WEB Proxy для Telegram Desktop на своём VPS

В моей инфраструктуре давно крутится Telegram-трафик через SOCKS5-туннель на VPS — но у этого подхода есть минусы: SOCKS5 легко режется DPI, а клиент надо настраивать отдельно. Альтернатива от самих разработчиков Telegram Desktop — WEB Proxy: прокси, который маскируется под обычный HTTPS-сайт на 443-м порту. Такой трафик не отличить от обычного захода на сайт, а подключение настраивается в два поля в настройках клиента.

В этой статье — как я развернул tproxy-server на свежем VPS (Debian 13, Hostkey), какие проблемы встретил в установщике и как их обошёл. Полезно всем, кто решит поднять свой WEB Proxy.

Зачем WEB Proxy, а не SOCKS5

Схема работы tproxy-server:

Telegram Desktop → HTTPS:443 → Caddy → tproxy-server:8080 → MTProxy:2398 → Telegram
                                        └ admin :8081 (/readyz, /healthz)

Caddy отдаёт Let’s Encrypt сертификат и проксирует весь трафик на tproxy-server, который сам решает: обычные запросы отдаёт сайт-маскировку, а запросы WEB Proxy — гонит в MTProxy. Снаружи это просто HTTPS-сайт.

Установка: что делает install.sh

У upstream отличный установщик — deploy/install.sh делает почти всё сам:

• ставит пакеты (ca-certificates, curl, nftables);
• ставит Caddy 2.11.4 и Go 1.26.5 (если нет);
• собирает tproxy-server из исходников;
• собирает MTProxy (pinned commit f36d8af) в /opt/MTProxy;
• создаёт systemd-сервисы: tproxy-server, mtproxy, tproxy-firewall, caddy;
• настраивает таймер refresh-mtproxy-config (обновление списка серверов Telegram раз в сутки);
• поднимает nft-правило, закрывающее порты MTProxy (2398, 8888) от внешнего мира.

Запуск:

1
2
3

./deploy/install.sh --hostname vps03.nixg.ru \
  --email me@example.com --site-dir /tmp/tproxy-site \
  --secret "$(cat /tmp/tproxy-secret.txt)"

--secret — 32 hex-символа (openssl rand -hex 16), --site-dir — каталог со статическим сайтом-маскировкой.

Грабли №1: mtproxy.service падает с 203/EXEC, readyz 503

После первого прогона установщика tproxy-server был active, Caddy слушал 80/443, но прокси не работал:

1

● mtproxy.service - failed (Result: exit-code), status=203/EXEC

Порт 2398 не слушался, а /readyz административного эндпоинта отдавал 503 (readyz — это «вся цепочка готова», healthz при этом был 200).

Причина оказалась в правах на бинарь после сборки. Установщик собирает MTProxy в /opt/MTProxy/objs/bin/mtproto-proxy, но из-за umask бинарь и каталоги получают права 700 root:root. Юнит mtproxy.service запускается от пользователя mtproxy (с NoNewPrivileges=true и ProtectSystem=strict) — процесс не может прочитать бинарь и умирает с 203/EXEC.

Лечится одной серией команд:

1
2
3
4

chmod 755 /opt/MTProxy /opt/MTProxy/objs /opt/MTProxy/objs/bin
chown root:mtproxy /opt/MTProxy/objs/bin/mtproto-proxy
chmod 750 /opt/MTProxy/objs/bin/mtproto-proxy
systemctl restart mtproxy

После этого mtproxy — active (running), слушает 0.0.0.0:2398, readyz → 200.

Грабли №2: флейк go test в установщике

Первый прогон install.sh (холодный кэш Go, сборка всех пакетов параллельно) упал на тестах:

1
2

FAIL: internal/config — TestLoadAcceptsSystemdCredentialReadPermissions:
group/other-readable profiles file outside a credential directory was accepted

А повторный go test ./... (тёплый кэш) — PASS. Это классическая гонка при холодном параллельном прогоне тестов, а не баг кода. Лечение простое: перезапустить install.sh — дальше идёт нормально.

Грабли №3: «не открыты порты 80/443» — ложная тревога

Снаружи curl на 80/443 не отвечал, и я заподозрил firewall провайдера (Hostkey). Пошёл в панель — а там вообще нет настроек firewall/прокси. Полез в документацию, искал API…

На самом деле всё проще: порты у провайдера открыты по умолчанию, просто на 80/443 ничего не слушало — curl получал connection refused. Проверка: поднимаю временный python3 -m http.server 80 → TCP connect снаружи OK. После установки Caddy сам слушает 80/443.

Так что если у вас после установки снаружи не открывается сайт — сначала проверьте, что порт слушается (ss -tlnp), а не ищите firewall в панели провайдера.

Проверка после установки

1
2
3
4
5
6

systemctl status tproxy-server mtproxy tproxy-firewall caddy   # все active
curl -s -o /dev/null -w '%{http_code}' http://127.0.0.1:8081/readyz    # 200
curl -s -o /dev/null -w '%{http_code}' https://vps03.nixg.ru/          # 200 (сайт)
openssl s_client -connect vps03.nixg.ru:443 -servername vps03.nixg.ru  # LE-серт
ss -tlnp | grep -E ':80 |:443|:2398|:8080|:8081'
nft list ruleset | grep -E '2398|8888'   # закрыто от внешнего мира

Наружу видны только 80/443. MTProxy-бэкенд (2398, 8888) закрыт nft — iifname != "lo" ... drop, то есть бэкенд не светится и не принимает подключения напрямую.

Настройка клиента

В Telegram Desktop: Settings → Advanced → Connection Type → Use custom proxy → NEW PROXY → WEB Proxy:

• hostname: vps03.nixg.ru
• secret: (32 hex-символа, которые вы сгенерировали)

Итог

WEB Proxy — отличная замена SOCKS5-туннелю, если нужна маскировка под обычный HTTPS: настраивается в два поля, трафик неотличим от сайта, а готовый установщик upstream делает почти всю работу. Главные грабли — права на бинарь MTProxy после сборки (203/EXEC) и ложная тревога с «закрытыми портами». Оба решаются за пару минут, если знать, куда смотреть.

Полный набор файлов (заметки, сайт-маскировку, команду установки) я сложил в репозиторий tproxy-web — точнее, в свой tproxy-web на gitverse, а INSTALL_NOTES.md с деталями лежит там же.

• VPS с Debian 13,
• Доступ к серверу через sudo,
• Доменное имя gelonet.ru, зарегистрированное у любого регистратора.

🔹 Шаг 0: Настройка DNS (в панели регистратора)

Зайдите в панель управления вашего регистратора домена (например, reg.ru, nic.ru, Beget и т.д.).

Найдите раздел «Управление DNS» или «Зоны DNS» для домена gelonet.ru.

Создайте A-запись для поддомена:

Имя (host): wf Тип: A Значение (IP): [ваш_публичный_IP_сервера] TTL: 300 или по умолчанию

Пример: wf.gelonet.ru → 5.129.217.146

Сохраните изменения. ⏱ DNS может обновиться от нескольких секунд до 10–30 минут. Проверить можно командой:

1
2
3

dig +short wf.gelonet.ru
# или
nslookup wf.gelonet.ru

Результат должен совпадать с IP вашего сервера.

🔹 Шаг 1: Подготовка сервера

Подключитесь к серверу по SSH и выполните:

1
2
3
4
5

# Обновление системы
sudo apt update && sudo apt upgrade -y

# Установка необходимых пакетов
sudo apt install -y nginx curl tar ufw

🔹 Шаг 2: Настройка фаервола (UFW)

Разрешите SSH, HTTP и HTTPS:

1
2
3

sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'  # открывает 80/tcp и 443/tcp
sudo ufw enable

Проверка:

1

sudo ufw status verbose

💡 Порт 80 нужен для получения сертификата, порт 443 — для доступа к сайту по HTTPS.

🔹 Шаг 3: Установка WriteFreely

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

# Создаём директорию
sudo mkdir -p /var/www/writefreely
cd /var/www/writefreely

# Скачиваем последнюю версию (v0.16.0 на момент написания)
sudo curl -L https://github.com/writefreely/writefreely/releases/download/v0.16.0/writefreely_0.16.0_linux_amd64.tar.gz -o writefreely.tar.gz

# Распаковываем
sudo tar -xzf writefreely.tar.gz --strip-components=1
sudo rm writefreely.tar.gz

# Назначаем права
sudo chown -R www-data:www-data /var/www/writefreely

🔹 Шаг 4: Настройка WriteFreely

1

sudo -u www-data /var/www/writefreely/writefreely config start

Ответьте на вопросы:

1
2
3
4
5
6
7

    Environment: Production, behind reverse proxy  
    Server address: localhost:8080 (оставьте по умолчанию)  
    Database: SQLite (проще для старта) или MySQL (если настроена БД)  
    Site name: например, Мой блог  
    Admin username: ваш email  
    Admin password: надёжный пароль  
    Остальное — по желанию

Сгенерируйте ключи шифрования:

1

sudo -u www-data /var/www/writefreely/writefreely keys generate

🔹 Шаг 5: Создание systemd-сервиса

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

sudo tee /etc/systemd/system/writefreely.service <<EOF
[Unit]
Description=WriteFreely Instance
After=network.target

[Service]
Type=simple
User=www-data
Group=www-data
WorkingDirectory=/var/www/writefreely
ExecStart=/var/www/writefreely/writefreely
Restart=always
RestartSec=10

[Install]
WantedBy=multi-user.target
EOF

Запустите сервис:

1
2

sudo systemctl daemon-reload
sudo systemctl enable --now writefreely

Проверка:

1

sudo systemctl status writefreely

🔹 Шаг 6: Настройка Nginx как обратного прокси

Создайте конфиг (замените wf.gelonet.ru на ваш поддомен):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45

sudo tee /etc/nginx/sites-available/writefreely <<EOF
server {
    listen 80;
    listen [::]:80;
    server_name wf.gelonet.ru;

    gzip on;
    gzip_types
      application/javascript
      application/x-javascript
      application/json
      application/rss+xml
      application/xml
      image/svg+xml
      image/x-icon
      application/vnd.ms-fontobject
      application/font-sfnt
      text/css
      text/plain;
    gzip_min_length 256;
    gzip_comp_level 5;
    gzip_vary on;

    location ~ ^/.well-known/(webfinger|nodeinfo|host-meta) {
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host \$host;
        proxy_set_header X-Real-IP \$remote_addr;
        proxy_set_header X-Forwarded-For \$proxy_add_x_forwarded_for;
        proxy_redirect off;
    }

    location ~ ^/(css|img|js|fonts)/ {
        root /var/www/writefreely/static;
        expires 12M;
    }

    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host \$host;
        proxy_set_header X-Real-IP \$remote_addr;
        proxy_set_header X-Forwarded-For \$proxy_add_x_forwarded_for;
        proxy_redirect off;
    }
}
EOF

Активируйте сайт:

1
2

sudo ln -s /etc/nginx/sites-available/writefreely /etc/nginx/sites-enabled/
sudo nginx -t && sudo systemctl reload nginx

🔹 Шаг 7: Получение SSL-сертификата от Let’s Encrypt

Установите Certbot:

1

sudo apt install -y certbot python3-certbot-nginx

Получите сертификат:

1

sudo certbot --nginx -d wf.gelonet.ru

Ответьте N на вопрос о передаче email EFF (если не хотите). Certbot автоматически: запросит сертификат, обновит конфиг Nginx для HTTPS, настроит автоматическое обновление.

📌 Важно: порты 80 и 443 должны быть открыты в UFW и облачном фаерволе!

🔹 Шаг 8: Проверка работы

Откройте в браузере свой поддомен, у меня это: https://wf.gelonet.ru

Вы должны увидеть главную страницу WriteFreely. Админка доступна по: https://wf.gelonet.ru/admin

🔹 Шаг 9: Проверка автопродления сертификата

Certbot уже настроил таймер, но можно проверить вручную:

1

sudo certbot renew --dry-run

Если команда завершится без ошибок — всё в порядке.

🧰 Полезные команды

Логи WriteFreely:

1

sudo journalctl -u writefreely -f

Логи Nginx:

1

 sudo tail -f /var/log/nginx/error.log

Обновление WriteFreely: Остановите сервис: sudo systemctl stop writefreely Замените бинарник (повторите Шаг 3) Запустите: sudo systemctl start writefreely

✅ Готово!

Ваш персональный блог на WriteFreely работает по адресу: 👉 https://wf.gelonet.ru

Теперь вы полностью контролируете свой контент, без зависимости от сторонних платформ.