Динамическое исключение адресов из BGP

[Eugen233]

Всем привет.
Есть следующая проблема.
На роутере настроено получение BGP, соотнесено все адреса которые прилетели с BGP заворачиваются в VPN. С BGP прилетает подсеть 212.164.137.0/24.
Есть такой сайт https://regulation.gov.ru (212.164.137.119) у него стоит блокировка по GEOIP и пускает он только из РФ. Соответственно попасть через VPN я не могу.
Конечно самый просто способ это в фильтрах BGP добавить строку if (dst == 212.164.137.0/24) {reject} и все заработает для этого сайта, но такой сайт не один.

Есть идеи, каким образом можно динамически исключать ip адреса из BGP?

Для начала, я хотел собирать ip адреса в специальный адрес лист и маршрутизировать их не через VPN.
Cделать правило:

Код: Выделить всё

ip/firewall/mangle/
      chain=prerouting action=add-dst-to-address-list protocol=tcp address-list=gov 
      address-list-timeout=1w log=no log-prefix="" tls-host=*.gov.ru

Но если в фильтре правило if (dst == 212.164.137.0/24) {reject} не активно, то счетчик пакетов не увеличивается. Я не понимаю почему, ведь по идеи prerouting должен отрабатывать первым...

Может я вообще копаю не в ту сторону, есть идеи?

[xvo]

Чтобы по tls-host поймать нужно установившееся подключение, а у вас сервер через VPN не отвечает.
Так что получается address-list надо набивать не заворачивая трафик в VPN.

[Eugen233]

Чтобы по tls-host поймать нужно установившееся подключение, а у вас сервер через VPN не отвечает.
Так что получается address-list надо набивать не заворачивая трафик в VPN.

логично, соединения то нет...(
в какую сторону можно смотреть что бы решить данный кейс?

[xvo]

Как я написал выше: если надо единожды наполнить список - сделать это с выключенным VPN.
Если нужно динамическое решение, которое будет список актуализировать - пока что-то ничего особо в голову не приходит.

Если клиентов много, как вообще, так и тех, кто конкретно ходит на этот сервис, то можно взять одну машину в сети, и периодически правилом в route rule пускать её без VPN, так чтобы она обновляла списки для остальных.