HowTo Yggdrasil - yggdrasil

API для администрирования

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:19 +0000

API для администрирования

Сокет администратора предоставляет интерфейс для запросов информации и настройки Yggdrasil во время выполнения. По умолчанию Yggdrasil прослушивает подключения администратора на localhost: 9001 (параметр AdminListen в конфигурационном файле).

Утилита для управления

Утилита yggdrasilctl предоставляет удобный интерфейс CLI для сокета администратора Yggdrasil. Она может подключаться как к локальным, так и к удаленным экземплярам Yggdrasil и принимать те же команды, что описаны ниже. Каждое поле задается в формате field=value.

Примеры использования:

yggdrasilctl getDHT
yggdrasilctl getPeers

Для получения списка поддерживаемых команд наберите:

yggdrasilctl list

Чтобы выполнить действие на удаленном узле Yggdrasil, укажите параметр -endpoint:

yggdrasilctl -endpoint=tcp://10.0.0.1:9001 getPeers
yggdrasilctl -endpoint=unix:///var/run/yggdrasil.sock getDHT

Чтобы получить ответ в формате JSON вместо «дружественного» вывода, укажите параметр -json:

yggdrasilctl -json getPeers

Сокет администратора

Сокет администратора Yggdrasil для запросов и ответов использует формат JSON.

Запрос должен быть:

корректной строфой JSON
должен завершаться символом новой строки (\n)

После получения запроса возвращается ответная строфа.

Запрос

Структура типичного запроса выглядит следующим образом:

{
  "request": "XXX",
  "arguments": {
      "baz": "qux"
  }
}

Запрос:

должен содержать поле «request» (string) - значение содержит команду запроса
может иметь поле «keepalive» (bool) - значение true или false, указывающее, следует ли поддерживать соединение для дальнейших запросов (если не указано, Yggdrasil закроет соединение администратора после возврата ответа)
должен содержать другие обязательные поля для конкретного запроса
может содержать другие необязательные поля для запроса

Пример выполнения запроса с помощью nc через unix-сокет

echo "{\"request\": \"debug_remotegetself\", \"arguments\": {\"key\": \"00000275cb3ab9ee8d285ecaef5a0d82fbd6d19edc5bc33617094232fd047964\"}}" | nc -U /var/run/yggdrasil.sock

Ответ

Типичный ответ имеет такую структуру:

{
  "request":
  {
    "request": "XXX",
    "foo": "bar",
    "baz": "qux"
  },
 
  "response":
  {
  },
 
  "status": "success"
}

Ответ:

всегда содержит поле «request» (string), которое содержит тело исходного запроса
всегда содержит поле «status» (string), которое может сожержать либо «success» (успех), либо «error» (ошибка)
дополнительно может содержать секцию «response», который содержит данные ответа на запрос
дополнительно может содержать поле «error» (string), содержащее текст ошибки

Типы запросов

Поле «request» содержит команду, предписывающую, какой запрос следует выполнить.

getDHT

Не содержит никаких дополнительных полей запроса.

Возвращает известные узлы в DHT.

key (string) содержит PublicKey удаленного узла
port (int) порт
rest (int)

getPeers

Не содержит никаких дополнительных полей запроса.

Возвращает одну или несколько записей, содержащих информацию об активных одноранговых сеансах. Первая запись обычно относится к текущему узлу.

Для каждого IPv6-адреса:

key (string) содержит PublicKey удаленного узла
port (uint8) номер локального порта
coords ([]int) содержит координаты узла в дереве
remote (string) содержит URI удаленного узла

addPeer

Ожидает:

uri (string) адрес добавляемого узла в стандартном формате URI, используемом в файле конфигурации, т. е. tcp://a.b.c.d:e

Добавляет новый узел.

Возвращает:

Ноль или более успешно добавленных строк URI в секции «added»
Ноль или более неудачных URI в секции «not_added»

removePeer

Ожидает:

port (uint8) порт удаляемого узла, его можно определить с помощью getPeers

Удаляет существующий узел.

Возвращает:

Ноль или более строк с успешно удаленными портами в секции «removed»
Ноль или более неудачных портов в секции «not_removed»

getSelf

Не ожидает никаких дополнительных полей запроса.

Возвращает одну запись, содержащую информацию о текущем узле Yggdrasil.

Для текущего адреса IPv6:

key (string) содержит PublicKey текущего узла
build_name (string) содержит имя сборки, если оно доступно (например, yggdrasil, yggdrasil-Development)
build_version (string) содержит версию сборки, если она доступна (например, 0.3.0, 0.2.7-0091)
coords ([]int) содержит координаты узла в дереве
subnet (string) содержит маршрутизируемую подсеть IPv6 для данного хоста

getSessions

Не ожидает никаких дополнительных полей запроса.

Возвращает ноль или более записей, содержащих информацию об открытых сеансах между текущим узлом Yggdrasil и другими узлами. Открытые сеансы говорят о том, что недавно был обмен траффиком с удаленным узлом.

Для каждого IPv6-адреса:

key (string) содержит PublicKey удаленного узла

getTunTap

Не ожидает никаких дополнительных полей запроса.

Возвращает одну запись, содержащую информацию об адаптере TUN/TAP текущего узла.

Для каждого адаптера:

mtu (uint8) содержит MTU локального адаптера TUN/TAP

getMulticastInterfaces

Не ожидает никаких дополнительных полей запроса.

Возвращает ноль или более строк, содержащих включенные многоадресные интерфейсы.

Если возвращаются ноль строк, то подразумевается, что многоадресный пиринг не разрешен ни на одном интерфейсе.

getNodeInfo

Ожидает:

key=строка, содержащая hex-кодированный открытый ключ удаленного узла, в том же формате, что и, например, подробный вывод ответа из getDHT

Просит удаленный узел ответить с его nodeinfo.

Возвращает секцию nodeinfo. Данные могут быть в любом формате, могут содержать любые ключи.

Ссылки

Admin API (EN): https://yggdrasil-network.github.io/admin.html

Я установил Yggdrasil, но другие узлы недоступны. ...

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:19 +0000

Я установил Yggdrasil, но другие узлы недоступны. Что я упустил?

Если Yggdrasil не обнаружил узлы автоматически, и вы не добавляли их вручную, вы не сможете выйти за пределы своего собственного узла. Необходимо, чтобы вы вручную настроили статическое соединение с другим узлом Yggdrasil, либо находились в локальной сети с другими пирами. Устройства, на которых установлен Yggdrasil, автоматически обнаруживают друг друга в локальной сети (Multicast Peer Discovery). Для обнаружения локальных узлов необходимо включение IPv6 на сетевых интерфейсах.

Проверить наличие соединения с другими узлами можно командой:

  # unix-like OS:
sudo yggdrasilctl getPeers 
  # Windows:
"C:\Program Files\Yggdrasil\yggdrasilctl.exe" getPeers

Узел на порту 0 - это вы и ваш адрес, на портах 1 и выше – ваши активные соединения с другими узлами. Пример вывода команды:

                                        bytes_recvd  bytes_sent  endpoint                                       port  proto  uptime
202:78c7:11c7:a287:1463:e978:4561:432   160409       171835      (self)                                         0     self   00:07:27
200:a3d2:b6c3:72f3:10f7:a138:7836:ed1f  29876        14547       tcp://[fe80::a00:27ff:fe49:d142%Local]:54977   1     tcp    00:07:27
201:309c:4893:a318:c104:3cd1:d89b:7420  663488       6038208     tcp://95.79.97.17:50001                        2     tcp    00:07:27

Первая строка, обозначенная словом self – ваш адрес на нулевом порту, вторая строка – локальное подключение с обозначением сетевого интерфейса, третья строка – подключение к публичному пиру через интернет.

Ссылки

FAQ (EN): https://yggdrasil-network.github.io/faq.html

Конфигурационный файл Yggdrasil на русском

anonymous@undisclosed.example.com (Anonymous) — Thu, 25 Jun 2026 17:02:57 +0000

Конфигурационный файл Yggdrasil на русском

Расположение конфигурационного файла Yggdrasil по-умолчанию
Linux	/etc/yggdrasil/yggdrasil.conf
Windows	C:\ProgramData\Yggdrasil\yggdrasil.conf

Бинарник Yggdrasil поддерживает параметр -useconffile, с помощью которого можно указать свой путь.

Yggdrasil версии 0.5.14

{
# Ваш приватный ключ. НЕ ДЕЛИТЕСЬ этим ключом ни с кем!
PrivateKey: e231c2d650f3739729ac7f95a9832024be334f065a28af905031254ce76fa6826f9e764d7d403edcc922118b6f37fdfab2f9aa9e97c0db459e38bdc4454f6c66
# C помощью ключа запуска Yggdrasil -exportkey приватный ключ можно экспортировать в формате PEM
# и после этого указать путь к нему с помощью параметра PrivateKeyPath. Пример:
# yggdrasil -exportkey -useconffile /etc/yggdrasil/yggdrasil.conf >/etc/yggdrasil/privatekey.pem
#
# PrivateKeyPath: /etc/yggdrasil/privatekey.pem
# Эту возможность можно использовать для создания шаблона конфигурационного файла, если
# вы используете Yggdrasil на нескольких устройствах.

# Список строк подключения для исходящих соединений с другими пирами в формате URI,
# например, tls://a.b.c.d:e или socks://a.b.c.d:e/f.g.h.i:j. Эти соединения
# будут подчиняться таблице маршрутизации операционной системы. Этот раздел следует
# использовать, когда в системе несколько интерфейсов, через которые возможно подключение.
Peers: []

# Список строк подключения для исходящих соединений с другими пирами в формате URI,
# упорядоченных по исходному интерфейсу, например { "eth0": [ tls://a.b.c.d:e ] }.
# Обратите внимание, что эти параметры НЕ применимы к пирингу через SOCKS и вместо этого
# SOCKS должны указываться в параметре "Peers".
InterfacePeers: {}

# Адрес прослушивания (ожидания) входящих подключений. Добавить Listener нужно, если вы
# хотите, чтобы к вам могли подключиться другие нелокальные узлы, указав ваш адрес в параметре
# Peers.
# Multicast peer discovery (протокол для обнаружения пиров в локальной сети) будет работать
# независимо от установок в этом разделе.
# Каждый Listener должен быть указан в формате URI, как показано выше, например:
# tls://0.0.0.0:0 or tls://[::]:0 для прослушивания на всех интерфейсах.
# Если не хотите принимать входящие соединения, оставьте пустым.
# Для публичных пиров Listener обязателен.
Listen: []

# Настройка интерфейсов, для которых Multicast Peer Discovery должно быть
# включено. Каждая запись в списке должна быть объектом json, который может
# содержать Regex, Beacon, Listen и Port. Regex - это регулярное
# выражение, по которому выбирается имя интерфейса; выбирается первый
# соответствующий Regex интерфейс. Beacon определяет должен ли узел
# отправлять link-local многоадресные сигналы для оповещения о своем существовании,
# пока ожидаются входящие соединения на TCP порту Port.
# Listen определяет будет ли узел ожидать/прослушивать многоадресные сигналы (beacons)
# и открывать исходящие соединения.
# ПОДРОБНЕЕ СМ. СТАТЬЮ "MULTICAST PEER DISCOVERY" НА ЭТОМ РЕСУРСЕ
MulticastInterfaces: [
{
Regex: .*
Beacon: true
Listen: true
Port: 0
Priority: 0
Password: ""
}
]

# Список открытых ключей узлов, от которых разрешены входящие подключения.
# Если оставлено пустым/неопределенным тогда все соединения
# будут разрешены по-умолчанию. Это не повлияет ни на исходящие соединения, ни на
# локальные соединения с пирами, обнаруженными через multicast (многоадресная рассылка).
AllowedPublicKeys: []

# Вх. / исх. трафик разрешен только для узлов с одинаковым паролем группы.
# Если вы хотите создать приватную сеть и запретить другим пользователям
# к ней подключаться, укажите пароль группы на всех устройствах вашей приватной сети.
# Если оставить пустым или не указывать, публичные подключения будут разрешены.
# Если указан, ВЫ НЕ СМОЖЕТЕ ПОДКЛЮЧИТЬСЯ к любым публичным узлам.
# Эта опция не влияет на пиринговые соединения и маршрутизацию трафика.
GroupPassword: ""

# Имя локального сетевого интерфейса TUN-адаптера, или "auto" для выбора
# интерфейса автоматически, или "none" для запуска без TUN.
IfName: Yggdrasil

# Максимальный размер передаваемого блока (MTU - Maximum Transmission Unit)
# для вашего локального TUN-интерфейса.
# По умолчанию это самый большой поддерживаемый размер для вашей платформы. Наименьшее
# возможное значение - 1280.
IfMTU: 65535

# По-умолчанию, nodeinfo содержит некоторые значения, включая название платформы,
# архитектуру и версию Yggdrasil. Эти значения могут помочь при изучении сети, диагностике
# проблем сетевой маршрутизации. Включение приватности
# nodeinfo предотвращает публикацию этих данных и только значения, указанные в
# "NodeInfo" (если указаны) будут отправлены запрашивающему узлу.
NodeInfoPrivacy: false

# Дополнительная произвольная информация об узле. Знечение должно быть строкой,
# представляющей собой map { "key": "value", ... } или null.
# Это совершенно необязательно, но если значения заданы, они будут видны всем узлам сети
# при выполнении соответствующего запроса.
NodeInfo: {}
}

Yggdrasil версии 0.5

{
  # Ваш приватный ключ. НЕ ДЕЛИТЕСЬ этим ключом ни с кем!
  PrivateKey: e231c2d650f3739729ac7f95a9832024be334f065a28af905031254ce76fa6826f9e764d7d403edcc922118b6f37fdfab2f9aa9e97c0db459e38bdc4454f6c66
  # C помощью ключа запуска Yggdrasil -exportkey приватный ключ можно экспортировать в формате PEM
  # и после этого указать путь к нему с помощью параметра PrivateKeyPath. Пример:
  # yggdrasil -exportkey -useconffile /etc/yggdrasil/yggdrasil.conf >/etc/yggdrasil/privatekey.pem
  #
  # PrivateKeyPath: /etc/yggdrasil/privatekey.pem
  # Эту возможность можно использовать для создания шаблона конфигурационного файла, если
  # вы используете Yggdrasil на нескольких устройствах.

  # Список строк подключения для исходящих соединений с другими пирами в формате URI,
  # например, tls://a.b.c.d:e или socks://a.b.c.d:e/f.g.h.i:j. Эти соединения
  # будут подчиняться таблице маршрутизации операционной системы. Этот раздел следует
  # использовать, когда в системе несколько интерфейсов, через которые возможно подключение.
  Peers: []

  # Список строк подключения для исходящих соединений с другими пирами в формате URI,
  # упорядоченных по исходному интерфейсу, например { "eth0": [ tls://a.b.c.d:e ] }.
  # Обратите внимание, что эти параметры НЕ применимы к пирингу через SOCKS и вместо этого
  # SOCKS должны указываться в параметре "Peers".
  InterfacePeers: {}

  # Адрес прослушивания (ожидания) входящих подключений. Добавить Listener нужно, если вы
  # хотите, чтобы к вам могли подключиться другие нелокальные узлы, указав ваш адрес в параметре 
  # Peers.
  # Multicast peer discovery (протокол для обнаружения пиров в локальной сети) будет работать 
  # независимо от установок в этом разделе.
  # Каждый Listener должен быть указан в формате URI, как показано выше, например:
  # tls://0.0.0.0:0 or tls://[::]:0 для прослушивания на всех интерфейсах.
  # Если не хотите принимать входящие соединения, оставьте пустым.
  # Для публичных пиров Listener обязателен.
  Listen: []

  # Адрес прослушивания для административных подключений. По-умолчанию прослушивание локальных 
  # подключений осуществляется либо на TCP/9001, либо через сокет UNIX, в зависимости от вашей
  # платформы. Используйте это значение для yggdrasilctl -endpoint=X. Для отключения
  # сокета администратора используйте значение "none".
  AdminListen: tcp://localhost:9001
  #
  # либо: AdminListen: /var/run/yggdrasil/yggdrasil.sock #в настройках systemd-юнита разрешена
  # запись только в /var/run/yggdrasil/ и /run/yggdrasil/

  # Настройка интерфейсов, для которых Multicast Peer Discovery должно быть
  # включено. Каждая запись в списке должна быть объектом json, который может
  # содержать Regex, Beacon, Listen и Port. Regex  - это регулярное 
  # выражение, по которому выбирается имя интерфейса; выбирается первый 
  # соответствующий Regex интерфейс. Beacon определяет должен ли узел
  # отправлять link-local многоадресные сигналы для оповещения о своем существовании,
  # пока ожидаются входящие соединения на TCP порту Port.
  # Listen определяет будет ли узел ожидать/прослушивать многоадресные сигналы (beacons)
  # и открывать исходящие соединения.
  # ПОДРОБНЕЕ СМ. СТАТЬЮ "MULTICAST PEER DISCOVERY" НА ЭТОМ РЕСУРСЕ
  MulticastInterfaces: [
    {
      Regex: .*
      Beacon: true
      Listen: true
      Port: 0
      Priority: 0
      Password: ""
    }
  ]

  # Список открытых ключей узлов, от которых разрешены входящие подключения.
  # Если оставлено пустым/неопределенным тогда все соединения
  # будут разрешены по-умолчанию. Это не повлияет ни на исходящие соединения, ни на
  # локальные соединения с пирами, обнаруженными через multicast (многоадресная рассылка).
  AllowedPublicKeys: []

  # Имя локального сетевого интерфейса TUN-адаптера, или "auto" для выбора
  # интерфейса автоматически, или "none" для запуска без TUN.
  IfName: Yggdrasil

  # Максимальный размер передаваемого блока (MTU - Maximum Transmission Unit) 
  # для вашего локального TUN-интерфейса.
  # По умолчанию это самый большой поддерживаемый размер для вашей платформы. Наименьшее 
  # возможное значение - 1280.
  IfMTU: 65535

  # По-умолчанию, nodeinfo содержит некоторые значения, включая название платформы,
  # архитектуру и версию Yggdrasil. Эти значения могут помочь при изучении сети, диагностике
  # проблем сетевой маршрутизации. Включение приватности
  # nodeinfo предотвращает публикацию этих данных и только значения, указанные в 
  # "NodeInfo" (если указаны) будут отправлены запрашивающему узлу.
  NodeInfoPrivacy: false

  # Дополнительная произвольная информация об узле. Знечение должно быть строкой, 
  # представляющей собой map { "key": "value", ... } или null.
  # Это совершенно необязательно, но если значения заданы, они будут видны всем узлам сети
  # при выполнении соответствующего запроса.
  NodeInfo: {}
}

Yggdrasil версии 0.4

{
# Список строк подключения для исходящих соединений с другими пирами в формате URI,
# например, tls://a.b.c.d:e или socks://a.b.c.d:e/f.g.h.i:j. Эти соединения
# будут подчиняться таблице маршрутизации операционной системы. Этот раздел следует
# использовать, когда в системе несколько интерфейсов, через которые возможно подключение.
Peers: []

# Адрес прослушивания для административных подключений. По-умолчанию прослушивание локальных
# подключений осуществляется либо на TCP/9001, либо через сокет UNIX, в зависимости от вашей
# платформы. Используйте это значение для yggdrasilctl -endpoint=X. Для отключения
# сокета администратора используйте значение "none".
AdminListen: unix:///var/run/yggdrasil.sock

# Настройка интерфейсов, для которых Multicast Peer Discovery должно быть
# включено. Каждая запись в списке должна быть объектом json, который может
# содержать Regex, Beacon, Listen и Port. Regex - это регулярное
# выражение, по которому выбирается имя интерфейса; выбирается первый
# соответствующий Regex интерфейс. Beacon определяет должен ли узел
# отправлять link-local многоадресные сигналы для оповещения о своем существовании,
# пока ожидаются входящие соединения на TCP порту Port.
# Listen определяет будет ли узел ожидать/прослушивать многоадресные сигналы (beacons)
# и открывать исходящие соединения.
# ПОДРОБНЕЕ СМ. СТАТЬЮ "MULTICAST PEER DISCOVERY" НА ЭТОМ РЕСУРСЕ
MulticastInterfaces:
[
{
Regex: .*
Beacon: true
Listen: true
Port: 0
}
]

# Ваш публичный (открытый) ключ. Те, с кем вы соединяетесь могут попросить у вас этот ключ
# для указания в разделе AllowedPublicKeys их конфигурации.
PublicKey: a999ccc664e0d645e76ed1fa2cf169806e4674725f3d6213d2c92869976eb01e

# Ваш приватный ключ. НЕ ДЕЛИТЕСЬ этим ключом ни с кем!
PrivateKey: 711895e5625cc787c06e7e03c49ed71470cf87dfb626985f1cb669a24a479c3ea999ccc664e0d645e76ed1fa2cf169806e4674725f3d6213d2c92869976eb01e

# Имя локального сетевого интерфейса TUN-адаптера, или "auto" для выбора
# интерфейса автоматически, или "none" для запуска без TUN.
IfName: auto

Yggdrasil версии 0.3.14

{
# Список строк подключения для исходящих соединений с другими пирами в формате URI,
# например, tcp://a.b.c.d:e или socks://a.b.c.d:e/f.g.h.i:j. Эти соединения
# будут подчиняться таблице маршрутизации операционной системы, поэтому вы должны
# использовать этот раздел, когда вы можете подключаться через различные интерфейсы.
Peers: []

# Список строк подключения для исходящих соединений с другими пирами в формате URI,
# упорядоченных по исходному интерфейсу, например { "eth0": [ tcp://a.b.c.d:e ] }.
# Обратите внимание, что эти параметры НЕ применимы к пирингу через SOCKS и вместо этого
# SOCKS должны перейти в раздел "Peers".
InterfacePeers: {}

# Адрес прослушивания (ожидания) входящих подключений. Добавить слушателей необходимо
# для того, чтобы принимать входящие соединения от нелокальных узлов.
# Multicast peer discovery (протокол для обнаружения пиров в локальной сети) будет работать
# независимо от установок в этом разделе.
# Каждый слушатель должен быть указан в формате URI, как показано выше, например:
# tcp://0.0.0.0:0 or tcp://[::]:0 для прослушивания на всех интерфейсах.
Listen: []

# Регулярные выражения, в соответствии с которыми будет включено
# multicast peer discovery (см. выше). Если не указано ничего, multicast peer discovery будет
# отключен. Значение по-умолчанию: .*, что соответствует всем интерфейсам.
MulticastInterfaces:
[
.*
]

# Список открытых ключей шифрования пиров, от которых разрешены входящие
# подключения. Если оставлено пустым/неопределенным тогда все соединения
# будут разрешены по-умолчанию. Это не повлияет ни на исходящие соединения, ни на
# локальные соединения с пирами, обнаруженными через multicast (многоадресная рассылка).
AllowedEncryptionPublicKeys: []

# Ваш публичный (открытый) ключ шифрования. Те, с кем вы соединяетесь могут попросить у вас этот ключ
# для указания в разделе AllowedEncryptionPublicKeys их конфигурации.
EncryptionPublicKey: a999ccc664e0d645e76ed1fa2cf169806e4674725f3d6213d2c92869976eb01e

# Ваш приватный ключ шифрования. НЕ ДЕЛИТЕСЬ этим ключом ни с кем!
EncryptionPrivateKey: 711895e5625cc787c06e7e03c49ed71470cf87dfb626985f1cb669a24a479c3e

# Ваш открытый ключ для подписывания. В общем случае, вам не нужно ни с кем делиться
# этим ключом.
SigningPublicKey: 050a7f72d7ad3917e0e1aa615d605653c9f82d2183b8b43ca97efb7d5cc49c93

# Ваш приватный ключ для подписывания. НЕ ДЕЛИТЕСЬ этим ключом ни с кем!
SigningPrivateKey: c2be71a619c9eb498d9fde9792ba7399223773bb063d0d6eefb213f623f387e2050a7f72d7ad3917e0e1aa615d605653c9f82d2183b8b43ca97efb7d5cc49c93

# Номер порта, который будет использован локальными TCP слушателями для
# сконфигурированных MulticastInterfaces (многоадресных интерфейсов).
# Эта опция не влияет на слушателей, указанных в параметре Listen.
# Если вы не планируете использовать файервол для локального трафика,
# будет лучше, если вы оставите это значение по-умолчанию равным 0. В настоящее время
# этот параметр не может быть изменен путем перезагрузки конфигурации во время выполнения.
LinkLocalTCPPort: 0

# Межсетевой экран сеанса управляет тем, кто может отправлять/получать исходящий/входящий
# сетевой трафик. Это полезно, если вы хотите защитить узел без использования
# настоящего файервола. Эта настройка не влияет на трафик, идущий через этот узел
# в другое место. Правила имеют следующие приоритеты:
# черный список, белый список, всегда разрешенные исходящие, прямые, удаленные.
SessionFirewall:
{
# Включение или отключение файервола сессии. Если отключено, сетевой трафик
# от любого узла будет разрешен. Если включено, применяются правила, приведенные ниже.
Enable: false

# Разрешить сетевой трафик от узлов, подключенных напрямую.
AllowFromDirect: true

# Разрешить трафик с удаленных узлов сети, к которым вы
# не подключены напрямую.
AllowFromRemote: true

# Разрешить исходящий трафик, независимо от AllowFromDirect или
# AllowFromRemote. Это разрешает удаленному узлу отправлять вам обратно
# незапрашиваемый трафик на протяжении всей сессии.
AlwaysAllowOutbound: true

# Список открытых ключей узлов, с которых трафик всегда будет разрешен,
# независимо от AllowFromDirect или AllowFromRemote.
WhitelistEncryptionPublicKeys: []

# Список открытых ключей узлов, с которых трафик всегда будет отклонен,
# независимо от белого списка, AllowFromDirect or AllowFromRemote.
BlacklistEncryptionPublicKeys: []
}

# Разрешить туннелирование не-Yggdrasil трафика через Yggdrasil. Это позволяет
# эффективно использовать Yggdrasil для маршрутизации в другие сети или соединения с другими сетями,
# аналогично VPN-туннелю. Туннелирование работает между любыми двумя узлами и
# не требует их прямого соединения.
TunnelRouting:
{
# Включить или отключить туннельную маршрутизацию.
Enable: false

# IPv6-подсети, приналежащие удаленным узлам, сопоставленные по публичным
# ключам узлов, например: { "aaaa:bbbb:cccc::/e": "boxpubkey", ... }
IPv6RemoteSubnets: {}

# IPv6-подсети, принадлежащие этой стороне туннеля этого узла. Трафик только
# из этих диапазонов (или IPv6-адреса/подсети узла Yggdrasil)
# будет туннелирован.
IPv6LocalSubnets: []

# IPv4-подсети, приналежащие удаленным узлам, сопоставленные по публичным
# ключам узлов, например: { "a.b.c.d/e": "boxpubkey", ... }
IPv4RemoteSubnets: {}

# IPv4-подсети, принадлежащие этой стороне туннеля этого узла. Трафик только
# из этих диапазонов будет туннелирован.
IPv4LocalSubnets: []
}

# Дополнительные опции настройки коммутатора. Обычно вам не нужно будет
# редактировать эти опции.
SwitchOptions:
{
# Максимальный суммарный размер всех очередей коммутаторов (в байтах).
MaxTotalQueueSize: 4194304
}

Не вызовет ли Yggdrasil конфликтов в моей сети?

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:18 +0000

Не вызовет ли Yggdrasil конфликтов в моей сети?

Yggdrasil использует диапазон 0200::/7, который не рекомендуется к использованию IETF с 2004 года.

Разработчиками Yggdrasil было принято решение использовать этот диапазон вместо fc00::/7 (который обычно выделяется для частных сетей), чтобы предотвратить конфликты с существующими диапазонами ULA.

Таким образом, если вы не используете диапазон 0200::/7 в своей сети, вы не столкнётесь c конфликтами маршрутизации.

Ссылки

FAQ (EN): https://yggdrasil-network.github.io/faq.html

Анонимное подключение к сети

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:20 +0000

Анонимное подключение к сети

Yggdrasil не обеспечивает анонимность пользователя, поэтому может возникнуть потребность подключения к сети через анонимизирующие цепочки. Это может быть как Tor, I2P, так и любой другой инструмент, поддерживающий прием подключений по протоколу SOCKS.
Данное решение имеет больший смысл при хостинге веб-ресурсов и излишней паранойе, а не использовании обычным пользователем.

Подключение через SOCKS

По умолчанию Tor принимает локальные подключения на порту 9050. Если ваш случай отличается, измените номер порта на свой. Для анонимного подключения, в файле конфигурации yggdrasil.conf (/etc/yggdrasil.conf, c:\programdata\yggdrasil\yggdrasil.conf) укажите подключение к публичному пиру через SOCKS. Для этого в секции Peers укажите адреса нужных публичных пиров следующим образом:

  Peers: [
    socks://127.0.0.1:9050/public_node_ip:port
  ]

Таким образом можно указать неограниченное количество нод с подключением по tcp.

Дополнительные настройки анонимности

Локальные мультикасты

Анонимус должен помнить, что Yggdrasil – не только оверлейная, но в первую очередь меш-сеть. Это значит, что клиент сети прослушивает все сетевые интерфейсы в поисках локальных пиров и всегда готов к ним подключиться. Чтобы часть трафика не шла через возможных соседей, необходимо в том же файле конфигурации полностью отключить прослушивание всех интерфейсов. Для этого секцию MulticastInterfaces необходимо оставить пустой. По умолчанию в ней прописано «.*», что означает прослушивать все сетевые интерфейсы устройства. В итоге должно получиться так:

MulticastInterfaces: []

Уникальный адрес пользователя (не применимо к публичным ресурсам)

Вне зависимости от цепочки подключения, пользователь имеет один адрес. Адрес генерируется случайным образом и хранится в файле конфигурации в виде значений PrivatePublicKey и EncryptionPublicKey. Следовательно, после замены конфига, адрес также изменится. Для генерации нового файла конфигураций можно удалить сущетсвующий конфиг и перезапустить службу Yggdrasil, либо выполнить следующую команду:
Windows:

"С:\Program Files\Yggdrasil\updateconfig.bat"

Linux (Debian):

yggdrasil -genconf | sudo tee /etc/yggdrasil.conf

Linux (Ubuntu):

yggdrasil -genconf | sudo tee /etc/yggdrasil/yggdrasil.conf

Перезапуск службы

После изменения конфигурации, необходим перезапуск службу Yggdrasil.
Windows: Нажмите «Выполнить» и укажите программу «services.msc». В списке служб найдите Yggdrasil Service. Кликните по службе правой кнопкой мыши и нажмите «Перезапустить», или выполните в командной строке:

net.exe stop "Yggdrasil Service" && net.exe start "Yggdrasil Service"

Linux (Debian):

sudo systemctl restart yggdrasil

Как получить информацию обо всех узлах сети

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:20 +0000

Как получить информацию обо всех узлах сети

Внимание!
Начиная с версии 0.5 RC1 Yggdrasil больше не использует DHT. Информация в этой статье не актуальна для последних версий Yggdrasil.

Yggdrasil использует распределенную хеш-таблицу (DHT), в которой содержится вся необходимая информация для работы автоматической маршрутизации.

Обращаясь к этой хеш-таблице можно получить нужную нам информацию и далее, обращаясь к узлам с использованием Admin API, можно получить дополнительную информацию об узле.

На основе этого реализованы DHT-crawler'ы, собирающие информацию обо всех узлах. Реализация на Python. Наглядный пример: официальная карта сети.

Реализация crawler'a на go: https://github.com/Arceliar/yggdrasil-map/blob/master/scripts/crawler.go (или тут).

Собранная информация

В сети есть ресурсы, которые предоставляют с определенными интервалами собираемые crawler'ами данные.

Один из таки ресурсов: http://[316:c51a:62a3:8b9::2]/ (данные в формате json: http://[316:c51a:62a3:8b9::2]/result.json).

Эти данные можно любым удобным (или необходимым) способом трансформировать, анализировать и т.п.

Так, для примера, ниже приведена команда, с помощью которой можно вывести отсортированную по ключам (и адресам) табличку узлов, получаемую из этого файла.

jq -r --sort-keys '.[]|with_entries(.value = .value.address)' result.json | jq -r 'to_entries[] | "\(.key), \(.value)"' | more

(если jq еще нет в системе, её нужно установить: sudo apt install jq)

CRXN: Андерграундный децентрализованный африканский ...

anonymous@undisclosed.example.com (Anonymous) — Fri, 06 Mar 2026 21:57:39 +0000

CRXN: Андерграундный децентрализованный африканский Интернет-провайдер

CRXN (Community Run eXpansive Network), по-сути, небольшая частная экспериментальная IPv4 сеть. Подключившись, пользователь получает в свое владение блок адресов из пространства 10.0.0.0/8 и волен сам стать пиром для новых пользователей.

Есть куча вариантов как подключиться к сети, в основном это происходит через меш-сеть Yggdrasil. Пиры подключаются друг к другу используя легковесный VPN сервер fastd, договариваются об IPv4 диапазонах и обмениваются маршрутами с помощью протокола маршрутизации babel. Адреса из своего CRXN диапазона уже можно использовать для подключения других компов, допустим, раздавать по DHCP в беспроводной сети.

Кому оно нужно?

Основная причина - запуск в мешах приложений, которые понимают только IPv4. Например, можно поднять свой сервак контры 1.6 или WoW. Это полезно, поскольку в версии Yggdrasil v0.4 планируется убрать фичу Crypto Key Routing. По сравнению с CKR, где маршруты задаются статически, babel в CRXN распределяет маршруты динамически. Получается более гибкое и децентрализованное решение.

Сеть была основана в ЮАР, но уже стала интерконтинентальной - узлы есть в Африке, Европе, Азии. В России сейчас работает 2 узла. Более продробную инфу можно найти на официальном сайте проекта https://deavmi.github.io/projects/crxn/ ( ygg)

Yggdrasil GUI

anonymous@undisclosed.example.com (Anonymous) — Thu, 09 Apr 2026 13:50:45 +0000

Yggdrasil GUI

Yggdrasil GUI — графический интерфейс для управления сервисом Yggdrasil для Linux и Windows.

Зависимости

Windows

Yggdrasil

Linux

Yggdrasil
Qt5Pas: https://github.com/davidbannon/libqt5pas/releases/latest (так же, должен быть доступен в системном менеджере пакетов)

Установка и запуск

Yggdrasil должен быть установлен отдельно, перед использование Yggdrasil GUI.
Скачайте последнюю версию Yggdrasil GUI из раздела релизов репозитория проекта на GitHub.
Убедитесь, что все зависимости удовлетворены.
Запустите исполняемый файл (установка не требуется).

После запуска иконка программы появится в системном трее.

Доступные функции

⚙️ Изменение конфигурации Yggdrasil
🌐 Просмотр информации об узле (IP-адрес, ключи)
📊 Статистика активных подключений
🔄 Перезапуск службы
📩 Импорт пиров из общедоступного списка пиров.
❌ остановка службы Yggdrasil

Ссылки

Репозиторий проекта на GitHub (EN): https://github.com/edwardbrok/yggdrasil-network-gui

Электронная почта

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:19 +0000

Электронная почта

Электронная почта (англ. email, e-mail [iˈmeɪl], от англ. electronic mail) — технология и служба по пересылке и получению электронных сообщений (называемых «письма», «электронные письма» или «сообщения») между пользователями компьютерной сети.

Статьи внутри раздела

Ссылки

Электронная почта

Установка firewall на yggdrasil сервер

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:20 +0000

Установка firewall на yggdrasil сервер

Введение

Сеть Yggdrasil открывает много возможноcтей. Однако, иногда она открывает даже то, что хотелось бы не открывать. Не всякий сразу сообразит о дырах в защите, которые предоставляет эта сеть. Запустив Yggdrasil вы открываете все порты на своей машине для доступа из сети Yggdrasil (tun-интерфейс), даже если она закрыта файрволом где-то на уровне роутера или провайдера. Вот понятная инструкция по установке защиты. Все команды ниже нужно выпулнять с правами суперпользователя.

Примечание: приведенные ниже правила применяются ко всем IPv6, не только Yggdrasil. Укажите dev tun0, чтобы ограничения работали только для указанного интефейса (tun0 - интерфейс Yggdrasil (в вашей конфигурации имя может отличаться)).

1. Убираем все правила, если надо. Если не знаете - тоже убираем.

ip6tables -P INPUT ACCEPT
ip6tables -P FORWARD ACCEPT
ip6tables -P OUTPUT ACCEPT
ip6tables -t nat -F
ip6tables -t mangle -F
ip6tables -F
ip6tables -X

2. Устанавливаем защиту. В данном случае мы оставляем открытыми только ssh и http порты. Все остальные закрываем.

ip6tables -P INPUT DROP
ip6tables -P FORWARD DROP
ip6tables -P OUTPUT ACCEPT
ip6tables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
ip6tables -I INPUT 1 -i lo -j ACCEPT
ip6tables -A INPUT -p icmpv6 -j ACCEPT
ip6tables -A INPUT -p tcp --dport 80 -j ACCEPT
ip6tables -A INPUT -p tcp --dport 22 -j ACCEPT

3. Проверяем. Должно показать примерно то же самое, но в других выражениях.

ip6tables -L

4. Теперь эту конфигурацию нужно сохранить.

ip6tables-save > /etc/ip6tables.conf

5. Готово. Для того, чтобы поднять защиту, сразу после старта системы нужно выполнить команду

ip6tables-restore < /etc/ip6tables.conf

Заключение

В ОС на базе Debian для автоматического применения правил iptables при загрузке можно использовать пакет iptables-persistent.

Некоторые системы, например Федора или RH имеют сервис iptables.service или firewalld.service, который стартует при загрузке и устанавливает файрвол по своему усмотрению. Если вы за NATом, то это дело можно смело отключить. Можно также дополнить этот стандартный сервис тем, что я написал выше.

Ссылки

Просто об управлении iptables: https://www.digitalocean.com/community/tutorials/how-to-list-and-delete-iptables-firewall-rules-ru

Игры

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:20 +0000

Игры

Статьи внутри раздела

Установка Yggdrasil

anonymous@undisclosed.example.com (Anonymous) — Mon, 15 Dec 2025 09:55:28 +0000

Установка Yggdrasil

Инструкция от разработчиков под различные операционные системы: https://yggdrasil-network.github.io/installation.html

Статьи внутри раздела

Интернет-радио

anonymous@undisclosed.example.com (Anonymous) — Thu, 26 Mar 2026 05:19:26 +0000

Интернет-радио

В Yggdrasil очень легко и быстро можно создать собственное радио из локальной коллекции, не имея выделенного IP адреса.

Есть много инструкций по конфигурации эфирного времени, включая различные скрипты автоматизации плей-листов и взаимодействие с участниками стримов по расписанию.
Ниже рассмотрен базовый пример организации сервера на Yggdrasil / IPv6, возможно в процессе материал будет дополнен.

Icecast

Icecast - популярный сервер потокового мультимедиа, с поддержкой потоков Ogg (Vorbis и Theora), Opus, WebM и MP3.

Поддерживает открытые стандарты общения и взаимодействия, распространяется под лицензией GNU GPL версии 2.

Простыми словами, он выполняет ту же функцию, что nginx для веб-сайтов, но ориентирован на работу с потоковым контентом.

Установка доступна из репозиториев:

apt install icecast2

Стартуем сервис, чтобы создать базовую конфигурацию

systemctl start icecast2

Пример конфигурационного файла:

/etc/icecast2/icecast.xml

<icecast>
    <location>Yggdrasil</location>
    <admin>icemaster@localhost</admin>
        <clients>100</clients>
        <sources>2</sources>
        <queue-size>524288</queue-size>
        <client-timeout>30</client-timeout>
        <header-timeout>15</header-timeout>
        <source-timeout>10</source-timeout>
        <burst-on-connect>1</burst-on-connect>
        <burst-size>65535</burst-size>
    </limits>
    <authentication>
        <source-password>пароль</source-password>
        <relay-password>пароль</relay-password>
        <admin-user>admin</admin-user>
        <admin-password></admin-password>
    </authentication>
    <listen-socket>
        <port>8000</port>
        <bind-address>::</bind-address>
    </listen-socket>
    <http-headers>
        <header name="Access-Control-Allow-Origin" value="*" />
    </http-headers>
    <fileserve>1</fileserve>
    <paths>
        <basedir>/usr/share/icecast2</basedir>
        <logdir>/var/log/icecast2</logdir>
        <webroot>/usr/share/icecast2/web</webroot>
        <adminroot>/usr/share/icecast2/admin</adminroot>
        <alias source="/" destination="/status.xsl"/>
    </paths>
    <logging>
        <accesslog>access.log</accesslog>
        <errorlog>error.log</errorlog>
        <loglevel>3</loglevel>
        <logsize>10000</logsize>
    </logging>
    <security>
        <chroot>0</chroot>
        <changeowner>
            <user>nobody</user>
            <group>nogroup</group>
        </changeowner>
    </security>
</icecast>

Для корректной поддержки кириллических символов в кодировке UTF-8, можно также добавить перед </icecast>

/etc/icecast2/icecast.xml

<mount type="default">
   <charset>UTF-8</charset>
</mount>

точка монтирования может отличаться

Добавляем в автозагрузку и перезапустим сервис:

systemctl enable icecast2
systemctl restart icecast2

Разрешаем подключения только Yggdrasil:

ufw allow from 0200::/7 to any port 8000

Ezstream

Ezstream — это клиент командной строки для медиапотоков, в первую очередь для передачи на серверы Icecast.

Используется непосредственно для работы с файлами, предварительно обеспечивая их формат. В отличии от популярного Ices2, из коробки работает с ogg, mp3 а также видео форматами.

Установка:

apt install ezstream

Ezstream запускается отдельными потоками для каждой позиции stream, для этого удобно создать отдельного пользователя:

useradd -m radio

Файловую структуру можно организовать следующим образом:

mkdir /home/radio/collection - библиотека файлов для стрима
mkdir /home/radio/ezstream - файлы конфигурации ezstream
mkdir /home/radio/playlist - файлы плейлистов

Базовые варианты конфигурации ezstream расположены в директории:

ls /usr/share/doc/ezstream/examples/

Для начала, можно скопировать минимальный набор:

cp /usr/share/doc/ezstream/examples/ezstream-minimal.xml /home/radio/ezstream/gta/vice-city.xml

Пример конфигурации:

/home/radio/ezstream/gra/vice-city.xml

<?xml version="1.0" encoding="UTF-8"?>
<ezstream>
  <servers>
    <server>
      <name>YGGwave</name>
      <hostname>127.0.0.1</hostname>
      <password>пароль к серверу Icecast</password>
    </server>
  </servers>
  <streams>
    <stream>
      <server>YGGwave</server>
      <intake>GTA Vice City</intake>
      <mountpoint>/gta/vice-city</mountpoint>
      <format>MP3</format>
      <shuffle>Yes</shuffle>
      <stream_once>No</stream_once>
      <public>No</public>
      <stream_name>YGGwave - GTA Vice City</stream_name>
      <stream_url>http://[201:23b4:991a:634d:8359:4521:5576:15b7]:8000/gta/vice-city</stream_url>
      <stream_genre>OST</stream_genre>
      <stream_description>GTA Vice City Radio Stations</stream_description>
    </stream>
  </streams>
  <intakes>
    <intake>
      <name>GTA Vice City</name>
      <filename>/home/radio/playlist/gta/vice-city.txt</filename>
    </intake>
  </intakes>
  <metadata>
    <svrinfoname>GTA - Vice City Radio</svrinfoname>
    <format_str>GTA Vice City</format_str>
    <refresh_interval>-1</refresh_interval>
    <normalize_strings>Yes</normalize_strings>
    <no_updates>No</no_updates>
  </metadata>
</ezstream>

Копируем нужные медиа файлы в директорию /home/radio/collection

Плейлисты для директории можно сделать простой командой:

find /home/radio/collection -name *.mp3 > /home/radio/playlist/gta/vice-city.txt

Не забываем дать права пользователю:

chmod -R radio:radio /home/radio

В завершение, создадим для каждого стрима настройки systemd

/etc/systemd/system/ezstream-gta-vice-city.service

[Unit]
Description=ezstream-gta-vice-city
After=network.target
 
[Service]
Type=simple

User=radio
Group=radio

# важно, чтобы сервер Icecast был активен, добавим небольшую задержку
ExecStartPre=/bin/sleep 5s

ExecStart=/usr/bin/ezstream -c /home/radio/ezstream/gta/vice-city.xml

StandardOutput=file:/home/radio/ezstream-gta-vice-city-debug.log
StandardError=file:/home/radio/ezstream-gta-vice-city-error.log

Restart=on-failure

[Install]
WantedBy=multi-user.target

и добавим в автозапуск:

systemctl enable ezstream-gta-vice-city
systemctl start ezstream-gta-vice-city

Nginx

Если есть желание стримить на 80 порту, но он занят nginx, можно сделать проксирование:

/etc/nginx/sites-available/default

location /yggwave/radio/gta/vice-city {
	proxy_pass http://localhost:8000/gta/vice-city;
}

Tor

Icecast / HTTP не имеет встроенной поддержки прокси. Тем не менее, для ретрансляции через сеть Tor / SOCKS, удобно использовать socat .

/etc/icecast2/icecast.xml

<relay>
    <server>host.com</server>
    <port>8070</port><!-- 8070 - локальный порт socat, вместо оригинального 8000, 80 и т.д. -->
    <mount>/remote-stream-uri</mount>
    <local-mount>/local-stream-uri</local-mount>
    <on-demand>0</on-demand>
    <relay-shoutcast-metadata>1</relay-shoutcast-metadata>
</relay>

/etc/hosts

::1 host.com

socat TCP6-LISTEN:8070,fork,reuseaddr,bind=[::1] SOCKS4A:[::1]:host.com:8000,socksport=9150

9150 - стандартный порт Arti

Ссылки

Icecast - сервер для организации мультимедиа потоков
Ices - клиент для Icecast
Ezstream - альтернатива Ices с поддержкой дополнительных форматов

Как узнать IP-адрес своего узла Yggdrasil

anonymous@undisclosed.example.com (Anonymous) — Thu, 02 Apr 2026 17:41:22 +0000

Как узнать IP-адрес своего узла Yggdrasil

Yggdrasil использует IPv6-адреса из диапазона 0200::/7.

Ниже перечислены различные способы узнать адрес своего узла.

Linux

ip a | grep inet6

Или

ifconfig | grep inet6

Если AdminListen в конфиге не none, а, например, unix:///var/run/yggdrasil.sock:

sudo yggdrasilctl getself

Так же, IP-адрес выводится в консоль после запуска Yggdrasil.
Сразу после запуска systemd-демона (позже будет не видно) можно выполнить:

systemctl status yggdrasil

Windows

В интерпретаторе командной строки c правами администратора:

yggdrasilctl getself

Или

ipconfig

Универсально

Можно зайти на web-странички внутри сети, которые выводят ваш адрес: http://[320:9c1:e1fa:a105::ad]/

Из консоли можно так: curl http://[320:9c1:e1fa:a105::ad]/

Установка собственного matrix сервера

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:19 +0000

Установка собственного matrix сервера

Данная статья описывает установку собственного сервера matrix, который будет работать в общей федеративной сети серверов матрикс, но к которому доступ клиентов будет только из сети yggdrasil. При этом все фишки типа «Персональных сообщений» и «Шифрованных комнат» также будут работать

Если вам не нужна связность с другими серверами - ставьте сервер в режиме standalone и не мучайтесь

Почему всё так сложно-то?

Во первых Matrix является федеративной сетью. Т.е. подразумевается что каждый из серверов может напрямую общаться с другими, при этом никаких Relay серверов не предусмотрено. Т.е. сервер должен иметь «белый» адрес (заметка на полях - людей, у которых есть только «белый» IPv6 адрес, ждут примерно аналогичные страдания).
Во вторых обязательно используются SSL сертификаты.
Соответственно, в третьих, обязательно используются «белые» домены (т.е. домены, на который такой сертификат может быть выписан).

То есть, если вы хотите поднять сервер, который будет иметь возможность общаться с другими серверами в сети - он должен соответствовать этим трём требованиям.

К счастью, предусмотрена ситуация когда есть домен example.com но сервер разместить под этим именем возможности нет. Зато есть возможность разместить его под именем server.example.com. Вот, собственно, этой возможностью мы и воспользуемся.

Требуемые инструменты и материалы

И так, что нам потребуется:

Сервер

Ну, собственно, потребуется машина для установки самого сервера Matrix.

У этой машины должен быть выход в клирнет. Доступ к этой машине нужен только со стороны прокси, т.е. она вполне может сидеть где-то внедрах сети за NAT.

Домен

Домен может быть любым, который Вам доступен. Главное - он должен быть «белым» (т.е. резолвиться из клирнета) и у Вас должна быть возможность вносить туда записи. Я использовал для этого twinkle.ygg.at

Так же Вам потребуется имя для прокси сервера с белым адресом. Если вы использовали как основной домен .ygg.at вас ждёт неприятность - в этом домене нельзя указать какой либо IP кроме yggdrasil. Если вы используете что-то типа mybestowndomain.com - вам никто не мешает сделать для этого имя server.mybestowndomain.com. Я использовал ygg.twinkle.lol

"Серый" (ygg) адрес

Этот адрес дожен быть прописан на основном домене, который вы выбрали в прошлом пункте. У меня это 300:dada:feda:f443::12

Белый IP адрес

Этот адрес должен быть назначен как «внешний» на прокси сервере. Никаких особенных требований, ну кроме того, что как минимум должен быть открыты порты 443 и 8448 на вход. У меня это 193.111.115.214

SSL сертификат

Так как у нас на основном домене используется «серый» адрес, получить SSL по простому - не получится. Нужно будет получать через «DNS авторизацию». Я пользуюсь для этого вот этим плагином для certbot.

ВАЖНО
Если вы будете пользоваться этим плагином - он вам выведет строчку, которую нужно прописать в DNS. Если, при этом, вы пользуетесь доменом .ygg.at, при прописывании его в Alfis от имени оставьте только _acme-challenge а в самом CNAME уберите последнюю точку (должно получиться .auth.acme-dns.io в конце). От этой точки alfis шизеет.

ВАЖНО

Если вы будете пользоваться этим плагином - он вам выведет строчку, которую нужно прописать в DNS. Если, при этом, вы пользуетесь доменом .ygg.at, при прописывании его в Alfis от имени оставьте только _acme-challenge а в самом CNAME уберите последнюю точку (должно получиться .auth.acme-dns.io в конце). От этой точки alfis шизеет.

Собираем всё в кучу

Ставим сервер Matrix. Подробности я опущу - весь интернет завален описанием этой процедуры
Прописываем для основного домена «серый» IP адрес.
Прописываем для прокси «белый» IP адрес.
Получаем тем или иным способом SSL сертификат на основной домен.
Не обязательно, но лучше сделать - получаем SSL сертификат на прокси сервер. Я ниже расскажу зачем.
Добавляем в основной домен такие строки (у Вас они, понятно, будут другие):
```
_matrix._tcp SRV 1 1 8448 ygg.twinkle.lol
_matrix-fed._tcp SRV 1 1 8448 ygg.twinkle.lol
```
Обратите внимание, тут должно быть указанно именно имя а не адрес. Именно по этому у прокси сервера должно быть имя. Почему их две? Потому что первая - depricated.

Настраиваем прокси сервер. Нам нужно прописать конфиг для двух хостнеймов, основного и прокси. У меня это выглядит так (у меня nginx, если у Вас что-то другое - делайте по аналогии): Основной домен

twinkle.ygg.at

server {
    listen [300:dada:feda:f443::12]:443 ssl;
    listen [300:dada:feda:f443::12]:8448 ssl;
    server_name twinkle.ygg.at;

    ssl_certificate /etc/letsencrypt/live/twinkle.ygg.at/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/twinkle.ygg.at/privkey.pem;
    client_max_body_size 1000M;

    location /_matrix {
        proxy_pass http://127.0.0.1:8008;
        proxy_set_header X-Forwarded-For $remote_addr;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header Host $host;
        client_max_body_size 500M;
    }

    location /.well-known/matrix/client {
        return 200 '{"m.homeserver": {"base_url": "https://twinkle.ygg.at"}}';
        add_header Content-Type application/json;
        add_header Access-Control-Allow-Origin *;
    }
}

server {
    listen 193.111.115.214:443 ssl;
    listen 193.111.115.214:8448 ssl;
    server_name twinkle.ygg.at;

    ssl_certificate /etc/letsencrypt/live/twinkle.ygg.at/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/twinkle.ygg.at/privkey.pem;
    client_max_body_size 1000M;

    location /_matrix/client {
        return 404;
    }

    location /_matrix {
        proxy_pass http://127.0.0.1:8008;
        proxy_set_header X-Forwarded-For $remote_addr;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header Host $host;
        client_max_body_size 500M;
    }

    location /.well-known/matrix/client {
        return 200 '{"m.homeserver": {"base_url": "https://twinkle.ygg.at"}}';
        add_header Content-Type application/json;
        add_header Access-Control-Allow-Origin *;
    }
}

Прокси:

ygg.twinkle.lol

server {
    listen 193.111.115.214:443 ssl;
    listen 193.111.115.214:8448 ssl;
    listen [300:dada:feda:f443::12]:443 ssl;
    listen [300:dada:feda:f443::12]:8448 ssl;
    server_name ygg.twinkle.lol;

    ssl_certificate /etc/letsencrypt/live/ygg.twinkle.lol/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/ygg.twinkle.lol/privkey.pem;
    client_max_body_size 1000M;

    location /_matrix/client/ {
        return 404;
    }

    location /_matrix {
        proxy_pass http://[322:a76c:9a9e:5085:1::8]:8008;
        proxy_set_header X-Forwarded-For $remote_addr;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header Host $host;
        client_max_body_size 500M;
    }

    location /.well-known/matrix/client {
        return 200 '{"m.homeserver": {"base_url": "https://twinkle.ygg.at"}}';
        add_header Content-Type application/json;
        add_header Access-Control-Allow-Origin *;
    }
}

Собственно - на этом можно было-бы ставить точку. Правильно собранное устройство в дополнительной настройке не нуждается. Но я обещал рассказать зачем SSL на имя прокси, да и вобще стоит описать происходящее. И так…

Как оно должно работать в идеальной стране розовых пони

Сервер приходит в домен twinkle.ygg.at за srv записью, получает её и идёт на прокси сервер ygg.twinkle.lol (с основным доменом в урле, кстати, а вовсе не с проксёвым). И дальше сервера спокойно между собой общаются. Соответственно на прокси не должен никто приходить с его именем. Клиент из белой сети приходит в домен twinkle.ygg.at, получает ygg адрес и плача уходит. Клиент из ygg приходит в домен twinkle.ygg.at, получает ygg адрес и радостно работает.

Как оно работает на самом деле

Сервер приходит в домен twinkle.ygg.at и сначала пытается получить /.well-known/matrix/server. Не может. Пытается получить новый вариант SRV. Если не может - пытается получить старый. Дальше он идёт на указанный прокси, и общается с ним, в основном, по правильному имени основного домена. Но иногда, некоторые серверы, некоторые запросы шлют на доменное имя прокси сервера. Именно по этому лучше получить SSL на это имя и обрабатывать запросы и на него. Но так как мы не хотим, что-бы клиенты из белой сети могли заходить на наш сервер - мы рубим на корню клиентское API.

Вот теперь - действительно всё.

Mesh посредством радио-линка

anonymous@undisclosed.example.com (Anonymous) — Fri, 17 Jul 2026 09:47:34 +0000

Mesh посредством радио-линка

Введение

В общем случае, технология Mesh Networking подразумевает ячеистую топологию, в которой устройства соединяются друг с другом, и каждое устройство может выступать в роли коммутатора для остальных устройств. Одним из очевидных преимуществ этой технологии является высокая отказоустойчивость организуемой сети. До появления протоколов Cjdns (предшественник Yggdrasil) и Yggdrasil такая организация сети являлась достаточно сложной в настройке. Упомянутые же протоколы практически полностью освобождают администраторов сети от настройки маршрутизации. Всё, что остаётся сделать – это соединить устройства на первом и втором уровнях сетевой модели OSI и установить на них Yggdrasil.
Первый (физический) уровень модели OSI предполагает физическое соединение устройств посредством кабеля, радио или оптики (лазера). На втором уровне модели OSI (канальном) посредством протоколов канального уровня обеспечивается логическое взаимодействие устройств с контролем возможных ошибок физической передачи данных. Полученные с физического уровня данные, представленные в битах, упаковываются в кадры, проверяются на целостность и, если обнаружены ошибки, исправляются (формируется повторный запрос поврежденного кадра). Затем информация передается на следующий, сетевой уровень (в нашем случае Yggdrasil).

Ниже описан простой способ организации сети на канальном уровне (802.11s), посредством радио-линка (Wi-Fi).

Создание беспроводной точки доступа Mesh к сети Yggdrasil с использованием роутера

Потребуется:

компьютер (можно использовать одноплатный компьютер, например RaspberryPi)
беспроводной маршрутизатор с поддержкой стандарта IEEE 802.11s и возможностью прошивки в него OpenWrt (подробнее см. Ссылки)

Примечание
Здесь подразумевается, что на компьютер, как более мощное устройство, будет установлен Yggdrasil, а на роутере будет настроена точка доступа 802.11s. Компьютер будет соединен с роутером кабелем. Однако, при наличии подходящего Wi-Fi-адаптера для компьютера можно обойтись и без отдельного роутера. Адаптер должен поддерживать работу в качестве точки доступа и стандарт 802.11s. Так же, при наличии роутера, обладающего достаточно мощным процессором и достаточным количеством памяти, поддерживающим 802.11s, и с возможностью установки сторонних пакетов (Entware), можно обойтись и без компьютера. При этом, поддержка роутером OpenWrt не обязательна (в разделе Ссылки есть перечень адаптеров, поддерживающих 802.11s). Так же, сразу стоит заметить, что существует проект YggMesh - это модифицированная прошивка OpenWrt, в которой уже произведены нужные настройки и установлен Yggdrasil. Проверить поддержку устройством стандарта 802.11s в Linux можно с помощью команд по ссылке: https://openwrt.org/docs/guide-user/network/wifi/mesh/80211s#wireless_hardware_support

Примечание

Здесь подразумевается, что на компьютер, как более мощное устройство, будет установлен Yggdrasil, а на роутере будет настроена точка доступа 802.11s. Компьютер будет соединен с роутером кабелем.

Однако, при наличии подходящего Wi-Fi-адаптера для компьютера можно обойтись и без отдельного роутера. Адаптер должен поддерживать работу в качестве точки доступа и стандарт 802.11s.

Так же, при наличии роутера, обладающего достаточно мощным процессором и достаточным количеством памяти, поддерживающим 802.11s, и с возможностью установки сторонних пакетов (Entware), можно обойтись и без компьютера. При этом, поддержка роутером OpenWrt не обязательна (в разделе Ссылки есть перечень адаптеров, поддерживающих 802.11s).

Так же, сразу стоит заметить, что существует проект YggMesh - это модифицированная прошивка OpenWrt, в которой уже произведены нужные настройки и установлен Yggdrasil.

Проверить поддержку устройством стандарта 802.11s в Linux можно с помощью команд по ссылке: https://openwrt.org/docs/guide-user/network/wifi/mesh/80211s#wireless_hardware_support

Подготовка

1. Устанавливаем и запускаем Yggdrasil на компьютере
2. Чтобы пользователи имели доступ ко всей сети Yggdrasil, в конфигурационном файле необходимо указать публичные пиры, к которым будет подключен наш узел. Пример:

 Peers: [
    tcp://a.b.c.d:xxxx
    socks://e.f.g.h:xxxx/a.b.c.d:xxxx
    tls://a.b.c.d:xxxx
 ]

3. Соединяем компьютер и беспроводной маршрутизатор
4. Устанавливаем в беспроводный маршрутизатор прошивку OpenWrt
5. Подключаем маршрутизатор к Интернету, чтобы Yggdrasil на компьютере смог подключиться к публичным пирам Yggdrasil

Точка доступа Wi-Fi Mesh

В интерфейсе конфигурации установленной прошивки OpenWrt перейдите в раздел Network - Wi-Fi, выберите интерфейс, нажмите «Add», в поле «Mode» установите «802.11s (Wi-Fi Mesh)».

[Опционально] чтобы пользователи понимали, что это точка доступа к сети Yggdrasil, назовите SSID примерно так: «Yggdrasil Mesh 802.11s».

Создание беспроводной точки доступа AP (Access Point) к сети Yggdrasil с помощью адаптера Wi-Fi

Поднять программную точку доступа можно и используя внутренний или внешний (usb) wifi-модуль компьютера. Проверить поддержку режима AP для устройства можно следующей командой:

$ iw list
Wiphy phy0
...
	Supported interface modes:
		 * IBSS
		 * managed
		 * AP
		 * AP/VLAN
		 * WDS
		 * monitor
		 * mesh point
...

Опционально: создание виртуального интерфейса

Беспроводное устройство можно использовать одновременно в режиме клиента и точки доступа. Для этого необходимо создать отдельные виртуальные интерфейсы на основе физического:

$ iw dev wlan0 interface add wlan0_sta type managed addr 12:34:56:78:ab:cd  
$ iw dev wlan0 interface add wlan0_ap  type managed addr 12:34:56:78:ab:ce

Примечание: для автоматизации запуска это можно реализовать в виде скрипта инициализации (hostapd должен быть запущен после создания виртуального интерфейса), либо отредактировав конфигурационный файл сервиса hostapd (для OpenRC это /etc/conf.d/hostapd), либо просто использовав планировщик cron (например, fcron) следующим образом:

$ fcrontab -e
@reboot <список команд через ;>

Для поднятия беспроводной точки доступа используется программа hostapd¹⁾. Примеры использования можно найти на этой интернет-странице. Внесите в конфигурационный файл hostapd.conf следующую запись:

/etc/hostapd/hostapd.conf

interface=wlan0
ssid2="Yggdrasil network"
driver=nl80211
country_code=RU
hw_mode=g
channel=1
ieee80211n=1

Запустить hostapd можно скриптом инициализации или командой:

$ hostapd -B /etc/hostapd/hostapd.conf

Примечание: если init-скрипт не запускается ввиду неактивности интерфейса, отредактируйте конфигурационный файл сервиса (для OpenRC /etc/conf.d/hostapd)

После успешного запуска hostapd точка доступа будет поднята, и с ней могут ассоциироваться клиенты, - при помощи multicast и broadcast запущенные yggdrasil найдут друг друга. Однако, из-за отсутствия присвоенного ip-адреса сетевые менеджеры клиентов будут сбрасывать подключение. Чтобы этого не происходило, нужно выдать клиенту ip-адрес. Сделать это можно с помощью dnsmasq, присвоив ipv4 адрес посредством DHCP, или же можно раздавать клиентам ipv6 адреса из подсети yggdrasil, дополнительно открывая доступ к сети клиентам без установленного приложения. Настроить раздачу адресов ipv6 можно с помощью radvd²⁾.

/etc/radvd.conf

interface wlan0
{
        ## (Send advertisement messages to other hosts)
        AdvSendAdvert on;
        # Без этой строчки сбоит подключение для windows-устройств (задаёт MTU)
        AdvLinkMTU 1280;
        MinRtrAdvInterval 300;
        MaxRtrAdvInterval 600;
        AdvHomeAgentFlag off;
        prefix ::/64
        {
                AdvOnLink on;
                AdvAutonomous on;
                # Без этой строки подключаются не все android-устройства; строка "route 200::/7 {};" не требуется
                AdvRouterAddr on;
        };
        #route 200::/7 {};
        ## (Advertise a DNS Server)
        RDNSS ::53 {};
};

Укажите в строке prefix вашу подсеть из $ yggdrasilctl getself, а в строке RDNSS можно указать внутренний DNS. После запуска клиенты смогут успешно подключиться к точке доступа.

Вывести список подключенных к точке доступа клиентов можно так:

$ hostapd_cli all_sta 
$ iw dev wlan0 station dump

Подключение устройств к беспроводной точке доступа

Подключение к точке доступа по Wi-Fi осуществляется так же, как к любой другой Wi-Fi точке доступа. Важно заметить, что на подключаемых устройствах необходимо установить Yggdrasil. В небольших масштабах об этом можно говорить устно, а в промышленных можно подумать над веб-заглушкой с ссылкой на Yggdrasil и кратким описанием сути необходимых действий.

Для увеличения площади покрытия важно правильно подобрать антенну - круговую, секторную для охвата определенного угла или узконаправленную (параболическую) для создания wi-fi моста на несколько километров³⁾. Антенну можно изготовить и самостоятельно⁴⁾⁵⁾⁶⁾⁷⁾, например Yagi⁸⁾. Анализируйте диаграмму направленности антенны. Также важно учитывать поглощение различными материалами⁹⁾. Можно приобрести усилитель на 4W или 8W, например на AliExpress¹⁰⁾¹¹⁾¹²⁾, однако от такого мощного излучения нужно экранироваться.

Подключенные узлы обнаружат себя сами благодаря технологии Local Peer Discovery. Если этого не произошло, убедитесь, что пакеты не блокируются файерволом.

Подключившись таким образом к нашей Wi-Fi точке, пользователь получит доступ в глобальный сегмент сети Yggdrasil.

Заключение

Описан простой способ соединения устройств с использованием технологий Wi-Fi Mesh и Yggdrasil. Соединяя устройства таким образом, можно организовать независимую сеть с приемлемой скоростью передачи трафика, автоматической маршрутизацией и сквозным шифрованием.

Поднятые точки доступа Wi-Fi Mesh можно разместить на карте здесь: https://radiomap.yggwiki.cc/ (читайте описание).

Ссылки

Ячеистая топология
Сетевая модель OSI

Перечень адептеров, поддерживающих 802.11s (EN): https://github.com/phillymesh/802.11s-adapters
Драйверы беспроводных устройств Linux (в таблице есть колонка mesh) (EN): https://wireless.wiki.kernel.org/en/users/drivers
Перечень устройств, поддерживающих прошивку OpenWrt (EN, офиц. документация): https://openwrt.org/supported_devices
Конфигурирование 802.11s в OpenWrt (EN, офиц. документация): https://openwrt.org/docs/guide-user/network/wifi/mesh/80211s

Yggdrasil на смартфонах

anonymous@undisclosed.example.com (Anonymous) — Thu, 02 Apr 2026 19:32:03 +0000

Yggdrasil на смартфонах

Yggdrasil нативно поддерживается на iOS и Android.

Cм. раздел «Установка Yggdrasil»

Так же, на смартфонах возможен доступ к сети Yggdrasil через VPN-сервер, с установленным на нем yggdrasil.

См. статью: «Простой VPN-сервер».

Ссылки

https://yggdrasil-network.github.io/installation.html

Multicast Peer Discovery

anonymous@undisclosed.example.com (Anonymous) — Mon, 15 Dec 2025 11:28:38 +0000

Multicast Peer Discovery

Multicast Peer Discovery - это технология автоматического обнаружения пиров Yggdrasil в локальной сети.

Когда в локальной сети Yggdrasil запущен на нескольких устройствах благодаря этой технологии все эти узлы обнаружат друг друга и автоматически установят соединение между собой, прописывать их в секции Peers конфиграционного файла нет необходимости.

ВАЖНО: Multicast Peer Discovery в Yggdrasil работает только с link-local IPv6 адресами устройств в локальной сети (диапазон fe80::/10), с IPv4 не работает! Т.е., на интерфейсах вашей локальной сети должна быть включена поддержка IPv6 и устройства должны иметь IPv6 link-local адреса в локальной сети (между ними дожен работать ping). Если настроить IPv6 в локальной сети для вас затруднительно, вы можете вручную прописывать в конфигурационном файле Yggdrasil IPv4 локальные адреса устройств в качестве пиров (листенеры настраиваются в секции Listen).

Multicast Peer Discovery включено по-умолчанию. Окрывает UDP порт 9001 (для прослушивания сигналов о существовании от других узлов). Настраивается MPD в параметре MulticastInterfaces конфигурационного файла.

По-умолчанию параметр выглядит так:

MulticastInterfaces:
  [
    {
      Regex: .*
      Beacon: true
      Listen: true
      Port: 0
      Priority: 0
      Password: ""
    }
  ]

Regex - здесь задается регулярное выражение для имени интерфейса, на котором будет задействован Multicast Peer Discovery. Будет выбрано одно первое имя, соответствующее регулярному выражению.
Beacon - если true, узел будет отправлять в сеть «уведомления» о своем сущестовании
Listen - если true, узел будет ожидать (прослушивать) сигналы («уведомления») о присутствии от других узлов
Port - TCP-порт, который будет открыт для установки соединения с обнаруженными пирами. Если указано 0, порт будет назначен случайным образом.
Priority (не обязательно, доступно с версии 0.4.6) - приоритет для соединения с одним и тем же узлом, если у узла несколько интерфейсов (число 0 до 254).
Password (не обязательно, доступно с версии 0.5 RC1) - пароль, используемый в «рукопожатии» TLS.

Объектов json в массиве MulticastInterfaces может быть несколько (т.е., для каждого интерфейса свой объект). Пример:

MulticastInterfaces:
  [
    {
      Regex: eth0
      Beacon: true
      Listen: false
      Port: 0
    },
    {
      Regex: wlo1
      Beacon: false
      Listen: true
      Port: 0
    }
  ]

Для примера, если вы хотите, чтобы в локальной сети все узлы подключались к одному пиру в этой же сети и не соединялись между собой каждый с каждым, нужно на одном узле установить Beacon в true, а на остальных узлах Beacon в false и Listen в true.

Чтобы полностью отключить Multicast Peer Discovery нужно привести MulticastInterfaces к такому виду:

MulticastInterfaces: []

UDP порт 9001 после этого открыт не будет, «сигналы» о присутсвии отправляться не будут.

О большом MTU в Yggdrasil

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:18 +0000

О большом MTU в Yggdrasil

13 июля 2018 года, автор: Neil Alexander

Возможно, вы заметили, что в Yggdrasil значение параметра MTU отличается от обычных значений, которые вы могли видеть в других местах. В большинстве случаев, в сетях Ethernet это значение приблизительно равно 1500 байт. В сетях, где используется VPN, значение может быть еще меньше, это связано с накладными расходами на работу протоколов, обеспечивающих соединение VPN. Так что, возможно, вы были удивлены, увидев в Yggdrasil интерфейсный MTU со значением до 65535 байт.

На самом деле, это не ошибка, так задумано.

MTU - это параметр конфигурации Yggdrasil, который задает максимальный размер полезного блока данных одного пакета, передаваемого без фрагментации. Помимо этого, сама операционная система поддерживает настройку MTU для каждого сетевого адаптера. Фактически, этот параметр означает следующее: “пакеты, равные или меньшие этого числа байтов, безопасно отправлять по этому каналу одним пакетом”. Любые блоки большего размера операционная система должна будет разделить на более мелкие, прежде чем отправлять их дальше.

При меньшем значении MTU мы будем вынуждены гораздо чаще повторно отправлять IP-заголовки (и, возможно, другие заголовки) с каждым отдельным пакетом. Это не только лишние байты трафика, но и каждый пакет, вероятно, потребует нового набора системных вызовов для его обработки. В случае с Yggdrasil мы полагаемся на системные вызовы не только для операций c сокетом, но и для виртуальных сетевых драйверов TUN/TAP. Каждый системный вызов требует переключения контекста, что является медленной операцией. На встроенных платформах это может быть настоящим убийцей производительности. Например, на EdgeRouter X переключение контекста для адаптера TUN/TAP является самым узким местом и на это расходуется больше ресурсов, чем на криптографические алгоритмы!

Выбор TCP вместо UDP

Разумно предположить, что чем меньше переключений контекста и меньше передач заголовков, тем лучше. Использование MTU 65535 вместо 1500 позволяет передать более чем в 43 раза больше данных перед следующим набором заголовков. Это позволяет из 65535 байт сэкономить почти 1680 байт только на заголовках! Но отправка 65535-байтового пакета Yggdrasil по каналу связи с MTU 1500 потребует, чтобы пакет был фрагментирован 43 раза, верно?

Чтобы избежать этого Yggdrasil использует для пиринга TCP-соединения. Это не только позволяет нам использовать преимущества прокси SOCKS (и Tor) таким образом, который не возможен при использовании UDP, но и дает нам свойства потока на наших соединениях вместо того, чтобы вручную принудительно разделять пакеты UDP. На самом деле, мы делали это в прошлом, и это было некрасиво, и во многих случаях производительность была хуже, чем производительность TCP.

TCP настроит размер окна в соответствии с нижним звеном - в данном случае с вероятным значением MTU 1500 - и будет передавать большой пакет кусками, пока он не прибудет на удаленную сторону в виде одного блока. Поэтому Yggdrasil не заботит MTU реального линка между вами и вашими пирами. Он просто получает пакет размером до 65535 байт, который затем обрабатывает и передает адаптеру TUN/TAP.

Но... TCP поверх TCP?

Описанное означает, что мы туннелируем протокол TCP через TCP. Я слышу, как вы орете. Это же безумие, серьезно? Проблема с TCP-over-TCP заключается в том, что в случае перегрузки или потери пакетов TCP попытается повторно передать неудачные пакеты, но если управляющие пакеты TCP из внутреннего соединения будут повторно переданы, переупорядочены и т.д. инкапсулированным TCP-соединением, это приведет к существенному снижению производительности когда операционная система будет регулировать это внутреннее TCP-соединение, чтобы справиться с тем, что она считает перегрузкой.

Однако, используя большие MTU и, следовательно, большие размеры окон во внутреннем TCP-соединении, мы посылаем гораздо меньше управляющих сообщений TCP по проводу - возможно, до 43 раз меньше - поэтому существует гораздо меньше возможностей для управляющих сообщений на внутреннем соединении быть затронутыми при повторной передаче. Это помогает стабилизировать производительность внутренних TCP-соединений.

Есть также некоторые другие умные вещи, происходящие на уровне TCP Yggdrasil. В частности, для трафика сеанса используются очереди LIFO , что при первом признаке любой перегрузки на инкапсулирующем канале приводит к переупорядочеванию. TCP очень охотно отступает в этом случае, что помогает справиться с реальной перегрузкой на канале.

Согласование MTU

Большая проблема, с которой мы столкнулись, заключалась в том, что разные операционные системы имеют разные максимальные MTU. Linux, macOS и Windows все разрешают максимальный MTU 65535 байт, но FreeBSD позволяет только половину этого - 32767 байт, OpenBSD еще меньше - 16384 байт и NetBSD позволяет ничтожные 9000 байт! Не говоря уже о том, что могут быть также веские причины для корректировки MTU вручную, для этого добавлена опция IfMTU в yggdrasil.conf

Для любых двух узлов Yggdrasil нужен способ договориться о значении MTU, которое подходит для обеих сторон. С этой целью, каждый узел отправляет свой собственный MTU на удаленную сторону при создании зашифрованного сеанса. Зная как свой собственный MTU, так и MTU удаленной стороны, вы можете выбрать нижний из двух MTU, так как нижний из двух MTU гарантированно безопасен для обеих сторон. На самом деле, вы даже можете увидеть, что такое согласованный MTU сеанса, используя yggdrasilctl getSessions или отправив запрос getSessions в сокет администратора.

Использование ICMPv6 для передачи сигналов в userspace

Итак, что произойдет, если вы установите сеанс с кем-то, у кого настроено меньшее MTU, чем у вас? Согласование сеанса и обмен MTU позволят Yggdrasil выбрать более низкий MTU для сеанса, но ваш адаптер TUN/TAP на вашей собственной стороне все еще имеет больший из двух MTU. Как мы сообщим userspace о новом MTU?

IPv6 предусматривает пакет типа «Too Big», который предназначен для облегчения обнаружения пути MTU (Path MTU Discovery) в стандартных сетях IPv6. Если вы отправляете большой пакет, промежуточный узел (например, маршрутизатор) может отправить отправителю сообщение ICMPv6 «Too Big», означающее, что отправленный вами пакет превышает самый большой поддерживаемый размер пакета (фактически восходящий канал MTU). Отправляющий узел может затем фрагментировать пакет и повторно отправлять его в меньших кусках, чтобы он соответствовал этому нижнему значению MTU на пути. Yggdrasil использует это поведение, генерируя управляющие сообщения «Too Big» и отправляя их обратно адаптеру TUN/TAP, когда он обнаруживает, что вы пытались отправить пакет через сеанс Yggdrasil, который больше, чем согласованный MTU.

Это приводит к тому, что операционная система фрагментирует пакеты до размера MTU, поддерживаемого сеансом, и повторно отправляет их. Кроме того, операционная система кэширует этот недавно обнаруженный MTU на будущее, чтобы он правильно фрагментировался для этого получателя с этого момента. По сути, Yggdrasil «обманывает» операционную систему, заставляя ее думать, что в соединении действительно происходит Path MTU Discovery.

Вывод

Вы видите, что Yggdrasil выполняет ряд трюков, чтобы обеспечить гибкое MTU между узлами, и использует преимущества потоковой природы TCP, чтобы обеспечить наибольший уровень производительности и гибкости. Существует ряд подвижных частей для этого - согласование сеанса, генерация сообщений ICMPv6 и выбор TCP вместо UDP для пиринговых соединений. Я надеюсь, что это демистифицирует некоторые из наших решений и объяснит, почему мы поощряем использование более крупных MTU в соединениях.

Ссылки

About huge MTUs in Yggdrasil (EN): https://yggdrasil-network.github.io/2018/07/13/about-mtu.html

Как подключиться к Yggdrasil, не устанавливая его клиент ...

anonymous@undisclosed.example.com (Anonymous) — Mon, 08 Dec 2025 13:41:03 +0000

Как подключиться к Yggdrasil, не устанавливая его клиент на устройство

Разработчики Yggdrasil рекомендуют устанавливать клиент Yggdrasil на каждое устройство, которому нужен доступ в эту сеть. При этом гарантируется сквозное шифрование трафика между узлами, и каждый узел сети сможет выполнять роль маршрутизатора. Однако не во всех сетевых устройствах есть возможность установки и запуска Yggdrasil.

Вариант 1: маршрутизация из подсети /64

Если устройство поддерживает протокол IPv6, оно может быть подключено к сети Yggdrasil путем присвоения ему IPv6 адреса из подсети 300::/64 и указания адреса шлюза в сеть Yggdrasil.

Иными словами, если у нас дома есть роутер, на котором имеется возможность установить Yggdrasil, то другие устройства в нашей сети мы можем подключить к сети Yggdrasil, не устанавливая на них клиент сети.

Предположим, что узел на роутере имеет адрес Yggdrasil 200:1111:2222:3333:4444:5555:6666:7777, тогда для подключения других устройств в сети необходимо им назначить адреса такого вида: 300:1111:2222:3333::/64. Это могут быть: 300:1111:2222:3333::1, 300:1111:2222:3333::2 и т.д. Обратите внимание, что первая цифра 2 изменена на 3, далее 3 разряда с разделителем «:» - это обязательная часть префикса. Остальные 64 бита (4 последние секции) - произвольные числа от 0000 до ffff. Читайте подробнее о подсети в этой статье.

Далее, устройствам с адресами 300:1111:2222:3333::/64 нужно указать маршрут в сеть 0200::/7 через основное устройство с адресом 200:1111:2222:3333:4444:5555:6666:7777.

Примечание: следует учитывать, что при такой конфигурации трафик между роутером и устройствами без Yggdrasil будет передаваться незашифрованным. Кроме того, обратите внимание, что префикс /64 имеет меньше битов адресного пространства, доступного для проверки идентификатора узла, что, в свою очередь, означает, что коллизии хэшей более вероятны. Таким образом, не следует полностью полагаться на адреса диапазона 300::/8 как на достоверно принадлежащие конкретному узлу (хотя, до сих пор подобные коллизии и не возникали, и даже не были намеренно созданы с помощью майнеров адресов, теоретически вероятность их возникновения существует).

Пример ручной настройки

Допустим, в домашней сети работает RaspberryPi, на котором установлен Yggdrasil: aдрес Yggdrasil: 202:421a:2eс5:40a4:fa32:f4a4:9b42:d4e4; префикс, соответственно: 302:421a:2eс5:40a4::/64; интерфейс: tun0; к локальной сети Raspberri подключен через интерфейс eth0.

Хотим подключить к сети Yggdrasil ноутбук, но не хотим на него устанавливать само ПО Yggdrasil. Ноутбук подключен к той же домашней сети через интерфейс wlo1 (Wi-Fi).

1. Нужно на интерфейс, через который Raspberri подключен к локальной сети, добавить адрес из подсети Yggdrasil:

sudo ip address add 302:421a:2eс5:40a4::1/64 dev eth0

2. На Raspberri же включаем форвардинг пакетов между интерфейсами:

sudo sysctl -w net.ipv6.conf.all.forwarding=1

(для того, чтобы это сохранилось после перезагрузки, необходимо раскоментировать присвоение 1 этому параметру в /etc/sysctl.conf)

3. На ноутбуке, на интерфейсе, которым он подключен к локальной сети, добавим адрес из подсети Yggdrasil:

sudo ip address add 302:421a:2eс5:40a4::5/64 dev wlo1

4. Прописываем на ноутбуке маршрут:

sudo ip -6 route add 0200::/7 via 302:421a:2eс5:40a4::1

Примечание: если на этом этапе у вас возникли сложности, и у вас старое ядро Linux, возможно, вам поможет статья: «Маршрутизация из подсети 0300::/64 на старом устройстве».

Всё, пробуем с ноутбука пинговать адреса в Yggdrasil:

ping -6 21e:a51c:885b:7db0:166e:927:98cd:d186

Как видим, всё работает:

PING 21e:a51c:885b:7db0:166e:927:98cd:d186(21e:a51c:885b:7db0:166e:927:98cd:d186) 56 data bytes
64 bytes from 21e:a51c:885b:7db0:166e:927:98cd:d186: icmp_seq=1 ttl=63 time=58.0 ms
64 bytes from 21e:a51c:885b:7db0:166e:927:98cd:d186: icmp_seq=2 ttl=63 time=69.0 ms
...

После проделанного, на всякий случай, не забудьте проверить, какие порты открыты на адресах 302:421a:2eс5:40a4::1 и 302:421a:2eс5:40a4::5:

nmap -6 302:421a:2eс5:40a4::5
nmap -6 302:421a:2eс5:40a4::1

О возможностях автоматического добавления адресов Yggdrasil после перезагрузки устройства читайте в статье: Адрес из подсети 300::/64

Автоматическая настройка

Для целей автоматической раздачи устройствам в домашней сети IPv6-адресов из /64-подсети можно использовать демон radvd (router advertisement daemon).

Примеры конфигурации демона radvd:

interface eth0
{
     AdvSendAdvert on;
     AdvDefaultLifetime 0;
     prefix 300:1111:2222:3333::/64 {
         AdvOnLink on;
         AdvAutonomous on;
     };
     route 200::/7 {};
};

interface eth0
{
     AdvSendAdvert on;
     AdvLinkMTU 1280; # без этой строчки сбоит подключение для windows-устройств (задаёт MTU)
     MinRtrAdvInterval 30;
     MaxRtrAdvInterval 100;
     prefix 300:1111:2222:3333::/64 {
         AdvOnLink on;
         AdvAutonomous on;
         AdvRouterAddr on; # Без этой строки подключаются не все android-устройства; строка "route 200::/7 {};" не требуется.
     };
     RDNSS 300:1111::53 {}; # Необязательно (задает рекурсивный DNS-сервер)
};

Здесь 300:1111:2222:3333::/64 - префикc вашей подсети («выдается» вместе с IPv6 адресом, привязанным к ключу в конфигурационном файле Yggdrasil).

Примечание: по этой ссылке можно прочесть о том, анонсируется маршрут-поумолчанию без radvd (на OpenWrt).

Для корректной работы маршрутизации через устройство, на котором установлен Yggdrasil на нем должна быть разрешена маршутизация IPv6-пакетов:

sudo sysctl -w net.ipv6.conf.all.forwarding=1

net.ipv6.conf.all.forwarding=1 нужно раскомментировать в /etc/sysctl.conf

То же самое, но без использования radvd

Допустим, у вас есть роутер, где LAN является сетевым интерфейсом br0, а Yggdrasil - ygg0.

ip a add fdb7:e5e:e3a9:f2d1::/64 dev br0 # Unique local address (ULA) является аналогом 192.168.1.1 в ipv4, его нужно добавить для корректной работы dnsmasq.
ip a add 300:1111:2222:3333::/64 dev br0 # Не забудьте заменить префикс 300:1111:2222:3333::/64 из примера на правильный адрес, полученный при запуске команды yggdrasilctl -v getSelf
ip route add 200::/7 dev ygg0

Обратите внимание на эти команды. Наиболее лучшим решением будет добавление ipv6 адресов через конфигурационные файлы системы или заранее подготовленный скрипт. В примере также добавлен ULA (fdb7:e5e:e3a9:f2d1::). Не обязательно использовать именно этот префикс. Вы можете сгенерировать свой https://unique-local-ipv6.com/

Более подробный пример для систем c OpenRC

На операционных системах c OpenRC (например, Gentoo) у вас есть возможность дополнительно запускать свои собственные скрипты. При каждом запуске сервиса local - будет запускаться скрипт yggdrasil.start. Подробнее: https://wiki.gentoo.org/wiki//etc/local.d

# rc-service local restart
 * Stopping local ...
 *   Executing "/etc/local.d/yggdrasil.stop" ...                          [ ok ]
 * Starting local ...
 *   Executing "/etc/local.d/yggdrasil.start" ...                         [ ok ]

/etc/local.d/yggdrasil.start

yggdrasil.start

#!/bin/bash
 
# Возможно, вы захотите очистить лог
> /var/log/yggdrasil.stdout.log
 
#Не забудьте заменить префикс 300:1111:2222:3333::/64 из примера на правильный адрес, полученный при запуске команды yggdrasilctl -v getSelf
ip a add 330:1111:2222:3333::/64 dev br0
# Также вы можете добавить адрес вашего вебсайта
ip a add 330:1111:2222:3333::fea4/64 dev br0
ip r add 200::/7 dev ygg0

Можно дополнительно создать срипт /etc/local.d/yggdrasil.stop, который будет удалять добавленные адреса, но он не особо то и нужен. Учтите, при перезапуске интерфейса br0 он снова сбросится к стандартным настройкам.

rc-service net.br0 restart

Это можно исправить несолькими способами:

снова перезапустив сервис local
перезапустив сам скрипт /etc/local.d/yggdrasil.start
или, для автоматизации, добавив в файл /etc/conf.d/net вот таую конструкцю, которая сама запустит скрипт при поднятии интерфейса br0

postup() {
  if [ "${IFACE}" = "br0" ]
  then
     #rc-service local restart
     /etc/local.d/yggdrasil.start
  fi
  return 0
}

На данном этапе вы уже можете посетить сайты сети Yggdrasil через консоль роутера. Убедитесь, что это работает.

# Используя консольный браузер
lynx http://[222:a8e4:50cd:55c:788e:b0a5:4e2f:a92c]/
# Или вот так
curl http://[222:a8e4:50cd:55c:788e:b0a5:4e2f:a92c]/

Теперь настройте DHCPv6, чтобы раздавать адреса устойствам подключённым каким либо образом к интерфейсам объединённым в br0 (для понимания, br0 - бридж).

Допишите в файл /etc/dnsmasq.conf

listen-address=::1,127.0.0.1,192.168.1.1,fdb7:e5e:e3a9:f2d1:: # Слушать множество адресов, включая добавленный нами ранее ULA
dhcp-range=br0,300:1111:2222:3333::,ra-stateless,72h # YGG DHCP - Автоматическое получение адресов (DHCP). Не забудьте заменить 300:1111:2222:3333:: из примера на правильный адрес, полученный при запуске команды yggdrasilctl -v getSelf
dhcp-range=br0,fdb7:e5e:e3a9:f2d1::,ra-stateless,72h # ULA DHCP

# Пример настройи DNS сервера только для посещения сайтов черрез домены .ygg и .meship.
# Актуальные DNS сервера публикуются на странице http://[222:a8e4:50cd:55c:788e:b0a5:4e2f:a92c]/yggdrasil:dns:internal_dns
server=/.meship/.ygg/302:db60::53
server=/.meship/.ygg/300:6223::53

# В данной конфигуации вы также можете использовать unbound, но не 53 порту, так как порт занят DNS сервером самого dnsmasq. Пример конфигуации unbound на странице http://[222:a8e4:50cd:55c:788e:b0a5:4e2f:a92c]/yggdrasil:dns:unbound_wyrd
server=::1#5353
server=127.0.0.1#5353

После внесения правок перезапустите dnsmasq.

Вариант 2: использование прокси-сервера

Yggdrasil устанавливается на одном единственном компьютере. Лучше, если это будет домашний сервер, который никогда не выключается. На этом сервере нужно поставить прокси (http или socks), тогда вы сможете заходить через этот прокси в сеть, используя веб-браузер. А если ваш сервер виден из внешнего мира, то вы сможете выходить в сеть вообще отовсюду. Не забудьте только повесить прокси на нестандартном порту и жестко ограничить IP, с которых предполагается туда заходить. Например, только из дома и только с работы. Если у вас есть доступ по ssh к собственному серверу (так обычно и бывает), то список разрешенных IP можно гибко менять при необходимости. Ведь вы можете оказаться в гостинице, в отпуске на Багамах, в командировке и т.д. Имейте в виду, что c клиента трафик до прокси-сервера будет идти в открытом виде.

Используя какой-нибудь проксификатор (Proxifier) или что-то вроде Tun2Socks можно не только посещать сайты в сети Yggdrasil, настроив соединение через прокси-сервер, но и дать возможность практически любым приложениям (не поддерживающим соединение через прокси-сервер) работать через прокси-сервер.

Пример конфигурации простейшего 3proxy:

log NUL D
internal 127.0.0.1
auth none
flush
socks -46 -p3229 -i91.233.111.15

91.233.111.15 - адрес, на котором будет ждать подключений socks-прокси (может быть в локальной сети (192.168.x.x))
3229 - порт, на котором будет ждать подключений socks-прокси

PAC

Используя PAC-файл можно настроить браузер так, чтобы запросы на адреса Yggdrasil / ALFIS шли через прокси, а всё остальное - напрямую.

/path/to/proxy.pac

function FindProxyForURL(url, host) 
{
  if (/^0{0,1}[2-3][a-f0-9]{0,2}:/.test(host) || /\.ygg$/.test(host))
  {
    return 'SOCKS5 127.0.0.1:1080; DIRECT';
  }
}

В настройках Firefox или Thunderbird (Automatic proxy configuration URL) указываем соответствующий путь: file:///path/to/proxy.pac

Пример подобного PAC-файла можно найти здесь. Подробнее о PAC можно прочесть здесь.

Вариант 3: маршрутизация через VPN-сервер

использование WireGuard

Некоторые пользователи устанавливают Yggdrasil на свой VPN-сервер и маршрутизируют трафик в Yggdrasil через него. В качестве серверного ПО VPN-сервера может использоваться OpenVPN или WireGuard. На сервере должна быть включена маршутизация пакетов (в /etc/sysctl.conf):

net.ipv4.ip_forward=1
net.ipv6.conf.all.forwarding=1

Т.о., подключаясь к VPN-серверу, клиент получает доступ и в Интернет, и в Yggdrasil.

Пример конфигурации WireGuard на сервере:

[Interface]
Address = 10.0.0.1/24, fd00::1/124
PrivateKey = 6EwVi06HBT/DdmYSM8QZv554OoE3mk0vxC3DdlVW/nc= 
ListenPort = 51820
#IPv6 and IPv4
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE; iptables -A FORWARD -o %i -j ACCEPT; ip6tables -A FORWARD -i %i -j ACCEPT; ip6tables -t nat -A POSTROUTING -o tun0 -j MASQUERADE; ip6tables -A FORWARD -o %i -j ACCEPT
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE; iptables -D FORWARD -o %i -j ACCEPT; ip6tables -D FORWARD -i %i -j ACCEPT; ip6tables -t nat -D POSTROUTING -o tun0 -j MASQUERADE; ip6tables -D FORWARD -o %i -j ACCEPT

[Peer]
PublicKey = cyP3jP+Xwbp84kUxct6TGXx8rM1xFCVOBn8Z4m+vLxE=
AllowedIPs = 10.0.0.2/32, fd00::2/128

#...

На клиенте:

[Interface]
Address = 10.0.0.2/24, fd00::2/124
PrivateKey = rOZrd1oaoYAFOd0CPBkXhsvfzPrMj79aIQ0THswGsv7=
DNS = 94.140.14.14, 94.140.15.15

[Peer]
PublicKey = Rgh78oSDafr2sNv6cp/vBDlaiuVCi2DtCduU0mmcHpo=
Endpoint = xxx.xxx.xxx.xxx:51820
#Все IPv4 и только Yggdrasil-IPv6
AllowedIPs = 0.0.0.0/0, 200::/7
#или так (все IPv4 и все IPv6):
#AllowedIPs = 0.0.0.0/0, ::/0

Для того, чтобы через туннель работало разрешение имен ALFIS, можно установить ALFIS на сервере или использовать один из публичных серверов и на клиенте, в конфигурационном файле wireguard, в строке, начинающейся с DNS =, указать адрес резолвера/сервера ALFIS.

Примечание: при такой конфигурации, чтобы работало обычное соединение по IPv6, нужно наличие «настоящего» IPv6 на сервере, и для него (для нужного интерфейса) нужно будет добавить маскарадинг в PostUp = и PostDown =. Подробнее здесь: Простой VPN-сервер

использование ZeroTier

Это еще один вариант с использованием отдельностоящего сервера в качестве VPN.

Данный вариант инетерсен тем, что у ZeroTier есть клиент подо все популярные операционные системы и мобильные платформы.

Регистрируемся на контроллере (для личных нужд хватит бесплатной версии) или поднимаем один из своих контроллеров (например ztncui или zero-ui)
На сервере скачиваем и устанавливаем клиент ZeroTier, устанавливаем Yggdrasil, и включаем ipv6 форвардинг посредством sysctl net.ipv6.conf.all.forwarding=1
Смотрим на полученные в yggdrasil адреса. Допустим aдрес Yggdrasil: 202:421a:2eс5:40a4:fa32:f4a4:9b42:d4e4, префикс, соответственно: 302:421a:2eс5:40a4::/64
В контроллере создаём новую сеть. В этой сети нужно выолнить следующие настройки:
1. Добавить роутинг 302:421a:2eс5:40a4::/64 «без gateway», т.е. эти адреса должны остаться внутри сети ZeroTier
2. Добавить роутинг 200::/7 через 302:421a:2eс5:40a4::1 (или любой другой адрес, который вам захочется назначить GW.
3. Отключить IPv4 Auto-Assign
4. Включить IPv6 Auto-Assign в режиме Auto-Assign from Range
5. Добавить пул выделяемых адресов с 302:421a:2eс5:40a4::1 по 302:421a:2eс5:40a4:ffff:ffff:ffff:ffff
На сервере добавляем клиента ZeroTier в нашу сеть посредством zerotier-cli join <netid» (netid берём из настроек сети в контроллере)
Так как ZeroTier считает 200::/7 публичной сетью (скажем искреннее спасибо авторам Yggdrasil за выбранный адрес), выполняем команду zerotier-cli set <netid> allowGlobal=1
В контроллере «авторизуем» нового клиента. Или переводим сеть из разряда Private в разряд Public и забываем об этой операции навсегда. Если вы не будете где попало светить <netid> своей сети, к ней никто подключиться не может всё равно.
Там же меняем IP у этого клиента на 302:421a:2eс5:40a4::1

Собственно, на этом всё. Теперь на любое устройство/компьютер можно поставить клиент ZeroTier и присоеденившись к сети автоматически олучить IP адрес и роутинг. Ну или полуавтоматически, если Вы параноик и не стали переводить сеть в режим Public, то Вам придётся на контроллере авторизовывать каждое новое устройство. Единственное - не забываем на клиенте разрешать «глобальные адреса» через zerotier-cli set <netid> allowGlobal=1 (еще раз скажем искреннее спасибо авторам Yggdrasil), иначе клиент просто не примет такой адрес (в мобильных клиентах тоже есть такая настройка).

Вариант 4: Мост Yggdrasil ↔ LAN на Windows

Еще один вариант описан в статье: Мост Yggdrasil ↔ LAN в Windows

Ссылки

Конфигурация Yggdrasil, описание префикса адреса (EN): https://yggdrasil-network.github.io/configuration.html
Configuring Yggdrasil with systemd-networkd (EN): https://tdem.in/post/yggdrasil-systemd/
Несколько видеороликов о ZeroTier: https://youtube.com/playlist?list=PLsx5L3jlBQgp7vCU66yTcofX3pXaBBoER&si=w56vBoDDYd9Sm19z

Проксирование c помощью nginx

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:20 +0000

Проксирование c помощью nginx

Зеркало интернет-сайта в сети Yggdrasil

Здесь будет описан способ создания зеркала сайта в сети Yggdrasil с использованием возможности web-сервера nginx работать в качестве прокси-сервера.

Всё описанное доступно для реализации как под управлением ОС Linux, так и Windows.
Мы рассмотрим конфигурирование nginx, установленного в OC linux (на базе Debian).

Для создания корректно функционирующего зеркала сайта необходимы базовые знания языка гипертекстовой разметки (HTML), а так же, Java Script, CSS, и понимание принципов взаимодействия браузера и web-сервера.

Если ранее вы не занимались конфигурированием web-сервера nginx, настоятельно рекомендую ознакомиться со структурой конфигурационного файла, базовыми настройками, встроенными переменными и с примерами простейших конфигураций.
Документация nginx доступна на официальном сайте проекта:
https://nginx.org/ru/docs/
Руководство для начинающих:
https://nginx.org/ru/docs/beginners_guide.html

В процессе исследования проксируемого сайта, скорее всего, вам понадобятся инструменты отладки, встроенные в популярные браузеры. С ними так же желательно предварительно ознакомиться.
Краткое описание инструментов разработчика в браузере Firefox: https://developer.mozilla.org/ru/docs/Tools

Если nginx еще не установлен, необходимо его установить:

sudo apt-get install nginx

Базовой установки (с поставляемыми по-умолчанию модулями) в большинстве случаев будет достаточно.

Конфигурационные файлы nginx находятся в директории /etc/nginx/.
Общие настройки сервера (nginx.conf) мы рассматривать не будем, перейдем непосредственно к конфигурированию проксирования конкретного сайта. Тем, кто впервые установил nginx рекомендую, как минимум, просмотреть файл /etc/nginx/nginx.conf и, желательно, прочитать о директивах, которые там содержатся.

В качестве примера возьмем новостной сайт https://www.interfax.ru/

Небольшое отступление

Небольшое отступление
Конфигурационные файлы конкретных сайтов обычно размещаются в директории `/etc/nginx/sites-available/`. А в директории `/etc/nginx/sites-enabled/`, как правило, помещают символические ссылки на конфигурации из `/etc/nginx/sites-available/`. Всё, что находится в `/etc/nginx/sites-enabled/` nginx считывает при запуске. Таким образом можно легко включать и отключать какой-то сайт на сервере. Например, если в `/etc/nginx/sites-available/` есть файл `homesite.conf`, можно создать на него ссылку в `/etc/nginx/sites-enabled/` `$ sudo ln -s /etc/nginx/sites-available/homesite.conf /etc/nginx/sites-enabled/homesite.conf` Перезапустив nginx, мы сможем зайти на сайт, настроенный в этом конфигурационном файле. `$ sudo systemctl restart nginx` Если мы захотим сделать сайт недоступным, мы просто удаляем ссылку из `/etc/nginx/sites-enabled/` и перезапускаем nginx. `$ sudo rm -f /etc/nginx/sites-enabled/homesite.conf && sudo systemctl restart nginx` Cайт более не работает, а его конфигурация осталась в `/etc/nginx/sites-available/`.

Конфигурационные файлы конкретных сайтов обычно размещаются в директории /etc/nginx/sites-available/.
А в директории /etc/nginx/sites-enabled/, как правило, помещают символические ссылки на конфигурации из /etc/nginx/sites-available/.
Всё, что находится в /etc/nginx/sites-enabled/ nginx считывает при запуске.
Таким образом можно легко включать и отключать какой-то сайт на сервере.
Например, если в /etc/nginx/sites-available/ есть файл homesite.conf, можно создать на него ссылку в /etc/nginx/sites-enabled/

$ sudo ln -s /etc/nginx/sites-available/homesite.conf /etc/nginx/sites-enabled/homesite.conf

Перезапустив nginx, мы сможем зайти на сайт, настроенный в этом конфигурационном файле.

$ sudo systemctl restart nginx

Если мы захотим сделать сайт недоступным, мы просто удаляем ссылку из /etc/nginx/sites-enabled/ и перезапускаем nginx.

$ sudo rm -f /etc/nginx/sites-enabled/homesite.conf && sudo systemctl restart nginx

Cайт более не работает, а его конфигурация осталась в /etc/nginx/sites-available/.

Для экспериментов временно добавим IP-адрес на интерфейс tun0.

sudo ip address add 300:529f:150c:eafe::7/64 dev tun0:1

Подробнее о том, как добавить несколько адресов на один интерфейс можно прочесть статье Короткий адрес из подсети 300::/64.

Создадим файл /etc/nginx/sites-available/interfax.ru.conf
И внесем в него такое содержимое:

/etc/nginx/sites-available/interfax.ru.conf

server {
    #установка заголовков, которые позволят понять серверу, что запросы пришли через прокси-сервер
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Real-IP $remote_addr;
 
    listen [300:529f:150c:eafe::7]:80;
	location / {
		proxy_pass https://www.interfax.ru/;
	}
}

Таким образом мы сообщаем серверу, на каком интерфейсе (адресе) и порту должен работать сайт, и что при обращении к корневой директории необходимо сделать запрос на https://www.interfax.ru/ и выдать нам результат.

Создаем ссылку в /etc/nginx/sites-enabled/ и перезапускаем nginx.

sudo ln -s /etc/nginx/sites-available/interfax.ru.conf /etc/nginx/sites-enabled/interfax.ru.conf && sudo systemctl restart nginx

Если сейчас мы откроем браузер и перейдем по адресу http://[300:529f:150c:eafe::7]/, мы уже увидим страницу с новостями.
Но это еще не всё. Откроем панель инструментов разработчика, перейдем на закладку Сеть и обновим страничку.
Видно, что часть скриптов запрашивается браузером с других адресов (static.smi2.net др.)…
Пользователи, не имеющие доступа в интернет (подключенные к Yggdrasil, например, посредством радио-линка), не смогут загрузить эти скрипты.
Исправим это, а заодно заблокируем лишнее (баннеры, счетчики и т.п.).

/etc/nginx/sites-available/interfax.ru.conf

server {
    listen [300:529f:150c:eafe::7]:80;
 
    #установка заголовков, которые позволят понять серверу, что запросы пришли через прокси-сервер
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Real-IP $remote_addr;
 
    sub_filter_once off; #нужно заменять все совпадения, не только первое
    sub_filter_last_modified on; #сохранение поля Last-Modified в исходном ответе
 
    location / {
 
        proxy_set_header Accept-Encoding ""; # сообщаем серверу, что данные не нужно сжимать, иначе не будут работать фильтры sub_filter
 
        sub_filter "https://static.smi2.net/" "$scheme://$host/staticsmi2net/";
        sub_filter "//smi2.ru/" "//$host/smi2ru/";
        sub_filter "https://www.interfax.ru/" "$scheme://$host/";
        sub_filter "https://fonts.googleapis.com/" "$scheme://$host/ftsgapis/";
        sub_filter "https://cdn.onthe.io/" "$scheme://$host/cdnontheio/";
 
        #обрезаем лишнее
        sub_filter "https://yastatic.net" "$scheme://$host/_empty";
        sub_filter "//www.googletagmanager.com/" "//$host/_empty";
        sub_filter "/js/prebid.min.js" "/_empty";
        sub_filter "https://static.videonow.ru/" "$scheme://$host/_empty";
        sub_filter "https://stats2.videonow.ru/" "$scheme://$host/_empty";
        sub_filter "https://cdn.videonow.ru/" "$scheme://$host/_empty";
        sub_filter "http://imasdk.googleapis.com/" "$scheme://$host/_empty";
        sub_filter "https://s0.2mdn.net/" "$scheme://$host/_empty";
 
        sub_filter "<!-- tns-counter.ru -->" "<!-- tns-counter.ru";
        sub_filter "<!--/ tns-counter.ru -->" "/ tns-counter.ru -->";
        sub_filter "<!-- Yandex.Metrika counter -->" "<!-- Yandex.Metrika counter";
        sub_filter "<!-- /Yandex.Metrika counter -->" "/Yandex.Metrika counter -->";
        sub_filter "<!-- Global site tag (gtag.js) - Google Analytics -->" "<!-- Global site tag (gtag.js) - Google Analytics";
        sub_filter "<!-- /Global site tag (gtag.js) - Google Analytics -->" " /Global site tag (gtag.js) - Google Analytics -->";
        sub_filter "<!--noindex-->" "<!--noindex";
        sub_filter "<!--/noindex-->" "/noindex-->";
 
        sub_filter "containerId: '" "containerId: '-";
        sub_filter "/css/ads.css" "/_empty";
        sub_filter "cntimg.src = \"/cnt/\" + cntParseReferer()" "cntimg.src = \"/_empty\"";
 
        #скроем ненужные элементы
        sub_filter "class=\"toplinks\"" "style=\"visibility: hidden;\"";
        sub_filter "class=\"header__soc\"" "style=\"visibility: hidden;\"";
        sub_filter "class=\"but__enter\"" "style=\"visibility: hidden;\"";
        sub_filter "<footer " "<footer style=\"visibility: hidden;\"";
        sub_filter "class=\"bss__wrap\"" "style=\"visibility: hidden;\"";
        sub_filter "class=\"faqSend faqSendOpen\"" "style=\"visibility: hidden;\"";
 
        proxy_pass https://www.interfax.ru/; # проксируем
    }
 
    location ~* /cdnontheio {
        rewrite ^/cdnontheio/(.*) /$1 break; # заменяем строку cdnontheio в адресе на параметры в исходном запросе и...
        proxy_pass https://cdn.onthe.io; # делаем запрос к нужному серверу
    }
 
    location ~* /taticsmi2net { # ~* - без учета регистра (~ - с учетом)
        rewrite ^/staticsmi2net/(.*) /$1 break;
        proxy_pass https://static.smi2.net;
    }
 
    location ~* /smi2ru {
        rewrite ^/smi2ru/(.*) /$1 break;
        proxy_pass http://smi2.ru;
    }
 
    location ~* /ftsgapis {
        rewrite ^/ftsgapis/(.*) /$1 break;
        proxy_pass https://fonts.googleapis.com;
    }
 
    location /_empty { # здесь просто выдается пустой ответ
        expires max;
        add_header Content-Type text/plain;
        add_header Content-Length 0;
        return 204;
    }
}

Обновим страницу. Теперь всё выглядит лучше. Запросы напрямую в интернет браузером не отправляются. Перейдем по ссылкам на подробности новостей, убедимся, что там тоже всё хорошо.

Примечание
На популярных и активно поддерживаемых сайтах довольно часто происходят изменения, затрагивающие структуру HTML, CSS, JavaScript и пр. - например, когда администраторы или разработчики решат сменить тему оформления сайта или добавить новые рекламные баннеры. Поэтому на момент прочтения вами этой статьи, если вы будете использовать приведенные конфигурационные файлы, скорее всего, вам потребуется внести какие-то изменения, чтобы достичь желаемого результата. По этой же причине администраторам проксируемых таким образом сайтов (зеркал) периодически придется отслеживать изменения на сайтах и вносить корректировки в конфигурационные файлы.

Примечание

На популярных и активно поддерживаемых сайтах довольно часто происходят изменения, затрагивающие структуру HTML, CSS, JavaScript и пр. - например, когда администраторы или разработчики решат сменить тему оформления сайта или добавить новые рекламные баннеры. Поэтому на момент прочтения вами этой статьи, если вы будете использовать приведенные конфигурационные файлы, скорее всего, вам потребуется внести какие-то изменения, чтобы достичь желаемого результата. По этой же причине администраторам проксируемых таким образом сайтов (зеркал) периодически придется отслеживать изменения на сайтах и вносить корректировки в конфигурационные файлы.

Конфигурационный файл заметно увеличился. Но если присмотреться, большую часть занимает повторение одной директивы - sub_filter. Эта директива включенного модуля ngx_http_sub_module. Она просто заменяет одну подстроку на другую в получаемом ответе от проксируемого сервера. Таким образом мы подменяем ссылки на наш ресурс, скрываем ненужные элементы, блокируем загрузку ненужных скриптов и т.д.

Например, ссылка //smi2.ru/data/js/93374.js после обработки директивой

sub_filter "//smi2.ru/" "//$host/smi2ru/";

будет выглядеть так: //[300:529f:150c:eafe::7]/smi2ru/data/js/93374.js

Таким образом, запрос будет сделан к нашему ресурсу.
Но как обработать такой запрос?
Вот так обрабатываем эту локацию:

location ~* /smi2ru {
    rewrite ^/smi2ru/(.*) /$1 break; # заменяем /smi2ru/ на исходный запрос (/data/js/93374.js)
    proxy_pass http://smi2.ru; # и отправляем этот запрос на нужный сервер
 
    #если в ответе этого сервера тоже потребуется что-то изменить, добавим сюда proxy_set_header Accept-Encoding "" и sub_filter...
}

Директива rewrite позволяет изменять URI запроса с помощью регулярных выражений.

Совет
Для исследования каких-то конкретных элементов на странице удобно использовать щелчок ПКМ по нему и выбор из контекстного меню пункта «Исследовать элемент» - попадём в ту же панель инструментов разработчика, но на другую закладку, где курсор спозиционируется на код выбранного элемента..

Совет

Для исследования каких-то конкретных элементов на странице удобно использовать щелчок ПКМ по нему и выбор из контекстного меню пункта «Исследовать элемент» - попадём в ту же панель инструментов разработчика, но на другую закладку, где курсор спозиционируется на код выбранного элемента..

На этом здесь всё. Были рассмотрены основные принципы проксирования сайта, изменения содержимого проксируемых страниц, блокирование ненужных элементов.

Стоит заменить, что это не предел. Этот конфигурационный файл можно оптимизировать, отключив логи там, где это не нужно, добавив кэширование, можно ограничить количество соединений и кое-что другое…

С примерами таких конфигурационных файлов для проксирования других сайтов можно ознакомиться в этом репозитории, который любезно предоставил нам r4sas.

Проксирование стримов

Используется при портировании dual-stack приложений (BitTorrent, Xash3D и других) для маршрутизации трафика с Интернет и различных mesh-сетей на единственный сокет IPv6.

директива stream может требовать дополнительной установки libnginx-mod-stream (apt install libnginx-mod-stream)
по-умолчанию, прокси слушает IPv4 (0.0.0.0) если нужно принимать все IPv6 - указываем listen [::]:1234 (или конкретный адрес Yggdrasil)

TCP

/etc/nginx/nginx.conf

stream {
        server {
                listen 1234;
                proxy_pass [IP]:1234;
        }
}

UDP

/etc/nginx/nginx.conf

stream {
        server {
                listen 1234 udp;
                proxy_pass [IP]:1234;
        }
}

Ссылки

NGINX Reverse Proxy (EN): https://docs.nginx.com/nginx/admin-guide/web-server/reverse-proxy/
YGGbro - пресеты прокси для Yggdrasil

Как определить геолокацию своих пиров

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:19 +0000

Как определить геолокацию своих пиров

С помощью нижеследующих команд можно определить, в каких странах находятся узлы, к которым вы подключены (или которые подключены к вам).

Примечание: в конфигурационном файле Yggdrasil должен быть задан параметр AdminListen, отличный от none.

Примечание: не обрабатываются IPv6-адреса пиров.

С помощью geoiplookup

sudo apt install geoip-bin

Вывод IP-адресов всех пиров с кодами стран:

sudo yggdrasilctl getPeers | grep -Eo '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}' | while read ip; do printf "%-16s" "$ip "; geoiplookup $ip | sed 's/GeoIP Country Edition: \([A-Z ]\{2\}\).*/\1/';done;

Подсчет количества пиров по странам:

sudo yggdrasilctl getPeers | grep -Eo '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}' | while read ip; do geoiplookup $ip | sed 's/GeoIP Country Edition: \([A-Z ]\{2\}\).*/\1/'; done | sort | uniq -c

С помощью whois

sudo apt install whois

sudo yggdrasilctl getPeers|grep -Eo '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}' | while read ip; do printf "%-16s" "$ip "; whois $ip |grep country;done;

С помощью сервиса ipinfo.io

sudo apt install curl jq

sudo yggdrasilctl getPeers|grep -Eo '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}' | while read ip; do printf "%-16s" "$ip "; echo $(curl --silent "ipinfo.io/$ip") |jq '.country';done;

Ссылки

API для администрирования: yggdrasil:admin_api

Коды названий стран: https://ru.wikipedia.org/wiki/ISO_3166-1

Публичный пир

anonymous@undisclosed.example.com (Anonymous) — Thu, 25 Jun 2026 16:54:41 +0000

Публичный пир

Публичным пиром сети называется устройство, к которому в оверлейном режиме может подключиться любой желающий. Проще говоря: узел сети, к которому можно подключиться через Интернет и соединиться таким образом с глобальным сегментом сети Yggdrasil.

Список публичных пиров доступен в официальном репозитории проекта Public Peers, а так же на сайте: https://publicpeers.neilalexander.dev/ (список на этом сайте генерируется автоматически на базе информации с GitHub и имеет колонку с признаком доступности узлов (online/offline)).

Публичные пиры, к которым вы хотите быть подключены, прописываются в файле конфигурации yggdrasil.conf (/etc/yggdrasil.conf или %programdata%\yggdrasil\yggdrasil.conf) в секции Peers:

Peers: [
    # Чехия, Revertron
    tcp://195.123.245.146:7743
    # netherlands
    tcp://51.15.118.10:62486
]

Комментарии не обязательны, но они могут пригодиться.

TLS

Начиная с версии 0.3.11 Yggdrasil поддерживает соединения по протоколу TLS. Это позволяет скрыть пиринговое соединение внутри обычного сеанса TLS, что в некоторых случаях может помочь обойти брандмауэр или фильтры DPI, блокирующие пиринговый трафик Yggdrasil.

Публичные пиры, поддерживающие TLS идентифицируются префиксом tls:// вместо tcp://.

Обратите внимание, что из-за дополнительного уровня шифрования производительность через одноранговые узлы TLS может быть немного хуже, чем через обычные одноранговые узлы tcp://.

QUIC

Начиная с версии 0.5 RC1 Yggdrasil поддерживает соединения по протоколу QUIC.

Публичные пиры, поддерживающие QUIC идентифицируются префиксом quic://.

На данный момент, использование QUIC в Yggdrasil не даёт каких-либо преимуществ, передача данных по этому протоколу может быть даже медленнее, чем при использовании других протоколов.

ws / wss

Начиная с версии 0.5.7 Yggdrasil поддерживает соединения по протоколу WebSocket.

Публичные пиры, поддерживающие WebSocket, в секциях Listen и (или) Peers конфигурационного файла идентифицируются префиксами ws:// или wss://.

wss:// используется для подключения к публичному пиру, находящемуся за обратным прокси HTTPS (HTTPS reverse proxy).

Примеры:

ws://1.1.1.1:1234
ws://1.1.1.1:1234/path 
wss://1.1.1.1:1234
wss://1.1.1.1:1234/path

Подробнее в статье: Пиринг через websocket.

Unix socket

В версии Yggdrasil 0.4.5 появилась возможность пиринга с использованием Unix сокетов. Это не вполне релевантно статье о публичных пирах, т.к., Unix сокеты можно использовать только на одной машине, но тем не менее, об этом стоит упомянуть и здесь.

Эту возможность можно использовать в случае запуска Yggdrasil на одной машине с использованием средств виртуализации или с разделением по network namespaces, или, например, для соединения Yggdrasil c Yggmail.

Для использования пиринга через Unix сокет можно прописать в секцию Peers конфигурационного файла такую строку: unix:///path/to/socket.sock

Пример:

В конфигурационном файле Yggdrasil, в секции Listen прописываем:

Listen:
    [
      tcp://192.168.1.2:23485
      unix:///var/run/yggdrasil.sock
    ]

Таким образом к нашему пиру можно будет подключиться по IP 192.168.1.2, на порт 23485 и через Unix сокет по пути /var/run/yggdrasil.sock

Yggmail теперь можно запускать так:

yggmail -peer=unix:///var/run/yggdrasil.sock -database=/home/USER/mail/yggmail.db -smtp=192.168.1.2:1025 -imap=192.168.1.2:1143

Проброс unix через vsock используя socat

Для соединения виртуальных машин без сетевого интерфейса, можно использовать готовую реализацию роутера с поддержкой vsock. Также, можно организовать проброс unix - vsock - unix с использованием socat:

Хост:

Listen: [
    unix:///run/yggdrasil/peer.sock
]

не путать с адресом административого сокета

socat VSOCK-LISTEN:5000,fork UNIX-CONNECT:/run/yggdrasil/peer.sock

Гостевые машины:

socat UNIX-LISTEN:/run/yggdrasil/bridge.sock,fork,mode=777 VSOCK-CONNECT:2:5000

интерфейс VirtIO должен быть предварительно добавлен в настройках гостевой машины

Peers: [
    unix:///run/yggdrasil/bridge.sock
]

Как выбрать публичные пиры

Для обычного домашнего использования разработчики рекомендуют прописывать в конфигурационном файле 2-3 географически ближайших к вам публичных пира. Слишком большое количество пиров в конфигурационном файле, а так же, использование географически удаленных от вас пиров может нагативно сказаться на производительности узла и скорости доступа к ресурсам сети.

Для выбора пиров, во-первых можно просто воспользоваться упомянутым выше сайтом, на котором собраны все публичные пиры с offline / online статусами.

Ниже перечислены средства автоматизации процесса выбора пиров.

Yggdrasil peers updater

Утилита предназначена для проверки доступности пиров и автоматического их обновления в конфигурационном файле Yggdrasil, а так же, с помощью метода admin API - addPeer.

Для вывода отсортированного по скорости доступа списка доступных пиров используется флаг -p.

С другими параметрами можно ознакомиться из описания (RU): https://github.com/ygguser/peers_updater/blob/master/README_ru.md

PeerYgg (Пирог)

Утилита-клон Yggdrasil peers updater на GoLang.

Из минусов: отсутствует обновление пиров через admin API или конфигурацию

Готовые бинарники для следующих архитектур: Windows, Linux (X64, Arm, MIPS, MIPSLE, ARMv5, ARMv6, ARMv7), MacOS (Intel, Apple Silicon)

Подробнее про утилиту: https://github.com/GenkaOk/PeerYgg/blob/main/README.ru.md

Скрипт на python

zhoreeq разработал скрипт, который в отсортированном виде выводит информацию о времени отклика пиров, его можно использовать при выборе пиров для своего конфигурационного файла (необходимо наличие установленного python3):

Клонируем репозиторий с публичными пирами:

git clone https://github.com/yggdrasil-network/public-peers.git

Клонируем репозиторий со скриптом:

git clone https://github.com/zhoreeq/peer_checker.py.git

Запускаем скрипт (параметром указывается каталог с публичными пирами):

python ./peer_checker.py/peer_checker.py ./public-peers/

Пример вывода скрипта:

Dead peers:

tcp://[2a04:5b81:2010::90]:2000 	 africa/south-africa.md
tcp://[2804:49fc::ffff:ffff:5b5:e8be]:58301 	 south-america/brazil.md
...

Alive peers (sorted by latency):

URI 	 Latency (ms) 	 Location
tcp://95.165.99.73:5353 	 6.679 	 europe/russia.md
tcp://yggno.de:18226 	 16.892 	 europe/russia.md
...

Как стать публичным пиром?

Любой желающий может стать публичным пиром. Для этого, чтобы другие пользователи могли подключиться к вашему узлу, как к публичному пиру, необходимо иметь прямой доступ в Интернет (белый IP). Также крайне желательно использовать для пиринга весьма производительное «железо» и широкий сетевой канал. Производительность сервера важна при больших нагрузках, т.к. нативные криптографические операции сети весьма требовательны и в случае недостатка мощности в работе пира будут возникать сбои. В настройках файерволла операционной системы необходимо открыть порт, который будет прослушивать Yggdrasil (любой, на ваше усмотрение).
В файле конфигурации Yggdrasil добавляем в поле Listen:

  Listen: [
  # Для прослушивания всех IPv4 интерфейсов на порту 7991
  tcp://0.0.0.0:7991 
  # Для прослушивания всех IPv6 интерфейсов на порту 7992
  tcp://[::]:7992
  ]

По-желанию, адрес своего узла можно опубликовать на упомянутой выше странице проекта в GitHub, либо просто поделиться им с друзьями.

Приоритеты

В Yggdrasil версии 0.4.6 появилась возможность задать приоритеты для соединения с одним и тем же узлом, если у узла несколько интерфейсов. Приоритет указывается с помощью параметра URI пира ?priority=X в секциях Peers или Listen, или c помощью параметра Priority в секции MulticastInterfaces.

Приоритет — это число из диапазона от 0 до 254 (по умолчанию 0), чем ниже значение, тем выше приоритет.

Ограничение подключений паролем

Начиная с версии 0.5 RC1 можно использовать «рукопожатие» с дополнительным паролем.

Пример:

Для секции Listen: tls://[::]:12345?password=123456abcdef
Для секции Peers: tls://a.b.c.d:12345?password=123456abcdef

Пароль должен совпадать на обеих сторонах, иначе соединение не установится.

Так же, пароль допустимо использовать в секции MulticastInterfaces.

Максимальная допустимая длина пароля - 64 символа.

Ограничение подключений публичным ключом

Для секции Listen: tls://[::]:12345?key=PUBLICKEY

Подключиться сможет только тот, чей публичный ключ совпадает с PUBLICKEY.

Закрытые группы

В конфигурационный файл Yggdrasil версии 0.5.14-RC.1 добавлен параметр GroupPassword, с помощью которого можно создавать закрытые от остальной сети Yggdrasil группы узлов.

Если параметр GroupPassword задан, обмен трафиком будет происходить только между узлами с одинаковым паролем, при этом, пиринг будет работать по-прежнему, этот параметр не будет оказывать влияние на транзитный трафик.

Особые замечания

0. Не забудьте перезапустить службу Yggdrasil, чтобы изменения вступили в силу:

  # Debian/Ubuntu:
sudo systemctl restart yggdrasil
  # Windows:
net.exe stop "Yggdrasil Service" && net.exe start "Yggdrasil Service"

1. Другие частники сети будут считаться подключенными локально, будто они с вами в одной локальной сети. Учитывайте это при настройке безопасности.
2. Редактируя файл конфигурации в Windows, не используйте стандартный блокнот и Office Word. Это испортит кодировку файла и служба Yggdrasil не сможет запуститься. Для редактирования конфига в Windows следует использовать текстовые редакторы вроде AkelPad, Notepad2 и NotePad++.

Ссылки

Публичные пиры (EN): https://github.com/yggdrasil-network/public-peers
Yggdrasil peer checker (EN): https://github.com/zhoreeq/peer_checker.py

Маршрутизация из подсети 0300::/64 на старом устройстве

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:19 +0000

Маршрутизация из подсети 0300::/64 на старом устройстве

Есть у меня дома старенький NAS от Synology - DS213air c DSM 6.2 и ядром Linux 2.6.32.12.

Обновления DSM для этой модели уже давно не выпускаются, за исключением патчей, закрывающих критические уязвимости, и ядро там навсегда останется версии 2.6.

На NAS'е крутятся Transmission, FTP и прочие полезные в хозяйстве сервисы.

И вот задумал я подключить этот NAS к Yggdrasil.

Запустить сам Yggdrasil там не составляет больших проблем: достаточно скачать бинарник под нужную архитектуру процессора (armel (ARM v.5T emulated) в моём случае), написать небольший скриптик для запуска, ну и добавить этот скрипт в планировщик задач DSM c событием «Загрузка».

Если кому интересно под спойлером скрипт запуска:

Мой скрипт запуска Yggdrasil на NAS

Скрипт помещается туда, где есть бинарник Yggdrasil. Или наоборот: бинарник с конфигом помещаются туда, где находится скрипт :)

startYgg.sh

#!/bin/bash
 
if [[ ! $(whoami) =~ "root" ]]; then
	echo "This should be run as root"
	exit
fi
 
cd $(dirname "$0")
 
# Create the necessary file structure for /dev/net/tun
if ( [ ! -c /dev/net/tun ] ); then
    if ( [ ! -d /dev/net ] ); then
        mkdir -m 755 /dev/net
    fi
    mknod /dev/net/tun c 10 200
fi
 
# Load the tun module if not already loaded
if ( !(lsmod | grep -q "^tun\s") ); then
    insmod /lib/modules/tun.ko
fi
 
./yggdrasil -useconffile ./yggdrasil.conf &

Однако, процессор там MARVELL Kirkwood 88F6282 с тактовой частотой 1.6 GHz, памяти всего 256 мб и мне не хотелось расходовать эти ресурсы на Yggdrasil, ведь у нас есть целая подсеть 0300::/64, благодаря которой мы можем [легким движением руки (по заверению разработчиков)] подключить к сети другие домашние устройства, не устанавливая на них сам Yggdrasil.

Открыл статью «Как подключиться к Yggdrasil, не устанавливая его клиент на устройство» и начал повторять «Пример ручной настройки» (у меня тоже RaspberriPi есть).

И вот на этапе 4. «Прописывам маршрут» возникли сложности. На все мои попытки добавить маршрут система настойчиво отвечала: RTNETLINK answers: Invalid argument (к слову, в случае с моим NAS этапов было больше, чем в этой статье, но об этом позже).

Погуглив немного, я понял, что с такой проблемой сталкиваются люди, использующие адреса из Reserved или Deprecated диапазонов адресов IPv6, и именно на старых ядрах Linux. На актуальных ядрах такой проблемы не наблюдается. Вероятно, в прошлом, были более жесткие проверки корректности IPv6-адресов. Интересно, что назначать IP-адреса из этих диапазонов на интерфейсы можно, но использовать их в качестве шлюзов - нельзя (вот пример такой проблемы от 2008 года (тогда еще актуальным было ядро 2.6)). А мне-то как раз шлюз такой и нужно было указать…

Ну, и всем известно, что Yggdrasil использует именно Deprecated дианазон 0200::/7 (что по мнению разработчиков должно облегчить настройку и свести к минимуму возможные конфликты с другими сетями).

Собственно, ответ на описание проблемы по одной из приведенных выше ссылок подсказывает решение. И то же самое мне посоветовали в канале #yggdrasil:matrix.org.

Можно | нужно (нужное можно подчеркнуть) в качестве шлюза использовать ULA и настроить т.н. 1:1 NAT.

Да, это костыль, но это работает :) И спасибо разработчикам Yggdrasil за выбор такого диапазона для адресации в Yggdrasil.

Ниже по шагам опишу, всё, что нужно сделать в таком случае, как мой…

Настройка маршрутизации

Исходные данные

На RaspberriPi установлен Yggdrasil; адрес: 200:32e:cfa4:1c08:758c:5bdf:e04c:8a80; подсеть: 300:32e:cfa4:1c08::/64 (адреса для примера).

И RaspberriPi и NAS подключены к локалке шнурками через одноименные интерфейсы eth0.

1. Подключаемся к NAS по SSH, включаем поддержку IPv6, добавляем на интерфейс адреса и маршрут:

Для удобства сразу войдем с правами суперпользователя:

sudo su

Включаем IPv6:

sysctl net.ipv6.conf.all.disable_ipv6=0
sysctl net.ipv6.conf.default.disable_ipv6=0
sysctl net.ipv6.conf.lo.disable_ipv6=0
sysctl net.ipv6.conf.eth0.disable_ipv6=0

Добавляем адреса:

ip -6 address add 300:32e:cfa4:1c08::6/64 dev eth0
ip -6 address add fd01::6/124 dev eth0

Первый адрес - это будет адрес NAS в Yggdrasil (он из маршрутизируемой подсети 0300::/64)
Второй адрес - это ULA (аналог приватных IPv4 адресов). Маску можете рассчитать сами исходя из своих нужд, воспользовавшись каким-нибудь калькулятором.

Теперь сразу пропишем маршрут через шлюз, которого пока нет (будет на RaspberriPi):

ip -6 route add 0200::/7 via fd01::1 dev eth0 metric 50 hoplimit 2

Команда отработала успешно. И то, что эта же команда с адресом из диапазона 0300::/64 (входит в 0200::/7) завершалась ошибкой, подтверждает, что в этом ядре реализована более жесткая проверка валидности IPv6 адресов.

2. Настройка RapberriPi в качаестве шлюза

Так же, подключаемся по SSH (хотя, может кто-то использует там полноценную Raspberry Pi OS c графическим окружением, не суть), входим под root:

sudo -i

Включаем пересылку пакетов между интерфейсами:

sysctl -w net.ipv6.conf.all.forwarding=1

Если этого не сделать, ничего работать не будет. Ведь, нам нужно пересылать пакеты с eth0 на tun (туннельный интерфейс Yggdrasil).

Добавляем адреса:

ip address add 300:32e:cfa4:1c08::1/64 dev eth0
ip address add fd01::1/124 dev eth0

Первый адрес из подсети 0300::/64, второй - ULA.

Добавлям маршрут к NAS через eth0:

ip route add 320:9c1:e1fa:a105::6 dev eth0 metric 50 hoplimit 1

Если не установлен iptables, устанавливаем и прописываем правила (тем, кому больше нравится nftables - у вас правила по-своему пишутся):

ip6tables -t nat -A POSTROUTING -o eth0 -s fd01::6 -j SNAT --to-source 300:32e:cfa4:1c08::6
ip6tables -t nat -A PREROUTING -i eth0 -d 300:32e:cfa4:1c08::6 -j DNAT --to-destination fd01::6
ip6tables -A FORWARD -s 300:32e:cfa4:1c08::6 -j ACCEPT
ip6tables -A FORWARD -d fd01::6 -j ACCEPT

Можно проверить добавленное:

ip6tables -L
ip6tables -t nat -L

Это и есть реализация 1:1 NAT, которое по-сути заключается в подмене адресов назначения и источника.

На этом всё. NAS имеет адрес 300:32e:cfa4:1c08::6 и после проделанного доступен из сети Yggdrasil и сам имеет доступ в эту сеть.

Осталось прикрыть на NAS порты, доступ к которым предоставлять всей сети было бы слишком щедро и доверчиво и еще раз проверить, что доступно на RaspberriPi по адресам 300:32e:cfa4:1c08::1 и fd01::1.

Сделать так, чтобы все эти настройки сохранялись между перезагрузками, надеюсь, сможете самостоятельно ;)

Ссылки

Iptables 1:1 NAT (EN): https://www.qsl.net/kb9mwr/wapr/tcpip/1to1nat.html

Как запустить сайт в сети Yggdrasil

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:19 +0000

Как запустить сайт в сети Yggdrasil

В общем случае, запустить сайт в сети Yggdrasil не сложнее, чем в любой другой сети (например, Интернет).

Рекомендации по выбору ПО web-сервера, а так же по его настройке легко можно найти в Интернете, и в случае с Yggdrasil нет ничего, на чем здесь имело бы смысл акцентировать внимание.

Ниже приведен пример простейшего конфигурационного файла web-сервера nginx для простого статического сайта.

server {
    listen [200:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx]:80; # адрес и порт, на которых будет доступен сайт
    root /var/www/html; # путь к корневому каталогу сайта
    index index.html; # имя файла, которое будет выдано сервером, при обращении к каталогу
}

То же самое для Apache

<VirtualHost [200:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx]:80> # Адрес и порт, на которых будет доступен сайт
        DocumentRoot /var/www/html # Путь к корневому каталогу сайта. 
                                   # Главная страница по умолчанию index.html
</VirtualHost>

Т.к., в конфигурационном файле сайта [nginx] указана директива [listen] c адресом Yggdrasil, необходимо, чтобы демон web-сервера запускался после того, как запустится Yggdrasil, инициализируется его tun-интерфейс и на нём появится IPv6-адрес, иначе web-сервер не сможет корректно запуститься. Поэтому необходимо немного модифицировать systemd-unit для запуска web-сервера. Пример override.conf для nginx, созданный с помощью sudo systemctl edit nginx.service:

[Unit]
Wants=sys-devices-virtual-net-tun0.device
After=sys-devices-virtual-net-tun0.device

Подробнее об этом можно прочесть здесь, здесь, здесь или здесь.

Читайте так же о том, как зарегистрировать доменное имя для своего сайта в сети Yggdrasil.

Несколько сервисов на одном сервере

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:18 +0000

Несколько сервисов на одном сервере

Для организации нескольких сервисов с разными адресами на одной машине следует прибегнуть к использованию подсети. Таким образом, у сервера с Yggdrasil появляется условно неограниченное количество адресов из диапазона 300::/64 (с учетом префикса адреса из 0200::/7), каждый из которых, например, можно присвоить новой виртуальной машине, либо просто запустить несколько сайтов на разных адресах из этого диапазона с использованием одного и того же номера порта.

Учтите физические ограничения производительности вашего сервера!

Читайте статью про назначение нескольких адресов из подсети Yggdrasil на одном устройстве.

Если по каким-то причинам вы не хотите использовать адреса из маршрутизируемой подсети, хотите, чтобы каждый сервис работал на своём адресе из диапазона 0200::/7, вам придется прибегнуть к средствам виртуализации или размещению экземпляров Yggdrasil в контейнеры. Просто запустить несколько экземпляров Yggdrasil на одном устройстве получится, но корректно работать они не будут, ввиду необходимости разделения маршрутов конкурирующих устройств в диапазоне 0200::/7 по сетевым пространствам имен (network namespaces (см. Ссылки)).

В статье Yggdrasil в контейнере LXC рассмотрена возможность запуска Yggdrasil в контейнере LXC.

В качестве другого варианта можно порекомендовать использование контейнеров Docker.

При всём этом, нужно учитывать, что каждый экземпляр Yggdrasil, как минимум требует ресурсы для шифрования передаваемого внутри сети трафика.

Ссылки

Пример запуска нескольких экземпляров Yggdrasil на одном устройстве с разделением по сетевым пространствам имен: https://github.com/yggdrasil-network/yggdrasil-go/blob/develop/misc/run-schannel-netns
Механизмы контейнеризации: cgroups - https://habr.com/ru/company/selectel/blog/303190/
Механизмы контейнеризации: namespaces - https://selectel.ru/blog/mexanizmy-kontejnerizacii-namespaces/
Углубленное знакомство с пространствами имен Linux. Часть 1 - https://habr.com/ru/company/ruvds/blog/592057/

Внутрисетевые сайты и сервисы

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:19 +0000

Внутрисетевые сайты и сервисы

Парадигма глобальной сети Интернет – легкая доступность и большой выбор ресурсов: информационных, социальных, развлекательных, игровых и прочих.
Человека, попавшего в несколько отличное от традиционного интернета место, смущает пустота. Где в Yggdrasil поисковик, веселые сайты, ради чего пользователь вообще должен держать на своем устройстве узел сети? Это философский вопрос, на который каждый энтузиаст ответит по-своему. Ключевое слово: энтузиаст. Сеть Yggdrasil разрабатывается, развивается и поддерживается добровольцами, как, например, свободное программное обеспечение. За меш-сетями будущее, которое мы ждем и в меру собственных сил приближаем.

Привычные нам поисковые системы вроде Google являются весьма сложным механизмом, над работоспособностью которых трудятся сотни, если не тысячи человек. В настоящее время в Yggdrasil встречаются инстанции локальных поисковиков типа YaCy, однако, возможно, лучшее место поиска контента в (пока что) небольшой сети - сайт Web-Directory.

Статьи внутри раздела

Востребованные ссылки

Различные работающие в сети сервисы перечислены на официальном сайте проекта Yggdrasil в разделе «Public Services»: https://yggdrasil-network.github.io/services.html

Каталог web-сайтов: http://[21e:a51c:885b:7db0:166e:927:98cd:d186]/
Различные внутрисетевые сервисы: Различные внутрисетевые сервисы
Приблизительная карта сети (Arceliar): http://[21e:e795:8e82:a9e2:ff48:952d:55f2:f0bb]/
Тест скорости и отображение IP: http://myip.ygg/

Для администраторов

Как запустить свой сайт в сети Yggdrasil
Как запустить несколько сервисов на одном сервере
Проксирование веб-ресурсов через nginx
Распределенная система DNS ALFIS

Теория спуфинга адресов

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:19 +0000

Теория спуфинга адресов

В контексте сетевой безопасности spoofing attack (англ. spoofing — подмена) — ситуация, в которой один человек или программа успешно маскируется под другую путём фальсификации данных и позволяет получить незаконные преимущества. По большей части спуфингом называется подмена IP, к которому обращается пользователь, чтобы в итоге он попал на ресурс злоумышленника вместо целевого. Такая атака является вариацией man-it-the-middle атаки (атака типа «человек по середине»), но с оговоркой: злоумышленник оказывается не по середине, а на месте второго собеседника и под его адресом. В некоторых случаях (например, спуфинг DNS) выявить подобную атаку сразу не представляется возможным.

В отношении Yggdrasil, где адрес выводится математически, а топология не является ответственностью уполномоченных лиц, единственный сценарий спуфинга – подбор злоумышленником пары ключей, которые образуют нужный адрес. За IPv6 Yggdrasil отвечает публичный ключ Curve25519 (x25519) (параметр EncryptionPublicKey в конфиге), а вернее хеш SHA512 от него. Учитывая факт свободного обмена открытыми ключами в сети, некоторый человек решит, что наилучшая атака – магическим образом восстановить секретный ключ из открытого. Именно секретный ключ (EncryptionPrivateKey в конфиге) отвечает за расшифровку трафика, направляемого в адрес, вычисленного по открытому ключу. Но такое мнение является ошибочным: восстановить секретный ключ из публичного математически невозможно. Реальная модель атаки банальна: перебор ключей в поисках нужного адреса. В теории эта атака вполне возможна, но на практике в настоящее время неосуществима: закрытый ключ, из которого затем извлекается и используется публичный, составляет 32 байта (32 байта = 256 бит = 2²⁵⁶ = 3 115 792 089 237 316 195 423 570 985 008 687 907 853 269 984 665 640 564 039 457 584 007 913 129 639 936 вариаций).

Сделав вывод, что мечты о словаре со всеми возможными ключами пока что являются влажными мечтами, пойдем дальше – к SHA512. Шестнадцатиричный адрес IPv6 в Yggdrasil, который кажется привычным, как раз образуется из этого хеша. Это наглядно иллюстрирует рисунок справа. Хеш SHA512 имеет фиксированную длину в 64 байта, что вызывает вопросы, т.к. длина IPv6 всего (!) 16 байт. Первый байт «0x02» является константой, поэтому фактически адрес Yggdrasil не 128 бит, а 120. Оставшиеся байты хеша отбрасываются. Итого IPv6 адрес Yggdrasil имеет 2¹²⁰ = 1 329 227 995 784 915 872 903 807 060 280 344 576 вариаций. Подбирать подобное значение «в лоб» все равно не вызывает энтузиазма. Более того, из рассчета, что 15 байт берутся из 64 байт хеша, в теории появляется весьма реальная вероятность коллизий: нахождения одинаковых IPv6 с разными публичными ключами, т.к. Yggdrasil использует лишь ~1/4 часть уникального хеша SHA512. С учетом коллизий, есть возможность найти (в абстрактной теории) нужный адрес, но с другим ключом. Был проведен тест, в рамках которого в сети находилось два узла с одинаковыми ключами. Ничего страшного с сетью не случилось: пакеты просто периодически шли то на один, то на другой узел, т.е. по факту терялись. Предсказать поведение в случае одинаковых адресов, но разных ключей – нетривиальная задача. Можно сказать точно, что это нарушит обращение к обоим узлам.

Разработчики Yggdrasil постарались усложнить подбор адресов. Как видно на иллюстрации, второй байт адреса – это количество лидирующих единиц в хешэ. Затем лидирующие единицы и первый ноль срезаются, оставшиеся байты составляют тело адреса. Получается, первые непрерывно идущие единичные биты создают дополнительный фактор уникальности адреса. Отсюда выходит понятие «высокого адреса» – адреса с наибольшим значением во втором байте. Вероятность подобрать нужную последовательность 14 байт IPv6 сильно падает, т.к. напрямую зависит от количества лидирующих единиц в хеше – 15-го байта. Исходя из этого имеет смысл майнить «высокие адреса» для своих проектов. Это займет относительно немного времени, но обеспечит дополнительную уверенность в доступности веб-ресурса. Особенно это актуально при использовании адреса из подсети 0300::/64, где для спуфинга требуется подобрать не 120 бит, а всего лишь первые 56 бит адреса IPv6. Чем выше адрес IPv6, тем большее количество байт хеша нужно подобрать. В этом и заключается польза адресов высокого порядка.

Смена IP-адреса в Yggdrasil при старте сервиса

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:19 +0000

Смена IP-адреса в Yggdrasil при старте сервиса

Захотелось внести в Yggdrasil немножко анонимности. Если у вас на ПК нет никаких сервисов, привязанных к IP-адресу то его смена при каждой загрузке может не помешать.

Пример будет приведен для сервиса yggdrasil который управляется через systemctl.

Скрипт

Сам скрипт очень прост.

sed -i "s/$(cat \/etc\/yggdrasil.conf | grep 'PrivateKey')/$(yggdrasil -genconf | grep 'PrivateKey')/" /etc/yggdrasil.conf

Разберем этот скрипт.

Ищем строку с приватным ключом:

cat \/etc\/yggdrasil.conf | grep 'PrivateKey'

Генерируем новый конфиг с новым приватным ключом и грепаем строку с ключом:

yggdrasil -genconf | grep 'PrivateKey'

Далее подставляем результаты в sed.

systemctl

Теперь нам нужно поместить этот скрпит в файл сервиса yggdrasil.

Отредактируем файл сервиса yggdrasil:

systemctl edit yggdrasil.service

У вас в редакторе откроется подобный текст:

### Editing /etc/systemd/system/yggdrasil.service.d/override.conf
### Anything between here and the comment below will become the contents of the drop-in file


### Edits below this comment will be discarded
...

Добавьте наш override:

### Editing /etc/systemd/system/yggdrasil.service.d/override.conf
### Anything between here and the comment below will become the contents of the drop-in file

[Service]
ExecStartPre=/bin/bash -c '''sed -i "s/$(cat \/etc\/yggdrasil.conf | grep 'PrivateKey')/$(yggdrasil -genconf | grep 'PrivateKey')/" /etc/yggdrasil.conf'''

### Edits below this comment will be discarded

Сохраните изменения и выполните команду для обновления файлов конфигураций:

systemctl daemon-reload

Проверка

Теперь проверим, что наш override для файла сервиса применился. Выполним команду:

systemctl show --no-pager yggdrasil.service | grep -i 'ExecStartPre='

В выводе будет определение нашей команды, которая записана через override, и основной команды, которая была по умолчанию.

ExecStartPre={ path=/sbin/modprobe ; argv[]=/sbin/modprobe tun ; ignore_errors=yes ; start_time=[n/a] ; stop_time=[n/a] ; pid=0 ; code=(null) ; status=0/0 }
ExecStartPre={ path=/bin/bash ; argv[]=/bin/bash -c sed -i "s/$(cat \/etc\/yggdrasil.conf | grep PrivateKey)/$(yggdrasil -genconf | grep PrivateKey)/" /etc/yggdrasil.conf ; ignore_errors=no ; start_time=[n/a] ; stop_time=[n/a] ; pid=0 ; code=(null) ; status=0/0 }

Теперь проверим, что IP-адрес меняется, посмотрим наш текущий адрес:

ip -br a | grep tun0
tun0             UNKNOWN        202:f108:1d85:56cb:5ed1:5edc:7a5:df05/7

Перезапустим сервис:

systemctl restart yggdrasil.service

Проверим еще раз наш IP-адрес:

ip -br a | grep tun0
tun0             UNKNOWN        200:babe:dada:ffff:5ed1:5edc:7a5:ffff/7

Адрес изменился.

Адрес из подсети 300::/64

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:20 +0000

Адрес из подсети 300::/64

Итак, вы установили поддержку сети Yggdrasil, и хотите дать своему серверу дополнительные IP-адреса. Зачастую более короткие.

Теоретическая часть

Маршрутизация в Yggdrasil работает по принципу сети IPv6 с маской 0200::/7. Коротко поясним содержание этого выражения. Каждая цифра в адресе имеет 16 вариантов написания в шестнадцатиричной системе счисления (0-9, a-f). Для написания подобного значения в двоичной системе счисления, на которой работает почти вся современная электронная техника, требуется четыре бита (цифры 0 или 1): 1=0001, 9=1001, f=1111 и так далее. Непосредственно маску обозначает число семь, указанное через слеш 0200::/7. Это количество бит, которые определяют не узел в сети, а саму сеть. Первый символ 0200 строго входит в маску сети, т.к. число семь полностью покрывает количество четырех битов. На второй символ 0200 приходится не 4 бита, а только 3: 2=0010. Последний бит остается свободным и позволяет указывать тройку вместо двойки: 3=0011. Всего в адресе IPv6 128 бит, 7 из которых, как мы выяснили, относятся к обозначению сети Yggdrasil и всегда остаются неизменными. Оставшийся 121 бит дает пространство адресов для пользователей. Это огромное число, привычная запись которого потребует больше 250 символов!
Нули в начале разряда опускаются, поэтому сеть Yggdrasil можно записать в виде 200::/7. Тем более, что первый ноль является константой.
Две и более секции, состоящие из нулей, можно сократить. Сокращение обозначается в виде двух двоеточий. Например, 209:abcd:abcd:abcd:0:0:cccc:cccc сокращается до 209:abcd:abcd:abcd::cccc:cccc. Важно: сократить можно только один фрагмент адреса.
Помимо основной сети 200::/7, каждый адрес Yggdrasil имеет свою подсеть. По задумке, подсети используются для локальной маршрутизации, однако могут использоваться и исключительно в эстетических целях для получения короткого адреса. Подсети Yggdrasil имеют вид 300::/64.

Практическая часть

Средствами Yggdrasil узнаем свою подсеть:

$ sudo yggdrasilctl getSelf

Видим нечто вроде:

Build name: yggdrasil
Build version: 0.3.14
IPv6 address: 205:1483:f4dc:5870:b4d6:c309:1d51:aace
IPv6 subnet: 305:1483:f4dc:5870::/64
Coords: [1 13 10 167 6]

Создаем дополнительный адрес:

Копируем или запоминаем значение «IPv6 subnet». Двойное двоеточие означает сокращение, т.е. недостающие четыре секции состоят из нулей. После двоеточий в рамках правил (4 символа из диапазонов 0-9, a-f) можно дописать любое значение (например, 305:1483:f4dc:5870::ac1d), таким образом изменив только последний разряд, сохраняем сокращенный адрес. При необходимости можно указать бОльшее количество разрядов.

Добавляем новый IP в систему:

$ sudo ifconfig lo inet6 add 305:1483:f4dc:5870::ac1d/64

Проверяем:

$ sudo ifconfig lo

И видим:

  lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0
        inet6 305:1483:f4dc:5870::ac1d  prefixlen 64  scopeid 0x0<global>
        inet6 ::1  prefixlen 128  scopeid 0x10<host>

Адрес добавлен (вторая строка).

Windows

Данная операция также легко производится на Windows. В командной строке выполните:

"C:\Program Files\Yggdrasil\yggdrasilctl.exe" getSelf

Работа с адресом аналогична вышеописанному. Затем добавьте новый адрес на интерфейс Yggdrasil WireGuard: Свойства - Свойства IPv6 - Дополнительно - Добавить - Добавить.

Автоматическое добавление дополнительных адресов

Добавочные IP пропадут, если вы опустите основной интерфейс Yggdrasil.

Сделать так, чтобы они добавлялись автоматически можно разными способами. Например:

Linux

Способ 1

Добавление команд в override.conf юнита systemd:

sudo systemctl edit yggdrasil.service

Добавляем в файл строки и записываем его:

[Service]
ExecStartPost=/bin/sleep 2s
ExecStartPost=/bin/ip address add 300:75c1:bcf1:7621::1/64 dev tun0

Так дополнительный адрес будет добавлен при старте сервиса Yggdrasil (2s - требуется пара секунд для инициализации).

Способ 2

В файл /etc/network/interfaces можно добавить строки:

auto lo
iface lo inet loopback
  up ip addr add 300:75c1:bcf1:7621::1/64 dev lo
  up ip addr add 300:75c1:bcf1:7621::2/64 dev lo

Адрес на интерфейс lo будет добавлен сразу после инициализации этого интерфейса и останется на нём даже после остановки Yggdrasil.

Способ 3 (системы с netplan)

Создать файл /etc/netplan/01-ygglo.yaml:

network:
  ethernets:
    lo:
     renderer: networkd
     match:
       name: lo
     addresses:
     - "300:75c1:bcf1:7621::1/128"
     - "300:75c1:bcf1:7621::2/128"

Способ 4 (crontab)

Выполняется от пользователя root:

crontab -e
@reboot sleep 2; ifconfig lo inet6 add 305:1483:f4dc:5870::ac1d/64

Windows

В Windows Способ 1 можно реализовать с помощью планировщика заданий, создав задание с запуском/остановкой службы в качестве триггера. Подробнее здесь (возможно, после старта службы и непосредственно перед добавление доп. адреса на интерфейс (адаптер) Yggdrasil в скрипте понадобится сделать паузу секунд на 5).

Добавление IP-адреса:

netsh interface ipv6 add address "Yggdrasil" "301:3669:2ff8:2aa3::1"

Здесь Yggdrasil - имя интерфейса (адаптера) Yggdrasil.

Или так с помощью VB-скрипта:

WScript.Sleep(5000)
Set oShell = CreateObject("Shell.Application")
oShell.ShellExecute "netsh.exe", "interface ipv6 add address ""Yggdrasil"" ""301:3669:2ff8:2aa3::1""", "", "runas", 0

Заключение

Таким образом можно задать очень большое количество адресов на одном устройстве. Точнее, ровно 18 446 744 073 709 551 616 штук.

Диагностика проблем

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:20 +0000

Диагностика проблем

Установили Yggdrasil, но узлы не пингуются, внутрисетевые сайты не доступны - попробуем найти причину.

1. Стоит проверить состояние службы Yggdrasil

В современных дистрибутивах с systemd (Debian, Ubuntu, Mint):

sudo systemctl status yggdrasil

Можно проверить, запущен ли процесс:

ps -ax |grep yggdrasil

В Windows и статус службы и существование процесса можно посмотреть в диспетчере задач.

Если видим, что служба запущена (Active: Active (Running)) и (или) процесс запущен, смотрим пункт 2 (Доступность пиров).

Если служба не запущена, пробуем её запустить, изучаем логи.

Запуск службы в Linux:

sudo systemctl start yggdrasil

После команды на запуск снова проверяем статус, если не запущено (не активно), изучаем логи.

Вывод логов по службе Yggdrasil за сегодняшний день:

sudo journalctl -u yggdrasil --since today -e

В Windows изучаем журналы здесь: Панель управления - Администрирование - Просмотр событий (чтобы открыть панель управления в средстве поиска меню Пуск введите «Панель управления»).

Просматриваем Журналы Windows «Приложения», «Система» (на строке с событием можно щелкнуть дважды, откроется окошко с подробностями).

Изучаем, ищем упоминание ошибок, пробуем их устранить.

В процессе поиска и устранения ошибок имеет смысл тестово запускать Yggdrasil не как сервис systemd (или системную службу), а просто из командной строки, чтобы сразу видеть вывод программы:

sudo /usr/bin/yggdrasil -useconffile /etc/yggdrasil.conf

(запущенный процесс можно прервать с помощью сочетания клавиш Ctrl + C)

В Windows запускается так же, либо с помощью bat-файла c pause в конце, либо просто в консоли.

В некоторых дистрибутивах Linux, стандартный путь к файлу конфигурации может отличаться, поэтому следует попробовать сгенерировать его по адресу:

yggdrasil -genconf > /etc/yggdrasil/yggdrasil.conf

Права суперпользователя (администратора) при запуске обязательны и в Linux, и в Windows.

2. Доступность пиров

Для подключения к общей (глобальной) сети Yggdrasil, в его конфигурационном файле требуется прописать хотя бы один (лучше 2-3) доступных публичных пира (узла), через которые, собственно, и будет работать соединение с общей сетью.

Пиры прописываются в секции конфигурационного файла Peers (читайте об этом подробнее в статье: Публичный пир).

С помощью команды ping проверяем доступность уже прописанных там пиров (если они там есть). Недоступные узлы убираем, меняем на доступные.

Например, если прописана строка tcp://195.123.245.146:7743, делаем ping:

ping 195.123.245.146

(префикс протокола и порт не указываются)

Если узел доступен, будут видны ответы от узла. Выглядит это примерно так:

PING 195.123.245.146 (195.123.245.146) 56(84) bytes of data.
64 bytes from 195.123.245.146: icmp_seq=1 ttl=54 time=95.5 ms
64 bytes from 195.123.245.146: icmp_seq=2 ttl=54 time=77.3 ms
64 bytes from 195.123.245.146: icmp_seq=3 ttl=54 time=63.9 ms

Работа команды ping прерывается с помощью сочетания клавиш Ctrl + C.

Если пиров там еще нет выбираем и прописываем.

Снова выполняем запуск/перезапуск Yggdrasil, проверяем доступность ресурсов сети.

sudo systemctl restart yggdrasil

ping 21e:a51c:885b:7db0:166e:927:98cd:d186

Если ответы на пинг появились, значит к сети вы успешно подключились, можно задействовать автозапуск сервиса после перезагрузки:

sudo systemctl enable yggdrasil

3. Настройка браузеров

Если служба работает, узлы на запросы ping отвечают, но сайты в браузере не открываются, изучаем статьи в разделе Web-браузеры.

4. Помощь зала

Если ничего не получается, Yggdrasil не работает, попробуйте обратиться за помощью на форум или в чат (ссылки в разделе Социальные медиа).

Туннелирование трафика

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:18 +0000

Туннелирование трафика

Туннелирование — процесс, в ходе которого создаётся логическое соединение между двумя конечными точками посредством инкапсуляции различных протоколов.

Статьи внутри раздела

Ссылки

Статьия о туннелировании на ru.wikipedia.org (RU): Туннелирование

Виртуальная система с подключением к Yggdrasil через VSOCK

anonymous@undisclosed.example.com (Anonymous) — Mon, 04 May 2026 01:22:44 +0000

Виртуальная система с подключением к Yggdrasil через VSOCK

Способ организации виртуальной системы без сетевого интерфейса, с подключением исключительно к сети Yggdrasil посредством VSOCK.
Удобен для изоляции программного обеспечения гостевой системы от несанкционированных Интернет-соединений, без использования iptables и дополнительных правил маршрутизации.

Ветка Yggdrasil с поддержкой VSOCK

git clone https://github.com/nagy/yggdrasil-go.git
cd yggdrasil-go
git checkout vsock
./build

Host

yggdrasil.conf

Listen: [vsock://host:1234]

или vsock://2:1234

Guest

Запуск гостевой системы осуществляется с добавлением соответствующего сокет-интерфейса:

qemu-system-x86_64 ... -device vhost-vsock-pci,id=vhost-vsock-pci0,guest-cid=3

Для подключения к хост-сокету, для внутреннего узла Yggdrasil указывается соответствующий адрес в Peers:

yggdrasil.conf

Peers: [vsock://host:1234]

или vsock://2:1234

Для обновлений программного обеспечения гостевой операционной системы без сетевого интерфейса, можно использовать локальные зеркала Yggdrasil или указав прокси:

/etc/apt/apt.conf.d/proxy.conf

Acquire::http::Proxy "http://[324:71e:281a:9ed3::fa11]:3128/";

Таким же образом, можно настроить DNS .

Смотрите также

Проброс unix через vsock используя socat

Ссылки

Инструкция для QEMU / Virtual Machine Manager GUI (UA): Yggdrasil | Интернет

Web-браузеры

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:20 +0000

Web-браузеры

Web-браузер — прикладное программное обеспечение для просмотра web-страниц, содержания web-документов, компьютерных файлов и их каталогов; управления веб-приложениями; а также для решения других задач. В глобальной сети браузеры используют для запроса, обработки, манипулирования и отображения содержания веб-сайтов.

Статьи внутри раздела

Ссылки

https://ru.wikipedia.org/wiki/Браузер

Пиринг через websocket

anonymous@undisclosed.example.com (Anonymous) — Sun, 14 Jun 2026 15:52:17 +0000

Пиринг через websocket

Yggdrasil поддерживает соединения с пирами по протоколу websocket.

Трафик Yggdrasil по Websocket внутри HTTPS будет практически неотличим от обычного трафика HTTPS. Однако, будут накладные расходы на второй уровень шифрования.

Настраивать пиринг таким образом, вероятно, имеет смысл, когда у вас есть работающий сайт.

Ниже будут приведены конфигурационные файлы, которые можно использовать при настройке пиринга по wss.

Исходные данные

Имеем: сайт в интернете, домен, сертификаты SSL.

Это не обязательно, соединяться можно просто по IP-адресу, на котором больше ничего нет, и даже сертификат SSL можно получить на IP-адрес - всё зависит от целей, с которыми вы настраиваете пиринг через веб-сокеты…

Конфигурация на стороне сервера

nginx

В конфигурации nginx должна быть включена поддержка SSL:

nginx.conf

http {
 
    ...
 
    ssl_protocols TLSv1.2 TLSv1.3; 
    ssl_prefer_server_ciphers on;
 
    ...
 
}

Пример конфигурации простого сайта и reverse proxy на websocket Yggdrasil:

mySite.conf

# не даём доступ по IP, только по доменному имени
server {
    listen 1.2.3.4:80 default_server;
    server_name "";
    return 444;
}
 
server {
    listen 1.2.3.4:443 ssl default_server;
    server_name "";
 
    ssl_certificate /etc/ssl/certs/mycoolsite.com.crt;
    ssl_certificate_key /etc/ssl/private/mycoolsite.com.key;
 
    return 444;
}
 
# с http перенаправляем на https
server {
    listen 1.2.3.4:80;
    server_name mycoolsite.com www.mycoolsite.com;
    return 301 https://$host$request_uri;
}
 
# основная конфигурация для доступа по доменному имени
server {
    listen 1.2.3.4:443 ssl http2;
    server_name mycoolsite.com www.mycoolsite.com;
 
    ssl_certificate /etc/ssl/certs/mycoolsite.com.crt;
    ssl_certificate_key /etc/ssl/private/mycoolsite.com.key;
 
    autoindex off;
 
    root /var/www/mycoolsite;
 
    index index.html;
 
    #здесь описывается локация сервиса с вэб-сокетом
    location /ws/ {
        proxy_cache off;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "Upgrade";
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_buffering off;
        proxy_read_timeout 86400;
        proxy_send_timeout 86400;
        proxy_set_header Origin "";
        proxy_pass http://127.0.0.1:8011; # yggdrasil будет слушать на 127.0.0.1:8011
    }
}
 
# доступ к сайту по IP-адресу yggdrasil
server {
    listen [201:201a:201b:201c:201d:201e:201f:2010]:80 default_server;
 
    autoindex off;
 
    root /var/www/mycoolsite;
 
    index index.html;
 
    gzip on;
    gzip_types text/plain text/xml text/css text/javascript application/xml application/javascript application/x-javascript application/json;
    gzip_min_length 256;
    gzip_comp_level 9;
    gzip_static on;
}

Yggdrasil на сервере

yggdrasil.conf

  ...
 
  Listen: [
    ws://127.0.0.1:8011
  ]
 
  ...

Клиент (Yggdrasil)

yggdrasil.conf

  ...
 
  Peers:
  [
    wss://mycoolsite.com:443/ws
  ]
 
  ...

Собственно, на этом всё. Перезапустив nginx и Yggdrasil на сервере и Yggdrasil на клиенте (клиент/сервер - имеются ввиду клиент и сервер websocket), получим соединение двух пиров по websocket внутри HTTPS.

Дополнительно

С помощью параметра запроса URI ?origin= можно задать HTTP-заголовок Origin для последующей обработки его web-сервером.

Параметр origin добавлен в версии: 0.5.14-RC.1.

Ссылки

Лаконичная документация от разработчиков Yggdrasil (EN): https://yggdrasil-network.github.io/configurationref.html#peers

Доступ к расшаренному каталогу Windows по IPv6-адресу

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:19 +0000

Доступ к расшаренному каталогу Windows по IPv6-адресу

В операционных системах семейства Windows запрещены двоеточия в путях UNC. Таким образом, путь к расшаренному каталогу вида \\[301:520f:160e:effe::2]\share является недопустимым.

Для решения проблемы доступа к публичному каталогу с использованием IPv6-адреса Microsoft зарегистрировала интернет-домен второго уровня ipv6-literal.net и предлагает производить замену символов в адресе таким способом: изначальный IPv6-адрес 2001:0db8:85a3:08d3:1319:8a2e:0370:7348 должен записываться как 2001-db8-85a3-8d3-1319-8a2e-370-7348.ipv6-literal.net (т.е., двоеточия заменяются на символ дефиса и в конце подставляется «хвост» .ipv6-literal.net).

Такая запись будет автоматически разрешена программным обеспечением Microsoft без запросов к DNS-серверам.

Другой вариант: на машине, с которой нужно получить доступ к расшаренному каталогу, в файле %systemroot%\System32\drivers\etc\hosts можно сделать такую запись: 2001:0db8:85a3:08d3:1319:8a2e:0370:7348 myPC. После этого доступ к расшаренному каталогу можно будет получить по адресу: \\myPC\share

В ОС Linux файл hosts обычно располагается в директории /etc/.

Ссылки

https://superuser.com/questions/692444/how-do-i-access-a-file-share-in-the-windows-explorer-using-an-ipv6-address

https://www.vistax64.com/threads/accessing-computer-shared-folders-using-ipv6.232176/#post1065532

YGGbro - пресеты прокси для Yggdrasil

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:18 +0000

YGGbro - пресеты прокси для Yggdrasil

Для создания прокси с нуля, необходимо настроить сервер с учетом специфики клиентской части отдельно взятого ресурса.

Зачастую, это делается силами одного администратора и внесение каких либо доработок сообществом не предусматривается;
с другой стороны - ресурс может быть хорошо настроен, но в виду закрытых настроек, поднять еще одну инстанцию можно только создав конфигурацию с нуля или используя устаревшие инструкции в интернете, затратив время на тестирование и доработки.

Проект создан с целью открытого сопровождения таких настроек сообществом, а также легкой установки и обновлений.

Nginx

Установка

Установка предусматривает копирование репозитория в директорию /etc/yggbro:

git clone https://github.com/YGGverse/YGGbro.git /etc/yggbro

По-умолчанию, реестр /etc/yggbro никак не взаимодействует с веб сервером и являет собой локальную копию репозитория.

Затем производится активация нужного прокси из набора методами nginx, описанными для каждого из провайдеров, например opennet.ru (для виртуальных хостов - это просто создание ярлыка в директории /etc/nginx/sites-enabled из реестра)

nginx -t
service nginx reload

Обновление

cd /etc/yggbro
git pull
nginx -t
service nginx reload

Удаление

Для каждого провайдера указан собственный файл README.md в котором описаны инструкции по установке и удалению настроек.

Чтобы полностью удалить реестр YGGbo, отключаем активных провайдеров, затем удаляем проект и обновляем конфигурацию nginx:

rm -R /etc/yggbro
nginx -t
service nginx reload

Контрибуция

Модель пресетов предусматривает унифицированную структуру и пространства имен для предотвращения конфликтов с имеющимися настройками.

Чтобы добавить новые настройки в реестр, нужно выполнить несколько простых правил:

название директории прокси должно соответствовать проксируемому домену (proxy_pass в nginx)
поддиректория настроек провайдера должна быть названа доменным именем провайдера если используется директория - указывается название без точек.
настройки провайдера требуют наличия следующих файлов:
- server.conf - пример настройки виртуального хоста
- location.conf - набор правил location для включения в существующие блоки server
- README.md - описание установки и удаления

Ссылки

Репозиторий проекта: https://github.com/YGGverse/YGGbro
Список доступных прокси: https://github.com/YGGverse/YGGbro#registry

Мост Yggdrasil ↔ LAN в Windows

anonymous@undisclosed.example.com (Anonymous) — Fri, 02 Jan 2026 11:30:00 +0000

Мост Yggdrasil ↔ LAN в Windows

(на примере Windows Server 2012 R2).

По мотивам HowToYgg статей «Как подключиться к Yggdrasil, не устанавливая его клиент на устройство» и «Адрес из подсети 300::/64».

Мост Yggdrasil ↔ LAN позволяет получить доступ к сети Yggdrasil устройствам, на которых клиент не установлен, объединив вашу домашнюю IPv6-сеть с глобальной подсетью вашего узла Yggdrasil Network и, соответственно, всей Yggdrasil-сетью целиком. Пример частный, но принципы применимы почти везде.

Предполагается, что протокол IPv6 на LAN-интерфейсе включен, установлен Yggdrasil, добавлены публичные пиры и есть факт корректной работы Yggdasil-сети.

Для удобства рекомендуется добавить путь к yggdrasilctl.exe в переменную PATH. Если не хотите — запускайте команды из каталога установки Yggdrasil с учётом «.\».

1. Определение IPv6-адреса, подсети и имени сетевого интерфейса Yggdrasil Network.

В PowerShell от имени администратора:

yggdrasilctl getSelf

Пример вывода:

Build name:             yggdrasil
Build version:          #Ваша версия
IPv6 address:           200:aaaa:bbbb:cccc:XXXX:XXXX:XXXX:XXXX
IPv6 subnet:            300:aaaa:bbbb:cccc::/64
Public key:             #Ваш публичный ключ

Разбираем:

Build name:             yggdrasil

В конфигурационном файле Yggdrasil (yggdrasil.conf) есть параметр IfName. Именно он определяет имя сетевого интерфейса, который создаёт Yggdrasil в Windows. По умолчанию это просто «Yggdrasil», но вы можете изменить название на любое, например: «Ygg0», «Mesh6», «HyperLAN» или другое в рамках ANSI. Это важно, потому что все дальнейшие команды PowerShell опираются на факт того, как интерфейс называется реально. Если в вашем yggdrasil.conf имя изменено, то и в командах упоминающих действительные сетевые имена типа:

Set-NetIPInterface -InterfaceAlias "Yggdrasil" -Forwarding Enabled

нужно будет подставить своё значение, например:

Set-NetIPInterface -InterfaceAlias "Ваше название" -Forwarding Enabled

В данной статье используются стандартные имена «Yggdrasil» и «Ethernet» для LAN, чтобы избежать путаницы и сделать примеры универсальными.

Примечание: Сам Build name технически не является IfName, но в рамках статьи этот вопрос рассматриваться не будет поскольку не имеет определяющего значения на результат. Главное - использовать действительные имена сетевых интерфейсов Windows.

Продолжаем разбираться:

200:aaaa:bbbb:cccc:XXXX:XXXX:XXXX:XXXX — индивидуальный адрес вашей Yggdrasil-машины.

300:aaaa:bbbb:cccc::/64 — подсеть, которую мы и будем раздавать клиентам LAN. Это ваша «внутренняя Ygg-подсеть».

Скопируйте значение IPv6 subnet — оно потребуется позже.

2. Идентификация действительных сетевых имён интерфейсов Yggdrasil и LAN.

Через GUI: Панель управления → Сеть и Интернет → Центр управления сетями → Изменение параметров адаптера или в PowerShell:

netsh interface ipv6 show interfaces

Ищем строки примерно такого вида:

31           0       65535  connected     Yggdrasil
12          20        1500  connected     Ethernet

Yggdrasil — виртуальный интерфейс самого Yggdrasil, а Ethernet (или другое имя) - ваша LAN. MTU можно запомнить, но это не критично — главное знать имена интерфейсов. Эти два имени обязательно понадобятся далее при включении IPv6-форвардинга и назначении адреса подсети 300::/64.

Замечание: Так как имя сетевого интерфейса Yggdrasil Network привязано к параметру IfName из yggdrasil.conf, изменение его средствами Windows (через GUI или PowerShell) нецелесообразно: оно действует только в рамках текущего запуска yggdrasil.exe и после перезапуска будет автоматически заменено на значение из IfName. Это может привести к несоответствию реального имени интерфейса и настроек netsh после, например, аварийной перезагрузки или других подобных ситуаций. Используйте только имя, указанное в IfName.

3. Включение IPv6-маршрутизации в Windows.

По умолчанию Windows не маршрутизирует IPv6-пакеты, поэтому включаем эту функцию. Необходимо назначить два ключа в реестре из:

HKLM\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters

DisabledComponents = 0 — включает полный IPv6-стек без ограничений.

EnableICSIPv6 = 1 — разрешает Windows действовать как IPv6-маршрутизатор при использовании Internet Connection Sharing.

Создаём параметры при необходимости в regedit или PowerShell-командами:

New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters" -Name "DisabledComponents" -PropertyType DWord -Value 0 -Force

New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters" -Name "EnableICSIPv6" -PropertyType DWord -Value 1 -Force

Примечание: На Windows Server 2012 R2 обычно требуется только DisabledComponents = 0.

4. Включение IPv6-Forwarding на интерфейсах Yggdrasil и LAN.

Выполняем:

Set-NetIPInterface -InterfaceAlias "Yggdrasil" -Forwarding Enabled

Set-NetIPInterface -InterfaceAlias "Ethernet" -Forwarding Enabled

Проверяем:

Get-NetIPInterface | Select InterfaceAlias, Forwarding

Вывод

Yggdrasil   Enabled
Ethernet    Enabled

говорит о верной настройке.

5. Проверка общих IPv6-настроек.

netsh interface ipv6 show global

Здесь особого действия не требуется — вывод носит справочный характер.

6. Включение IPv6-Forwarding для Yggdrasil и LAN на уровне интерфейса netsh.

netsh interface ipv6 set interface "Yggdrasil" forwarding=enabled

netsh interface ipv6 set interface "Ethernet" forwarding=enabled

OK.

7. Назначение LAN-интерфейсу адреса из вашей подсети 300::.

Используем записанное ранее значение подсети: 300:aaaa:bbbb:cccc::/64 и назначаем LAN-интерфейсу адрес, например, ::a из GUI, либо в PowerSell:

netsh interface ipv6 add address "Ethernet" "300:aaaa:bbbb:cccc::a"

Длинна префикса подсети: 64

Важно: нельзя использовать адрес, который выводится в строке из yggdrasilctl getSelf: «IPv6 address: 200:aaaa:bbbb:cccc:XXXX:XXXX:XXXX:XXXX» - он уже занят самим Ygg-нодом и находится в диапазоне 200:.

Замечание: Интернет (WAN) и LAN на Windows-мосте обязательно должны быть разными интерфейсами. Интерфейс с подсетью 300::/64 — это чисто внутренняя сеть. Интернет, через который Yggdrasil подключается к пирам, должен приходить через другой сетевой адаптер. Если интернет приходит в эту же LAN-сеть, Windows может перепутать маршрутизацию и попытаться отправлять Ygg-трафик обратно в LAN, что приводит к полной неработоспособности моста. Сам факт корректной маршрутизации возможен даже и при таких условиях, однако потребует дополнительных сведений о конфигурации вашей сети, знаний и опыта в маршрутизации.

Команды:

netsh interface ipv6 show addresses "Ethernet"

netsh interface ipv6 show addresses "Yggdrasil"

расскажут вам дополнительные подробности. Если все действия совершены верно, Windows готов выполнять роль моста Yggdrasil ↔ LAN.

8. Настройка клиентов LAN.

На каждом клиентском устройстве указываются:

IPv6-адрес (индивидуально): 300:aaaa:bbbb:cccc::b (или любой другой в этой подсети)

Длинна префикса подсети: 64

Основной шлюз: 300:aaaa:bbbb:cccc::a (адрес вашего Windows-моста)

9. Проверка.

С любого устройства LAN:

ping любой:узел:Yggdrasil

или откройте в браузере Ygg-сайт по адресу вида:

http://[300:....]

http://[200:....]

например http://[222:a8e4:50cd:55c:788e:b0a5:4e2f:a92c]

Если всё работает — мост настроен.

Стоит отметить, что разворачивая мост, вы по сути выводите всю вашу LAN в глобальную IPv6-среду Yggdrasil. И даже если у вас дома всё под контролем помните, что теперь локальные машины и сам сетевой мост - часть общей yggdrasil-сети без сквозного шифрования. Если сомневаетесь в добросовестности абсолютно всех пользователей Yggdrasil Network или имеете индивидуальные требования к сетевой безопасности - есть смысл настроить фильтрацию в брандмауэре Windows или на внешнем маршрутизаторе согласно вашим нуждам.

Заключение

Описанный метод успешно работает у меня в домашней сети, где шлюзом выступает Windows Server 2012 R2. Аналогичный подход применим ко всем версиям Windows, поддерживающим PowerShell и запуск Yggdrasil, а также полезен как общее введение в IPv6-маршрутизацию.

Выражаю благодарность авторам TCP/IP-протокола, Microsoft, OpenAI, HowToYgg WiKi, разработчикам и сообществу Yggdrasil Network.

Успехов в настройках, господа сетевые администраторы!

Yggdrasil

anonymous@undisclosed.example.com (Anonymous) — Fri, 17 Jul 2026 09:52:58 +0000

Yggdrasil

Yggdrasil - это сетевой протокол и организованная с помощью него оверлейная компьютерная сеть ячеистой топологии со сквозным шифрованием и автоматической маршрутизацией. Yggdrasil обеспечивает работу сети на третьем уровне модели OSI (адресация, маршрутизация и т.п.). Устройства, при этом, могут быть соединены между собой посредством кабелей, лазера или радио (Wi-Fi). Подключиться к Yggdrasil можно и через обычный Интернет или локальную сеть, прописав адреса узлов Yggdrasil (публичных пиров) в конфигурационном файле.

Yggdrasil не требует обязательного подключения по протоколу IPv6, узлы могут соединяться между собой, используя и IPv6, и IPv4, однако, операционная система, в которой запущен Yggdrasil, в любом случае, должна поддерживать работу протокола IPv6, т.к., адреса узлов внутри сети - это только IPv6 адреса из диапазона 0200::/7. При этом, нужно иметь ввиду, что 0200::/7 - это Deprecated диапазон, и это, по мнению разработчиков, должно облегчить настройку и свести к минимуму возможные конфликты с другими сетями.

Yggdrasil реализован на языке Go и доступен для сборки и установки в большинстве популярных ОС.

Как можно использовать Yggdrasil

Варианты:

1. Подключение к «глобальной» Yggdrasil-сети. В этой сети работают различные сервисы (web, игровые, форумы, IRC, обмен файлами и т.п.), работа которых поддерживается пользователями и энтузиастами из разных стран. Есть несколько зеркал интернет-сайтов.

Для подключения к сети достаточно в конфигурационном файле прописать один или несколько адресов публичных узлов. Для подключения по Wi-Fi используется технология автоматического обнаружения узлов (Multicast Peer Discovery).

Используя Yggdrasil таким образом вы фактически получаете аналог «белого» IPv6-адреса и большую подсеть, адреса из которой вы можете назначить устройствам в своей домашней сети (с помощью radvd или вручную). Это дает определенные бонусы. Например, если ваш интернет-провайдер не выдает вам бесплатно «белый» IP-адрес, а вы хотите иметь доступ к домашней сети из вне (из рабочего офиса, как вариант), с устройств, которые находятся за NAT - Yggdrasil позволит сделать это легко и просто: достаточно установить Yggdrasil на домашнем устройстве и в офисе, и минуя все преграды вы сможете обращаться к устройству в офисе из дома и из офиса к домашним так, как будто они имеют «белые» IPv6-адреса. Соединение, при этом, будет защищено надежным шифрованием. Не забывайте настроить файервол, чтобы ограничить доступ других участников сети.

2. То, что реализовано в глобальной сети Yggdrasil можно реализовать и в кругу ограниченного числа участников (друзей, семьи, соседей), даже если они территориально находятся на удалении от вас. Соединение в сеть производится аналогично, только не нужно публиковать адреса своих узлов. Таким образом легко можно организовать сеть между всеми своими родственниками, как вариант.

3. Альтернатива VPN. Используя Yggdrasil в совокупности с другими технологиями (например, GRE-туннели) можно реализовать полноценную замену OpenVPN, L2TP/IPSec, WireGuard и т.п. Также можно использовать то, что по сути yggdrasil это обычная ipv6 сеть. За время разработки которой было придумано некоторое количество вариантов проброса ipv4 трафика (почти) без использования дополнительных технологий.

4. Организация [в теории] отказоустойчивой масштабируемой и независимой от Интернет сети с различными целями.

В чатах, тематики Yggdrasil упоминался проект, в котором с помощью Yggdrasil реализовывалась противопожарная сигнализация с камерами наблюдения где-то в лесах, а так же, проект, связанный с коммуникациями в сфере медицины.

С чего начать

Начать использовать Yggdrasil просто: установите его в соответствии с инструкцией в этой wiki или инструкцией от разработчиков, добавьте в конфигурационный файл один или несколько публичных пиров, перезапустите сервис / демон, чтобы изменения в конфигурационном файле вступили в силу и попробуйте, проверить доступность какого-нибудь другого узла с помощью ping, например, так:

ping 21e:a51c:885b:7db0:166e:927:98cd:d186

Здесь 21e:a51c:885b:7db0:166e:927:98cd:d186 - это IPv6-адрес узла, на котором размещается web-сервис со списком сайтов внутри сети. Если ping даёт ответы на ваши запросы, значит, Yggdrasil работает нормально и вы подключены к сети.

Далее, можно почитать статьи на этом ресурсе (возможно, потребуется настроить браузер, узнать адрес своего узла, настроить файервол с учетом того, что вы теперь подключены к Yggdrasil, настроить DNS и т.д.).

Если что-то не получается, Yggdrasil не работает, ознакомьтесь со статьёй Диагностика проблем.

Читайте так же: Как подключиться к Yggdrasil, не устанавливая его клиент на устройство, Mesh посредством радио-линка, Yggdrasil на смартфонах и другие полезные статьи на этом ресурсе.

Статьи внутри раздела

Ссылки

Сайт проекта: https://yggdrasil-network.github.io/

Yggdrasil как socks-прокси

anonymous@undisclosed.example.com (Anonymous) — Fri, 08 May 2026 13:31:26 +0000

Yggdrasil как socks-прокси

С первых релизов разработчикам Yggdrasil периодически задавали вопрос о возможности запуска Yggdrasil без создания tun-интерфейса. В качестве аргумента за такой подход приводили значительное упрощение встраивания Yggdrasil в другие проекты, например, в браузер или даже в web-приложение…

И вот, в качестве эксперимента, один из разработчиков Yggdrasil (neilalexander) создал ветку проекта, в которой не используется tun-интерфейс и реализован стек сетевых протоколов, который позволяет использовать Yggdrasil в качестве socks5-прокси. Позже ветка проекта превратилась в проект с отдельным репозиторием.

Отличительные особенности такого подхода:

для запуска Yggdrasil не требуются права суперпользователя, повышается безопасность
для доступа к web-ресурсам сети необходимо настроить браузер на использование socks5-прокси
для других узлов сети становятся доступны только конкретные, указанные при запуске, TCP-порты, а не весь хост

Кроме описанного выше, в проекте yggstack реализована встроенная система DNS. C помощью этой системы можно получить доступ к ресурсам по доменному имени вида <публичный ключ>.pk.ygg.

Для примера, адрес этой wiki будет выглядеть так: http://000000002ae375e65f5470ee29eb563a0ada764c7a3f1efaa5f5a4af91dad1cb.pk.ygg/ (доступно через socks-прокси yggstack).

Установка

Готовые бинарные файлы под различные архитектуры можно скачать здесь: https://github.com/yggdrasil-network/yggstack/releases

Самостоятельная сборка

Примечание:
Для сборки необходим go-lang 1.22 и выше. Читайте об его установке: Установка Go.

Клонирование репозитория и сборка:

git clone https://github.com/yggdrasil-network/yggstack

cd yggstack

./build

Обратите внимание, что вы можете выполнять кросс-компиляцию для других платформ и архитектур, указав переменные среды GOOS и GOARCH, например: GOOS=windows ./build или GOOS=linux GOARCH=mipsle ./build.

Использование

Параметры socks-прокси и расшаривания/проброса TCP-портов задаются в командной строке.

Пример запуска socks-proxy (подобно ssh -D):

./yggstack -useconffile=/etc/yggdrasil/yggdrasil.conf -socks 127.0.0.1:1080

Так же, возможны «пробросы» на локальные или удаленные порты (подобно ssh -L, ssh -R).

Примеры можно посмотреть здесь: https://github.com/yggdrasil-network/yggstack#run-yggstack

Yggstack на Android

Для Android существует приложение yggstack-android с GUI.

Репозиторий / описание (EN): https://github.com/DrewCyber/yggstack-android
Описание (RU): https://github.com/DrewCyber/yggstack-android/blob/main/README_RU.md

Ссылки

Репозиторий yggstack (EN): https://github.com/yggdrasil-network/yggstack
Репозиторий yggstack-ng (под android (rust+kotlin)) (EN): https://github.com/DrewCyber/yggstack-ng

Yggdrasil в контейнере LXC

anonymous@undisclosed.example.com (Anonymous) — Sun, 04 Jan 2026 13:21:58 +0000

Yggdrasil в контейнере LXC

Linux containers (LXC) - облегченная технология виртуализации, больше похожая на chroot, нежели на полноценную виртуализацию, типа QEMU или VMware. Контейнеры linux не эмулируют оборудование, а используют в режиме разделения то же, что и основная система. Это позволяет запустить несколько контейнеров на одной [даже относительно слабой] машине с минимальными потерями в производительности (менее 1%). Этого невозможно было бы достичь, используя полноценную виртуализацию.

До 2015 года docker использовал технологию lxc.

Контейнеры lxc удобно использовать на хостинг-серверах для изоляции динамических контейнеров, а так же, для упрощения разворачивания каких-то приложений, сред разработки и тестирования, их переноса, резервного копирования и других операций.

В этой статье будет приведен простой пример разворачивания контейнера lxc и установки в него Yggdrasil. Таким образом, в целях эксперимента, мы получим два экземпляра Yggdrasil, запущенных на одном устройстве и работающих, как полноценные узлы.

Установка

sudo apt-get install lxc

для дальнейшего запуска контейнеров, в хост-дистрибутиве Armbian 13, может потребоваться до-установка apparmor

В других (отличных от Debian) дистрибутивах установка выполняется аналогично.

Конфигурирование

Немного поправим конфиги-по-умолчанию.

В файле /etc/lxc/default.conf заменим строку

lxc.net.0.type = empty

на

lxc.net.0.type = veth

Так мы создадим veth-туннель к хост-системе.

И добавим две строчки:

lxc.net.0.link = lxcbr0 # задается мост, к которому будут подсоединяться туннели
lxc.net.0.flags = up # требуется для проверки того, что сетевой интерфейс поднят

В файле /etc/default/lxc заменим строку

USE_LXC_BRIDGE="false"

на

USE_LXC_BRIDGE="true" # мост с именем lxcbr0 создается в процессе старта

И добавим такой кусок с сетевыми параметрами:

LXC_BRIDGE="lxcbr0"
LXC_ADDR="10.0.3.1"
LXC_NETMASK="255.255.255.0"
LXC_NETWORK="10.0.3.0/24"
LXC_DHCP_RANGE="10.0.3.2,10.0.3.254"
LXC_DHCP_MAX="253"
LXC_DHCP_CONFILE=""
LXC_DHCP_PING="true"
LXC_DOMAIN=""

LXC_IPV6_ADDR=""
LXC_IPV6_MASK=""
LXC_IPV6_NETWORK=""
LXC_IPV6_NAT="false"

Опционально, можно указать статический IP для отдельного контейнера, в директиве LXC_DHCP_CONFILE:

LXC_DHCP_CONFILE="/etc/lxc/dnsmasq.conf"

/etc/lxc/dnsmasq.conf

dhcp-host=deb_ygg,10.0.3.2

deb_ygg - имя контейнера
IP в диапазоне 10.0.3.2,10.0.3.254

Убедитесь, что отсутствует файл /etc/default/lxc-net. Если он существует, то строки, начиная с USE_LXC_BRIDGE="true" перенесите в него.

После того, как сделали эти настройки перезапустим сервис lxc-net:

systemctl restart lxc-net.service

Использование

Создание контейнера:

lxc-create -t debian -n deb_ygg

выбрать дистрибутив можно указав -t download

Будет создан контейнер на основе шаблона debian с настройками по-умолчанию, с единственным veth-сетевым интерфейсом, подключенным к мосту хоста lxcbr0. deb_ygg - имя контейнера, располагается он по-умолчанию в /var/lib/lxc.

Разрешим использование в контейнере tun-интерфейса. Для этого в конфигурационный файл контейнера /var/lib/lxc/deb_ygg/config добавим строки:

lxc.mount.entry = /dev/net dev/net none bind,create=dir
lxc.cgroup.devices.allow = c 10:200 rwm

# если в /usr/share/lxc/config/common.conf - указаны префиксы "*.cgroup2.*"
# вместо "lxc.cgroup.devices.allow" нужно использовать "lxc.cgroup2.devices.allow",
# во избежание ошибки "failed to create TUN: operation not permitted"
# lxc.cgroup2.devices.allow = c 10:200 rwm

Запуск контейнера в фоне (флаг -d):

lxc-start -n deb_ygg -d

Для запуска с отображением процесса запуска нужно вместо флага -d использовать флаг -F (foreground). Это полезно в случае возникновения каких-то проблем при запуске, чтобы сразу видеть ошибки.

Убедимся, что контейнер запустился, выведем список запущенных контейнеров:

lxc-ls -f

Подключаемся к консоли контейнера:

lxc-attach -n deb_ygg

Далее действия выполняются в консоли контейнера!

В файле /etc/apt/sources.list заменим строку:

deb http://security.debian.org/ stable/updates main

на:

deb http://security.debian.org/debian-security bullseye-security main contrib non-free

(необходимость этого связана с тем, что в релизе изменился путь к репозиторию (Debian 11))

Устанавливаем в контейнер gpg и другие необходимые пакеты:

apt install gpg wget iputils-ping vim

Добавляем ключи и репозиторий yggdrasil (в соответствии с инструкцией для нашего дистрибутива):

gpg --fetch-keys https://neilalexander.s3.dualstack.eu-west-2.amazonaws.com/deb/key.txt
gpg --export 569130E8CA20FBC4CB3FDE555898470A764B32C9 | apt-key add -
echo 'deb http://neilalexander.s3.dualstack.eu-west-2.amazonaws.com/deb/ debian yggdrasil' | tee /etc/apt/sources.list.d/yggdrasil.list

Устанавливаем yggdrasil:

apt-get update && apt install yggdrasil

Установим редактор для редактирования конфигурационного файла (vim | nano):

apt install vim

Генерируем новый конфигурационный файл Yggdrasil:

yggdrasil -genconf >/etc/yggdrasil.conf

Редактируем /etc/yggdrasil.conf, добавляем пиры и запускаем:

systemctl enable yggdrasil && systemctl start yggdrasil

Если всё сделано правильно, по команде systemctl status yggdrasil увидим информацию о том, что сервис успешно запущен и IP-адрес yggdrasil внутри контейнера. При этом, на хостовой машине, одновременно с этим, yggdrasil так же может быть запущен и работать корректно.

Для автозапуска контейнера при загрузке хост-системы добавьте в /var/lib/lxc/deb_ygg/config строку:

lxc.start.auto = 1

Дополнительно

Если в гостевой системе (ifconfig) отсутствует указанный выше IPv4 интерфейс, это может быть связано с настройками iptables, например в случаях, когда исходящий трафик блокируется полностью или по белому списку. Для проверки, в хост-системе нужно выполнить команду:

systemctl status lxc-net

при наличии сообщений вида «Error sending DHCP packet to 10.0.3.133: Operation not permitted» - добавляем соответствующие разрешения. На примере ufw, это могут быть команды вида:

ufw allow in on lxcbr0
ufw allow out on lxcbr0

затем:

systemctl restart lxc-net.service

Другие полезные команды lxc:

lxc-stop -n deb_ygg # остановка контейнера
lxc-destroy -n deb_ygg # полное удаление контейнера
lxc-clone -n deb_ygg # создание копии контейнера
lxc-snapshot -n deb_ygg # создание снапшота
lxc-snapshot -n deb_ygg -L # список снапшотов контейнера
lxc-snapshot -n deb_ygg -r snap0 # восстановление из снапшота
lxc-ls # получение списка всех контейнеров
lxc-netstat # netstat в запущенном контейнере
lxc-ps # процессы в запущенном контейнере

deb_ygg - имя конкретного контейнера

Так же, стоит добавить, что под OS Ubuntu существует LXC Web Panel, которая позволяет управлять контейнерами LXC c помощью GUI.

А еще, существует целая система виртуализации Proxmox VE, которая с версии 4.0 так же поддерживает работу с LXC.

И напоследок рекомендую ознакомиться со статьями, посвященными безопасности LXC (см. Ссылки).

Ссылки

Контейнеры LXC в Linux: https://losst.ru/kontejnery-linux-ustanovka-i-nastrojka-lxc
Офиц. документация Ubuntu: https://help.ubuntu.ru/wiki/руководство_по_ubuntu_server/виртуализация/lxc
LXC 1.0: Безопасность - http://vasilisc.com/lxc-1-0-security-features
LXC 1.0: Непривилегированные контейнеры - http://vasilisc.com/lxc-1-0-unprivileged-containers
Настройка Apparmor в Ubuntu - https://losst.ru/nastrojka-apparmor-v-ubuntu-16-04
LXC Web Panel - https://lxc-webpanel.github.io/index.html

YPS - сканер открытых портов в сети Yggdrasil

anonymous@undisclosed.example.com (Anonymous) — Wed, 22 Oct 2025 08:13:20 +0000

YPS - сканер открытых портов в сети Yggdrasil

YPS (Yggdrasil Port Scanner) - CLI утилита для сканирования открытых портов на основых адресах сети Yggdrasil.

Удобна для поиска веб-сайтов, пиров для подключения крипто-валют, игровых серверов, IRC.

Установка

Актуальная инструкция по установке также описана в README

git clone https://github.com/yggverse/yps.git && cd yps
cargo build --release
sudo install target/release/yps /usr/local/bin/yps

для установки пакетного менеджера cargo: rustup

Использование

Утилита умеет сканировать протоколы TCP (-t или --tcp) и UDP (-u или --udp), поддерживает список из нескольких искомых портов (-p или --port) а также опцию -l (--latency) для снижения нагрузки на сеть, когда скорость поиска - не критична.

Дополнительный аргумент -d или --debug позволит выводить подробный отчёт сканирования (иначе будут отображаться только найденные сущности).

В процессе работы, утилита блокирует уже проверенные адреса и не осуществляет повторных отправок запросов к таким; планируется также добавить перманентную базу данных (redb) для сохранения результатов поиска между сессиями.

Пример типичной команды для поиска каналов IRC:

sudo yps -t -p 6667

права sudo необходимы для API getpeers и debug_remotegetpeers

Для отображения актуальных опций CLI:

yps --help

Ссылки

https://github.com/YGGverse/yps
https://crates.io/crates/yps