Бужарово: podkop-роутер Severni Les (Cudy TR3000) — заработал на DoH

- Новый роутер обхода для стройрынка: Финляндия awg0, podkop 0.7.19, lists meta/youtube/telegram.
- Корень «обход не работал» (telegram/youtube 000 при живом туннеле): роутер стоит
  WAN'ом за домашним catch-all :53-хайджеком → восходящий резолв sing-box перехватывался,
  возвращался домашний FakeIP → sing-box звонил на FakeIP → timeout. Фикс: dns_type=doh
  (резолвер по 443 минует :53-хайджек). Версия sing-box / dns_server были ни при чём.
- Также: download_lists_via_proxy=1/main (rule-set'ы через туннель.
- podkop-reference §5: добавлена грабля «podkop за чужим DNS-хайджеком → DoH»;
  §9 inventory: добавлен Severni Les, HomeLab обновлён на awg2.
- Новый файл projects/buzharovo/podkop-router.md + линк из README.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
MSG
)

projects/buzharovo/README.md

@@ -22,6 +22,9 @@ aliases: [Бужарово, buzharovo, Server1C]
   - Справочник и runbook: [[projects/buzharovo/severny-les-bot]]
   - Решение о создании: [[decisions/2026-05-08-severny-les-bot-buzharovo]]
 
+- **podkop-роутер «Severni Les»** — Cudy TR3000 под обход РКН для стройрынка (Финляндия awg0, podkop 0.7.19, DoH).
+  - Препрод в домашней лабе: jump `10.0.0.250`→`192.168.1.1`. Справочник: [[projects/buzharovo/podkop-router]]
+
 ## Известные рецепты
 
 - **rmngr-loop после crash** (07.05.2026): тормоза локальных пользователей → `Restart-Service '1C:Enterprise 8.3 Server Agent (x86-64)' -Force`. Полный ребут сервера НЕ помогает. Полный разбор: [[decisions/2026-05-07-buzharovo-1c-rmngr-loop-after-crash]].

projects/buzharovo/podkop-router.md

@@ -0,0 +1,49 @@
+---
+date: 2026-06-23
+type: project
+tags: [buzharovo, openwrt, podkop, amneziawg, fakeip, doh]
+aliases: [Severni Les router, Бужарово podkop роутер]
+---
+
+# Бужарово — podkop-роутер «Severni Les» (Cudy TR3000)
+
+Отдельный роутер обхода РКН для стройрынка Бужарово (Северный лес). **Не путать** со шлюзом 1С-сервера [[buzharovo-router|Cudy WR6500H 185.13.47.2]] — это новый Cudy TR3000 под podkop.
+
+## Железо / ОС
+- **Cudy TR3000 v1**, OpenWrt 24.10.3 r28872, aarch64; extroot на USB.
+- podkop **v0.7.19**, sing-box **1.12.4** (бинарь скопирован с домашнего 10.0.0.1; opkg-метадата числит 1.12.22 — бэкап `/usr/bin/sing-box.bak-1.12.22`; версия на обход НЕ влияла, см. ниже).
+
+## Сеть и доступ (стадия препрод, 2026-06-23)
+Сейчас стоит в домашней лабе: воткнут во **второй LAN-порт Proxmox**.
+- LAN роутера: **192.168.1.1/24** (br-lan).
+- WAN роутера: `eth0` DHCP из домашней сети — IP **10.0.0.215**, шлюз **10.0.0.1** (домашний роутер). Весь интернет идёт через дом.
+- **Доступ:** jump через Proxmox — `ssh root@10.0.0.250` → `ssh -o UserKnownHostsFile=/dev/null root@192.168.1.1` (root / `1qaz!QAZ`). Host-key 192.168.1.1 на Proxmox конфликтует (там раньше было другое устройство) → нужен `UserKnownHostsFile=/dev/null`.
+- На стройрынке будет свой провайдер — сохранить LAN `192.168.1.0/24`.
+
+## Туннель
+- AmneziaWG **awg0** → Finland HOSTKEY `151.241.234.241:41624` (тот же хаб, что у дома и НИИКН; AWG 1.5: S3/S4 + H-диапазоны), клиент `10.8.1.3/32`.
+- На Amnezia-панели (LXC 143) пир называется **«Severni Les»**. Список клиентов хаба: `Admin [macOS]`=10.8.1.1, `podkop homelab`=10.8.1.2 (домашний), `Severni Les`=10.8.1.3.
+- `rp_filter` глобально `0` → транзит через туннель работает без правок (в отличие от домашнего, где нужен per-iface `=2` — см. [[../dttb/openwrt-router]]).
+
+## podkop-конфиг (рабочий)
+| Параметр | Значение |
+|---|---|
+| `interface` | `awg0` (Финляндия) |
+| `community_lists` | `meta youtube telegram` |
+| `disable_quic` | `1` |
+| `dns_type` | **`doh`** ← ключевой фикс |
+| `dns_server` | `8.8.8.8` |
+| `download_lists_via_proxy` | **`1`** / section `main` |
+
+## Грабли, которые лечили (2026-06-23)
+1. **`download_lists_via_proxy=0` → sing-box не качал rule-set'ы** (GitHub блокирован РКН по WAN, `/tmp/sing-box/rulesets` пуст). Фикс: `download_lists_via_proxy=1` + `download_lists_via_proxy_section=main` (detour→`main-out`=туннель). Бэкап `/etc/config/podkop.bak-srs-fix-20260623`. Подробно: [[../../snippets/podkop-reference]] §5.
+2. **Главное: обход не работал (telegram/youtube 000), хотя туннель жив.** sing-box дозванивался до самого FakeIP (`dial tcp 198.18.0.x: i/o timeout`) вместо реального IP. **Корень — препрод-среда:** роутер стоит за домашним роутером, а у того **catch-all DNS-хайджек** (`udp dport 53 dnat → 10.0.0.1:53`). Восходящий резолв sing-box'а (за реальным IP по `udp:53`) перехватывался домашним хайджеком → возвращался домашний FakeIP → петля. **Фикс: `dns_type=doh`** — резолвер по `https/443` минует `:53`-хайджек. На боевом объекте (свой провайдер) работал бы и на `udp`, но DoH делает роутер устойчивым к любому вышестоящему DNS-перехвату. Грабля в справочнике: [[../../snippets/podkop-reference]] §5.
+   - Тупиковые версии (отброшены проверкой): sing-box 1.12.22→1.12.4 и `dns_server` 77.88.8.8→8.8.8.8 — **на обход не влияли**, причина была в DNS-хайджеке.
+
+## sing-box 1.13.x — НЕ ставить (пока podkop 0.7.19)
+podkop 0.7.19 генерит sing-box-конфиг под ветку **1.12** (старый формат DNS-секции). В 1.13 формат DNS менялся → риск, что sing-box не распарсит конфиг и не стартует. Держим 1.12.x (как дома). Латест — только после проверки совместимости с podkop, откатно.
+
+## Связанное
+- [[README]] — проект Бужарово
+- [[../dttb/openwrt-router]] — домашний роутер (тот же финский хаб awg2; там грабля rp_filter)
+- [[../../decisions/2026-06-23-amnezia-web-panel-lxc143]] — Amnezia-панель и финский хаб