Зависание nfqws

[Dystopiaru]

Дано
CMCC RAX3000M
mediatek/filogic
aarch64_cortex-a53
OpenWrt 25.12.5 r33051-f5dae5ece4
Sind-box занимается распределением трафика между zapret, vless и bypass.

Имеется данный конфиг.

--filter-tcp=443
--hostlist=/opt/zapret/files/lists/domains.google.txt
--ip-id=zero
--dpi-desync=hostfakesplit
--dpi-desync-fooling=ts
--dpi-desync-hostfakesplit-mod=host=www.google.com
--new
--dpi-desync=fake,multisplit
--dpi-desync-split-pos=1
--dpi-desync-fooling=ts
--dpi-desync-repeats=6
--dpi-desync-split-seqovl-pattern=/opt/zapret/files/fake/tls_clienthello_max_ru.bin
--dpi-desync-fake-tls=/opt/zapret/files/fake/tls_clienthello_max_ru.bin
--dpi-desync-fake-http=/opt/zapret/files/fake/tls_clienthello_max_ru.bin

В случайный момент времени nfqws прекращает обрабатывать пакеты из queue. В логе ошибок нет. Может работать несколько недель. Может начать зависать каждые 5 минут. Рестарт сервиса помогает ненадолго.
На zapret2 похожая проблема. Может кто подскажет куда копать? Есть предположение что как то связано с MTU туннеля sing-box.

Процесс по сути висит на этой команде и не может ее завершить

root@Gatekeeper:/tmp# strace -p 8834 -e trace=sendto -tt
strace: Process 8834 attached
04:04:31.080896 sendto(4, "E\0\2\314r\313@\0@\6\0\0\5\343<p\255\302\335^\247<\1\273w\305\276\247Z\374^\26"..., 716, 0, {sa_family=AF_INET, sin_port=htons(443), sin_addr=inet_addr("173.194.221.94")}, 16

[bol-van]

Если в правилах tables нет фильтра по desync mark, это точно будет периодически зависать

[Dystopiaru]

Трафик, который приходит с LAN, получает mark 0x4. С этой меткой он передаётся в sing-box, который уже классифицирует трафик по маршрутам. Для соединений, которые должны проходить через zapret, sing-box выставляет mark 0x8.

Дальше nftables по этой метке отправляет трафик в NFQUEUE 200:

table inet zapret {
    chain output {
        type route hook output priority mangle; policy accept;
        meta mark & 0x00000008 != 0x00000000 queue flags bypass to 200
    }
}

Возможно, проблема была в том, что в zapret попадал лишний трафик, который не должен был обрабатываться через NFQUEUE. Из-за этого zapret мог получать соединения/пакеты, для которых desync был не нужен или обрабатывался некорректно.

В качестве эксперимента я уменьшила dpi-desync-repeats до 2. Пока уже третий день всё работает стабильно, поэтому продолжаю наблюдать.

P.S. спасибо за вашу работу