В этой статье подробно разберем, как работает технология MTProto FakeTLS, почему она так эффективна для Telegram, и пошагово настроим собственный неуязвимый прокси-сервер.
Что такое MTProto?
MTProto - это специализированный криптографический протокол, разработанный командой Telegram для безопасной передачи данных. Благодаря ему все ваши переписки надежно зашифрованы (как в прочном сейфе), и никто не может прочитать их содержимое. Однако обычный MTProto-прокси легко обнаруживается провайдерами: они не могут прочитать трафик, но видят его специфическую структуру и просто блокируют соединение.
Что такое FakeTLS?
Чтобы обмануть DPI, была придумана надстройка FakeTLS. Её задача - маскировка. FakeTLS берет зашифрованный трафик Telegram и оборачивает его так, чтобы внешне он выглядел как абсолютно стандартное, безопасное HTTPS-соединение с популярным сайтом (например, с серверами Google, Microsoft или Apple).
Представьте, что вы отправляете секретный документ (ваше сообщение). Обычный прокси - это прозрачный конверт: почтальон (провайдер) не может прочесть текст, но видит, что письмо адресовано в Telegram, и выбрасывает его. С FakeTLS вы кладете документ в стандартную коробку из-под популярного интернет-магазина. Почтальон видит обычную посылку, ничего не подозревает и свободно пропускает её.
Ограничения: почему не работают звонки?
Важно понимать, что MTProto идеально подходит для передачи текста, фото, видео и кружочков (используется надежный протокол TCP). Однако голосовые и видеозвонки в Telegram требуют максимальной скорости без задержек, поэтому для них используется протокол UDP. MTProto-прокси не умеет маршрутизировать UDP-трафик. При попытке позвонить приложение попытается установить прямое соединение в обход прокси, и провайдер его заблокирует. (Для звонков лучше использовать полноценные VPN-решения, такие как Outline или WireGuard).
Пошаговая настройка сервера VPS/VDS
Для настройки нам понадобится виртуальный сервер (VPS/VDS) с установленной ОС Linux (рекомендуется Ubuntu) и доступом по SSH. Мы будем использовать современный и легковесный сервер mtg версии 2, работающий через Docker.
1. Подготовка сервера и установка Docker Подключитесь к вашему серверу по SSH. Для маскировки под HTTPS-трафик нам обязательно нужен свободный порт 443. Проверим, не занят ли он:
ss -tulnp | grep :443
Если вывод пустой - порт свободен.
Установим Docker одной командой (если он еще не установлен):
curl -fsSL https://get.docker.com -o get-docker.sh && sudo sh get-docker.sh
2. Генерация криптографического ключа (FakeTLS)
Нам нужно создать специальный секрет, который заставит наш прокси притворяться сервером Google (dl.google.com). Выполните команду:
docker run --rm nineseconds/mtg:2 generate-secret --hex dl.google.com
В терминале появится длинная строка, начинающаяся с букв ee (например: ee123456789...dl.google.com). Скопируйте и сохраните её! Это ваш секретный ключ.
3. Создание файла конфигурации
Современная версия mtg требует отдельного файла настроек. Создадим его. Скопируйте приведенный ниже блок целиком, заменив ВАШ_СЕКРЕТ_ИЗ_ШАГА_2 на скопированный ранее длинный ключ (кавычки вокруг ключа нужно оставить!):
Нажмите Enter. Файл config.toml успешно создан в вашей текущей директории.
4. Запуск прокси-сервера
Теперь запустим сам сервер в фоновом режиме. Команда пробросит нужные порты и применит наш файл настроек:
docker run -d --name mtproto-proxy \
-p 443:3128 \
-v $(pwd)/config.toml:/config.toml \
--restart unless-stopped \
nineseconds/mtg:2 run /config.toml
Чтобы убедиться, что всё запустилось без ошибок, проверьте логи:
docker logs mtproto-proxy
Если вы не видите сообщений об ошибках, значит сервер успешно работает!
5. Настройка Firewall (UFW) Обязательно нужно разрешить входящий трафик на наш порт маскировки. Внимание: Если вы используете UFW, сначала обязательно разрешите порт SSH (22), чтобы не потерять доступ к серверу!
Многие владельцы Nintendo Switch столкнулись с неприятной проблемой: eShop перестал открываться даже при смене региона аккаунта, выдавая глухую ошибку подключения. Причина кроется не только в прошлых ограничениях самой Nintendo, но и в недавних массовых блокировках инфраструктуры Cloudflare со стороны Роскомнадзора. Пытаясь заблокировать технологию шифрования ECH (Encrypted Client Hello) и другие сервисы, под блокировку попали целые подсети IP-адресов, на которых работают серверы цифрового магазина Nintendo.
Nintendo Switch не поддерживает установку VPN‑клиентов. На консоль нельзя поставить приложение, которое бы шифровало трафик или меняло IP‑адрес. Поэтому единственный рабочий способ - дать консоли доступ к интернету, который уже проходит через VPN. И здесь появляется Android‑смартфон: он умеет подключаться к VPN, а с помощью приложения Every Proxy может "раздавать" этот VPN‑трафик другим устройствам в локальной сети.
Почему чужие прокси небезопасны, а локальный прокси через телефон - безопасен.
Публичный прокси - это как попросить незнакомца из подворотни(гетто) отправить вашу почту. Локальный прокси - это как передать письмо самому себе в соседнюю комнату.
Когда люди слышат слово "прокси", они часто представляют себе сомнительные публичные сервера, где непонятно кто сидит по ту сторону. И это справедливо: чужие прокси действительно могут быть опасны! Но локальный прокси, который работает на вашем собственном телефоне, - это совершенно другая история.
Почему публичные или "чужие" прокси небезопасны. Когда вы подключаетесь к прокси, который принадлежит неизвестному человеку или компании, вы фактически отдаёте им весь свой интернет‑трафик. Это значит, что владелец прокси может: • перехватывать незашифрованные данные (логины, пароли, токены, куки); • подменять ответы сайтов (фишинг, реклама, вредоносные скрипты); • собирать историю посещений; • встраивать трекинг; • вмешиваться в трафик игр и сервисов. Публичные прокси - это чёрный ящик. Вы не знаете, кто их контролирует, что они логируют и какие цели преследуют.
Почему локальный прокси на Android безопасен
1. Вы контролируете устройство - прокси работает на вашем телефоне. Никто, кроме вас, не имеет к нему доступа.
2. Трафик не выходит наружу - Switch -> ваш телефон -> VPN -> интернет. Никаких сторонних серверов между вами и VPN нет.
3. Прокси не шифрует и не расшифровывает данные - он просто пересылает трафик дальше. HTTPS‑сайты шифруются TLS, VPN шифрует весь трафик телефона, прокси не может "подглядывать" внутрь пакетов. 4. Прокси работает только в вашей Wi‑Fi сети.
5. Every Proxy не имеет доступа к вашему трафику
Подготовка
У Вас должен быть телефон OS Android (владельцы Iphone идут лесом), у Вас должен быть рабочий VPN
Подключите оба устройства к одной сети. Ваш Android-смартфон и Nintendo Switch должны быть подключены к одной и той же Wi-Fi сети (к одному роутеру).
Установите VPN на телефон. Скачайте и установите любой надежный VPN-сервис на ваш Android, если у вас его еще нет.
Установите Every Proxy. Скачайте приложение Every Proxy из Google Play Market.
Настройка Android-устройства
Откройте ваш VPN-клиент на телефоне.
Выберите сервер в стране, где Nintendo eShop работает без ограничений (например, США, Великобритания, Польша и т.д.), и подключитесь к нему.
Убедитесь, что VPN работает (обычно появляется значок ключика в верхней панели телефона).
Настройка приложения Every Proxy
Откройте приложение Every Proxy на телефоне.
В главном меню вы увидите переключатель HTTP/HTTPS. Переведите его во включенное положение.
Ниже появятся данные вашего подключения:
IP Address (IP-адрес): Обычно выглядит как 192.168.X.X (выбирайте тот, который соответствует вашей локальной Wi-Fi сети, а не внутренний IP типа 10.X.X.X).
Port (Порт): По умолчанию обычно 8080.
Запишите или запомните эти две цифры - они понадобятся для консоли.
Нажмите на три точки (Настройки) в правом верхнем углу Every Proxy и убедитесь, что в разделе настроек не стоят ограничения, мешающие раздаче интернета. (По умолчанию стандартных настроек достаточно).
Настройка Nintendo Switch
Включите Nintendo Switch и зайдите в Настройки системы (иконка шестеренки на главном экране).
Перейдите в раздел Интернет -> Настройки интернета.
Консоль начнет поиск сетей. Выберите вашу домашнюю Wi-Fi сеть (к которой уже подключен телефон).
Нажмите Изменить настройки.
Прокрутите вниз до пункта Прокси-сервер и измените его значение на Вкл.
В появившихся полях введите данные из Every Proxy:
В поле Сервер введите IP-адрес из приложения (например, 192.168.1.149).
В поле Порт введите порт из приложения (например, 8080).
Сохраните изменения и нажмите Подключиться к этой сети.
Консоль проверит подключение. Если все сделано верно, тест пройдет успешно.
💡 Для особо одаренных.
Регион аккаунта: Чтобы зайти в зарубежный eShop, регион вашей учетной записи Nintendo (Nintendo Account) должен быть регионом, который не находиться под санкциями. Регион аккаунта меняется через браузер на официальном сайте Nintendo (в настройках профиля), а не на самой консоли!
Спящий режим: Когда вы переводите телефон в спящий режим, система Android может "убивать" фоновые процессы для экономии батареи, включая Every Proxy или VPN. Если интернет на Switch пропал, проверьте телефон - возможно, нужно отключить оптимизацию батареи для этих двух приложений.
Отключение: Когда вы закончите скачивать игры и захотите играть по обычной сети, не забудьте зайти в настройки интернета на Switch и выключить Прокси-сервер.
Если вы настроили VPN (O******, W***** Op****) или прокси-сервер, но сталкиваетесь с низкой скоростью передачи данных при хорошем канале, причина часто кроется не в ширине канала, а в устаревших алгоритмах управления перегрузкой TCP.
В этой инструкции мы разберем, как включить алгоритм TCP BBR от Google, который де-факто стал стандартом для оптимизации высоконагруженных и удаленных серверов.
Что такое TCP BBR и зачем он нужен?
По умолчанию в большинстве дистрибутивов Linux используется алгоритм TCP CUBIC. Он был создан в эпоху проводных сетей и работает по принципу "loss-based" (основан на потере пакетов):
Сервер наращивает скорость передачи.
Как только теряется хотя бы один пакет, CUBIC считает, что канал забит, и резко сбрасывает скорость (обычно в 2 раза).
Затем начинается медленный набор скорости заново.
Проблема: В современных сетях (особенно мобильных и международных) потеря пакетов часто носит случайный характер и не означает, что канал перегружен. В результате CUBIC «тормозит» там, где можно работать на полную мощность.
Решение (TCP BBR): Algorithm BBR (Bottleneck Bandwidth and Round-trip propagation time), разработанный Google, использует другой подход. Он моделирует сеть, постоянно измеряя два параметра:
Максимальную пропускную способность (Bandwidth).
Минимальное время отклика (RTT).
BBR игнорирует случайные потери пакетов и поддерживает скорость передачи на уровне реальной пропускной способности канала. Это дает прирост скорости от 30% до 1000% на нестабильных соединениях.
Инструкция по включению
Шаг 0: Проверка версии ядра
Для работы BBR требуется ядро Linux версии 4.9 или выше. Абсолютное большинство современных систем (Ubuntu 18.04+, Debian 10+, CentOS 8+) уже соответствуют этому требованию.
Проверьте версию ядра командой:
uname -r
Если версия ниже 4.9, вам необходимо сначала обновить ядро ОС.
Шаг 1: Включение BBR
Нам нужно изменить два параметра ядра через sysctl.
Изменить планировщик пакетов (Queue Discipline) на fq (Fair Queueing), так как BBR требует его для корректной работы.
Включить сам алгоритм bbr.
# Добавляем настройки в конфигурационный файл
echo "net.core.default_qdisc=fq" | sudo tee -a /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" | sudo tee -a /etc/sysctl.conf
# Применяем изменения без перезагрузки
sudo sysctl -p
Шаг 2: Проверка результата
Убедитесь, что настройки применились корректно.
Проверяем, какой алгоритм управления перегрузкой используется сейчас:
sysctl net.ipv4.tcp_congestion_control
Проверяем, запущен ли модуль BBR:
lsmod | grep bbr
Ожидаемый вывод (пример):
tcp_bbr 20480 14
Результаты
После включения BBR перезагрузка сервера не требуется, изменения вступают в силу мгновенно для новых соединений.
Что вы заметите:
Стабильность: YouTube и потоковое видео перестанут буферизироваться.
Скорость: Speedtest покажет результаты, близкие к заявленным хостером, даже если клиент находится на другом континенте.
Плавность: Исчезнут резкие провалы скорости при использовании мобильного интернета.
Техническое примечание (для администраторов)
Почему fq, а не fq_codel? Хотя fq_codel часто является дефолтным в современных дистрибутивах, для работы BBR необходим именно планировщик fq, так как он обеспечивает pacing (равномерную подачу пакетов), на который опирается модель BBR.
Совместимость: BBR работает только на стороне отправителя (в данном случае — вашего VPN-сервера). Клиентам (телефонам, ноутбукам) ничего настраивать не нужно.
Это руководство поможет вам получить доступ к Gemini путем настройки DNS-over-HTTPS (DoH) в вашем браузере. Этот метод шифрует DNS-запросы, что может обойти некоторые виды блокировок.
Важное примечание:
Этот способ работает, только если ваш интернет-провайдер не заблокировал доступ к самому прокси-серверу.
В качестве примера используется публичный DNS-сервер comss.one. Его стабильность и политика конфиденциальности зависят от его владельца.
Что такое DNS-over-HTTPS (DoH)?
DNS-over-HTTPS (DoH) - это современный протокол, который шифрует ваши DNS-запросы. Обычные DNS-запросы отправляются в открытом виде, что позволяет посторонним видеть, какие сайты вы посещаете. DoH прячет эти запросы внутри защищенного HTTPS-соединения, повышая вашу конфиденциальность и безопасность.
В поле ввода укажите: https://dns.comss.one/dns-query Сохраните изменения и перезагрузите браузер.
Mozilla Firefox
Откройте Настройки (меню ≡ → «Настройки»).
В левом меню перейдите в раздел «Приватность и защита».
Быстрый переход: введите в адресной строке about:preferences#privacy
Пролистайте страницу вниз до раздела «DNS через HTTPS».
Установите галочку «Включить DNS через HTTPS».
В выпадающем списке «Выбрать поставщика» выберите «Другой».
В поле «URL-адрес» введите:
https://dns.comss.one/dns-query Закройте страницу настроек, они сохранятся автоматически.
Opera
Перейдите в Настройки (меню O → «Настройки»).
В боковом меню выберите «Конфиденциальность и безопасность», затем — «Безопасность».
Быстрый переход: введите в адресной строке opera://settings/security
Найдите настройку «Использовать безопасный DNS-сервер» и активируйте её.
Выберите опцию «Указать другого поставщика услуг DNS».
Введите адрес: https://dns.comss.one/dns-query После выполнения этих шагов попробуйте зайти на сайт Gemini. Если доступ не появился, это может означать, что данный метод обхода блокировки не работает с вашим провайдером.
DoH(DNS over HTTPS) - это протокол, который шифрует ваши DNS-запросы с помощью HTTPS, того же протокола, что защищает соединения с банками и интернет-магазинами. Вместо отправки простого текстового запроса на порт 53 (как в классическом DNS), DoH "упаковывает" его в зашифрованное HTTPS-соединение и отправляет на порт 443.
DNS over HTTPS (DoH) на роутере даёт следующие преимущества:
Конфиденциальность: Ваш интернет-провайдер, администратор публичной Wi-Fi сети или любой человек в той же сети не может видеть, какие доменные имена вы запрашиваете. Они видят лишь одно зашифрованное соединение с IP-адресом DoH-резолвера.
Целостность данных: Шифрование предотвращает подмену DNS-ответов (DNS spoofing). Злоумышленник не может перенаправить вас на фишинговый сайт, манипулируя DNS-запросами.
Обход цензуры: Поскольку провайдер не может анализировать или блокировать отдельные DNS-запросы, многие виды блокировок на уровне DNS становятся неэффективными.
Инструкция для версии прошивки OpenWrt 24.10.4:
1 . Сделайте бэкап прошивки и сохраните её на отдельном диске или флешке
2 . Установите: luci-app-https-dns-proxy (для отображения в Web интерфейсе) и https-dns-proxy
3 . Зайдите по SSH на роутер и проверьте командой nslookup openwrt.org localhost - если появился ip значит всё в порядке
4 . По умолчанию установлен Cloudflare и Google, в списке есть множество известных публичных DNS, например Adguard для дополнительной блокировки рекламы и прочее. Если необходимо исправить зайдите в web интерфейсеServices -> HTTPS DNS Proxy -> HTTPS DNS Proxy - Instances меняем у которого порт 5053 -> Edit -> выбираем Provider из списка -> Save -> внизу страницы Save and Apply.
5 . HTTPS DNS Proxy - Status указаны какие прокси на каком порту работают.
Что делать, если в Web интерфейсе не появились Services -> HTTPS DNS Proxy?
Скорее всего необходимо очистить кэш браузера (Ctrl+F5) или не установилось luci-app-https-dns-proxy. Или попробуйте выйти и заново войти в LuCI и перезагрузить роутер.
Важное уточнение:
Недостаток DoH заключается в том, что при использовании публичных DNS-сервисов (например, Cloudflare или Google DNS) вы перекладываете доверие с провайдера на крупную компанию. С одной стороны, она обещает не передавать вашу информацию третьим лицам, с другой — фактически вы отдаете статистику о своих запросах другому крупному игроку на рынке.
Не забудьте протестировать на утечки и защиту ваши настройки:
Proxy сервер (прокси сервер) — это промежуточный сервер, который выступает посредником между вашим устройством (компьютером, смартфоном) и другими серверами в интернете. Вместо прямого подключения к целевому ресурсу (сайту, сервису), вы подключаетесь к прокси, а он уже от вашего имени запрашивает данные у конечного сервера и возвращает их вам.
Основные функции и цели proxy-серверов:
Анонимизация: Скрытие вашего реального IP-адреса от целевого сервера. Сайт видит IP прокси, а не ваш.
Обход ограничений: Доступ к ресурсам, заблокированным по географическому признаку (геоблокировка), корпоративным правилам или интернет-цензуре.
Кэширование: Сохранение копий часто запрашиваемых веб-страниц или файлов на самом прокси для ускорения доступа и снижения нагрузки на сеть.
Контроль и фильтрация трафика: В корпоративных сетях или образовательных учреждениях для блокировки нежелательных сайтов, контроля доступа сотрудников, мониторинга трафика.
Безопасность (ограниченная): Может выступать как дополнительный барьер между вашей локальной сетью и интернетом, фильтруя часть угроз (хотя полноценный файерволл безопаснее).
Балансировка нагрузки: Распределение входящих запросов между несколькими серверами для повышения производительности и отказоустойчивости.
Основные типы proxy-серверов (классификация по ключевым признакам):
1 . По Уровню Анонимности:
Прозрачные (Transparent):
Как работают: Не скрывают ваш реальный IP-адрес. Целевой сервер видит, что вы используете прокси, но также получает ваш настоящий IP через специальные заголовки (например, X-Forwarded-For).
Зачем: В основном для кэширования и принудительного перенаправления трафика (например, в корпоративных сетях или публичных Wi-Fi без цели анонимности).
Анонимные (Anonymous):
Как работают: Скрывают ваш реальный IP-адрес. Целевой сервер видит IP прокси и знает, что это прокси (заголовки типа Via или Proxy-Connection), но не видит ваш IP.
Как работают: Подвид анонимных. Передают целевым серверам ваш реальный IP, но намеренно искажают его (подменяют на фальшивый) в заголовках типа X-Forwarded-For. Сам прокси при этом раскрывается.
Зачем: Попытка обмануть серверы, которые блокируют известные адреса прокси, выдавая себя за обычного пользователя с "левым" IP. Не всегда эффективно.
Элитные или Высокоанонимные (Elite или High Anonymity):
Как работают: Максимальная анонимность. Целевой сервер видит только IP прокси и не получает никаких признаков, что это прокси (нет специфических заголовков). Ваш реальный IP полностью скрыт.
Зачем: Когда нужна максимальная конфиденциальность и обход сложных систем обнаружения прокси.
2 . По Доступности:
Публичные (Public или Open) Proxy:
Бесплатные прокси, списки которых можно найти в интернете.
Плюсы: Бесплатны, легко доступны.
Минусы: Очень медленные, ненадежные (часто отключаются), перегруженные, опасные (могут логировать и воровать ваши данные, внедрять вредоносный код), часто блокируются сайтами.
Приватные (Private) Proxy:
Платные прокси, доступные только вам (или ограниченному кругу пользователей).
Плюсы: Высокая скорость, надежность, стабильность, чистота IP (меньше шансов быть заблокированными), лучше анонимность (если провайдер не ведет логи), выделенный IP или пул IP.
Минусы: Платные.
Важно помнить:
Не все прокси шифруют трафик! HTTP-прокси передают данные открыто. Для безопасности нужен HTTPS или VPN.
Доверяйте только надежным провайдерам, особенно приватных прокси. Бесплатные публичные прокси сопряжены с высокими рисками.
Использование прокси для обхода блокировок может нарушать правила сервисов или законодательство вашей страны. Всегда проверяйте легальность своих действий.
