FakeTLS: proksi saýt bolup nähili görünýär

FakeTLS — MTProto proksisiniň birikmesi HTTPS saýtyna adaty girmek ýaly görünýän režimi. Ony secret-däki bir jikme-jiklik açýar — ee prefiksi. Aşakda: bu prefiksiň yzynda näme bar, salamlaşma nähili geçýär, maskirleme domenini nädip saýlamaly we haýsy ýalňyşlyklar režimi köplenç bozýar.

ee prefiksi näme aňladýar

mtg resminamasyndan mysal — google.com üçin secret:

Ilkinji iki simwol — režim, indiki 32 — açar, galany — baýtlar görnüşindäki google.com sözi. Domeni bir buýruk bilen okap bolýar:

Salamlaşma nähili geçýär

HTTPS saýty bilen adaty birikme ClientHello habary bilen başlaýar, onda kliýent gerekli saýty SNI meýdanynda görkezýär. FakeTLS şu görnüşi gaýtalaýar, şonuň üçin süzgüje ilkinji paketler saýta adaty giriş ýaly görünýär.

1. Kliýent secret-däki domen bilen ClientHello iberýär. Onda proksiniň «öz» kliýentini tanaýan maglumatlary bar.
2. Proksi olary barlaýar we TLS serweri nähili jogap berse, şeýle jogap berýär.
3. Soňra gurlan birikme boýunça TLS-e meňzeş ýazgylara gaplanan adaty MTProto akymy gidýär.
4. Eger gelen proksiniň kliýenti däl-de, tötänleýin gelen adam, skaner ýa-da barlaýjy bolsa, proksi özüni aýan etmeýär: birikmäni hakyky saýta geçirýär we onuň hakyky jogabyny gaýtarýar.

Soňky bent — işjeň barlagdan goranyş. mtg muny domain fronting diýip atlandyrýar: soragdan ret edilse, proksi gizleýji saýta birigýär we traffigi gaýtadan iberýär, şonuň üçin barlaýjy hakyky saýtyň jogabyny görýär. Telemt şuny mask sazlamasy boýunça edýär: tanalmadyk birikmeler hakyky web-serwere gidýär.

Süzgüç näme görýär

TSPU enjamy we DPI ulgamlary üçin FakeTLS birikmesi şu zatlardan ybarat:

• serweriňiziň IP salgysyna 443 portda birikme;
• SNI-de meşhur saýtyň ady bilen ClientHello;
• TLS serweriniň jogabyna meňzeş jogap;
• soňra — islendik HTTPS ýaly şifrlenen ýazgylaryň akymy.

Şeýle birikmäni hakykysyndan tapawutlandyrmak üçin süzgüç inçe tapawutlary gözlemeli: domen bilen IP salgynyň gabat gelmezligi, ClientHello-daky adaty bolmadyk giňeltmeler, akymyň statistikasy. «HTTPS-e meňzeş we meşhur saýtly ähli zady» ýöne ýapmak bolsa adaty ulanyjylara zyýan bermän mümkin däl.

Maskirleme domenini nädip saýlamaly

Domen — režimiň ejiz ýeri. Provaýderiň gabat gelmezligi görüp-görmejegi şoňa bagly. Durmuşa geçirijileriň awtorlarynyň maslahatlaryndan şeýle sanaw gelip çykýar:

• toruňyzda petiklenmedik adaty saýt. Domen operatoryňyzda elýeterli bolmasa, oňa birikme şübheli görünýär, salgy bolsa işlemän biler (telemt maslahaty);
• serweriň salgysy bilen baglanyşykly domen. mtg README duýdurýar: provaýderler google.com-yň Google-a degişli däl IP-e alyp barýandygyny görüp biler. Maslahat — VPS durýan hostingiň domenini saýlamak (meselem, DigitalOcean-daky serwer üçin digitalocean.com);
• iň gowusy — öz domeniňiz. mtg BEST_PRACTICES domen hasaba alyp, ony VPS-e gönükdirmegi maslahat berýär: şonda DNS we SNI gabat gelýär, barlag bolsa tapawut tapmaýar;
• öz subtorudaky saýty göçürmeli däl. Şol bir maslahatlara görä, DNS boýunça şeýle barlag ýönekeý, salgyny bolsa petiklemek mümkin;
• uly brendi almaly däl. Uly saýty DNS boýunça barlamak aňsat — jogaplar siziň serweriňiz bilen gabat gelmez.

Saýlanan domeni nädip barlamaly

Domeni secret-e ýazmazdan öň, ony provaýderiň edişi ýaly barlaň:

1. Domen toruňyzdan açylýar. Operatoryňyzda ol elýeterli bolmasa, oňa birikme geň görünýär: curl -I https://domen.example/ jogap gaýtarmaly.
2. Salamlaşma siziň salgyňyza geçýär. curl -v -I --resolve domen.example:443:IP https://domen.example/ buýrugy soragy mejbury taýdan gerekli IP salgyna gönükdirýär we TLS salamlaşmasyny, ynam zynjyryny we sertifikatyň möhletini görkezýär.
3. Sertifikat dogry. telemt FAQ-da mysal hökmünde möhleti 2026-njy ýylyň 1-nji martynda gutaran sertifikat agzalýar we saýtyň aktuallygyny aýratyn barlamaly diýlip bellenýär.
4. DNS serweriň salgysyna gabat gelýär. Ady hut siziň VPS-iňize görkezýän bolsa ideal; iň erbet görnüş — ýat uly saýt.

Barlagy gaýtalamaly: saýtlar sertifikatlaryny we salgylaryny çalşýar, şu gün ynandyryjy görünýän domen bir aýdan açylmaz bolup biler.

Mysal: domeni ädimme-ädim taýýarlamak

mtg BEST_PRACTICES-da maslahat berilýän shema provaýderiň barlap biljek ähli zadynyň özara gabat gelmegine syrykýar:

1. Öz domeniňizi hasaba alyň we ony A-ýazgy bilen VPS-iň IP salgysyna gönükdiriň. Indi şu ad üçin DNS jogaby siziň serweriňizi görkezýär.
2. Proksiniň öňünde ynandyryjy saýt goýuň: birnäçe adaty HTML sahypa we Let's Encrypt ýa-da başga tassyklaýjy merkezden sertifikat.
3. Şu domen üçin secret dörediň: mtg generate-secret --hex siziň-domen.example.
4. Proksini 443 portda işlediň. Adaty gelýänler we barlaýjylar saýty, salgyly kliýentler bolsa proksini görer.
5. Birikmäni öý Wi‑Fi arkaly däl-de, telefondan mobil internet arkaly barlaň.

Bu, başga birinden meşhur domen almakdan çylşyrymly, ýöne esasy şübhe sebäbi ýok bolýar: SNI-däki ad, DNS jogaby we sahypanyň mazmuny gabat gelýär.

Durmuşa geçirmelerde maskirleme sazlamalary

Programmalar iki meseläni dürli çözýär: ýatlara nähili jogap bermeli we nähili ynandyryjy görünmeli.

• mtg. Ýat soraglar gizleýji saýta gönükdirilýär (domain fronting). Mundan başga «ekiz» režimi bar — [defense.doppelganger] bölümi, ol hakyky saýtyň wagt aralyklaryny gaýtalaýar. README-e görä, ekiz üçin salgylary özüňiziň maskirlenýän domeniňizden almaly.
• telemt. [censorship] bölüminde tls_domain, mask = true (tanalmadyk birikmeleri hakyky web-serwere geçirmek) we tls_emulation = true berilýär. Kliýent könelen domen bilen gelse, özüni alyp barşy unknown_sni_action parametri kesgitleýär.

Kliýentiň «yzy»

Islendik kliýentiň — brauzeriň ýa-da Telegram-yň — ClientHello-sy parametrler toplumyny öz içine alýar: goldanylýan şifrleriň sanawy, giňeltmeler we olaryň tertibi. Olar bilelikde «yz» emele getirýär: dürli programmalarda ol dürli. Telegram iberýän ClientHello brauzerinkiden ep-esli tapawutlansa, süzgüç muny alamat hökmünde ulanyp biler.

Şonuň üçin telemt FAQ-na görä, maskirlemäniň durnuklylygy kliýentiň wersiýasyna bagly, ösdürijiler bolsa Telegram-y täzelemegi maslahat berýär: täze wersiýalarda «yz» düzedilen. Amalda bu şol bir salgynyň sizde işläp, programmanyň könelen wersiýasy bolan tanyşyňyzda işlemezligi mümkin diýmekdir.

Adaty ýalňyşlyklar

• Secret ee-siz girizilen ýa-da kesilen. Kliýent başga režimde birigýär ýa-da birigenok. Secret-i tutuş girizýärler.
• Domen serwere gabat gelenok. Iň köp duşýan ýagdaý — ýat salgyda meşhur brend.
• Toruňyzda petiklenen domen. Proksi işleýän ýaly, ýöne birikme köplenç üzülýär.
• Salgylary täzeden çykarmazdan domeni çalşmak. Köne salgylar ýalňyşlyk berýär. telemt-de şeýle kliýentler üçin mask we reject_handshake bahalary bolan unknown_sni_action sazlamasy bar.
• Adaty däl port. 443 porty HTTPS üçin tebigyrak görünýär.
• Könelen kliýent. telemt FAQ-na görä, Telegram-yň täze wersiýalarynda TLS «yzy» düzedilen, şonuň üçin kliýenti täzelemeli.

Režim nirede işlemesini bes edýär

FakeTLS proksini görünmez etmeýär. Telemt öz FAQ-nda onuň işlemeýän ýagdaýlaryny göni sanaýar:

• niýet edilýän host bilen IP aragatnaşygy ýok;
• TCP, TLS, port ýa-da SNI petiklenen;
• ýokary entropiýaly traffigiň süzgüçlenmesi açyk;
• DPI FakeTLS-i SNI, ALPN we entropiýa boýunça tanaýar.

Aýratyn: Telegram hasaby «öý» maglumat merkezine bagly, şonuň üçin proksi Telegram infrastrukturasynyň bir bölegine däl-de, tutuşlygyna elýeterli bolmaly.

Şonuň üçin FakeTLS «hemişelik režim» däl, goranyşyň gatlaklarynyň biri. Salgy boýunça petikleme garşy ol güýçsiz, ak sanawly mobil internetde bolsa proksi hiç elýeterli däl.

FakeTLS näme gizlemeýär

Maskirleme birikmäniň görnüşine degişli, siziň torda bardygyňyza däl. Provaýder siziň anyk serweriň IP salgysyna birigýändigiňizi we näçe maglumat geçirýändigiňizi henizem görýär. Proksiniň özi islendik araçy ýaly siziň IP salgyňyzy görýär. Ýazyşmanyň mazmuny režimden bagly bolmazdan Telegram açary bilen goralýar — FakeTLS režimine hem bagly däl. Şonuň üçin proksini «görünmez» diýip bolmaýar: ol diňe görnüşi boýunça tanamak üçin kynrak.

Režimiň açykdygyny nädip barlamaly

• Secret-e serediň: ol ee bilen başlamaly we 32 simwoldan ep-esli uzyn bolmaly.
• Guýruk bölegini xxd -r -p buýrugy bilen çözüň we gerekli domen bolandygyna göz ýetiriň.
• mtg bar serwerde mtg doctor /path/to/config.toml işlediň: buýruk konfigurasiýany we baglanyşygy barlaýar.
• telemt bar serwerde gizleýji saýt bilen TLS salamlaşmasyny barlaň: curl -v -I --resolve domen.example:443:IP https://domen.example/ sertifikatlar zynjyryny we möhletini görkezer.

ee bilen proksi işlemesini bes etse

Režim açyk, secret dogry, proksi bolsa birigenok? Sebäpleri ýönekeýden çylşyrymlyga çenli barlaň:

1. Secret-däki domeniň öňküligi ýaly açylýandygyny we onuň sertifikatynyň dogrudygyny barlaň.
2. Kliýentiň täzelenendigine göz ýetiriň: Telegram-yň täze wersiýalarynda TLS «yzy» düzedilen.
3. Proksini başga torda barlaň: şol ýerde işleýän bolsa, salgy petiklenmedik, mesele anyk tordadyr.
4. Hiç ýerde işlemese, serweriň salgysy, ähtimal, ýapylan: diňe IP salgyny ýa-da täze proksini çalşmak kömek eder.
5. Öz serweriňizde žurnala serediň: mtg-de — mtg doctor, telemt-de — hyzmatyň ýagdaýy we köne salgylar üçin «Unknown TLS SNI» ýalňyşlygy.

FakeTLS we beýleki režimler

Proksi eýeleri üçin Telegram resminamasynda mümkin bolsa padding-i hem, TLS emulation-y hem açmak maslahat berilýär: režimler biri-birini doldurýar.