Свой прокси для Telegram (MTProxy) на VPS

Закажите VPS

Кнопка на этой странице откроет бота с самым дешёвым подходящим тарифом. Выберите Ubuntu 22.04, 24.04 или Debian 12 и оплатите сервер — IP-адрес и пароль root придут в чат.

Подключитесь по SSH

ssh root@SERVER_IP

Запустите команду

Порт 443 должен быть свободен. Если на сервере уже есть сайт, сначала прочитайте раздел о порте 443 ниже.

command -v docker >/dev/null || curl -fsSL https://get.docker.com | sh; S=$(docker run --rm nineseconds/mtg:2 generate-secret --hex google.com) && printf 'secret = "%s"\nbind-to = "0.0.0.0:3128"\n' "$S" > /etc/mtg.toml && docker run -d -v /etc/mtg.toml:/config.toml -p 443:3128 --name mtg-proxy --restart=unless-stopped nineseconds/mtg:2

Получите ссылку

Команда выведет JSON со ссылками tg_url и tme_url и QR-кодами к ним. Флаг -p 443 обязателен: внутри контейнера mtg слушает порт 3128 и без флага подставит в ссылку его.

docker exec mtg-proxy /mtg access -p 443 /config.toml

Смените домен FakeTLS

google.com — пример из документации mtg. Автор советует домен, связанный с IP вашего сервера: как выбрать и сменить его — в разделе о домене ниже.

Поставьте Docker

Скрипт get.docker.com ставит Docker Engine одной командой. Сама Docker называет его вариантом для быстрой установки, а для продакшена советует репозиторий apt.

curl -fsSL https://get.docker.com | sh

Создайте секрет

Секрет — пароль клиентов, держите его в тайне. В hex-виде он начинается с ee, дальше идут ключ и домен FakeTLS. Вместо DOMAIN подставьте домен — о выборе ниже.

docker run --rm nineseconds/mtg:2 generate-secret --hex DOMAIN

Запишите конфиг

Сохраните в /etc/mtg.toml. Внутри контейнера mtg слушает порт 3128, наружу его опубликует Docker. В bind-to — только IP-адрес: имена хостов и * mtg не принимает.

secret = "SECRET"
bind-to = "0.0.0.0:3128"

Запустите контейнер

443 — порт, к которому подключаются клиенты, 3128 — порт из bind-to. Тег 2 — текущая мажорная версия: автор советует не брать latest и stable.

docker run -d -v /etc/mtg.toml:/config.toml -p 443:3128 --name mtg-proxy --restart=unless-stopped nineseconds/mtg:2

Проверьте настройку

mtg doctor проверяет расхождение часов, связь с дата-центрами Telegram, доступность сайта-прикрытия и совпадение DNS домена с IP сервера (SNI-DNS). С чужим доменом последняя проверка не пройдёт — это ожидаемо.

docker exec mtg-proxy /mtg doctor /config.toml

Получите ссылки

-p — порт, опубликованный наружу: без флага mtg подставит в ссылку 3128 из bind-to. Публичный IP mtg узнаёт у ifconfig.co; если адрес неверный, впишите его в конфиг строкой public-ipv4.

docker exec mtg-proxy /mtg access -p 443 /config.toml

Соберите прокси

Бинарник появится в objs/bin/mtproto-proxy. Если сборка упала, перед повторной выполните make clean.

apt install git curl build-essential libssl-dev zlib1g-dev
git clone https://github.com/TelegramMessenger/MTProxy
cd MTProxy
make && cd objs/bin

Скачайте ключ и конфиг Telegram

Конфиг серверов Telegram иногда меняется — README советует обновлять его раз в сутки. Третья команда создаёт секрет для клиентов.

curl -s https://core.telegram.org/getProxySecret -o proxy-secret
curl -s https://core.telegram.org/getProxyConfig -o proxy-multi.conf
head -c 16 /dev/urandom | xxd -ps

Запустите прокси

-H 443 — порт для клиентов, -p 8888 — локальный порт статистики (wget localhost:8888/stats, только с самого сервера), -M 1 — число воркеров. Для постоянной работы README приводит пример юнита systemd.

./mtproto-proxy -u nobody -p 8888 -H 443 -S USER_SECRET --aes-pwd proxy-secret proxy-multi.conf -M 1

Зарегистрируйте прокси в @MTProxybot

Бот выдаст тег — добавьте его к команде запуска аргументом -P PROXY_TAG. Ссылка для клиентов: tg://proxy?server=SERVER_IP&port=443&secret=USER_SECRET, её может сгенерировать и бот. С префиксом dd у секрета клиент включает случайную добивку пакетов.

Откройте ссылку

tg://proxy?… открывается сразу в приложении, https://t.me/proxy?… — через браузер, её удобно пересылать в чатах. Telegram предложит подключить прокси.

Или отсканируйте QR-код

В выводе есть tg_qrcode и tme_qrcode — ссылки на картинку с QR-кодом. Её рисует сторонний сервис api.qrserver.com, и секрет уходит ему в адресе. Если это важно, сделайте QR-код из ссылки сами.

Или добавьте вручную

В настройках прокси Telegram выберите MTProto и введите сервер (IP или домен), порт и секрет — те же три параметра, что в ссылке.

Раздавайте узкому кругу

Автор mtg советует делиться прокси с семьёй и друзьями и не публиковать его открыто: публичные прокси первыми блокируют по IP. Если ссылка ушла не туда, смените секрет — старая перестанет работать.

Нужны разные ссылки

Официальный MTProxy принимает несколько секретов (-S несколько раз). Для mtg с несколькими секретами автор указывает форк mtg-multi.

Выберите домен

README mtg советует домен, связанный с IP сервера. Надёжнее всего, по рекомендациям автора, свой домен: его A-запись указывает на VPS, там работает сайт с сертификатом Let’s Encrypt, а mtg стоит перед веб-сервером. Тогда DNS и SNI совпадают — это и проверяет mtg doctor. Адрес сайта за mtg задаёт секция [domain-fronting] (host и port).

Создайте новый секрет

docker run --rm nineseconds/mtg:2 generate-secret --hex DOMAIN

Замените секрет и перезапустите

Впишите новый секрет в /etc/mtg.toml. Старые ссылки перестанут работать — разошлите новые из mtg access.

docker restart mtg-proxy
docker exec mtg-proxy /mtg access -p 443 /config.toml

Проверьте, кто занял порт

Команда покажет процесс, который слушает TCP-порт 443.

ss -tlnp | grep ':443 '

Опубликуйте прокси на другом порту

Например, на 8443: -p 8443:3128 при запуске контейнера и -p 8443 в mtg access — тогда этот порт попадёт в ссылку.

docker rm -f mtg-proxy
docker run -d -v /etc/mtg.toml:/config.toml -p 8443:3128 --name mtg-proxy --restart=unless-stopped nineseconds/mtg:2
docker exec mtg-proxy /mtg access -p 8443 /config.toml

Или поставьте mtg перед сайтом

mtg занимает 443, а сайт переезжает на другой порт; в [domain-fronting] укажите его адрес и порт, и посторонние запросы mtg отдаст сайту. Так устроена схема со своим доменом из раздела выше.

Скачайте образ и пересоздайте контейнер

docker pull nineseconds/mtg:2
docker rm -f mtg-proxy
docker run -d -v /etc/mtg.toml:/config.toml -p 443:3128 --name mtg-proxy --restart=unless-stopped nineseconds/mtg:2

Перед переходом на 2.3.0

С версии 2.3.0 (3 ноября 2026) опции domain-fronting-ip и [domain-fronting].ip игнорируются — замените их на [domain-fronting].host. Секрет менять не нужно. При старте mtg теперь сам проверяет DNS/SNI и публичный IP: предупреждения запуск не останавливают.