Настройка проксирования Telegram на Keenetic, MikroTik и OpenWrt

Зачем заворачивать Telegram на уровне роутера

Настройка прокси на домашнем или офисном шлюзе решает две задачи:

1. Единая точка настройки: Smart TV, ТВ-приставки, гостевые ноутбуки и смартфоны работают без ручной правки параметров прокси в каждом клиенте.
2. Точечная маршрутизация (PBR): Через прокси или туннель отправляются только пакеты к автономным системам Telegram (AS44907, AS62041), а остальной локальный трафик идет на максимальной скорости провайдера.

1. Keenetic (KeeneticOS)

Самый простой вариант реализации через Policy-Based Routing:

Шаг 1. Установка клиента прокси

В веб-интерфейсе (192.168.1.1):

1. Управление → Общие настройки → Изменить набор компонентов.
2. Отметьте компонент «Клиент прокси» (в разделе «Сетевые функции») и примените изменения.

Шаг 2. Добавление SOCKS5/HTTP подключения

1. Перейдите в Сетевые правила → Другие подключения.
2. В блоке Прокси-серверы нажмите Добавить.
3. Укажите IP вашего VPS, порт и данные авторизации.

Шаг 3. Маршрутизация трафика

1. В разделе Сетевые правила → Приоритеты подключений создайте политику доступа (например, Telegram Proxy).
2. Добавьте созданный прокси в эту политику.
3. Привяжите к политике нужные устройства либо настройте статические маршруты для IP-диапазонов Telegram:
   • 91.108.4.0/22, 91.108.8.0/22, 91.108.12.0/22, 91.108.16.0/22, 91.108.56.0/22
   • 149.154.160.0/20, 149.154.168.0/22, 149.154.172.0/22

2. MikroTik (RouterOS v7)

Вариант А: Контейнер с mtg на ARM-роутерах (RB5009, hAP ax2/ax3)

Если в роутере есть USB-накопитель и включен пакет container:

/interface/veth/add name=veth-mtg address=172.17.0.2/24 gateway=172.17.0.1
/interface/bridge/add name=bridge-docker
/interface/bridge/port/add bridge=bridge-docker interface=veth-mtg
/ip/address/add address=172.17.0.1/24 interface=bridge-docker
/ip/firewall/nat/add chain=srcnat action=masquerade src-address=172.17.0.0/24

/container/config/set registry-url=https://registry-1.docker.io tmpdir=disk1/pull
/container/add remote-image=nineseconds/mtg:2 interface=veth-mtg root-dir=disk1/mtg cmd="simple-run -n 1.1.1.1 0.0.0.0:443 ВАШ_EE_СЕКРЕТ"
/container/start 0

Вариант Б: Маркировка трафика (Mangle + WireGuard/SOCKS)

1. Добавьте диапазоны Telegram в IP → Firewall → Address Lists с именем telegram_ips.
2. В Mangle добавьте правило маркировки маршрута:

   /ip/firewall/mangle/add chain=prerouting dst-address-list=telegram_ips action=mark-routing new-routing-mark=to-proxy passthrough=yes

3. В IP → Routes направьте трафик таблицы to-proxy в интерфейс туннеля до вашего VPS.

3. OpenWrt (Sing-box + TProxy)

Современный и производительный способ перехвата трафика через sing-box:

opkg update
opkg install sing-box kmod-nft-tproxy

В конфигурации sing-box задается входящий tproxy слушатель на порту 12345 и исходящий VLESS/Shadowsocks туннель к вашему серверу:

{
  "inbounds": [
    {
      "type": "tproxy",
      "tag": "tproxy-in",
      "listen": "::",
      "listen_port": 12345
    }
  ],
  "route": {
    "rules": [
      {
        "geosite": "telegram",
        "outbound": "proxy-out"
      },
      {
        "outbound": "direct"
      }
    ]
  }
}

NFTables автоматически перенаправляет трафик Telegram в tproxy-in без разрыва существующих соединений.

Проверка результата

1. Отключите прокси внутри самого приложения Telegram.
2. Подключитесь к Wi-Fi роутера и отправьте тестовое фото/видео.
3. Проверьте задержку и совершите звонок: если звонок не прерывается, роутер корректно обрабатывает UDP-пакеты.