Политическая маршрутизация и VPN

В наше время мы используем зашифрованные соединения (HTTPS://), и вам разрешено видеть, куда направляется трафик, используя SNI, что соответствует использованию сопоставления tls-host вместо использования поля содержимого. добавьте действие=add-dst-to-address-list адресный список=Netflix тайм-аут адресного списка=\none-dynamic цепочка=prerouting комментарий=Netflix содержимое=netflix.com становится добавьте действие=add-dst-to-address-list адресный список=Netflix тайм-аут адресного списка=\none-dynamic цепочка=prerouting комментарий=Netflix tls-host=netflix.com

Невозможно изменить маршрутизацию TCP-пакетов на основе их содержимого (например, tls-host или l7 фильтр)! Это связано с тем, что сначала TCP устанавливает соединение (SYN, SYN ACK, ACK), а затем отправляются первые пакеты, которые вы перехватываете и изменяете выходной интерфейс. Но это не повлияет на первые пакеты! Соединение прервется, потому что вы внезапно изменили IP-адрес конечной точки. Теперь, благодаря списку адресов, вам может немного повезти, так как первая попытка соединения добавит адрес в список, и тогда соединение разорвется, но вторая попытка к тому же адресу будет сразу же правильно маршрутизирована. Не знаю, насколько это будет эффективно, это зависит от того, сколько адресов есть для сервиса и как часто они меняются.

Когда "решение", основанное на добавлении пункта назначения в список адресов, "вроде работает", так как оно ловит второе и последующие соединения и корректно их маршрутизирует, но первое всегда будет "зависать". Это невозможно исправить. Конечно, когда вы знаете точные доменные имена целей, которые хотите маршрутизировать через VPN (не *.reddit.com, а например www.reddit.com), вы можете добавить их в свой список адресов заранее.