FakeTLS: proksi qanday qilib sayt boʻlib koʻrinadi

FakeTLS — MTProto proksining shunday rejimiki, unda ulanish HTTPS saytiga oddiy kirishdek koʻrinadi. Uni secret dagi bitta tafsilot — ee prefiksi yoqadi. Quyida: bu prefiks ortida nima turibdi, qoʻl berish qanday oʻtadi, niqob domenini qanday tanlash kerak va qaysi xatolar rejimni koʻproq buzadi.

ee prefiksi nimani bildiradi

mtg hujjatlaridagi namuna — google.com uchun secret:

Dastlabki ikki belgi — rejim, keyingi 32 tasi — kalit, qolgani — baytlar koʻrinishidagi google.com soʻzi. Domenni bitta buyruq bilan oʻqish mumkin:

Qoʻl berish qanday oʻtadi

HTTPS saytiga oddiy ulanish ClientHello xabaridan boshlanadi, unda mijoz kerakli saytni SNI maydonida atab beradi. FakeTLS shu shaklni takrorlaydi, shuning uchun filtr uchun dastlabki paketlar saytga oddiy kirishdek koʻrinadi.

1. Mijoz secret dagi domen bilan ClientHello yuboradi. Unda proksi «oʻzining» mijozini tanib oladigan maʼlumotlar bor.
2. Proksi ularni tekshiradi va TLS-server javob bergandek javob beradi.
3. Keyin oʻrnatilgan ulanish boʻylab TLS ga oʻxshash yozuvlarga oʻralgan oddiy MTProto oqimi ketadi.
4. Proksi mijozi emas, tasodifiy tashrifchi, skaner yoki tekshiruvchi kelsa, proksi oʻzini ochmaydi: ulanishni haqiqiy saytga uzatadi va uning haqiqiy javobini qaytaradi.

Oxirgi band — faol tekshiruvdan himoya. mtg buni domain fronting deb ataydi: soʻrov rad etilsa, proksi niqob saytga ulanadi va trafikni uzatadi, shuning uchun tekshiruvchi haqiqiy saytning javobini koʻradi. Telemt ham xuddi shuni mask sozlamasi boʻyicha qiladi: tanilmagan ulanishlar haqiqiy veb-serverga yoʻnaltiriladi.

Filtr nimani koʻradi

TSPU uskunasi va DPI tizimlari uchun FakeTLS ulanishi quyidagicha:

• serveringiz IP-manziliga 443-portda ulanish;
• SNI da mashhur sayt nomi bilan ClientHello;
• TLS-server javobiga oʻxshash javob;
• undan keyin — har qanday HTTPS kabi shifrlangan yozuvlar oqimi.

Bunday ulanishni haqiqiyidan ajratish uchun filtr nozik nomuvofiqliklarni izlashi kerak: domen va IP-manzilning mos kelmasligi, ClientHello dagi odatiy boʻlmagan kengaytmalar, oqim statistikasi. «Mashhur sayt bilan HTTPS ga oʻxshagan hamma narsani» shunchaki yopib qoʻyish esa oddiy foydalanuvchilarga zarar yetkazmasdan mumkin emas.

Niqob domenini qanday tanlash kerak

Domen — rejimning zaif joyi. Provayder nomuvofiqlikni sezadimi-yoʻqmi, unga bogʻliq. Realizatsiya mualliflarining tavsiyalaridan shunday roʻyxat tuziladi:

• tarmogʻingizda bloklanmagan oddiy sayt. Domen operatorda ochilmasa, unga ulanish shubhali koʻrinadi, havola esa ishlamasligi mumkin (telemt tavsiyasi);
• server manzili bilan bogʻliq domen. mtg README si ogohlantiradi: provayderlar google.com Google ga tegishli boʻlmagan IP ga olib borayotganini sezishi mumkin. Maslahat — VPS turgan hosting domenini tanlash (masalan, DigitalOcean dagi server uchun digitalocean.com);
• eng yaxshisi — oʻz domeningiz. mtg BEST_PRACTICES da domen roʻyxatdan oʻtkazib, uni VPS ga yoʻnaltirish tavsiya etiladi: shunda DNS va SNI mos keladi, tekshiruv nomuvofiqlik topmaydi;
• oʻz tarmoqchangizdagi saytni nusxalamang. Xuddi shu tavsiyalarga koʻra, bunday tekshiruv DNS orqali oson, manzilni esa taqiqlash mumkin;
• yirik brendni olmang. Yirik saytni DNS orqali tekshirish oson — javoblar serveringizga mos kelmaydi.

Tanlangan domenni qanday tekshirish kerak

Domenni secret ga yozishdan oldin, uni provayder tekshirgandek tekshiring:

1. Domen tarmogʻingizdan ochiladi. Operatorda u ochilmasa, unga ulanish gʻalati koʻrinadi: curl -I https://domen/ javob qaytarishi kerak.
2. Qoʻl berish sizning manzilingizga oʻtadi. curl -v -I --resolve domen:443:IP https://domen/ buyrugʻi soʻrovni kerakli IP-manzilga majburan yoʻnaltiradi va TLS qoʻl berishni, ishonch zanjirini va sertifikat amal qilish muddatini koʻrsatadi.
3. Sertifikat haqiqiy. telemt FAQ sida amal qilish muddati 2026-yil 1-martda tugagan sertifikat misol qilib keltirilgan va saytning dolzarbligini alohida tekshirish kerakligi qayd etilgan.
4. DNS server manziliga mos keladi. Ideal holat — nom aynan VPS ingizga qaratilgan; eng yomoni — begona yirik sayt.

Tekshiruvni takrorlab turish kerak: saytlar sertifikat va manzillarni oʻzgartiradi, bugun ishonarli koʻringan domen bir oydan keyin ochilmay qolishi mumkin.

Misol: domenni bosqichma-bosqich tayyorlash

mtg BEST_PRACTICES da tavsiya etiladigan sxema provayder tekshirishi mumkin boʻlgan hamma narsa oʻzaro mos kelishiga olib keladi:

1. Oʻz domeningizni roʻyxatdan oʻtkazing va uni A-yozuv bilan VPS ning IP-manziliga yoʻnaltiring. Endi shu nom uchun DNS javobi serveringizni koʻrsatadi.
2. Proksi oldiga ishonarli saytni qoʻying: bir nechta oddiy HTML-sahifa va Let's Encrypt yoki boshqa sertifikatlovchi markazdan sertifikat.
3. Shu domen uchun secret yarating: mtg generate-secret --hex sizning-domen.example.
4. Proksini 443-portda ishga tushiring. Oddiy tashrifchilar va tekshiruvchilar saytni, havolali mijozlar esa proksini koʻradi.
5. Ulanishni uy Wi-Fi orqali emas, telefondan mobil internet orqali tekshiring.

Bu begona mashhur domenni olishdan murakkabroq, ammo shubhaning asosiy sababi yoʻqoladi: SNI dagi nom, DNS javobi va sahifa mazmuni mos keladi.

Realizatsiyalarda niqoblash sozlamalari

Dasturlar ikki vazifani turlicha hal qiladi: begonalarga qanday javob berish va ishonarli koʻrinish.

• mtg. Begona soʻrovlar niqob saytga yoʻnaltiriladi (domain fronting). Bundan tashqari «egizak» rejimi bor — [defense.doppelganger] boʻlimi, u haqiqiy saytning vaqt xususiyatlarini takrorlaydi. README ga koʻra, egizak uchun manzillarni siz niqoblanayotgan domendan olgan maʼqul.
• telemt. [censorship] boʻlimida tls_domain, mask = true (tanilmagan ulanishlarni haqiqiy veb-serverga uzatish) va tls_emulation = true belgilanadi. Mijoz eski domen bilan kelsa, xatti-harakatni unknown_sni_action parametri belgilaydi.

Mijoz izi

Har qanday mijozning — brauzer yoki Telegramning — ClientHello sida parametrlar toʻplami bor: qoʻllab-quvvatlanadigan shifrlar roʻyxati, kengaytmalar va ularning tartibi. Birgalikda ular «iz»ni hosil qiladi: turli dasturlarda u turlicha. Telegram yuboradigan ClientHello brauzernikidan sezilarli farq qilsa, filtr buni belgi sifatida ishlatishi mumkin.

Shuning uchun telemt FAQ siga koʻra, niqoblash chidamliligi mijoz versiyasiga bogʻliq, dasturchilar esa Telegramni yangilashni maslahat beradi: yangi versiyalarda iz tuzatilgan. Amalda bu bir xil havola sizda ishlashi, ilovaning eski versiyasi bor tanishingizda esa ishlamasligi mumkinligini bildiradi.

Odatiy xatolar

• Secret ee siz kiritilgan yoki kesilgan. Mijoz boshqa rejimda ulanadi yoki umuman ulanmaydi. Secret ni toʻliq kiriting.
• Domen serverga mos kelmaydi. Eng koʻp uchraydigan holat — begona manzildagi mashhur brend.
• Tarmoqda bloklangan domen. Proksi ishlayotgandek, lekin ulanish tez-tez uziladi.
• Havolalarni qayta chiqarmasdan domenni almashtirish. Eski havolalar xato beradi. telemt da bunday mijozlar uchun mask va reject_handshake qiymatli unknown_sni_action sozlamasi bor.
• Nostandart port. 443-port HTTPS uchun tabiiyroq koʻrinadi.
• Eskirgan mijoz. telemt FAQ siga koʻra, Telegramning yangi versiyalarida TLS izi tuzatilgan, shuning uchun mijozni yangilash kerak.

Rejim qayerda ishlamay qoladi

FakeTLS proksini koʻrinmas qilmaydi. Telemt oʻz FAQ sida u ishlamaydigan holatlarni toʻgʻridan-toʻgʻri sanab oʻtadi:

• maqsadli xost bilan IP-aloqa yoʻq;
• TCP, TLS, port yoki SNI bloklangan;
• yuqori entropiyali trafikni filtrlash yoqilgan;
• DPI FakeTLS ni SNI, ALPN va entropiya boʻyicha taniydi.

Alohida: Telegram akkaunti «uy» maʼlumotlar markaziga bogʻlangan, shuning uchun proksi Telegram infratuzilmasining bir qismiga emas, hammasiga kira olishi kerak.

Shu sababli FakeTLS — «abadiy rejim» emas, himoyaning bir qatlami. Manzil boʻyicha bloklashga qarshi u ojiz, oq roʻyxatli mobil internetda esa proksiga umuman yetib boʻlmaydi.

FakeTLS nimani yashirmaydi

Niqoblash ulanish shakliga tegadi, tarmoqdagi mavjudligingizga emas. Provayder baribir muayyan server IP-manziliga ulanayotganingizni va qancha maʼlumot uzatayotganingizni koʻradi. Proksining oʻzi har qanday vositachi kabi IP-manzilingizni koʻradi. Yozishma mazmuni rejimdan qatʼi nazar Telegram kaliti bilan himoyalangan — FakeTLS rejimiga ham bogʻliq emas. Shuning uchun proksini «koʻrinmas» deb boʻlmaydi: uni shakl boʻyicha aniqlash shunchaki qiyinroq.

Rejim yoqilganini qanday tekshirish kerak

• Secret ga qarang: u ee bilan boshlanishi va 32 belgidan sezilarli uzunroq boʻlishi kerak.
• Dumini xxd -r -p buyrugʻi bilan ochib, kerakli domen ekaniga ishonch hosil qiling.
• mtg oʻrnatilgan serverda mtg doctor /path/to/config.toml ni bajaring: buyruq konfiguratsiya va ulanishni tekshiradi.
• telemt oʻrnatilgan serverda niqob sayt bilan TLS qoʻl berishni tekshiring: curl -v -I --resolve domen:443:IP https://domen/ sertifikatlar zanjirini va amal qilish muddatini koʻrsatadi.

ee li proksi ishlamay qolsa

Rejim yoqilgan, secret toʻgʻri, proksi esa ulanmayaptimi? Sabablarni oddiydan murakkabga qarab saralang:

1. Secret dagi domen hamon ochilishini va undagi sertifikat haqiqiy ekanini tekshiring.
2. Mijoz yangilanganiga ishonch hosil qiling: Telegramning yangi versiyalarida TLS izi tuzatilgan.
3. Proksini boshqa tarmoqda tekshiring: u yerda ishlasa, manzil bloklanmagan, muammo muayyan tarmoqda.
4. Hech qayerda ishlamasa, server manzili, ehtimol, yopilgan: faqat IP-manzilni almashtirish yoki yangi proksi yordam beradi.
5. Oʻz serveringizda jurnalga qarang: mtg da — mtg doctor, telemt da — xizmat holati va eski havolalar uchun «Unknown TLS SNI» xatosi.

FakeTLS va boshqa rejimlar

Telegram hujjatlarida proksi egalariga imkon boʻlsa, padding ni ham, TLS emulation ni ham yoqish maslahat beriladi: rejimlar bir-birini toʻldiradi.