FakeTLS: прокси чӣ тавр худро ба сомона монанд мекунад

FakeTLS — режими MTProto-прокси, ки дар он пайвастшавӣ мисли ташрифи оддӣ ба сомонаи HTTPS менамояд. Онро як ҷузъиёт дар махфӣ — пешванди ee фаъол мекунад. Дар поён: дар паси ин пешванд чӣ ҳаст, даст додани аввал чӣ тавр мегузарад, домейни ниқобро чӣ тавр интихоб кардан лозим ва кадом хатоҳо режимро бештар вайрон мекунанд.

Пешванди ee чӣ маъно дорад

Мисол аз ҳуҷҷатҳои mtg — махфӣ барои google.com:

Ду аломати аввал — режим, 32 аломати баъдӣ — калид, боқимонда — калимаи google.com бо байтҳо. Домейнро бо як фармон хондан мумкин аст:

Даст додани аввал чӣ тавр мегузарад

Пайвастшавии оддӣ ба сомонаи HTTPS бо паёми ClientHello оғоз мешавад, ки дар он муштарӣ сомонаи лозимаро дар майдони SNI ном мебарад. FakeTLS ҳамин шаклро такрор мекунад, бинобар ин барои филтр бастаҳои аввал мисли ворид шудани оддӣ ба сомона менамоянд.

1. Муштарӣ ClientHello-ро бо домейни аз махфӣ мефиристад. Дар он маълумоте ҳаст, ки прокси аз рӯи он муштарии «худӣ»-ро мешиносад.
2. Прокси онҳоро месанҷад ва ҷавоб медиҳад, чунон ки сервери TLS медод.
3. Минбаъд тавассути пайвасти барқароршуда ҷараёни оддии MTProto меравад, ки дар сабтҳои ба TLS монанд бастабандӣ шудааст.
4. Агар на муштарии прокси, балки меҳмони тасодуфӣ, сканер ё санҷишгар омада бошад, прокси худро фош намекунад: пайвастшавиро ба сомонаи воқеӣ мегузаронад ва ҷавоби воқеии онро бармегардонад.

Банди охирин — ҳимоя аз санҷиши фаъол. mtg инро domain fronting меномад: агар дархост рад шавад, прокси ба сомонаи пӯшиш пайваст мешавад ва трафикро ба он мегузаронад, бинобар ин санҷишгар ҷавоби сомонаи воқеиро мебинад. Telemt ҳамин корро аз рӯи танзимоти mask мекунад: пайвастшавиҳои ношинос ба вебсервери воқеӣ мераванд.

Филтр чиро мебинад

Барои таҷҳизоти ТСПУ ва низомҳои DPI пайвастшавии FakeTLS чунин аст:

• пайвастшавӣ ба суроғаи IP-и сервери шумо дар порти 443;
• ClientHello бо номи сомонаи машҳур дар SNI;
• ҷавобе, ки ба ҷавоби сервери TLS монанд аст;
• баъд — ҷараёни сабтҳои рамзгузоришуда, мисли ҳар HTTPS.

Барои фарқ кардани чунин пайвастшавӣ аз воқеӣ, филтр бояд тафовутҳои нозукро ҷустуҷӯ кунад: номувофиқии домейн ва суроғаи IP, васеъшавиҳои ғайримуқаррарӣ дар ClientHello, омори ҷараён. Аммо танҳо масдуд кардани «ҳар чизе, ки ба HTTPS бо сомонаи машҳур монанд аст», бидуни зарар ба корбарони оддӣ имконнопазир аст.

Домейни ниқобро чӣ тавр интихоб кардан лозим

Домейн — ҷойи заифи режим аст. Аз он вобаста аст, ки провайдер номувофиқиро мебинад ё не. Аз тавсияҳои муаллифони татбиқҳо чунин рӯйхат ҷамъ мешавад:

• сомонаи оддие, ки дар шабакаи шумо масдуд нест. Агар домейн дар назди оператор дастнорас бошад, пайвастшавӣ ба он шубҳанок менамояд ва истинод шояд кор накунад (тавсияи telemt);
• домейне, ки ба суроғаи сервер алоқаманд аст. README-и mtg огоҳ мекунад: провайдерҳо метавонанд пай баранд, ки google.com ба IP-е мебарад, ки ба Google тааллуқ надорад. Маслиҳат — домейни хостингеро интихоб кунед, ки VPS-и шумо дар он аст (масалан, digitalocean.com барои сервер дар DigitalOcean);
• беҳтарин — домейни худӣ. Дар BEST_PRACTICES-и mtg тавсия шудааст, ки домейн сабт карда, ба VPS равона кунед: он гоҳ DNS ва SNI мувофиқ меоянд ва санҷиш ягон номувофиқӣ намеёбад;
• сомонаро аз зершабакаи худ нусха накунед. Тибқи ҳамин тавсияҳо, чунин санҷиш тавассути DNS осон аст ва суроғаро манъ кардан мумкин аст;
• бренди калонро нагиред. Сомонаи калонро тавассути DNS осон санҷидан мумкин аст — ҷавобҳо бо сервери шумо мувофиқ намеоянд.

Домейни интихобшударо чӣ тавр санҷидан лозим

Пеш аз он ки домейнро ба махфӣ дарҷ кунед, онро ҳамон тавр санҷед, ки провайдер мекунад:

1. Домейн аз шабакаи шумо кушода мешавад. Агар дар назди оператор дастнорас бошад, пайвастшавӣ ба он аҷиб менамояд: curl -I https://домен/ бояд ҷавоб диҳад.
2. Даст додани аввал ба суроғаи шумо мегузарад. Фармони curl -v -I --resolve домен:443:IP https://домен/ дархостро маҷбурӣ ба IP-и лозима равона мекунад ва даст додани аввали TLS, занҷири боварӣ ва мӯҳлати эътибори шаҳодатномаро нишон медиҳад.
3. Шаҳодатнома эътибор дорад. Дар FAQ-и telemt ҳамчун мисол шаҳодатномае ёдовар шудааст, ки мӯҳлати эътибораш 1 марти соли 2026 тамом шуд, ва қайд шудааст, ки аҳамияти сомонаро алоҳида санҷидан лозим аст.
4. DNS бо суроғаи сервер мувофиқ аст. Беҳтарин вақте аст, ки ном дақиқан ба VPS-и шумо ишора кунад; варианти бадтарин — сомонаи калони бегона.

Санҷишро такрор кардан даркор аст: сомонаҳо шаҳодатнома ва суроғаҳоро иваз мекунанд, ва домейне, ки имрӯз эътимоднок менамояд, пас аз як моҳ шояд кушода нашавад.

Мисол: омода кардани домейн қадам ба қадам

Нақшае, ки дар BEST_PRACTICES-и mtg тавсия шудааст, ба он меорад, ки ҳар чизе, ки провайдер санҷида метавонад, бо ҳам мувофиқ бошад:

1. Домейни худро сабт кунед ва бо сабти A ба суроғаи IP-и VPS равона кунед. Акнун ҷавоби DNS барои ин ном ба сервери шумо ишора мекунад.
2. Пеш аз прокси сомонаи эътимодноке гузоред: чанд саҳифаи оддии HTML ва шаҳодатнома аз Let's Encrypt ё маркази тасдиқи дигар.
3. Махфиро барои ин домейн эҷод кунед: mtg generate-secret --hex домени-шумо.example.
4. Проксиро дар порти 443 оғоз кунед. Меҳмонони оддӣ ва санҷишгарон сомонаро мебинанд, муштариёни дорои истинод — проксиро.
5. Пайвастшавиро аз телефон бо интернети мобилӣ санҷед, на бо Wi‑Fi-и хонагӣ.

Ин мураккабтар аз гирифтани домейни машҳури бегона аст, вале сабаби асосии шубҳа аз байн меравад: ном дар SNI, ҷавоби DNS ва мундариҷаи саҳифа мувофиқ меоянд.

Танзимоти ниқоб дар татбиқҳо

Барномаҳо ду масъаларо гуногун ҳал мекунанд: ба бегонагон чӣ тавр ҷавоб додан ва чӣ тавр эътимоднок намудан.

• mtg. Дархостҳои бегона ба сомонаи пӯшиш равона карда мешаванд (domain fronting). Илова бар ин, реҷаи «ҳамзод» ҳаст — қисмати [defense.doppelganger], ки таймингҳои сомонаи воқеиро такрор мекунад. Тибқи README, суроғаҳо барои ҳамзод бояд аз ҳамон домейне гирифта шаванд, ки зери он ниқоб мепӯшед.
• telemt. Дар қисмати [censorship] tls_domain, mask = true (пайвастшавиҳои ношинос ба вебсервери воқеӣ равона карда шаванд) ва tls_emulation = true муқаррар карда мешаванд. Агар муштарӣ бо домейни кӯҳна биёяд, рафторро параметри unknown_sni_action муайян мекунад.

Изи ангушти муштарӣ

ClientHello-и ҳар муштарӣ — браузер ё Telegram — маҷмӯи параметрҳоро дорад: рӯйхати шифрҳои дастгирӣшаванда, васеъшавиҳо ва тартиби онҳо. Дар маҷмӯъ онҳо «изи ангушт»-ро ташкил медиҳанд: барои барномаҳои гуногун он гуногун аст. Агар ClientHello-и Telegram аз браузер ба таври намоён фарқ кунад, филтр метавонад инро ҳамчун нишона истифода барад.

Бинобар ин, тибқи FAQ-и telemt, устувории ниқоб аз версияи муштарӣ вобаста аст, ва таҳиягарон Telegram-ро навсозӣ карданро маслиҳат медиҳанд: дар версияҳои нав изи ангушт ислоҳ шудааст. Дар амал ин маънои онро дорад, ки як истиноди ягона назди шумо кор мекунад ва назди ошное, ки версияи кӯҳнаи барнома дорад, не.

Хатоҳои маъмулӣ

• Махфӣ бе ee ворид шудааст ё бурида шудааст. Муштарӣ дар режими дигар пайваст мешавад ё пайваст намешавад. Махфиро пурра ворид кунед.
• Домейн ба сервер мувофиқ нест. Ҳолати маъмултарин — бренди машҳур дар суроғаи бегона.
• Домейни дар шабака масдудшуда. Прокси гӯё кор мекунад, вале пайвастшавӣ аксар вақт қатъ мешавад.
• Иваз кардани домейн бе аз нав додани истинодҳо. Истинодҳои кӯҳна хатогӣ медиҳанд. Дар telemt барои чунин муштариён танзимоти unknown_sni_action бо қиматҳои mask ва reject_handshake ҳаст.
• Порти ғайристандартӣ. Порти 443 барои HTTPS табииътар менамояд.
• Муштарии кӯҳна. Тибқи FAQ-и telemt, дар версияҳои нави Telegram изи ангушти TLS ислоҳ шудааст, бинобар ин муштариро навсозӣ кардан лозим аст.

Режим кай кор намекунад

FakeTLS проксиро ноаён намекунад. Telemt дар FAQ-и худ ошкоро ҳолатҳоеро номбар мекунад, ки он кор намекунад:

• бо хости мақсаднок алоқаи IP нест;
• TCP, TLS, порт ё SNI масдуд шудаанд;
• филтркунии трафики баландэнтропия фаъол аст;
• DPI FakeTLS-ро аз рӯи SNI, ALPN ва энтропия мешиносад.

Алоҳида: аккаунти Telegram ба маркази додаҳои «хонагӣ» вобаста аст, бинобар ин прокси бояд ба тамоми инфрасохтори Telegram дастрасӣ дошта бошад, на ба як қисми он.

Бинобар ин FakeTLS «режими абадӣ» нест, балки яке аз қабатҳои ҳимоя аст. Дар муқобили масдуд шудан аз рӯи суроға он бетавон аст, ва дар интернети мобилӣ бо рӯйхатҳои сафед прокси умуман дастнорас аст.

FakeTLS чиро пинҳон намекунад

Ниқоб ба шакли пайвастшавӣ дахл дорад, на ба ҳузури шумо дар шабака. Провайдер ҳамоно мебинад, ки шумо ба суроғаи IP-и сервери муайян пайваст мешавед ва чӣ қадар маълумот мегузаронед. Худи прокси суроғаи IP-и шуморо мебинад, мисли ҳар миёнарав. Мундариҷаи мукотиба бо калиди Telegram ҳифз шудааст, новобаста аз режим — вале аз режими FakeTLS низ вобаста нест. Бинобар ин проксиро «ноаён» номидан мумкин нест: он танҳо аз рӯи шакл душвортар шинохта мешавад.

Чӣ тавр санҷидан лозим, ки режим фаъол аст

• Ба махфӣ нигаред: он бояд бо ee оғоз шавад ва аз 32 аломат ба таври намоён дарозтар бошад.
• Думи онро бо фармони xxd -r -p кушоед ва боварӣ ҳосил кунед, ки ин домейни лозима аст.
• Дар сервер бо mtg фармони mtg doctor /роҳ/ба/config.toml-ро иҷро кунед: фармон танзимот ва пайвастшавиро месанҷад.
• Дар сервер бо telemt даст додани аввали TLS-ро бо сомонаи пӯшиш санҷед: curl -v -I --resolve домен:443:IP https://домен/ занҷири шаҳодатномаҳо ва мӯҳлати эътиборро нишон медиҳад.

Агар прокси бо ee кор карданро бас кард

Режим фаъол аст, махфӣ дуруст аст, аммо прокси пайваст намешавад? Сабабҳоро аз содда ба мураккаб санҷед:

1. Санҷед, ки домейни аз махфӣ ҳамоно кушода мешавад ва шаҳодатномаи он эътибор дорад.
2. Боварӣ ҳосил кунед, ки муштарӣ навсозӣ шудааст: дар версияҳои нави Telegram изи ангушти TLS ислоҳ шудааст.
3. Проксиро дар шабакаи дигар санҷед: агар дар он ҷо кор кунад, суроға масдуд нест ва мушкилот дар шабакаи мушаххас аст.
4. Агар дар ҳеҷ ҷо кор накунад, эҳтимол суроғаи сервер баста шудааст: танҳо иваз кардани суроғаи IP ё прокси-и нав кӯмак мекунад.
5. Дар сервери худ журналро бинед: дар mtg — mtg doctor, дар telemt — ҳолати хидмат ва хатогии «Unknown TLS SNI» барои истинодҳои кӯҳна.

FakeTLS ва режимҳои дигар

Дар ҳуҷҷатҳои Telegram барои соҳибони прокси тавсия медиҳанд, ки ҳам padding ва ҳам TLS emulation-ро то ҳадди имкон фаъол кунанд: режимҳо ҳамдигарро пурра мекунанд.