Adnroid снова испытывает проблемы с подключением с 07.04.2026

[sukinsky]

С вечера 07.04 перестали подключаться (периодически могут проскочить успешные соединения) клиенты на Android: старые, с исправленным CLientHello, Beta версии. Прокси висит в статусе Connecting.
В логах выглядит так:

Apr 09 11:02:48 SERVER ip[40156]: debug(proxy): [762] closing: dc_idx=2 media=false phase=relaying reason=relay c2s failed c2s=96 s2c=0
Apr 09 11:02:48 SERVER ip[40156]: debug(proxy): [759] closing: dc_idx=0 media=false phase=reading_mtproto_tls_header reason=client eof waiting mtproto hdr c2s=0 s2c=0
Apr 09 11:02:48 SERVER ip[40156]: debug(proxy): [756] relay c2s error: dc_idx=-2 err=error.EndOfStream c2s=158 s2c=148
Apr 09 11:02:48 SERVER ip[40156]: debug(proxy): [756] closing: dc_idx=-2 media=true phase=relaying reason=relay c2s failed c2s=158 s2c=148
Apr 09 11:02:50 SERVER ip[40156]: debug(proxy): [724] closing: dc_idx=0 media=false phase=reading_client_hello_body reason=handshake timeout c2s=0 s2c=0
Apr 09 11:02:50 SERVER ip[40156]: debug(proxy): [725] closing: dc_idx=0 media=false phase=reading_client_hello_body reason=handshake timeout c2s=0 s2c=0
Apr 09 11:02:52 SERVER ip[40156]: debug(proxy): [726] closing: dc_idx=0 media=false phase=reading_client_hello_body reason=handshake timeout c2s=0 s2c=0
A

Конфиг не менялся, он у меня приложен к #92
Есть сервер в RU с тоннелем, есть сервер за границей с включенным antiDPI - везде ситуация идентичная.
При этом клиенты на iOs работают максимально стабильно на всех прокси.

Вечером 07.04 прошла информация, что из ТСПУ были удалены правила, блокирующие TLS-трафик с экстеншеном 0xFE02. Потом, похоже, накатили какие-то другие :(

Может кто сталкивался? Попробую со SNI поработать, но вдруг еще идеи есть.

[sleep3r]

Тут сложно что-то сказать используя текущий контекст. 12.6.4 у меня на виртуалке BlueStacks на Маке оператор МГТС Amnezia туннель работает :)

Но не думаю, что от этой информации вам станет легче

[sleep3r]

По логам: тело ClientHello никогда не доходит до сервера, значит это ТСПУ

[sleep3r]

А вот то, что даже в RU блочится - печально

[sleep3r]

https://github.com/sleep3r/mtproto.zig/blob/main/.agent/skills/client-behavior/SKILL.md

Вот тут у меня лежит информация по работе основных клиентов тг. Вопрос, почему айфоны работают, а остальные нет безусловно будоражит :)

Если глянуть, что там внутри, то можно увидеть следующие штуки:

---

1

Android включает в ClientHello extension key_share с ML-KEM-768 - это 1184 байта пост-квантового ключевого материала. Из-за этого:

• Android ClientHello ≈ 1700 байт - огромный
• iOS ClientHello ≈ 517 байт - компактный, как Safari

ТСПУ может тривиально фильтровать по одному условию: TLS record length > 1000. Или по наличию 0x11ec в supported_groups

---

2

Android отправляет encrypted_client_hello (строка 286 в ConnectionSocket.cpp). iOS - не отправляет вообще. Ранее ТСПУ ловил 0xFE02, теперь, видимо, переключились на 0xFE0D

---

3

Параметр	Android	iOS
Cipher suites	15 + GREASE (Chrome-like)	26 (Safari-like)
ALPN	h2, http/1.1	h2, h2-16, ..., spdy/3, http/1.1
key_share размер	~1248 байт	32 байта
Extensions order	Рандомизируется	Фиксированный
ECH	Да (0xFE0D)	Нет

iOS мимикрирует под Safari - DPI пропускает. Android мимикрирует под Chrome с PQ - и теперь ТСПУ это ловит

[sleep3r]

Ждём пока солдатики Дурова что-то придумают с клиентской стороны

[sukinsky]

Грандиозный разбор, спасибо!

[sleep3r]

Солдатики обновили маскировку трафика под более современный стандарт шифрования)

Два изменения в коде:

1. Перешли со старой (черновой) версии Encrypted ClientHello (0xfe02) на актуальную стандартизированную версию (0xfe0d)
2. Увеличили размер случайного мусорного блока в этом расширении с 20 до 32 байт, как того требует новый стандарт

Выглядит как латание дыр, при этом Дуров жестко хайпит)

[sleep3r]

Ну или я не туда смотрю и скоро доедет что-то новое

[sleep3r]

https://wiki.vasexperts.ru/doku.php?id=dpi:changelog:versions:beta#изменения_в_версии_142_beta5

А вот и виновник

[sleep3r]

Хотя особо ничего интересного в пятой версии не написали, хм

[sukinsky]

Могли ведь и специально про FakeTLS не писать