Обход блокировок,
который живёт на роутере

Один раз на роутере — вместо клиента на каждом устройстве

VPN-клиент на ноутбуке решает задачу только для ноутбука. Detour переносит обход на уровень домашней сети: маршрутизация происходит прозрачно, устройствам ничего не нужно знать и ставить.

DNS подсказывает, файрвол разводит трафик

Когда устройство резолвит домен из списка, dnsmasq складывает полученный IP в соответствующий ipset. Дальше правила nat PREROUTING решают, куда отправить соединение — и делают это без разбора содержимого пакетов, поэтому накладные расходы минимальны.

UDP при необходимости заворачивается отдельно через TPROXY — для игр, голосовых чатов и QUIC.

Что умеет панель

Ниже — основные разделы интерфейса и то, какую задачу каждый из них закрывает.

Профили VPN и подписки

Профиль добавляется вставкой ссылки vless://, trojan://, vmess://, ss://, socks5:// либо заполнением полей вручную; отдельная вкладка — для WireGuard. Поддерживаются VLESS, Trojan, VMess, Shadowsocks, WireGuard, Hysteria/Hysteria2, TUIC, AnyTLS и HTTP/SOCKS-прокси.

• Подписки — URL провайдера обновляется по расписанию, новые серверы подтягиваются сами.
• Папки и группы — сотни профилей не превращаются в кашу.
• Массовые операции — выделить, перенести в группу, удалить.
• Экспорт и импорт — JSON целиком или отдельные ссылки для переноса на другой роутер.

Проверка и автопереключение

Панель постоянно пингует все профили в фоне и раз в час проверяет их «по-настоящему»: поднимает временный sing-box и ходит через него на реальные адреса. Мёртвый сервер видно до того, как об этом узнает пользователь.

• Автопереключение на живой профиль, когда активный перестал отвечать.
• Замер скорости — реальная загрузка, а не только пинг.
• Keep-alive активного VPN с отдельным индикатором в шапке.
• Свои цели проверки и блок-лист egress-IP, если нужен конкретный выходной адрес.

Маршрутизация по профилям

Разные сайты — через разные выходы одновременно. Каждый маршрут описывает, какой профиль забирает указанные домены, *.поддомены, IP или CIDR.

• Строгий режим — такой трафик уходит только назначенным маршрутом либо блокируется, но никогда не утекает напрямую.
• Через активную цепочку — путь «текущий VPN → маршрутный VPN» вместо прямого выхода.
• Умный перехват прокси — если устройство жёстко прибито к SOCKS/HTTP-прокси, роутер прозрачно применит к нему правила панели.
• Несколько инстансов sing-box, когда одного мало.

Цепочки и Cloudflare WARP

Профили выстраиваются в цепочку: клиент → VPN 1 → VPN 2 → интернет. Отдельный сценарий — бесплатный WARP последним хопом: выходной адрес перестаёт выглядеть как «сервер в дата-центре», и сервисы, которые блокируют хостинги, снова начинают работать.

• Регистрация WARP из панели — устройство регистрируется через выбранный VPN, не трогая активный трафик.
• Именованные цепочки — сохранённые связки включаются одним кликом с главного экрана.
• Цепочка как цель маршрута — например, увести в «VPN → WARP» только один домен.

DPI-обход без внешнего сервера

Второй движок вообще не нуждается в зарубежном сервере: соединение остаётся прямым, а блокировка обходится манипуляциями с пакетами. Часто этого достаточно — и скорость остаётся домашней.

• zapret (tpws) — прозрачный прокси на порту 1081.
• zapret2 (nfqws2) — работа через NFQUEUE с настраиваемой строкой стратегии.
• Общий список доменов для обоих движков и счётчик обработанных пакетов.
• Движок переключается на лету, без перезагрузки роутера.

Списки доменов и режимы

Два режима на выбор: «только указанные» (в туннель уходит лишь список) и «всё, кроме указанных» (в туннель уходит всё, кроме исключений). Списки принимают домены, *.поддомены, IP и CIDR с комментариями.

• Список подсетей РФ обновляется автоматически (MaxMind GeoLite2 или RIPE/RIR) — российские адреса идут напрямую.
• Исключения из исключений — адрес, который числится российским, но должен идти через VPN.
• UDP через VPN — отдельный список для игр и голосовых чатов.

DNS: шифрование и hosts-обход

Провайдер видит DNS-запросы всей сети — если их не зашифровать. Панель включает DoH/DoT для роутера целиком и умеет подключать внешний hosts-файл приоритетом над upstream-DNS.

• Secure DNS — свой список серверов DoH/DoT.
• Приоритетный hosts — параллельный способ обхода: домен резолвится в рабочий адрес без туннеля.
• Обновление списка по расписанию и по кнопке.

Публикация домашних сервисов наружу

Обратная задача: не выйти из дома, а пустить в него. Панель выпускает Let's Encrypt-сертификат для вашего домена и публикует нужный сервис — либо HTTPS-реверс-прокси на этом сертификате, либо обычный проброс порта.

• HTTPS-режим — https://домен:порт/ → устройство в LAN, с WebSocket и опциональной Basic-авторизацией.
• DNAT-режим — проброс порта для любого протокола.
• Проверка снаружи — панель сама выясняет, доходит ли порт до роутера из интернета, и отличает свой ответ от подмены провайдером.

Push-уведомления и мобильный вид

Когда активный VPN отвалился, узнать об этом лучше от роутера, а не от зависшей страницы. Панель отправляет Web Push в браузер — в том числе на телефон, и делает это по каналу в обход упавшего туннеля.

• Уведомления о недоступности активного VPN и об автопереключении.
• Вход по QR — открыть панель на телефоне без ввода логина и пароля.
• Адаптивный интерфейс — с телефона доступно всё то же самое.

Диагностика и обслуживание

Всё, за чем обычно лезут по SSH, доступно во вкладках: логи sing-box, итоговый JSON-конфиг, действующие правила файрвола и таблица conntrack.

• Логи и конфиг — видно, что именно сгенерировала панель.
• Файрвол — nat PREROUTING, nftables input_lan, conntrack.
• Ускорение (offload) — авто-восстановление аппаратного ускорения при просадке скорости.
• SWAP-файл — создаётся на флешке прямо из панели.
• Самообновление — проверка GitHub Releases раз в 6 часов и установка в один клик, с откатом на предыдущую версию.

Две прошивки, один интерфейс

Основная платформа — OpenWrt / GL.iNet. Вторая — Keenetic с Entware: там нет nftables и NFQUEUE, поэтому часть механик реализована иначе, а движок zapret2 недоступен физически.

Референсное устройство — GL.iNet GL-BE9300 (Flint 3) на OpenWrt 23.05, aarch64, musl. Проверялось также на GL-MT6000 (Flint 2).

Один пакет, дальше всё само

Панель — это slim-пакет .ipk без бинарников. После установки она сама прописывает opkg-фид проекта и подтягивает sing-box и tpws-zapret в фоне.

# OpenWrt / GL.iNet
scp detour_X.Y.Z_all.ipk root@192.168.8.1:/tmp/
ssh root@192.168.8.1 'opkg install /tmp/detour_X.Y.Z_all.ipk'

# Keenetic / Entware (Entware смонтирован в /opt)
opkg install /tmp/detour-keenetic_X.Y.Z_all.ipk