FakeTLS: прокси сайт болуп кантип көрүнөт

FakeTLS — MTProto-проксинин режими, мында туташуу HTTPS-сайтка кадимки кирүү сыяктуу көрүнөт. Аны секреттеги бир деталь күйгүзөт — ee префикси. Төмөндө: ушул префикстин артында эмне бар, кол алышуу кантип өтөт, маскировка доменин кантип тандоо керек жана режимди көбүнчө кандай каталар бузат.

ee префикси эмнени билдирет

mtg документациясындагы мисал — google.com үчүн секрет:

Биринчи эки белги — режим, кийинки 32 — ачкыч, калганы — google.com деген сөз байттар менен. Доменди бир буйрук менен окуса болот:

Кол алышуу кантип өтөт

HTTPS-сайт менен кадимки туташуу ClientHello билдирүүсү менен башталат, анда клиент керектүү сайтты SNI талаасында атайт. FakeTLS ушул форманы кайталайт, ошондуктан фильтр үчүн алгачкы пакеттер сайтка кадимки кирүү сыяктуу көрүнөт.

1. Клиент секреттеги домен менен ClientHello жөнөтөт. Анда прокси «өзүнүн» клиентин таанып билчү маалыматтар бар.
2. Прокси аларды текшерип, TLS-сервер кандай жооп берсе, ошондой жооп берет.
3. Андан ары орнотулган туташуу боюнча TLS'ке окшош жазууларга оролгон кадимки MTProto агымы жүрөт.
4. Эгер прокси клиенти эмес, кокус келген адам, сканер же текшерүүчү келсе, прокси ачыла койбойт: ал туташууну чыныгы сайтка өткөрүп, анын чыныгы жообун кайтарат.

Акыркы пункт — активдүү текшерүүдөн коргонуу. mtg муну domain fronting деп атайт: суроо четке кагылса, прокси жабуучу сайтка туташып, трафикти ретрансляциялайт, ошондуктан текшерүүчү чыныгы сайттын жообун көрөт. Telemt ошону эле mask жөндөөсү боюнча кылат: таанылбаган туташуулар чыныгы веб-серверге барат.

Фильтр эмнени көрөт

ТСПУ жабдуусу жана DPI системалары үчүн FakeTLS-туташуу бул:

• серверңиздин IP-дарегине 443-портто туташуу;
• SNI'де популярдуу сайттын аты бар ClientHello;
• TLS-сервердин жообуна окшош жооп;
• андан ары — ар кандай HTTPS'тегидей, шифрленген жазуулардын агымы.

Мындай туташууну чыныгысынан айырмалоо үчүн фильтр майда дал келбестиктерди издеши керек: доменге жана IP-дарекке дал келбестик, ClientHello'догу мүнөздүү эмес кеңейтүүлөр, агымдын статистикасы. Ал эми кадимки колдонуучуларга зыян келтирбей туруп «популярдуу сайт менен HTTPS'ке окшош баардыгын» жаба албайт.

Маскировка доменин кантип тандоо керек

Домен — режимдин алсыз жери. Провайдер дал келбестикти байкайбы же жокпу, ошого көз каранды. Ишке ашыруу авторлорунун сунуштарынан мындай тизме түзүлөт:

• тармагыңызда бөгөттөлбөгөн кадимки сайт. Эгер домен оператордо жеткиликсиз болсо, ага туташуу шектүү көрүнөт, ал эми шилтеме иштебей калышы мүмкүн (telemt сунушу);
• сервердин дареги менен байланышкан домен. mtg README эскертет: провайдерлер google.com Google'га таандык эмес IP'ге алып баратканын байкашы мүмкүн. Кеңеш — VPS турган хостингдин доменин тандоо (мисалы, DigitalOcean'деги сервер үчүн digitalocean.com);
• эң жакшысы — өз домениңиз. mtg BEST_PRACTICES'те доменди каттатып, аны VPS'ке багыттоо сунушталат: ошондо DNS менен SNI дал келет, ал эми текшерүү дал келбестиктерди таппайт;
• өз подсетиңизден сайтты көчүрбөңүз. Ошол эле сунуштар боюнча, мындай текшерүү DNS боюнча жөнөкөй, ал эми даректи бандоого болот;
• ири брендди албаңыз. Ири сайтты DNS боюнча текшерүү оңой — жооптор сиздин сервериңизге дал келбейт.

Тандалган доменди кантип текшерүү керек

Доменди секретке тигүүдөн мурун аны провайдер кандай текшерсе, ошондой текшериңиз:

1. Домен тармагыңыздан ачылат. Эгер оператордо ал жеткиликсиз болсо, ага туташуу кызык көрүнөт: curl -I https://домен/ жооп кайтарышы керек.
2. Кол алышуу сиздин дарекке өтөт. curl -v -I --resolve домен:443:IP https://домен/ буйругу суроону керектүү IP-дарекке мажбурлап багыттайт да, TLS кол алышуусун, ишеним чынжырын жана сертификаттын жарактуулук мөөнөтүн көрсөтөт.
3. Сертификат жарактуу. telemt FAQ'да мисал катары жарактуулук мөөнөтү 2026-жылдын 1-мартында бүткөн сертификат айтылган жана сайттын актуалдуулугун өзүнчө текшерүү керек экени белгиленген.
4. DNS сервердин дарегине дал келет. Идеалы — ат так сиздин VPS'ке көрсөтсө; эң жаманы — бөтөн ири сайт.

Текшерүүнү кайталап туруу керек: сайттар сертификаттарын жана даректерин өзгөртөт, ал эми бүгүн ишенимдүү көрүнгөн домен бир айдан кийин ачылбай калышы мүмкүн.

Мисал: доменди кадам-кадам даярдоо

BEST_PRACTICES mtg сунуштаган схема провайдер текшере турган баардыгы өз ара дал келишине келип такалат:

1. Өз доменңизди каттатып, аны A-жазуу менен VPS'тин IP-дарегине багыттаңыз. Эми бул ат үчүн DNS-жооп сиздин серверди көрсөтөт.
2. Проксинин алдына ишенимдүү сайт коюңуз: бир нече кадимки HTML-барак жана Let's Encrypt же башка тастыктоочу борбордун сертификаты.
3. Ушул домен үчүн секрет түзүңүз: mtg generate-secret --hex сиздин-домен.example.
4. Проксини 443-портто иштетиңиз. Кадимки келүүчүлөр менен текшерүүчүлөр сайтты көрөт, ал эми шилтемеси бар клиенттер — проксини.
5. Туташууну телефондон үйдөгү Wi‑Fi аркылуу эмес, мобилдик интернет аркылуу текшериңиз.

Бул бөтөн популярдуу доменди алуудан татаалыраак, бирок шектенүүнүн негизги себеби жоголот: SNI'деги ат, DNS-жооп жана баракчанын мазмуну дал келет.

Ишке ашыруулардагы маскировка жөндөөлөрү

Программалар эки милдетти ар кандай чечет: бөтөндөргө кандай жооп берүү жана кантип ишенимдүү көрүнүү.

• mtg. Бөтөн суроолор жабуучу сайтка багытталат (domain fronting). Кошумча «эгиз» режими бар — [defense.doppelganger] бөлүмү, ал чыныгы сайттын тайминг белгилерин кайталайт. README боюнча, эгиз үчүн даректерди сиз маскировка кылып жаткан доменден алган жакшы.
• telemt. [censorship] бөлүмүндө tls_domain, mask = true (таанылбаган туташууларды чыныгы веб-серверге өткөрүү) жана tls_emulation = true коюлат. Эгер клиент эски домен менен келсе, жүрүм-турумду unknown_sni_action параметри аныктайт.

Клиенттин изи

Ар кандай клиенттин ClientHello'сунда — браузердин же Telegram'дын — параметрлер жыйындысы бар: колдоого алынган шифрлердин тизмеси, кеңейтүүлөр жана алардын ирети. Алар чогуу «из» түзөт: ар кандай программаларда ал ар башка. Эгер Telegram жөнөткөн ClientHello браузердикинен байкаларлык айырмаланса, фильтр муну белги катары колдоно алат.

Ошондуктан, telemt FAQ боюнча, маскировканын туруктуулугу клиенттин версиясына көз каранды, ал эми иштеп чыгуучулар Telegram'ды жаңыртууну кеңеш кылат: жаңы версияларда из оңдолгон. Иш жүзүндө бул ошол эле шилтеме сизде иштеп, колдонмонун эски версиясы бар тааныштарда иштебей калышы мүмкүн дегенди билдирет.

Типтүү каталар

• Секрет ee жок киргизилген же кесилген. Клиент башка режимде туташат же туташпайт. Секретти толугу менен киргизишет.
• Домен серверге дал келбейт. Эң көп кездешкени — бөтөн даректе популярдуу бренд.
• Тармакта бөгөттөлгөн домен. Прокси иштегендей, бирок туташуу көп үзүлөт.
• Шилтемелерди кайра чыгарбай доменди алмаштыруу. Эски шилтемелер ката берет. telemt'те мындай клиенттер үчүн mask жана reject_handshake маанилери бар unknown_sni_action жөндөөсү бар.
• Стандарттуу эмес порт. 443-порт HTTPS үчүн табигыйраак көрүнөт.
• Эскирген клиент. telemt FAQ боюнча, Telegram'дын жаңы версияларында TLS-из оңдолгон, ошондуктан клиентти жаңыртып туруу керек.

Режим кайда иштебей калат

FakeTLS проксини көрүнбөс кылбайт. Telemt FAQ'ында ал иштебеген учурларды түз санап өтөт:

• максаттуу хост менен IP-байланыш жок;
• TCP, TLS, порт же SNI бөгөттөлгөн;
• жогорку энтропиялуу трафикти чыпкалоо күйгүзүлгөн;
• DPI FakeTLS'ти SNI, ALPN жана энтропия боюнча таанып жатат.

Өзүнчө: Telegram аккаунту «үйдөгү» маалымат борборуна байланган, ошондуктан прокси анын бир бөлүгүнө эмес, Telegram'дын бүт инфраструктурасына жетүүгө ээ болушу керек.

Ошондуктан FakeTLS «түбөлүк режим» эмес, коргоонун катмарларынын бири. Дарек боюнча бөгөттөөгө каршы ал алсыз, ал эми ак тизмелүү мобилдик интернетте прокси такыр жеткиликсиз.

FakeTLS эмнени жашырбайт

Маскировка туташуунун формасына тиешелүү, тармактагы катышууңузга эмес. Провайдер сиз белгилүү сервердин IP-дарегине туташып жатканыңызды жана канча маалымат өткөрүп жатканыңызды бари бир көрөт. Прокси өзү да ар кандай ортомчудай IP-дарегиңизди көрөт. Кат алышуунун мазмуну режимге карабай Telegram ачкычы менен корголгон — бирок ал да FakeTLS режимине көз каранды эмес. Ошондуктан проксини «көрүнбөс» деп атоо мүмкүн эмес: ал форма боюнча таанууга жөн гана оорураак.

Режим күйгөнүн кантип текшерүү керек

• Секретке карап көрүңүз: ал ee менен башталып, 32 белгиден байкаларлык узун болушу керек.
• Куйругун xxd -r -p буйругу менен чечип, бул керектүү домен экенине ишениңиз.
• mtg менен сервердеги mtg doctor /жол/config.toml буйругун аткарыңыз: ал конфигурацияны жана байланышты текшерет.
• telemt менен сервердеги жабуучу сайт менен TLS кол алышуусун текшериңиз: curl -v -I --resolve домен:443:IP https://домен/ сертификаттар чынжырын жана жарактуулук мөөнөтүн көрсөтөт.

ee менен прокси иштебей калса

Режим күйгөн, секрет туура, ал эми прокси туташпайбы? Себептерди жөнөкөйдөн татаалга карай карап чыгыңыз:

1. Секреттеги домен али да ачылаарын жана андагы сертификат жарактуу экенин текшериңиз.
2. Клиент жаңыртылганына ишениңиз: Telegram'дын жаңы версияларында TLS-из оңдолгон.
3. Проксини башка тармакта текшериңиз: ал жерде иштесе, дарек бөгөттөлгөн эмес, көйгөй конкреттүү тармакта.
4. Эч жерде иштебесе, сервердин дареги, кыязы, жабык: IP-даректи алмаштыруу же жаңы прокси гана жардам берет.
5. Өз серверинде журналды караңыз: mtg'де — mtg doctor, telemt'те — кызматтын абалы жана эски шилтемелер үчүн «Unknown TLS SNI» катасы.

FakeTLS жана башка режимдер

Telegram документациясында прокси ээлерине мүмкүнчүлүк болсо padding менен TLS emulation экөөнү тең күйгүзүүнү кеңеш кылышат: режимдер бири-бирин толуктайт.