Brook VPN на Ubuntu 24.04: установка

MAATRIX

Если вы уже пытались поднять Shadowsocks или Xray и утонули в JSON-конфигах с десятком полей, где одна опечатка в method рвёт всё соединение — Brook сделан ровно для этой боли. Это прокси-протокол, который умещается в один бинарник и один параметр — пароль. Ниже — установка сервера на Ubuntu 24.04 и клиента, без лишних слов.

Что такое Brook и зачем он нужен

Brook — открытый (GPL-3.0) прокси-инструмент от разработчика txthinking, который существует с 2016 года и специально спроектирован как «максимально простая» альтернатива Shadowsocks. У него нет отдельного файла конфигурации в привычном смысле — весь сервер запускается одной командой с двумя-тремя флагами. Протокол шифрует трафик через TLS-подобный слой (у Brook есть режим wsserver/wssserver поверх WebSocket и TLS), что затрудняет DPI-детект по сравнению с голым Shadowsocks.

Ключевая идея Brook — «zero config feel»: не нужно подбирать метод шифрования, генерировать сертификаты вручную для базового режима, разбираться с плагинами obfs. Именно поэтому это неплохой вариант, когда:

• вы поднимаете прокси на слабом VPS и не хотите тратить время на тюнинг;
• нужно быстро дать доступ 2-3 своим устройствам без сложной инфраструктуры;
• Shadowsocks в вашей локации уже палится DPI, а разворачивать полноценный Xray с XTLS-Reality кажется избыточным для личных нужд.

Обратная сторона простоты — у Brook меньше гибкости: нет такой тонкой настройки маскировки под легитимный трафик, как в Reality, и сообщество/документация заметно меньше, чем у Shadowsocks или WireGuard. Для одного человека или небольшой команды это нормальный компромисс, для продакшн-инфраструктуры с высокими требованиями к антицензурности — не лучший выбор.

Когда Brook уместнее Shadowsocks

Сравнение не в пользу однозначного победителя — это разные акценты.

Если вы уже читали про установку Shadowsocks на VPS и хотите чего-то с меньшим числом движущихся частей — Brook стоит попробовать. Если нужна максимальная совместимость с готовыми клиентами и обилие гайдов на случай проблем — Shadowsocks или VLESS остаются более отлаженным путём.

Подготовка сервера

Понадобится чистый VPS на Ubuntu 24.04 с root-доступом (или sudo) и открытым портом наружу. Возьмём для примера порт 9999/tcp — вы можете выбрать любой свободный.

Обновите систему и поставьте базовые утилиты:

sudo apt update && sudo apt upgrade -y
sudo apt install -y curl wget unzip

Проверьте, что порт не занят и не заблокирован firewall'ом:

sudo ss -tulpn | grep 9999
sudo ufw status

Если используете UFW, откройте порт заранее:

sudo ufw allow 9999/tcp
sudo ufw allow 9999/udp

Установка Brook на сервер

Официальный способ — установочный скрипт, который сам определяет архитектуру и ставит актуальный релиз в /usr/bin/brook:

curl -L https://build.brook.icu/download/brook/linux/amd64 -o /usr/bin/brook
chmod +x /usr/bin/brook
brook -v

Для ARM-серверов (например, Oracle Ampere) замените amd64 на arm64 в пути. Если ссылка недоступна из вашей сети напрямую, скачайте бинарник через свой уже настроенный туннель или зеркало GitHub Releases проекта txthinking/brook.

Проверка, что бинарник рабочий, должна вывести номер версии — что-то вроде 20xxxx, релизы Brook датируются по дате сборки, а не по семантическому версионированию.

Запуск сервера: три режима

Простой режим (server/client, TCP+UDP)

Самый быстрый старт — команда server:

brook server -l :9999 -p ВАШ_НАДЁЖНЫЙ_ПАРОЛЬ

Флаг -l — адрес и порт для прослушивания, -p — пароль. Это уже полноценный сервер: без сертификатов, без cipher suite. Из плюсов — предельная простота, из минусов — такой трафик проще детектировать DPI как «что-то нестандартное», потому что нет маскировки под HTTPS.

WebSocket + TLS (wsserver/wssserver) — рекомендуемый вариант

Для маскировки под обычный HTTPS-трафик используйте wssserver, который поднимает Brook поверх TLS. Понадобится домен, указывающий A-записью на IP сервера, и сертификат. Если у вас уже есть домен и Let's Encrypt через certbot:

sudo apt install -y certbot
sudo certbot certonly --standalone -d vpn.example.com

Запуск сервера с сертификатом:

brook wssserver -l :443 \
  -p ВАШ_НАДЁЖНЫЙ_ПАРОЛЬ \
  -d vpn.example.com \
  --cert /etc/letsencrypt/live/vpn.example.com/fullchain.pem \
  --certkey /etc/letsencrypt/live/vpn.example.com/privkey.pem

Такой трафик на порту 443 внешне выглядит как обычный HTTPS-сайт, что усложняет блокировку по паттернам DPI — хотя стопроцентной гарантии не даёт ни один протокол, включая Reality.

systemd-сервис, чтобы Brook пережил перезагрузку

Создайте юнит:

sudo nano /etc/systemd/system/brook.service

Содержимое:

[Unit]
Description=Brook Proxy Server
After=network.target

[Service]
Type=simple
ExecStart=/usr/bin/brook wssserver -l :443 -p ВАШ_НАДЁЖНЫЙ_ПАРОЛЬ -d vpn.example.com --cert /etc/letsencrypt/live/vpn.example.com/fullchain.pem --certkey /etc/letsencrypt/live/vpn.example.com/privkey.pem
Restart=on-failure
RestartSec=5
LimitNOFILE=65535

[Install]
WantedBy=multi-user.target

Включите и запустите:

sudo systemctl daemon-reload
sudo systemctl enable --now brook
sudo systemctl status brook

Строка active (running) в статусе означает, что сервер поднят и будет автоматически стартовать при перезагрузке.

Настройка клиента

Linux/macOS через CLI

Скачайте бинарник для своей платформы тем же способом, что и на сервере (замените linux/amd64 на darwin/amd64 для Intel Mac или darwin/arm64 для Apple Silicon), затем поднимите локальный SOCKS5-прокси:

brook wssclient -s vpn.example.com:443 -p ВАШ_НАДЁЖНЫЙ_ПАРОЛЬ --socks5 127.0.0.1:1080

Команда для простого режима (без TLS) выглядит так:

brook client -s IP_СЕРВЕРА:9999 -p ВАШ_НАДЁЖНЫЙ_ПАРОЛЬ --socks5 127.0.0.1:1080

После запуска настройте приложения (браузер, curl, системный прокси) на SOCKS5 127.0.0.1:1080. Проверить, что всё работает:

curl -x socks5h://127.0.0.1:1080 https://ifconfig.me

Команда должна вернуть внешний IP вашего сервера, а не локальный.

Windows и мобильные клиенты

Для Windows разработчики предлагают GUI-клиент Brook (доступен в релизах на GitHub) — он принимает те же три параметра: адрес сервера, пароль, режим. Для Android есть отдельное приложение в Google Play и на GitHub Releases (apk), для iOS — под тем же именем в App Store. Во всех клиентах логика одна: вписать сервер, порт, пароль, выбрать протокол (Brook Protocol / WS / WSS) — конфигурация занимает буквально минуту, в этом и весь смысл Brook.

Проверка и диагностика

Если клиент не подключается, пройдите по списку:

• Порт открыт снаружи. Проверьте с другой машины: nc -zv IP_СЕРВЕРА 443. Если недоступен — смотрите firewall на сервере и в панели провайдера (некоторые хостинги ставят security group отдельно от ufw).
• Пароль совпадает посимвольно. Brook не выдаёт внятной ошибки при несовпадении пароля — просто не будет валидного соединения. Скопируйте пароль, а не вводите вручную.
• Сертификат валиден. Для wssserver проверьте срок действия: sudo certbot certificates. Certbot по умолчанию настраивает автопродление, но стоит убедиться, что таймер активен: systemctl list-timers | grep certbot.
• Логи сервиса. Смотрите живые логи: sudo journalctl -u brook -f. Ошибки биндинга порта или чтения сертификата будут видны сразу.
• DNS-резолвинг домена. dig vpn.example.com +short должен вернуть IP вашего сервера — если резолвится не туда, TLS-хендшейк не пройдёт.

Отдельно стоит проверить утечку DNS-запросов после подключения — Brook сам по себе не управляет системным DNS, это остаётся на совести настроек клиента.

Частые вопросы