Proksilər niyə bloklanır və bu necə işləyir

Telegram-da proksinin işləməməsi təsadüfi deyil: onu müəyyən əlamətlərə görə tapıb kəsirlər. Aşağıda: kim bloklayır, avadanlıq nəyi görür, maskalanma niyə kömək edir və hansı hallarda kömək etməyi dayandırır.

Kim və nə ilə bloklayır

Kompleksləri Roskomnadzor mərkəzləşdirilmiş qaydada idarə edir, ona görə bir yerdə əlavə olunan qayda dərhal çox operatorda qüvvəyə minə bilər. Proksi istifadəçisi üçün bunun mənası birdir: proksi sizdə «ölübsə», bu mütləq serverin nasazlığı deyil.

İkinci vacib məqam: avadanlıq mesajları oxumur. O, trafikin formasını qiymətləndirir və ona görə bloklayır.

Avadanlıq nəyi görür

Telegram mesajları cihaz qeydiyyatdan keçəndə yaradılan və şəbəkə ilə ötürülməyən açarla şifrələnir. Açar yalnız Telegram-ın klientində və serverində olur — nə proksi, nə də yoldakı avadanlıq onu bilmir. Ona görə də yazışmanın məzmunu filtr üçün əlçatmazdır.

Amma çox şey açıq qalır və bağlantının «izi» məhz bu dəstdən formalaşır:

• serverin ünvanı və portu, bağlantının getdiyi yer;
• bağlantının ilk baytları — protokolu çox vaxt məhz onlara görə müəyyən edirlər;
• paketlərin ölçüləri, ardıcıllığı və aralarındakı fasilələr — axının «ritmi»;
• protokolların açıq sahələri, məsələn TLS bağlantısının əvvəlindəki saytın adı (SNI).

Avadanlıq bu əlamətləri məlum şablonlarla müqayisə edir. Bağlantı MTProto proksi şablonuna oxşayırsa, onu yavaşladır və ya kəsir — bir mesaj da oxumadan.

Proksini hansı əlamətlərə görə tanıyırlar

Adi rejim: tanınan forma

Proksinin əsas rejimi obfuscated2 adlanır. O, bütün axını nəqliyyatın üzərindən şifrələyir, ona görə məlumatda protokolun açıq əlamətləri qalmır. Bağlantının başlanğıcı açarların çıxarıldığı 64 «təsadüfi» baytdır.

dd prefiksi: təsadüfi əlavə

Ölçülərə görə tanınmaya qarşı padding fikirləşiblər: paketlərə 0-dan 15-ə qədər təsadüfi bayt əlavə olunur və uzunluqlar sabit olmaqdan çıxır. Secret-də bu rejimi dd prefiksi işə salır. Bu, filtrin işini çətinləşdirir, amma bağlantının başlanğıcı əvvəlki kimi qalır.

Ünvanın birbaşa bloklanması

Operator üçün ən sadə yol trafiki təhlil etmək yox, ünvanı bağlamaqdır. Serverin IP ünvanı və ya portu siyahıya düşübsə, heç bir rejim kömək etmir: paketlər sadəcə çatmır. Buna görə proksinin protokoldan asılı olmayan ömür müddəti var.

Proksi tanınanda operator nə edir

Tanınmış bağlantını avadanlıq müxtəlif cür emal edə bilər. Tərifinə görə, DPI trafik haqqında siqnal verə, onu bloklaya, yönləndirə və ya qeyd edə bilər, TSPU isə Vikipediyadakı təsvirə görə trafiki idarə edir: yavaşladır və ya yerli səviyyədə söndürür. Buradan eyni səbəbin müxtəlif əlamətləri çıxır:

• bağlantını kəsirlər. Telegram «Qoşulur…» yazır və «Qoşuldu» statusuna çatmır;
• bağlantını yavaşladırlar. Proksi rəsmi olaraq qoşulub, amma çatlar uzun açılır, foto və video yüklənmir;
• ünvanı tamamilə bağlayırlar. Onda sahibi serveri dəyişənə qədər proksi heç bir rejimdə işləmir.

Ona görə yavaş proksi həmişə yüklənmiş olmur: bəzən onun trafiki sadəcə yavaşlatmaq üçün seçilib. Səbəbləri bir əlamətə görə ayırd etmək olmur — yalnız şəbəkələri və digər proksiləri müqayisə etmək kömək edir.

FakeTLS niyə daha uzun dayanır

FakeTLS rejimində (secret ee ilə başlayır) klient bağlantını adi HTTPS mübadiləsi kimi başlayır: SNI sahəsində həqiqi saytın adı ilə ClientHello göndərir. Filtr proksiyə yox, həmin sayta girişi görür.

Maskalanmanın ikinci qatı da var. Filtr klienti gözləməyə bilər, özü şübhəli ünvana müraciət edib serverin nə cavab verdiyinə baxa bilər. Yaxşı implementasiya belə sorğuya həqiqi sayt kimi cavab verir: məsələn, mtg yadellilərin sorğularını örtük saytına ötürür. Nəticə sadədir: məşhur saytlara müraciətə oxşayan hər şeyi bloklamaq bahalıdır — adi istifadəçilərə də toxunar.

FakeTLS harada işləməyi dayandırır

Bu, əbədi müdafiə deyil. telemt layihəsinin FAQ-ına görə, DPI FakeTLS-i SNI, ALPN və entropiyaya görə tanıya bilər, izin davamlılığı isə Telegram klientinin versiyasından, seçilmiş domendən və şəbəkə yolundan asılıdır. Domen serverin ünvanına uyğun gəlmirsə, provayder bunu görə bilər: mtg README-sində yazılıb ki, yad IP ünvanında google.com pis seçimdir.

Niyə qonşuda işləyir, sizdə yox

Avadanlıq üçün qaydalar mərkəzləşdirilmiş qaydada verilir, amma nəticə yenə də harada olmağınızdan asılıdır. Ev provayderinin, mobil operatorun və korporativ şəbəkə — fərqli marşrutlar və fərqli ayarlardır. Vikipediyadakı TSPU təsvirində mobil internetin yerli söndürülməsi ayrıca qeyd olunub: bir regionda olur, digərində yox.

Ona görə eyni proksi evdə Wi‑Fi ilə işləyə, metroda işləməyə, işdə isə qeyri-standart portlara çıxan bağlantıları bağlayan korporativ filtrdən asılı ola bilər. Link sizdə işləməyibsə, onu başqa şəbəkədə yoxlayın: bu, ən məlumatlı testdir və bir dəqiqə çəkir.

Bunun bloklanma olduğunu necə anlamaq

«Bir əlamətə görə» etibarlı yol yoxdur, amma mənzərə adətən bir neçə şeydən formalaşır:

• proksinin «Qoşulur…» statusu bir dəqiqədən çox qalır;
• proksi işləyirdi və dayandı, halbuki siz heç nə dəyişməmisiniz;
• bir şəbəkədə (Wi‑Fi) işləyir, digərində (mobil internet) yox;
• başqa ünvanlardakı digər proksilər işləyir, bu isə yox.

İki-üç bənd üst-üstə düşürsə, məsələ linkdən çox şəbəkədədir.

Telegram versiyasının rolu

Maskalanma təkcə serverdən deyil, klientdən də asılıdır. FakeTLS bağlantısını tətbiqin özü başlayır və onun ilk mesajının dəqiq necə göründüyünə iz deyilir. İz adi brauzer izindən fərqlənirsə, filtr saxtakarlığı daha asan görür. telemt FAQ-ına görə, Telegram-ın yeni versiyalarında iz düzəldilib, ona görə köhnəlmiş klient «eyni» linkin tanışda açılıb sizdə açılmamasının səbəblərindən biridir.

Proksi nə vaxt kömək etmir

Proksinin hüdudları var və onları əvvəlcədən bilmək yaxşıdır:

• mobil internetdə ağ siyahılar. Bu rejimdə yalnız əvvəlcədən icazə verilmiş ünvanlar keçir; adi proksinin serveri belə siyahıya daxil deyil. Burada VPN lazımdır;
• bloklanmış ünvan və ya port. Protokolun maskalanması serverin IP ünvanını dəyişmir;
• yüklənmiş server. Bir proksidə minlərlə adam oturubsa, o, bloklanmaya yox, kanala dirənir;
• zənglər. MTProto proksi ilə işləmir — bu, Telegram arxitekturasının xüsusiyyətidir, ayar səhvi deyil.

Qısaca

• Avadanlıq mesajları oxumur, trafikin formasını, ünvanı və protokolların açıq sahələrini qiymətləndirir.
• Adi MTProto proksi bağlantının başlanğıcına və paketlərin ritminə görə tanınır; padding və FakeTLS bu əlamətlərə növbə ilə cavab verir.
• Maskalanma bağlı ünvandan və porta, ağ siyahılardan və serverin yüklənməsindən xilas etmir.
• Proksi sərfiyyat materialıdır: ehtiyat saxlayın və linki yaymayın.

Bundan nə çıxır

• ee ilə başlayan secret və 443 portu olan proksi seçin — bu, şansı artırır, amma işləməyə zəmanət vermir.
• Telegram-ı yeniləyin: yeni versiyalarda klientin TLS izi düzəldilir.
• Linkinizi yaymayın: nə qədər geniş yayılsa, o qədər tez siyahılara əlavə olunar.
• Bütün cihaz və ağ siyahılar üçün proksi yox, VPN lazımdır.

Ehtiyat proksi saxlayın

Proksi məhdud müddət yaşayır, ona görə bir ünvan etibarsız sxemdir. Telegram-ın proksi ayarlarında avtomatik keçid funksiyası var (ingilis versiyasında — Auto-Switch Proxies): cari proksi ayrılsa, tətbiq siyahıdakı növbətiyə keçir. Müxtəlif mənbələrdən iki-üç proksi əlavə edin və bu seçimi qoşun: bir ünvanın itməsi sizi linki yenidən axtarmağa məcbur etməz.

Nə etməməli

• İlk rast gəlinən saytlardan link götürmək. Telegram proksi məlumatlarından yalnız etibarlı mənbələrdən istifadə etməyi məsləhət görür: sahibi IP ünvanınızı və trafik həcminizi görür.
• Secret-i kənar «yoxlayıcılara» yapışdırmaq. Secret proksinin paroludur və siz onu yad xidmətə verirsiniz.
• Rejimi səbəbsiz dəyişmək. Proksi işləyirsə, secret-də düzəlişlər çox vaxt qoşulmanı yaxşılaşdırmaqdan çox pozur.
• Əbədi müdafiəyə güvənmək. İstənilən maskalanma bugünkü əlamətlərə cavab verir, filtrləmə qaydaları isə dəyişir.

Proksi və VPN müxtəlif məsələləri həll edir: birincisi Telegram daxilində işləyir və mesencerin bloklanmasını keçir, ikincisi cihazın bütün trafikini öz üzərindən buraxır.