MTProto-прокси на VPS: свой Telegram-прокси за 10 минут

1. Зачем свой прокси

Публичные MTProto-прокси из интернета — удобны, но непредсказуемы: они падают без предупреждения, перегружаются, а иногда собирают метаданные. Собственный прокси на VPS лишён этих проблем при условии, что вы попадаете в его реалистичный сценарий применения (см. блок-предупреждение в начале статьи).

2. Как работает mtg и FakeTLS

mtg (github.com/9seconds/mtg) — неофициальная реализация MTProto-прокси на Go от независимого разработчика. Актуальная версия — 2.2.8 (7 апреля 2026). Официальный прокси Telegram (TelegramMessenger/MTProxy) написан на C, тоже умеет FakeTLS и до сих пор получает коммиты (последние — август 2026), но релизов у него так и не было с 2018 года, а его официальный Docker-образ собран криво (см. раздел 11). Кроме mtg есть ещё активные реализации — прежде всего telemt на Rust: она умеет то же плюс спонсорский канал и несколько пользователей. Мы берём mtg: минимальный конфиг из двух строк, готовые бинарники и образ, встроенная самопроверка.

Поддерживает режим FakeTLS: при подключении клиент и прокси имитируют TLS-хендшейк с SNI-именем легитимного сайта. Для DPI, который смотрит на сигнатуру протокола, соединение выглядит как обычный HTTPS к этому сайту. Есть и вторая линия — доппельгангер: mtg умеет подстраивать задержки и размеры TLS-записей под статистику настоящего сайта. По умолчанию эта подсистема простаивает: ей нужен список адресов для замера (шаг 6 раздела 4). Но полной невидимости FakeTLS не даёт: российский ТСПУ с весны 2026 ловит его по отпечатку клиентского приветствия и по статистике потока (см. раздел 10), корпоративные NGFW умеют то же в меньших масштабах.

Секрет — строка, которая авторизует клиентов и содержит имя домена для маскировки. Секрет в формате ee... (начинается с ee) — это FakeTLS-режим. Простой hex-секрет (без ee) — старый MTProto без маскировки: mtg v2 такие секреты не принимает и с ними не запускается.

3. Требования

4. Способ 1: Docker (рекомендуется)

Docker-способ проще всего: не нужно следить за версиями, обновления делаются одной командой. Используем образ от автора mtg: nineseconds/mtg:2.

sudo ss -tlnp | grep ':443 '

Шаг 1: установить Docker

curl -fsSL https://get.docker.com | sudo sh

Проверьте что Docker работает:

docker --version

Шаг 2: сгенерировать секрет

Секрет — ваш «пароль» прокси, и в нём же зашит домен для маскировки. Подставьте свой домен по правилам из раздела 2 (минимум — сайт вашего же хостера, не google.com), запустите один раз и сохраните вывод.

FRONT_DOMAIN=example.com

docker run --rm nineseconds/mtg:2 generate-secret --hex "$FRONT_DOMAIN"

Вывод будет одной строкой, примерно такой (ваш секрет будет другим):

ee2ae24a08127d98ca953e5e11345e23ba6578616d706c652e636f6d

Секрет начинается с ee — признак FakeTLS-режима. Дальше 32 символа случайного ключа, а хвост (6578616d706c652e636f6d) — hex-кодировка домена example.com. Длина зависит от домена: 34 символа плюс по два на каждый его символ.

Шаг 3: создать конфигурацию

Создайте директорию и файл конфига одной командой. Замените ВАШ_СЕКРЕТ на значение из шага 2:

sudo mkdir -p /etc/mtg
sudo tee /etc/mtg/config.toml << 'EOF'
secret = "ВАШ_СЕКРЕТ"
bind-to = "0.0.0.0:443"
EOF

Шаг 4: запустить контейнер

docker run -d \
  --name mtg \
  --restart unless-stopped \
  -v /etc/mtg/config.toml:/config.toml \
  -p 443:443 \
  nineseconds/mtg:2

Убедитесь что контейнер запустился:

docker ps --filter name=mtg
docker logs mtg

В колонке STATUS должно быть Up N seconds. При нормальном старте docker logs mtg не выводит ничего — это не ошибка, mtg молчит, пока всё в порядке. Если в статусе Restarting — в логах будет причина: чаще всего это занятый порт или неправильный формат секрета.

Шаг 5: проверить конфигурацию

У mtg есть встроенная самопроверка — она делает то, что иначе пришлось бы выяснять по симптомам: сверяет часы, пробует достучаться до дата-центров Telegram и до домена маскировки.

docker run --rm \
  -v /etc/mtg/config.toml:/config.toml \
  nineseconds/mtg:2 doctor /config.toml

Шаг 6 (необязательно): доппельгангер

FakeTLS прячет сигнатуру протокола, но не ритм трафика. За ритм отвечает отдельная подсистема: mtg ходит по указанным HTTPS-адресам, замеряет паузы между пакетами и подгоняет под них свои. Без списка адресов ей нечего замерять, поэтому в минимальном конфиге её нет. Допишите в конец конфига два-три адреса того же домена, что в секрете, — лучше «тяжёлых», вроде картинки или скрипта:

sudo tee -a /etc/mtg/config.toml << 'EOF'

[defense.doppelganger]
urls = [
  "https://example.com/",
  "https://example.com/static/main.js",
]
EOF

Перезапустите прокси: docker restart mtg (для способа 2 — sudo systemctl restart mtg). Первый обход mtg делает сразу после старта, дальше — раз в 6 часов; статистику он начинает применять, набрав около сотни замеров. От отпечатка клиента это не спасает, но против анализа по размерам пакетов и таймингам — единственное, что в mtg есть.

5. Способ 2: бинарник + systemd

Если Docker не нужен или не установлен — скачайте готовый бинарник и настройте systemd-сервис. Не нужно ничего компилировать.

Шаг 1: скачать бинарник

Скачайте последний релиз с github.com/9seconds/mtg/releases/latest. На сентябрь 2026 актуальная версия — 2.2.8 (вышла 7 апреля 2026). Замените VERSION на номер последнего релиза, если вышел новее (например, 2.2.9):

VERSION=2.2.8
ARCH=linux-amd64

cd /tmp
wget "https://github.com/9seconds/mtg/releases/download/v${VERSION}/mtg-${VERSION}-${ARCH}.tar.gz"
tar -xf "mtg-${VERSION}-${ARCH}.tar.gz"
sudo install -m 755 "mtg-${VERSION}-${ARCH}/mtg" /usr/local/bin/mtg
rm -rf "mtg-${VERSION}-${ARCH}" "mtg-${VERSION}-${ARCH}.tar.gz"

mtg --version

Шаг 2: сгенерировать секрет

FRONT_DOMAIN=example.com

mtg generate-secret --hex "$FRONT_DOMAIN"

Шаг 3: создать конфиг

sudo mkdir -p /etc/mtg
sudo tee /etc/mtg/config.toml << 'EOF'
secret = "ВАШ_СЕКРЕТ"
bind-to = "0.0.0.0:443"
EOF

Шаг 4: создать systemd-сервис

sudo tee /etc/systemd/system/mtg.service << 'EOF'
[Unit]
Description=MTG MTProto Proxy
After=network-online.target
Wants=network-online.target

[Service]
Type=simple
ExecStart=/usr/local/bin/mtg run /etc/mtg/config.toml
Restart=on-failure
RestartSec=5
LimitNOFILE=65536

[Install]
WantedBy=multi-user.target
EOF

sudo systemctl daemon-reload
sudo systemctl enable --now mtg

sudo systemctl status mtg
mtg doctor /etc/mtg/config.toml

В выводе должно быть Active: active (running). Как читать результат doctor — описано в разделе 4, там же — необязательный шаг 6 про доппельгангер.

6. Настройка UFW

Если на сервере включён фаервол UFW — откройте порт прокси. Если UFW не используется, пропустите этот шаг.

sudo ufw allow 443/tcp
sudo ufw status

Если используете порт 8443 вместо 443 — замените в команде выше.

Важно: UFW работает внутри VPS. Если ваш провайдер использует отдельный сетевой firewall на уровне панели (Hetzner, Selectel, AWS, Vultr и др.) — там порт тоже надо открыть. Подробнее — в разделе «Если не подключается».

7. Ссылка для подключения

mtg умеет автоматически определить внешний IP и сформировать готовую ссылку.

Docker-способ

docker run --rm \
  -v /etc/mtg/config.toml:/config.toml \
  nineseconds/mtg:2 access /config.toml

Бинарник-способ

mtg access /etc/mtg/config.toml

Вывод — JSON. IP определяется автоматически через внешний сервис. Ищите поле tme_url в блоке ipv4:

{
  "ipv4": {
    "ip": "1.2.3.4",
    "port": 443,
    "tg_url": "tg://proxy?port=443&secret=7iBa...&server=1.2.3.4",
    "tg_qrcode": "https://api.qrserver.com/...",
    "tme_url": "https://t.me/proxy?port=443&secret=7iBa...&server=1.2.3.4",
    "tme_qrcode": "https://api.qrserver.com/..."
  },
  "secret": { "hex": "ee...", "base64": "7iBa..." }
}

Скопируйте значение tme_url — ссылка вида https://t.me/proxy?... работает на всех платформах.

Ссылка вручную

Если команда access показала неправильный IP или не сработала — составьте ссылку вручную:

https://t.me/proxy?server=IP_ВАШЕГО_VPS&port=443&secret=ВАШ_СЕКРЕТ

Узнать внешний IP VPS: curl -4 ifconfig.me

8. Подключение в Telegram

Самый простой способ — перейти по ссылке https://t.me/proxy?... с устройства, где открыт Telegram. Он автоматически откроет приложение с готовым диалогом добавления прокси.

9. Мониторинг и обновление

Просмотр логов

В логах обычно пусто: уровень по умолчанию — только предупреждения и ошибки. Это сделано намеренно, логи не должны содержать информацию о пользователях. Так что молчаливый journalctl — хороший знак, а не признак того, что мониторинг не работает.

Обновление mtg (Docker)

docker pull nineseconds/mtg:2
docker stop mtg
docker rm mtg
docker run -d \
  --name mtg \
  --restart unless-stopped \
  -v /etc/mtg/config.toml:/config.toml \
  -p 443:443 \
  nineseconds/mtg:2

Обновление mtg (бинарник)

Подставьте свежую версию из релизов на GitHub:

VERSION=2.2.8
ARCH=linux-amd64

cd /tmp
wget "https://github.com/9seconds/mtg/releases/download/v${VERSION}/mtg-${VERSION}-${ARCH}.tar.gz"
tar -xf "mtg-${VERSION}-${ARCH}.tar.gz"
sudo systemctl stop mtg
sudo install -m 755 "mtg-${VERSION}-${ARCH}/mtg" /usr/local/bin/mtg
sudo systemctl start mtg
rm -rf "mtg-${VERSION}-${ARCH}" "mtg-${VERSION}-${ARCH}.tar.gz"

10. Если не подключается

В 90% случаев «прокси не работает» дело не в mtg, а в одной из пяти причин ниже. Проверяйте по порядку.

1. Firewall в панели провайдера

Это причина номер один. У Hetzner Cloud, Selectel, Yandex Cloud, AWS, DigitalOcean, Vultr и многих других есть отдельный сетевой firewall на уровне панели управления — он работает до того, как трафик достигнет UFW внутри ОС. Правило ufw allow 443/tcp на VPS его не открывает. Зайдите в панель провайдера → Firewall / Security Groups / Правила сети → добавьте входящее правило TCP 443 из 0.0.0.0/0.

Проверить доступность порта снаружи (с домашнего компьютера или другого сервера):

nc -zv IP_ВАШЕГО_VPS 443

Test-NetConnection -ComputerName IP_ВАШЕГО_VPS -Port 443

Успешный вывод nc: Connection to IP 443 port [tcp/https] succeeded!. PowerShell должен показать TcpTestSucceeded : True. Если видите Connection refused / TcpTestSucceeded : False с быстрым ответом — сервис на VPS не запущен. Если Connection timed out / долгое зависание — блокирует firewall (скорее всего в панели провайдера).

2. Блокировка в РФ (ТСПУ) — хронология 2026

3. Порт 443 уже занят другим сервисом

Если вы пропустили проверку в начале раздела 4 — контейнер уйдёт в перезапуск, systemd-сервис упадёт с bind: address already in use. Проверьте, что слушает порт:

sudo ss -tlnp | grep ':443 '

Вариант 1 — остановить конфликтующий сервис.
Вариант 2 — сменить порт mtg на 8443. Отредактируйте конфиг:

sudo sed -i 's|bind-to = "0.0.0.0:443"|bind-to = "0.0.0.0:8443"|' /etc/mtg/config.toml

Пересоздайте контейнер с новым пробросом порта (Docker-способ):

docker stop mtg && docker rm mtg
docker run -d \
  --name mtg \
  --restart unless-stopped \
  -v /etc/mtg/config.toml:/config.toml \
  -p 8443:8443 \
  nineseconds/mtg:2

Или перезапустите systemd-сервис (бинарник-способ):

sudo systemctl restart mtg

Не забудьте открыть новый порт в firewall VPS и в панели провайдера, а также перегенерировать ссылку подключения (в ней теперь &port=8443).

4. VPS за NAT (серый IP)

У некоторых дешёвых тарифов VPS нет публичного IPv4 — вы получаете только «серый» адрес за NAT провайдера. curl -4 ifconfig.me в таком случае вернёт адрес NAT-шлюза, а порт снаружи не проброшен. Сверьте:

ip -4 addr show scope global | grep inet
curl -4 ifconfig.me

Если IP на сетевом интерфейсе начинается с 10., 172.16–31. или 192.168., а ifconfig.me показывает другой адрес — у вас NAT. Либо попросите провайдера выдать «белый» IP, либо смените тариф.

5. У клиента нет IPv4

Встречается редко, но чинится. В ссылке на прокси стоит IPv4-адрес сервера, и клиент в IPv6-only сети (такие бывают у мобильных операторов) до него не дотянется. Лечится в два действия: прокси начинает слушать оба стека, а такому пользователю вы даёте вторую ссылку — с IPv6-адресом.

Сначала проверьте, есть ли у вашего VPS публичный IPv6:

ip -6 addr show scope global

Если вывод пустой — у сервера нет IPv6, этот пункт не применим. Если адреса есть — действуйте по своему способу установки.

Способ 1 (Docker): на проброшенный порт (-p 443:443) IPv6-клиент рассчитывать не может: для этого в демоне должны быть включены ipv6 и ip6tables, а по умолчанию их нет. Плюс mtg внутри контейнера слушает только 0.0.0.0:443. Надёжный способ — убрать прослойку Docker через --network host и слушать сразу оба стека:

sudo sed -i 's|bind-to = "0.0.0.0:443"|bind-to = "[::]:443"|' /etc/mtg/config.toml
docker stop mtg && docker rm mtg
docker run -d \
  --name mtg \
  --restart unless-stopped \
  --network host \
  -v /etc/mtg/config.toml:/config.toml \
  nineseconds/mtg:2

--network host отключает сетевую изоляцию контейнера — для MTProto-прокси это безопасно, потому что mtg слушает только заданный порт. Флаг -p с host-network не используется. Перед пересозданием убедитесь, что порт 443 на хосте свободен (sudo ss -tlnp | grep ':443 ').

Способ 2 (бинарник + systemd): меняете конфиг и перезапускаете сервис.

sudo sed -i 's|bind-to = "0.0.0.0:443"|bind-to = "[::]:443"|' /etc/mtg/config.toml
sudo systemctl restart mtg

На Linux сокет [::] по умолчанию принимает и IPv4 тоже (net.ipv6.bindv6only = 0), так что старые ссылки продолжат работать.

Осталось забрать вторую ссылку: mtg access выведет теперь и блок ipv6 — его tme_url и отправляйте тем, у кого IPv4 нет. Для Docker к команде из раздела 7 допишите --network host: иначе временный контейнер не увидит IPv6 хоста и блока в выводе не будет.

Быстрый чек-лист

11. Спонсорский канал и другие реализации

Telegram позволяет операторам MTProto-прокси привязать спонсорский канал: пользователи, подключённые через прокси, видят продвигаемый канал с меткой «Прокси-спонсор». Тег выдаёт бот @MTProxybot. Личному прокси это не нужно — поэтому раздел и стоит последним.

Почему не официальный образ Telegram

Инструкции в интернете обычно предлагают образ telegrammessenger/proxy. Мы его проверили 3 сентября 2026 — в таком виде он не решает задачу:

• Тег :2.0beta пересобран 1 апреля 2026, но в образе нет пакета iproute2. Стартовый скрипт вызывает ip route get, получает ip: command not found и падает с Cannot determine internal IP address. Контейнер не поднимается вообще.
• Тег :latest (сборка февраля 2020) запускается, но это старый бинарник.
• Главное: FakeTLS в официальном образе не включается ни на одном теге. Режим ee в MTProxy живёт за ключом -D <домен>, а стартовый скрипт образа его не передаёт — без него сервер отвергает TLS-подключения и остаются только классический и dd-режимы, то есть ровно то, что ТСПУ ловит первым.
• Заодно: переменная SECRET у образа принимает строго 32 hex-символа. Популярный совет «передайте туда ee-секрет с доменом» приводит к Bad secret format и выходу с ошибкой.

Хотите именно официальный MTProxy — его собирают из исходников (make, зависимости libssl-dev и zlib1g-dev) и запускают с ключами -D домен, -S секрет и -P тег. Способ рабочий, но это отдельная история на полстатьи. Ниже — короткий путь.

telemt: adtag и FakeTLS сразу

telemt — реализация на Rust, которую в своём README рекомендует сам автор mtg. Умеет всё то же, что mtg, плюс спонсорский канал, несколько пользователей с отдельными секретами и HTTP-API для выдачи ссылок. Актуальная версия на сентябрь 2026 — 3.5.5.

Шаг 1. Скачать бинарник. Обратите внимание на выбор сборки:

ARCH=$(uname -m)
LIBC=$(ldd --version 2>&1 | grep -iq musl && echo musl || echo gnu)

cd /tmp
wget -qO- "https://github.com/telemt/telemt/releases/latest/download/telemt-${ARCH}-linux-${LIBC}.tar.gz" | tar -xz
sudo install -m 755 telemt /usr/local/bin/telemt
rm -f /tmp/telemt
telemt --version

Шаг 2. Сгенерировать секрет — здесь это обычные 16 байт без домена, домен задаётся отдельным полем конфига:

openssl rand -hex 16

Шаг 3. Зарегистрировать прокси в @MTProxybot и получить тег: команда /newproxy, затем адрес в виде IP_VPS:443, затем тот же секрет из шага 2. В ответ придёт TAG — 32 hex-символа.

Шаг 4. Создать конфиг. Подставьте свои секрет, тег и домен маскировки:

sudo mkdir -p /etc/telemt
sudo tee /etc/telemt/telemt.toml << 'EOF'
[general]
use_middle_proxy = true
ad_tag = "ВАШ_TAG_ИЗ_MTPROXYBOT"
log_level = "normal"

[general.modes]
classic = false
secure = false
tls = true

[general.links]
show = "*"

[server]
port = 443

[server.api]
enabled = true
listen = "127.0.0.1:9091"
whitelist = ["127.0.0.1/32", "::1/128"]

[[server.listeners]]
ip = "0.0.0.0"

[censorship]
tls_domain = "example.com"
mask = true
tls_emulation = true
tls_front_dir = "tlsfront"

[access.users]
alice = "ВАШ_СЕКРЕТ_32_HEX"
EOF

classic и secure выключены намеренно: это старые режимы без маскировки, оставлять их — значит держать открытой самую заметную для DPI дверь. Домен в tls_domain подбирается по тем же правилам, что и для mtg (раздел 2), и его смена делает старые ссылки нерабочими.

Шаг 5. Завести пользователя и systemd-сервис:

sudo useradd -d /opt/telemt -m -r -U telemt
sudo chown -R telemt:telemt /etc/telemt

sudo tee /etc/systemd/system/telemt.service << 'EOF'
[Unit]
Description=Telemt MTProto Proxy
After=network-online.target
Wants=network-online.target

[Service]
Type=simple
User=telemt
Group=telemt
WorkingDirectory=/opt/telemt
ExecStart=/usr/local/bin/telemt /etc/telemt/telemt.toml
Restart=on-failure
RestartSec=5
LimitNOFILE=65536
AmbientCapabilities=CAP_NET_BIND_SERVICE
CapabilityBoundingSet=CAP_NET_BIND_SERVICE
NoNewPrivileges=true

[Install]
WantedBy=multi-user.target
EOF

sudo systemctl daemon-reload
sudo systemctl enable --now telemt
sudo systemctl status telemt

AmbientCapabilities=CAP_NET_BIND_SERVICE нужен потому, что сервис работает не от root, а порт 443 — привилегированный.

Шаг 6. Забрать ссылку. Составлять её руками не надо — telemt отдаёт готовую через локальный API:

curl -s http://127.0.0.1:9091/v1/users | grep -o 'tg://[^"]*'

12. Частые вопросы