📧 SMTP Tunnel Proxy

Высокоскоростной скрытый туннель, маскирующий TCP-трафик под SMTP-почтовое сообщение для обхода DPI-брандмауэров.

┌─────────────┐      ┌─────────────┐      ┌─────────────┐      ┌──────────────┐
│ Application │─────▶│   Client    │─────▶│   Server    │─────▶│  Internet    │
│  (Browser)  │ TCP  │ SOCKS5:1080 │ SMTP │  Port 587   │ TCP  │              │
│             │◀─────│             │◀─────│             │◀─────│              │
└─────────────┘      └─────────────┘      └─────────────┘      └──────────────┘
                            │                    │
                            │   Выглядит как     │
                            │   почтовый трафик  │
                            ▼                    ▼
                     ┌────────────────────────────────┐
                     │     DPI Firewall               │
                     │  ✅ Видит: Обычная SMTP-сессия │
                     │  ❌ Не видит: Туннельные данные│
                     └────────────────────────────────┘

---

🎯 Возможности

Возможность	Описание
🔒 TLS-шифрование	Весь трафик шифруется с помощью TLS 1.2+ после STARTTLS
🎭 Обход DPI	Начальное рукопожатие имитирует реальные SMTP-серверы (Postfix)
⚡ Высокая скорость	Бинарный потоковый протокол после рукопожатия — минимальные накладные расходы
👥 Многопользовательский режим	Секреты для каждого пользователя, IP-белые списки и настройки логирования
🔑 Аутентификация	Предустановленные ключи для каждого пользователя с HMAC-SHA256
🌐 SOCKS5-прокси	Стандартный интерфейс прокси — работает с любыми приложениями
📡 Мультиплексирование	Несколько соединений через один туннель
🛡️ IP-белый список	Контроль доступа для каждого пользователя по IP-адресу/CIDR
📦 Простая установка	Установка сервера одной командой с systemd-сервисом
🎁 Клиентские пакеты	Автоматически генерируемые ZIP-файлы для каждого пользователя
🔄 Автоподключение	Клиент автоматически переподключается при потере соединения

📚 Подробные технические детали, спецификации протокола и анализ безопасности см. в TECHNICAL.md.

---

⚡ Быстрый старт

📋 Предварительные требования

• Сервер: Linux VPS с Python 3.8+, открытый порт 587
• Клиент: Windows/macOS/Linux с Python 3.8+
• Доменное имя: Требуется для проверки TLS-сертификата (бесплатные варианты: DuckDNS, No-IP, FreeDNS)

---

🚀 Настройка сервера (VPS)

Шаг 1️⃣: Получить доменное имя

Получите бесплатный домен, указывающий на ваш VPS:

• 🦆 DuckDNS — Рекомендуется, просто и бесплатно
• 🌐 No-IP — Есть бесплатный тариф
• 🆓 FreeDNS — Множество вариантов доменов

Пример: myserver.duckdns.org → 203.0.113.50 (IP вашего VPS)

Шаг 2️⃣: Запустить установщик

curl -sSL https://raw.githubusercontent.com/x011/smtp-tunnel-proxy/main/install.sh | sudo bash

Установщик:

1. 📥 Скачает и установит всё необходимое
2. ❓ Спросит ваше доменное имя
3. 🔐 Автоматически сгенерирует TLS-сертификаты
4. 👤 Предложит создать первого пользователя
5. 🔥 Настроит брандмауэр
6. 🚀 Запустит сервис

Всё! Ваш сервер готов.

➕ Добавление новых пользователей позже

smtp-tunnel-adduser bob      # Добавить пользователя + сгенерировать клиентский ZIP
smtp-tunnel-listusers        # Список всех пользователей
smtp-tunnel-deluser bob      # Удалить пользователя

🔄 Обновление сервера

smtp-tunnel-update           # Обновляет код, сохраняя настройки/сертификаты/пользователей

---

💻 Настройка клиента

Вариант A: Простой способ (рекомендуется)

1. Получите файл username.zip от администратора сервера
2. Распакуйте ZIP-файл
3. Запустите лаунчер:

Платформа	Как запустить
🪟 Windows	Дважды щёлкните start.bat
🐧 Linux	Запустите ./start.sh
🍎 macOS	Запустите ./start.sh

Лаунчер автоматически установит зависимости и запустит клиент.

✅ Вы должны увидеть:

SMTP Tunnel Proxy Client
User: alice

[INFO] Starting SMTP Tunnel...
[INFO] SOCKS5 proxy will be available at 127.0.0.1:1080

Connecting to myserver.duckdns.org:587
Connected - binary mode active
SOCKS5 proxy on 127.0.0.1:1080

Вариант B: Вручную

cd alice
pip install -r requirements.txt
python client.py

Вариант C: Своя конфигурация

# Скачать файлы
scp [email protected]:/etc/smtp-tunnel/ca.crt .

# Создать config.yaml:
cat > config.yaml << EOF
client:
  server_host: "myserver.duckdns.org"
  server_port: 587
  socks_port: 1080
  username: "alice"
  secret: "your-secret-from-admin"
  ca_cert: "ca.crt"
EOF

# Запустить клиент
python client.py -c config.yaml

---

📖 Использование

🌐 Настройка ваших приложений

Установите SOCKS5-прокси: 127.0.0.1:1080

🦊 Firefox

1. Настройки → Сетевые настройки → Настроить
2. Ручная настройка прокси
3. SOCKS-хост: 127.0.0.1, Порт: 1080
4. Выберите SOCKS v5
5. ✅ Отметьте «Прокси DNS при использовании SOCKS v5»

🌐 Chrome

1. Установите расширение «Proxy SwitchyOmega»
2. Создайте профиль с SOCKS5: 127.0.0.1:1080

🪟 Windows (системный)

Параметры → Сеть и Интернет → Прокси → Ручная настройка → socks=127.0.0.1:1080

🍎 macOS (системный)

Системные настройки → Сеть → Дополнительно → Прокси → SOCKS-прокси → 127.0.0.1:1080

🐧 Linux (системный)

export ALL_PROXY=socks5://127.0.0.1:1080

💻 Командная строка

# curl
curl -x socks5h://127.0.0.1:1080 https://ifconfig.me

# git
git config --global http.proxy socks5://127.0.0.1:1080

# Переменная окружения
export ALL_PROXY=socks5://127.0.0.1:1080

✅ Проверка соединения

# Должен показать IP вашего VPS
curl -x socks5://127.0.0.1:1080 https://ifconfig.me

---

⚙️ Справочник по конфигурации

🖥️ Параметры сервера (config.yaml)

Параметр	Описание	По умолчанию
host	Интерфейс прослушивания	0.0.0.0
port	Порт прослушивания	587
hostname	SMTP-имя хоста (должно совпадать с сертификатом)	mail.example.com
cert_file	Путь к TLS-сертификату	server.crt
key_file	Путь к закрытому ключу TLS	server.key
users_file	Путь к файлу конфигурации пользователей	users.yaml
log_users	Глобальная настройка логирования	true

👥 Параметры пользователей (users.yaml)

Каждый пользователь может иметь индивидуальные настройки:

users:
  alice:
    secret: "auto-generated-secret"
    # whitelist:              # Опционально: ограничить определённые IP
    #   - "192.168.1.100"
    #   - "10.0.0.0/8"        # Поддерживается нотация CIDR
    # logging: true           # Опционально: отключить логирование для этого пользователя

  bob:
    secret: "another-secret"
    whitelist:
      - "203.0.113.50"        # Bob может подключаться только с этого IP
    logging: false            # Не логировать действия Bob

Параметр	Описание	По умолчанию
secret	Секрет аутентификации пользователя	Обязательный
whitelist	Разрешённые IP для этого пользователя (поддерживается CIDR)	Все IP
logging	Включить логирование активности для этого пользователя	true

💻 Параметры клиента