Интерфейс

Вверху по центру окна переключатель Простой / Расширенный. Простой режим оставляет одну кнопку включения, карточки Telegram и WARP и выбор цели. Расширенный добавляет вкладки: Главная, Стратегии, Хостлисты, Диагностика, Журнал, Telegram, WARP, HMS, Настройки.

Главная

• Кнопка включения обхода. Старт и остановка движка. Над ней точка и подпись состояния: Остановлен, затем Запуск, затем Работает.
• Цель обхода. Discord + YouTube, Discord или YouTube: что именно программа старается открыть при подборе и генерации. Чем уже цель, тем точнее результат.
• Подобрать стратегию. Перебирает проверенные готовые стратегии и оставляет ту, что открывает выбранные цели. Начинать стоит с неё: идёт по готовому списку и потому предсказуемее.
• Сгенерировать стратегию. Собирает вариант с нуля, отдельно под Discord и под YouTube. Дольше, нужна тогда, когда подбор не пробил.
• Карточка Telegram. Адрес и секрет встроенного прокси, кнопки «Открыть» и «Копировать», плюс тумблер включения.
• Стратегия для этой сети. Строка появляется, когда для текущей сети уже запомнен рабочий вариант.

Стратегии

Выберите строку и нажмите «Применить»: обход перезапустится на выбранной стратегии. Наведите курсор на строку, чтобы увидеть полное имя и описание во всплывающей подсказке.

Сюда же попадают ваши стратегии, сохранённые после подбора или генерации. Встроенные редактировать нельзя, но любую можно продублировать и править копию. Что именно делает каждая встроенная стратегия, разобрано построчно на странице Разбор стратегий.

Хостлисты

Хостлисты определяют, к каким доменам применяется обход. Это ключевая вещь для режима «только списки», который включён по умолчанию: чего нет в списках, того движок не трогает.

Формат файла

Обычный текстовый файл, по одному домену на строку, без протокола, без косых черт и без звёздочек. Именно так его читает движок, никакого своего формата программа не придумывает.

discord.com
discord.gg
discordapp.com
discordapp.net
gateway.discord.gg

Домен покрывает и свои поддомены: строка discord.com сработает и для canary.discord.com. Поэтому перечислять поддомены отдельно нужно редко.

Какие списки есть

Как список попадает в стратегию

Списки не прописываются в стратегию путями. Вместо этого используются токены, которые разворачиваются при запуске.

Полный перечень токенов: Справочник.

Свои цели

Быстрый способ добавить домен, не разбираясь со списками. Кнопка живёт на вкладке Диагностика. Добавленный домен:

• попадает в отдельный сводный список целей;
• начинает проверяться в диагностике наравне с Discord и YouTube;
• участвует в подборе и генерации, то есть стратегия ищется в том числе под него;
• обходится даже в режиме «только списки».

При добавлении программа сама учитывает поддомены и тот же бренд в других зонах: например, yandex.ru подтянет заодно ya.ru и yandex.kz.

Обход по IP-адресам

Списки доменов работают, пока блокировка идёт по имени. Если сервис режут по адресам, имя в пакете менять бессмысленно. На этот случай есть ipset: список подсетей вместо списка доменов.

Кнопка «Собрать IP-список Discord» резолвит домены Discord и складывает актуальные подсети в lists\ipset-discord.txt. Прав администратора не нужно, задействован только DNS. В стратегии список подключается токеном {IPSET} или {IPSET:имя}.

Диагностика

Слева кнопки, справа таблица. Строки собраны по сервисам: Discord (вход и API, gateway, CDN, обновления, проверка Cloudflare), YouTube (сайт, короткие ссылки, картинки, видео), а также Google, Cloudflare и DNS. Столбцы: HTTP, TLS 1.2, TLS 1.3 и Ping.

Как работает «Проверка DPI»

Обычная диагностика отвечает на вопрос «открывается или нет». Проверка DPI отвечает на другой: вмешивается ли провайдер. Для каждого чувствительного хоста делается два шага.

1. Подключение к порту 443

   Если обычное TCP-подключение не проходит, это не блокировка по имени сайта, а недоступность: проблема с маршрутом или блокировка по IP. Так и пишется, «нет соединения».

2. Отправка настоящего имени сайта

   Если подключение прошло, сервер жив. Тогда отправляется TLS ClientHello с реальным SNI, и смотрится, что происходит именно с этим пакетом:

   • Обрыв сразу после ClientHello. Сервер уже согласился на соединение, значит сброс на пакете с именем сайта пришёл не от него, а от оборудования посередине.
   • Заморозка. Пакет ушёл, ответа нет, соединение висит. Пакет с именем тихо выброшен.
   • Рукопожатие прошло. Признаков вмешательства нет.

Точнее всего запускать проверку с выключенным обходом: тогда видно неприкрытое поведение провайдера. При включённом обходе результат «чисто» означает лишь, что обход уже сделал свою работу.

Отдельно проверяется лимит по объёму. Кроме блокировки по имени провайдер может душить само соединение по количеству пакетов: первые десятки килобайт проходят, дальше поток замирает. Короткое рукопожатие под такой лимит не попадает и показывается как «чисто», поэтому программа отдельно тянет крупную загрузку и смотрит, проходит ли она за порог. Идея метода взята из проекта hyperion-cs/dpi-checkers.

Журнал

Первое место, куда смотреть, если обход не запустился. Причина почти всегда здесь: ошибка запуска, проблема с драйвером, вмешательство антивируса, код выхода движка.

Вкладка разделена на две части, чтобы проблема прокси не терялась среди вывода движка.

У каждой части свои кнопки «Копировать» и «Очистить».

Переключатель --debug в заголовке включает подробный режим сразу для обеих частей. Движок начинает писать, к каким именно соединениям применились приёмы и почему: без этого понять, что стратегия молча не сработала, практически невозможно. Прокси добавляет по три строки на соединение:

[tg-proxy] #7 DC2: открыто через прямой IP
[tg-proxy] #7 DC2: трафик пошёл
[tg-proxy] #7 DC2: закрыто через 45,2 с — Telegram закрыл канал

Что искать в выводе

Всё то же самое дублируется в файлы в папке logs\, по файлу на сеанс. Если просите помощи в канале или в задаче на GitHub, приложите последние десять или пятнадцать строк: по ним почти всегда видно, что пошло не так.

Telegram

Telegram блокируют не так, как сайты: чаще по IP-адресам. Обход DPI против этого бессилен, поэтому в программе есть отдельный встроенный прокси.

• Что делает. Поднимает локальный MTProto-прокси на 127.0.0.1:1443 и уводит каждое соединение к дата-центрам Telegram по WebSocket поверх TLS. Когда прямой путь закрыт, идёт через домены за Cloudflare. Так связь переживает блокировку по адресам.
• Работа. Работает, даже когда окно свёрнуто в трей.
• Порт и секрет. По умолчанию порт 1443, если занят, берётся ближайший свободный. Секрет из 32 шестнадцатеричных символов сохраняется, чтобы ссылка не менялась между запусками.
• Как подключить. Кнопка «Открыть в Telegram» пропишет всё сама. Вручную: Настройки, Данные и память, Прокси, Добавить, MTProto, вписать адрес, порт и секрет.
• Только обычный Telegram. У клиента есть режим тестовой сети — отдельная инфраструктура Telegram для разработчиков. Прокси ведёт только к обычным дата-центрам, поэтому такое соединение он распознаёт и отклоняет со строкой в журнале. Иначе оно молча ушло бы в обычный дата-центр и висело бы вечным «подключением» без объяснения причины.

Чем это отличается от tg-ws-proxy

Механизм тот же, что у tg-ws-proxy, но реализация другая. Оригинал: отдельная программа на Python, собранная в самостоятельный исполняемый файл. Здесь: нативный порт протокола на C#, встроенный прямо в приложение, без второго процесса и без Python-рантайма.

Реализован транспорт dd (обфусцированный MTProto). Клиент подключается по локальной петле, поэтому FakeTLS не нужен и опущен. Рабочий путь сохранён: резолв через DoH и домены за Cloudflare, с пулом фронтов и временным отсевом неудачных.

Отличие по существу — переписка и медиа идут разными путями. Telegram открывает соединения для файлов отдельно от переписки и сразу несколько параллельно. В оригинале и то и другое уходит одной дорогой, упираясь в один узел: получается знакомая картина, когда сообщения приходят мгновенно, а фото и видео не открываются.

Здесь путь выбирает полоса. Переписка идёт по прямому узлу Telegram: он открывается быстро и без посредника, а сообщения маленькие. Медиа предпочитает домены за Cloudflare, чьи адреса возят объём на полной скорости, и параллельные загрузки расходятся по разным узлам — у каждой полосы свой предпочитаемый узел и свой список временно недоступных. Каждый путь при этом страхует второй, и часть попыток резервируется под это заранее.

Так сделано потому, что прямая дорога ведёт на собственные адреса Telegram — те самые, которым чаще ограничивают скорость, а не блокируют совсем. Рукопожатию ограничение не мешает, поэтому соединение открывается как ни в чём не бывало: переписка летает, а загрузка на том же пути еле ползёт.

Второе отличие — крупные сообщения собираются обратно. Канал вправе разрезать одно сообщение на несколько кадров, и разрезаются только большие, то есть файлы, но не переписка. Потерянное продолжение рассинхронизирует шифр-поток навсегда: клиент с этого места читает мусор и рвёт соединение, а выглядит это как «медиа то грузится, то нет».

Третье — в журнале видно объём и скорость. При включённом подробном журнале каждое соединение закрывается строкой с полосой, путём, объёмом в обе стороны и средней скоростью. Соединение, которое открылось, протащило пару килобайт и умерло, больше не выглядит здоровым.

WARP

Обход и WARP решают разные задачи. Обход проводит соединение сквозь блокировку — когда сайт не открывается вообще. WARP подменяет адрес, с которого вы приходите, — когда сайт открывается, но отказывает лично вам или всей вашей сети.

• Ставить ничего не нужно: клиент лежит внутри программы и запускается её дочерним процессом.
• Это прокси, а не туннель. Ни адаптера, ни маршрутов, ни изменений в системе — значит неудача не может оставить вас без интернета. Через него идёт только то, что вы туда направите.
• Ключи создаются на вашем компьютере. Наружу уходит только открытый ключ; почта, пароль и учётная запись не нужны.
• Успех не показывается на веру. Программа спрашивает у Cloudflare через сам прокси, где она вас видит, и только тогда сообщает, что всё работает.
• Страну сам WARP не меняет. Это делает вкладка HMS. Бесплатный WARP выводит через ближайший узел: из России адрес будет российским и помеченным как WARP.

Подробно о том, что это даёт, чего не даёт, куда вписать адрес прокси и что происходит внутри — отдельная страница «WARP и HMS».

HMS

WARP меняет адрес, но не страну. HMS меняет и страну: второе подключение к WARP идёт через вход в другой стране, и Cloudflare выдаёт выход там же. Название выбрало сообщество — Hide My Ass.

• Слева — цепочка и вход. Выключатель цепочки, адрес выхода, выбор входа: «Напрямую», «Свой прокси» или «Tor». Для Tor — страна, мосты с кнопками «Получить мосты» и «Проверить скорость», закрепление выходного узла.
• Посередине — что идёт этим путём. Тумблер «Вести эти сайты через цепочку», список сайтов (в комплекте ChatGPT, Gemini, Grok) и исключения, которые идут мимо.
• Справа — как это устроено. Схема: ваш браузер → Zapret2UI → вход → Cloudflare WARP → сайт. Она строится из настроек, и при входе «Напрямую» у неё пропадает середина. На узком окне колонка уходит вниз.

Как включить, откуда берутся мосты, зачем закреплять выход и что происходит с сайтами при выключенной цепочке — на странице «WARP и HMS».

Настройки

Кроме перечисленного файл хранит две служебные отметки интерфейса: свёрнут ли блок поддержки автора и показана ли вводная при первом запуске. Руками их не трогают.

Отдельная кнопка «Добавить в исключения» одним нажатием прописывает программу и папку движка в Защитник Windows и брандмауэр. Антивирус остаётся самой частой причиной, по которой обход «не работает».

Резервная копия, сброс и логи

Раздел «Обслуживание» в «Настройках» — разовые действия: то, что запускают время от времени, а не переключают.

Резервная копия. Кнопки «Сохранить в файл» и «Восстановить из файла». В один файл .z2bak складываются настройки, ваши стратегии и папка списков. Движок туда не попадает: он весит больше сотни мегабайт и всё равно скачивается сам. Пригодится при переустановке Windows, переносе на другой компьютер и как страховка перед сбросом. Восстановление заменяет текущие настройки, стратегии и списки содержимым файла, после чего программа перезапускается — иначе она сохранила бы поверх старые значения, которые ещё держит в памяти.

Сброс настроек. Возвращает всё из таблицы выше к значениям по умолчанию: снимает автозапуск вместе с задачей в планировщике, выключает авто-починку, игровой фильтр, QUIC и прикрытие прокси, возвращает масштаб и порт. Запущенные обход и прокси останавливаются.

Файлы логов. Каждый запуск движка пишет свой файл logs\engine-*.log. Раньше они копились без ограничений; теперь при старте программы остаются последние 20, остальные удаляются. Кнопка «Очистить логи» убирает их все сразу. Служебные startup.log и fatal.log не трогаются — они не растут в количестве и нужны для разбора сбоев.

Область обхода, игровой фильтр и QUIC

Три настройки решают, что именно трогает движок. Они заметно влияют на результат, поэтому стоит понимать разницу.

Файлы на диске

Программа портативная: не устанавливается в Program Files и почти не трогает систему. Всё лежит в одной папке.

%LOCALAPPDATA%\Zapret2UI\
├─ engine\                     движок и его данные
│  ├─ winws2.exe               сам движок, нужен администратор
│  ├─ mdig.exe, ip2net.exe     резолв доменов в подсети для ipset
│  ├─ cygwin1.dll, WinDivert*  рантайм и сетевой драйвер
│  ├─ installed_version.txt    установленная версия движка
│  ├─ lua\                     библиотеки приёмов
│  ├─ files\                   блобы: готовые TLS и QUIC ClientHello
│  └─ windivert.filter\        части фильтра перехвата
├─ lists\                      хостлисты и ipset
│  ├─ youtube.txt, discord.txt встроенные списки доменов
│  ├─ exclude.txt              исключения: банки, госуслуги
│  ├─ ipset-discord.txt        собранные подсети
│  └─ ipset-masque.txt         точки входа WARP, движок покрывает их всегда
├─ logs\                       вывод движка по сеансам
├─ masque\                     встроенный клиент WARP
│  ├─ usque.exe               клиент MASQUE
│  └─ config.json             зарегистрированное устройство: ключ, лицензия, токен
├─ tor\                        Tor для HMS, качается при первом включении
│  ├─ tor.exe, torrc          сам Tor и его настройки
│  ├─ pt\                     транспорты obfs4 и webtunnel (lyrebird)
│  └─ data\                   кэш консенсуса: выходы и обычные реле
├─ tmp\                        временные загрузки
├─ presets.json                ваши стратегии
└─ settings.json               настройки

Как удалить полностью

1. Закройте программу

   Правый клик по значку в трее, «Выход». Крестик только сворачивает окно, а не завершает работу.

2. Снимите автозапуск, если включали

   Настройки, выключить «Запускать вместе с Windows — в трее, без окна». Либо вручную:

   schtasks /delete /tn "Zapret2UI Autostart" /f

3. Удалите файл и папку данных

   Сам Zapret2UI.exe и папку %LOCALAPPDATA%\Zapret2UI\. После этого от программы не остаётся ничего: в реестре и в Program Files она ничего не пишет.

sc.exe stop WinDivert
sc.exe delete WinDivert

Если добавляли исключения через настройки, останутся безвредные правила Защитника Windows и брандмауэра с именем Zapret2UI. При желании их можно убрать в настройках безопасности Windows.

settings.json пишется атомарно, через временный файл, чтобы сбой при записи не повредил настройки. Если файл всё же испортился, он сохраняется рядом с расширением .bak, а настройки сбрасываются на значения по умолчанию.