MTProto-прокси на VPS: свой Telegram-прокси за 10 минут

1. Зачем свой прокси

Публичные MTProto-прокси из интернета — удобны, но непредсказуемы: они падают без предупреждения, перегружаются, а иногда собирают метаданные. Собственный прокси на VPS лишён этих проблем:

2. Как работает mtg и FakeTLS

mtg (github.com/9seconds/mtg) — неофициальная реализация MTProto-прокси на Go от независимого разработчика. Официальный прокси Telegram (TelegramMessenger/MTProxy) написан на C и не обновлялся с 2018 года — он не поддерживает FakeTLS. mtg широко используется сообществом и де-факто стал стандартом для самостоятельного развёртывания MTProto-прокси.

Поддерживает режим FakeTLS: при подключении клиент и прокси имитируют TLS-хендшейк с SNI-именем легитимного сайта (например, google.com). Для систем глубокой инспекции пакетов (DPI) соединение выглядит как обычный HTTPS к google.com — отличить невозможно без мониторинга IP-адресов конечных серверов.

Секрет — строка, которая авторизует клиентов и содержит имя домена для маскировки. Секрет в формате ee... (начинается с ee) — это FakeTLS-режим. Простой hex-секрет (без ee) — обычный MTProto без маскировки, хуже проходит DPI.

3. Требования

4. Способ 1: Docker (рекомендуется)

Docker-способ проще всего: не нужно следить за версиями, обновления делаются одной командой. Используем образ от автора mtg: nineseconds/mtg:2.

Шаг 1: установить Docker

curl -fsSL https://get.docker.com | sudo sh
sudo systemctl enable --now docker

Проверьте что Docker работает:

docker --version

Шаг 2: сгенерировать секрет

Секрет — ваш «пароль» прокси. Команда ниже генерирует FakeTLS-секрет с маскировкой под google.com. Запустите один раз и сохраните вывод.

docker run --rm nineseconds/mtg:2 generate-secret --hex google.com

Вывод будет одной строкой, примерно такой (ваш секрет будет другим):

ee4a7b3f1c8d2e9a5f6c0b4d8e1a3f7b2c676f6f676c652e636f6d

Секрет начинается с ee — признак FakeTLS-режима. Последние символы (676f6f676c652e636f6d) — hex-кодировка домена google.com. Итого ~54 символа.

Шаг 3: создать конфигурацию

sudo mkdir -p /etc/mtg

Создайте файл конфига, подставив ваш секрет из шага 2:

secret = "ВАШ_СЕКРЕТ_ИЗ_ШАГА_2"
bind-to = "0.0.0.0:443"

Быстрый способ создать файл сразу с секретом (замените ВАШ_СЕКРЕТ):

sudo tee /etc/mtg/config.toml << 'EOF'
secret = "ВАШ_СЕКРЕТ"
bind-to = "0.0.0.0:443"
EOF

Шаг 4: запустить контейнер

docker run -d   --name mtg   --restart unless-stopped   -v /etc/mtg/config.toml:/config.toml   -p 443:443   nineseconds/mtg:2

Убедитесь что контейнер запустился:

docker ps --filter name=mtg

В колонке STATUS должно быть Up N seconds.

5. Способ 2: бинарник + systemd

Если Docker не нужен или не установлен — скачайте готовый бинарник и настройте systemd-сервис. Не нужно ничего компилировать.

Шаг 1: скачать бинарник

VERSION=2.2.1
wget -O /tmp/mtg.tar.gz "https://github.com/9seconds/mtg/releases/download/v${VERSION}/mtg-${VERSION}-linux-amd64.tar.gz"
tar -xf /tmp/mtg.tar.gz -C /tmp --strip-components=1
sudo install -m 755 /tmp/mtg /usr/local/bin/mtg
rm /tmp/mtg.tar.gz /tmp/mtg

mtg --help

Шаг 2: сгенерировать секрет

mtg generate-secret --hex google.com

Шаг 3: создать конфиг

sudo mkdir -p /etc/mtg
sudo tee /etc/mtg/config.toml << 'EOF'
secret = "ВАШ_СЕКРЕТ"
bind-to = "0.0.0.0:443"
EOF

Шаг 4: создать systemd-сервис

sudo tee /etc/systemd/system/mtg.service << 'EOF'
[Unit]
Description=MTG MTProto Proxy
After=network.target

[Service]
Type=simple
ExecStart=/usr/local/bin/mtg run /etc/mtg/config.toml
Restart=on-failure
RestartSec=5
LimitNOFILE=65536

[Install]
WantedBy=multi-user.target
EOF

sudo systemctl daemon-reload
sudo systemctl enable --now mtg

sudo systemctl status mtg

В выводе должно быть Active: active (running).

6. Спонсорский канал (adtag)

Telegram позволяет операторам MTProto-прокси привязать спонсорский канал: пользователи, подключённые через прокси, видят продвигаемый канал с меткой «Прокси-спонсор». Управляется через бот @MTProxybot.

Официальный MTProxy с adtag

Официальный MTProxy написан на C, последнее обновление — 2018 год, но adtag в нём работает. Установка через Docker:

Шаг 1. Запустите контейнер без TAG — контейнер автоматически сгенерирует SECRET и выведет tg://-ссылку в логи:

docker run -d   --name mtproxy   --restart unless-stopped   -p 443:443   -v proxy-config:/data   telegrammessenger/proxy:latest

# Посмотреть логи — там будет tg://-ссылка с секретом
docker logs mtproxy

Шаг 2. В @MTProxybot: команда /newproxy → отправьте боту tg://-ссылку из логов → бот зарегистрирует прокси и выдаст TAG (adtag).

Шаг 3. Перезапустите контейнер с TAG:

docker stop mtproxy && docker rm mtproxy
docker run -d   --name mtproxy   --restart unless-stopped   -p 443:443   -v proxy-config:/data   -e TAG=ВАШ_TAG_ИЗ_MTPROXYBOT   telegrammessenger/proxy:latest

Флаг -v proxy-config:/data обязателен — в нём сохраняется SECRET между перезапусками, поэтому tg://-ссылка остаётся прежней.

7. Настройка UFW

Если на сервере включён фаервол UFW — откройте порт прокси. Если UFW не используется, пропустите этот шаг.

sudo ufw allow 443/tcp
sudo ufw status

Если используете порт 8443 вместо 443 — замените в команде выше.

8. Ссылка для подключения

mtg умеет автоматически определить внешний IP и сформировать готовую ссылку.

Docker-способ

docker run --rm   -v /etc/mtg/config.toml:/config.toml   nineseconds/mtg:2 access /config.toml

Бинарник-способ

mtg access /etc/mtg/config.toml

Вывод — JSON. IP определяется автоматически через ifconfig.co. Ищите поле tme_url в блоке ipv4:

{
  "ipv4": {
    "ip": "1.2.3.4",
    "port": 443,
    "tg_url": "tg://proxy?server=1.2.3.4&port=443&secret=7iBa...",
    "tg_qrcode": "https://api.qrserver.com/...",
    "tme_url": "https://t.me/proxy?server=1.2.3.4&port=443&secret=7iBa...",
    "tme_qrcode": "https://api.qrserver.com/..."
  },
  "secret": { "hex": "ee...", "base64": "7iBa..." }
}

Скопируйте значение tme_url — ссылка вида https://t.me/proxy?... работает на всех платформах. Секрет в URL отображается в base64-формате (7iBa...) — это то же самое, что hex-секрет ee..., просто другая кодировка. Telegram принимает оба формата.

Ссылка вручную

Если команда access показала неправильный IP или не сработала — составьте ссылку вручную:

https://t.me/proxy?server=IP_ВАШЕГО_VPS&port=443&secret=ВАШ_СЕКРЕТ

Узнать внешний IP VPS: curl -4 ifconfig.me

9. Подключение в Telegram

Самый простой способ — перейти по ссылке https://t.me/proxy?... с устройства, где открыт Telegram. Он автоматически откроет приложение с готовым диалогом добавления прокси.

10. Мониторинг и обновление

Просмотр логов

В логах mtg нет ничего лишнего — только служебные сообщения о запуске и остановке. Это сделано намеренно: логи не должны содержать информацию о пользователях.

Обновление mtg (Docker)

docker pull nineseconds/mtg:2
docker stop mtg
docker rm mtg
docker run -d   --name mtg   --restart unless-stopped   -v /etc/mtg/config.toml:/config.toml   -p 443:443   nineseconds/mtg:2

Обновление mtg (бинарник)

VERSION=2.2.1  # замените на актуальную версию
wget -O /tmp/mtg.tar.gz "https://github.com/9seconds/mtg/releases/download/v${VERSION}/mtg-${VERSION}-linux-amd64.tar.gz"
tar -xf /tmp/mtg.tar.gz -C /tmp --strip-components=1
sudo systemctl stop mtg
sudo install -m 755 /tmp/mtg /usr/local/bin/mtg
sudo systemctl start mtg
rm /tmp/mtg.tar.gz /tmp/mtg

Диагностика подключения

Если Telegram не может подключиться — проверьте порт снаружи с другого компьютера:

nc -zv IP_ВАШЕГО_VPS 443

Если nc не установлен: sudo apt install -y netcat-openbsd. Успешный вывод: Connection to IP 443 port [tcp/https] succeeded!

11. Частые вопросы