Решаем проблему блокировок YouTube за 5 минут на роутере Mikrotik через контейнеры и без VPN / Habr

Всем привет! Это моя первая статья на хабре, которая точно кому-то пригодится в данное время. Здесь я расскажу как ускорить ютуб прямо на роутере Mikrotik и без VPN.

В моем случае используется MikroTik hAP ax3. Стоит упомянуть, что подойдут только роутеры с архитектурой ARM, ARM64 или x86 (CHR), которые и поддерживают контейнеры.

А мне можно? Какая у меня архитектура?

Место, куда нужно посмотреть и убедиться в подходящей архитектуре железа, прежде чем приступать к настройкам

Инструкция обновлена под версию ROS >= 7.20

Кто подходит под эти условия, велком под кат)

ВСЕ ОПИСАННЫЕ НАСТРОЙКИ ОТЛИЧНО ПОДХОДЯТ НА ДЕФОЛТНУЮ КОНФИГУРАЦИЮ!

Для начала обновитесь на последнюю стабильную версию!

Если вы уже нарукоблудили и у вас что-то не заработает, разбираться вам, либо обращайтесь за взаимопомощью)

Для новичков добавил много скриншотов, т.к. не все ориентируются по командной строке.

Перед началом настройки рекомендую сделать бэкап конфигурации, чтобы быстро вернуться в рабочее состояние и начать заново при необходимости.

По настройке контейнеров есть официальная вики, но постараюсь всё кратко описать здесь.

Если команда /system/device-mode print показывает container: yes , то все ок, если нет, то для включения режима контейнеров на устройстве нужно выполнить следующую команду и следовать инструкциям в консоли:

/system/device-mode/update container=yes

После перезагрузки скорее всего придется доустановить пакет Container для вашей платформы. Можно сделать так же из консоли:

/system/package/update/check-for-updates
/system/package/ enable container
# и ребут для установки
system/package/ apply-changes

Для установки контейнеров не рекомендуется использовать внутреннюю память, поэтому на роутерах нужна внешняя память USB это флешка или жесткий диск и желательно USB 3.0 и выше отформатированный в ext3/ext4.

Для контейнеров типа туннелей для обработки трафика это не обязательно, т.к. они не производят каких-либо значительных записей на диск, поэтому можно устанавливать во внутреннюю флеш, если места достаточно.

Флешку, и не обязательно USB 3.0, можно отформатировать через раздел System - Disks

Форматирование USB флешки

Выбираем свой диск и формат файловой системы и после нажимаем Start

Есть еще вариант установить контейнеры в RAM память, для тех у кого нет USB разъема, мало встроенной памяти или много RAM: https://youtu.be/KO9wbarVPOk

Далее мы создаем бридж для контейнеров, задаем ему адрес, создаем интерфейс VETH с адресом и добавляем в бридж:

/interface/bridge add name=Bridge-Docker port-cost-mode=short
/ip/address add address=192.168.254.1/24 interface=Bridge-Docker network=192.168.254.0
/interface/veth add address=192.168.254.2/24 gateway=192.168.254.1 name=BYEDPI-TUN
/interface/bridge/port add bridge=Bridge-Docker interface=BYEDPI-TUN

UI настройки Bridge, VETH (скрины старые от 2х контейнерной связки)

Установим URL-адрес реестра для загрузки контейнеров из реестра Docker и установим каталог извлечения tmpdir для подключенного usb носителя:

Здесь и далее следите за верным указанием имени вашего USB диска

/container/config set registry-url=https://registry-1.docker.io tmpdir=/usb1/docker/pull

UI Container config

Скачиваем образ контейнера, привязываем его к созданному интерфейсу VETH и ставим на автоматический запуск при загрузке устройства:

В контейнере при запуске использует��я набор команд byedpi в аргументе cmd, которые вам возможно придется подбирать для своего провайдера (у меня дом.ру), чтобы ускорить ютуб, справку по настройке параметров можно посмотреть на гитхабе проекта.

Так же блокируем QUIC трафик через переменную, чтобы роутеру было легче работать с tcp трафиком, нежели с udp.

/container/envs add list=QUIC_REJECT key=QUIC value=REJECT
/container/add remote-image=wiktorbgu/byedpi-hev-socks5-tunnel:redirect interface=BYEDPI-TUN cmd="-Kt,h -d1 -s0+s -d3+s -s6+s -d9+s -s12+s -d15+s -s20+s -d25+s -s30+s -d35+s -An -Ku -a1 -An" root-dir=/usb1/docker/byedpi-hev-socks5-tunnel-redirect start-on-boot=yes envlists=QUIC_REJECT

Если кому-то нужен вариант использования только контейнера BYEDPI-SOCKS с указанием его IP адреса и порта (192.168.254.5:1080) в настройках или плагинах браузера, такой вариант удобно использовать сразу для проверки обхода DPI провайдера.

Для этого можете установить контейнер byedpi (менее 100кб!) https://hub.docker.com/r/wiktorbgu/byedpi-mikrotik

/interface/veth add address=192.168.254.5/24 gateway=192.168.254.1 name=BYEDPI-SOCKS 
/interface/bridge/port add bridge=Bridge-Docker interface=BYEDPI-SOCKS 
/container/add remote-image=wiktorbgu/byedpi-mikrotik interface=BYEDPI-SOCKS cmd="--disorder 1 --auto=torst --tlsrec 1+s" root-dir=/usb1/docker/byedpi-mikrotik start-on-boot=yes

Я использую браузер Мозила и плагин FoxyProxy. Настраивается он достаточно просто, например, для ютуба можно экспортировать настройки, так же есть очень удобная фича в окне плагина "Set tab proxy", отлично подходит для проверок работоспособности сайта, чтобы не выискивать все испо��ьзуемые им хосты, а включить прокси только в текущей вкладке.

UI плагина FoxyProxy

Сначала рассмотрим обычную настройку роутинга только ютуба на наш контейнер

Будем использовать DNS Forward и списки хостов, которые будем пускать через контейнер туннель для ускорения ютуба :)

Обязательно должен быть настроен DoH DNS, ибо можно получить "подарок" от провайдера с липовыми адресами используя не шифрованные запросы DNS.

Для начала нужно включить встроенные сертификаты и добавить Forwarder DNS, я использую сразу 3 сервера DoH:

/certificate/settings set builtin-trust-anchors=trusted
/ip dns forwarders add doh-servers=https://cloudflare-dns.com/dns-query,https://dns.google/dns-query,https://dns.quad9.net/dns-query name=fwd_doh

При этом обычные DNS в микротике так же должны быть заданы как минимум для использования их в контейнерах и для разрешения адресов DoH серверов.

Затем добавим хосты, которые нужно пускать через контейнер анти DPI:

# YouTube
/ip/dns/static/ add address-list=za_dpi_FWD forward-to=fwd_doh match-subdomain=yes type=FWD name=googlevideo.com
/ip/dns/static/ add address-list=za_dpi_MSS_FWD forward-to=fwd_doh match-subdomain=yes type=FWD name=youtube.com
/ip/dns/static/ add address-list=za_dpi_FWD forward-to=fwd_doh match-subdomain=yes type=FWD name=youtube.ru
/ip/dns/static/ add address-list=za_dpi_FWD forward-to=fwd_doh match-subdomain=yes type=FWD name=youtubei.googleapis.com
/ip/dns/static/ add address-list=za_dpi_FWD forward-to=fwd_doh match-subdomain=yes type=FWD name=ytimg.com
/ip/dns/static/ add address-list=za_dpi_FWD forward-to=fwd_doh match-subdomain=yes type=FWD name=youtu.be
/ip/dns/static/ add address-list=za_dpi_FWD forward-to=fwd_doh match-subdomain=yes type=FWD name=ggpht.com
/ip/dns/static/ add address-list=za_dpi_FWD forward-to=fwd_doh match-subdomain=yes type=FWD name=l.google.com
/ip/dns/static/ add address-list=za_dpi_FWD forward-to=fwd_doh match-subdomain=yes type=FWD name=play.google.com
/ip/dns/static/ add address-list=za_dpi_FWD forward-to=fwd_doh match-subdomain=yes type=FWD name=nhacmp3youtube.com
/ip/dns/static/ add address-list=za_dpi_FWD forward-to=fwd_doh match-subdomain=yes type=FWD name=googleusercontent.com
/ip/dns/static/ add address-list=za_dpi_FWD forward-to=fwd_doh match-subdomain=yes type=FWD name=gstatic.com
/ip/dns/static/ add address-list=za_dpi_FWD forward-to=fwd_doh match-subdomain=yes type=FWD name=1e100.net
/ip/dns/static/ add address-list=za_dpi_FWD forward-to=fwd_doh match-subdomain=yes type=FWD name=youtube-nocookie.com
/ip/dns/static/ add address-list=za_dpi_FWD forward-to=fwd_doh match-subdomain=yes type=FWD name=gvt1.com
/ip/dns/static/ add address-list=za_dpi_FWD forward-to=fwd_doh match-subdomain=yes type=FWD name=yt.be

Указанные домены с их поддоменами будут добавляться в список za_dpi_FWD, называется он так, чтобы быть в конце всех списков при сортировке по имени списка)

UI DNS static

Добавляем новую таблицу маршрутизации и добавляем маршрут в эту таблицу на наш шлюз контейнер:

/routing/table add disabled=no fib name=dpi_mark
/ip/route add check-gateway=ping disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.254.2%Bridge-Docker pref-src="" routing-table=dpi_mark

Теперь добавим mangle правила, чтобы заворачивать все полученные в список хосты в таблицу маршрутизации dpi_mark где весь трафик пойдет на наш анти dpi туннель:

Используется 2 списка для того, чтобы ютуб ускорялся так же и на телевизорах!

/ip firewall mangle add action=mark-connection chain=prerouting connection-mark=no-mark dst-address-list=za_dpi_FWD in-interface-list=LAN new-connection-mark=to_dpi passthrough=yes
/ip firewall mangle add action=mark-connection chain=prerouting connection-mark=no-mark dst-address-list=za_dpi_MSS_FWD in-interface-list=LAN new-connection-mark=to_dpi passthrough=yes
/ip firewall mangle add action=mark-routing chain=prerouting comment="To DPI" connection-mark=to_dpi in-interface-list=LAN new-routing-mark=dpi_mark passthrough=no routing-mark=!dpi_mark dst-address-type=!local
/ip firewall mangle add action=change-mss chain=forward comment="Youtube MSS" dst-address-list=za_dpi_MSS_FWD new-mss=88 passthrough=no protocol=tcp src-address=192.168.254.2 tcp-flags=syn

UI таблица маршрутов и mangle mark route

Так же в файерволе (IP - Firewall - Filter Rules) правило forward fasttrack connection нужно обновить, исключив маркированный трафик, так сайты из списков будут открываться в разы быстрее, как и положено. Если вы его не используете (выключили/удалили), то можно оставить как есть.

/ip firewall filter set [find action=fasttrack-connection] connection-mark=no-mark

UI Firewall fasttrack

Теперь чтобы это все работало корректно, нужно все запросы DNS отправлять на роутер, для этого нужно отключить в браузере запросы DoH (например в мозилле) и добавить перехват всех запросов DNS из локальной сети.

/ip firewall nat add action=redirect chain=dstnat dst-address-type=!local dst-port=53 in-interface-list=LAN protocol=udp
/ip firewall nat add action=redirect chain=dstnat dst-address-type=!local dst-port=53 in-interface-list=LAN protocol=tcp

UI Firewall NAT

Перезагружаем роутер! Контейнеры запустятся автоматически при загрузке системы. Готово! Можно начинать тестировать ютуб, но с одним замечанием, нужно либо перезагрузить все устройства, что иногда сделать проще всего, чтобы на них очистился кеш DNS запросов, либо очистить его везде вручную и на роутере в том числе. Иначе необходимые адреса не попадут в списки для роутинга.

Теперь рассмотрим настройку роутинга ютуба с помощью маршрутов получаемых через BGP от антифильтра

Допустим мы уже получаем какие-то маршруты по BGP от сервисов antifilter и дополнительно хотим получать адреса для Ютуба чтобы сразу направить их на наши контейнеры.

UI BGP подключение

Фильтр bgp_in, в который далее будем вносить маршруты.

Включаем этот список на сайте antifilter для получения на роутер.

В таком случае нужно ко всем вышеперечисленным настройкам создать новую таблицу маршрутизации clear_out

/routing table add disabled=no fib name=clear_out

С маршрутом в интернет для этой таблицы, который у вас есть по дефолту, у меня это выше стоящий GPON роутер 192.168.1.100:

/ip route add disabled=no distance=24 dst-address=0.0.0.0/0 gateway=192.168.1.100 pref-src="" routing-table=clear_out scope=30 suppress-hw-offload=no target-scope=10

UI таблица маршрутов

По сути нужно скопировать основной маршрут в интернет без указания VRF и с указанием новой таблицы роутинга

Далее в фильтрах роутинга /routing/filter нужно для Ютуба прописать наш шлюз TUN2SOCKS:

if (bgp-communities includes 65444:770) {set gw 192.168.254.2%Bridge-Docker; accept;} else {set gw 10.10.0.1%wireguard-client-vpn; accept;}

UI фильтры маршрутов

Вносим в тот фильтр chain, который выбран в настройках BGP - Filter - Input filter

Скорее всего у большинства по bgp приходят роуты в main routing table, а теперь после выполнения последней команды есть роуты и на шлюз контейнера tun2socks

UI BGP и Route list

По bgp приходят роуты в routing table main — По bgp приходят роуты в `routing table` `main`

в таком случае сам контейнер byedpi выводим в отдельную таблицу маршрутизации clear_out которая выходит прямо в интернет, чтобы не зациклить маршрутизацию адресов ютуба и всего что отправляется на шлюз контейнера в таблице main, т.к. ничего не будет работать.

/ip firewall mangle add action=mark-routing chain=prerouting comment="BYEDPI mark route to clear_out" new-routing-mark=clear_out passthrough=no src-address=192.168.254.2

UI mangle mark routing

По счетчикам видно срабатывание правила. Стоит приоритетнее, чем правило по спискам.

Это правило отлично подходит для проверки работоспособности, т.к. есть счетчики на правилах. Либо же его можно заменить аналогичным другим правилом в другом разделе:

правила в /ip/firewall/mangleприоритетнее чем в/routing/rule !

/routing rule add action=lookup comment="BYEDPI-SOCKS mark route to clear_out" disabled=no src-address=192.168.254.2/32 table=clear_out

UI routing rules

Выбирайте на вкус и цвет, есть ли какая-то разница в производительности, не знаю. Иногда лучше видеть всё в настройках mangle, в одном месте так сказать.

После аналогичной настройки для контейнера BYEDPI-SOCKS (192.168.254.5:1080) он перестает быть напрямую доступным из локальной сети, поэтому чтобы использовать его из браузера как socks5 прокси нужно скопировать в таблицу clear_out маршрут в вашу локальную сеть, откуда идет обращение, например это bridge.

Заключение

Большинство опытных пользователей получают маршруты по BGP и просто всё отправляют на VPN, простые пользователи борятся с проблемами доступа к заблокированным ресурсам разными бесплатными VPN'ами, вторых можно понять, да и первых, у кого старые роутеры без поддержки контейнеров.

После погружения в тему для меня стало удивлением, что много сайтов начали работать без VPN, поэтому меня привлекла логичная идея локально "лечить" трафик прямо на роутере.

После настройки этих двух контейнеров я даже отказался от BGP, потому что не так много сайтов я использую которые не доступны, все они прекрасно работают по спискам DNS FWD, использую данную схему уже год на ноябрь 2025 и полёт отличный.

В целом меня раззадорил спортивный интерес и, конечно же, проблемы с ютубом, которые на компе решались очень просто, но хотелось красивого решения на роутере, не зря же была куплена свежая железка с поддержкой контейнеров, после знакомства с которыми пару лет назад я понял, какой потенциал будет на будущее у моего роутера.

Спасибо всем за внимание!

UPD. 03.11.2025:

Статья обновлена под версию ROS 7.20 и выше. (скриншоты пока старые и про bgp тоже)

Так же внесен фикс для ускорения ютуба на ТВ.

Контейнеры всегда свежие и разных версий находятся на докерхабе с описанием.

Обязательно загляните в наш чат https://t.me/it_network_people и на докерхаб, там много интересного и полезного!

Ищите и пробуйте готовые варианты команд для запуска byedpi если с указанными в статье настройками ютуб не запустился:
https://github.com/hufrea/byedpi/discussions
https://github.com/dovecoteescapee/ByeDPIAndroid/discussions
Автоподбор через андроид приложение:
https://github.com/romanvht/ByeByeDPI/

Спасибо за ваши донаты и тем кто обращается за платной настройкой) таким образом вы поддерживаете создание новых решений и поддержку существующих!