SOCKS5 e SOCKS5 sobre TLS

Um servidor SOCKS5 abre conexões por você e repassa UDP, com ou sem nome de usuário e senha (RFC 1928). SOCKS5 sobre TLS é o mesmo servidor acessado por TLS, de modo que a conexão com o servidor também é criptografada.

O Potatso envia ao servidor o nome do site que você visita, não o endereço dele, e o servidor consulta o nome. É o que outros apps chamam de socks5h, ou DNS remoto.

Você pode adicionar um servidor SOCKS5 à mão, com um link socks5://, ou importando:

• uma assinatura Clash ou Mihomo (type: socks5),
• uma configuração do Surge (socks5 e socks5-tls),
• uma configuração do Xray ou do V2Ray (saída socks, com ou sem TLS).

Para adicionar um servidor SOCKS5 sobre TLS à mão, escolha SOCKS5 e ative TLS.

Ajustes

Se o servidor pede nome de usuário e senha e você não os definiu, o Potatso não conecta. O Potatso não suporta a autenticação GSSAPI (Kerberos).

Um servidor Clash ou Mihomo com username vazio é importado sem autenticação, como o Clash faz.

Certificados

Com SOCKS5 sobre TLS, o nome do servidor no handshake TLS é sempre o endereço do servidor, e o certificado do servidor precisa ser válido para ele. Se não for, defina uma fixação de certificado ou ative Ignorar verificação de certificado. Você não pode definir outro nome de servidor: o Potatso não importa um link, um servidor do Surge ou um servidor do Xray que tenha um. O Clash e o Mihomo não têm nome de servidor para SOCKS5, então o Potatso ignora um sni ali, como eles fazem.

O Potatso não suporta:

• um certificado CA personalizado: fixe o certificado do servidor em vez disso,
• um certificado de cliente TLS (certificate e private-key do Clash), ou outro nome para verificar o certificado (name-cert-verify): o Potatso não importa um servidor que precise de um,
• uma lista de ALPN: o Potatso importa o servidor sem ela.

UDP

O UDP é usado por QUIC, chamadas de voz e vídeo e muitos jogos. Com o Relay UDP ativado, o Potatso envia UDP pelo servidor (UDP ASSOCIATE), para endereços IPv4 e IPv6. Também funciona com um servidor atrás de NAT que informa seu endereço como 0.0.0.0: o Potatso envia o UDP para o endereço que você definiu.

Desative o Relay UDP se o seu servidor não repassa UDP. Então:

• Com regras, o Potatso ignora uma regra que envia UDP a este servidor, e a próxima regra que corresponder decide. O UDP que nenhuma outra regra alcança é enviado direto.
• No modo Global, o UDP não funciona, porque todo o tráfego precisa passar pelo servidor.

Algumas coisas a saber sobre o UDP:

• O UDP é repassado pela porta UDP separada do servidor, então o firewall do servidor precisa deixar o UDP passar.
• Com SOCKS5 sobre TLS, apenas a conexão com o servidor é criptografada. O SOCKS5 envia o UDP fora dela, então o seu tráfego UDP chega ao servidor sem criptografia.
• Para UDP, o Potatso consulta por conta própria o endereço do site e envia o endereço ao servidor.
• Ao importar do Clash, Mihomo ou Surge, o Relay UDP fica ativado, a menos que o servidor defina udp: false (udp-relay=false no Surge). O Clash deixa o UDP desativado quando udp não existe, então confira se o seu servidor repassa UDP.

Suporte a recursos

Todo recurso suportado é testado com servidores SOCKS5 reais: Xray, sing-box, Mihomo, 3proxy e microsocks. O sing-box serve SOCKS5 sobre TLS na entrada mixed, não na entrada socks.

Links

Um link SOCKS5 guarda um servidor inteiro em uma linha:

socks5://user:password@host:port#name
socks5+tls://user:password@host:port?insecure=1#name

Um link não pode guardar uma fixação de certificado. Um link com um sni diferente do endereço do servidor não é importado.

O Potatso também importa duas outras formas:

socks://base64(user:password)@host:port#name
socks5://base64(user:password@host:port)#name

A primeira é como o v2rayN compartilha servidores SOCKS. A segunda é a forma mais antiga, em que tudo entre :// e # é codificado em Base64. Ao compartilhar um servidor SOCKS5 com senha, o Potatso oferece o link padrão e a forma do v2rayN.

Exemplos

Um servidor sem senha:

socks5://proxy.example.com:1080#Open

Um servidor com o nome de usuário alice e a senha s3cret:

socks5://alice:s3cret@proxy.example.com:1080#Auth

A senha p:ss wörd, com percent-encoding:

socks5://alice:p%3Ass%20w%C3%B6rd@proxy.example.com:1080#Encoded

O mesmo servidor como um link socks5h://:

socks5h://alice:s3cret@proxy.example.com:1080#Remote-DNS

A forma do v2rayN, com alice:s3cret codificado em Base64:

socks://YWxpY2U6czNjcmV0@proxy.example.com:1080#v2rayN

A forma mais antiga:

socks5://YWxpY2U6czNjcmV0QHByb3h5LmV4YW1wbGUuY29tOjEwODA#Legacy

Um servidor com endereço IPv6:

socks5://[2001:db8::1]:1080#IPv6

Um servidor SOCKS5 sobre TLS:

socks5+tls://alice:s3cret@proxy.example.com:443#TLS

Um servidor SOCKS5 sobre TLS com certificado autoassinado:

socks+tls://proxy.example.com:443?insecure=1#Self-signed