Настройка ip2net about zapret

[bol-van]

у меня сокращается с 750 до 550
список antizapret все время растет, я не знаю откуда они берут столько ip адресов и так быстро увеличивается он
если копать самому через get_reestr, то выходит в 10 раз меньше

[bol-van]

#define PCTMULT 3
#define PCTDIV 4

поставьте PCTMULT 2
будет значит 1/2 , чтобы занести всю подсетку
это что-то изменит ?

[dimqua]

750 до 550

Тысяч строк? Это при использовании списка антизапрета?

Уменьшился незначительно: 452573 строки, 6.1M. 1470103 IPs.

Если выставить 1/8 то 4.9M, 303023 строки и 4690352 IPs.

[dimqua]

я не знаю откуда они берут столько ip адресов

В выгрузке куча IP-адресов (в т.ч. 39 префиксов) без указания доменов. Если я правильно понимаю, то get_reestr.sh их не учитывает, а лишь резолвит домены, т.к. нацелен на обход блокировок по домену для http-протокола.

[bol-van]

да, get_reestr не учитывает
настройки сделаю как будет время

Мой текущий antizapret (27-AUG-2019):

zcat zapret-ip.txt.gz | wc -l
714267
ipset list zapret | wc -l
556393

[bol-van]

провайдеры блочат по разному
многие вообще забивают на Ip из реестра, если указан домен и http
они его через DPI прогоняют

[dimqua]

В общем, наверное, не стоит менять дефолты, иначе (по крайней мере при использовании текущего алгоритма) это приводит к существенному увеличению "лишних" IP в списках, при том, что размер уменьшается не так сильно.

Кстати, я правильно понимаю, что резолвинг доменов и ipset применяются для снижения нагрузки на систему? По сравнению с использованием только tpws и списка доменов РКН.

[bol-van]

да, ipset должен быть значительно быстрее, потому что не протаскиваем весь TCP через user mode процесс. только l3 фильтр в kernel

[dimqua]

А если использовать небольшой список доменов, то все равно (при использовании tpws) нагрузка высокая получается? Я просто пока не пробовал. :-)

[bol-van]

tpws в режиме hostlist предполагает пропуск всех соединений через него
поиск host - операция быстрая, там используется hash list
вся нагрузка в протаскивании всего соединения через user mode процесс
размер списка доменов роли не играет

[dimqua]

Да, в readme об этом написано, но меня смутило следующее:

При использовании больших списков, в том числе списка РКН, оцените объем RAM на роутере! Если после запуска tpws RAM под завязку или случаются oom, значит нужно отказаться от таких больших списков.

Вроде как противоречие же.

[bol-van]

В чем противоречие ? tpws хранит хэшированный список в RAM. он в несколько раз больше текстового файла со списком. на скорость это не влияет. подобно как select из огромной базы данных по index. на текущий момент проблема актуальна только на роутерах с <128 Mb RAM. Для всего остального это мелочь

[dimqua]

Да, тупить начал. :-) Спасибо за разъяснения.

После установки вопрос возник. У меня nfqws работает со стандартными опциями (--wsize=3 --hostspell=HOST) и для HTTPS-трафика, то есть без параметра split-pos, которого у него вообще нет. Так и должно быть?

[bol-van]

wsize заменяет split-pos

[dimqua]

@bol-van а почему вот тут указано -m multiport --sports 80,443, это правило и для для http необходимо? У меня и без него http-сайты открываются.

[dimqua]

Ан нет, понял, ошибся при тестировании.

[bol-van]

Хотелка реализована и добавлена поддержка ip6