====== ASUS AX4200 Proxy (Socks5) на порту 2080 ======

<code>
[SwitchyOmega Conditions]
@with result

*.kaspersky-labs.com +direct
*.yandex.ru +direct
*.dokuwiki.org +proxy
*.chatgpt.com +proxy
*.openai.com +proxy
*.oaistatic.com +proxy
*.oaiusercontent.com +proxy
*.chat.com +proxy
*.claude.ai +proxy
*.claude.com +proxy
*.anthropic.com +proxy
*.claudeusercontent.com +proxy
*.youtube.com +proxy
*.googlevideo.com +proxy
*.ytimg.com +proxy
*.grok.com +proxy

* +direct
</code>


<code>
cat >> /etc/sysctl.conf <<'EOF'
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1
EOF
sysctl -p

sysctl -w net.ipv6.conf.all.disable_ipv6=1
sysctl -w net.ipv6.conf.default.disable_ipv6=1

Чтобы пережило перезагрузку, пропишите это в /etc/sysctl.conf
cat > /etc/sysctl.d/99-disable-ipv6.conf << 'EOF'
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1
EOF

sysctl --system



В конфиге Xray на FIN-ноде (или в 3x-ui: Настройки Xray → Outbounds → direct):
{
  "protocol": "freedom",
  "tag": "direct",
  "settings": { "domainStrategy": "UseIPv4" }
}

Если на FIN стоит sing-box (версия 1.12+), в direct-outbound:
"domain_resolver": { "server": "local", "strategy": "ipv4_only" }
</code>

<code>
curl.exe -x socks5h://192.168.99.183:2080 https://ipinfo.io
Параметр socks5h:// указывает выполнять DNS-резолвинг на стороне прокси, исключая локальные утечки
{
  "ip": "94.156.116.115",
  "city": "Helsinki",
  "region": "Uusimaa",
  "country": "FI",
  "loc": "60.1695,24.9354",
  "org": "AS26383 Baxet Group Inc.",
  "postal": "00100",
  "timezone": "Europe/Helsinki",
  "readme": "https://ipinfo.io/missingauth"
}
</code>

<code>
https://chatgpt.com/cdn-cgi/trace
В строке ip= должен быть адрес прокси-сервера, а в loc= не RU. 
Если так и есть, chatgpt.com и claude.ai должны открываться.
</code>

<code>
ASUS: проброс порта с WAN на прокси

uci add firewall redirect
uci set firewall.@redirect[-1].name='podkop-proxy-99'
uci set firewall.@redirect[-1].target='DNAT'
uci set firewall.@redirect[-1].src='wan'
uci set firewall.@redirect[-1].src_ip='192.168.99.0/24'
uci set firewall.@redirect[-1].src_dport='2080'
uci set firewall.@redirect[-1].proto='tcp'
uci set firewall.@redirect[-1].dest='lan'
uci set firewall.@redirect[-1].dest_ip='192.168.1.1'
uci set firewall.@redirect[-1].dest_port='2080'
uci commit firewall
service firewall restart
</code>

<code>
1. Проверьте WAN-адрес роутера
ifstatus wan | grep -A2 '"ipv4-address"'
Должен быть 192.168.99.179. Если адрес другой, используйте его или закрепите .179 арендой на MikroTik.

2. Проверьте, что проброс применился
nft list chain inet fw4 dstnat_wan
nft list chain inet fw4 input_wan
В dstnat_wan должна быть строка с tcp dport 2080 ... dnat ip to 192.168.7.1:2080, в input_wan — ct status dnat accept.

Причина нашлась: цепочки dstnat_wan нет, а в input_wan нет строки ct status dnat accept. Значит, правило проброса 2080 в firewall не попало. Правило для SSH и web при этом работает: в нём уже 8 пакетов.

Проверьте, сохранилось ли правило в конфиге:
uci show firewall | grep -A10 redirect

Если вывод пустой, правило не сохранилось. Добавьте его заново одним блоком:
uci add firewall redirect
uci set firewall.@redirect[-1].name='Proxy-2080-from-homeLAN'
uci set firewall.@redirect[-1].src='wan'
uci set firewall.@redirect[-1].src_ip='192.168.99.0/24'
uci set firewall.@redirect[-1].src_dport='2080'
uci set firewall.@redirect[-1].dest='lan'
uci set firewall.@redirect[-1].dest_ip='192.168.7.1'
uci set firewall.@redirect[-1].dest_port='2080'
uci set firewall.@redirect[-1].proto='tcp'
uci set firewall.@redirect[-1].target='DNAT'
uci commit firewall
/etc/init.d/firewall restart

Если правило в конфиге есть, значит fw4 его отбросил. Причину покажет:
fw4 check
logread -e firewall | tail -20

После перезапуска проверьте, что проброс применился:
nft list chain inet fw4 dstnat_wan
Там должна быть строка tcp dport 2080 ... dnat ip to 192.168.7.1:2080. Затем снова запустите с ПК:
curl.exe -x socks5h://192.168.99.179:2080 https://ifconfig.me
</code>

<code>
Чтобы ASUS раздавал адреса 192.168.7.x, выполните по SSH:
uci set network.lan.ipaddr='192.168.7.1'
uci set network.lan.netmask='255.255.255.0'
uci set dhcp.lan.start='100'
uci set dhcp.lan.limit='150'
uci set dhcp.lan.leasetime='12h'
uci commit network
uci commit dhcp
/etc/init.d/network restart
/etc/init.d/dnsmasq restart


статический адрес на самом OpenWrt:
uci set network.wan.proto='static'
uci set network.wan.ipaddr='192.168.99.181'
uci set network.wan.netmask='255.255.255.0'
uci set network.wan.gateway='192.168.99.1'
uci set network.wan.dns='192.168.99.1'
uci commit network && /etc/init.d/network restart
LAN самого ASUS должен быть в другой подсети. Дефолтный 192.168.1.1 подходит.

Разрешить web и SSH из 192.168.99.0/24
uci add firewall rule
uci set firewall.@rule[-1].name='Allow-mgmt-from-homeLAN'
uci set firewall.@rule[-1].src='wan'
uci set firewall.@rule[-1].src_ip='192.168.99.0/24'
uci set firewall.@rule[-1].proto='tcp'
uci set firewall.@rule[-1].dest_port='22 80 443'
uci set firewall.@rule[-1].family='ipv4'
uci set firewall.@rule[-1].target='ACCEPT'
uci commit firewall && /etc/init.d/firewall restart
</code>