common/base.sh

@@ -329,25 +329,6 @@ win_process_exists()
 	tasklist /NH /FI "IMAGENAME eq ${1}.exe" | grep -q "^${1}.exe"
 }
 
-alloc_num()
-{
-	# $1 - source var name
-	# $2 - target var name
-	# $3 - min
-	# $4 - max
-	
-	local v
-	eval v="\$$2"
-	# do not replace existing value
-	[ -n "$v" ] && return
-	eval v="\$$1"
-	[ -n "$v" ] || v=$3
-	eval $2="$v"
-	v=$((v + 1))
-	[ $v -gt $4 ] && v=$3
-	eval $1="$v"
-}
-
 std_ports()
 {
         HTTP_PORTS=${HTTP_PORTS:-80}

common/custom.sh

@@ -23,20 +23,3 @@ custom_runner()
 		}
 	}
 }
-
-alloc_tpws_port()
-{
-	# $1 - target var name
-	alloc_num NUMPOOL_TPWS_PORT $1 910 979
-}
-alloc_qnum()
-{
-	# $1 - target var name
-	alloc_num NUMPOOL_QNUM $1 65400 65499
-}
-alloc_dnum()
-{
-	# alloc daemon number
-	# $1 - target var name
-	alloc_num NUMPOOL_DNUM $1 1000 1999
-}

common/ipt.sh

@@ -3,15 +3,15 @@ readonly ipt_connbytes="-m connbytes --connbytes-dir=original --connbytes-mode=p
 
 ipt()
 {
-	iptables $FW_EXTRA_PRE -C "$@" $FW_EXTRA_POST >/dev/null 2>/dev/null || iptables $FW_EXTRA_PRE -I "$@" $FW_EXTRA_POST
+	iptables -C "$@" >/dev/null 2>/dev/null || iptables -I "$@"
 }
 ipta()
 {
-	iptables $FW_EXTRA_PRE -C "$@" $FW_EXTRA_POST >/dev/null 2>/dev/null || iptables $FW_EXTRA_PRE -A "$@" $FW_EXTRA_POST
+	iptables -C "$@" >/dev/null 2>/dev/null || iptables -A "$@"
 }
 ipt_del()
 {
-	iptables $FW_EXTRA_PRE -C "$@" $FW_EXTRA_POST >/dev/null 2>/dev/null && iptables $FW_EXTRA_PRE -D "$@" $FW_EXTRA_POST
+	iptables -C "$@" >/dev/null 2>/dev/null && iptables -D "$@"
 }
 ipt_add_del()
 {

common/nft.sh

@@ -199,15 +199,7 @@ nft_add_rule()
 	# $2,$3,... - rule(s)
 	local chain="$1"
 	shift
-	nft add rule inet $ZAPRET_NFT_TABLE $chain $FW_EXTRA_PRE "$@"
+	nft add rule inet $ZAPRET_NFT_TABLE $chain "$@"
-}
-nft_insert_rule()
-{
-	# $1 - chain
-	# $2,$3,... - rule(s)
-	local chain="$1"
-	shift
-	nft insert rule inet $ZAPRET_NFT_TABLE $chain $FW_EXTRA_PRE "$@"
 }
 nft_add_set_element()
 {
@@ -235,7 +227,6 @@ nft_clean_nfqws_rule()
 nft_add_nfqws_flow_exempt_rule()
 {
 	# $1 - rule (must be all filters in one var)
-	local FW_EXTRA_POST= FW_EXTRA_PRE=
 	nft_add_rule flow_offload $(nft_clean_nfqws_rule $1) return comment \"direct flow offloading exemption\"
 	# do not need this because of oifname @wanif/@wanif6 filter in forward chain
 	#nft_add_rule flow_offload $(nft_reverse_nfqws_rule $1) return comment \"reverse flow offloading exemption\"
@@ -245,7 +236,6 @@ nft_add_flow_offload_exemption()
 	# "$1" - rule for ipv4
 	# "$2" - rule for ipv6
 	# "$3" - comment
-	local FW_EXTRA_POST= FW_EXTRA_PRE=
 	[ "$DISABLE_IPV4" = "1" -o -z "$1" ] || nft_add_rule flow_offload oifname @wanif $1 ip daddr != @nozapret return comment \"$3\"
 	[ "$DISABLE_IPV6" = "1" -o -z "$2" ] || nft_add_rule flow_offload oifname @wanif6 $2 ip6 daddr != @nozapret6 return comment \"$3\"
 }
@@ -409,7 +399,7 @@ nft_only()
 
 nft_print_op()
 {
-	echo "Inserting nftables ipv$3 rule for $2 : $1"
+	echo "Adding nftables ipv$3 rule for $2 : $1"
 }
 _nft_fw_tpws4()
 {
@@ -420,8 +410,8 @@ _nft_fw_tpws4()
 	[ "$DISABLE_IPV4" = "1" -o -z "$1" ] || {
 		local filter="$1" port="$2"
 		nft_print_op "$filter" "tpws (port $2)" 4
-		nft_insert_rule dnat_output skuid != $WS_USER ${3:+oifname @wanif }$filter ip daddr != @nozapret $FW_EXTRA_POST dnat ip to $TPWS_LOCALHOST4:$port
+		nft_add_rule dnat_output skuid != $WS_USER ${3:+oifname @wanif }$filter ip daddr != @nozapret dnat ip to $TPWS_LOCALHOST4:$port
-		nft_insert_rule dnat_pre iifname @lanif $filter ip daddr != @nozapret $FW_EXTRA_POST dnat ip to $TPWS_LOCALHOST4:$port
+		nft_add_rule dnat_pre iifname @lanif $filter ip daddr != @nozapret dnat ip to $TPWS_LOCALHOST4:$port
 		prepare_route_localnet
 	}
 }
@@ -435,9 +425,9 @@ _nft_fw_tpws6()
 	[ "$DISABLE_IPV6" = "1" -o -z "$1" ] || {
 		local filter="$1" port="$2" DNAT6 i
 		nft_print_op "$filter" "tpws (port $port)" 6
-		nft_insert_rule dnat_output skuid != $WS_USER ${4:+oifname @wanif6 }$filter ip6 daddr != @nozapret6 $FW_EXTRA_POST dnat ip6 to [::1]:$port
+		nft_add_rule dnat_output skuid != $WS_USER ${4:+oifname @wanif6 }$filter ip6 daddr != @nozapret6 dnat ip6 to [::1]:$port
 		[ -n "$3" ] && {
-			nft_insert_rule dnat_pre $filter ip6 daddr != @nozapret6 $FW_EXTRA_POST dnat ip6 to iifname map @link_local:$port
+			nft_add_rule dnat_pre $filter ip6 daddr != @nozapret6 dnat ip6 to iifname map @link_local:$port
 			for i in $3; do
 				_dnat6_target $i DNAT6
 				# can be multiple tpws processes on different ports
@@ -486,7 +476,7 @@ _nft_fw_nfqws_post4()
 		nft_print_op "$filter" "nfqws postrouting (qnum $port)" 4
 		rule="${3:+oifname @wanif }$filter ip daddr != @nozapret"
 		is_postnat && setmark="meta mark set meta mark or $DESYNC_MARK_POSTNAT"
-		nft_insert_rule $chain $rule $setmark $FW_EXTRA_POST queue num $port bypass
+		nft_add_rule $chain $rule $setmark queue num $port bypass
 		nft_add_nfqws_flow_exempt_rule "$rule"
 	}
 }
@@ -501,7 +491,7 @@ _nft_fw_nfqws_post6()
 		nft_print_op "$filter" "nfqws postrouting (qnum $port)" 6
 		rule="${3:+oifname @wanif6 }$filter ip6 daddr != @nozapret6"
 		is_postnat && setmark="meta mark set meta mark or $DESYNC_MARK_POSTNAT"
-		nft_insert_rule $chain $rule $setmark $FW_EXTRA_POST queue num $port bypass
+		nft_add_rule $chain $rule $setmark queue num $port bypass
 		nft_add_nfqws_flow_exempt_rule "$rule"
 	}
 }
@@ -525,7 +515,7 @@ _nft_fw_nfqws_pre4()
 		local filter="$1" port="$2" rule
 		nft_print_op "$filter" "nfqws prerouting (qnum $port)" 4
 		rule="${3:+iifname @wanif }$filter ip saddr != @nozapret"
-		nft_insert_rule $(get_prechain) $rule $FW_EXTRA_POST queue num $port bypass
+		nft_add_rule $(get_prechain) $rule queue num $port bypass
 	}
 }
 _nft_fw_nfqws_pre6()
@@ -538,7 +528,7 @@ _nft_fw_nfqws_pre6()
 		local filter="$1" port="$2" rule
 		nft_print_op "$filter" "nfqws prerouting (qnum $port)" 6
 		rule="${3:+iifname @wanif6 }$filter ip6 saddr != @nozapret6"
-		nft_insert_rule $(get_prechain) $rule $FW_EXTRA_POST queue num $port bypass
+		nft_add_rule $(get_prechain) $rule queue num $port bypass
 	}
 }
 nft_fw_nfqws_pre()

common/pf.sh

@@ -108,9 +108,8 @@ pf_anchor_zapret_tables()
 }
 pf_nat_reorder_rules()
 {
-	# this is dirty hack to move rdr above route-to
+	# this is dirty hack to move rdr above route-to and remove route-to dups
-        # use only first word as a key and preserve order within a single key
+	sort -rfu
-	sort -srfk 1,1
 }
 pf_anchor_port_target()
 {

docs/changes.txt

@@ -323,8 +323,3 @@ v64:
 blockcheck: warn if dpi bypass software is already running
 blockcheck: TPWS_EXTRA, NFQWS_EXTRA
 init.d: multiple custom scripts
-
-v65:
-
-init.d: dynamic number allocation for dnum,tpws_port,qnum
-init.d: FW_EXTRA_PRE, FW_EXTRA_POST

docs/nftables.txt

@@ -19,8 +19,8 @@ For dpi desync attack :
 nft delete table inet ztest
 nft create table inet ztest
 nft add chain inet ztest post "{type filter hook postrouting priority mangle;}"
-nft add rule inet ztest post meta mark and 0x40000000 == 0 tcp dport "{80,443}" ct original packets 1-12 queue num 200 bypass
+nft add rule inet ztest post tcp dport "{80,443}" ct original packets 1-12 queue num 200 bypass
-nft add rule inet ztest post meta mark and 0x40000000 == 0 udp dport 443 ct original packets 1-4 queue num 200 bypass
+nft add rule inet ztest post udp dport 443 ct original packets 1-4 queue num 200 bypass
 
 # auto hostlist with avoiding wrong ACK numbers in RST,ACK packets sent by russian DPI
 sysctl net.netfilter.nf_conntrack_tcp_be_liberal=1 

docs/readme.txt

@@ -1579,11 +1579,9 @@ custom код вынесен в отдельные shell includes.
 /opt/zapret/init.d/macos/custom
 Он считается устаревшим. Актуальный вариант - помещать отдельные скрипты там же, но в директорию "custom.d".
 Она будет просканирована стандартным образом, т.е. в алфавитном порядке, и каждый скрипт будет применен.
-Рядом имеется "custom.d.examples". Это готовые скрипты, которые можно копировать в "custom.d".
+Рядом имеется "custom.d.examples". Это готовые скрипты, который можно копировать в "custom.d".
 Особо стоит отметить "10-inherit-*". Они наследуют стандартные режимы nfqws/tpws/tpws-socks.
 Полезно, чтобы не писать код заново. Достаточно лишь скопировать соответствующий файл.
-Можно наследовать и более сложным образом.
-"10-inherit-tpws4http-nfqws4https" наследует для http tpws, а для https и quic - nfqws.
 
 Для linux пишется код в функции
 zapret_custom_daemons
@@ -1596,41 +1594,18 @@ zapret_custom_firewall_v4
 zapret_custom_firewall_v6
 
 zapret_custom_daemons поднимает демоны nfqws/tpws в нужном вам количестве и с нужными вам параметрами.
-Для систем традиционного linux (sysv) и MacOS в первом параметре передается код операции : 1 = запуск, 0 = останов.
+Особо обратите внимание на номер демона в функциях "run_daemon" и "do_daemon".
-Для openwrt логика останова отсутствует за ненадобностью.
-Схема запуска демонов в openwrt отличается - используется procd.
-
-zapret_custom_firewall поднимает и убирает правила iptables.
-В первом параметре передается код операции : 1 = запуск, 0 = останов.
-
-zapret_custom_firewall_nft поднимает правила nftables.
-Логика останова отсутствует за ненадобностью.
-
-Если вам не нужны iptables или nftables - можете не писать соответствующую функцию.
-
-В linux можно использовать локальные переменные FW_EXTRA_PRE и FW_EXTRA_POST.
-FW_EXTRA_PRE добавляет код к правилам ip/nf tables до кода, генерируемого функциями-хелперами.
-FW_EXTRA_POST добавляет код после.
-
-В linux функции-хелперы добавляют правило в начало цепочек, то есть перед уже имеющимися.
-Поэтому специализации должны идти после более общих вариантов.
-Поэтому наследования идут с префиксом 10, а остальные custom скрипты с префиксом 50.
-Допустим, у вас есть особые правила для IP подсети youtube. Порты те же самые.
-Включен и общий обход. Чтобы youtube пошел приоритетом, скрипт должен применяться после
-общего обхода.
-Для macos правило обратное. Там правила добавляются в конец. Поэтому inherit скрипты
-имеют префикс 90.
-
-В macos firewall-функции ничего сами никуда не заносят. Их задача - лишь выдать текст в stdout,
-содержащий правила для pf-якоря. Остальное сделает обертка.
-
-Особо обратите внимание на номер демона в функциях "run_daemon" и "do_daemon", номера портов tpws
-и очередей nfqueue.
 Они должны быть уникальными во всех скриптах. При накладке будет ошибка.
-Поэтому используйте функции динамического получения этих значений из пула.
+Так же следует избегать пересечения номеров портов tpws и очередей nfqws.
+При пересечении какой-то из демонов не запустится.
+Чтобы как-то нивелировать эту проблему, в examples используется переменная DNUM.
+На ее базе считается диапазон номеров очередей (5 шт), которые использует этот скрипт.
+При таком подходе достаточно, чтобы DNUM был везде уникален.
+Поскольку номера очереди и портов имеют нумерацию до 65536, можно использовать DNUM до 13106.
+Однако, следует оставить номера очереди 200-299 для стандартных режимов и не использовать их.
 
 custom скрипты могут использовать переменные из config. Можно помещать в config свои переменные
-и задействовать их в скриптах.
+и использовать их в скриптах.
 Можно использовать функции-хелперы. Они являются частью общего пространства функций shell.
 Полезные функции можно взять из примеров скриптов. Так же смотрите "common/*.sh".
 Используя хелпер функции, вы избавитесь от необходимости учитывать все возможные случаи
@@ -1638,6 +1613,17 @@ custom скрипты могут использовать переменные
 Хелперы это учитывают, вам нужно сосредоточиться лишь на фильтрах {ip,nf}tables и
 параметрах демонов.
 
+Код для openwrt и sysv немного отличается. В sysv нужно обрабатывать и запуск, и остановку демонов.
+Запуск это или остановка передается в параметре $1 (0 или 1).
+В openwrt за остановку отвечает procd.
+
+Для фаервола в linux кастом пишется отдельно для iptables и nftables. Все очень похоже, но отличается
+написание фильтров и названия процедур хелперов. Если вам не нужны iptables или nftables -
+можете не писать соответствующую функцию.
+
+В macos firewall-функции ничего сами никуда не заносят. Их задача - лишь выдать текст в stdout,
+содержащий правила для pf-якоря. Остальное сделает обертка.
+
 
 Простая установка
 -----------------

init.d/macos/custom.d.examples/50-extra-tpws

@@ -1,21 +1,20 @@
 # this script is an example describing how to run tpws on a custom port
 
-TPWS_OPT_EXTRA=${TPWS_OPT_EXTRA:---split-pos=2}
+DNUM=100
-TPWS_OPT_SUFFIX_EXTRA="${TPWS_OPT_SUFFIX_EXTRA:-}"
+TPPORT_MY=${TPPORT_MY:-987}
-DPORTS_EXTRA=${DPORTS_EXTRA:-20443,20444,30000-30009}
+TPWS_OPT_MY=${TPWS_OPT_MY:-987}
-
+TPWS_OPT_SUFFIX_MY="${TPWS_OPT_SUFFIX_MY:-}"
-alloc_dnum DNUM_EXTRA_TPWS
+DPORTS_MY=${DPORTS_MY:-20443,20444,30000-30009}
-alloc_tpws_port TPPORT_EXTRA_TPWS
 
 zapret_custom_daemons()
 {
 	# $1 - 1 - run, 0 - stop
-	local opt="--user=root --port=$TPPORT_EXTRA_TPWS"
+	local opt="--user=root --port=$TPPORT_MY"
 	tpws_apply_binds opt
-	opt="$opt $TPWS_OPT_EXTRA"
+	opt="$opt $TPWS_OPT_MY"
 	filter_apply_hostlist_target opt
-	filter_apply_suffix opt "$TPWS_OPT_SUFFIX_EXTRA"
+	filter_apply_suffix opt "$TPWS_OPT_SUFFIX_MY"
-	do_daemon $1 $DNUM_EXTRA_TPWS "$TPWS" "$opt"
+	do_daemon $1 $DNUM "$TPWS" "$opt"
 }
 
 # custom firewall functions echo rules for zapret-v4 and zapret-v6 anchors
@@ -23,9 +22,9 @@ zapret_custom_daemons()
 
 zapret_custom_firewall_v4()
 {
-	pf_anchor_zapret_v4_tpws $TPPORT_EXTRA_TPWS $(replace_char - : $DPORTS_EXTRA)
+	pf_anchor_zapret_v4_tpws $TPPORT_MY $(replace_char - : $DPORTS_MY)
 }
 zapret_custom_firewall_v6()
 {
-	pf_anchor_zapret_v6_tpws $TPPORT_EXTRA_TPWS $(replace_char - : $DPORTS_EXTRA)
+	pf_anchor_zapret_v6_tpws $TPPORT_MY $(replace_char - : $DPORTS_MY)
 }

init.d/openwrt/custom.d.examples/10-inherit-tpws

@@ -4,7 +4,7 @@ OVERRIDE=tpws
 
 zapret_custom_daemons()
 {
-        # stop logic is managed by procd
+	# $1 - 1 - run, 0 - stop
 
 	MODE_OVERRIDE=$OVERRIDE start_daemons_procd
 }

init.d/openwrt/custom.d.examples/10-inherit-tpws-socks

@@ -4,7 +4,7 @@ OVERRIDE=tpws-socks
 
 zapret_custom_daemons()
 {
-        # stop logic is managed by procd
+	# $1 - 1 - run, 0 - stop
 
 	MODE_OVERRIDE=$OVERRIDE start_daemons_procd
 }

init.d/openwrt/custom.d.examples/10-inherit-tpws4http-nfqws4https

@@ -1,35 +0,0 @@
-# this custom script demonstrates how to apply tpws to http and nfqws to https and quic
-# it's desired that inherited basic rules are low priority to allow specializations and exceptions in other custom scripts
-
-nfqws_tpws_inheritor()
-{
-	# $1 - inherited function
-	# $2 - 1 - run, 0 - stop
-	
-	[ "$MODE_HTTP" = "1" ] && {
-		MODE_OVERRIDE=tpws MODE_HTTPS=0 MODE_QUIC=0 $1 $2
-	}
-
-	[ "$MODE_HTTPS" = "1" -o "$MODE_QUIC" = "1" ] && {
-		MODE_OVERRIDE=nfqws MODE_HTTP=0 $1 $2
-	}
-}
-
-zapret_custom_daemons()
-{
-        # stop logic is managed by procd
-
-	nfqws_tpws_inheritor start_daemons_procd
-}
-zapret_custom_firewall()
-{
-	# $1 - 1 - run, 0 - stop
-
-	nfqws_tpws_inheritor zapret_do_firewall_rules_ipt $1
-}
-zapret_custom_firewall_nft()
-{
-	# stop logic is not required
-
-	nfqws_tpws_inheritor zapret_apply_firewall_rules_nft
-}

init.d/openwrt/custom.d.examples/50-dht4all

@@ -1,15 +1,15 @@
 # this custom script runs desync to DHT packets with udp payload length 101..399 , without ipset/hostlist filtering
 # need to add to config : NFQWS_OPT_DESYNC_DHT="--dpi-desync=fake --dpi-desync-ttl=5"
 
-alloc_dnum DNUM_DHT4ALL
+DNUM=101
-alloc_qnum QNUM_DHT4ALL
+QNUM2=$(($DNUM * 5))
 
 zapret_custom_daemons()
 {
         # stop logic is managed by procd
 
         local opt="--qnum=$QNUM2 $NFQWS_OPT_BASE $NFQWS_OPT_DESYNC_DHT"
-	run_daemon $DNUM_DHT4ALL $NFQWS "$opt"
+	run_daemon $DNUM $NFQWS "$opt"
 }
 zapret_custom_firewall()
 {
@@ -22,7 +22,7 @@ zapret_custom_firewall()
         f='-p udp -m length --length 109:407 -m u32 --u32'
 	uf4='0>>22&0x3C@8>>16=0x6431'
 	uf6='48>>16=0x6431'
-        fw_nfqws_post $1 "$f $uf4 $desync $first_packet_only"  "$f $uf6 $desync $first_packet_only" $QNUM_DHT4ALL
+        fw_nfqws_post $1 "$f $uf4 $desync $first_packet_only"  "$f $uf6 $desync $first_packet_only" $QNUM2
 
 }
 zapret_custom_firewall_nft()
@@ -34,5 +34,6 @@ zapret_custom_firewall_nft()
         local desync="mark and $DESYNC_MARK == 0"
 
         f="meta length 109-407 meta l4proto udp @th,64,16 0x6431"
-        nft_fw_nfqws_post "$f $desync $first_packet_only" "$f $desync $first_packet_only" $QNUM_DHT4ALL
+        nft_fw_nfqws_post "$f $desync $first_packet_only" "$f $desync $first_packet_only" $QNUM2
 }
+

init.d/openwrt/custom.d.examples/50-quic4all

@@ -2,15 +2,15 @@
 # need to add to config : NFQWS_OPT_DESYNC_QUIC="--dpi-desync=fake"
 # NOTE : do not use TTL fooling. chromium QUIC engine breaks sessions if TTL expired in transit received
 
-alloc_dnum DNUM_QUIC4ALL
+DNUM=102
-alloc_qnum QNUM_QUIC4ALL
+QNUM2=$(($DNUM * 5))
 
 zapret_custom_daemons()
 {
 	# $1 - 1 - run, 0 - stop
 
 	local opt="--qnum=$QNUM2 $NFQWS_OPT_BASE $NFQWS_OPT_DESYNC_QUIC"
-	run_daemon $DNUM_QUIC4ALL $NFQWS "$opt"
+	run_daemon $DNUM $NFQWS "$opt"
 }
 zapret_custom_firewall()
 {
@@ -21,7 +21,7 @@ zapret_custom_firewall()
 	local desync="-m mark ! --mark $DESYNC_MARK/$DESYNC_MARK"
 
 	f="-p udp -m multiport --dports $QUIC_PORTS_IPT"
-	fw_nfqws_post $1 "$f $desync $first_packets_only" "$f $desync $first_packets_only" $QNUM_QUIC4ALL
+	fw_nfqws_post $1 "$f $desync $first_packets_only" "$f $desync $first_packets_only" $QNUM2
 
 }
 zapret_custom_firewall_nft()
@@ -33,5 +33,5 @@ zapret_custom_firewall_nft()
 	local desync="mark and $DESYNC_MARK == 0"
 
 	f="udp dport {$QUIC_PORTS}"
-	nft_fw_nfqws_post "$f $desync $first_packets_only" "$f $desync $first_packets_only" $QNUM_QUIC4ALL
+	nft_fw_nfqws_post "$f $desync $first_packets_only" "$f $desync $first_packets_only" $QNUM2
 }

init.d/openwrt/custom.d.examples/50-tpws4http-nfqws4https

@@ -0,0 +1,71 @@
+# this custom script demonstrates how to apply tpws to http and nfqws to https
+# it preserves config settings : MODE_HTTP, MODE_HTTPS, MODE_FILTER, TPWS_OPT, NFQWS_OPT_DESYNC, NFQWS_OPT_DESYNC_HTTPS
+
+zapret_custom_daemons()
+{
+	# $1 - 1 - run, 0 - stop
+
+	local opt
+
+	[ "$MODE_HTTP" = "1" ] && {
+		opt="--port=$TPPORT $TPWS_OPT"
+		filter_apply_hostlist_target opt
+		filter_apply_suffix opt "$TPWS_OPT_SUFFIX"
+		run_tpws 1 "$opt"
+	}
+
+	[ "$MODE_HTTPS" = "1" ] && {
+		opt="--qnum=$QNUM $NFQWS_OPT_DESYNC_HTTPS"
+		filter_apply_hostlist_target opt
+		filter_apply_suffix opt "$NFQWS_OPT_DESYNC_HTTPS_SUFFIX"
+		run_daemon 2 $NFQWS "$opt"
+	}
+}
+zapret_custom_firewall()
+{
+	# $1 - 1 - run, 0 - stop
+
+	local f4 f6
+	local first_packet_only="$ipt_connbytes 1:$(first_packets_for_mode)"
+	local desync="-m mark ! --mark $DESYNC_MARK/$DESYNC_MARK"
+
+	[ "$MODE_HTTP" = "1" ] && {
+		f4="-p tcp -m multiport --dports $HTTP_PORTS_IPT"
+		f6=$f4
+		filter_apply_ipset_target f4 f6
+		fw_tpws $1 "$f4" "$f6" $TPPORT
+	}
+	
+	[ "$MODE_HTTPS" = "1" ] && {
+		f4="-p tcp -m multiport --dports $HTTPS_PORTS_IPT $first_packet_only"
+		f6=$f4
+		filter_apply_ipset_target f4 f6
+		fw_nfqws_post $1 "$f4 $desync" "$f6 $desync" $QNUM
+		# for modes that require incoming traffic
+		fw_reverse_nfqws_rule $1 "$f4" "$f6" $QNUM
+	}
+}
+zapret_custom_firewall_nft()
+{
+	# stop logic is not required
+
+	local f4 f6
+	local first_packet_only="$nft_connbytes 1-$(first_packets_for_mode)"
+	local desync="mark and $DESYNC_MARK == 0"
+
+	[ "$MODE_HTTP" = "1" ] && {
+		f4="tcp dport {$HTTP_PORTS}"
+		f6=$f4
+		nft_filter_apply_ipset_target f4 f6
+		nft_fw_tpws "$f4" "$f6" $TPPORT
+	}
+	
+	[ "$MODE_HTTPS" = "1" ] && {
+		f4="tcp dport {$HTTPS_PORTS} $first_packet_only"
+		f6=$f4
+		nft_filter_apply_ipset_target f4 f6
+		nft_fw_nfqws_post "$f4 $desync" "$f6 $desync" $QNUM
+		# for modes that require incoming traffic
+		nft_fw_reverse_nfqws_rule "$f4" "$f6" $QNUM
+	}
+}

init.d/sysv/custom.d.examples/10-inherit-tpws4http-nfqws4https

@@ -1,35 +0,0 @@
-# this custom script demonstrates how to apply tpws to http and nfqws to https and quic
-# it's desired that inherited basic rules are low priority to allow specializations and exceptions in other custom scripts
-
-nfqws_tpws_inheritor()
-{
-	# $1 - inherited function
-	# $2 - 1 - run, 0 - stop
-	
-	[ "$MODE_HTTP" = "1" ] && {
-		MODE_OVERRIDE=tpws MODE_HTTPS=0 MODE_QUIC=0 $1 $2
-	}
-
-	[ "$MODE_HTTPS" = "1" -o "$MODE_QUIC" = "1" ] && {
-		MODE_OVERRIDE=nfqws MODE_HTTP=0 $1 $2
-	}
-}
-
-zapret_custom_daemons()
-{
-	# $1 - 1 - run, 0 - stop
-
-	nfqws_tpws_inheritor zapret_do_daemons $1
-}
-zapret_custom_firewall()
-{
-	# $1 - 1 - run, 0 - stop
-
-	nfqws_tpws_inheritor zapret_do_firewall_rules_ipt $1
-}
-zapret_custom_firewall_nft()
-{
-	# stop logic is not required
-
-	nfqws_tpws_inheritor zapret_apply_firewall_rules_nft
-}

init.d/sysv/custom.d.examples/50-dht4all

@@ -1,15 +1,15 @@
 # this custom script runs desync to DHT packets with udp payload length 101..399 , without ipset/hostlist filtering
 # need to add to config : NFQWS_OPT_DESYNC_DHT="--dpi-desync=fake --dpi-desync-ttl=5"
 
-alloc_dnum DNUM_DHT4ALL
+DNUM=101
-alloc_qnum QNUM_DHT4ALL
+QNUM2=$(($DNUM * 5))
 
 zapret_custom_daemons()
 {
         # stop logic is managed by procd
 
-        local opt="--qnum=$QNUM_DHT4ALL $NFQWS_OPT_BASE $NFQWS_OPT_DESYNC_DHT"
+        local opt="--qnum=$QNUM2 $NFQWS_OPT_BASE $NFQWS_OPT_DESYNC_DHT"
-	do_nfqws $1 $DNUM_DHT4ALL "$opt"
+	do_nfqws $1 $DNUM "$opt"
 }
 zapret_custom_firewall()
 {
@@ -22,7 +22,7 @@ zapret_custom_firewall()
         f='-p udp -m length --length 109:407 -m u32 --u32'
 	uf4='0>>22&0x3C@8>>16=0x6431'
 	uf6='48>>16=0x6431'
-        fw_nfqws_post $1 "$f $uf4 $desync $first_packet_only"  "$f $uf6 $desync $first_packet_only" $QNUM_DHT4ALL
+        fw_nfqws_post $1 "$f $uf4 $desync $first_packet_only"  "$f $uf6 $desync $first_packet_only" $QNUM2
 
 }
 zapret_custom_firewall_nft()
@@ -34,6 +34,6 @@ zapret_custom_firewall_nft()
         local desync="mark and $DESYNC_MARK == 0"
 
         f="meta length 109-407 meta l4proto udp @th,64,16 0x6431"
-        nft_fw_nfqws_post "$f $desync $first_packet_only" "$f $desync $first_packet_only" $QNUM_DHT4ALL
+        nft_fw_nfqws_post "$f $desync $first_packet_only" "$f $desync $first_packet_only" $QNUM2
 }
 

init.d/sysv/custom.d.examples/50-quic4all

@@ -2,15 +2,15 @@
 # need to add to config : NFQWS_OPT_DESYNC_QUIC="--dpi-desync=fake"
 # NOTE : do not use TTL fooling. chromium QUIC engine breaks sessions if TTL expired in transit received
 
-alloc_dnum DNUM_QUIC4ALL
+DNUM=102
-alloc_qnum QNUM_QUIC4ALL
+QNUM2=$(($DNUM * 5))
 
 zapret_custom_daemons()
 {
 	# $1 - 1 - run, 0 - stop
 
-	local opt="--qnum=$QNUM_QUIC4ALL $NFQWS_OPT_BASE $NFQWS_OPT_DESYNC_QUIC"
+	local opt="--qnum=$QNUM2 $NFQWS_OPT_BASE $NFQWS_OPT_DESYNC_QUIC"
-	do_nfqws $1 $DNUM_QUIC4ALL "$opt"
+	do_nfqws $1 $DNUM "$opt"
 }
 zapret_custom_firewall()
 {
@@ -21,7 +21,7 @@ zapret_custom_firewall()
 	local desync="-m mark ! --mark $DESYNC_MARK/$DESYNC_MARK"
 
 	f="-p udp -m multiport --dports $QUIC_PORTS_IPT"
-	fw_nfqws_post $1 "$f $desync $first_packets_only" "$f $desync $first_packets_only" $QNUM_QUIC4ALL
+	fw_nfqws_post $1 "$f $desync $first_packets_only" "$f $desync $first_packets_only" $QNUM2
 
 }
 zapret_custom_firewall_nft()
@@ -33,5 +33,5 @@ zapret_custom_firewall_nft()
 	local desync="mark and $DESYNC_MARK == 0"
 
 	f="udp dport {$QUIC_PORTS}"
-	nft_fw_nfqws_post "$f $desync $first_packets_only" "$f $desync $first_packets_only" $QNUM_QUIC4ALL
+	nft_fw_nfqws_post "$f $desync $first_packets_only" "$f $desync $first_packets_only" $QNUM2
 }

init.d/sysv/custom.d.examples/50-tpws4http-nfqws4https

@@ -0,0 +1,71 @@
+# this custom script demonstrates how to apply tpws to http and nfqws to https
+# it preserves config settings : MODE_HTTP, MODE_HTTPS, MODE_FILTER, TPWS_OPT, NFQWS_OPT_DESYNC, NFQWS_OPT_DESYNC_HTTPS
+
+zapret_custom_daemons()
+{
+	# $1 - 1 - run, 0 - stop
+
+	local opt
+
+	[ "$MODE_HTTP" = "1" ] && {
+		opt="--port=$TPPORT $TPWS_OPT"
+		filter_apply_hostlist_target opt
+		filter_apply_suffix opt "$TPWS_OPT_SUFFIX"
+		do_tpws $1 1 "$opt"
+	}
+
+	[ "$MODE_HTTPS" = "1" ] && {
+		opt="--qnum=$QNUM $NFQWS_OPT_DESYNC_HTTPS"
+		filter_apply_hostlist_target opt
+		filter_apply_suffix opt "$NFQWS_OPT_DESYNC_HTTPS_SUFFIX"
+		do_nfqws $1 2 "$opt"
+	}
+}
+zapret_custom_firewall()
+{
+	# $1 - 1 - run, 0 - stop
+
+	local f4 f6
+	local first_packet_only="$ipt_connbytes 1:$(first_packets_for_mode)"
+	local desync="-m mark ! --mark $DESYNC_MARK/$DESYNC_MARK"
+
+	[ "$MODE_HTTP" = "1" ] && {
+		f4="-p tcp -m multiport --dports $HTTP_PORTS_IPT"
+		f6=$f4
+		filter_apply_ipset_target f4 f6
+		fw_tpws $1 "$f4" "$f6" $TPPORT
+	}
+	
+	[ "$MODE_HTTPS" = "1" ] && {
+		f4="-p tcp -m multiport --dports $HTTPS_PORTS_IPT $first_packet_only"
+		f6=$f4
+		filter_apply_ipset_target f4 f6
+		fw_nfqws_post $1 "$f4 $desync" "$f6 $desync" $QNUM
+		# for modes that require incoming traffic
+		fw_reverse_nfqws_rule $1 "$f4" "$f6" $QNUM
+	}
+}
+zapret_custom_firewall_nft()
+{
+	# stop logic is not required
+
+	local f4 f6
+	local first_packet_only="$nft_connbytes 1-$(first_packets_for_mode)"
+	local desync="mark and $DESYNC_MARK == 0"
+
+	[ "$MODE_HTTP" = "1" ] && {
+		f4="tcp dport {$HTTP_PORTS}"
+		f6=$f4
+		nft_filter_apply_ipset_target f4 f6
+		nft_fw_tpws "$f4" "$f6" $TPPORT
+	}
+	
+	[ "$MODE_HTTPS" = "1" ] && {
+		f4="tcp dport {$HTTPS_PORTS} $first_packet_only"
+		f6=$f4
+		nft_filter_apply_ipset_target f4 f6
+		nft_fw_nfqws_post "$f4 $desync" "$f6 $desync" $QNUM
+		# for modes that require incoming traffic
+		nft_fw_reverse_nfqws_rule "$f4" "$f6" $QNUM
+	}
+}

tpws/tpws.c

@@ -1087,7 +1087,7 @@ static bool read_system_maxfiles(rlim_t *maxfile)
 		return false;
 	n=fscanf(F,"%ju",&um);
 	fclose(F);
-	if (n != 1)	return false;
+	if (!n)	return false;
 	*maxfile = (rlim_t)um;
 	return true;
 #elif defined(BSD)
@@ -1132,7 +1132,7 @@ static bool set_ulimit(void)
 		// additional 1/2 for unpaired remote legs sending buffers
 		// 16 for listen_fd, epoll, hostlist, ...
 #ifdef SPLICE_PRESENT
-		fdmax = (rlim_t)(params.nosplice ? 2 : (params.tamper && !params.tamper_lim ? 4 : 6)) * (rlim_t)params.maxconn;
+		fdmax = (params.nosplice ? 2 : (params.tamper && !params.tamper_lim ? 4 : 6)) * params.maxconn;
 #else
 		fdmax = 2 * params.maxconn;
 #endif