Стабильная версия · v1.0.0> windows / домашний сетевой шлюз
Домашний qWDTT-шлюз на Windows 10/11 через Docker Desktop с Direct-маршрутом, серверным DNS-over-HTTPS и отдельным маршрутом Cloudflare WARP.
Проект упаковывает совместимый с qWDTT сервер для домашнего Windows-сценария, создаёт Android-профили, подготавливает данные для проброса порта на роутере и предоставляет единый интерфейс управления через service.cmd. Telegram Proxy подключается отдельно и не зависит от основного шлюза.
> контекст
WDTT — не системный VPN-клиент для Windows. Компьютер выступает серверной точкой для qWDTT на Android и публикует наружу только те сетевые точки входа, которые пользователь настроил явно.
Рабочая удалённая схема qWDTT включает Windows-хост, Docker, доступный порт на роутере, Android-профили, DNS-политику, дополнительную маршрутизацию, диагностику, резервные копии и секреты. Ручное управление всеми слоями быстро становится хрупким.
Docker Desktop остаётся явной предварительной зависимостью, а проект управляет только собственными ресурсами WDTT. service.cmd объединяет установку, запуск/остановку, Doctor, данные для роутера, профили, ресурсы, backup/update, Telegram Proxy и экспериментальные возможности.
> режимы
Режим определяет набор активных Docker-сервисов. Direct и WARP — отдельные политики маршрутизации, а не автоматические fallback-маршруты.
Только основной сервер WDTT.
Основной сервер + серверный DNS-over-HTTPS.
Сервер + DNS + отдельный шлюз Cloudflare WARP.
$ маршруты
DNS может менять способ разрешения имён, не меняя внешний IP. WARP меняет маршрут только для клиентов, которым назначена WARP-политика.
Используется домашний внешний IP. Это штатный маршрут профиля Home - Direct.
Доступно в CoreDns и Full. Android Private DNS и DoH внутри приложения или браузера могут обходить серверный DNS.
Доступно в Full. При отказе WARP-шлюза профиль WARP должен потерять доступ, а не незаметно вернуться на Direct.
Необязательный Flowseal/tg-ws-proxy внутри сетевого пространства WDTT. Сбой прокси не должен ломать основной сервер.
> service.cmd
Windows-пакет намеренно использует текстовую панель управления вместо отдельного GUI, скрывающего состояние Docker и сети.
> установка
Штатный сценарий отдельно рассматривает зависимости Windows, роутер и реальную внешнюю доступность.
Вручную установить и запустить Docker Desktop. Если Docker использует WSL 2, подготовить WSL вне WDTT.
Выбрать установку, режим Core/CoreDns/Full, порт, DNS, лимиты ресурсов и сетевой адаптер.
По ROUTER-SETUP.txt закрепить LAN-адрес ПК и пробросить выбранный UDP-порт.
Раскрыть Direct/WARP credentials только при необходимости и импортировать сгенерированные qwdtt:// данные.
Выполнить Status/Doctor локально, затем проверить подключение телефона через мобильную сеть: локальная диагностика не доказывает доступность входящего UDP у провайдера/роутера.
$ архитектура
Дополнительные функции по возможности вынесены в отдельные Compose-сервисы и profiles, чтобы ограничить область отказа и сохранить понятным основной серверный путь.
Windows 10/11 x64, Docker Desktop, Windows PowerShell 5.1, service.cmd и управляющие скрипты.
Привилегированный Go-сервер, совместимый с qWDTT: TUN, WireGuard wdtt0, Direct-политика и опубликованный WDTT-порт.
Необязательный dnsproxy в сетевом пространстве wdtt-server; обычный DNS внутри маршрута перенаправляется на настроенный DoH upstream.
Необязательный Linux-клиент Cloudflare WARP в отдельной Docker-сети; policy routing отправляет через него только WARP-клиентов WDTT.
Необязательный Flowseal/tg-ws-proxy в сетевом пространстве WDTT; по умолчанию не требует отдельной публикации Docker-порта.
Локальные .env/data, setup-output, backup/restore, resource profiles, Status/Doctor, update и uninstall.
> инженерные решения
Проект сознательно избегает нескольких удобных на первый взгляд сокращений, которые сделали бы домашний шлюз менее предсказуемым или безопасным.
WDTT не устанавливает Docker Desktop, WSL, winget, Virtual Machine Platform и не меняет BIOS/UEFI. Недостающие зависимости выявляются отдельной диагностикой.
Профиль WARP не должен незаметно раскрывать домашний Direct IP, если Cloudflare WARP недоступен.
ANDROID-PROFILES.txt сохраняется без паролей; реальные пароли и qwdtt:// ссылки показываются только после явного подтверждения.
Обычной установке нужен выбранный UDP endpoint WDTT. DNS-порты, внутренний WireGuard, Docker API и административные интерфейсы не предназначены для публикации в интернет.
Enable/update/rollback/health изолированы так, чтобы сбой прокси не останавливал основной стек WDTT.
Отдельный no-DTLS listener выключен по умолчанию и не является частью штатной работы Core/CoreDns/Full.
> технологии
> безопасность
ЛОКАЛЬНЫЕ СЕКРЕТЫBackup, .env, приватные ключи, WARP state, Telegram secret, пароли профилей и import links могут давать доступ к шлюзу. Для логов, сгенерированных файлов и опубликованных портов в проекте заданы отдельные границы.
> происхождение
Шлюз содержит модифицированную серверную часть qWDTT, производную от SpaceNeuroX/proxy-turn-vk-android. Это не официальный релиз qWDTT/SpaceNeuroX. Интеграция Telegram Proxy отдельно использует Flowseal/tg-ws-proxy как необязательный компонент.
> ограничения
ЯВНЫЕ ПРЕДПОСЫЛКИДля обычного подключения нужен достижимый UDP endpoint. CGNAT или двойной NAT могут потребовать изменений у провайдера или другой сетевой схемы. WARP зависит от Cloudflare, а локальный Doctor не может доказать, что входящий UDP реально проходит из интернета.
$ стабильный_релиз
v1.0.0 — первый стабильный публичный выпуск. Windows ZIP собирается по allowlist, PowerShell и shell-файлы проверяются, а готовый архив после создания распаковывается во временную папку и валидируется повторно.
54CDD3BAE5EC4369DEE442D31E832014821047FD21A3CD72E341F9C42B459516> ссылки проекта
GitHub остаётся источником истины для релизов, пользовательских гайдов, безопасности, совместимости с upstream и задач.