0. Обязательно устанавливаем компонент «Модули ядра подсистемы Netfilter» (веб-интерфейс управления роутером → Параметры системы → Показать компоненты).

1. Разворачиваем Entware на внутреннем или внешнем накопителе. При разворачивании запоминаем, как назывался архив, который поместили на роутер (mips, mipsel, aarch64).

Доходим в инструкции до команды opkg update, выполняем её и ставим необходимые пакеты:

opkg install ipset curl gzip grep iptables nano

2. Скачиваем утилиту tpws: вспоминаем, как назывался архив при разворачивании Entware, в зависимости от этого выполняем команду.

• mips:

curl https://raw.githubusercontent.com/bol-van/zapret/master/binaries/mips32r1-msb/tpws -o /opt/usr/bin/tpws

• mipsel:

curl https://raw.githubusercontent.com/bol-van/zapret/master/binaries/mips32r1-lsb/tpws -o /opt/usr/bin/tpws

• aarch64:

curl https://raw.githubusercontent.com/bol-van/zapret/master/binaries/aarch64/tpws -o /opt/usr/bin/tpws

Делаем бинарник tpws исполняемым:

chmod +x /opt/usr/bin/tpws

4. Создаём скрипт инициализацции:

nano /opt/etc/init.d/S51tpws

Открывается редактор текста, туда вставляем:

#!/bin/sh

SCRIPT=/opt/usr/bin/tpws
PIDFILE=/opt/var/run/tpws.pid
ARGS="--daemon --bind-addr 192.168.1.1 --port 999 --disorder --tlsrec=sni --split-pos=2 --hostlist=/opt/etc/zapret-hosts-user.txt --pidfile $PIDFILE"

start() { 
  if [ -f $PIDFILE ] && kill -0 $(cat $PIDFILE); then
    echo 'Service TPWS is already running' >&2
    return 1
  fi
  $SCRIPT $ARGS
  iptables -t nat -A PREROUTING -i br0 -p tcp --dport 443 -j REDIRECT --to-port 999
  echo 'Started TPWS service'
}

stop() {
  iptables -t nat -D PREROUTING -i br0 -p tcp --dport 443 -j REDIRECT --to-port 999
  if [ ! -f "$PIDFILE" ] || ! kill -0 $(cat "$PIDFILE"); then
    echo 'Service TPWS is not running' >&2
    return 1
  fi
  echo 'Stopping TPWS service...'
  kill -15 $(cat "$PIDFILE") && rm -f "$PIDFILE"
}

status() {
  if [ -f $PIDFILE ] && kill -0 $(cat $PIDFILE); then
    echo 'Service TPWS is running'
  else
    echo 'Service TPWS is stopped'
  fi
}

case "$1" in
  start)
    start
    ;;
  stop)
    stop
    ;;
  status)
    status
    ;;
  restart)
    stop
    start
    ;;
  *)
    echo "Usage: $0 {start|stop|restart|status}"
esac

Сохраняем (Ctrl+X, в ответ на вопрос о сохранении нажимаем Y, в ответ на вопрос об имени файла нажимаем Enter).

Делаем скрипт исполняемым:

chmod +x /opt/etc/init.d/S51tpws

5. Учим Keenetic не забывать правила. Создаём скрипт:

nano /opt/etc/ndm/netfilter.d/100-tpws.sh

Открывается редактор текста, туда вставляем:

#!/bin/sh

if [ ! -f /opt/var/run/tpws.pid ] || ! kill -0 $(cat /opt/var/run/tpws.pid); then
    exit
fi

[ "$type" == "ip6tables" ] && exit
[ "$table" != "nat" ] && exit

if [ -z "$(iptables-save 2>/dev/null | grep 999)" ]; then
    iptables -t nat -A PREROUTING -i br0 -p tcp --dport 443 -j REDIRECT --to-port 999
fi

Сохраняем (Ctrl+X, в ответ на вопрос о сохранении нажимаем Y, в ответ на вопрос об имени файла нажимаем Enter).

192.168.1.1 — адрес вашего роутера в локальной сети. Если он у вас другой, то соответственно скорректируйте в скрипте.

Делаем скрипт исполняемым

chmod +x /opt/etc/ndm/netfilter.d/100-tpws.sh

6. Добавляем в /opt/etc/zapret-hosts-user.txt домен googlevideo.com:

echo googlevideo.com > /opt/etc/zapret-hosts-user.txt

7. Запускаем TPWS:

/opt/etc/init.d/S51tpws start

Если вы хоите всё удалить и вернуть как было, то в веб-интерфейсе роутера в разделе настроек OPKG выставьте «Накопитель: не выбран», а также удалите правила, созданные на шаге 8.

Что можно улучшить (TODO):

• (сделано) При остановке init-скрипта убивать правила файерволла, даже если TPWS не запущен (мало ли, вдруг его кто-то раньше укокошил)
• (сделано) В 100-tpws.sh переместить проверку на запущенность TPWS в начало скрипта (если он не запущен, то нет смысла делать прочие проверки)
• (сделано) Убрать правила для 80 порта (ютуб не работает по HTTP)
• (сделано) Добавить ограничение по домену (чтобы применять дурение только к ютубу)
• (сделано) Добавить правила для блокировки QUIC
• (сделано) Потестировать не только ручной, но и автоматический запуск при запуске роутера
• (сделано) Возможно, собрать пакет, чтобы всё ставилось одной командой из Entware