FakeTLS: прокси сайт болып қалай көрінеді

FakeTLS — қосылым қарапайым HTTPS сайтына кіру сияқты көрінетін MTProto прокси режимі. Оны құпиясөздегі бір ғана ерекшелік қосады — ee префиксі. Төменде: осы префикстің артында не тұр, рукопожатие қалай өтеді, бүркемелеу доменін қалай таңдау керек және қандай қателер режимді жиі бұзады.

ee префиксі нені білдіреді

mtg құжаттамасындағы мысал — google.com үшін құпиясөз:

Алғашқы екі таңба — режим, келесі 32 — кілт, қалғаны — google.com сөзінің байттары. Доменді бір командамен оқуға болады:

Рукопожатие қалай өтеді

HTTPS сайтына қарапайым қосылым ClientHello хабарламасынан басталады, онда клиент керекті сайтты SNI өрісінде атайды. FakeTLS осы пішінді қайталайды, сондықтан сүзгіге алғашқы пакеттер сайтқа қарапайым кіру сияқты көрінеді.

1. Клиент құпиясөздегі доменмен ClientHello жібереді. Онда прокси «өз» клиентін танитын деректер бар.
2. Прокси оларды тексеріп, TLS сервері жауап беретіндей жауап береді.
3. Одан әрі орнатылған қосылым арқылы TLS-ке ұқсас жазбаларға оралған қарапайым MTProto ағыны жүреді.
4. Егер прокси клиенті емес, кездейсоқ келуші, сканер немесе тексеруші келсе, прокси өзін ашпайды: қосылымды нағыз сайтқа береді және оның нағыз жауабын қайтарады.

Соңғы тармақ — белсенді тексеруден қорғаныс. mtg мұны domain fronting деп атайды: сұраныс қабылданбаса, прокси жасырын сайтқа қосылып, трафикті ретрансляциялайды, сондықтан тексеруші нағыз сайттың жауабын көреді. Telemt де дәл солай істейді — mask баптауы бойынша: танылмаған қосылымдар нақты веб-серверге барады.

Сүзгі нені көреді

ТСПУ жабдығы мен DPI жүйелері үшін FakeTLS қосылымы мынадай:

• 443 портындағы сіздің сервердің IP-мекенжайына қосылым;
• SNI-да танымал сайттың атауы бар ClientHello;
• TLS серверінің жауабына ұқсас жауап;
• одан әрі — кез келген HTTPS сияқты шифрланған жазбалар ағыны.

Мұндай қосылымды нағыздан ажырату үшін сүзгі нәзік айырмашылықтарды іздеуі керек: домен мен IP-мекенжайдың сәйкессіздігі, ClientHello-дағы әдеттен тыс кеңейтулер, ағын статистикасы. Ал «танымал сайтпен HTTPS-ке ұқсайтын барлығын» жай ғана жабу қарапайым пайдаланушыларға зиян келтірмей мүмкін емес.

Бүркемелеу доменін қалай таңдау керек

Домен — режимнің әлсіз тұсы. Провайдер сәйкессіздікті байқайды ма, жоқ па — осыған байланысты. Іске асыру авторларының ұсыныстарынан мынадай тізім құралады:

• сіздің желіңізде бұғатталмаған қарапайым сайт. Домен операторда қолжетімсіз болса, оған қосылым күдікті көрінеді, ал сілтеме жұмыс істемеуі мүмкін (telemt ұсынысы);
• сервердің мекенжайымен байланысты домен. mtg README-і ескертеді: провайдерлер google.com Google-ға тиесілі емес IP-ге апаратынын байқауы мүмкін. Кеңес — VPS тұрған хостингтің доменін таңдау (мысалы, DigitalOcean-дағы сервер үшін digitalocean.com);
• ең жақсысы — өз доменіңіз. mtg BEST_PRACTICES-інде доменді тіркеп, VPS-ке бағыттау ұсынылады: сонда DNS пен SNI сәйкес келеді, ал тексеру сәйкессіздік таппайды;
• өз ішкі желіңіздегі сайтты көшірмеңіз. Сол ұсыныстар бойынша, мұндай тексеру DNS арқылы оңай, ал мекенжайды бандау мүмкін;
• ірі брендті алмаңыз. Ірі сайтты DNS арқылы тексеру оңай — жауаптар сіздің серверіңізбен сәйкес келмейді.

Таңдалған доменді қалай тексеру керек

Доменді құпиясөзге енгізбес бұрын, оны провайдер істейтіндей тексеріңіз:

1. Домен сіздің желіңізден ашылады. Операторда ол қолжетімсіз болса, оған қосылым біртүрлі көрінеді: curl -I https://домен/ жауап қайтаруы керек.
2. Рукопожатие сіздің мекенжайға өтеді. curl -v -I --resolve домен:443:IP https://домен/ командасы сұранысты керекті IP-мекенжайға мәжбүрлеп бағыттайды да, TLS рукопожатиесін, сенім тізбегін және сертификаттың жарамдылық мерзімін көрсетеді.
3. Сертификат жарамды. telemt FAQ-ында мысал ретінде жарамдылық мерзімі 2026 жылғы 1 наурызда аяқталған сертификат аталған және сайттың өзектілігін бөлек тексеру керек екені айтылған.
4. DNS сервер мекенжайымен сәйкес. Ең жақсысы — атау дәл сіздің VPS-ке нұсқаса; ең нашар нұсқа — бөтен ірі сайт.

Тексеруді қайталаған жөн: сайттар сертификаттар мен мекенжайларды өзгертеді, ал бүгін сенімді көрінетін домен бір айдан кейін ашылмай қалуы мүмкін.

Мысал: доменді қадамдап дайындау

mtg BEST_PRACTICES-інде ұсынылатын схема провайдер тексере алатын барлық нәрсенің бір-бірімен сәйкес болуына келіп тіреледі:

1. Өз доменіңізді тіркеп, A-жазбасымен VPS-тің IP-мекенжайына бағыттаңыз. Енді осы атауға DNS жауабы сіздің серверді көрсетеді.
2. Проксидің алдына сенімді сайт қойыңыз: бірнеше қарапайым HTML-бет және Let's Encrypt не басқа куәландырушы орталықтан сертификат.
3. Осы доменге құпиясөз жасаңыз: mtg generate-secret --hex сіздің-домен.example.
4. Проксиді 443 портында іске қосыңыз. Қарапайым келушілер мен тексерушілер сайтты көреді, ал сілтемесі бар клиенттер — проксиді.
5. Қосылымды үйдегі Wi‑Fi арқылы емес, ұялы интернет арқылы телефоннан тексеріңіз.

Бұл бөтен танымал доменді алудан күрделірек, бірақ күдіктің басты себебі жоғалады: SNI-дағы атау, DNS жауабы және беттің мазмұны сәйкес келеді.

Іске асырулардағы бүркемелеу баптаулары

Бағдарламалар екі міндетті әртүрлі шешеді: бөтендерге қалай жауап беру және сенімді қалай көріну.

• mtg. Бөтен сұраныстар жасырын сайтқа бағытталады (domain fronting). Қосымша «қосарлану» режимі бар — [defense.doppelganger] бөлімі, ол нағыз сайттың таймингтерін қайталайды. README бойынша, қосарлану үшін мекенжайларды дәл өзіңіз бүркенетін доменнен алған жөн.
• telemt. [censorship] бөлімінде tls_domain, mask = true (танылмаған қосылымдарды нақты веб-серверге беру) және tls_emulation = true беріледі. Клиент ескі доменмен келсе, мінез-құлықты unknown_sni_action параметрі анықтайды.

Клиенттің ізі

Кез келген клиенттің — браузердің немесе Telegram-ның — ClientHello-сында параметрлер жиыны бар: қолдау көрсетілетін шифрлар тізімі, кеңейтулер және олардың реті. Олар бірге «із» құрайды: әртүрлі бағдарламаларда ол әртүрлі. Telegram жіберетін ClientHello браузердікінен айтарлықтай өзгеше болса, сүзгі мұны белгі ретінде пайдалана алады.

Сондықтан telemt FAQ-ына сәйкес, бүркемелеудің тұрақтылығы клиент нұсқасына байланысты, ал әзірлеушілер Telegram-ды жаңартуды кеңес етеді: жаңа нұсқаларда із түзетілген. Іс жүзінде бұл дәл сол сілтеме сізде жұмыс істеп, қолданбаның ескі нұсқасы бар таныста істемеуі мүмкін дегенді білдіреді.

Әдеттегі қателер

• Құпиясөз ee-сіз енгізілген немесе қиылған. Клиент басқа режимде қосылады немесе қосылмайды. Құпиясөзді толық енгізеді.
• Домен серверге сәйкес келмейді. Ең жиі кездесетін жағдай — бөтен мекенжайдағы танымал бренд.
• Желіде бұғатталған домен. Прокси жұмыс істеп тұрған сияқты, бірақ қосылым жиі үзіледі.
• Сілтемелерді қайта шығармай доменді ауыстыру. Ескі сілтемелер қате береді. telemt-те мұндай клиенттер үшін unknown_sni_action баптауы бар, мәндері — mask және reject_handshake.
• Стандартты емес порт. 443 порты HTTPS үшін табиғирақ көрінеді.
• Ескірген клиент. telemt FAQ-ына сәйкес, Telegram-ның жаңа нұсқаларында TLS ізі түзетілген, сондықтан клиентті жаңартқан жөн.

Режим қай жерде жұмыс істемей қалады

FakeTLS проксиді көрінбейтін етпейді. Telemt өз FAQ-ында ол жұмыс істемейтін жағдайларды тікелей атайды:

• мақсатты хостпен IP-байланыс жоқ;
• TCP, TLS, порт немесе SNI бұғатталған;
• жоғары энтропиялы трафикті сүзу қосулы;
• DPI FakeTLS-ті SNI, ALPN және энтропия бойынша таниды.

Бөлек: Telegram аккаунты «үй» деректер орталығына байланған, сондықтан проксидің Telegram инфрақұрылымының бір бөлігіне емес, барлығына қолжетімділігі болуы керек.

Сондықтан FakeTLS — «мәңгілік режим» емес, қорғаныстың бір қабаты. Мекенжай бойынша бұғаттауға ол дәрменсіз, ал ақ тізімдері бар ұялы интернетте прокси мүлде қолжетімсіз.

FakeTLS нені жасырмайды

Бүркемелеу қосылымның пішініне қатысты, желідегі қатысуыңызға емес. Провайдер сіздің нақты сервердің IP-мекенжайына қосылып жатқаныңызды және қанша деректі жіберетініңізді бұрынғыдай көреді. Прокси өзі сіздің IP-мекенжайыңызды көреді, кез келген делдал сияқты. Хат алмасудың мазмұны режимге қарамастан Telegram кілтімен қорғалған — ол да FakeTLS режиміне тәуелді емес. Сондықтан проксиді «көрінбейді» деп айтуға болмайды: оны пішіні бойынша тану тек қиынырақ.

Режимнің қосулы екенін қалай тексеруге болады

• Құпиясөзге қараңыз: ол ee деп басталып, 32 таңбадан айтарлықтай ұзын болуы керек.
• Соңын xxd -r -p командасымен шешіп, бұл керекті домен екенін тексеріңіз.
• mtg бар серверде mtg doctor /path/to/config.toml орындаңыз: команда конфигурацияны және байланыстылықты тексереді.
• telemt бар серверде жасырын сайтпен TLS рукопожатиесін тексеріңіз: curl -v -I --resolve домен:443:IP https://домен/ сертификаттар тізбегін және жарамдылық мерзімін көрсетеді.

ee бар прокси жұмыс істеуін тоқтатса

Режим қосулы, құпиясөз дұрыс, ал прокси қосылмай ма? Себептерді қарапайымнан күрделіге қарай іріктеңіз:

1. Құпиясөздегі домен әлі ашылатынын және ондағы сертификат жарамды екенін тексеріңіз.
2. Клиенттің жаңартылғанына көз жеткізіңіз: Telegram-ның жаңа нұсқаларында TLS ізі түзетілген.
3. Проксиді басқа желіде тексеріңіз: онда жұмыс істесе, мекенжай бұғатталмаған, мәселе нақты желіде.
4. Ешқайда жұмыс істемесе, сервер мекенжайы көбіне жабылған: тек IP-мекенжайды ауыстыру немесе жаңа прокси көмектеседі.
5. Өз серверіңізде журналды қараңыз: mtg-де — mtg doctor, telemt-те — қызмет күйі және ескі сілтемелер үшін «Unknown TLS SNI» қатесі.

FakeTLS және басқа режимдер

Telegram құжаттамасында прокси иелеріне мүмкіндігінше padding пен TLS emulation-ды бірге қосуды кеңес етеді: режимдер бірін-бірі толықтырады.