MHR-CFW

MITM Domain-Fronted HTTP Relay + مخرج Cloudflare Worker

الإنجليزية	الفارسية

---

كيف يعمل

1 - GAS + مخرج Cloudflare Worker

Client -> Local Relay -> Google/CDN Front -> GAS (Google Apps Script) Relay -> Cloudflare Worker -> Exit
            |
            +-> Shows www.google.com to network DPI filter

2 - GAS + الوسيط Cloudflare Worker + مخرج المرحّل الأمامي المستضاف ذاتياً

Client -> Local Relay -> Google/CDN Front -> GAS (Google Apps Script) Relay -> Cloudflare Worker -> Self-Hosted Upstream Forwarder -> Exit
            |
            +-> Shows www.google.com to network DPI filter

في الاستخدام العادي، يرسل المتصفح حركة المرور إلى البروكسي الذي يعمل على جهاز الكمبيوتر الخاص بك. يقوم البروكسي بإرسال تلك الحركة عبر البنية التحتية لـ Google بحيث لا ترى الشبكة سوى نطاق مسموح به مثل www.google.com. ثم يقوم المرحّل المنشور لديك بجلب الموقع الحقيقي عبر cloudflare worker وإعادة الرد عبر نفس المسار.

هذا يعني أن الفلتر يرى حركة مرور تبدو عادية لـ Google، بينما يظل الوجهة الحقيقية مخفية داخل طلب المرحّل.

---

كيفية الاستخدام

1 - تنزيل المشروع وفك الضغط

git clone https://github.com/denuitt1/mhr-cfw.git
cd mhr-cfw
pip install -r requirements.txt

لا يمكن الوصول إلى PyPI مباشرة؟ استخدم هذا المرآة بدلاً من ذلك:

pip install -r requirements.txt -i https://mirror-pypi.runflare.com/simple/ --trusted-host mirror-pypi.runflare.com

2 - إعداد Cloudflare Worker (worker.js)

1. افتح لوحة تحكم Cloudflare وقم بتسجيل الدخول بحساب Cloudflare الخاص بك.
2. من الشريط الجانبي، انتقل إلى Compute > Workers & Pages.
3. انقر على Create Application، واختر Start with Hello World ثم انقر على Deploy.
4. انقر على Edit code واحذف كل الكود الافتراضي في المحرر.
5. افتح ملف worker.js من هذا المشروع (داخل deploy/)، انسخ كل شيء، وألصقه في محرر Apps Script.
6. هام: غيّر الـ worker في هذا السطر ليتوافق مع الـ worker الذي أنشأته:

   const WORKER_URL = "myworker.workers.dev";
   

7. انقر على Deploy.

3 - إعداد المرحّل Google (Code.gs)

1. افتح Google Apps Script وقم بتسجيل الدخول بحساب Google الخاص بك.
2. انقر على New project.
3. احذف كل الكود الافتراضي في المحرر.
4. افتح ملف Code.gs من هذا المشروع (داخل deploy/)، انسخ كل شيء، وألصقه في محرر Apps Script.
5. هام: غيّر كلمة المرور في هذا السطر إلى شيء لا يعرفه إلا أنت، واستبدل رابط الـ worker بعنوان Cloudflare Worker الخاص بك:

   const AUTH_KEY = "your-secret-password-here";
   const WORKER_URL = "https://myworker.workers.dev";
   

6. انقر على Deploy ← New deployment.
7. اختر Web app كنوع.
8. اضبط:
   • Execute as: Me
   • Who has access: Anyone
9. انقر على Deploy.
10. انسخ Deployment ID (يبدو كسلسلة عشوائية طويلة). ستحتاجه في الخطوة التالية.

⚠️ تذكر كلمة المرور التي قمت بتعيينها في الخطوة 3. ستستخدم نفس كلمة المرور في ملف الإعدادات أدناه.

4 - التشغيل

انقر على ملف run.bat (على ويندوز) أو ملف run.sh (على لينكس) لبدء المرحّل.

إذا كنت تشغّله لأول مرة، سيظهر لك معالج إعداد حيث يجب إدخال AUTH_KEY و Google Apps Script Deployment ID. يجب أن ترى رسالة تفيد بأن الـ HTTP proxy يعمل على 127.0.0.1:8085.

5 - الاستخدام

نوصي باستخدام عميل v2rayN وتكوين بروكسي socks5.

يمكنك أيضاً استخدام إضافة FoxyProxy لـ Chrome أو لـ Firefox لاستخدام هذا البروكسي في متصفحك.

6 - اختبار الاتصال

افتح ipleak.net في متصفحك، يجب أن ترى عنوان IP الخاص بك معروضاً كعنوان لـ Cloudflare.

7 - دلائل استخدام إضافية

استخدام البروكسي داخل جهاز افتراضي

عند تشغيل جهاز افتراضي (VM)، يعمل في بيئة شبكية معزولة منفصلة عن الجهاز المضيف. بشكل افتراضي، لا يستطيع VM الوصول مباشرة إلى الخدمات التي تعمل على localhost للمضيف — بما في ذلك هذا البروكسي.

لإصلاح ذلك، تحتاج إلى العثور على عنوان IP الخاص بالبوابة الذي يخصصه الـ hypervisor للمضيف، ثم استخدامه بدلاً من localhost عند تكوين البروكسي داخل VM.

مثال: VirtualBox (وضع NAT)

يمكن الوصول إلى المضيف من داخل VM دائماً عبر 10.0.2.2. قم بتعيين البروكسي:

export http_proxy="http://10.0.2.2:8085"
export https_proxy="http://10.0.2.2:8085"
export all_proxy="socks5://10.0.2.2:8085"

لجعل هذا دائماً، أضف الأسطر أعلاه إلى ~/.bashrc وشغّل source ~/.bashrc.

نظراً لأن هذا البروكسي يقوم بفحص SSL، قد ترى أخطاء في الشهادة. قم بتثبيت ca.crt المرفق لإصلاحها:

sudo cp ca.crt /usr/local/share/ca-certificates/ && sudo update-ca-certificates

---

مشاركة البروكسي عبر الشبكة المحلية (مثل الأجهزة المحمولة)

يمكنك استخدام هذا البروكسي على هاتفك أو أي جهاز آخر على نفس الشبكة — بدون حاجة لبرامج إضافية.

1. ابحث عن عنوان IP لمضيفك

# ويندوز
ipconfig

# لينكس / macOS
ip addr

ابحث عن عنوان IP للمحول المتصل بجهاز التوجيه (مثل 192.168.1.8).

2. قم بتوجيه المنفذ (ويندوز فقط، إذا كانت الخدمة مرتبطة بـ localhost)

قم بتشغيل CMD كمسؤول:

netsh interface portproxy add v4tov4 listenaddress=192.168.1.8 listenport=8085 connectaddress=127.0.0.1 connectport=8085
netsh advfirewall firewall add rule name="Proxy 8085" dir=in action=allow protocol=TCP localport=8085

3. قم بتكوين البروكسي على هاتفك

قم بتوصيل هاتفك بنفس شبكة Wi-Fi، ثم قم بتعيين البروكسي يدوياً:

• المضيف: عنوان IP لمضيفك (مثل 192.168.1.8)
• المنفذ: 8085

على Android: الإعدادات ← Wi-Fi ← تعديل ← بروكسي ← يدوي
على iPhone: الإعدادات ← Wi-Fi ← (الشبكة) ← HTTP Proxy ← يدوي

4. قم بتثبيت شهادة CA

انقل ca.crt إلى هاتفك، ثم:

• Android: الإعدادات ← الأمان ← تثبيت شهادة ← شهادة CA
• iPhone: افتح الملف ← تثبيت الملف الشخصي ← الإعدادات ← عام ← حول ← إعدادات الثقة بالشهادة ← فعّلها

---

اختياري: عنوان IP مخرج ثابت عبر المرحّل الأمامي

ترتبط رموز CAPTCHA (Cloudflare Turnstile/تحدي البوت، reCAPTCHA، hCaptcha) بعنوان IP الذي قام بحل التحدي. يخرج Cloudflare Worker عبر عناوين IP مختلفة للحافة لكل طلب، لذلك يفشل التحقق في الموقع الهدف حتى عندما تقوم بحل التحدي. هذه الإضافة الاختيارية تسمح للـ Worker بتوجيه جميع استدعاءات fetch() عبر خادم Node صغير تشغله على VPS بعنوان IP ثابت — مما يعطي الموقع الهدف عنوان مخرج واحد ومتسق.

متى تحتاج هذا

• المواقع التي تستخدم تحدي البوت من Cloudflare تستمر في إعادتك إلى صفحة التحدي.
• نماذج تسجيل الدخول ترفضك بعد حل reCAPTCHA/hCaptcha.
• تحتاج إلى استمرارية ملفات تعريف الارتباط عبر الطلبات (مثل cf_clearance).

إذا لم تواجه هذه المشاكل، اتركها بدون تكوين — سيعمل الـ Worker تماماً كما كان من قبل.

لماذا يلزم خادم منفصل

لا يوفر Cloudflare Worker عنوان IP صادر ثابت — يخرج fetch() عبر مجموعة متغيرة من عناوين IP لحافة Cloudflare، وهذا هو بالضبط ما يفسد رموز CAPTCHA المرتبطة بعنوان IP. خيارات الخروج الثابتة من Cloudflare (BYOIP, Egress Workers) مخصصة للشركات على مستوى Enterprise، لذا فإن VPS صغير بعنوان IP ثابت هو الحل العملي. المرحّل الأمامي هو مجرد بروكسي رقيق يعيد إصدار fetch() من عنوان ثابت.

1. نشر المرحّل الأمامي على VPS

التنفيذ المرجعي موجود في deploy/upstream-forwarder/upstream_forwarder.js. يتطلب Node 18+ ولا يحتاج إلى تبعيات. قم بتشغيله خلف Caddy أو nginx مع TLS — الـ Worker يرفض عناوين URL للمرحّل الأمامي غير HTTPS.