Установка tproxy-server на VPS03 (Hostkey) — опыт 2026-08-31

Репозиторий: https://github.com/telegramdesktop/tproxy-server Сервер: VPS03, 77.67.89.154 (Hostkey, Debian 13), hostname vps03.nixg.ru Назначение: WEB Proxy для Telegram Desktop (Telegram Desktop → HTTPS:443 → Caddy → tproxy-server:8080 → MTProxy:2398 → Telegram)

Схема

Telegram Desktop → HTTPS 443 → Caddy → tproxy-server (127.0.0.1:8080) → MTProxy (0.0.0.0:2398) → Telegram
                                        └ admin 127.0.0.1:8081 (/readyz, /healthz)

Снаружи всё выглядит как обычный HTTPS-сайт на 443 — Caddy проксирует ВЕСЬ трафик на tproxy-server, который сам различает: обычные запросы отдаёт сайт-маскировку (public_dir), запросы WEB Proxy — гонит в MTProxy.

Установка (кратко)

Склонировать репозиторий, загрузить на сервер (tar+ssh; rsync на сервере не обязателен).
Подготовить статический сайт-маскировку (нейтральный index.html, НЕ сигнатурный, без упоминаний Telegram) и secret (32 hex-символа, openssl rand -hex 16).
Запустить:
```
./deploy/install.sh --hostname vps03.nixg.ru \
  --email kpa39l@yandex.ru --site-dir /tmp/tproxy-site \
  --secret "$(cat /tmp/tproxy-secret.txt)"
```
install.sh ставит: ca-certificates curl nftables, Caddy 2.11.4, Go 1.26.5, собирает tproxy-server, MTProxy (pinned commit f36d8af), создаёт systemd-сервисы: tproxy-server, mtproxy, tproxy-firewall, caddy, таймер refresh-mtproxy-config.

Проблемы и решения

1. `mtproxy.service` падает: status=203/EXEC (readyz 503)

Симптом: после install.sh tproxy-server активен, но mtproxy.service — Active: failed (Result: exit-code), status=203/EXEC, readyz → 503, порт 2398 не слушается.

Причина: install.sh собирает MTProxy в /opt/MTProxy/objs/bin/mtproto-proxy, но из-за umask бинарь и каталоги получают права 700 root:root. Юнит mtproxy.service запускается от пользователя mtproxy (NoNewPrivileges=true, ProtectSystem=strict) — процесс не может прочитать бинарь/войти в каталог → 203/EXEC.

Решение:

chmod 755 /opt/MTProxy /opt/MTProxy/objs /opt/MTProxy/objs/bin
chown root:mtproxy /opt/MTProxy/objs/bin/mtproto-proxy
chmod 750 /opt/MTProxy/objs/bin/mtproto-proxy
systemctl restart mtproxy
# готово: Active: active (running), слушает 0.0.0.0:2398, readyz → 200

2. Флейк `go test ./...` в install.sh: TestLoadAcceptsSystemdCredentialReadPermissions

Симптом: первый прогон install.sh (холодный кэш Go, сборка всех пакетов параллельно) падает: internal/config — тест принимает group/other-readable profiles вне credential dir. Повторный go test ./... (тёплый кэш) — PASS.

Вывод: это гонка/флейк при холодном параллельном прогоне тестов, не баг кода. Просто перезапустить install.sh — дальше идёт нормально.

3. «tproxy-server did not become ready», install.sh exit 1

Симптом: install.sh в конце не дождался readyz (потому что MTProxy упал — см. п.1).

Решение: починить mtproxy (п.1) — readyz сам станет 200. Повторный запуск install.sh безопасен (идемпотентен).

4. Не открывались порты 80/443 «снаружи» — ложная тревога

Симптом: curl снаружи на 80/443 не отвечал → подозрение на firewall провайдера (Hostkey). В панели Hostkey НЕТ настроек firewall/прокси — искать не нужно.

Правда: порты открыты по умолчанию. curl не отвечал, потому что на 80/443 просто НИЧЕГО не слушало (connection refused). Проверка: поднять временный python3 -m http.server 80 → TCP connect снаружи OK. Вывод: firewall провайдера порты не режет; после установки Caddy слушает 80/443.

5. rsync отсутствует на сервере

Симптом: в README рекомендуется rsync для загрузки дерева. На Debian 13 minimal rsync не установлен.

Решение: загрузка tar-архивом через ssh:

tar czf - tproxy-server/ | ssh root@host 'mkdir -p /tmp/tproxy-server && tar xzf - -C /tmp'

Проверка после установки

systemctl status tproxy-server mtproxy tproxy-firewall caddy   # все active
curl -s -o /dev/null -w '%{http_code}' http://127.0.0.1:8081/readyz    # 200
curl -s -o /dev/null -w '%{http_code}' https://vps03.nixg.ru/          # 200 (сайт)
openssl s_client -connect vps03.nixg.ru:443 -servername vps03.nixg.ru  # LE-серт
ss -tlnp | grep -E ':80 |:443 |:2398|:8080|:8081'
nft list ruleset | grep -E '2398|8888'   # iifname != "lo" tcp dport {2398,8888} drop

Безопасность: tproxy-firewall (nft) закрывает бэкенд MTProxy 2398/8888 от внешнего мира (drop для не-loopback) — наружу видны только 80/443.

Настройка клиента (Telegram Desktop)

Settings → Advanced → Connection Type → Use custom proxy → NEW PROXY → WEB Proxy:

hostname: vps03.nixg.ru
secret: (32 hex из шага 2)

Ссылки

Официальный README: https://github.com/telegramdesktop/tproxy-server
Свежие целевые серверы MTProxy обновляются таймером refresh-mtproxy-config (daily).

6.2 KiB Raw Blame History