AnyTLS

Un server AnyTLS è descritto da una password e dalle sue impostazioni TLS. AnyTLS funziona dentro TLS e riempie il suo traffico con padding, così la connessione sembra una normale visita HTTPS e non mostra i segni abituali di un proxy dentro TLS. Potatso si connette a un server quando supporta le sue impostazioni TLS. Usa le tabelle qui sotto per controllare le impostazioni del tuo server, come le indica il tuo provider o come compaiono nel suo link anytls://.

Puoi aggiungere un server AnyTLS a mano, con un link anytls://, oppure importando:

una sottoscrizione Clash o Mihomo,
una configurazione Surge.

Potatso non importa ancora server AnyTLS da una configurazione sing-box. Usa invece il link anytls:// del server.

TLS

Impostazione	Chiave Clash	Parametro del link	Supportata
Nome del server (SNI)	`sni`	`sni`	✅ Senza di esso, Potatso usa l'indirizzo del server.
ALPN	`alpn`	`alpn`	✅ Senza di esso, Potatso non ne invia, come fa Clash.
Salta verifica certificato	`skip-cert-verify`	`insecure`	✅
Pin del certificato (SHA-256)	`fingerprint`	`hpkp`	✅
Impronta del browser	`client-fingerprint`	`fp`	✅ `chrome`, `firefox`, `safari`, `ios`, `android`, `edge` e `random`. Gli altri nomi si connettono con un handshake predefinito.
REALITY	`reality-opts`		✅
Encrypted Client Hello (ECH)	`ech-opts`		✅ Con la configurazione ECH nella sottoscrizione, oppure cercata nel DNS
Certificato CA personalizzato			❌
Certificato client TLS	`certificate`, `private-key`		❌

Disattivare la verifica del certificato permette a chiunque si trovi tra te e il server di leggere il tuo traffico. Se il server usa un certificato autofirmato, fissa invece il certificato: imposta lo SHA-256 del suo certificato come pin del certificato.

Un'impronta del browser fa sì che l'handshake TLS della connessione somigli a quello di quel browser. Non cambia ciò che il server deve supportare.

Potatso non importa un server che richiede un certificato client TLS, perché il server rifiuterebbe la connessione.

REALITY

Un server REALITY prende in prestito il certificato TLS di un altro sito web, quindi non ne ha bisogno di uno proprio. I server sing-box offrono AnyTLS con REALITY. Imposta la chiave pubblica e lo short ID del server come te li dà il tuo provider, e il nome del server sul sito web da cui il server prende il certificato in prestito. REALITY richiede un'impronta del browser, come chrome.

Connessioni

AnyTLS riutilizza le proprie connessioni TLS: quando una connessione a un sito web termina, la successiva usa la stessa connessione TLS invece di aprirne una nuova. Ogni connessione TLS trasporta una connessione alla volta, quindi più connessioni insieme aprono più connessioni TLS, che vengono riutilizzate in seguito.

Impostazione	Chiave Clash	Supportata
Ogni quanto vengono controllate le connessioni inattive	`idle-session-check-interval`	✅ In secondi, 30 per impostazione predefinita
Per quanto tempo resta aperta una connessione inattiva	`idle-session-timeout`	✅ In secondi, 60 per impostazione predefinita
Quante connessioni inattive restano aperte	`min-idle-session`	✅ 1 per impostazione predefinita

Valori di 5 secondi o meno equivalgono a 30, come in Clash. Queste impostazioni provengono da una sottoscrizione Clash. Potatso usa i valori predefiniti per i server che aggiungi a mano o tramite link.

Il reuse=false di una configurazione Surge non si applica: Potatso riutilizza sempre le connessioni, come prevede la specifica AnyTLS. Potatso importa il server e mostra un avviso.

Padding

AnyTLS aggiunge padding all'inizio di ogni connessione per nascondere le dimensioni che tradiscono un proxy. Un server può inviare un proprio schema di padding. Potatso lo usa dalla connessione TLS successiva, come definisce AnyTLS. Non c'è nulla da impostare sul tuo dispositivo.

UDP

AnyTLS trasporta UDP dentro la sua connessione TLS (UDP over TCP). UDP è disattivato per impostazione predefinita, come in Clash. Attiva Relay UDP nelle impostazioni del server se il tuo server inoltra UDP. Una sottoscrizione Clash lo attiva con udp: true, e una configurazione Surge lo attiva sempre.

Funzioni supportate

Funzione	Supportata
Protocollo AnyTLS v2: password, padding, riutilizzo delle connessioni	✅
Schemi di padding inviati dal server	✅
UDP over TCP	✅
Impostazioni delle connessioni inattive	✅
REALITY, ECH	✅
Pin del certificato, impronte del browser	✅
CA personalizzata, certificati client TLS	❌
Link `anytls://`	✅

Ogni funzione supportata è testata con almeno un server AnyTLS reale: anytls-go, sing-box o mihomo.

Quando la password è sbagliata, il server chiude la connessione. Controlla prima la password quando un server AnyTLS non si connette mai.

Link `anytls://`

Un link anytls:// contiene un intero server in una riga:

anytls://password@host:port/?parameters#name

Parte	Descrizione
`password`	La password, con percent-encoding.
`host`	Indirizzo del server. Metti un indirizzo IPv6 tra parentesi quadre, come `[2001:db8::1]`.
`port`	Porta del server. Se manca, Potatso usa 443.
`name`	Facoltativo. Il nome del server in Potatso.

I parametri seguono il formato anytls-go, più alcuni che aggiungono certe app:

Parametro	Descrizione
`sni`	Il nome del server TLS.
`insecure`	`1` disattiva la verifica del certificato.
`alpn`	L'elenco ALPN, separato da virgole e con percent-encoding.
`fp`	L'impronta del browser.
`hpkp`	Lo SHA-256 del certificato del server.

Quando Potatso condivide un server AnyTLS, offre un link anytls:// con gli stessi parametri.

Esempi

Ogni esempio mostra il link da importare. La password è secret.

Un server semplice:

anytls://secret@anytls.example.com:443/?sni=anytls.example.com#Basic

Un certificato autofirmato, senza verifica:

anytls://secret@203.0.113.7/?insecure=1#Self-signed

Un'impronta Chrome, un elenco ALPN e un certificato fissato:

anytls://secret@anytls.example.com:443/?sni=anytls.example.com&alpn=h2%2Chttp%2F1.1&fp=chrome&hpkp=abababababababababababababababababababababababababababababababab#Shaped