🌐 Telegram научился притворяться браузером — и это не VPN (или как это конкретно работает и работало раньше но сейчас просто начали все использовать)

В РФ Telegram блокирует не DPI, а провайдер просто режет адреса датацентров Telegram. Они известны, их немного, и блокировать их целиком дешевле, чем анализировать протокол. Обычно сейчас так и поступают.

💡 Идея обхода оказалась изящной. У Telegram, кроме «обычных» адресов, есть веб-инфраструктура для браузерной версии — она живёт на 443 порту, за настоящими сертификатами и доменом web.telegram.org. Что если взять обычный MTProto-поток и положить его в WebSocket, отправив туда же, куда ходит вкладка браузера? Провайдер видит HTTPS к сайту Telegram. Блокировать его тем же топорным способом уже неудобно.

Это и есть WSS-транспорт. Ключевое отличие от всего остального: он не меняет почерк вашего соединения и не дробит пакеты, как zapret. Он меняет адрес, куда вы стучитесь — на такой, который провайдеру больно резать целиком.

🔐 Внутри получается матрёшка из пяти слоёв: TCP на 443 → настоящий TLS с именем kws2.web.telegram.org → HTTP-апгрейд на путь /apiws → бинарные кадры WebSocket → и уже в них привычный обфусцированный MTProto с 64-байтным ключевым пакетом. Самое приятное — переписка при этом шифруется как обычно, между вашим устройством и серверами Telegram. Промежуточный посредник видит только транспортную обёртку.

🛠 Реализаций уже четыре, и делятся они на два лагеря. Первый — мост, который живёт рядом с клиентом: программа поднимает у вас локальный SOCKS5 или MTProxy, вы добавляете его в Telegram одной ссылкой, а наружу она уходит по WebSocket. Так работают tg-ws-proxy от Flowseal и раздел Telegram Proxy в ZapretGUI. Второй лагерь — транспорт, вшитый прямо в клиент: форки ZaStoGram для Android и для Desktop делают всё сами, без локальных портов и настроек прокси.

👍 Однако увы веб-релеи есть не у всех датацентров пашка спасибо: надёжно отвечают только второй и четвёртый, остальные отдают редирект или молча принимают соединение и не присылают ни байта. Именно отсюда растёт та самая жалоба про текст идёт, картинки нет — ваш контент может лежать на датацентре, для которого маршрута просто не существует. А стикеры и реакции ходят через CDN, до которого схема не дотягивается в принципе.

📞 Отдельно про звонки: через любой такой прокси они не работают, и это не баг. WebSocket живёт поверх TCP, а голос и видео у Telegram идут по UDP — прокси их просто не видит. То же ограничение, кстати, и у классического MTProxy. Нужны звонки — нужен VPN или P2P, других вариантов пока нет.

🥳 Из остальных граблей: бесплатные запасные пути через Cloudflare упираются в лимиты и отдают 429, неверный режим TLS в настройках даёт ошибку 525, антивирусы регулярно сносят сборки моста как ложное срабатывание, а расхождение часов на сервере больше двух минут ломает FakeTLS вообще без сообщения об ошибке. Плюс частая ошибка: выключить zapret с мыслью «теперь есть прокси для Telegram» — датацентры без релея закрывает как раз он.

🔗 Разобрали всё подробно, по исходникам четырёх проектов: как устроено рукопожатие, откуда берётся номер датацентра, чем мост отличается от нативного транспорта и что показывает диагностика.

Как это работает: https://publish.obsidian.md/zapret/mtproxy/telegram-wss-transport
Что не работает и почему: https://publish.obsidian.md/zapret/mtproxy/telegram-wss-limits

☺️ Скачать | ☺️ Premium (донаты) | ☺️ Android, MacOS и др. ссылки