Туннели VLESS

В firc встроен свой клиент VLESS — tunvless. Он ставится вместе с firc, отдельно ничего настраивать не нужно. Каждый туннель — это отдельный процесс tunvless и отдельный интерфейс роутера с именем tunvless0, tunvless1 и так далее. Группы выбирают его так же, как любой другой интерфейс.

Если VLESS вам не нужен и у вас уже есть WireGuard, OpenVPN или другой VPN на роутере, эту вкладку можно не открывать: группы работают с любым интерфейсом.

Карточка туннеля

В свёрнутой карточке видно:

• значок состояния: работает, запускается, ни один узел не отвечает, перезапуск, выход недоступен, выключен и другие;
• имя интерфейса и описание (его видно и в выборе интерфейса у групп);
• какие узлы сейчас обслуживают трафик (активны: …) и сколько узлов всего;
• скорость приёма и передачи;
• какие группы пользуются туннелем.

Справа — переключатель туннеля, Обновить подписки, Перезапустить, Удалить и стрелка, которая открывает настройки туннеля.

Новый туннель добавляет кнопка Новый туннель вверху вкладки, всего их может быть до восьми. Как и на вкладке групп, правки применяются только после кнопки сохранения вверху страницы. Если правка затрагивает работающий туннель, firc предупредит, что при сохранении он перезапустится и соединения через него оборвутся.

Источники: ссылки и подписки

Узлы туннеля берутся из источников. Их два вида, обе кнопки — в заголовке блока Источники.

• Ссылка — одна ссылка vless:// на один сервер.
• Подписка — адрес, по которому провайдер отдаёт список серверов. firc скачивает её сам и обновляет с интервалом из Обновлять: (по умолчанию раз в 6 часов) или по кнопке Обновить подписки.

Подписка может быть списком ссылок vless:// (в том числе закодированным в base64) или конфигурацией в формате Xray, sing-box или Clash. tunvless понимает шифрование TLS и REALITY и транспорты TCP, WebSocket, HTTPUpgrade, gRPC, xhttp и HTTP/2. Узел, который он не может использовать (например, сервер с адресом IPv6), пропускается, и firc пишет причину.

У источника есть кнопки: показать скрытый адрес, Изменить, обновить (у подписки) и Удалить. Ошибка загрузки подписки видна прямо в строке источника — вместе с тем, что ответил сервер.

Заголовки запроса

Многие панели провайдеров узнают устройство по заголовкам запроса. firc отправляет их при каждой загрузке подписки:

X-HWID не меняется: панель видит роутер как одно устройство и после переустановки firc. Если панель ограничивает число устройств, переустановка firc не займёт ещё одно место.

В окне подписки, в разделе Заголовки запроса, любое значение можно изменить, заголовок можно Не отправлять, а кнопка Добавить заголовок добавляет свой (до 16). По умолчанию возвращает стандартный набор.

Узлы

Блок Узлы — все серверы из всех источников туннеля. У каждого видно источник, состояние (активен, в резерве, не отвечает) и задержку после проверки. Новые узлы помечены новый.

• Порядок. Узлы перетаскиваются за ручку слева. Трафик обслуживают первые по порядку отвечающие узлы, остальные ждут в резерве. По задержке упорядочивает узлы по последней проверке, Как в подписке возвращает порядок источников.
• Исключить узел. Переключатель Включён выключает узел: туннель не будет им пользоваться, даже если он отвечает.
• Фильтр по имени. Регулярное выражение, без учёта регистра, например NL|Netherlands. Новые узлы подписок, подходящие под фильтр, добавляются сами, а рядом видно, сколько узлов подходит.

Проверка узлов

Проверить узлы проверяет все узлы сейчас, через тот же выход в интернет, которым пользуется туннель. Туннель для этого должен быть сохранён и запущен.

Первое число в колонке Задержка — время до первого байта через узел, то есть весь путь. Число до узла под ним — только DNS, TCP и рукопожатие TLS или REALITY до адреса самого узла.

Отказоустойчивость

• Активных узлов — сколько узлов обслуживают трафик одновременно (от 1 до 8), остальные — резерв по порядку.
• Распределение — как новые соединения делятся между активными узлами: по соединению, по сайту или по сайту и устройству. Имеет смысл, когда активных узлов больше одного. Это балансировщик нагрузки.
• Проверка узлов — как часто проверять, что активный узел отвечает (по умолчанию 60 секунд).
• Тишина — соединение, которое молчит столько секунд, считается оборванным, и узел проверяется сразу (по умолчанию 20).

Если активный узел перестал отвечать, его место занимает следующий из резерва. Если не отвечает ни один, туннель повторяет попытки сам, а группы на этом туннеле стоят с подсказкой Туннель … без узла: их сайты не открываются, пока узел не ответит, или группа переходит на резервный интерфейс, если он у неё есть (см. Интерфейсы и резервирование).

Дополнительно

Раздел Дополнительно раскрывается по клику:

• Таймаут подключения — сколько ждать ответа узла на новое соединение (по умолчанию 8 секунд).
• Проверка сертификата — выключайте только для сервера с самоподписанным сертификатом, которому доверяете.
• TCP через ядро — см. ниже.
• Свой CA — путь к файлу сертификата CA на роутере; пусто — системные.
• Имя устройства — имя интерфейса, которое выбирают группы, от tunvless0 до tunvless99.

TCP через ядро

По умолчанию весь трафик группы идёт в tunvless через виртуальный сетевой интерфейс (TUN). Если включить TCP через ядро, TCP-соединения принимает ядро роутера и передаёт tunvless сразу, без TUN. Для TCP это быстрее. Работает только для IPv4; UDP и IPv6 идут как раньше. По умолчанию выключено.

Когда опция включена, под ней написано, работает ли она сейчас. Если в ядре роутера нет нужных модулей или оно не приняло правило, TCP продолжает идти через TUN, а причина видна под опцией и в журнале. Если для какого-то сегмента сети в прошивке настроен список доступа, который может запрещать трафик, для этого сегмента TCP через ядро не используется, чтобы запреты прошивки продолжали действовать.

Выход в интернет

Выход в интернет — через что сам туннель ходит к своим серверам и за подписками:

• Авто — как обычный трафик роутера;
• конкретное подключение, например второй провайдер;
• Через туннель … — через другой туннель firc, цепочкой. Выбор, который замкнул бы туннели в петлю, недоступен.

Узлы туннеля проверяются через этот же выход.