🧯 Фильтры профиля в Zapret 2

О чём заметка

Что такое фильтры профиля в Zapret 2, как по ним выбирается, какой профиль будет обрабатывать пакет, и какие бывают фильтры: по версии IP, портам, ICMP, номеру IP-протокола, L7-протоколу, спискам IP/доменов, а также внутрипрофильные dir/payload. Не путать с начальными фильтрами захвата nftables — те решают, какой трафик вообще попадёт в nfqws2, а эти — что с ним делать дальше. Где выбор профиля стоит в общем конвейере, см. схема обработки трафика.

TL;DR

• Профиль = набор фильтров (кому он адресован) + действия (--lua-desync). Профили разделяются флагом --new.
• Пакет проверяется по профилям строго по порядку, сверху вниз; при первом совпадении фильтров выбирается этот профиль, поиск прекращается. Не подошёл никто — берётся скрытый профиль по умолчанию no_action (ничего не делает; подробнее — exclusions).
• Внутри одного профиля все фильтры работают по логике И (пакет должен пройти все).
• Фильтры: --filter-l3 (версия IP), --filter-tcp/--filter-udp (порты), --filter-icmp (тип/код), --filter-ipp (номер IP-протокола), --filter-l7 (протокол потока), плюс списки ipset и hostlist.
• Почти все фильтры принимают несколько значений через запятую, а ~ означает инверсию.

---

Что такое фильтр профиля

Профиль в Zapret 2 состоит из двух половин: фильтры — кому этот профиль адресован, и действия (--lua-desync-инстансы) — что делать с подошедшими пакетами. Фильтры отвечают на вопрос «этот пакет — мой?».

Это не фильтры захвата WinDivert/nftables

Есть два разных уровня отбора. Сначала фильтр захвата (--wf-* на Windows, правила nftables/iptables на Linux) решает, какие пакеты вообще «завернуть» из ядра в nfqws2 — это грубое сито ради экономии. И только потом фильтры профиля (эта заметка) выбирают, какой именно профиль и стратегия обработают уже захваченный пакет. Если пакет не прошёл фильтр захвата, до профилей он даже не дойдёт.

Как выбирается профиль

Профили в командной строке разделяются флагом --new. Порядок принципиален:

1. Пакет проверяется по профилям сверху вниз, от первого к последнему.
2. При первом же совпадении всех фильтров профиля выбирается этот профиль, и дальнейший поиск прекращается.
3. Если не подошёл ни один профиль — применяется скрытый профиль по умолчанию no_action (служебный номер 0): движок сам дописывает его последним в список при запуске, действий в нём нет, поэтому с пакетом ничего не происходит (подробнее о нём — в заметке об исключениях).

Внутри одного профиля несколько разных фильтров объединяются логикой И: пакет должен удовлетворить их всем одновременно (например, --filter-tcp=443 и --filter-l7=tls). А вот несколько значений внутри одного фильтра — это логика ИЛИ (--filter-tcp=80,443 — порт 80 или 443).

Выбранный профиль кэшируется

Чтобы не искать профиль заново на каждый пакет, nfqws2 запоминает выбор в записи потока (conntrack). Пересмотр возможен максимум дважды за поток — при распознавании L7-протокола и при обнаружении имени хоста (подробнее — схема обработки трафика).

---

Фильтры профиля

Ниже — все фильтры выбора профиля. Почти все принимают список значений через запятую и поддерживают инверсию (~ перед значением — «всё, кроме»), а * означает «любое».

Фильтр	Что отбирает	Синтаксис
--filter-l3	версия IP-протокола	ipv4 или ipv6 (можно оба через запятую)
--filter-tcp	порты TCP	[~]port[-port] или *, через запятую
--filter-udp	порты UDP	[~]port[-port] или *, через запятую
--filter-icmp	тип и код ICMP	type[:code] или *, через запятую
--filter-ipp	номер «сырого» IP-протокола	proto или *, через запятую
--filter-l7	протокол потока (L6/L7)	proto[,proto,…]
--filter-ssid	имя Wi-Fi-сети (не на всех платформах)	ssid[,ssid,…]

--filter-l3 — версия IP

Отбирает пакеты по версии IP-протокола.

--filter-l3=ipv4           # только IPv4
--filter-l3=ipv6           # только IPv6
--filter-l3=ipv4,ipv6      # оба (эквивалент «не фильтровать по версии»)

--filter-tcp и --filter-udp — порты

Отбирают по TCP- или UDP-портам. Фильтруется и порт источника, и порт назначения. Поддерживаются: одиночный порт, диапазон port1-port2, инверсия ~port, и * (все порты). Несколько значений — через запятую.

--filter-tcp=80,443        # порт 80 или 443
--filter-tcp=1000-2000     # диапазон 1000–2000
--filter-tcp=~443          # все TCP-порты, КРОМЕ 443
--filter-tcp=*             # все TCP-порты
--filter-udp=443           # QUIC (UDP/443)

Указание только TCP отключает UDP (и наоборот)

Если в профиле задан --filter-tcp, но нет --filter-udp, то UDP этим профилем не обрабатывается вовсе (и симметрично наоборот). Чтобы профиль работал с обоими транспортами, укажите оба фильтра (при необходимости с *).

--filter-icmp — тип и код ICMP

Отбирает ICMP-пакеты по типу и, опционально, коду: формат type[:code]. Если код не указан — подходит любой код этого типа. Значения — через запятую, * — любой ICMP.

--filter-icmp=3            # ICMP type 3 (destination unreachable), любой code
--filter-icmp=3:4,11       # type 3 code 4, или type 11 (любой code)
--filter-icmp=*            # любой ICMP

--filter-ipp — номер IP-протокола (raw IP)

Отбирает пакеты по номеру IP-протокола для «сырых» протоколов, которые не являются TCP/UDP/ICMP (см. про raw IP в структура desync и диссекта). Значения — номера протоколов через запятую или *.

--filter-ipp=47            # GRE (протокол 47)
--filter-ipp=50,51         # ESP и AH (IPsec)
--filter-ipp=*             # любой raw IP-протокол

--filter-l7 — протокол потока

Отбирает по протоколу потока — ярлыку, который nfqws2 вешает на всё соединение, распознав его сигнатурно (http, tls, quic, wireguard, mtproto, dns, stun, discord, dht, xmpp, dtls, bt, utp_bt). Плюс спецзначения: all — любой, known — любой распознанный (не empty/unknown), unknown — нераспознанный.

--filter-l7=tls            # только TLS/HTTPS
--filter-l7=tls,http       # TLS или HTTP
--filter-l7=quic           # только QUIC (HTTP/3)
--filter-l7=known          # любой распознанный протокол

Протокол потока vs тип payload

--filter-l7 смотрит на протокол всего соединения, а не на тип отдельного пакета. Разница между «протоколом потока» и «типом payload конкретного пакета», полная таблица распознаваемых протоколов и особые ICMP-типы (ipv4/ipv6/icmp) подробно разобраны в payload — чтобы не дублировать, здесь только суть.

--filter-ssid — Wi-Fi-сеть

Ограничивает профиль конкретными Wi-Fi-сетями по их SSID (доступно не на всех платформах). Список — через запятую.

--filter-ssid=MyHomeWiFi,OfficeNetwork

---

Списки IP и доменов

Кроме фильтров по заголовкам, профиль отбирают по спискам адресов и доменов — ipset (списки IP) и hostlist (списки доменов). У обоих есть исключающие варианты --hostlist-exclude/--ipset-exclude («профиль срабатывает для всех, кроме…») — именно на них строятся исключения в пресетах. Полное описание списков встроено ниже.

ipset

🎯 Фильтры по IP адресам

6. --ipset - Включающий IP фильтр

Синтаксис:

--ipset=<filename>

Параметры:

• filename - путь к файлу с IP адресами/подсетями
• Формат файла: один IP/CIDR на строку
• Поддержка IPv4 и IPv6
• Поддержка gzip сжатия
• Можно указывать несколько раз

Формат файла:

192.168.1.0/24
10.0.0.1
2001:db8::/32

Примеры:

--ipset=/path/to/iplist.txt
--ipset=/path/to/list1.txt.gz --ipset=/path/to/list2.txt

---

7. --ipset-ip - Фиксированный список IP

Синтаксис:

--ipset-ip=<ip_list>

Параметры:

• Список IP/подсетей через запятую
• Без файла, прямо в командной строке

Примеры:

--ipset-ip=192.168.1.0/24,10.0.0.1
--ipset-ip=8.8.8.8,1.1.1.1

---

8. --ipset-exclude - Исключающий IP фильтр

Синтаксис:

--ipset-exclude=<filename>

Параметры: (аналогично --ipset)

• Файл с IP адресами, которые НЕ должны обрабатываться

Примеры:

--ipset-exclude=/path/to/exclude.txt

---

9. --ipset-exclude-ip - Фиксированный список исключений

Синтаксис:

--ipset-exclude-ip=<ip_list>

Примеры:

--ipset-exclude-ip=192.168.0.0/16,10.0.0.0/8

Ссылка на оригинал

hostlist

🌐 Фильтры по доменам (hostlist)

--hostlist - Включающий список доменов

Синтаксис:

--hostlist=<filename>

Параметры:

• filename - путь к файлу с доменами
• Формат: один домен на строку
• Поддомены применяются автоматически
• Поддержка gzip
• Можно указывать несколько раз

Формат файла:

youtube.com
google.com
facebook.com

Особенности:

• youtube.com автоматически включает www.youtube.com, m.youtube.com и т.д.

Примеры:

--hostlist=/path/to/domains.txt
--hostlist=/path/to/list1.txt --hostlist=/path/to/list2.txt.gz

---

--hostlist-domains - Фиксированный список доменов

Синтаксис:

--hostlist-domains=<domain_list>

Параметры:

• Список доменов через запятую

Примеры:

--hostlist-domains=youtube.com,google.com,facebook.com

---

--hostlist-exclude - Исключающий список доменов

Синтаксис:

--hostlist-exclude=<filename>

Параметры: (аналогично --hostlist)

• Домены, которые НЕ должны обрабатываться

Примеры:

--hostlist-exclude=/path/to/exclude_domains.txt

---

--hostlist-exclude-domains - Фиксированный список исключений

Синтаксис:

--hostlist-exclude-domains=<domain_list>

Примеры:

--hostlist-exclude-domains=local.domain,internal.net

---

🤖 Автоматический hostlist

--hostlist-auto - Автоматическое определение блокировок

Синтаксис:

--hostlist-auto=<filename>

Параметры:

• filename - файл для сохранения автоматически обнаруженных доменов
• Система автоматически определяет DPI блокировки и добавляет домены в список

Примеры:

--hostlist-auto=/var/lib/zapret/auto.txt

---

--hostlist-auto-fail-threshold - Порог неудачных попыток

Синтаксис:

--hostlist-auto-fail-threshold=<int>

Параметры:

• Количество неудачных попыток для добавления домена в автолист
• По умолчанию: зависит от реализации

Примеры:

--hostlist-auto-fail-threshold=3

---

--hostlist-auto-fail-time - Временное окно для неудач

Синтаксис:

--hostlist-auto-fail-time=<int>

Параметры:

• Время в секундах, в течение которого должны произойти неудачи
• По умолчанию: зависит от реализации

Примеры:

--hostlist-auto-fail-time=60    # все неудачи в течение 60 секунд

---

--hostlist-auto-retrans-threshold - Порог ретрансмиссий

Синтаксис:

--hostlist-auto-retrans-threshold=<int>

Параметры:

• Количество ретрансмиссий запроса, которые считаются неудачей
• По умолчанию: зависит от реализации

Примеры:

--hostlist-auto-retrans-threshold=2

---

--hostlist-auto-debug - Отладка автолиста (глобальный параметр)

Синтаксис:

--hostlist-auto-debug=<logfile>

Параметры:

• Путь к файлу логов для отладки автоматического определения

Примеры:

--hostlist-auto-debug=/var/log/zapret-auto.log

Ссылка на оригинал

---

Внутрипрофильные фильтры инстанса: dir и payload

Кроме фильтров выбора профиля, есть более тонкие фильтры внутри профиля — они ограничивают не весь профиль, а отдельные --lua-desync-инстансы. Их можно задавать сколько угодно, и после определения они действуют на все последующие инстансы до переопределения. Главный смысл — отсеять лишнее на быстрой стороне C-кода, не доходя до вызова Lua.

dir — направление пакета. Строка in, out или any (по умолчанию out). На стороне Lua её проверяют функции direction_check (соответствует ли направление фильтру) и direction_cutoff_opposite (отключить инстанс от противоположного направления). Так, dir=out — только исходящие (от клиента к серверу), dir=in — только входящие, dir=any — оба.

payload — тип содержимого пакета. Список типов payload через запятую (со спецзначениями all/known и инверсией ~), проверяется функциями payload_match_filter/payload_check. Это тот же механизм, что и профильный --payload, но на уровне отдельного инстанса. Полный разбор типов payload и их фильтрации — в payload (там же — почему по умолчанию known).

# оба фильтра действуют на идущий следом инстанс
--payload=tls_client_hello --lua-desync=fake:blob=fake_default_tls:dir=out

Диапазонные фильтры in/out-range

Есть и третий вид внутрипрофильных фильтров — --in-range/--out-range, отбирающие пакеты по их позиции в потоке (какие по счёту). Они разобраны в отдельной заметке out-range.

---

Комбинированные примеры

Базовая фильтрация HTTP/HTTPS

nfqws2 \
  --filter-tcp=80,443 \
  --filter-l7=http,tls \
  --lua-desync=fake:blob=fake_default_tls

QUIC с hostlist

nfqws2 \
  --filter-udp=443 \
  --filter-l7=quic \
  --hostlist=/path/to/youtube.txt \
  --lua-desync=fake:blob=fake_default_quic:repeats=6

Мультипрофиль: разные фильтры → разные стратегии

nfqws2 \
  --filter-tcp=80 --filter-l7=http \
  --hostlist=/path/to/list1.txt \
  --lua-desync=multisplit \
  --new \
  --filter-tcp=443 --filter-l7=tls \
  --hostlist-exclude=/path/to/exclude.txt \
  --lua-desync=fake:blob=fake_default_tls \
  --new \
  --filter-udp=443 --filter-l7=quic \
  --lua-desync=fake:blob=fake_default_quic

IP-фильтрация через ipset

nfqws2 \
  --filter-tcp=443 \
  --ipset=/path/to/blocked_ips.txt \
  --ipset-exclude-ip=192.168.0.0/16,10.0.0.0/8 \
  --lua-desync=fake:blob=fake_default_tls

---

Важные особенности

1. Порядок профилей решает всё — выбирается первый совпавший сверху; более узкие профили ставьте выше более общих.
2. Внутри профиля — логика И, несколько значений одного фильтра — логика ИЛИ.
3. TCP/UDP взаимоисключение — указание только TCP-фильтра отключает UDP, и наоборот.
4. Инверсия ~ и * поддерживаются в портовых и большинстве фильтров.
5. Поддомены в hostlist включаются автоматически (см. hostlist).
6. Несколько файлов --ipset/--hostlist допустимы; файлы могут быть сжаты gzip.
7. Каждый профиль (--new) имеет свои фильтры — они не наследуются между профилями.

---

📚 См. также

• Профиль — блок, к которому относятся эти фильтры; как перебирать стратегии
• Пресет — файл стратегии целиком (набор профилей)
• nftables — грубое сито до профилей
• Тип payload — полная таблица распознаваемых протоколов и разница «поток vs пакет»
• out-range — отбор по позиции пакета в потоке
• Механизм —lua-desync — действия, которые фильтры адресуют
• Схема обработки трафика — где выбор профиля стоит в конвейере
• ipset · hostlist — списки IP и доменов
• Исключения — профиль pass и exclude-списки: два способа пустить трафик мимо дурения
• 🔗 Официальная документация (docs/manual.md) — первоисточник

---

🤖 Эти статьи открыты — можно обучать на них ИИ

При желании вы можете натренировать ИИ на наших статьях. Исходное форматирование и скачивание всего репозитория одним zip-архивом доступны в Forgejo: исходник этой заметки · весь репозиторий.