MODE_FILTER=hostlist - как конкретно работает

[I-am-all]

Написано

MODE_FILTER=hostlist - ограничить дурение списком хостов из файла

Вопросы

1. Какого конкретно файла? как системы решает какой файл брать?
2. А если несколько нужно файлов использовать (например разделенных по тематике или способу дурения)?
3. Если в файле(ах) имена хостов, кто и как определяет ip адрес по имени хоста? как резолвится?
4. В этом режиме все эти /ipset/get_*.sh не используются?

[bol-van]

Это все описано
Читаем "Фильтрация по именам доменов", "Способы получения списка заблокированных IP"

[bol-van]

Плохо вы читаете. Еще раз почитайте.
Жестко заданы только имена файлов с хостлистами и только в скриптах запуска. Они называются стандартные хостлисты

[bol-van]

а если я не вставлю маркеры в правило?

Значит не будет и подстановки и не будет листов.
Всем говорю, что это всего лишь запускалка nfqws, не более. Ничего умного там нет

[I-am-all]

Всем говорю, что это всего лишь запускалка nfqws, не более. Ничего умного там нет

@bol-van можно еще позанудствую?
Хочу еще понять - трафик в nfqws попадает согласно правилу из nft, а точнее NFQUEUE

если я указал
MODE_FILTER=none, hostlist в очередь идет весь трафик - по сути правило без предварительной фильтрации. далее обрабатывается непосредственно в nfqws в зависимости от правила.
MODE_FILTER=autohostlist еще дополнительно включается режим автодобавления в файл auto имен хостов с подозрениями
(только если указать MODE_FILTER=ipset тогда фильтрация идет на уровне nft)
Вопрос. в этих случаях как nfqws определяет к какому домену идет трафик? он же получается трафик с IP адресами, а не именами хостов.

[bol-van]

Из анализа передаваемых данных. Для TLS - SNI extension, для http - хедер Host:, IETF QUIC initial расшифровывается и там дальше тоже TLS

[I-am-all]

Из анализа передаваемых данных. Для TLS - SNI extension, для http - хедер Host:, IETF QUIC initial расшифровывается и там дальше тоже TLS

понял, спасибо. в общем также примерно как и DPI :)