FakeTLS: что это — глоссарий MTProto

Как узнать

Секрет прокси в режиме FakeTLS начинается с ee. Дальше идут 16 байт ключа (32 шестнадцатеричных символа) и домен маскировки, записанный в hex. Домен виден фильтру в поле SNI. Пример, который приводит mtg в своей документации, — секрет для google.com:

ee473ce5d4958eb5f968c87680a23854a0676f6f676c652e636f6d

Как работает

Клиент начинает соединение как обычный TLS-обмен: отправляет ClientHello с именем сайта. Прокси узнаёт «своего» по данным внутри этого сообщения, которые может проверить только тот, кто знает секрет, и отвечает как сервер; остальных он не знает и по настройке маскировки передаёт настоящему сайту — например, mtg ретранслирует запрос на сайт-прикрытие. Для случайного наблюдателя, проверяющего адрес, это обычный веб-сервер.

Разбор рукопожатия по шагам — в статье «FakeTLS: как прокси притворяется сайтом».

Чем отличается от dd и обычного режима

Обычный режим прячет содержимое потока (obfuscated2), но начало соединения и ритм пакетов остаются узнаваемыми. Префикс dd добавляет случайное дополнение к пакетам, чтобы размеры не выдавали прокси. FakeTLS меняет само начало соединения. В документации Telegram для владельцев прокси советуют по возможности включать и padding, и TLS emulation.

Частая путаница

FakeTLS — не VPN и не отдельное шифрование: он имитирует начало TLS-обмена, чтобы соединение с прокси выглядело как заход на сайт. Сообщения Telegram защищены собственным ключом независимо от режима, а прокси в этом режиме по-прежнему работает только для Telegram.

Где он есть

Режим ee поддерживают mtg и telemt: у mtg он единственный, у telemt включается параметром tls = true в разделе [general.modes]. В README официального MTProxy описан только режим dd, а документация Telegram советует включать «TLS emulation» вместе с padding.

Пределы

FakeTLS не делает прокси невидимым. По FAQ telemt, DPI может распознать такой трафик по SNI, ALPN и энтропии, а результат зависит от версии клиента Telegram, домена и пути до сервера. Если блокируется IP-адрес или порт, маскировка не поможет.

Секрет вводят целиком, вместе с ee: без него клиент подключится в обычном режиме.
Не берите крупный бренд, если сервер не принадлежит этой компании: несоответствие домена и адреса проверить легко.
После смены домена на сервере старые ссылки перестают работать.

FakeTLS