[https://4pda.to/forum/index.php?showtopic=1080368|4PDA]]

OpenWrt

# ASUS TUF AX4200 — настройка OpenWrt 25.12 + podkop

Роутер стоит за MikroTik RB951G (192.168.99.1) в домашней сети `192.168.99.0/24`.
Для OpenWrt эта сеть — **WAN**, своя подсеть клиентов — **LAN 192.168.7.0/24**.

| Параметр | Значение |
|---|---|
| WAN-адрес | `192.168.99.179` |
| Шлюз / DNS | `192.168.99.1` |
| LAN-адрес роутера | `192.168.7.1/24` |
| DHCP для клиентов | `192.168.7.100–192.168.7.249`, аренда 12h |
| Доступ из 192.168.99.0/24 | SSH 22, LuCI 80/443, прокси 2080 |

> Порядок важен: сначала LAN-подсеть, потом WAN, потом firewall, в конце перезапуск podkop.

---

## 1. LAN-подсеть и DHCP 192.168.7.x

```sh
uci set network.lan.ipaddr='192.168.7.1'
uci set network.lan.netmask='255.255.255.0'
uci set dhcp.lan.start='100'
uci set dhcp.lan.limit='150'
uci set dhcp.lan.leasetime='12h'
uci commit network
uci commit dhcp
/etc/init.d/network restart
/etc/init.d/dnsmasq restart
```

После перезапуска сессия через LAN оборвётся. Переподключитесь на `192.168.7.1`
или через WAN на `192.168.99.179`.

---

## 2. WAN-адрес 192.168.99.179

**Вариант А (рекомендуется): аренда на MikroTik** по MAC WAN-порта ASUS.

```
/ip dhcp-server lease add address=192.168.99.179 mac-address=XX:XX:XX:XX:XX:XX comment="ASUS AX4200"
```

**Вариант Б: статика на самом OpenWrt.**

```sh
uci set network.wan.proto='static'
uci set network.wan.ipaddr='192.168.99.179'
uci set network.wan.netmask='255.255.255.0'
uci set network.wan.gateway='192.168.99.1'
uci set network.wan.dns='192.168.99.1'
uci commit network && /etc/init.d/network restart
```

Проверка:

```sh
ifstatus wan | grep -A2 '"ipv4-address"'
```

---

## 3. Доступ по SSH и web из 192.168.99.0/24

```sh
uci add firewall rule
uci set firewall.@rule[-1].name='Allow-mgmt-from-homeLAN'
uci set firewall.@rule[-1].src='wan'
uci set firewall.@rule[-1].src_ip='192.168.99.0/24'
uci set firewall.@rule[-1].proto='tcp'
uci set firewall.@rule[-1].dest_port='22 80 443'
uci set firewall.@rule[-1].family='ipv4'
uci set firewall.@rule[-1].target='ACCEPT'
uci commit firewall && /etc/init.d/firewall restart
```

Если SSH всё равно не пускает с WAN, проверьте привязку dropbear к LAN:

```sh
uci show dropbear | grep -i interface
# если есть Interface='lan':
uci delete dropbear.@dropbear[0].Interface
uci commit dropbear && /etc/init.d/dropbear restart
```

Задайте пароль root: `passwd`.

---

## 4. Проброс прокси 2080 с WAN на sing-box

sing-box (mixed-inbound podkop) слушает только `192.168.7.1:2080`, а запросы приходят
на `192.168.99.179`. Поэтому нужен **DNAT**: просто открыть порт правилом ACCEPT недостаточно.

```sh
uci add firewall redirect
uci set firewall.@redirect[-1].name='Proxy-2080-from-homeLAN'
uci set firewall.@redirect[-1].src='wan'
uci set firewall.@redirect[-1].src_ip='192.168.99.0/24'
uci set firewall.@redirect[-1].src_dport='2080'
uci set firewall.@redirect[-1].dest='lan'
uci set firewall.@redirect[-1].dest_ip='192.168.7.1'
uci set firewall.@redirect[-1].dest_port='2080'
uci set firewall.@redirect[-1].proto='tcp'
uci set firewall.@redirect[-1].target='DNAT'
uci commit firewall
/etc/init.d/firewall restart
```

> `dest_ip` — это **LAN-адрес самого роутера** (`192.168.7.1`). В старой версии
> стоял `192.168.1.1`, после смены подсети его нужно обязательно поменять.

Проверка, что правило применилось:

```sh
uci show firewall | grep -A10 redirect      # правило есть в конфиге
fw4 check                                   # синтаксис ОК
nft list chain inet fw4 dstnat_wan          # должна быть строка dnat ip to 192.168.7.1:2080
nft list chain inet fw4 input_wan           # должна быть строка ct status dnat accept
```

Если цепочки `dstnat_wan` нет (`No such file or directory`), значит правило не сохранилось.
Добавьте блок заново целиком.

---

## 5. podkop

Отдельные правила firewall для podkop не нужны: он создаёт свою таблицу `inet PodkopTable`.
После смены LAN-подсети перезапустите его:

```sh
/etc/init.d/podkop restart
/etc/init.d/dnsmasq restart
```

Настройки в LuCI → Services → Podkop:

- источник трафика — интерфейс `br-lan`;
- **у каждой секции должен быть включён хотя бы один список**. Иначе в логе появится
  `Section '...' does not have any enabled list, skipping...` и секция не работает.
  Для `RUSSIA_INSIDE` включите Community List `Russia inside`.

Диагностика:

```sh
date                                              # время должно быть верным (важно для VLESS/Reality)
pgrep -a sing-box                                 # sing-box запущен
netstat -ltnup | grep -E '2080|127.0.0.42'        # слушает 192.168.7.1:2080 и 127.0.0.42:53
uci show dhcp.@dnsmasq[0] | grep -E 'server|noresolv'   # server='127.0.0.42', noresolv='1'
nft list set inet PodkopTable podkop_subnets
logread -e podkop | tail -30
logread -e sing-box | tail -30
```

---

## 6. Финальная проверка

С ПК в сети 192.168.99.x:

```powershell
Test-NetConnection 192.168.99.179 -Port 22
curl.exe -x socks5h://192.168.99.179:2080 https://ifconfig.me
```

- пришёл IP выходного узла — всё работает;
- пришёл домашний IP — прокси работает, но секция не маршрутизирует (см. п. 5, списки);
- ошибка соединения — проверьте п. 4 и `tcpdump -ni wan tcp port 2080`.

С клиента в сети 192.168.7.x:

```sh
nslookup youtube.com 192.168.7.1    # ответ 198.18.x.x = fakeip podkop работает
```

**ZeroOmega:** профиль SOCKS5 (или HTTP) → `192.168.99.179`, порт `2080`.