Bereitstellung Ihres MTProxy Telegram mit Statistiken

„Ich habe dieses Chaos geerbt,
begonnen mit skrupellosen Zello; LinkedIn
und endend mit ‚allen anderen‘ auf der Telegram-Plattform
in meiner Welt.

Und dann, nach einem Schluckauf,
fügte der Beamte hastig und laut hinzu:
aber ich werde hier (in der IT) Ordnung schaffen“
(…).

Durov ist der Meinung, dass autoritäre Staaten Angst vor ihm, dem Kryptonauten, haben sollten, während Roskomnadzor und Goldene Schilde mit ihren DPI-Filtern ihn kaum stören“
(Politische Technik)

Meine technische Politik ist einfacher; ich könnte hier meine Gedanken zu sorglosen Sperrungen im Runet ausführen, aber ich nehme an, dass progressiv denkende Bürger des modernen Russlands und Nutzer von Habr auf eigene Haut die Unprofessionalität der aktuellen Macht verspürt haben, deshalb beschränke ich mich auf einen einzigen Satz: unsere technische Politik ist „Digitaler Widerstand“. „Gewährleistung eines stabilen Kommunikationskanals für Familie und Freunde“.

Bereitstellung von MTProto Proxy Telegram

• Technische Schwierigkeitsstufe – „nicht schwierig“, wenn man zum Beispiel dieser Anleitung folgt.
• Zuverlässigkeitslevel – „überdurchschnittlich“: Das Docker-Image läuft stabil, es ist nicht nötig, es täglich neu zu starten, wie die Entwickler in ihrer offiziellen Dokumentation von Telegram geschrieben haben, aber es enthält sicherlich einige Sicherheitsanfälligkeiten.
• Widerstands-/Angstlevel – 10 Mitglieder der IGIL spinnen ihre Verschwörungen „die Verwandten nutzen es“, es gab bisher keinen Bann vom RKN (seit Frühjahr).
• Vertrauensniveau – „öffentliches Baby-Misstrauen“, das Problem liegt auf der Seite der Kunden (einige Freunde stehen meinem MtprotoProxy misstrauisch gegenüber).
• Testosteronlevel – „höher ist nicht geworden“.
• Finanzielle Kosten – „0₽“.
• Finanzielle Belohnung – „hängt nicht von Bürger Durov ab“. Anreiz – die Möglichkeit, Werbung aufzuzwingen.

Wir werden unseren TelegramProxy auf den „kostenlosen/persönlichen“ Ressourcen von Amazon EC2: t2.micro starten. Ich habe dieses Gerät verwendet.

Okay, wir haben unseren kostenlosen der Server, gehen zur offiziellen Website dockerhub und laden den Docker-Container herunter.

Es ist nicht notwendig, nach einem Image, einer Datei oder einem magischen Knopf zu suchen – „die gibt es nicht“, die ganze Magie geschieht im CLI:

$ docker pull telegrammessenger/proxy #Image heruntergeladen.

Aber installieren Sie zuerst Docker für das CLI:

sudo apt-get install docker.io docker

In der offiziellen Dokumentation von MtprotoProxyTelegram wird uns Folgendes vorgeschlagen:

$ sudo su && docker run -d -p443:443 --name=mtproto-proxy --restart=always -v proxy-config:/data telegrammessenger/proxy:latest # wir starten unseren Container «mtproto-proxy».

Nach diesem Befehl erscheint eine HEX-Zeichenfolge im Terminalausgang, aber die interessiert uns nicht.

Geben Sie im CLI ein:

$ docker logs mtproto-proxy

Und erhalten Sie die benötigten Daten:

Im Auszug dieses Logs sehen wir (verpixelt):

A) unsere Server-IP (externe IP des Servers);
B) und ein zufälliges Geheimnis – eine zufällige Zeichenfolge in HEX.

Bevor wir unseren MtproProxy registrieren, müssen wir die Hauptfirewall über iptables konfigurieren (egal wie Sie den Datenverkehr in dieser VPC umleiten, es wird nicht funktionieren, da die wichtigste Firewall in Amazon-EC2 sich im Web-Interface befindet und eine höhere Priorität als iptables hat).

Gehen Sie zu der „Konsole Amazon-EC2“ in der Sicherheitsgruppe und öffnen Sie den eingehenden Port 443 (logische Maskierung des Datenverkehrs für die Anfangszeit).

Nehmen Sie die Daten „IP und Geheimnis“ aus dem Log und gehen Sie zu Telegram, suchen Sie den offiziellen MTProxy Admin Bot (@MTProxybot) und registrieren Sie unseren MtproProxy: Führen Sie den Befehl [/newproxy] aus und geben Sie [unsere_ip:443] ein, gefolgt von unserem [geheimen/HEX].

Wenn Sie bei der Dateneingabe einen Fehler machen, wird der Bot verärgert sein und Sie an… senden.

Wenn Sie zwei Zeilen fehlerfrei ausfüllen, erhalten Sie die Genehmigung und einen funktionierenden Link zu Ihrem aktiven MtprotoProxyTelegram, den Sie mit jedem teilen können.

Über diesen Bot können Sie auch Ihren Sponsor-Kanal (aber keinen Chat) hinzufügen, in dem Sie Ihre Ansichten den Nutzern aufzwingen, die sich mit Ihrem verbinden. Server, oder Sie können auf "Spam" verzichten und potenzielle Kunden nicht belästigen, indem Sie den Kanal nicht in der angepinnten Liste des Messengers anzeigen.

Noch ein paar Worte über den Bot: Man kann Statistiken anfordern, aber "auch ein Donut". Offensichtlich sind Statistiken nur verfügbar, wenn eine "Menge von Heuschrecken" hinter Ihnen steht.

Überwachung

Wie viele Nutzer können wir auf unseren Server anschließen? Und überhaupt, wer/was ist das? Was? Und wie viele?

Lassen Sie uns sehen, was die offizielle Dokumentation dazu sagt… Okay, so machen Sie das:

$ curl http://localhost:2398/stats oder so $ docker exec mtproto-proxy curl http://localhost:2398/stats # und uns wird die Statistik direkt im CLI angezeigt.

"Halten Sie die Taschen weit“ Mit den vorgeschlagenen Befehlen werden wir immer einen ähnlichen Fehler erhalten:

«curl: (7) Verbindung zum localhost Port 2398 fehlgeschlagen: Verbindung abgelehnt»

Unser Proxy wird funktionieren. Aber! Einen Bagel, und keine Statistiken, die wir erhalten werden.

Wir können Aufgaben für die Rotäugigen erledigen: prüfen

$ netstat -an | grep 2398 und...

Zuerst dachte ich, das sei ein weiteres Problem der Telegram-Entwickler (und ich denke bis heute so), dann fand ich eine vorübergehende, anständige Lösung: den Docker-Container mit einer Feile abzurunden.

Später stieß ich auf Informationen:

über die staatsgetragenen Tänze der Roskomnadsor rund um die «Statistik».

«Wir haben auf unseren Servern einen Teil der öffentlichen Proxys blockiert, indem wir die Datenbanken des Projekts firehol genutzt haben. Dieses Projekt überwacht Listen öffentlicher Proxys und erstellt Datenbanken damit.

Seit diesem Moment (also seit fast zwei Tagen) wurde keine einzige IP-Adresse unseres russischen Proxys blockiert.

3. Wir erklären, wie man einen nahezu unverwundbaren Proxy für den Roskomnadsor erstellt und teilen das Skript zur Blockierung öffentlicher Proxys.

— Aktualisieren Sie den Docker-Container (oder Daemon) des MTProto-Proxy auf die neueste Version: Die RKN erkennt alte Versionen über den Statistikport, der auf 0.0.0.0 gebunden ist und sich eindeutig im gesamten Internet identifiziert. Am besten öffnen Sie die benötigten Ports mit iptables und schließen die anderen – beachten Sie, dass bei einem Docker-Container die Regel FORWARD verwendet werden sollte.

— Der Roskomnadsor hat längst gelernt, den Datenverkehr zu dumpen: Sie sehen Anfragen innerhalb von HTTP- und SOCKS5-Proxys und erkennen auch die alte Version der Obfuskation des MTProto-Proxys.

Wenn Kunden bestimmter Anbieter, die solche Dump-Tools installiert haben, über solche Proxys auf Telegram zugreifen, erkennt die RKN diese Anfragen und blockiert sofort diese Proxys. Dasselbe gilt für MTProto-Proxys mit alter Obfuskation.

Lösung: Verteilen Sie an die Kunden, die sich mit dem Proxy verbinden, ein Secret, das nur mit dd am Anfang beginnt (es ist nicht notwendig, zusätzliche Buchstaben dd in den Einstellungen des MTProto-Proxys anzugeben). Dies aktiviert die Version der Obfuskation, die von Dump-Tools nicht erkannt wird.

Und keine HTTP- und SOCKS5-Proxys.

— Ein Tool, das jedem Besitzer eines Telegram-Proxys, der regelmäßig von der RKN blockiert wird, ermöglicht, die Blockierungen vollständig (oder fast vollständig) zu stoppen und gleichzeitig zu überprüfen, dass die RKN lügt.

Ein Skript, das öffentliche Proxys blockiert, sowie eine kurze Anleitung dazu.

→ Quelle

Unser Proxy ist westlich orientiert; ich habe während der Frühlingstage und kühlen Sommertage keine Probleme oder Blockierungen festgestellt, sodass ich mich nicht mit der Tempoverzögerung beschäftigt habe und kein dd*-Präfix zum Schlüssel hinzugefügt habe.

Die Anleitung zur "Statistikerfassung/Überwachung" entsprechend der offiziellen Anleitung von MtprotoProxyTelegram ist nicht funktionsfähig/überholt; wir müssen das Docker-Image reparieren.

Wir reparieren.

Der Container läuft immer noch:

$ docker stop mtproto-proxy #stoppen Sie unseren laufenden Docker-Container und starten Sie ein neues Image mit der ausgelassenen Statistikflag.

$ docker run --net=host --name=mtproto-proxy2 -d -p443:443 -v proxy-config:/data -e SECRET=Ihr_vorheriger_Secret_hex telegrammessenger/proxy:latest

Überprüfen wir die Statistiken:

$ curl http://localhost:2398/stats

curl: (7) Verbindung zu 0.0.0.0 Port 2398 fehlgeschlagen: Verbindung abgelehnt
Statistik ist immer noch nicht verfügbar .!..

Lassen Sie uns die ID des Docker-Containers herausfinden:

$ docker ps

CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
f423c209cfdc telegrammessenger/proxy:latest «/bin/sh -c ‘/bin/ba…» Vor etwa einer Stunde hochgeladen Vor etwa einer Minute 0.0.0.0:443->443/tcp mtproto-proxy2

Wir gehen mit unseren eigenen Regeln in den Docker-Container:

$ sudo docker exec -it f423c209cfdc /bin/bash

$ apt-get update
$ apt-get install nano
$ nano -$ run.sh

Und in der letzten Zeile des Skripts «run.sh» fügen wir das fehlende Flag hinzu:

«—http-stats»
«exec /usr/local/bin/mtproto-proxy -p 2398 -H 443 -M «$WORKERS» -C 60000 —aes-pwd /etc/telegram/hello-explorers-how-are-you-doing -u root $CONFIG —allow-skip-d h —nat-info «$INTERNAL_IP:$IP» $SECRET_CMD $TAG_CMD»

Fügen Sie «—http-stats» hinzu, es sollte etwa so aussehen:

«exec /usr/local/bin/mtproto-proxy -p 2398 --http-stats -H 443 -M "$WORKERS" -C 60000 --aes-pwd /etc/telegram/hello-explorers-how-are-you-doing -u root $CONFIG --allow-skip-d h --nat-info "$INTERNAL_IP:$IP" $SECRET_CMD $TAG_CMD»

Ctrl+o/Ctrl+x/Ctrl+d (speichern/aussteigen aus nano/Container verlassen).

Wir starten unseren Docker-Container neu:

$ docker restart mtproto-proxy2

Alles klar, jetzt mit dem Befehl:

$ curl http://localhost:2398/stats #erhalten umfangreiche Statistiken

In den Statistiken gibt es viel «Müll» (auf dem Screenshot 1/3 davon), erstellen wir ein Alias:

$ echo "alias telega='curl localhost:2398/stats | grep -e total_special -e load_average_total'" >> .bashrc && bash

Wir erhalten, wofür wir den Docker-Container verfeinert haben: Anzahl der Verbindungen und Last:

$ telega

Der Docker-Container läuft, die Statistik wird berechnet.

Verbrauchte Ressourcen

Egal wie cool du bist, Stuart Redman, selbst du hinterlässt Spuren von Dreck in deiner Unterwäsche. Ein aktives Docker-Image hinterlässt einen merklichen Fußabdruck.

Es macht keinen Sinn, die Vor- und Nachteile von Docker-Images detailliert darzulegen; ein Docker-Container ist eine Mini-Virtual Machine, die weniger Ressourcen verbraucht als eine 'echte' virtuelle Maschine, wie zum Beispiel VirtualBox, aber dennoch Ressourcen benötigt.

1) Ob mit oder ohne Statistik, ein Docker-Image läuft, ob zwei Clients aktiv sind oder zehn – die Ressourcen werden ungefähr gleich genutzt: 75 % der gesamten CPU-Leistung von t2.micro.

2) Schauen wir uns das Monitoring des VPC-Servers an:

Der Ressourcenauslastungsgraf des VPC zeigt, dass der Docker-Container konstant etwa 7,5 % der maximalen CPU-Leistung verbraucht, und am 28. Mai wurde er von mir absichtlich/temporär gestoppt. (Hinweis – auf dem Server laufen auch OpenVPN & pptp).

Warum ist eine konstante CPU-Auslastung von 10 % die Grenze für diesen Server?

Weil es Einschränkungen seitens Amazon EC2 gibt, die in Credits berechnet werden.

1 CPU-Kredit = 1 CPU, der mit 100 % Auslastung für eine Minute arbeitet, und wir haben 6 Kredite (das bedeutet, dass bei Spitzenzeiten eine 100%-ige CPU-Auslastung für 6 Minuten möglich ist, danach sinkt die CPU-Leistung). Andere Kombinationen: Zum Beispiel, 1 CPU-Kredit = 1 CPU, die mit 50 % Auslastung für zwei Minuten arbeitet (d.h., wir können die CPU mit 50 % Auslastung über 12 Minuten nutzen), oder zur Dauer von 10 % Auslastung der CPU während der gesamten Zeit usw.

Fazit

• Wir sind ein Teil des "Digitalen Widerstands". Wir haben unseren „Müttern und Vätern“ eine zuverlässige Kommunikationsverbindung bereitgestellt.
• Wenn auf Ihrem Server MtprotoProxyTelegram und OpenVPN eingerichtet sind, aber nicht mehr, wird es keine Verzögerungen/Pings/Ausfälle geben. Wenn Sie jedoch ständig mit Ihrem t2/micro experimentieren, erwarten Sie Verbindungsprobleme.
• Mein Ping über den Ozean beträgt ~100-250 ms, Verzögerungen in der Sprachübertragung sind nicht spürbar.
• Die finanziellen Kosten für all das (einschließlich der Ressourcen von VPC) betragen 0 ₽.

Wiedergabe meines eigenen Artikels.

UPD: Vielen Dank an einige Habr-Nutzer für die nützlichen Kommentare, tatsächlich könnte es (unterstützt durch Statistiken?) bessere Alternativen zum offiziellen Docker-Image von Mtproto Proxy Telegram geben.

Quelle: habr.com