Интерфейс

Вверху по центру окна переключатель Простой / Расширенный. Простой режим оставляет одну кнопку включения, карточку Telegram и выбор цели. Расширенный добавляет вкладки: Главная, Стратегии, Хостлисты, Диагностика, Журнал, Telegram, Настройки.

Главная

• Кнопка включения обхода. Старт и остановка движка. Над ней точка и подпись состояния: Остановлен, затем Запуск, затем Работает.
• Цель обхода. Discord + YouTube, Discord или YouTube: что именно программа старается открыть при подборе и генерации. Чем уже цель, тем точнее результат.
• Подобрать стратегию. Перебирает проверенные готовые стратегии и оставляет ту, что открывает выбранные цели. Начинать стоит с неё: идёт по готовому списку и потому предсказуемее.
• Сгенерировать стратегию. Собирает вариант с нуля, отдельно под Discord и под YouTube. Дольше, нужна тогда, когда подбор не пробил.
• Карточка Telegram. Адрес и секрет встроенного прокси, кнопки «Открыть» и «Копировать», плюс тумблер включения.
• Стратегия для этой сети. Строка появляется, когда для текущей сети уже запомнен рабочий вариант.

Стратегии

Выберите строку и нажмите «Применить»: обход перезапустится на выбранной стратегии. Наведите курсор на строку, чтобы увидеть полное имя и описание во всплывающей подсказке.

Сюда же попадают ваши стратегии, сохранённые после подбора или генерации. Встроенные редактировать нельзя, но любую можно продублировать и править копию. Что именно делает каждая встроенная стратегия, разобрано построчно на странице Разбор стратегий.

Хостлисты

Хостлисты определяют, к каким доменам применяется обход. Это ключевая вещь для режима «только списки», который включён по умолчанию: чего нет в списках, того движок не трогает.

Формат файла

Обычный текстовый файл, по одному домену на строку, без протокола, без косых черт и без звёздочек. Именно так его читает движок, никакого своего формата программа не придумывает.

discord.com
discord.gg
discordapp.com
discordapp.net
gateway.discord.gg

Домен покрывает и свои поддомены: строка discord.com сработает и для canary.discord.com. Поэтому перечислять поддомены отдельно нужно редко.

Какие списки есть

Как список попадает в стратегию

Списки не прописываются в стратегию путями. Вместо этого используются токены, которые разворачиваются при запуске.

Полный перечень токенов: Справочник.

Свои цели

Быстрый способ добавить домен, не разбираясь со списками. Кнопка живёт на вкладке Диагностика. Добавленный домен:

• попадает в отдельный сводный список целей;
• начинает проверяться в диагностике наравне с Discord и YouTube;
• участвует в подборе и генерации, то есть стратегия ищется в том числе под него;
• обходится даже в режиме «только списки».

При добавлении программа сама учитывает поддомены и тот же бренд в других зонах: например, yandex.ru подтянет заодно ya.ru и yandex.kz.

Обход по IP-адресам

Списки доменов работают, пока блокировка идёт по имени. Если сервис режут по адресам, имя в пакете менять бессмысленно. На этот случай есть ipset: список подсетей вместо списка доменов.

Кнопка «Собрать IP-список Discord» резолвит домены Discord и складывает актуальные подсети в lists\ipset-discord.txt. Прав администратора не нужно, задействован только DNS. В стратегии список подключается токеном {IPSET} или {IPSET:имя}.

Диагностика

Слева кнопки, справа таблица. Строки собраны по сервисам: Discord (вход и API, gateway, CDN, обновления, проверка Cloudflare), YouTube (сайт, короткие ссылки, картинки, видео), а также Google, Cloudflare и DNS. Столбцы: HTTP, TLS 1.2, TLS 1.3 и Ping.

Как работает «Проверка DPI»

Обычная диагностика отвечает на вопрос «открывается или нет». Проверка DPI отвечает на другой: вмешивается ли провайдер. Для каждого чувствительного хоста делается два шага.

1. Подключение к порту 443

   Если обычное TCP-подключение не проходит, это не блокировка по имени сайта, а недоступность: проблема с маршрутом или блокировка по IP. Так и пишется, «нет соединения».

2. Отправка настоящего имени сайта

   Если подключение прошло, сервер жив. Тогда отправляется TLS ClientHello с реальным SNI, и смотрится, что происходит именно с этим пакетом:

   • Обрыв сразу после ClientHello. Сервер уже согласился на соединение, значит сброс на пакете с именем сайта пришёл не от него, а от оборудования посередине.
   • Заморозка. Пакет ушёл, ответа нет, соединение висит. Пакет с именем тихо выброшен.
   • Рукопожатие прошло. Признаков вмешательства нет.

Точнее всего запускать проверку с выключенным обходом: тогда видно неприкрытое поведение провайдера. При включённом обходе результат «чисто» означает лишь, что обход уже сделал свою работу.

Отдельно проверяется лимит по объёму. Кроме блокировки по имени провайдер может душить само соединение по количеству пакетов: первые десятки килобайт проходят, дальше поток замирает. Короткое рукопожатие под такой лимит не попадает и показывается как «чисто», поэтому программа отдельно тянет крупную загрузку и смотрит, проходит ли она за порог. Идея метода взята из проекта hyperion-cs/dpi-checkers.

Журнал

Первое место, куда смотреть, если обход не запустился. Причина почти всегда здесь: ошибка запуска, проблема с драйвером, вмешательство антивируса, код выхода движка.

Вкладка разделена на две части, чтобы проблема прокси не терялась среди вывода движка.

У каждой части свои кнопки «Копировать» и «Очистить».

Переключатель --debug в заголовке включает подробный режим сразу для обеих частей. Движок начинает писать, к каким именно соединениям применились приёмы и почему: без этого понять, что стратегия молча не сработала, практически невозможно. Прокси добавляет по три строки на соединение:

[tg-proxy] #7 DC2: открыто через прямой IP
[tg-proxy] #7 DC2: трафик пошёл
[tg-proxy] #7 DC2: закрыто через 45,2 с — Telegram закрыл канал

Что искать в выводе

Всё то же самое дублируется в файлы в папке logs\, по файлу на сеанс. Если просите помощи в канале или в задаче на GitHub, приложите последние десять или пятнадцать строк: по ним почти всегда видно, что пошло не так.

Telegram

Telegram блокируют не так, как сайты: чаще по IP-адресам. Обход DPI против этого бессилен, поэтому в программе есть отдельный встроенный прокси.

• Что делает. Поднимает локальный MTProto-прокси на 127.0.0.1:1443 и уводит каждое соединение к дата-центрам Telegram по WebSocket поверх TLS. Когда прямой путь закрыт, идёт через домены за Cloudflare. Так связь переживает блокировку по адресам.
• Права. Администратор не нужен: это локальный слушатель и исходящее TLS-соединение. Работает, даже когда окно свёрнуто в трей.
• Порт и секрет. По умолчанию порт 1443, если занят, берётся ближайший свободный. Секрет из 32 шестнадцатеричных символов сохраняется, чтобы ссылка не менялась между запусками.
• Как подключить. Кнопка «Открыть в Telegram» пропишет всё сама. Вручную: Настройки, Данные и память, Прокси, Добавить, MTProto, вписать адрес, порт и секрет.
• Только обычный Telegram. У клиента есть режим тестовой сети — отдельная инфраструктура Telegram для разработчиков. Прокси ведёт только к обычным дата-центрам, поэтому такое соединение он распознаёт и отклоняет со строкой в журнале. Иначе оно молча ушло бы в обычный дата-центр и висело бы вечным «подключением» без объяснения причины.

Чем это отличается от tg-ws-proxy

Механизм тот же, что у tg-ws-proxy, но реализация другая. Оригинал: отдельная программа на Python, собранная в самостоятельный исполняемый файл. Здесь: нативный порт протокола на C#, встроенный прямо в приложение, без второго процесса и без Python-рантайма.

Реализован транспорт dd (обфусцированный MTProto). Клиент подключается по локальной петле, поэтому FakeTLS не нужен и опущен. Рабочий путь сохранён: резолв через DoH и домены за Cloudflare, с пулом фронтов и временным отсевом неудачных.

Настройки

Отдельная кнопка «Добавить в исключения» одним нажатием прописывает программу и папку движка в Защитник Windows и брандмауэр. Антивирус остаётся самой частой причиной, по которой обход «не работает».

Область обхода, игровой фильтр и QUIC

Три настройки решают, что именно трогает движок. Они заметно влияют на результат, поэтому стоит понимать разницу.

Файлы на диске

Программа портативная: не устанавливается в Program Files и почти не трогает систему. Всё лежит в одной папке.

%LOCALAPPDATA%\Zapret2UI\
├─ engine\                     движок и его данные
│  ├─ winws2.exe               сам движок, нужен администратор
│  ├─ mdig.exe, ip2net.exe     резолв доменов в подсети для ipset
│  ├─ cygwin1.dll, WinDivert*  рантайм и сетевой драйвер
│  ├─ installed_version.txt    установленная версия движка
│  ├─ lua\                     библиотеки приёмов
│  ├─ files\                   блобы: готовые TLS и QUIC ClientHello
│  └─ windivert.filter\        части фильтра перехвата
├─ lists\                      хостлисты и ipset
│  ├─ youtube.txt, discord.txt встроенные списки доменов
│  ├─ exclude.txt              исключения: банки, госуслуги
│  └─ ipset-discord.txt        собранные подсети
├─ logs\                       вывод движка по сеансам
├─ tmp\                        временные загрузки
├─ presets.json                ваши стратегии
└─ settings.json               настройки

Как удалить полностью

1. Закройте программу

   Правый клик по значку в трее, «Выход». Крестик только сворачивает окно, а не завершает работу.

2. Снимите автозапуск, если включали

   Настройки, выключить «Запускать с Windows». Либо вручную:

   schtasks /delete /tn "Zapret2UI Autostart" /f

3. Удалите файл и папку данных

   Сам Zapret2UI.exe и папку %LOCALAPPDATA%\Zapret2UI\. После этого от программы не остаётся ничего: в реестре и в Program Files она ничего не пишет.

sc.exe stop WinDivert
sc.exe delete WinDivert

Если добавляли исключения через настройки, останутся безвредные правила Защитника Windows и брандмауэра с именем Zapret2UI. При желании их можно убрать в настройках безопасности Windows.

settings.json пишется атомарно, через временный файл, чтобы сбой при записи не повредил настройки. Если файл всё же испортился, он сохраняется рядом с расширением .bak, а настройки сбрасываются на значения по умолчанию.