mirror of https://github.com/by-sonic/tglock.git
Add Habr article, LICENSE, CI/CD workflow
Made-with: Cursor:
This commit is contained in:
by-sonic
parent
d0646af85d
commit
7d7a519365
|
|
@ -0,0 +1,307 @@
|
||||||
|
# Как я написал обход блокировки Telegram на Rust — без VPN, без серверов, через WebSocket
|
||||||
|
|
||||||
|
**Простой · 7 мин · Rust · Open source · Windows · Сетевые технологии · Из песочницы**
|
||||||
|
|
||||||
|
**TL;DR:** Написал open-source десктопное приложение **TG Unblock** на Rust, которое в один клик обходит блокировку Telegram через локальный WebSocket-прокси. Трафик заворачивается в обычный HTTPS к `web.telegram.org` — DPI не видит MTProto, провайдер не может шейпить. Без VPN, без серверов, без абонентки. Код на GitHub — [by-sonic/tglock](https://github.com/by-sonic/tglock).
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## Предыстория: почему GoodbyeDPI не спасает
|
||||||
|
|
||||||
|
С весны 2025 года Telegram в России стал работать, мягко говоря, через боль. Сообщения доходят по 10 секунд, медиа не грузятся, звонки рвутся. Классическая картина: провайдер + DPI = страдания.
|
||||||
|
|
||||||
|
Первое, что приходит в голову — **GoodbyeDPI**. Запустил, пакеты фрагментируются, DPI не узнаёт MTProto... и вроде работает. Но:
|
||||||
|
|
||||||
|
- **Пинг 200+ мс** — при норме 40–60
|
||||||
|
- **Постоянные переподключения** — DPI переобучается и режет соединения
|
||||||
|
- **IP-шейпинг** — провайдер троттлит весь трафик к подсетям Telegram (149.154.x.x, 91.108.x.x)
|
||||||
|
|
||||||
|
GoodbyeDPI обманывает DPI на уровне пакетов, но **не решает проблему IP-шейпинга**. Если провайдер тупо режет скорость ко всем IP Telegram — хоть как фрагментируй, будет медленно.
|
||||||
|
|
||||||
|
VPN — вариант. Но:
|
||||||
|
- Платные стоят денег и сливают скорость
|
||||||
|
- Бесплатные сливают данные
|
||||||
|
- Не все работают стабильно
|
||||||
|
- Для одного Telegram гонять весь трафик через VPN — оверкилл
|
||||||
|
|
||||||
|
Нужно решение, которое **маскирует сам факт подключения к Telegram**, а не просто прячет протокол.
|
||||||
|
|
||||||
|
## Идея: WebSocket-туннель через web.telegram.org
|
||||||
|
|
||||||
|
Я провёл серию тестов. Прямое подключение к серверам Telegram (149.154.167.51:443) — либо таймаут, либо 200+ мс. А вот `web.telegram.org` отвечает стабильно за 50–80 мс через HTTPS. Провайдер его не трогает — это же «обычный сайт».
|
||||||
|
|
||||||
|
И тут я полез в [документацию MTProto](https://core.telegram.org/mtproto/transports) и нашёл золотую жилу:
|
||||||
|
|
||||||
|
> **WebSocket:** Implementation of the WebSocket transport is pretty much the same as with TCP... all data received and sent through WebSocket messages is to be treated as a single duplex stream of bytes, just like with TCP.
|
||||||
|
|
||||||
|
Telegram **официально поддерживает WebSocket-транспорт**. Серверы `pluto.web.telegram.org`, `venus.web.telegram.org` и т.д. — это не просто веб-клиент. Это **полноценные точки входа в сеть Telegram** через WSS.
|
||||||
|
|
||||||
|
Схема:
|
||||||
|
|
||||||
|
```
|
||||||
|
Telegram Desktop
|
||||||
|
│
|
||||||
|
▼ SOCKS5
|
||||||
|
┌──────────────────┐
|
||||||
|
│ TG Unblock │ 127.0.0.1:1080
|
||||||
|
│ WS-прокси │
|
||||||
|
└──────┬───────────┘
|
||||||
|
│
|
||||||
|
├── IP Telegram? ──► WSS к {dc}.web.telegram.org/apiws
|
||||||
|
│ (провайдер видит: HTTPS к web.telegram.org)
|
||||||
|
│
|
||||||
|
└── Другой IP? ────► Прямой TCP (без изменений)
|
||||||
|
```
|
||||||
|
|
||||||
|
Провайдер видит:
|
||||||
|
- Соединение к `venus.web.telegram.org` по порту 443
|
||||||
|
- Обычный TLS/HTTPS трафик
|
||||||
|
- Никакого MTProto
|
||||||
|
|
||||||
|
DPI видит:
|
||||||
|
- Ничего подозрительного
|
||||||
|
- Обычный WebSocket внутри HTTPS
|
||||||
|
|
||||||
|
Результат:
|
||||||
|
- **Полная скорость** — провайдер не шейпит web.telegram.org
|
||||||
|
- **Нет переподключений** — DPI не трогает HTTPS
|
||||||
|
- **Нулевая задержка** — нет промежуточных серверов, трафик идёт напрямую к Telegram
|
||||||
|
|
||||||
|
## Реализация: Rust, SOCKS5, WebSocket
|
||||||
|
|
||||||
|
### Почему Rust?
|
||||||
|
|
||||||
|
Не Electron. Не Python. Не Node.js. **Rust.** Потому что:
|
||||||
|
- Один бинарник ~6 МБ, без зависимостей
|
||||||
|
- Нативная скорость — прокси не должен добавлять задержку
|
||||||
|
- Async I/O через tokio — тысячи одновременных соединений
|
||||||
|
- Компилируется, запускается, работает
|
||||||
|
|
||||||
|
### Архитектура
|
||||||
|
|
||||||
|
Приложение состоит из 4 модулей:
|
||||||
|
|
||||||
|
| Модуль | Что делает |
|
||||||
|
|---|---|
|
||||||
|
| `main.rs` | GUI на egui + управление прокси |
|
||||||
|
| `ws_proxy.rs` | SOCKS5-сервер + WebSocket-туннель |
|
||||||
|
| `bypass.rs` | DNS-настройка, системные утилиты |
|
||||||
|
| `network.rs` | Сетевая диагностика |
|
||||||
|
|
||||||
|
### SOCKS5 → WebSocket: как это работает
|
||||||
|
|
||||||
|
Когда Telegram Desktop подключается через SOCKS5-прокси, происходит следующее:
|
||||||
|
|
||||||
|
**1. SOCKS5 handshake**
|
||||||
|
|
||||||
|
```rust
|
||||||
|
// Клиент: [0x05, 0x01, 0x00] — SOCKS5, 1 метод, no auth
|
||||||
|
// Сервер: [0x05, 0x00] — принято
|
||||||
|
// Клиент: [0x05, 0x01, 0x00, 0x01, IP, PORT] — CONNECT к IP:PORT
|
||||||
|
```
|
||||||
|
|
||||||
|
**2. Определение DC по IP**
|
||||||
|
|
||||||
|
Telegram использует фиксированные подсети для каждого Data Center. Из [документации](https://core.telegram.org/mtproto/transports):
|
||||||
|
|
||||||
|
```rust
|
||||||
|
fn telegram_dc(ip: Ipv4Addr) -> Option<u8> {
|
||||||
|
let o = ip.octets();
|
||||||
|
match (o[0], o[1]) {
|
||||||
|
(149, 154) => Some(match o[2] {
|
||||||
|
160..=163 => 1, // DC1
|
||||||
|
164..=167 => 2, // DC2
|
||||||
|
168..=171 => 3, // DC3
|
||||||
|
172..=175 => 1, // DC1 alt
|
||||||
|
_ => 2,
|
||||||
|
}),
|
||||||
|
(91, 108) => Some(match o[2] {
|
||||||
|
56..=59 => 5, // DC5
|
||||||
|
8..=11 => 3, // DC3
|
||||||
|
12..=15 => 4, // DC4
|
||||||
|
_ => 2,
|
||||||
|
}),
|
||||||
|
(91, 105) => Some(2),
|
||||||
|
(185, 76) => Some(2),
|
||||||
|
_ => None,
|
||||||
|
}
|
||||||
|
}
|
||||||
|
```
|
||||||
|
|
||||||
|
**3. WebSocket-туннель**
|
||||||
|
|
||||||
|
Каждый DC имеет именованный WebSocket-эндпоинт (имена из официальной документации Telegram):
|
||||||
|
|
||||||
|
| DC | Имя | URL |
|
||||||
|
|---|---|---|
|
||||||
|
| 1 | Pluto | `wss://pluto.web.telegram.org/apiws` |
|
||||||
|
| 2 | Venus | `wss://venus.web.telegram.org/apiws` |
|
||||||
|
| 3 | Aurora | `wss://aurora.web.telegram.org/apiws` |
|
||||||
|
| 4 | Vesta | `wss://vesta.web.telegram.org/apiws` |
|
||||||
|
| 5 | Flora | `wss://flora.web.telegram.org/apiws` |
|
||||||
|
|
||||||
|
Обязательный заголовок (из доки Telegram): `Sec-WebSocket-Protocol: binary`.
|
||||||
|
|
||||||
|
```rust
|
||||||
|
let mut request = ws_url.as_str().into_client_request()?;
|
||||||
|
request.headers_mut().insert(
|
||||||
|
"Sec-WebSocket-Protocol", "binary".parse()?,
|
||||||
|
);
|
||||||
|
|
||||||
|
let (ws, _) = tokio_tungstenite::connect_async_tls_with_config(
|
||||||
|
request, None, false, Some(connector),
|
||||||
|
).await?;
|
||||||
|
```
|
||||||
|
|
||||||
|
**4. Двунаправленный relay**
|
||||||
|
|
||||||
|
Ключевая цитата из документации Telegram:
|
||||||
|
|
||||||
|
> All data received and sent through WebSocket messages is to be treated as a **single duplex stream of bytes**, just like with TCP.
|
||||||
|
|
||||||
|
Это значит, что нам не нужно парсить MTProto. Просто relay байтов: TCP → WebSocket binary frame, WebSocket binary frame → TCP.
|
||||||
|
|
||||||
|
```rust
|
||||||
|
let up = async {
|
||||||
|
let mut buf = vec![0u8; 32768];
|
||||||
|
loop {
|
||||||
|
match tcp_rx.read(&mut buf).await {
|
||||||
|
Ok(0) => break,
|
||||||
|
Ok(n) => {
|
||||||
|
let msg = Message::Binary(buf[..n].to_vec());
|
||||||
|
if ws_tx.send(msg).await.is_err() { break; }
|
||||||
|
}
|
||||||
|
Err(_) => break,
|
||||||
|
}
|
||||||
|
}
|
||||||
|
};
|
||||||
|
|
||||||
|
let down = async {
|
||||||
|
while let Some(Ok(msg)) = ws_rx.next().await {
|
||||||
|
if let Message::Binary(data) = msg {
|
||||||
|
if tcp_tx.write_all(&data).await.is_err() { break; }
|
||||||
|
}
|
||||||
|
}
|
||||||
|
};
|
||||||
|
|
||||||
|
tokio::select! { _ = up => {}, _ = down => {} }
|
||||||
|
```
|
||||||
|
|
||||||
|
### GUI: egui, не Electron
|
||||||
|
|
||||||
|
Нативный GUI через `egui` / `eframe`. Никакого браузера, никакого DOM, никакого JavaScript. Вся отрисовка — immediate mode, 60 FPS.
|
||||||
|
|
||||||
|
Кнопка «Запустить обход» делает:
|
||||||
|
1. Меняет DNS на Cloudflare (1.1.1.1) — обходит DNS-блокировку
|
||||||
|
2. Запускает SOCKS5-прокси на 127.0.0.1:1080
|
||||||
|
3. Предлагает автонастройку Telegram через `tg://socks?server=127.0.0.1&port=1080`
|
||||||
|
|
||||||
|
Кнопка «Настроить автоматически» — открывает Telegram Desktop с готовой конфигурацией прокси. Один клик.
|
||||||
|
|
||||||
|
## Технические детали, которые пришлось решить
|
||||||
|
|
||||||
|
### Проблема 1: Не-Telegram трафик
|
||||||
|
|
||||||
|
Если Telegram Desktop пускает через SOCKS5 не только MTProto, но и запросы к CDN, стикер-серверам, обновлениям — их нельзя заворачивать в WebSocket. Решение: проверяем IP по маппингу Telegram-подсетей. Telegram IP → WebSocket. Всё остальное → прямой TCP passthrough.
|
||||||
|
|
||||||
|
### Проблема 2: Определение DC
|
||||||
|
|
||||||
|
Telegram Desktop использует obfuscated2 транспорт. Первые 64 байта — зашифрованный хендшейк, в котором закодирован DC ID. Парсить его — целый проект.
|
||||||
|
|
||||||
|
Решение проще: определяем DC по destination IP. Telegram использует фиксированные подсети для каждого DC — маппинг стабильный и документированный.
|
||||||
|
|
||||||
|
### Проблема 3: TLS к WebSocket-эндпоинтам
|
||||||
|
|
||||||
|
WebSocket-соединение идёт через WSS (TLS). Используем `native-tls` — системные сертификаты Windows, без привязки к OpenSSL.
|
||||||
|
|
||||||
|
```rust
|
||||||
|
let connector = tokio_tungstenite::Connector::NativeTls(
|
||||||
|
native_tls::TlsConnector::new()?,
|
||||||
|
);
|
||||||
|
```
|
||||||
|
|
||||||
|
### Проблема 4: Graceful shutdown
|
||||||
|
|
||||||
|
При остановке прокси нужно:
|
||||||
|
- Сбросить DNS обратно на DHCP
|
||||||
|
- Корректно закрыть все WebSocket-соединения
|
||||||
|
- Не оставить Telegram без связи
|
||||||
|
|
||||||
|
Используем `AtomicBool` для флага остановки — все задачи проверяют его и завершаются.
|
||||||
|
|
||||||
|
## Сравнение с альтернативами
|
||||||
|
|
||||||
|
| | GoodbyeDPI | Zapret | VPN | **TG Unblock** |
|
||||||
|
|---|---|---|---|---|
|
||||||
|
| Подход | Фрагментация пакетов | Desync пакетов | Туннель через сервер | WebSocket-туннель |
|
||||||
|
| DPI видит MTProto? | Нет | Нет | Нет | **Нет** |
|
||||||
|
| IP-шейпинг? | Не обходит | Не обходит | Обходит | **Обходит** |
|
||||||
|
| Нужен сервер? | Нет | Нет | Да | **Нет** |
|
||||||
|
| Скорость | Зависит от DPI | Зависит от DPI | Зависит от сервера | **Полная** |
|
||||||
|
| Весь трафик? | Нет | Нет | Да | **Только Telegram** |
|
||||||
|
| Стоимость | Бесплатно | Бесплатно | $3–10/мес | **Бесплатно** |
|
||||||
|
|
||||||
|
## Стек
|
||||||
|
|
||||||
|
| Технология | Зачем |
|
||||||
|
|---|---|
|
||||||
|
| **Rust** | Скорость, один бинарник, без зависимостей |
|
||||||
|
| **egui / eframe** | Нативный GUI без браузера |
|
||||||
|
| **tokio** | Async I/O, тысячи соединений |
|
||||||
|
| **tokio-tungstenite** | WebSocket-клиент с TLS |
|
||||||
|
| **native-tls** | Системные сертификаты Windows |
|
||||||
|
| **GitHub Actions** | CI/CD — автобилд при новом теге |
|
||||||
|
|
||||||
|
## Цифры
|
||||||
|
|
||||||
|
- **5 DC** — полный маппинг всех Telegram Data Center
|
||||||
|
- **1 бинарник** — ~6 МБ, без зависимостей
|
||||||
|
- **0 серверов** — всё работает локально
|
||||||
|
- **0₽** — полностью бесплатно и open-source
|
||||||
|
- **1 клик** — от запуска до работающего Telegram
|
||||||
|
|
||||||
|
## Как попробовать
|
||||||
|
|
||||||
|
### Скачать готовый .exe
|
||||||
|
|
||||||
|
1. Скачайте `tg_unblock.exe` из [Releases](https://github.com/by-sonic/tglock/releases)
|
||||||
|
2. Запустите (желательно от администратора — для DNS)
|
||||||
|
3. Нажмите **«Запустить обход»**
|
||||||
|
4. Нажмите **«Настроить автоматически»**
|
||||||
|
5. В Telegram нажмите «Подключить»
|
||||||
|
|
||||||
|
### Собрать из исходников
|
||||||
|
|
||||||
|
```bash
|
||||||
|
git clone https://github.com/by-sonic/tglock.git
|
||||||
|
cd tglock
|
||||||
|
cargo build --release
|
||||||
|
# Бинарник: target/release/tg_unblock.exe
|
||||||
|
```
|
||||||
|
|
||||||
|
## Что дальше
|
||||||
|
|
||||||
|
- **Автоопределение DC из obfuscated2** — парсинг первых 64 байт для точного маппинга
|
||||||
|
- **Fallback на GoodbyeDPI** — если WebSocket-эндпоинт недоступен
|
||||||
|
- **Linux / macOS** — porability через tokio + egui (уже почти готово)
|
||||||
|
- **Статистика** — скорость, задержка, количество туннелей в реальном времени
|
||||||
|
|
||||||
|
## Вместо заключения
|
||||||
|
|
||||||
|
Telegram — это не просто мессенджер. Для миллионов людей это рабочий инструмент, канал связи, источник информации. Когда он работает через боль — страдают все.
|
||||||
|
|
||||||
|
GoodbyeDPI — отличный инструмент, но у него есть потолок. Когда DPI побеждён, а трафик всё равно шейпится — нужен другой подход. WebSocket-туннель через `web.telegram.org` — это как проехать мимо камеры на легальной машине вместо того, чтобы заклеивать номера.
|
||||||
|
|
||||||
|
Код полностью открыт. Если пригодился — поставьте звезду на GitHub. Если нашли баг — PR приветствуются.
|
||||||
|
|
||||||
|
**GitHub:** [github.com/by-sonic/tglock](https://github.com/by-sonic/tglock)
|
||||||
|
|
||||||
|
**P.S.** Если нужен полный обход блокировок для всех приложений (YouTube, Discord, Instagram и др.) — попробуйте [by sonic VPN](https://t.me/bysonicvpn_bot). Быстрый, стабильный, без ограничений скорости.
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
*by sonic*
|
||||||
|
|
||||||
|
**Теги:** telegram, dpi bypass, websocket, rust, socks5, mtproto, обход блокировок, open-source
|
||||||
|
|
||||||
|
**Хабы:** Rust · Open source · Windows · Сетевые технологии
|
||||||
Loading…
Reference in New Issue