ru1: WEB-прокси Telegram вместо telemt

На ru.ruzzy.dev:443 поднят официальный tproxy-server (relay, carrier websocket) перед официальным MTProxy на loopback. Фронт — nginx в ~/gost, сертификат только на ru.ruzzy.dev. - MTProxy: --nat-info 10.8.1.4:161.97.93.252 вручную — трафик к Telegram выходит через wg0 с IP fr1, автоопределение install.sh ошиблось бы и прокси молча не отвечал бы. - relay на 8090/8091: 8080 занят cadvisor. - telemt удалён окончательно (контейнер, образ, конфиг, том). - certbot до этого не работал вовсе: сертификат был просрочен с 2026-07-01, продлён и запущен. stacks/tproxy/: compose и nginx.conf стека ~/gost, setup-ru1.sh — однократная root-установка relay и MTProxy. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-10-09 17:16:12 +03:00
parent 123cdaa19b
commit 2ab38bc1f8
5 changed files with 215 additions and 6 deletions
@@ -0,0 +1,67 @@
+events {}
+
+http {
+    server_tokens off;
+
+    # Ничего не логируем по ru.ruzzy.dev: в URI bridge-страницы — capability,
+    # в Sec-WebSocket-Protocol — токен сессии (требование tproxy-server).
+    access_log off;
+
+    map $http_upgrade $connection_upgrade {
+        default upgrade;
+        ''      "";
+    }
+
+    upstream tproxy_relay {
+        server 127.0.0.1:8090;   # tproxy-server (systemd), 8080 занят cadvisor
+        keepalive 32;
+    }
+
+    server {
+        listen 80;
+        server_name ru.ruzzy.dev;
+
+        location /.well-known/acme-challenge/ {
+            root /var/www/certbot;
+        }
+
+        location / {
+            return 301 https://$host$request_uri;
+        }
+    }
+
+    # Mode A из tproxy-server: relay — единственный шлюз хоста, он же отдаёт
+    # публичный сайт (/srv/tproxy-site). Никаких отдельных location под сайт,
+    # иначе ответы сайта и транспорта станут различимы для зондирования.
+    server {
+        listen 443 ssl;
+        http2 on;
+        server_name ru.ruzzy.dev;
+
+        ssl_certificate     /etc/letsencrypt/live/ru.ruzzy.dev/fullchain.pem;
+        ssl_certificate_key /etc/letsencrypt/live/ru.ruzzy.dev/privkey.pem;
+        ssl_protocols       TLSv1.2 TLSv1.3;
+
+        add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
+        gzip on;
+
+        # Пачки uplink до 2 MiB; дефолтный 1 MiB ломает транспорт с 413.
+        client_max_body_size 4m;
+
+        location / {
+            proxy_pass http://tproxy_relay;
+            proxy_http_version 1.1;
+            proxy_set_header Host $host;
+            # Ровно один адрес: список relay отвергает.
+            proxy_set_header X-Forwarded-For $remote_addr;
+            proxy_set_header Upgrade $http_upgrade;
+            proxy_set_header Connection $connection_upgrade;
+
+            # long poll relay — 25 с; не резать и не буферизовать.
+            proxy_read_timeout 90s;
+            proxy_send_timeout 90s;
+            proxy_buffering off;
+            proxy_request_buffering off;
+        }
+    }
+}