Вопросы и решения
Добавил правило, а сайт всё равно идёт напрямую
Три частых причины, по порядку:
- На устройстве жив кэш DNS. Ответ DNS остаётся в кэше устройства, пока не истечёт TTL. Переподключитесь к Wi-Fi или сбросьте кэш DNS.
- Устройство спрашивает DNS мимо роутера. «Безопасный DNS» (DNS-over-HTTPS) в браузере, частный DNS в Android, жёстко прописанный в системе сервер вроде
8.8.8.8— во всех этих случаях firc запроса не видит. Отключите такую настройку для домашней сети. Найти такие устройства помогает захват в журнале там видно трафик, который идёт мимо firc. - Сайт грузится и с других доменов. Правило namespace для
example.comне уводит в туннельnotexample.com, с которого загружаются скрипты или другой контент. Посмотрите во вкладке Журнал, какие ещё имена спрашивает устройство, и добавьте их в группу. Используйте готовые списки сообщества для нужных сервисов.
Что значит значок рядом с названием группы
| Значок | Что происходит |
|---|---|
| зелёная галочка | Группа работает: правила записаны, трафик идёт через её интерфейс. |
| вилка (оранжевая) | Интерфейс группы недоступен. Группа заработает сама, когда он поднимется, или выберите другой. |
| сервер (оранжевый) | Туннель группы запущен, но ни один его узел не отвечает. Узлы — на вкладке Туннели. |
| стрелки (оранжевые) | firc записывает правила заново. Обычно это несколько секунд. |
| красный крестик | Группу не удалось включить. Пока она не поднялась, её трафик идёт напрямую. |
| выключатель | Группа выключена переключателем, её сайты работают без firc. |
Подсказка с подробностями появляется при наведении на значок.
Интерфейс группы упал. Трафик уйдёт мимо туннеля?
Нет. Пока для группы выбран интерфейс, даже который недоступен, соединения к её сайтам просто не устанавливаются: адреса, которые firc выдал этим сайтам, никуда, кроме интерфейса группы, не ведут. Чтобы трафик не останавливался, дайте группе запасной интерфейс — см. Интерфейсы и резервирование.
Можно ли заблокировать сайт
Да: выберите группе интерфейс Блокировать. Сайты из её правил перестанут открываться.
Порты веб-интерфейса
Адрес выводится при установке: firc: WebUI at http://…. Если порт 666 (по умолчанию) был занят, firc выберет другой из 999, 1666, 2666, 9999. Проверить, запущен ли firc:
/opt/etc/init.d/S99firc statusЛогин — root, пароль — пароль Entware (тот же, что для SSH).
В журнале роутера «obsoleted unauthenticated loopback RCI access»
Так KeeneticOS 5.2 предупреждает программы, которые обращаются к роутеру без токена доступа. firc выпускает себе такой токен сам: на прошивке 5.2 и новее он появляется в списке токенов роутера (show authentication token) с подписью firc и удаляется вместе с пакетом. Токен появился в firc 0.4.2: если предупреждение повторяется каждые полминуты, обновитесь до этой версии или новее.
После перезагрузки роутера сайты из групп на минуту перестали открываться
firc помнит выданные адреса до перезагрузки роутера, но не после неё. Устройства, которые держали в кэше старый адрес, спросят DNS заново через несколько минут, переподключение к Wi-Fi или сброс кэша DNS ускоряет это.
Как узнать версию
Вкладка Сведения в веб-интерфейсе или команда:
fircd --version