feat: added proxy for router

feat: added full proxy for client docs: updated readme
2026-04-11 18:05:21 +04:00
parent 430d1c8276
commit eb9621cec6
4 changed files with 264 additions and 102 deletions
@@ -10,8 +10,11 @@
 * **Поддержка `auto-merge`**: Автоматическое решение конфликтов пересекающихся подсетей на уровне ядра (nftables), что предотвращает ошибки при загрузке больших списков.
 * **Умное обновление DNS**: Сервис `dnsmasq` перезапускается только при реальном изменении списков доменов, минимизируя разрывы соединений.
 * **Проверка изменений (Hashing)**: Скрипт отслеживает изменения в конфигурации URL и уведомляет о необходимости запуска обновления при использовании `reload`.
-* **Гибкая маршрутизация**: Поддержка фильтрации по источнику (`src`) и назначению (`dst`), а также корректная обработка локального трафика роутера (`route_local`).
+* **Гибкая маршрутизация**: Поддержка фильтрации по источнику (`src`) и назначению (`dst`).
 * **Автоматическая очистка**: Удаление устаревших кэш-файлов и правил при изменении структуры конфигурации.
+* **Персональные цепочки**: Возможность завернуть абсолютно весь трафик конкретного устройства в прокси с созданием изолированной цепочки правил.
+* **Изолированные исключения**: Поддержка параметра parent, который позволяет назначать списки исключений только для конкретных групп или устройств, не влияя на общую маршрутизацию.
+* **Защита от петель**: Автоматическое исключение IP-адресов самих прокси-серверов из обработки, что гарантирует стабильность соединения.

 ## Установка

@@ -52,7 +55,7 @@ ln -s /opt/.xray-manager/init.d/xray-manager /etc/init.d/xray-manager

 * **/etc/init.d/xray-manager start** — **Холодный запуск** <br> Полная инициализация системы: создание таблиц nftables, цепочек и правил. При первом запуске скрипт автоматически скачает все списки из URL. Если списки уже есть в кэше — применит их.

-* **/etc/init.dИ отредактируйте/xray-manager reload** — **Локальное обновление** <br> Применяет изменения, внесенные в конфигурационный файл /etc/config/xray-manager (например, изменение портов или добавление новых секций), но не обращается к сети. Если вы изменили URL в конфиге, скрипт выдаст предупреждение о необходимости запуска update.
+* **/etc/init.d/xray-manager reload** — **Локальное обновление** <br> Применяет изменения, внесенные в конфигурационный файл /etc/config/xray-manager (например, изменение портов или добавление новых секций), но не обращается к сети. Если вы изменили URL в конфиге, скрипт выдаст предупреждение о необходимости запуска update.

 * **/etc/init.d/xray-manager update** — **Умная синхронизация** <br> Скрипт опрашивает все внешние URL. Благодаря системе хеширования (Hashing), загрузка и пересборка правил произойдет только для тех списков, которые реально изменились на удаленном сервере. Это экономит трафик и минимизирует нагрузку на процессор роутера.

@@ -75,9 +78,9 @@ ln -s /opt/.xray-manager/init.d/xray-manager /etc/init.d/xray-manager
 | **dnsmasq_dir** | `string` | `/tmp/dnsmasq.d` | Директория для `.conf` файлов dnsmasq (автоматически добавляется в `confdir` по пути `/etc/config/dhcp`). |
 | **cache_dir** | `string` | `/tmp/.xray-manager/cache` | Место хранения хэш-файлов для отслеживания изменений в списках. |
 | **active_list** | `string` | `/tmp/.xray-manager/active_files` | Файл-индекс для автоматической очистки «осиротевших» (удаленных) списков. |
-| **route_local** | `bool` | `0` | `1` — перехватывать и проксировать трафик самого роутера; <br> `0` — только трафик клиентов. |
+| **proxy_ip** | `list` |  | Список IP прокси-серверов. Они будут автоматически добавлены в исключения, чтобы роутер не пытался проксировать соединение к самому прокси. |

- Пример:
+Пример:

 ```bash
 config xray-manager 'main'
@@ -85,7 +88,6 @@ config xray-manager 'main'
    option tproxy_port '61219'
    option tproxy_mark '10'
    option timeout '1h'
-    option route_local '1'
    option ipnet_dir '/tmp/ipnet'
    option dnsmasq_dir '/tmp/dnsmasq.d'
    option cache_dir '/tmp/.xray-manager/cache'
@@ -119,8 +121,9 @@ config xray-list 'lnet'
 | Параметр | Значение | Описание |
 | :--- | :--- | :--- |
 | **name** | `string` | Уникальное имя. Используется для названия сета в `nftables` (например, `@v2ray_udom`) и имени файла в `/tmp`. |
-| **direction** | `dst` или `src` | **Направление фильтрации**: <br> `dst`: проверка IP назначения (куда идём). <br> `src`: проверка IP отправителя (кто идёт). |
-| **exclude** | `0` или `1` | **Тип правила**: <br> `0`: Направлять трафик в прокси. <br> `1`: Пропускать трафик напрямую (исключение). |
+| **direction** | `dst`, `src`, `out`, `force_src` | **Направление фильтрации**: <br> `dst`: проверка IP назначения. <br> `src`: проверка IP отправителя. <br> `out`: трафик самого роутера (Self-traffic). <br> `force_src`: принудительный прокси для устройства (весь трафик).  |
+| **exclude** | `bool` | **Тип правила**: <br> `0`: Направлять трафик в прокси. <br> `1`: Пропускать трафик напрямую (исключение). |
+| **parent** | `string` | Имя родительской секции (`force_src`). Если указан, то данное исключение (`exclude 1`) будет работать только для этого родителя. |

 Внутри каждой секции можно комбинировать разные типы данных:

@@ -131,6 +134,39 @@ config xray-list 'lnet'
 | **list url_ip** | `http(s)://...` | Ссылка на сырой текстовый файл с IP. Скрипт скачает и объединит данные. |
 | **list url_domain** | `http(s)://...` | Ссылка на сырой текстовый файл с доменами. Готовит данные для dnsmasq. |

+### Прокси для самого роутера
+
+В этом примере завернём запросы до DNS-серверов Cloudflare в прокси:
+
+```bash
+config xray-list
+    option name 'router_self'
+    option direction 'out' # Трафик роутера
+    option exclude '0'
+    list ip '1.1.1.1'
+    list ip '1.0.0.1'
+```
+
+### Проксировать весь трафик от клиента с поддержкой исключений
+
+Завернём в прокси весь трафик от клиента, исключив 2ip.ru:
+
+```bash
+# Проксировать весь трафик от клиента 10.2.0.4
+config xray-list
+    option name 'my_pc'
+    option direction 'force_src'
+    list ip '10.2.0.4'
+
+# Исключение для my_pc
+config xray-list
+    option name 'my_pc_exc'
+    option direction 'dst'
+    option exclude '1'
+    option parent 'my_pc' # Привязка к родителю
+    list domain '2ip.ru'
+```
+
 ### Практический пример по выборочной маршрутизации

 **Задача**: Направить трафик конкретного устройства (10.1.0.2) через прокси только при обращении к ресурсам Spotify, не затрагивая остальных клиентов сети.
@@ -5,36 +5,30 @@ config xray-manager 'main'
 	option tproxy_mark '10'
 	option client_mark '103'
 	option timeout '1h'
-	option route_local '1'
 	option ipnet_dir '/tmp/.xray-manager/ipnet'
 	option dnsmasq_dir '/tmp/.xray-manager/dnsmasq.d'
 	option cache_dir '/tmp/.xray-manager/cache'
 	option active_list '/tmp/.xray-manager/active_files'
-
-config xray-list 'lnet'
-	option name 'whitelist'
-	option direction 'dst'
-	option exclude '1'
-	list ip '127.0.0.0/8'
-	list ip '10.0.0.0/8'
-	list ip '172.16.0.0/12'
-	list ip '192.168.0.0/16'
-	list ip '169.254.0.0/16'
-	list ip '100.64.0.0/10'
-	list ip '224.0.0.0/4'
-	list ip '255.255.255.255/32'
-	list ip '0.0.0.0/8'
-	list ip '192.0.0.0/24'
-	list ip '192.0.2.0/24'
-	list ip '198.18.0.0/15'
-	list ip '198.51.100.0/24'
-	list ip '203.0.113.0/24'
+	list proxy_ip 'x.x.x.x'

 config xray-list
-	option name 'proxyserver'
-	option direction 'dst'
-	option exclude '1'
-	list ip ''
+	option name 'router'
+	option direction 'out'
+	option exclude '0'
+	list ip '1.1.1.1'
+	list ip '1.0.0.1'
+
+config xray-list
+    option name 'pc'
+    option direction 'force_src'
+    list ip '192.168.2.10'
+
+config xray-list
+    option name 'pc_exclude'
+    option direction 'dst'
+    option exclude '1'
+    option parent 'pc'
+	list domain 'ifconfig.io'

 config xray-list
 	option name 'local'
@@ -3,43 +3,26 @@
 START=99
 USE_PROCD=1

-XRAY_BIN="/opt/.xray-manager/xray-manager.sh"
+XRAYMANAGER_BIN="/opt/.xray-manager/xray-manager.sh"

 extra_command "update" "Download and refresh remote lists"

 start_service() {
-    local timeout=20
-    while [ ! -s /proc/net/route ] && [ $timeout -gt 0 ]; do
-        sleep 1
-        timeout=$((timeout - 1))
-    done
-
-    timeout=20
-    while ! ping -q -c 1 -W 2 1.1.1.1 >/dev/null 2>&1 && [ $timeout -gt 0 ]; do
-        sleep 2
-        timeout=$((timeout - 2))
-    done
+    "$XRAYMANAGER_BIN" start

    procd_open_instance "main"
-    
-    procd_set_param command "$XRAY_BIN" start
-    procd_set_param respawn ${respawn_threshold:-3600} ${respawn_timeout:-5} ${respawn_retry:-5}
-    procd_set_param limits core="unlimited"
-    
-    procd_set_param stdout 1
-    procd_set_param stderr 1
-    
+    procd_set_param command /bin/true 
    procd_close_instance
 }

 stop_service() {
-    "$XRAY_BIN" stop
+    "$XRAYMANAGER_BIN" stop
 }

 reload_service() {
-    "$XRAY_BIN" reload
+    "$XRAYMANAGER_BIN" reload
 }

 update() {
-    "$XRAY_BIN" update
+    "$XRAYMANAGER_BIN" update
 }
@@ -2,18 +2,28 @@

 . /lib/functions.sh

+readonly LNET_RESERVED="127.0.0.0/8 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16 169.254.0.0/16 100.64.0.0/10 224.0.0.0/4 255.255.255.255/32 0.0.0.0/8"
+readonly LNET_NAME="system_lnet"
+readonly PING_ADDR="1.1.1.1"
+
 _log() {
    local msg="$1" level="${2:-info}" to_console="${3:-1}"
    logger -t xray-manager -p "daemon.$level" "$msg"
-    [ "$to_console" = "1" ] && echo "[$level] $msg"
+    
+    if [ "$to_console" = "1" ]; then
+        echo "$msg"
+    fi
 }

-_get_md5() { echo "$1" | md5sum | cut -d' ' -f1; }
+_get_md5() { 
+    echo "$1" | md5sum | cut -d' ' -f1 
+}

 _init_vars() {
    config_load xray-manager
    
-    local s="@xray-manager[0]"
+    local s="main"
+
    TABLE=$(uci -q get xray-manager.$s.table_name)
    TPROXY_PORT=$(uci -q get xray-manager.$s.tproxy_port)
    TPROXY_MARK=$(uci -q get xray-manager.$s.tproxy_mark)
@@ -23,14 +33,17 @@ _init_vars() {
    DNSMASQ_DIR=$(uci -q get xray-manager.$s.dnsmasq_dir)
    CACHE_DIR=$(uci -q get xray-manager.$s.cache_dir)
    ACTIVE_LIST=$(uci -q get xray-manager.$s.active_list)
-    ROUTE_LOCAL=$(uci -q get xray-manager.$s.route_local)
+    
+    _get_proxy_list() { PROXY_SERVERS="${PROXY_SERVERS}${PROXY_SERVERS:+ }$1"; }
+    PROXY_SERVERS=""
+    config_list_foreach "$s" proxy_ip _get_proxy_list

-    local required_vars="TABLE TPROXY_PORT TPROXY_MARK CLIENT_MARK TIMEOUT IPNET_DIR DNSMASQ_DIR CACHE_DIR ACTIVE_LIST ROUTE_LOCAL"
+    local required_vars="TABLE TPROXY_PORT TPROXY_MARK CLIENT_MARK TIMEOUT IPNET_DIR DNSMASQ_DIR CACHE_DIR ACTIVE_LIST"

    for var in $required_vars; do
        eval val=\$$var
        if [ -z "$val" ]; then
-            _log "CRITICAL: Variable '$var' is not set in UCI config!" "err" "1"
+            _log "Variable '$var' is not set in UCI section 'main'!" "err" "1"
            return 1
        fi
    done
@@ -76,27 +89,20 @@ _load_config_full() {

 _nft_init() {
    [ -z "$TABLE" ] && return 1
-    _log "Initializing NFT table: $TABLE" "info" "1"
+    _log "Initializing NFT table: $TABLE"
    nft add table ip "$TABLE" 2>/dev/null

    nft add chain ip "$TABLE" prerouting { type filter hook prerouting priority mangle \; policy accept \; } 2>/dev/null
    nft flush chain ip "$TABLE" prerouting
-
-    nft add rule ip "$TABLE" prerouting udp dport 67-68 accept
    nft add rule ip "$TABLE" prerouting fib daddr type local accept

+    nft add chain ip "$TABLE" output { type route hook output priority -150 \; policy accept \; } 2>/dev/null
+    nft flush chain ip "$TABLE" output
+    nft add rule ip "$TABLE" output fib daddr type local accept
+
    local mark_hex=$(printf '0x%x' "$TPROXY_MARK")
-    
    ip route show table 110 | grep -q "local default" || ip route add local default dev lo table 110
    ip rule show | grep -q "fwmark $mark_hex lookup 110" || ip rule add fwmark "$TPROXY_MARK" table 110
-
-    if [ "$ROUTE_LOCAL" = "1" ]; then
-        nft add chain ip "$TABLE" output { type route hook output priority mangle \; policy accept \; } 2>/dev/null
-        nft flush chain ip "$TABLE" output
-        nft add rule ip "$TABLE" output fib daddr type local accept
-    else
-        nft delete chain ip "$TABLE" output 2>/dev/null || true
-    fi
 }

 _nft_batch_insert() {
@@ -111,7 +117,7 @@ _nft_batch_insert() {
 }

 _nft_apply_data() {
-    local sname="$1" file="$2" exc="$3" dir="$4" type="$5" changed="$6"
+    local sname="$1" file="$2" exc="$3" dir="$4" type="$5" changed="$6" parent="$7"
    [ -z "$TABLE" ] && return 1

    local nft_sname="s_$sname"
@@ -131,26 +137,58 @@ _nft_apply_data() {
        _nft_batch_insert "$TABLE" "$nft_sname" "$file"
    fi

-    local has_out; nft list chain ip "$TABLE" output >/dev/null 2>&1 && has_out=1
+    if [ "$dir" = "force_src" ]; then
+        local chain_name="f_$sname"
+        nft add chain ip "$TABLE" "$chain_name" 2>/dev/null
+        nft flush chain ip "$TABLE" "$chain_name"
+        nft add rule ip "$TABLE" "$chain_name" meta l4proto "{ tcp, udp }" \
+            tproxy to 127.0.0.1:"$TPROXY_PORT" \
+            ct mark set "$CLIENT_MARK" meta mark set "$TPROXY_MARK" accept 2>/dev/null
+        return
+    fi
+    
+    local has_parent=0
+    if [ "$exc" = "1" ] && [ -n "$parent" ]; then
+        local p_chain="f_${parent}_ip"
+        if nft list chain ip "$TABLE" "$p_chain" >/dev/null 2>&1; then
+            _log "  -> Adding personal exception '$sname' to chain '$p_chain'" "info" "0"
+            nft insert rule ip "$TABLE" "$p_chain" ip daddr "@$nft_sname" accept 2>/dev/null
+            has_parent=1
+        fi
+    fi

    if [ "$exc" = "1" ]; then
+        [ "$has_parent" = "1" ] && return 0
        local sel="ip daddr"; [ "$dir" = "src" ] && sel="ip saddr"
-        nft insert rule ip "$TABLE" prerouting "$sel" "@$nft_sname" accept 2>/dev/null
-    elif [ "$dir" = "src" ]; then
+        
+        if [ "$sname" = "$LNET_NAME" ] && [ "$dir" = "dst" ]; then
+            local extra_chains=$(nft list table ip "$TABLE" | grep "chain f_" | awk '{print $2}')
+            for c in $extra_chains; do
+                nft insert rule ip "$TABLE" "$c" "$sel" "@$nft_sname" accept 2>/dev/null
+            done
+        fi
+
+        if [ "$dir" = "dst" ] || [ "$dir" = "src" ]; then
+            nft insert rule ip "$TABLE" prerouting "$sel" "@$nft_sname" accept 2>/dev/null
+        elif [ "$dir" = "out" ]; then
+            nft insert rule ip "$TABLE" output "$sel" "@$nft_sname" accept 2>/dev/null
+        fi
+        return 0
+    fi
+
+    if [ "$dir" = "src" ]; then
        nft add rule ip "$TABLE" prerouting ip saddr "@$nft_sname" ct mark set "$CLIENT_MARK" 2>/dev/null
-    else
-        for proto in tcp udp; do
-            nft add rule ip "$TABLE" prerouting ct mark "$CLIENT_MARK" ip daddr "@$nft_sname" \
-                meta l4proto "$proto" tproxy to 127.0.0.1:"$TPROXY_PORT" meta mark set "$TPROXY_MARK" accept 2>/dev/null
-            [ "$has_out" = "1" ] && \
-                nft add rule ip "$TABLE" output ip daddr "@$nft_sname" \
-                meta l4proto "$proto" ct mark set "$CLIENT_MARK" meta mark set "$TPROXY_MARK" accept 2>/dev/null
-        done
+    elif [ "$dir" = "dst" ]; then
+        nft add rule ip "$TABLE" prerouting ct mark "$CLIENT_MARK" ip daddr "@$nft_sname" \
+            meta l4proto "{ tcp, udp }" tproxy to 127.0.0.1:"$TPROXY_PORT" meta mark set "$TPROXY_MARK" accept 2>/dev/null
+    elif [ "$dir" = "out" ]; then
+        nft add rule ip "$TABLE" output ip daddr "@$nft_sname" \
+            meta l4proto "{ tcp, udp }" counter ct mark set "$CLIENT_MARK" meta mark set "$TPROXY_MARK" accept 2>/dev/null
    fi
 }

 _process_item() {
-    local id="$1" val="$2" type="$3" dir="$4" exc="$5" fullpath hfile changed=0
+    local id="$1" val="$2" type="$3" dir="$4" exc="$5" parent="$6" fullpath hfile changed=0
    
    [ "$type" = "dom" ] || [ "$type" = "udom" ] && fullpath="$DNSMASQ_DIR/$id.lst" || fullpath="$IPNET_DIR/$id.lst"
    hfile="$CACHE_DIR/$id.hash"
@@ -161,13 +199,13 @@ _process_item() {
    local new_hash=$(_get_md5 "$val")
    local old_hash=$(cat "$hfile" 2>/dev/null)

-    # RELOAD MODE
    if [ "$SKIP_URL" = "1" ] && { [ "$type" = "uip" ] || [ "$type" = "udom" ]; }; then
        _log "Reloading $id..." "info" "1"
        if [ "$new_hash" != "$old_hash" ]; then
             _log "  -> Warning: UCI config changed. Run 'update' to fetch new data." "warn" "1"
        fi
-        [ -f "$fullpath" ] && _nft_apply_data "$id" "$fullpath" "$exc" "$dir" "$type" "0"
+
+        [ -f "$fullpath" ] && _nft_apply_data "$id" "$fullpath" "$exc" "$dir" "$type" 0 "$parent"
        return
    fi

@@ -249,23 +287,27 @@ _process_item() {
        esac
        echo "$new_hash" > "$hfile"
    fi
-    _nft_apply_data "$id" "$fullpath" "$exc" "$dir" "$type" "$changed"
+    _nft_apply_data "$id" "$fullpath" "$exc" "$dir" "$type" "$changed" "$parent"
 }

 _process_section() {
-    local s="$1" name dir exc ips doms uips udoms
+    local s="$1" name dir exc parent ips doms uips udoms
    config_get name "$s" name; config_get dir "$s" direction "dst"; config_get exc "$s" exclude "0"
+    config_get parent "$s" parent
    [ -z "$name" ] && return
+
    name=${name//[^a-zA-Z0-9_]/}
    _append_list() { CURRENT_VAL="${CURRENT_VAL}${CURRENT_VAL:+ }$1"; }
+    
    CURRENT_VAL=""; config_list_foreach "$s" ip _append_list; ips="$CURRENT_VAL"
    CURRENT_VAL=""; config_list_foreach "$s" domain _append_list; doms="$CURRENT_VAL"
    CURRENT_VAL=""; config_list_foreach "$s" url_ip _append_list; uips="$CURRENT_VAL"
    CURRENT_VAL=""; config_list_foreach "$s" url_domain _append_list; udoms="$CURRENT_VAL"
-    [ -n "$ips" ] && _process_item "${name}_ip" "$ips" "ip" "$dir" "$exc"
-    [ -n "$doms" ] && _process_item "${name}_dom" "$doms" "dom" "$dir" "$exc"
-    [ -n "$uips" ] && _process_item "${name}_uip" "$uips" "uip" "$dir" "$exc"
-    [ -n "$udoms" ] && _process_item "${name}_udom" "$udoms" "udom" "$dir" "$exc"
+    
+    [ -n "$ips" ]   && _process_item "${name}_ip"   "$ips"   "ip"   "$dir" "$exc" "$parent"
+    [ -n "$doms" ]  && _process_item "${name}_dom"  "$doms"  "dom"  "$dir" "$exc" "$parent"
+    [ -n "$uips" ]  && _process_item "${name}_uip"  "$uips"  "uip"  "$dir" "$exc" "$parent"
+    [ -n "$udoms" ] && _process_item "${name}_udom" "$udoms" "udom" "$dir" "$exc" "$parent"
 }

 _cleanup_orphans() {
@@ -283,21 +325,128 @@ _cleanup_orphans() {
    rm -f "$ACTIVE_LIST"
 }

+_wait_for_net() {
+    local timeout=20
+    _log "Waiting for network routes..."
+    while [ ! -s /proc/net/route ] && [ $timeout -gt 0 ]; do
+        sleep 1
+        timeout=$((timeout - 1))
+    done
+
+    timeout=20
+    _log "Checking internet connectivity ($PING_ADDR)..."
+    while ! ping -q -c 1 -W 2 "$PING_ADDR" >/dev/null 2>&1 && [ $timeout -gt 0 ]; do
+        _log "  -> No response from $PING_ADDR, retrying... ($timeout s)"
+        sleep 2
+        timeout=$((timeout - 2))
+    done
+    
+    if [ $timeout -le 0 ]; then
+        _log "  -> WARNING: Internet check failed. Using cache/local data." "warn"
+        export SKIP_URL=1
+    fi
+}
+
+_validate_config() {
+    _log "Validating UCI config syntax..." "info" "0"
+
+    local main_allowed="table_name tproxy_port tproxy_mark client_mark timeout ipnet_dir dnsmasq_dir cache_dir active_list proxy_ip"
+    local main_required="table_name tproxy_port tproxy_mark client_mark"
+    
+    for opt in $(uci show xray-manager.@xray-manager[0] | cut -d'.' -f3 | cut -d'=' -f1); do
+        if ! echo "$main_allowed" | grep -qw "$opt"; then
+            _log "Unknown option '$opt' in xray-manager main section!" "err" "1"
+            exit 1
+        fi
+    done
+
+    validate_list_section() {
+        local s="$1"
+        local name direction exclude
+        local list_allowed="name direction exclude parent ip domain url_ip url_domain"
+        
+        config_get name "$s" name
+        config_get direction "$s" direction
+        config_get exclude "$s" exclude
+
+        if [ -z "$name" ]; then
+            _log "Section $s is missing 'option name'!" "err" "1"
+            exit 1
+        fi
+
+        case "$direction" in
+            src|dst|out|force_src) ;;
+            *) _log "Section '$name' has invalid direction '$direction'!" "err" "1"; exit 1 ;;
+        esac
+
+        local has_data=0
+        for opt in $list_allowed; do
+            [ -n "$(uci -q get xray-manager.$s.$opt)" ] && has_data=1
+        done
+
+        if [ "$has_data" -eq 0 ]; then
+            _log "Section '$name' has no data (ip, domain, url_ip, etc.)!" "err" "1"
+            exit 1
+        fi
+
+        for opt in $(uci show xray-manager.$s | cut -d'.' -f3 | cut -d'=' -f1); do
+             if ! echo "$list_allowed" | grep -qw "$opt"; then
+                _log "Unknown option '$opt' in section '$name'!" "err" "1"
+                exit 1
+            fi
+        done
+    }
+
+    config_foreach validate_list_section "xray-list"
+}
+
+_apply_force_jumps() {
+    local s="$1" n d
+    config_get n "$s" name
+    config_get d "$s" direction
+    if [ "$d" = "force_src" ] && [ -n "$n" ]; then
+        n=$(echo "$n" | sed 's/[^a-zA-Z0-9_]//g')
+        nft insert rule ip "$TABLE" prerouting ip saddr "@s_${n}_ip" jump "f_${n}_ip" 2>/dev/null
+    fi
+}
+
 _run() {
+    _init_vars || return 1
+    _validate_config
    DNS_CHANGES=0
+    
    if [ "$FULL_LOAD" = "1" ]; then
+        _wait_for_net
        _log "Starting Xray-Manager (Full Load)..." "info" "1"
        _load_config_full || return 1
    else
        _log "Running Xray-Manager (Partial Load)..." "info" "1"
-        _init_vars || return 1
    fi
+    
    : > "$ACTIVE_LIST"
    _nft_init || return 1
-    local lnet_val=$(uci -q get xray-manager.@lnet[0].ip)
-    [ -n "$lnet_val" ] && _process_item "lnet" "$lnet_val" "ip" "dst" "1"
+
+    if [ -n "$PROXY_SERVERS" ]; then
+        _log "Applying proxy server exclusions..."
+        local proxy_set="s_proxy_servers"
+        nft "add set ip $TABLE $proxy_set { type ipv4_addr; flags interval; }" 2>/dev/null
+        nft "flush set ip $TABLE $proxy_set" 2>/dev/null
+        for ip in $PROXY_SERVERS; do
+            local val=$([ "${ip%/*}" = "$ip" ] && echo "$ip/32" || echo "$ip")
+            nft "add element ip $TABLE $proxy_set { $val }" 2>/dev/null
+        done
+        nft insert rule ip "$TABLE" output ip daddr "@$proxy_set" accept 2>/dev/null
+    fi
+
    config_foreach _process_section "xray-list"
+    
+    _process_item "$LNET_NAME" "$LNET_RESERVED" "ip" "dst" "1"
+    _process_item "$LNET_NAME" "$LNET_RESERVED" "ip" "out" "1"
+
+    config_foreach _apply_force_jumps "xray-list"
+    
    _cleanup_orphans
+    
    if [ "$DNS_CHANGES" = "1" ]; then
        _log "Domains changes detected. Restarting dnsmasq..." "info" "1"
        /etc/init.d/dnsmasq restart
@@ -317,10 +466,10 @@ _stop() {
 }

 case "$1" in
-    start) export SKIP_URL=0 FULL_LOAD=1; _run ;;
+    start)   export SKIP_URL=0 FULL_LOAD=1; _run ;;
    restart) _stop; export SKIP_URL=0 FULL_LOAD=1; _run ;;
-    reload) export SKIP_URL=1 FULL_LOAD=0; _run ;;
-    update) export SKIP_URL=0 FULL_LOAD=0; _run ;;
-    stop) _stop ;;
-    *) echo "Usage: $0 {start|reload|update|stop|restart}" ;;
-esac
+    reload)  export SKIP_URL=1 FULL_LOAD=0; _run ;;
+    update)  export SKIP_URL=0 FULL_LOAD=0; _run ;;
+    stop)    _stop ;;
+    *)       echo "Usage: $0 {start|reload|update|stop|restart}" ;;
+esac