Telemt MTProxy 升级记录

环境信息

• 服务器 IP: 23.106.156.34:22
• 配置文件: /etc/telemt/telemt.toml
• systemd 服务名: telemt.service
• SSH 密钥: ~/.ssh/telemt_root
• 运行用户: root
• 架构: Debian x86_64 → telemt-x86_64-linux-gnu.tar.gz

版本历程

当前版本: 3.4.25

升级步骤（通用模板）

以下步骤适用于每次升级，只需替换版本号即可。

1. 检查当前版本

1

ssh -i ~/.ssh/telemt_root root@23.106.156.34 "/usr/bin/telemt --version"

2. 查询最新版本

1

curl -s "https://api.github.com/repos/telemt/telemt/releases/latest" | grep tag_name

3. 备份当前二进制

1

ssh -i ~/.ssh/telemt_root root@23.106.156.34 "cp /usr/bin/telemt /usr/bin/telemt.bak.\$(ssh -i ~/.ssh/telemt_root root@23.106.156.34 '/usr/bin/telemt --version' | awk '{print \$2}')"

4. 下载并校验

以 3.4.13 为例：

1
2
3
4
5
6
7

# 下载
ssh -i ~/.ssh/telemt_root root@23.106.156.34 "curl -sL 'https://github.com/telemt/telemt/releases/download/3.4.13/telemt-x86_64-linux-gnu.tar.gz' -o /tmp/telemt-3.4.13.tar.gz"
ssh -i ~/.ssh/telemt_root root@23.106.156.34 "curl -sL 'https://github.com/telemt/telemt/releases/download/3.4.13/telemt-x86_64-linux-gnu.tar.gz.sha256' -o /tmp/telemt-3.4.13.tar.gz.sha256"

# 校验 SHA256（各版本不同，请从 GitHub Release 页面获取）
ssh -i ~/.ssh/telemt_root root@23.106.156.34 "cat /tmp/telemt-3.4.13.tar.gz.sha256 && sha256sum /tmp/telemt-3.4.13.tar.gz"
# Expected: 48a92a07ae0e10a756222131416b604532500e0f2ab4d06bc7a898fe5f4c4cd3

5. 停止服务并替换二进制

1
2
3

ssh -i ~/.ssh/telemt_root root@23.106.156.34 "systemctl stop telemt.service"
ssh -i ~/.ssh/telemt_root root@23.106.156.34 "cd /tmp && tar xzf telemt-3.4.13.tar.gz && cp /tmp/telemt /usr/bin/telemt && chmod +x /usr/bin/telemt"
ssh -i ~/.ssh/telemt_root root@23.106.156.34 "/usr/bin/telemt --version"

6. 重启并验证

1
2

ssh -i ~/.ssh/telemt_root root@23.106.156.34 "systemctl start telemt.service"
ssh -i ~/.ssh/telemt_root root@23.106.156.34 "systemctl status telemt.service"

验证输出示例：

1
2
3
4
5
6
7
8

Active: active (running) since Sat 2026-05-30 21:55:43 CST
Telemt MTProxy v3.4.13
Modes: classic=false secure=false tls=true
TLS domain: itunes.apple.com
Mask: true -> itunes.apple.com:443
API endpoint: http://127.0.0.1:9091/v1/*
LISTEN 0  1024  0.0.0.0:443    (telemt, fd=10)
LISTEN 0  128   127.0.0.1:9091 (telemt, fd=9)

7. 清理临时文件

1

ssh -i ~/.ssh/telemt_root root@23.106.156.34 "rm -f /tmp/telemt-*.tar.gz /tmp/telemt-*.tar.gz.sha256 /tmp/telemt"

版本变更总表

3.3.x 系列

3.4.x 系列

2026-06-30：3.4.15 → 3.4.22 实操记录

• 升级前版本：telemt 3.4.15
• 升级后版本：telemt 3.4.22
• 下载包：telemt-x86_64-linux-gnu.tar.gz
• SHA256：ecc44fab46ae70b2b704224f25ee41f68503b50e17d0b3d5dd558a9280e1fd8f
• 备份文件：/usr/bin/telemt.bak.3.4.15
• 服务状态：active (running)
• 监听端口：0.0.0.0:443、127.0.0.1:9091
• 启动日志：MAESTRO: Telemt MTProxy v3.4.22

一次性跨版本升级 3.4.15 → 3.4.22（含 3.4.16 Mindestlohn、3.4.17 Tempolimit、3.4.18 Wiederholung、3.4.19 Anerbietung、3.4.20 Hitzewelle、3.4.21 Klimaanlage 六个中间版本）。3.4.16/17/18 已在 2026-06-27 实操记录 中覆盖；本次重点关注 3.4.19 之后的三个版本（3.4.20/21/22）。3.4.20/21/22 均为 2026-06-29 当日连续发布，主干稳定线无破坏性变更，可直接升级到 3.4.22 而无需逐个版本回退验证。

校验过程：

1
2
3
4

$ cat /tmp/telemt-3.4.22.tar.gz.sha256
ecc44fab46ae70b2b704224f25ee41f68503b50e17d0b3d5dd558a9280e1fd8f  telemt-x86_64-linux-gnu.tar.gz
$ sha256sum /tmp/telemt-3.4.22.tar.gz
ecc44fab46ae70b2b704224f25ee41f68503b50e17d0b3d5dd558a9280e1fd8f  /tmp/telemt-3.4.22.tar.gz

验证命令：

1
2

ssh -i ~/.ssh/telemt_root root@23.106.156.34 "/usr/bin/telemt --version && systemctl is-active telemt.service"
ssh -i ~/.ssh/telemt_root root@23.106.156.34 "ss -lntp | grep telemt"

预期结果：

1
2
3
4

telemt 3.4.22
active
LISTEN 0 1024  0.0.0.0:443
LISTEN 0 128   127.0.0.1:9091

3.4.15 → 3.4.22 变更要点

• 3.4.16 Mindestlohn（2026-06-11）：新增 PATCH/GET /v1/config 编辑型 HTTP API；连续 3 个 PR 的 TLS 修复与升级；API + TLS-F 高级调优；速率限制文档改为以 bits per second 为单位；xray double hop 文档指纹更新。
• 3.4.17 Tempolimit（2026-06-11，Pre-release）：SYN 限流器（Netfilter control）+ TLS-F 句法密钥共享（syntactic key shares），用于对抗 SYN flood 与协议指纹识别。
• 3.4.18 Wiederholung（2026-06-12）：恢复单条记录 TLS-F 主应用 flight；修复 3.4.17 引入的 SYN 限流器生命周期与默认 burst 异常。
• 3.4.19 Anerbietung（2026-06-23）：修复 config API 保存时损坏嵌套子表的回归问题（#843）；新增 client_mss_bulk — 仅对握手分片、bulk 数据恢复 MSS 以削减每秒包数（#847）；Dockerfile 改进（#837）；PR #851 整合 Advanced Relay Mode、加固 KDF-Tuple、VersionD 安全填充预期更新、共享 MTProto framing 与 ME 地址、masking 回退与 frame readers 加固、握手后提升 MSS 削减 pps 及若干 bugfix。
• 3.4.20 Hitzewelle（2026-06-29）：修复 Docker 构建在 CI / docker-compose build 变体下的 bug（#859）；Synlimit V2 — 新一代 SYN 限流器，替换 3.4.17 Tempolimit 的早期实现；拆分 config loader helpers 到独立模块；恢复 ME D2C（DC-direct）的 queue-drain flushing，避免 ME 写端在突发流量下背压丢失（#863）。新贡献者 @CryZFix 完成首次提交。
• 3.4.21 Klimaanlage（2026-06-29）：恢复 ME writer 在初始代理请求绑定时使用的源 IP（#864）。该修复回归了与上游 DC 协商时 bind() 行为，影响部分双栈/审计场景下的源地址呈现。
• 3.4.22 Recherchen（2026-06-29）：Secure + VersionD Outbound Paddings 修复（#865）。校正 VersionD 协议下对外发送帧的填充长度计算，统一 Secure outbound padding 行为，避免在某些 MTProto 客户端上出现解析告警。

2026-07-21：3.4.22 → 3.4.25 实操记录

• 升级前版本：telemt 3.4.22
• 升级后版本：telemt 3.4.25
• 下载包：telemt-x86_64-linux-gnu.tar.gz
• SHA256：9868b5641677264795ef312a8b2c2e981de711b92cef9f6c977eb2024627366a
• 备份文件：/usr/bin/telemt.bak.3.4.22
• 服务状态：active (running)
• 监听端口：0.0.0.0:443、127.0.0.1:9091
• 启动日志：MAESTRO: Telemt MTProxy v3.4.25

一次性跨版本升级 3.4.22 → 3.4.25（含 3.4.23 Vorstandsplan、3.4.24 Warnsignale 两个中间版本）。3.4.23-25 在 2026-07-10 至 2026-07-20 期间分批发版，主干稳定线无破坏性变更，可直接升级到 3.4.25 而无需逐个版本回退验证。

校验过程：

1
2
3
4

$ cat /tmp/telemt-3.4.25.tar.gz.sha256
9868b5641677264795ef312a8b2c2e981de711b92cef9f6c977eb2024627366a  telemt-x86_64-linux-gnu.tar.gz
$ sha256sum /tmp/telemt-3.4.25.tar.gz
9868b5641677264795ef312a8b2c2e981de711b92cef9f6c977eb2024627366a  /tmp/telemt-3.4.25.tar.gz

验证命令：

1
2

ssh -i ~/.ssh/telemt_root root@23.106.156.34 "/usr/bin/telemt --version && systemctl is-active telemt.service"
ssh -i ~/.ssh/telemt_root root@23.106.156.34 "ss -lntp | grep telemt"

预期结果：

1
2
3
4

telemt 3.4.25
active
LISTEN 0 1024  0.0.0.0:443
LISTEN 0 128   127.0.0.1:9091

3.4.22 → 3.4.25 变更要点

• 3.4.23 Vorstandsplan（2026-07-10）：Reset ports configuration in merge docker-compose file（#866，@dvrass 首次提交）— 修正 docker-compose 中 ports 默认值的合并逻辑，避免覆盖用户自定义端口配置；Regression coverage + Synlimit netfilter rules per-target + CidrRateLimitKey with IpNetwork + Telemt-Referenz der Konfigurationsparameter（#869）— 补齐 Synlimit 与 netfilter 规则的回归测试、按目标粒度匹配、CidrRateLimitKey 支持 IpNetwork 类型，并新增完整配置参数参考文档（Telemt-Referenz der Konfigurationsparameter）。
• 3.4.24 Warnsignale（2026-07-16）：Bound ME writer queues by resident payload bytes + Enable expanded AES key schedule zeroization（#875）— ME writer 队列按驻留 payload 字节进行有界限流，防止突发流量导致 RSS 上涨；启用扩展 AES 密钥调度零化，降低 AES 密钥材料在内存中残留的窗口。
• 3.4.25 Schlussbild（2026-07-20）：
  • add handshake failure stage accounting（#881，@astronaut808）：在 /v1/stats/summary 与 /v1/stats/zero/all 中新增 handshake_failures_by_stage，Prometheus 同步暴露 telemt_handshake_failures_by_stage_total{stage="..."}。固定 stage label：first_packet_prelude（读取前 5 字节）、tls_clienthello_body（读取 TLS ClientHello body）、tls_core（TLS-F handshake/auth flow）、tls_post_serverhello_mtproto（TLS ServerHello 后等待 64-byte MTProto 握手）、direct_mtproto（direct classic/secure MTProto 握手）。不改 timeout、不改协议解析、不引入高基数 label。
  • In-Runtime Reload（#882）：新增运行时配置重载能力，无需重启进程即可重载部分配置。
  • Flow/3.4.25（#883）：3.4.25 整合流。

2026-06-27：3.4.15 → 3.4.19 实操记录

• 升级前版本：telemt 3.4.15
• 升级后版本：telemt 3.4.19
• 下载包：telemt-x86_64-linux-gnu.tar.gz
• SHA256：ad0eac9ec15e0f1be266c0109764fbf2a2e8068554f50f413a0dd17b92706f3a
• 备份文件：/usr/bin/telemt.bak.3.4.15
• 服务状态：active (running)
• 监听端口：0.0.0.0:443、127.0.0.1:9091

一次性跨版本升级 3.4.15 → 3.4.19（含 3.4.16 Mindestlohn、3.4.17 Tempolimit、3.4.18 Wiederholung 三个中间版本）。3.4.16/17/18 均为 2026-06-11~12 期间连续发布，主干稳定线无破坏性变更，可直接升级到 3.4.19 而无需逐个版本回退验证。

验证命令：

1
2

ssh -i ~/.ssh/telemt_root root@23.106.156.34 "/usr/bin/telemt --version && systemctl is-active telemt.service"
ssh -i ~/.ssh/telemt_root root@23.106.156.34 "ss -lntp | grep -E ':(443|9091)\\s'"

预期结果：

1
2
3
4

telemt 3.4.19
active
LISTEN 0 1024  0.0.0.0:443
LISTEN 0 128   127.0.0.1:9091

3.4.15 → 3.4.19 变更要点

• 3.4.16 Mindestlohn：新增 PATCH/GET /v1/config 编辑型 HTTP API；连续 3 个 PR 的 TLS 修复与升级；API + TLS-F 高级调优；速率限制文档改为以 bits per second 为单位；xray double hop 文档指纹更新。
• 3.4.17 Tempolimit（Pre-release）：SYN 限流器（Netfilter control）+ TLS-F 句法密钥共享（syntactic key shares），用于对抗 SYN flood 与协议指纹识别。
• 3.4.18 Wiederholung：恢复单条记录 TLS-F 主应用 flight；修复 3.4.17 引入的 SYN 限流器生命周期与默认 burst 异常。
• 3.4.19：修复 config API 保存时损坏嵌套子表的回归问题（#843）；新增 client_mss_bulk — 仅对握手分片、bulk 数据恢复 MSS 以削减每秒包数（#847）；Dockerfile 改进（#837）；PR #851 整合 Advanced Relay Mode、加固 KDF-Tuple、VersionD 安全填充预期更新、共享 MTProto framing 与 ME 地址、masking 回退与 frame readers 加固、握手后提升 MSS 削减 pps 及若干 bugfix。

2026-06-06：3.4.13 → 3.4.15 实操记录

• 升级前版本：telemt 3.4.13
• 升级后版本：telemt 3.4.15
• 下载包：telemt-x86_64-linux-gnu.tar.gz
• SHA256：620bf76ebc8b984ee16fc7f3cdb9423ab91058bd5d5bbe09db097f60eb95e871
• 备份文件：/usr/bin/telemt.bak.3.4.13
• 服务状态：active (running)
• 监听端口：0.0.0.0:443、127.0.0.1:9091

验证命令：

1
2

ssh -i ~/.ssh/telemt_root root@23.106.156.34 "/usr/bin/telemt --version && systemctl is-active telemt.service"
ssh -i ~/.ssh/telemt_root root@23.106.156.34 "ss -lntp | grep -E ':(443|9091)\\s'"

验证结果：

1
2
3
4

telemt 3.4.15
active
LISTEN 0 1024  0.0.0.0:443
LISTEN 0 128   127.0.0.1:9091

3.4.13 → 3.4.15 变更要点

• 3.4.14 Verhandlungsorte：新增运行时用户启用/禁用控制；新增 JA3/JA4 TLS ClientHello 被动指纹观测能力，可在 /beobachten 或 /v1/runtime/tls-fingerprints 中查看；改进双栈上游路由与 metrics/API 监听行为。
• 3.4.15 Briefschlitz：MSS Tuning。

2026-05-30：3.4.11 → 3.4.13 实操记录

• 升级前版本：telemt 3.4.11
• 升级后版本：telemt 3.4.13
• 下载包：telemt-x86_64-linux-gnu.tar.gz
• SHA256：48a92a07ae0e10a756222131416b604532500e0f2ab4d06bc7a898fe5f4c4cd3
• 备份文件：/usr/bin/telemt.bak.3.4.11
• 服务状态：active (running)
• 监听端口：0.0.0.0:443、127.0.0.1:9091

验证命令：

1

ssh -i ~/.ssh/telemt_root root@23.106.156.34 "/usr/bin/telemt --version && systemctl is-active telemt.service"

验证结果：

1
2

telemt 3.4.13
active

3.4.12 → 3.4.13 变更要点

• TLS-F ServerHello 真实性：ServerHello 现在从 ClientHello 实际提供的密码套件中选择，ALPN 不再作为 fake ApplicationData 中的稳定明文标记暴露
• ME/MR 压力加固：减少热路径竞争，有界 ME writer queue 等待，优先取消异步路径
• Control API：已知路由返回 405 Method Not Allowed + Allow 头，新增连字符别名，配额重置校验配置版本
• Docker：./config/ 挂载为可写 /etc/telemt/，运行时缓存使用 /run/telemt tmpfs，日志轮转限制

2026-05-17：3.4.10 → 3.4.11 实操记录

• 升级前版本：telemt 3.4.10
• 升级后版本：telemt 3.4.11
• 下载包：telemt-x86_64-linux-gnu.tar.gz
• SHA256：ca6d7388b3d1d7dedcc108c73edb3db98468a5ff67b7cea538ff10ac9c986dcb
• 备份文件：/usr/bin/telemt.bak.3.4.10
• 服务状态：active (running)
• 监听端口：0.0.0.0:443、127.0.0.1:9091

验证命令：

1

ssh -i ~/.ssh/telemt_root root@23.106.156.34 "/usr/bin/telemt --version && systemctl is-active telemt.service"

验证结果：

1
2

telemt 3.4.11
active

2026-05-17：处理 beobachten / quota state 权限警告

升级到 3.4.11 后，日志中出现过以下警告：

1
2

Failed to flush beobachten snapshot error=Permission denied (os error 13) path=beobachten.txt
Failed to persist per-user quota state error=Permission denied (os error 13) path=telemt.limit.json

原因是 systemd 服务以 telemt 用户运行，但原服务的 WorkingDirectory=/opt/telemt 目录归属为 root:root，Telemt 3.4.11 新增/强化了运行态快照和配额状态持久化写入，默认相对路径文件无法写入。

处理方式：把运行态数据目录迁移到 /var/lib/telemt，并通过 systemd drop-in 显式指定数据目录。

1
2

ssh -i ~/.ssh/telemt_root root@23.106.156.34 "mkdir -p /var/lib/telemt /etc/systemd/system/telemt.service.d"
ssh -i ~/.ssh/telemt_root root@23.106.156.34 "chown telemt:telemt /var/lib/telemt && chmod 0750 /var/lib/telemt"

/etc/systemd/system/telemt.service.d/override.conf：

1
2
3
4

[Service]
WorkingDirectory=/var/lib/telemt
ExecStart=
ExecStart=/bin/telemt --data-path /var/lib/telemt /etc/telemt/telemt.toml

重载并重启：

1

ssh -i ~/.ssh/telemt_root root@23.106.156.34 "systemctl daemon-reload && systemctl restart telemt.service"

验证结果：

1
2
3
4

STATUS=active
CWD=/var/lib/telemt
LISTEN 0 1024 0.0.0.0:443
LISTEN 0 128  127.0.0.1:9091

当前进程日志已不再出现 beobachten / telemt.limit.json 的 Permission denied 警告。

回滚方法

当前版本为 3.4.25。如需回滚到上一版本（3.4.22）：

1

ssh -i ~/.ssh/telemt_root root@23.106.156.34 "systemctl stop telemt.service && cp /usr/bin/telemt.bak.3.4.15 /usr/bin/telemt && chmod +x /usr/bin/telemt && systemctl start telemt.service"

如需回滚到更早的版本，请使用对应版本的备份文件。

各版本 SHA256 校验值

本记录由哈基米 🐱 维护，每次升级后更新。