Диагностика и вопросы

В демо туннель работает. Это настоящая проверка?

Нет. Все адреса, счётчики, DNS-ответы и проверки соединений в браузерном демо синтетические. Оно не обращается к указанным VPN-серверам, не разрешает ваши домены, не загружает списки и не настраивает роутер. Для сброса конфигурации перезагрузите страницу.

Изменил профиль, но трафик не изменился

Проверьте наличие черновика и нажмите Применить. Все экраны редактируют общий черновик. Убедитесь, что для выбранной сети/клиента задан нужный режим, затем изучите журнал маршрутов и проверьте применённое соединение.

HTTP работает, но приложение — нет

Запустите HTTPS-проверку и передачу данных отдельно. Изучите ошибки сертификатов/времени, параметры профиля, системный журнал и работу резерва. Живой процесс или один успешный HTTP-ответ — более слабое подтверждение, чем реальная передача данных приложения.

У домена нет актуальных IP

Убедитесь, что группа включена и применена. Проверьте DNS-маршрут, доступность резолвера, сроки действия и подробности ошибок. Наблюдения предпросмотра не равнозначны применению конфигурации. Имена .invalid в демо специально возвращают синтетическую ошибку.

Почему сторож восстанавливает правила перехвата?

По умолчанию сторож каждые 30 секунд проверяет обязательные переходы в цепочки межсетевого экрана. Ошибка проверки запускает попытку восстановления. Событие аудита сохраняет первую неудачную проверку — таблицу, встроенную цепочку, целевую цепочку, код завершения и ошибку команды. Код 1 обозначается как неудачная проверка, поскольку сам по себе он не устанавливает причину ошибки. Значение -1 означает отсутствие обычного кода завершения процесса.

При штатной установке на Linux KeenProxy также включает обработчик NDM, если присутствуют /var/run/ndm.core.socket и /opt/etc/ndm. Это поддерживает совместимые прошивки Keenetic/Netcraze без предположения, что NDM есть на любом роутере. Демон управляет файлом /opt/etc/ndm/netfilter.d/99-keenproxy.sh и закрытым локальным файлом событий. События IPv4 для таблиц nat, filter и mangle запускают последовательную проверку текущих правил без перезапуска движка. Повторные уведомления объединяются. Сторож с интервалом 30 секунд продолжает работать на всех платформах, в том числе при ошибке подключения обработчика.

При штатном завершении KeenProxy удаляет свой обработчик. Скрипт удаления также очищает собственный обработчик после остановки службы, в том числе оставшийся после аварийного завершения. Чужие файлы сохраняются. Обработчик, оставшийся в очереди после остановки или отката бинарника, безопасно завершается, если файл событий отсутствует. При запуске в системном журнале появляется netfilter event hook enabled. Каждая попытка восстановления записывается один раз в аудит с источником проверки: Хук netfilter или Сторож · таймер. В строке показаны краткий результат и правило; раскройте запись, чтобы увидеть коды завершения и исходные ошибки команд. Для старых записей без источника показывается Не указан. Время проверки и восстановления измеряется от первой проверки до подтверждения результата и не означает длительность простоя. Успешные восстановления и обычные проверки по событию не дублируются в системном журнале; ошибки установки хука, наблюдения за событиями и восстановления остаются в нём. Очередь обработчиков прошивки и применение правил требуют времени: восстановление по событию не гарантирует отсутствие потерь пакетов. Подробнее в описании обработчиков NDM.

После применения правил сторож снова проверяет переходы в цепочки. Если проверка не прошла, сторож делает короткую паузу и один раз повторяет ремонт на случай, если прошивка последовательно заменяет несколько таблиц. Счётчик растёт только после подтверждённого восстановления, включая повторные попытки неудавшегося обновления правил; это не счётчик перестроений со стороны прошивки. При ошибке в аудит попадают исходная проверка, результат последней попытки и её проверка после установки, если она выполнялась. Если и применение конфигурации, и её откат завершились ошибкой установки правил, сторож может повторить установку ожидающего плана после подготовки ядра, DNS и маршрутизации по политикам. Неудавшееся обновление правил после изменения адресов устройств тоже повторяется, даже если старые переходы ещё присутствуют. Если откат завершился раньше, при подготовке зависимостей, восстановление правил не может безопасно восстановить конфигурацию: устраните указанную ошибку ядра, DNS или маршрутизации, затем снова примените конфигурацию или перезапустите службу. Успешная проверка подтверждает наличие переходов в этот момент. Она не проверяет содержимое цепочек, маршрутизацию TPROXY и доступность приложений.

При повторяющихся восстановлениях запишите время действий, вызывающих проблему, и выгрузите диагностический ZIP вместе с системным журналом роутера. ZIP сохраняет структурированные сведения в поле firewall события аудита, включая необязательные trigger (netfilter_hook или watchdog) и неотрицательное duration_ms, доступные неудачные проверки before и after и результат outcome (restored, apply_failed или verify_failed). Полные ошибки команд остаются в локальных журналах. В ZIP попадают только известные обозначения правил, коды завершения, причины и общие категории ошибок. В старых записях поле firewall отсутствует.

Как скачать диагностический ZIP

1. Воспроизведите проблему и запишите примерное время и часовой пояс. Откройте Диагностику в веб-панели на роутере.
2. В верхней части страницы найдите Архив для диагностики. Если есть блок Сведения о сборке, архив расположен под ним. Нажмите Скачать ZIP. Откройте скачанный keenproxy-diagnostics.zip и проверьте содержимое перед отправкой.

Файл	Что внутри
README.txt	Формат архива и правила обезличивания
config.json	Обезличенная сводка применённых настроек, в том числе правил маршрутизации, соединений и DNS
status.json	Состояние на момент выгрузки, включая данные сборки, перехват, состояние соединений и активные резервы
journals/routes.jsonl, journals/audit.jsonl, journals/system.jsonl	Все доступные записи, которые ещё хранит KeenProxy, по одному событию на строку

В ZIP попадают записи из памяти и с диска независимо от фильтров, группировки и выбранного периода в Журнале. Старые записи могли быть удалены при ротации. Черновик в архив не входит.

При выгрузке исключаются секреты, исходные профили соединений и произвольный текст сообщений. Имена и адреса удаляются или заменяются метками, одинаковыми в пределах одного ZIP. По времени событий, портам, протоколам, политикам и счётчикам всё ещё можно судить о сетевой активности. Просмотрите файлы перед публикацией в задаче или отправкой в личной переписке.

Чтобы выгрузить один журнал текстом, откройте Журнал в панели роутера, выберите Маршрутизация, Аудит или Система, затем нажмите Скачать журнал и выберите период. Текстовая выгрузка скрывает известные секреты, но может содержать домены, адреса и подробности сообщений. Для обращения за помощью по всем трём журналам используйте ZIP.

Кнопка Скачать отчёт в диагностике сохраняет keenproxy-diagnostics.json со сводкой состояния и результатами уже запущенных проверок выбранного соединения. В браузерном демо этот отчёт содержит синтетические данные. Скачивание ZIP доступно только в панели роутера. Для резервной копии, которую можно восстановить, используйте Настройки → Конфигурация YAML и храните выгрузку в закрытом доступе.

Что приложить к сообщению об ошибке?

Укажите ожидаемое и фактическое поведение, версию и сведения о сборке, модель и прошивку роутера, шаги воспроизведения и примерное время сбоя. Приложите минимальную синтетическую конфигурацию или проверенный диагностический ZIP. См. CONTRIBUTING и SECURITY.