Distribution av egen MTProxy Telegram med statistik

Jag ärver denna oreda,
börjar med de skamlösa Zello; LinkedIn
och slutar med "alla andra" på plattformen Telegram
i min värld.

Och sedan, efter att ha harklat sig,
la tjänstemannen hastigt och högt till:
men jag ska ställa ordning här (i IT)"
(…).

Durov anser med rätta att det är auktoritära stater som ska vara rädda för honom, krypteringspunkten, medan Roskomnadzor och gyllene sköldar med sina DPI-filter inte bekymrar honom så mycket."
(Politisk teknik)

Min tekniska politik är enklare, jag kan här beskriva mina tankar kring vårdslösa blockeringar i Runet, men jag anser att progressiva medborgare i Modern Russia och användare av Habr har känt på sin egen kropp den nuvarande maktens oprofessionellism, så jag begränsar mig till en enda fras: vår tekniska politik är "Digital Motstånd". "att säkerställa ett stabilt kommunikationskanal för släktingar och nära och kära."

Distribution av MTProto-proxy för Telegram

• Teknisk komplexitetsnivå – "inte komplicerat", om man till exempel följer denna handledning.
• Tillförlitlighetsnivå – "över genomsnittet": dockeravbildningen fungerar stabilt, den behöver inte startas om varje dag, som utvecklarna skrev i sin officiella dokumentation för Telegram, men några sårbarheter kommer containerna säkert att innehålla.
• Motståndsnivå/Ångest – 10 IS-soldater spinner sina konspirationer "släktingarna använder det", jag har aldrig fått något förbud från RKN under hela tiden (sedan våren).
• Tillitsnivå – "offentlig baby-mistrust", problemet ligger hos kunderna (vissa vänner är misstänksamma mot min MtprotoProxy).
• Testosteronnivå – "blev inte högre".
• Kostnader – "0₽".
• Ekonomisk belöning – "beror inte på medborgare Durov". Incitament – möjligheten att påtvinga reklam.

Vi kommer att köra vår TelegramProxy på "gratis/personal" resurser från Amazon-ec2: t2.micro. Jag har använt denna maskinen.

Okej, vi har distribuerat vår gratis server, gå till den officiella webbplatsen dockerhub och ladda ner docker-containern.

Det behövs ingen sökning efter något avbild, fil eller magisk knapp – "de finns inte", all magi görs i CLI:

$ docker pull telegrammessenger/proxy #avbild hämtad.

Men innan "detta" installerar du docker för CLI:

sudo apt-get install docker.io docker

Därefter erbjuder den officiella dokumentationen för MtprotoProxyTelegram oss att göra ungefär följande, gör så här:

$ sudo su && docker run -d -p443:443 --name=mtproto-proxy --restart=always -v proxy-config:/data telegrammessenger/proxy:latest #startar vår container "mtproto-proxy".

Efter detta kommando kommer en HEX-sträng att visas i terminalens utdata, men det är inte av intresse för oss.

Skriv i CLI:

$ docker logs mtproto-proxy

Och vi får de nödvändiga uppgifterna:

I loggutdata visas (hindrat):

A) vår server-IP (den externa server-IP);
B) samt en slumpmässig hemlighet — en slumpmässig sträng i HEX.

Innan vi registrerar vår MtproProxy, måste vi ställa in huvudbrandväggen ovanför iptables (oavsett hur du vidarebefordrar trafik på denna VPC, kommer den att vara olydig, eftersom den största brandväggen i Amazon-EC2 ligger i webbgränssnittet och har högre prioritet än iptables).

Vi går till "konsolen Amazon-EC2" i Säkerhetsgrupp och öppnar den inkommande 443-porten (logisk maskering av trafiken till en början).

Vi tar från loggen våra uppgifter "ip och hemlighet" och går till meddelandeappen Telegram, hittar den officiella MTProxy Admin Bot (@MTProxybot) och registrerar vår MtproProxy: vi startar kommandot [\/newproxy] och anger [vår_ip:443], och sedan vår [hemlighet\/HEX].

Om du gör fel när du anger uppgifterna, kommer boten att bli arg och skicka dig tillbaka...

Om två rader är ifyllda utan fel, får du godkännande och en fungerande länk till din aktiva MtprotoProxyTelegram, som du kan dela med vem som helst.

Genom denna bot kan du också lägga till din sponsorkanal (men inte chatt), där du kommer att påtvinga dina åsikter på användare som anslutit till din servern, eller så kan du välja att inte "spamma" och inte störa potentiella kunder genom att inte visa kanalen i den fastsatta listan i meddelandeappen.

Några ord om boten, där kan man begära statistik, men "också en bagel". Antagligen är "statistiken" tillgänglig när en "klunga av snyltare" gapar efter dig från Makhachkala.

Övervakning

Och hur många användare kan vi ansluta till vår server? Och överhuvudtaget, vem/vad är där? Vad? Och hur många?

Vi kontrollerar vad som sägs i den officiella dokumentationen... Aha, så här gör man:

$ curl http:\/\/localhost:2398\/stats eller så här $ docker exec mtproto-proxy curl http:\/\/localhost:2398\/stats # och vi får statistik direkt i CLI.

"Håll i fickan bredare". Genom de angivna kommandona kommer vi alltid att få ett liknande felmeddelande:

«curl: (7) Failed to connect to localhost port 2398: Anslutningen nekades»

Proxyen kommer att fungera. Men! En bagel, inte statistik vi kommer att få.

Vi kan syssla med affärerna för de röda ögonen: kontrollera

$ netstat -an | grep 2398 och...

Först trodde jag att det var ännu ett misstag av Telegrams utvecklare (och jag tycker fortfarande det), men jag hittade en tillfällig, rätt bra lösning: att slipa Docker-containern med en fil.

Senare kom jag över information:

om de statliga danserna från Roskomnadzor kring 'statistik'.

“Vi har blockerat en del av de offentliga proxy-servrarna på våra servrar, med hjälp av databaser från projektet firehol. Det här projektet övervakar listor med offentliga proxy-servrar och gör databaser med dem.

Sedan dess (dvs. i nästan två dygn) har ingen IP-adress från vår ryska proxy blivit blockerad.

3. Vi förklarar hur man gör en nästan oförlåtlig proxy för Roskomnadzor och delar med oss av ett skript för att blockera offentliga proxy-servrar.

— Uppdatera docker-containern (eller demon) för MTProto-proxy till den senaste versionen: RKN beräknar gamla versioner via statistikporten som bandades till 0.0.0.0 och entydigt identifierade sig för hela internet. Bättre – öppna de nödvändiga portarna med hjälp av iptables, och stäng de andra (kom ihåg att för Docker-containrar bör du använda regeln FORWARD).

— Roskomnadzor har länge lärt sig att dumpa trafik: de ser förfrågningar inuti HTTP- och SOCKS5-proxyn, och ser även den gamla versionen av MTProto-proxy-obfuskering.

När kunder från vissa leverantörer, som har installerat sådana dumpare, ansluter sig till Telegram via sådana proxys, så ser RKN dessa förfrågningar och blockerar omedelbart dessa proxys. Detsamma gäller MTProto-proxy med gammal obfuskering.

Lösning: ge till kunder som ansluter till proxyn en secret som bara börjar med dd (det är inte nödvändigt att ange ytterligare bokstäver dd i inställningarna för själva mtproto-proxyn). Detta kommer att aktivera en obfuskering som dumpare inte kan identifiera.

Och inga HTTP- och SOCKS5-proxys.

— Ett knep som varje ägare av Telegram-proxies, som ofta blir blockerade av RKN, kan använda för att helt (eller nästan helt) avbryta blockeringar (och dessutom bekräfta att RKN ljuger).

Ett skript som blockerar offentliga proxys och en liten manual till det.

→ Källa

Vår proxy är västerländsk, jag har inte stött på några problem/blockeringar under de våriga och svala sommarveckorna, och det var inte heller en kreativ uppgift, så jag ägnade mig inte åt att förlora tempo och la inte till prefixet dd* till nyckeln.

Manualen „hämtning av statistik/övervakning“ enligt den officiella instruktionen för MtprotoProxyTelegram är oanvändbar/utdaterad, vi måste fixa docker-bilden.

Vi lagar.

Containern är fortfarande igång:

$ docker stop mtproto-proxy #stoppar vår igångvarande docker-container och startar en ny bild med den saknade statistikflaggan

$ docker run --net=host --name=mtproto-proxy2 -d -p443:443 -v proxy-config:/data -e SECRET=din_tidigare_secret_hex telegrammessenger/proxy:latest

Vi kontrollerar statistiken:

$ curl http://localhost:2398/stats

curl: (7) Misslyckades med att ansluta till 0.0.0.0 port 2398: Anslutningen nekades
Statistiken är fortfarande otillgänglig .!..

Vi får identifieraren för docker-containern:

$ docker ps

CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
f423c209cfdc telegrammessenger/proxy:latest "/bin/sh -c '/bin/ba..." För ungefär en timme sedan Up För ungefär en minut 0.0.0.0:443->443/tcp mtproto-proxy2

Vi går in i docker-containern med våra egna regler:

$ sudo docker exec -it f423c209cfdc /bin/bash

$ apt-get update
$ apt-get install nano
$ nano -$ run.sh

Och i den allra sista raden av skriptet „run.sh“ lägger vi till den saknade flaggan:

«—http-stats»
„exec /usr/local/bin/mtproto-proxy -p 2398 -H 443 -M "$WORKERS" -C 60000 --aes-pwd /etc/telegram/hello-explorers-how-are-you-doing -u root $CONFIG --allow-skip-d h --nat-info "$INTERNAL_IP:$IP" $SECRET_CMD $TAG_CMD"

Lägg till „—http-stats“, så här borde det se ut:

„exec /usr/local/bin/mtproto-proxy -p 2398 --http-stats -H 443 -M "$WORKERS" -C 60000 --aes-pwd /etc/telegram/hello-explorers-how-are-you-doing -u root $CONFIG --allow-skip-d h --nat-info "$INTERNAL_IP:$IP" $SECRET_CMD $TAG_CMD"

Ctrl+o/Ctrl+x/Ctrl+d (spara/avsluta nano/avsluta containern).

Vi startar om vår docker-container:

$ docker restart mtproto-proxy2

Där, nu med kommandot:

$ curl http://localhost:2398/stats #får omfattande statistik

Statistiken har mycket „skräp“ (på skärmdumpen är 1/3 av den), vi skapar en alias:

$ echo "alias telega='curl localhost:2398/stats | grep -e total_special -e load_average_total'" >> .bashrc && bash

Vi får det vi polerat docker-containern för: antalet anslutningar och belastningen:

$ telega

Docker-containern fungerar, statistiken rullar på.

Använda resurser

Oavsett hur cool du är, Stuart Redman, lämnar även du ett spår av skräp på dina underkläder. En fungerande Docker-bild lämnar ett betydande avtryck.

Att beskriva fördelarna och nackdelarna med docker-bilder är meningslöst, en docker-container är en mini-virtuell maskin som förbrukar resurser mindre än en "verklig" virtuell maskin, till exempel VirtualBox, men förbrukar.

1) Oavsett om docker-bilden körs med statistik eller utan, två klienter verkar eller tio — resurserna utnyttjas ~likadant: 75% av den totala CPU-prestandan t2.micro.

2) Vi tittar på övervakningen av VPC-servern:

Från resursutnyttjande grafen på VPC ser vi att docker-containern ständigt använder ~7,5% av den totala max. CPU-prestandan och stoppades den 28 maj av mig avsiktligt/tillfälligt. (Obs — OpenVPN & pptp körs också på servern).

Varför är 10% konstant CPU-belastning gränsen för denna server?

För att det finns begränsningar från Amazon EC2 och de räknas i krediter:

1 CPU-kredit = 1 CPU som körs med 100% belastning under en minut, och vi har 6 krediter (vilket innebär att vid spikar kan 100% utnyttjande av CPU vara möjligt i 6 minuter, och därefter minskar CPU-kapaciteten). Andra kombinationer: till exempel, 1 CPU-kredit = 1 CPU som körs med 50% belastning under två minuter (det innebär att vi kan använda CPU med 50% belastning i 12 minuter), eller exempel, konstant 10% belastning av CPU under hela tiden, osv.

Slutsatser

• Vi är en del av "Digitalt Motstånd". Vi har försett våra "pappa och mamma" med en pålitlig kommunikationskanal.
• Om du har distribuerat MtprotoProxyTelegram och OpenVPN på servern, men inte mer, kommer det inte att bli några fördröjningar/pingar/fel, men om du ständigt experimenterar med din t2/micro, förvänta dig förseningar i kommunikationen.
• Min överhavande ping är ~100-250ms, inga fördröjningar i talkommunikationen känns av.
• De ekonomiska kostnaderna för allt "detta" (inklusive VPC-resurser) = 0₽.

Ompublicering av sin artikel.

UPD: Tack till vissa habra-användare för användbara kommentarer, det är faktiskt möjligt (stöds statistik?), att det finns bättre alternativ till den officiella docker-bilden av Mtproto proxy Telegram.

Källa: habr.com