---
title: "AnyTLS"
description: "Le impostazioni TLS, i link e le funzioni di AnyTLS supportati da Potatso."
---

> Documentation Index
> Fetch the complete documentation index at: https://potatso.com/docs/llms.txt
> Use this file to discover all available pages before exploring further.

# AnyTLS

Un server AnyTLS è descritto da una **password** e dalle sue **impostazioni TLS**. AnyTLS funziona dentro TLS e riempie il suo traffico con padding, così la connessione sembra una normale visita HTTPS e non mostra i segni abituali di un proxy dentro TLS. Potatso si connette a un server quando supporta le sue impostazioni TLS. Usa le tabelle qui sotto per controllare le impostazioni del tuo server, come le indica il tuo provider o come compaiono nel suo link `anytls://`.

Puoi aggiungere un server AnyTLS a mano, con un [link `anytls://`](#links), oppure importando:

- una sottoscrizione Clash o Mihomo,
- una configurazione Surge.

Potatso non importa ancora server AnyTLS da una configurazione sing-box. Usa invece il link `anytls://` del server.

## TLS {#tls}

| Impostazione | Chiave Clash | Parametro del link | Supportata |
| --- | --- | --- | --- |
| Nome del server (SNI) | `sni` | `sni` | ✅ Senza di esso, Potatso usa l'indirizzo del server. |
| ALPN | `alpn` | `alpn` | ✅ Senza di esso, Potatso non ne invia, come fa Clash. |
| Salta verifica certificato | `skip-cert-verify` | `insecure` | ✅ |
| Pin del certificato (SHA-256) | `fingerprint` | `hpkp` | ✅ |
| Impronta del browser | `client-fingerprint` | `fp` | ✅ `chrome`, `firefox`, `safari`, `ios`, `android`, `edge` e `random`. Gli altri nomi si connettono con un handshake predefinito. |
| [REALITY](#reality) | `reality-opts` | | ✅ |
| Encrypted Client Hello (ECH) | `ech-opts` | | ✅ Con la configurazione ECH nella sottoscrizione, oppure cercata nel DNS |
| Certificato CA personalizzato | | | ❌ |
| Certificato client TLS | `certificate`, `private-key` | | ❌ |

Disattivare la verifica del certificato permette a chiunque si trovi tra te e il server di leggere il tuo traffico. Se il server usa un certificato autofirmato, fissa invece il certificato: imposta lo SHA-256 del suo certificato come pin del certificato.

Un'impronta del browser fa sì che l'handshake TLS della connessione somigli a quello di quel browser. Non cambia ciò che il server deve supportare.

Potatso non importa un server che richiede un certificato client TLS, perché il server rifiuterebbe la connessione.

### REALITY {#reality}

Un server REALITY prende in prestito il certificato TLS di un altro sito web, quindi non ne ha bisogno di uno proprio. I server sing-box offrono AnyTLS con REALITY. Imposta la **chiave pubblica** e lo **short ID** del server come te li dà il tuo provider, e il nome del server sul sito web da cui il server prende il certificato in prestito. REALITY richiede un'impronta del browser, come `chrome`.

## Connessioni {#connections}

AnyTLS riutilizza le proprie connessioni TLS: quando una connessione a un sito web termina, la successiva usa la stessa connessione TLS invece di aprirne una nuova. Ogni connessione TLS trasporta una connessione alla volta, quindi più connessioni insieme aprono più connessioni TLS, che vengono riutilizzate in seguito.

| Impostazione | Chiave Clash | Supportata |
| --- | --- | --- |
| Ogni quanto vengono controllate le connessioni inattive | `idle-session-check-interval` | ✅ In secondi, 30 per impostazione predefinita |
| Per quanto tempo resta aperta una connessione inattiva | `idle-session-timeout` | ✅ In secondi, 60 per impostazione predefinita |
| Quante connessioni inattive restano aperte | `min-idle-session` | ✅ 1 per impostazione predefinita |

Valori di 5 secondi o meno equivalgono a 30, come in Clash. Queste impostazioni provengono da una sottoscrizione Clash. Potatso usa i valori predefiniti per i server che aggiungi a mano o tramite link.

Il `reuse=false` di una configurazione Surge non si applica: Potatso riutilizza sempre le connessioni, come prevede la specifica AnyTLS. Potatso importa il server e mostra un avviso.

## Padding {#padding}

AnyTLS aggiunge padding all'inizio di ogni connessione per nascondere le dimensioni che tradiscono un proxy. Un server può inviare un proprio schema di padding. Potatso lo usa dalla connessione TLS successiva, come definisce AnyTLS. Non c'è nulla da impostare sul tuo dispositivo.

## UDP {#udp}

AnyTLS trasporta UDP dentro la sua connessione TLS (UDP over TCP). UDP è disattivato per impostazione predefinita, come in Clash. Attiva Relay UDP nelle impostazioni del server se il tuo server inoltra UDP. Una sottoscrizione Clash lo attiva con `udp: true`, e una configurazione Surge lo attiva sempre.

## Funzioni supportate {#features}

| Funzione | Supportata |
| --- | --- |
| [Protocollo AnyTLS](https://github.com/anytls/anytls-go/blob/main/docs/protocol.md) v2: password, padding, riutilizzo delle connessioni | ✅ |
| Schemi di padding inviati dal server | ✅ |
| UDP over TCP | ✅ |
| [Impostazioni delle connessioni inattive](#connections) | ✅ |
| REALITY, ECH | ✅ |
| Pin del certificato, impronte del browser | ✅ |
| CA personalizzata, certificati client TLS | ❌ |
| Link `anytls://` | ✅ |

Ogni funzione supportata è testata con almeno un server AnyTLS reale: [anytls-go](https://github.com/anytls/anytls-go), [sing-box](https://sing-box.sagernet.org/) o [mihomo](https://wiki.metacubex.one/).

Quando la password è sbagliata, il server chiude la connessione. Controlla prima la password quando un server AnyTLS non si connette mai.

## Link `anytls://` {#links}

Un link `anytls://` contiene un intero server in una riga:

```text
anytls://password@host:port/?parameters#name
```

| Parte | Descrizione |
| --- | --- |
| `password` | La password, con percent-encoding. |
| `host` | Indirizzo del server. Metti un indirizzo IPv6 tra parentesi quadre, come `[2001:db8::1]`. |
| `port` | Porta del server. Se manca, Potatso usa 443. |
| `name` | Facoltativo. Il nome del server in Potatso. |

I parametri seguono il [formato anytls-go](https://github.com/anytls/anytls-go/blob/main/docs/uri_scheme.md), più alcuni che aggiungono certe app:

| Parametro | Descrizione |
| --- | --- |
| `sni` | Il nome del server TLS. |
| `insecure` | `1` disattiva la verifica del certificato. |
| `alpn` | L'elenco ALPN, separato da virgole e con percent-encoding. |
| `fp` | L'impronta del browser. |
| `hpkp` | Lo SHA-256 del certificato del server. |

Quando Potatso condivide un server AnyTLS, offre un link `anytls://` con gli stessi parametri.

### Esempi {#link-examples}

Ogni esempio mostra il link da importare. La password è `secret`.

Un server semplice:

```text
anytls://secret@anytls.example.com:443/?sni=anytls.example.com#Basic
```

Un certificato autofirmato, senza verifica:

```text
anytls://secret@203.0.113.7/?insecure=1#Self-signed
```

Un'impronta Chrome, un elenco ALPN e un certificato fissato:

```text
anytls://secret@anytls.example.com:443/?sni=anytls.example.com&alpn=h2%2Chttp%2F1.1&fp=chrome&hpkp=abababababababababababababababababababababababababababababababab#Shaped
```

Source: https://potatso.com/docs/it/protocols/anytls/index.mdx