---
title: "SOCKS5 und SOCKS5 über TLS"
description: "Die von Potatso unterstützten Optionen, Links und Funktionen für SOCKS5 und SOCKS5 über TLS."
---

> Documentation Index
> Fetch the complete documentation index at: https://potatso.com/docs/llms.txt
> Use this file to discover all available pages before exploring further.

# SOCKS5 und SOCKS5 über TLS

Ein SOCKS5-Server öffnet Verbindungen für dich und leitet UDP weiter, mit oder ohne Benutzernamen und Passwort ([RFC 1928](https://www.rfc-editor.org/rfc/rfc1928)). **SOCKS5 über TLS** ist derselbe Server, der über TLS erreicht wird, sodass auch die Verbindung zum Server verschlüsselt ist.

Potatso sendet dem Server den Namen der besuchten Website, nicht ihre Adresse, und der Server löst den Namen auf. Andere Apps nennen das `socks5h` oder Remote-DNS.

Einen SOCKS5-Server kannst du von Hand, mit einem [`socks5://`-Link](#links) oder per Import hinzufügen:

- eines Clash- oder Mihomo-Abonnements (`type: socks5`),
- einer Surge-Konfiguration (`socks5` und `socks5-tls`),
- einer Xray- oder V2Ray-Konfiguration (`socks`-Outbound, mit oder ohne TLS).

Um einen SOCKS5-über-TLS-Server von Hand hinzuzufügen, wähle **SOCKS5** und schalte **TLS** ein.

## Einstellungen {#settings}

| Einstellung | Beschreibung |
| --- | --- |
| Server, Port | Adresse und Port des Servers. Auch eine IPv6-Adresse funktioniert. |
| Authentifizierung | Keine oder Benutzername und Passwort. |
| Benutzername, Passwort | Jeweils bis zu 255 Byte. |
| UDP-Relay | Standardmäßig an. Siehe [UDP](#udp). |
| TLS | Bei SOCKS5 über TLS an. |
| Zertifikatsprüfung überspringen | Nur SOCKS5 über TLS. Akzeptiert jedes Zertifikat. Nutze es nur zum Testen. |
| Zertifikat-Pin | Nur SOCKS5 über TLS, optional. Der SHA-256-Fingerabdruck des Zertifikats des Servers, als 64 Hex-Ziffern. Mit einem Pin akzeptiert Potatso das gepinnte Zertifikat, auch ein selbstsigniertes, und nichts anderes. |

Verlangt der Server Benutzernamen und Passwort und hast du sie nicht gesetzt, verbindet Potatso nicht. Potatso unterstützt keine GSSAPI-Authentifizierung (Kerberos).

Ein Clash- oder Mihomo-Server mit leerem `username` wird ohne Authentifizierung importiert, wie Clash es tut.

### Zertifikate {#certificates}

Bei SOCKS5 über TLS ist der Servername im TLS-Handshake immer die Adresse des Servers, und das Zertifikat des Servers muss dafür gültig sein. Ist es das nicht, setze einen [Zertifikat-Pin](#settings) oder schalte **Zertifikatsprüfung überspringen** ein. Einen anderen Servernamen kannst du nicht setzen: Potatso importiert keinen Link, keinen Surge-Server und keinen Xray-Server, der einen hat. Clash und Mihomo haben für SOCKS5 keinen Servernamen, daher ignoriert Potatso dort ein `sni`, wie sie es tun.

Potatso unterstützt nicht:

- ein eigenes CA-Zertifikat: Pinne stattdessen das Zertifikat des Servers,
- ein TLS-Clientzertifikat (Clash `certificate` und `private-key`) oder einen anderen Namen, gegen den das Zertifikat geprüft wird (`name-cert-verify`): Potatso importiert keinen Server, der eines braucht,
- eine ALPN-Liste: Potatso importiert den Server ohne sie.

## UDP {#udp}

UDP nutzen QUIC, Sprach- und Videoanrufe und viele Spiele. Bei eingeschaltetem **UDP-Relay** sendet Potatso UDP über den Server (UDP ASSOCIATE), an IPv4- und IPv6-Adressen. Es funktioniert auch mit einem Server hinter NAT, der seine Adresse als `0.0.0.0` meldet: Potatso sendet UDP an die Adresse, die du eingestellt hast.

Schalte UDP-Relay aus, wenn dein Server UDP nicht weiterleitet. Dann gilt:

- Bei Regeln überspringt Potatso eine Regel, die UDP an diesen Server sendet, und die nächste passende Regel entscheidet. UDP, auf das keine andere Regel passt, wird direkt gesendet.
- Im Modus Global funktioniert UDP nicht, weil der gesamte Datenverkehr über den Server laufen muss.

Zu UDP solltest du Folgendes wissen:

- UDP wird über den separaten UDP-Port des Servers weitergeleitet, daher muss die Firewall des Servers UDP durchlassen.
- Bei SOCKS5 über TLS ist nur die Verbindung zum Server verschlüsselt. SOCKS5 sendet UDP außerhalb davon, dein UDP-Datenverkehr erreicht den Server also unverschlüsselt.
- Für UDP löst Potatso die Adresse der Website selbst auf und sendet dem Server die Adresse.
- Beim Import aus Clash, Mihomo oder Surge ist UDP-Relay an, außer der Server setzt `udp: false` (`udp-relay=false` in Surge). Clash lässt UDP aus, wenn `udp` fehlt, prüfe also, dass dein Server UDP weiterleitet.

## Funktionsunterstützung {#features}

| Funktion | Unterstützt |
| --- | --- |
| `CONNECT` zu IPv4-, IPv6- und Domain-Zielen ([RFC 1928](https://www.rfc-editor.org/rfc/rfc1928)) | ✅ |
| Remote-DNS: Domainnamen werden vom Server aufgelöst (`socks5h`) | ✅ Für TCP |
| Keine Authentifizierung | ✅ |
| Benutzername und Passwort ([RFC 1929](https://www.rfc-editor.org/rfc/rfc1929)) | ✅ |
| GSSAPI ([RFC 1961](https://www.rfc-editor.org/rfc/rfc1961)) | ❌ |
| `UDP ASSOCIATE` zu IPv4- und IPv6-Zielen | ✅ |
| UDP mit einem Server hinter NAT (Relay-Adresse `0.0.0.0`) | ✅ |
| UDP-Fragmentierung | ❌ Fragmentierte Datagramme werden verworfen, was RFC 1928 erlaubt |
| `BIND` (eingehende Verbindungen, etwa aktives FTP) | ❌ |
| SOCKS5 über TLS | ✅ Mit Zertifikat-Pin und Zertifikatsprüfung überspringen |
| Anderer TLS-Servername als die Serveradresse, ALPN, eigene CA, Clientzertifikat | ❌ |
| Mit TLS verschlüsseltes UDP | ❌ SOCKS5 sendet UDP außerhalb von TLS |
| Eine IPv6-Serveradresse | ✅ |
| SOCKS4 und SOCKS4a | ❌ |

Jede unterstützte Funktion ist gegen echte SOCKS5-Server getestet: [Xray](https://xtls.github.io/), [sing-box](https://sing-box.sagernet.org/), [Mihomo](https://wiki.metacubex.one/), [3proxy](https://3proxy.org/) und [microsocks](https://github.com/rofl0r/microsocks). sing-box bietet SOCKS5 über TLS an seinem `mixed`-Inbound an, nicht an seinem `socks`-Inbound.

## Links {#links}

Ein SOCKS5-Link enthält einen ganzen Server in einer Zeile:

```text
socks5://user:password@host:port#name
socks5+tls://user:password@host:port?insecure=1#name
```

| Teil | Beschreibung |
| --- | --- |
| Schema | `socks5://`, `socks://` oder `socks5h://` für SOCKS5; `socks5+tls://` oder `socks+tls://` für SOCKS5 über TLS. Potatso sendet Domainnamen immer an den Server, daher funktioniert `socks5h://` genauso wie `socks5://`. |
| `user:password` | Optional. Kodiere `:`, `@` und andere Sonderzeichen im Passwort prozentkodiert, zum Beispiel `p%3Ass` für `p:ss`. Der Benutzername darf kein `:` enthalten. |
| `host` | Serveradresse. Setze eine IPv6-Adresse in eckige Klammern, etwa `[2001:db8::1]`. |
| `port` | Serverport. |
| `insecure` | Nur SOCKS5 über TLS, optional. `1` schaltet Zertifikatsprüfung überspringen ein. Potatso liest auch `allowInsecure` und `skip-cert-verify`. |
| `name` | Optional. Der Name des Servers in Potatso. |

Ein Link kann keinen Zertifikat-Pin enthalten. Ein Link mit einem anderen `sni` als der Serveradresse wird nicht importiert.

Potatso importiert zwei weitere Formen:

```text
socks://base64(user:password)@host:port#name
socks5://base64(user:password@host:port)#name
```

Die erste ist die Art, wie v2rayN SOCKS-Server teilt. Die zweite ist die ältere Form, in der alles zwischen `://` und `#` Base64-kodiert ist. Wenn Potatso einen SOCKS5-Server mit Passwort teilt, bietet es den Standard-Link und die v2rayN-Form an.

### Beispiele {#link-examples}

Ein Server ohne Passwort:

```text
socks5://proxy.example.com:1080#Open
```

Ein Server mit dem Benutzernamen `alice` und dem Passwort `s3cret`:

```text
socks5://alice:s3cret@proxy.example.com:1080#Auth
```

Das Passwort `p:ss wörd`, prozentkodiert:

```text
socks5://alice:p%3Ass%20w%C3%B6rd@proxy.example.com:1080#Encoded
```

Derselbe Server als `socks5h://`-Link:

```text
socks5h://alice:s3cret@proxy.example.com:1080#Remote-DNS
```

Die v2rayN-Form, mit Base64-kodiertem `alice:s3cret`:

```text
socks://YWxpY2U6czNjcmV0@proxy.example.com:1080#v2rayN
```

Die ältere Form:

```text
socks5://YWxpY2U6czNjcmV0QHByb3h5LmV4YW1wbGUuY29tOjEwODA#Legacy
```

Ein Server mit einer IPv6-Adresse:

```text
socks5://[2001:db8::1]:1080#IPv6
```

Ein SOCKS5-über-TLS-Server:

```text
socks5+tls://alice:s3cret@proxy.example.com:443#TLS
```

Ein SOCKS5-über-TLS-Server mit selbstsigniertem Zertifikat:

```text
socks+tls://proxy.example.com:443?insecure=1#Self-signed
```

Source: https://potatso.com/docs/de/protocols/socks5/index.mdx