при этом роутинг не заработал, сделайте рестарт сети и скрипта: -``` -service network restart -service getdomains start -``` - -# Скрипт для проверки конфигурации - -Написан для OpenWrt 23.05 и 22.03. На 21.02 работает только половина проверок. - -[x] - не обязательно означает, что эта часть не работает. Но это повод для ручной проверки. - -Есть функционал сохранения вывода скрипта, конфигурации сети и firewall в файл. Все чувствительные переменные при этом затираются. - -### Запуск -``` -wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh -``` - -### Запустить с проверкой на подмену DNS -``` -wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh -s dns -``` - -### Запустить с созданием dump -``` -wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh -s dump -``` - -Поиск ошибок вручную: https://habr.com/ru/post/702388/ - ---- - -[Telegram-канал с обновлениями](https://t.me/+lW1HmBO_Fa00M2Iy) \ No newline at end of file diff --git a/README.EN.md b/README.EN.md new file mode 100644 index 0000000..4b16213 --- /dev/null +++ b/README.EN.md @@ -0,0 +1,107 @@ +Domain routing OpenWrt +========= + +Configuring domain routing on Openwrt router. + + +Role Variables +-------------- + +Lists +``` + country: russia-inside|russia-outside|ukraine + list_domains: true|falase + + list_subnet: false|true + list_ip: false|true + list_community: false|true +``` + +Tunnel +``` + tunnel: wg|openvpn|singbox|tun2socks +``` + +DoH or DoT +``` + dns_encrypt: false|dnscrypt|stubby +``` + +Nano package +``` + nano: true|false +``` + +Acces from wg network to router +``` + wg_access: false|true + wg_access_network: 192.168.80.0/24 (for example) +``` + +If wireguard is used: +``` + wg_server_address: wg-server-host + wg_private_key: privatekey-client + wg_public_key: publickey-client + wg_preshared_key: presharedkey-client + wg_client_port: 51820 + wg_client_address: ip-client + + wg_access: true + wg_access_network: wg-network +``` + +Dependencies +------------ + +[gekmihesg.openwrt](https://github.com/gekmihesg/ansible-openwrt) + + +Example Playbook +---------------- + +The inventory file must contain the group `[openwrt]` where your router will be located. + + +Wireguard, only domains, stubby, Russia, acces from wg network, host 192.168.1.1 +``` +- hosts: 192.168.1.1 + remote_user: root + + roles: + - domain-routing-openwrt + + vars: + tunnel: wg + dns_encrypt: stubby + country: russia-inside + + wg_access: true + wg_server_address: wg-server-host + wg_private_key: privatekey-client + wg_public_key: publickey-client + wg_preshared_key: presharedkey-client + wg_listen_port: 51820 + wg_client_port: 51820 + wg_client_address: ip-client + wg_access_network: wg-network +``` + +Sing-box, stubby, Russia +``` +- hosts: 192.168.1.1 + remote_user: root + + roles: + - domain-routing-openwrt + + vars: + tunnel: singbox + dns_encrypt: stubby + country: russia-inside +``` + +License +------- + +GNU General Public License v3.0 \ No newline at end of file diff --git a/README.md b/README.md index 9d15fe2..ecd2fa4 100644 --- a/README.md +++ b/README.md @@ -1,78 +1,61 @@ -Domain routing OpenWrt -========= +[English role README](https://github.com/itdoginfo/domain-routing-openwrt/blob/role/README.EN.md) -Configuring domain routing on Openwrt router. +# Описание +Shell скрипт и playbook для Ansible. Автоматизируют настройку роутера на OpenWrt для роутинга по доменам и спискам IP-адресов. +Полное описание происходящего: +- [Статья на хабре](https://habr.com/ru/articles/767464/) +- [Копия в моём блоге](https://itdog.info/tochechnyj-obhod-blokirovok-po-domenam-na-routere-s-openwrt/) -Role Variables --------------- - -Lists +# Скрипт для установки ``` - country: russia-inside|russia-outside|ukraine - list_domains: true|falase - - list_subnet: false|true - list_ip: false|true - list_community: false|true +sh <(wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-install.sh) ``` -Tunnel -``` - tunnel: wg|openvpn|singbox|tun2socks -``` +## Скрипт для проверки конфигурации +Написан для OpenWrt 23.05 и 22.03. На 21.02 работает только половина проверок. -DoH or DoT -``` - dns_encrypt: false|dnscrypt|stubby -``` +[x] - не обязательно означает, что эта часть не работает. Но это повод для ручной проверки. -Nano package +### Запуск ``` - nano: true|false +wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh ``` -Acces from wg network to router +### Запустить с проверкой на подмену DNS ``` - wg_access: false|true +wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh -s dns ``` -If wireguard is used: +### Запустить с созданием dump +Все чувствительные переменные затираются. + ``` - wg_server_address: wg-server-host - wg_private_key: privatekey-client - wg_public_key: publickey-client - #wg_preshared_key: presharedkey-client - wg_client_port: 51820 - wg_client_address: ip-client - wg_access_network: wg-network +wget -O - https://raw.githubusercontent.com/itdoginfo/domain-routing-openwrt/master/getdomains-check.sh | sh -s dump ``` -Dependencies ------------- +Поиск ошибок вручную: https://habr.com/ru/post/702388/ -[gekmihesg.openwrt](https://github.com/gekmihesg/ansible-openwrt) - - -Example Playbook ----------------- - -The inventory file must contain the group `[openwrt]` where your router will be located. +# Ansible +Установить роль +``` +ansible-galaxy role install itdoginfo.domain_routing_openwrt +``` +Примеры playbooks -Wireguard, only domains, stubby, Russia, acces from wg network, host 192.168.1.1 +Wireguard, only domains, stubby, Russia, acces from wg network (примерное значение 192.168.80.0/24), host 192.168.1.1 ``` - hosts: 192.168.1.1 remote_user: root roles: - - domain-routing-openwrt + - itdoginfo.domain_routing_openwrt vars: tunnel: wg dns_encrypt: stubby country: russia-inside - wg_access: true wg_server_address: wg-server-host wg_private_key: privatekey-client @@ -81,6 +64,8 @@ Wireguard, only domains, stubby, Russia, acces from wg network, host 192.168.1.1 wg_listen_port: 51820 wg_client_port: 51820 wg_client_address: ip-client + + wg_access: true wg_access_network: wg-network ``` @@ -90,7 +75,7 @@ Sing-box, stubby, Russia remote_user: root roles: - - domain-routing-openwrt + - itdoginfo.domain_routing_openwrt vars: tunnel: singbox @@ -98,7 +83,112 @@ Sing-box, stubby, Russia country: russia-inside ``` -License -------- +В inventory файле роутер обязательно должен быть в группе `[openwrt]` +``` +[openwrt] +192.168.1.1 +``` + +Для работы Ansible c OpenWrt необходимо, чтоб было выполнено одно из условий: +- Отсутствие пароля для root (не рекомендуется) +- Настроен доступ через публичный SSH-ключ в [конфиге dropbear](https://openwrt.org/docs/guide-user/security/dropbear.public-key.auth) + +После выполнения playbook роутер сразу начнёт роутить необходмые домены в туннель/прокси. + +Если у вас были ошибки и они исправились при повторном запуске playbook, но при этом роутинг не заработал, сделайте рестарт сети и скрипта: +``` +service network restart +service getdomains start +``` + +Тестировалось с +- Ansible 2.10.8 +- OpenWrt 21.02.7 +- OpenWrt 22.03.5 +- OpenWrt 23.05.2 + +## Выбор туннеля +- Wireguard настраивается автоматически через переменные +- OpenVPN устанавливается пакет, настраивается роутинг и зона. Само подключение (скопировать конфиг и перезапустить openvpn) нужно [настроить вручную](https://itdog.info/nastrojka-klienta-openvpn-na-openwrt/) +- Sing-box устанавливает пакет, настраивается роутинг и зона. Также кладётся темплейт в `/etc/sing-box/config.json`. [Нужно настроить](https://habr.com/ru/articles/767458/) `config.json` и сделать `service sing-box restart` +Не работает под 21ой версией. Поэтому при его выборе playbook выдаст ошибку. +Для 22ой версии нужно установить пакет вручную. +- tun2socks настраивается только роутинг и зона. Всё остальное нужно настроить вручную + +Для **tunnel** четыре возможных значения: +- wg +- openvpn +- singbox +- tun2socks + +В случае использования WG: +``` + wg_server_address: wg-server-host + wg_private_key: privatekey-client + wg_public_key: publickey-client + wg_preshared_key: presharedkey-client + wg_client_port: 51820 + wg_client_address: ip-client +``` + +Если ваш wg сервер не использует `preshared_key`, то просто не задавайте её. + +**wg_access** и **wg_access_network** для доступа к роутеру через WG. Переменная wg_access_network должна иметь значение подсети, например 192.168.10.0/24. +``` + wg_access_network: wg-network + wg_access: true +``` + +## Шифрование DNS +Если ваш провайдер не подменяет DNS-запросы, ничего устанавливать не нужно. + +Для **dns_encrypt** три возможных значения: +- dnscrypt +- stubby +- false/закомментировано - пропуск, ничего не устанавливается и не настраивается + +## Выбор страны +Выбор списка доменов. +Для **county** три [возможных значения](https://github.com/itdoginfo/allow-domains): +- russia-inside +- russia-outside +- ukraine + +## Списки IP-адресов +Списки IP-адресов берутся с [antifilter.download](https://antifilter.download/) +Переменные **list_** обозначают, какие списки нужно установить. true - установить, false - не устанавливать и удалить, если уже есть + +Доступные переменные +``` + list_domains: true + list_subnet: false + list_ip: falses + list_community: false +``` + +Я советую использовать только домены +``` + list_domains: true +``` +Если вам требуются списки IP-адресов, они также поддерживаются. + +При использовании **list_domains** нужен пакет dnsmasq-full. + +Для 23.05 dnsmasq-full устанавливается автоматически. + +Для OpenWrt 22.03 версия dnsmasq-full должна быть => 2.87, её нет в официальном репозитории, но можно установить из dev репозитория. Если это условие не выполнено, плейбук завершится с ошибкой. + +[Инструкция для OpenWrt 22.03](https://t.me/itdoginf/12) + +[Инструкция для OpenWrt 21.02](https://t.me/itdoginfo/8) + +## Текстовый редактор nano +Устанавливается по умолчанию +Можно выключить +``` + nano: false +``` + +--- -GNU General Public License v3.0 \ No newline at end of file +[Telegram-канал с обновлениями](https://t.me/+lW1HmBO_Fa00M2Iy) \ No newline at end of file diff --git a/meta/main.yml b/meta/main.yml index d147668..a88247b 100644 --- a/meta/main.yml +++ b/meta/main.yml @@ -6,7 +6,7 @@ galaxy_info: description: Configuring domain routing on Openwrt router issue_tracker_url: https://github.com/itdoginfo/domain-routing-openwrt/issues license: GPL-3.0 - min_ansible_version: 2.10.8 + min_ansible_version: 2.10.7 platforms: - name: OpenWrt galaxy_tags: