google-only (bootstrap) mode کار نمیکنه

[Im-P3dro]

الان وقتی mode رو میزارم روی google only و وارد script.google.com میشم، سایت بالا نمیاد و گوگل ارور ۴۰۳ میده بهم
درصورتی که تا ظهر اینجوری نبود از ظهره اینجوری شده چیکار کنم

[therealaleph]

@Im-P3dro — google-only mode (bootstrap mode) برای دسترسی به script.google.com طراحی شده — یعنی سرویس‌هایی که در DEFAULT_GOOGLE_SNI_POOL هستن. اگر script.google.com خطای ۴۰۳ می‌ده، چندتا چیز چک کنید:

۱. Google account شما را موقت block کرده:

ارور 403 از خود Google source می‌ده، نه mhrv-rs. اگر تا ظهر کار می‌کرد + الان نه، احتمالاً Google IP شما رو موقت در blocklist گذاشته. علل احتمالی:

• بیش‌از‌حد automation requests از همان IP (شما یا کاربر دیگری در شبکه)
• account flag بعد از توالی deployment
• bot/abuse detection trigger شده
• شبکه شما (مخابرات/خانگی) IP-shared داره + کاربر دیگری در همان IP block شده

۲. workarounds:

a. منتظر باشید (~۱-۲ ساعت): Google blocklist‌های temporary ~۱-۲ ساعته اعمال می‌کنه. اگر مشکل rate-limit بود، خودبه‌خود رفع می‌شه.

b. شبکه عوض کنید: با موبایل دیتا (همراه) به‌جای Wi-Fi (مخابرات) امتحان کنید. اگر جواب داد = IP-based block.

c. browser private/incognito mode: کاربری‌ها cookies / cached state می‌مونه که Google trigger می‌کنه. private mode کمک می‌کنه.

d. سعی کنید روی مرورگر متفاوت: Chrome → Firefox یا برعکس. fingerprint TLS متفاوت + گاهی block trigger نمی‌گیره.

e. تست با curl direct:

curl -L 'https://script.google.com/' -v 2>&1 | head -30

اگر HTTP/1.1 200 OK برمی‌گرده = mhrv-rs مشکلی نداره. اگر HTTP/1.1 403 Forbidden = block واقعی.

۳. اگر deployment cron داشته‌اید:

اگر برای ۲۰،۰۰۰ ها بار/روز یا حجم بالا UrlFetchApp استفاده کرده‌اید، account-level rate limit ممکنه. تا ساعت ۰۰:۰۰ UTC (۳:۳۰ صبح ایران) صبر کنید. اگر فردا صبح برطرف شد = quota tear بود.

۴. v1.8.3 (الان موجود):

به نسخه v1.8.3 ارتقا دهید: https://github.com/therealaleph/MasterHttpRelayVPN-RUST/releases/tag/v1.8.3 — شامل DoH bypass + H1 keepalive که لطف می‌کنن از سمت user‌experience.

اگر هیچ‌یک از موارد بالا حل نکرد، در همان issue comment کنید + curl output + hours-since-it-started رو share کنید.

---

_{[reply via Anthropic Claude | reviewed by @therealaleph]}

[Im-P3dro]

ببین مشکل از اونجایی شروع شد که من اومدم کوکی های script.google.com رو پاک کردم
بعدش دیگه کلا بالا نیومد و همین ارور ۴۰۳ که میگفتم رو میداد
یعنی من با پاک کردن کوکی ها انگار داده هایی که برای لاگین کردن بود رو پاک کردم
حالا الانم هم دارم تلاش میکنم توی chrome گوشیم accounts.google.com رو میزنم تا لاگین کنم
ولی وقتی این رو میزنم، خود به خود میره توی برنامه google play services تا بقیه کار ها انجام بشه
ولی چون mhrv از mitm ca استفاده میکنه برنامه اش میگه نمیتونم به accounts.google.com کانکت بشم
هر کاری هم کردم تا به این برنامه نره، نشد.
ظاهرا این یه اجبار از سمت گوگل هست که توی Android 13 گذاشته

[therealaleph]

@Im-P3dro — این مشکل Android 13+ Play Services SSO redirect هست که Google عمداً برای جلوگیری از phishing معرفی کرد. توضیح:

چه اتفاق افتاده:

شما کوکی‌های script.google.com رو پاک کردید → بعدش مرورگر چون authenticated نیست، می‌خواد re-login کنه. در Android 13+ روی Chrome، وقتی به accounts.google.com می‌رسید (که redirect به آن انجام می‌شه)، Android خودکار اون handoff رو به Google Play Services می‌دهد.

این یک mandatory hand-off در Android 13+ هست که Google برای login‌های Google account معرفی کرد:

• Login flows باید از Play Services bona fide accountManager استفاده کنن (نه browser session)
• Browser می‌تونه redirect رو شروع کنه ولی نهایی اعتبارسنجی از Play Services می‌گذره
• این anti-phishing است — جلوگیری از این که آدرس‌های جعلی بتونن credentials رو از browser بگیرن

چرا mhrv-rs نمی‌تونه از این عبور کنه:

Play Services از system trust store فقط استفاده می‌کنه. Even اگر شما mhrv-rs MITM CA رو نصب کرده‌اید (که در user trust store نصب می‌شه)، Play Services اون رو reject می‌کنه + connection به accounts.google.com fail می‌گیره (پیغام «نمی‌تونم به accounts.google.com کانکت بشم» که شما گزارش کردید).

این behavior خصیصه Android است + در DBG (debug) build‌های Play Services حتی override نشده. Google عمداً این لایه رو محکم بسته است.

workarounds:

۱. Login از یک device دیگه (سریع‌ترین):

از Windows / Mac / Linux desktop browser به script.google.com بروید + login کنید + cookies رو دوباره دریافت کنید. سپس از Android فقط برای استفاده از proxy استفاده می‌کنید (نیاز به re-login نیست چون deployment‌ها در config mhrv-rs ذخیره شده).

این common workflow ست — Google account work روی desktop انجام می‌شه + Android فقط برای proxy use.

۲. Disable mhrv-rs VPN موقت:

mhrv-rs Android VPN رو موقت Disconnect کنید → Chrome بدون mhrv-rs به accounts.google.com می‌ره + login flow direct از Iran ISP عبور می‌کنه. Iran ISP اغلب accounts.google.com رو passes (login flow Google خاص سرمایه‌گذاری دارن جلوگیری) — حتی اگر سایت‌های دیگه filter بشن.

بعد از login موفق، VPN رو دوباره Connect کنید + استفاده عادی.

۳. Root + Magisk + MagiskTrustUserCerts:

اگر گوشی root شده + Magisk دارید، module MagiskTrustUserCerts می‌تونه CA mhrv-rs رو از user store به system store migrate کنه. سپس Play Services trust می‌کنه + login flow از mhrv-rs عبور می‌کنه.

trade-off: root warranty void + security implications.

۴. Full mode + VPS:

در Full mode، bytes از طریق tunnel-node TCP می‌رن — نیاز به CA trust نیست. apps_script mode CA-dependent بود؛ Full mode برای apps_script's UrlFetchApp self-loop block (که accounts.google.com block می‌کنه) workaround دارد:

• tunnel-node روی VPS (Hetzner، Parspack، etc.) به accounts.google.com مستقیم متصل می‌شه (Apps Script self-loop رو bypass می‌کنه)
• Play Services از system trust استفاده می‌کنه + می‌بینه که cert اصلی Google است (نه MITM)
• login موفق

setup در tunnel-node README فارسی.

برای case شما specifically:

best move الان: روش ۲ (موقت VPN رو disconnect + login + reconnect). این بدون نیاز به root یا VPS انجام می‌شه + همه‌ی setup شما رو حفظ می‌کنه.

نکته مهم: Iran ISP accounts.google.com رو معمولاً اجازه می‌ده عبور کنه چون Google login flows essential هستن برای تعداد زیادی از سرویس‌های legit ایرانی (Gmail signup، YouTube account creation، etc.). اگر در شبکه شما accounts.google.com مستقیم filter شده + روش ۲ کار نکرد، یک temp VPN عمومی ۵-۱۰ دقیقه‌ای فقط برای login process کافیه.

روش ۱ (login از desktop) هم gold standard است اگه desktop دارید — هیچ‌گاه نیاز به Android Google login برای mhrv-rs نخواهید داشت.

این issue رو می‌بندم چون Android architectural limit + روش‌های workaround روشن. اگر روش‌ها کار نکردند، در همان issue comment بزارید + reopen می‌کنیم.

---

_{[reply via Anthropic Claude | reviewed by @therealaleph]}

[therealaleph]

Architectural limit (Android 13+ Play Services SSO redirect through system trust store) — workarounds in the reply above. Reopen if none work.