Docker-контейнер на основе zapret от bol-van с интегрированным Shadowsocks и SOCKS5 для подключения к контейнеру. Предназначен для удобной маршрутизации трафика через изолированную среду без модификации основной сети.

• Изоляция zapret в отдельном контейнере
• Простая интеграция с sing-box, Xray и другими прокси-клиентами

Контейнер был протестирован на следующих хостингах:

• RocketCloud
• HSVDS
• VDS Selectel MSK
• Aeza MSK
• VDC MSK - промокод VERNETTE на скидку в 9%
• RUVDS MSK
• 4VPS - проверялся сервер в Кемерово. Скидка 20% на первый заказ

• Быстрый старт
  • Предварительные требования
  • Установка и запуск
• Изменение конфигурации
• Расширенные возможности
  • Поиск стратегий
  • Custom.d скрипты
  • Проверка работы стратегий
  • Интеграция с прокси-клиентами
• Работа Instagram в браузере
• Предупреждение про Shadowsocks и SOCKS5

1. Установка git:

# Ubuntu/Debian
sudo apt install git

# Fedora
sudo dnf install git

# Arch Linux
sudo pacman -S git

2. Установка Docker:

bash <(wget -qO- https://get.docker.com)

1. Клонируйте репозиторий:

git clone https://github.com/vernette/ss-zapret
cd ss-zapret

2. Скопируйте стандартный конфиг zapret:

cp config.default config

3. Cоздайте .env файл. За основу можно взять .env.example:

cp .env.example .env
nano .env

Пример содержимого .env:

SS_PORT=8388                                # Порт Shadowsocks
SOCKS_PORT=1080                             # Порт SOCKS5
SS_PASSWORD=SuperSecurePassword             # Пароль (рекомендуется изменить!)
SS_ENCRYPT_METHOD=chacha20-ietf-poly1305    # Метод шифрования
SS_TIMEOUT=300                              # Таймаут подключения

Список переменных окружения в docker-compose.yml:

4. Запустите контейнер:

docker compose up -d

Для внесения изменений в конфиг открываем его в текстовом редакторе:

nano config

Стратегия меняется в переменной NFQWS_OPT, например:

NFQWS_OPT="
--filter-tcp=80 --methodeol --new
--filter-tcp=443 --hostlist-domains=youtube.com,googlevideo.com --dpi-desync=fakedsplit --dpi-desync-fooling=md5sig --dpi-desync-split-pos=1 --new
--filter-tcp=443 --dpi-desync=fake --dpi-desync-fooling=badseq --new
--filter-udp=50000-50099 --filter-l7=discord,stun --dpi-desync=fake --new
--filter-udp=443 --dpi-desync=fake --dpi-desync-repeats=6
"

• --filter-tcp=80 - стратегия для всего HTTP трафика
• --filter-tcp=443 --hostlist-domains=youtube.com,googlevideo.com - стратегия для HTTPS для определенных доменов
• --filter-tcp=443 - стратегия для всего остального HTTPS трафика
• --filter-udp=50000-50099 --filter-l7=discord,stun - стратегия для диапазона портов Discord (с версии zapret >= 70.6)
• --filter-udp=443 - стратегия для всего HTTP3 (QUIC) трафика

После внесения изменений не забудьте перезапустить контейнер:

docker compose restart

Перед поиском стратегий нужно обязательно остановить zapret командой, чтобы поиск шёл без модификации трафика:

docker compose exec ss-zapret sh /opt/zapret/init.d/sysv/zapret stop

Как и в оригинальном проекте, поиск стратегий осуществляется скриптом blockcheck.sh. Этот скрипт подбирает оптимальные стратегии для вашего домашнего/хостинг провайдера:

docker compose exec ss-zapret sh /opt/zapret/blockcheck.sh

Пример запуска с параметрами:

docker compose exec ss-zapret sh -c 'SKIP_TPWS=1 REPEATS=8 DOMAINS="amnezia.org discord.com" /opt/zapret/blockcheck.sh'

docker compose exec ss-zapret sh -c 'SKIP_TPWS=1 SKIP_DNSCHECK=1 SECURE_DNS=0 IPVS=4 ENABLE_HTTP=1 ENABLE_HTTPS_TLS12=1 ENABLE_HTTPS_TLS13=0 ENABLE_HTTP3=0 REPEATS=8 PARALLEL=1 SCANLEVEL=standard BATCH=1 DOMAINS="amnezia.org discord.com" /opt/zapret/blockcheck.sh'

docker compose exec ss-zapret sh -c 'SKIP_TPWS=1 SKIP_DNSCHECK=1 SECURE_DNS=0 IPVS=4 ENABLE_HTTP=0 ENABLE_HTTPS_TLS12=0 ENABLE_HTTPS_TLS13=1 ENABLE_HTTP3=0 REPEATS=8 PARALLEL=1 SCANLEVEL=standard BATCH=1 DOMAINS="xxxxxx.googlevideo.com" /opt/zapret/blockcheck.sh'

Вместо xxxxxx.googlevideo.com можно указать адрес ближайшего GGC сервера, который можно найти командой (требуется установленный curl и jq):

curl "https://www.youtube.com/youtubei/v1/player" \
  --silent \
  --request POST \
  --json '{"videoId":"dQw4w9WgXcQ","context":{"client":{"clientName":"WEB","clientVersion":"2.20230810.05.00"}}}' \
  --proxy socks5://localhost:1080 |
  jq -r ".streamingData.serverAbrStreamingUrl" |
  awk -F'/' '{print $3}'

После завершения поиска стратегий запустите zapret командой:

docker compose exec ss-zapret sh /opt/zapret/init.d/sysv/zapret start

Либо перезапустите контейнер:

docker compose restart

После первого запуска контейнера в директории проекта будет создана директория scripts:

scripts
├── custom.d
└── examples
    ├── 10-keenetic-udp-fix
    ├── 20-fw-extra
    ├── 40-webserver
    ├── 50-dht4all
    ├── 50-discord-media
    ├── 50-nfqws-ipset
    ├── 50-quic4all
    ├── 50-stun4all
    └── 50-wg4all

Для того, чтобы использовать эти скрипты, необходимо скопировать их из директории examples в директорию custom.d. Например, скопируем скрипты для Discord и Stun (Telegram, WhatsApp):

cp scripts/examples/{50-discord-media,50-stun4all} scripts/custom.d

После чего необходимо перезапустить контейнер, чтобы скрипты применились:

docker compose restart

Проверить работу стратегий можно используя скрипт censorcheck, указав локальный прокси контейнера:

bash <(wget -qO- https://github.com/vernette/censorcheck/raw/master/censorcheck.sh) --mode dpi --proxy localhost:1080

Проверить работу видео-доменов YouTube можно следующей командой:

curl --connect-to ::speedtest.selectel.ru https://manifest.googlevideo.com/100MB -k -o/dev/null -x socks5://localhost:1080

В поле Current speed должна расти скорость скачивания. Если она вообще не идёт или постоянно прыгает (во втором случае всё равно нужно проверить работу видео вручную) - стратегия не подходит.

Примеры интеграции с sing-box, Xray и в существующий проект: INTEGRATION.md

Чаще всего IP Instagram будет заблокирован и будет работать только в мобильном приложении.

Чтобы решить эту проблему, нам нужно найти незаблокированный IP и прописать его в docker-compose.yml на сервере:

ss-zapret:
  image: vernette/ss-zapret:v72.8
  container_name: zapret-proxy
  restart: unless-stopped
  ...
  healthcheck:
    test: [
      "CMD-SHELL",
      "nc -z localhost ${SS_PORT} && nc -z localhost ${SOCKS_PORT} || exit 1"
    ]
    interval: 30s
    timeout: 10s
    retries: 3
    start_period: 3s
  extra_hosts:
    instagram.com: "незаблокированный_ip"
    www.instagram.com: "незаблокированный_ip"
  cap_add:
    - NET_ADMIN

Например instagram.com: "11.22.33.44"

После чего перезапустить compose, чтобы он прописал изменения в файл /etc/hosts контейнера:

docker compose down && docker compose up -d

• Локальное использование: Запуск контейнера на домашнем сервере для изолированной работы zapret без модификации основной сети
• Серверное использование: Развертывание на удалённом VPS как единая точка подключения

Сборка образа с другой версией zapret:

docker build -t ss-zapret:v70.5 --build-arg ZAPRET_TAG=v70.5 .

Затем отредактируйте docker-compose.yml:

ss-zapret:
  image: ss-zapret:v70.5

Если у вас есть идеи для улучшения проекта, вы нашли баг или хотите предложить новую функциональность - не стесняйтесь создавать issue или отправлять pull request.