--- date: 2026-07-17 tags: - zapret - zapret2 - nfqws2 - lua - lua-desync - desync - antidpi link: https://github.com/bol-van/zapret2/blob/master/docs/manual.md aliases: - lua-desync - Десинхронизация - Механизм --lua-desync img: --- # 🧨 Десинхронизация: флаг `--lua-desync` > [!info] О чём заметка > Обзор `--lua-desync` — главного механизма обхода DPI в [[Zapret2/Zapret2|Zapret 2]]: что это за флаг, как он вызывается для каждого пакета и какие бывают функции-стратегии. Это **заметка-хаб**: здесь общая картина и каталог функций со ссылками, а детальные аргументы каждой функции — в её собственной заметке ([[multisplit]], [[fake]] и т. д.). Устройство входных данных функции (`ctx`, `desync`, диссект, `track`) вынесено в [[структура desync и диссекта]]. Где `--lua-desync` стоит среди других полей — см. [[profile|профиль]] и [[preset|пресет]], а где вызов происходит в общем конвейере — [[схема обработки трафика]]. ## Что такое `--lua-desync` DPI (Deep Packet Inspection) блокирует соединения, распознавая в трафике сигнатуры — домен в SNI у TLS, `Host:` у HTTP. Чтобы обойти блокировку, пакеты нужно так изменить или дополнить, чтобы DPI не собрал корректную картину, а сервер-получатель — собрал. В Zapret 2 вся эта логика вынесена из C-ядра в Lua-функции (почему так — [[структура проекта]]), и подключаются они флагом `--lua-desync`. `--lua-desync` вызывает одну Lua-функцию **для каждого пакета**, прошедшего через [[filter|фильтры]] [[profile|профиля]]. Синтаксис: ```bash --lua-desync=<функция>[:параметр1=значение1[:параметр2=значение2]] ``` Флаг можно указать несколько раз — каждый вызов называется **инстансом**, и инстансы выполняются строго по порядку задания (порядок важен: сначала фейк, потом нарезка — не то же самое, что наоборот; см. [[последовательность аргументов]]). Параметры пишутся через двоеточие: `param=value` — со значением, `param` без значения = `true`. > [!note] Как это работает по шагам > Пакет проходит через фильтры [[profile|профиля]] (`--filter-tcp`, `--filter-l7`, [[hostlist|`--hostlist`]]) → если соответствует, вызывается Lua-функция инстанса → функция выполняет действие (отправляет [[fake|фейк]], разбивает пакет, модифицирует заголовки) → возвращает вердикт (`VERDICT_PASS`, `VERDICT_MODIFY`, `VERDICT_DROP`), который агрегируется по всей цепочке инстансов. --- ## 🔗 Что функция получает, что отдаёт и как связана с C-ядром Это раздел про **контракт** desync-функции: где она живёт, кто её вызывает, что подаётся ей на вход, что она возвращает и как это стыкуется с C-ядром `nfqws2`. Понимание этого контракта — ключ ко всем отдельным техникам ([[fake]], [[multisplit]], [[multidisorder]] и др.): все они устроены по одной схеме. ### Где desync-функция стоит в структуре проекта Zapret 2 состоит из двух половин (подробно — в [[структура проекта]]): быстрое **C-ядро** `nfqws2` и **Lua-код** с логикой обхода. desync-функции — это как раз Lua: они лежат в файле `zapret-antidpi.lua` (плюс базовые в `zapret-lib.lua`). Само C-ядро обхода не делает — оно только перехватывает, разбирает и отправляет пакеты, а *решение, что с пакетом сделать*, отдаёт в Lua. Момент вызова — предпоследняя стадия [[схема обработки трафика|конвейера обработки пакета]]. К этому времени C-ядро уже перехватило пакет из ядра ОС, разобрало его (диссекция), привязало к потоку (conntrack), определило тип пейлоада и выбрало [[profile|профиль]]. Дальше ядро идёт по **инстансам** профиля (каждый `--lua-desync=...` — один инстанс) строго по порядку и для каждого вызывает Lua-функцию. > [!note] Инстанс — это один вызов > Инстанс = один экземпляр вызова Lua-функции из профиля, заданный одним флагом `--lua-desync`. Одна и та же функция может быть вызвана несколько раз с разными параметрами — это разные инстансы. Порядок инстансов принципиален (см. [[последовательность аргументов]]). ### Сигнатура: два параметра на входе Каждая desync-функция объявляется с двумя аргументами: ```lua function fake(ctx, desync) -- пример: функция fake ``` - **`ctx`** — «контекст», непрозрачный мост к C-коду. Сам по себе он ничего не значит для чтения; его передают обратно в C-функции (отправка пакетов, cutoff), чтобы те знали, к какому пакету/очереди относится вызов. Грубо говоря, `ctx` — это «телефонная линия обратно в ядро». - **`desync`** — большая Lua-таблица со **всеми данными** обрабатываемого пакета и его потока. Это главный вход: из неё функция читает всё, что ей нужно. Полный разбор всех полей (`arg`, `dis`, `track`, reasm/replay и пр.) — в отдельной заметке [[структура desync и диссекта]]. > [!note] Проще говоря > `desync` — это «что за пакет и что мы про него знаем» (данные, которые C передал в Lua). `ctx` — это «как достучаться обратно до C, чтобы что-то отправить или отключиться». Первое читают, второе используют как ручку для команд. ### Что функция делает в середине Получив `desync`, инстанс может: - **читать** поля пакета и потока (диссект, тип пейлоада, счётчики conntrack, собранный reasm); - **создавать копии** текущего диссекта, менять в них поля (sequence number, TTL, флаги, payload) и **генерировать собственные** диссекты (например, фейковый ClientHello); - **отправлять** эти диссекты сырыми пакетами прямо в сеть — через C-функции вроде `rawsend_*` (именно тут используется `ctx`). Это происходит **немедленно**, ещё до того как функция вернёт вердикт; - **хранить состояние**: в самой таблице `desync` — для передачи данных следующим инстансам этого же пакета; в `desync.track.lua_state` — для данных, живущих между пакетами одного потока (эту таблицу C выдаёт одну и ту же на каждый пакет потока). ### Что функция отдаёт: два вида выхода У desync-функции, как и у [[multisplit]], два «выхода», и их важно различать. **1. Побочный эффект — уже отправленные пакеты.** Основную работу [[fake|фейка]] или [[multisplit|нарезки]] функция делает не через `return`, а вызовами отправки (`rawsend_*`) прямо посреди тела. К моменту `return` фейковые/нарезанные пакеты уже улетели в сеть. **2. Возвращаемое значение — вердикт оригинальному пакету.** Перехваченный пакет всё ещё ждёт решения. Функция возвращает одно из: | Вердикт | Что значит | |:--------|:-----------| | `VERDICT_PASS` | не делать с оригиналом ничего (пропустить как есть) | | `VERDICT_MODIFY` | в конце всей цепочки отправить **изменённое** содержимое диссекта | | `VERDICT_DROP` | выбросить оригинал (например, потому что данные уже ушли нарезанными) | | `nil` (без `return`) | бездействие — функция решила не вмешиваться | **Агрегация по цепочке.** Вердикты всех инстансов профиля объединяются по приоритету: `MODIFY` перебивает `PASS`, а `DROP` перебивает и `PASS`, и `MODIFY`. Достаточно одному инстансу вернуть `DROP` — оригинал будет выброшен, что бы ни вернули соседи (иначе, например, при нарезке сервер получил бы данные дважды). **Управляющий «выход» — cutoff.** Кроме вердикта функция может управлять своим будущим: `instance_cutoff` отключает этот инстанс от дальнейших пакетов потока по направлению, `lua_cutoff` отключает направление потока от всей Lua-обработки, а инстанс-[[оркестратор|оркестратор]] может вовсе взять управление остальной цепочкой на себя. Это способ сэкономить CPU и строить динамические сценарии (подробнее — [[схема обработки трафика]], стадия про cutoff). ### Связь C ↔ Lua одной картинкой - **Из C в Lua передаётся `desync`** — данные: диссект, conntrack, тип пейлоада, аргументы инстанса, replay-инфо. C уже сделал всю «тяжёлую» работу (перехват, разбор, отслеживание потока) и сложил результат в таблицу. - **Из Lua в C идут команды** — через `ctx`: отправить сырой пакет, испортить checksum, поставить cutoff. Плюс **вердикт** через `return` — что C сделать с оригиналом в конце. Такое разделение и есть главная идея Zapret 2: медленную логику обхода можно править в текстовых Lua-файлах без перекомпиляции C-ядра. --- ## 📦 **Доступные функции из `zapret-antidpi.lua`** Аргументы | Категория | Аргумент | Описание | | ----------- | ------------------------- | ---------------------------------------- | | Direction | dir | in \| out \| any | | Fooling | ip_ttl=N | TTL для IPv4 | | | ip6_ttl=N | TTL для IPv6 | | | ip_autottl=delta,min-max | Авто-определение TTL | | | ip6_autottl=delta,min-max | Авто-определение TTL для IPv6 | | | ip6_hopbyhop[=hex] | Добавить hop-by-hop заголовок | | | ip6_hopbyhop2[=hex] | Второй hop-by-hop | | | ip6_destopt[=hex] | Destopt заголовок | | | ip6_destopt2[=hex] | Второй destopt | | | ip6_routing[=hex] | Routing заголовок | | | ip6_ah[=hex] | Authentication заголовок | | | tcp_seq=N | Добавить N к tcp.th_seq | | | tcp_ack=N | Добавить N к tcp.th_ack | | | tcp_ts=N | Добавить N к timestamp | | | tcp_md5[=hex] | Добавить MD5 опцию | | | tcp_flags_set= | Установить TCP флаги | | | tcp_flags_unset= | Снять TCP флаги | | | tcp_ts_up | Переместить timestamp наверх | | | fool= | Кастомная функция fooling | | Reconstruct | badsum | Невалидная L4 checksum | | Rawsend | repeats | Сколько раз отправить пакет | | | ifout | Override исходящего интерфейса | | | fwmark | Override fwmark | | Payload | payload | Список разрешённых типов payload | | IP_ID | ip_id | seq\|rnd\|zero\|none | | | ip_id_conn | Сохранять ip_id между пакетами | | IPfrag | ipfrag[=func] | Функция фрагментации (default: ipfrag2) | | | ipfrag_disorder | Отправить фрагменты в обратном порядке | | | ipfrag_pos_udp | Позиция UDP фрагмента (default: 8) | | | ipfrag_pos_tcp | Позиция TCP фрагмента (default: 32) | | | ipfrag_next | Next protocol для второго фрагмента IPv6 | ### Базовые: | Функция | Описание | |---------|----------| | `drop` | Отбросить пакет | | `send` | Отправить пакет как есть (с возможной модификацией заголовков) | | `pktmod` | Модифицировать заголовки пакета (fooling) | | Функция | Std args | Специфичные args | |---------|---------------------------------------------------------|------------------| | drop | direction, payload | - | | send | direction, fooling, ip_id, ipfrag, rawsend, reconstruct | - | | pktmod | direction, fooling, ip_id | - | ### HTTP модификации: | Функция | Описание | |---------|----------| | `http_domcase` | Изменить регистр домена (HoSt) | | `http_hostcase` | Изменить регистр заголовка Host | | `http_methodeol` | Модифицировать конец строки метода | ### TCP сплит и disorder: | Функция | Описание | |---------|----------| | [[multisplit]] | Разбить пакет на несколько TCP сегментов | | [[multidisorder]] | Разбить + отправить в обратном порядке | | [[tcpseg]] | TCP сегментация | | Функция | Std args | Специфичные args | |---------------|------------------------------------------------------------------|------------------------------------------------------------------------------------| | multisplit | direction, payload, fooling, ip_id, rawsend, reconstruct, ipfrag | pos= (default: "2"), seqovl=N, seqovl_pattern=, blob=, nodrop | | multidisorder | direction, payload, fooling, ip_id, rawsend, reconstruct, ipfrag | pos= (default: "2"), seqovl=N, seqovl_pattern=, blob=, nodrop | | tcpseg | direction, payload, fooling, ip_id, rawsend, reconstruct, ipfrag | pos= (обязательный, 2 позиции), seqovl=N, seqovl_pattern=, blob= | ### Fake-атаки: | Функция | Описание | | --------------- | ----------------------------- | | [[fake]] | Отправить fake пакет | | [[fakedsplit]] | Fake + сплит оригинала | | [[fakeddisorder]] | Fake + disorder оригинала | | [[hostfakesplit]] | Fake только для хоста + сплит | | Функция | Std args | Специфичные args | |---------------|------------------------------------------------------------------|---------------------------------------------------------------------------------------------------------------------------------------| | fake | direction, payload, fooling, ip_id, rawsend, reconstruct, ipfrag | blob= (обязательный), tls_mod= (rnd,rndsni,sni=,dupsid,padencap) | | fakedsplit | direction, payload, fooling, ip_id, rawsend, reconstruct | pos= (default: "2"), nofake1, nofake2, nofake3, nofake4, pattern=, seqovl=N, seqovl_pattern=, blob=, nodrop | | fakeddisorder | direction, payload, fooling, ip_id, rawsend, reconstruct | pos= (default: "2"), nofake1-4, pattern=, seqovl=N, seqovl_pattern=, blob=, nodrop | | hostfakesplit | direction, payload, fooling, ip_id, rawsend, reconstruct | host= (шаблон хоста), midhost=, nofake1, nofake2, disorder_after=, blob=, nodrop | ### SYN-атаки: | Функция | Описание | |---------|----------| | [[syndata]] | Отправить SYN с данными | | `synack` | Работа с SYN/ACK | | `synack_split` | Сплит по SYN/ACK | ### Window size: | Функция | Описание | |---------|----------| | `wsize` | Изменить window size на SYN-ACK | | `wssize` | Изменить window size на всех пакетах | ### Прочее: | Функция | Описание | |---------|----------| | `rst` | Отправить RST | | `udplen` | Изменить длину UDP | | `dht_dn` | DHT domain name injection | ### Из `zapret-lib.lua`: | Функция | Описание | |---------|----------| | `pass` | Ничего не делать (для отладки) | | `pktdebug` | Вывести содержимое desync в лог | | `argdebug` | Вывести аргументы в лог | | `posdebug` | Вывести позиции conntrack | | `luaexec` | Выполнить произвольный Lua код | --- ## 💡 **Примеры использования** ### Простой fake: ```bash --lua-desync=fake:blob=fake_default_tls ``` ### Fake с параметрами: ```bash --lua-desync=fake:blob=fake_default_tls:tcp_md5:ip_ttl=3:repeats=5 ``` ### Multisplit: ```bash --lua-desync=multisplit:pos=1,midsld ``` ### Комбинация функций: ```bash --lua-desync=fake:blob=fake_default_tls:tcp_md5 \ --lua-desync=multisplit:pos=1,midsld ``` ### С фильтром payload: ```bash --payload=tls_client_hello --lua-desync=fake:blob=fake_default_tls \ --payload=http_req --lua-desync=fake:blob=fake_default_http ``` --- ## 📊 **Структура параметров** ```bash --lua-desync=функция:param1=val1:param2=val2:param3 ─────────┬───────────────────────────── │ параметры через двоеточие ``` **Типы параметров:** - `param=value` — параметр со значением - `param` — булевый параметр (без значения = true) --- ## 🔍 Что получает функция — кратко Второй параметр — таблица `desync` — это весь вход функции. Коротко её ключевые части: - **`desync.arg`** — аргументы **этого** инстанса (всё после двоеточий в `--lua-desync`); значения приходят строками, флаг без значения = `""` (в Lua истинно). - **`desync.dis`** — диссект: разобранный на поля текущий пакет (`ip`/`ip6`, `tcp`/`udp`, `payload`). - **`desync.l7payload`** / **`desync.outgoing`** — тип содержимого пакета и направление. - **`desync.track`** — данные потока из conntrack (может отсутствовать!); внутри `track.lua_state` — память, живущая между пакетами потока. - **`desync.reasm_data`** / **`decrypt_data`** + поля `replay*` — собранные из нескольких пакетов пейлоады. Увидеть полное содержимое `desync` на конкретном пакете можно инстансом `pktdebug`. > [!tip] Полный справочник по всем полям — в отдельной заметке > Прототип функции, все вердикты (включая `VERDICT_PRESERVE_NEXT`), полная структура `desync`, диссекта (`ip`/`ip6`/`tcp`/`udp`/`icmp`, exthdr, tcp options), `track` со счётчиками, механика reasm/replay, работа с 32-битными sequence и обработка ICMP/raw IP — всё это подробно разобрано в **[[структура desync и диссекта]]**. --- ## 🎯 **Полный пример** ```bash winws2 ^ --wf-tcp-out=80,443 ^ --lua-init=@zapret-lib.lua --lua-init=@zapret-antidpi.lua ^ --filter-tcp=80 --filter-l7=http ^ --payload=http_req --lua-desync=fake:blob=fake_default_http:tcp_md5 ^ --lua-desync=multisplit:pos=method+2 ^ --new ^ --filter-tcp=443 --filter-l7=tls ^ --payload=tls_client_hello --lua-desync=fake:blob=fake_default_tls:tcp_md5:tls_mod=rnd,rndsni ^ --lua-desync=multidisorder:pos=1,midsld ``` --- ## ✅ **Итог** **`--lua-desync`** — это сердце nfqws2: - 🔹 Вызывает Lua функцию для каждого пакета - 🔹 Передаёт параметры через двоеточие - 🔹 Можно указывать несколько раз (выполняются последовательно) - 🔹 Работает с фильтрами [[payload|`--payload`]], [[out-range|`--out-range`]], `--in-range` - 🔹 Можно писать свои функции ## 📋 **Полная таблица функций `--lua-desync`** ### 🔹 **Базовые функции (zapret-lib.lua)** | Функция | Описание | Параметры | |---------|----------|-----------| | `pass` | Ничего не делает (для отладки) | — | | `pktdebug` | Выводит содержимое desync в лог | — | | `argdebug` | Выводит аргументы функции в лог | — | | `posdebug` | Выводит позиции conntrack в лог | — | | `luaexec` | Выполняет произвольный Lua код | `code=` | --- ### 🔹 **Функции из zapret-antidpi.lua** #### **Базовые действия** | Функция | Аналог nfqws1 | Описание | Параметры | |---------|---------------|----------|-----------| | `drop` | — | Отбросить пакет | `dir`, `payload` | | `send` | `--dup` | Отправить копию пакета | `dir`, fooling, `ip_id`, `ipfrag`, `rawsend`, `reconstruct` | | `pktmod` | `--orig` | Модифицировать текущий пакет | `dir`, fooling, `ip_id` | --- #### **HTTP модификации** | Функция | Аналог nfqws1 | Описание | Параметры | |---------|---------------|----------|-----------| | `http_domcase` | `--domcase` | Изменить регистр домена (HoSt) | `dir` | | `http_hostcase` | `--hostcase` | Изменить регистр заголовка Host | `dir`, `spell=` (4 символа) | | `http_methodeol` | `--methodeol` | Модифицировать EOL метода | `dir`, `method=cr\|lf\|crlf\|lfcr`, `no_space` | --- #### **SYN-атаки** | Функция | Аналог nfqws1 | Описание | Параметры | | -------------- | ---------------------- | ----------------------- | ---------------------------------------------------------------------------- | | `syndata` | `--dpi-desync=syndata` | Отправить SYN с данными | `blob=`, `tls_mod=`, fooling, `rawsend`, `reconstruct`, `ipfrag` | | `synack` | — | Отправить SYN-ACK | fooling, `rawsend`, `reconstruct`, `ipfrag` | | `synack_split` | — | Сплит по SYN-ACK | `pos=`, `seqovl=N`, `seqovl_pattern=` | --- #### **Window size** | Функция | Аналог nfqws1 | Описание | Параметры | |---------|---------------|----------|-----------| | `wsize` | `--wssize` | Изменить window size на SYN-ACK | `wsize=N`, `scale=N` | | `wssize` | `--wssize` | Изменить window size на всех пакетах | `wsize=N`, `scale=N` | --- #### **RST** | Функция | Аналог nfqws1 | Описание | Параметры | |---------|---------------|----------|-----------| | `rst` | `--dpi-desync=rst` | Отправить RST | `dir`, `payload`, fooling, `ip_id`, `rawsend`, `reconstruct`, `ipfrag`, `rstack` | --- #### **Fake-атаки** | Функция | Аналог nfqws1 | Описание | Параметры | |---------|---------------|----------|-----------| | `fake` | `--dpi-desync=fake` | Отправить fake пакет | `blob=` *(обязательный)*, `tls_mod=`, `dir`, `payload`, fooling, `ip_id`, `rawsend`, `reconstruct`, `ipfrag` | --- #### **Сплит и disorder** | Функция | Аналог nfqws1 | Описание | Параметры | |---------|---------------|----------|-----------| | `multisplit` | `--dpi-desync=multisplit` | Разбить на TCP сегменты | `pos=`, `seqovl=N`, `seqovl_pattern=`, `blob=`, `nodrop` | | `multidisorder` | `--dpi-desync=multidisorder` | Разбить + обратный порядок | `pos=`, `seqovl=`, `seqovl_pattern=`, `blob=`, `nodrop` | | `tcpseg` | — | TCP сегментация по диапазону | `pos=` *(обязательный)*, `seqovl=N`, `seqovl_pattern=`, `blob=` | --- #### **Fake + сплит комбинации** | Функция | Аналог nfqws1 | Описание | Параметры | |---------|---------------|----------|-----------| | `hostfakesplit` | `--dpi-desync=hostfakesplit` | Fake только для хоста + сплит | `host=