سياسة البروكسي

تشير سياسة البروكسي إلى توجيه الطلب إلى خادم بروكسي آخر. يدعم Chute بروتوكولات البروكسي HTTP/HTTPS/SOCKS5/SOCKS5-TLS/SS/SSR/Trojan/VMess/VLESS/AnyTLS/TUIC/Hysteria2/WireGuard/ShadowTLS/MASQUE/SSH.

يعلن القسم [Proxy] عن سياسات البروكسي. يمكنك إنشاء عدة بروكسيات لقواعد مختلفة.

مثال:

[Proxy]
ProxyHTTP = http, 1.2.3.4, 443, username, password
ProxyHTTPS = https, 1.2.3.4, 443, username, password, sni=example.com
ProxySOCKS5 = socks5, 1.2.3.4, 443, username, password
ProxySOCKS5TLS = socks5-tls, 1.2.3.4, 443, username, password, sni=example.com
SS = ss, 1.2.3.4, 443, method, password, obfs=http
SSR = ssr, 1.2.3.4, 443, method, password, protocol=auth_chain_f, protocol_param=user:pass, obfs=http_post, obfs_param=example.com
Trojan = trojan, 1.2.3.4, 443, password=password, tls=true, sni=example.com, skip-cert-verify=false, ws=true
VMess = vmess, 1.2.3.4, 443, uuid=uuid, sni=example.com, tls=true, ws=true
VLESS = vless, 1.2.3.4, 443, uuid=uuid, sni=example.com, xtls=true
AnyTLS = anytls, 1.2.3.4, 443, password, sni=example.com
TUIC = tuic, 1.2.3.4, 443, uuid=uuid, password=password, sni=example.com
Hysteria2 = hysteria2, 1.2.3.4, 443, auth=password, sni=example.com, up=10, down=100
WireGuard = wireguard, private-key=base64key, peer-public-key=base64key, section-name=wg0, self-ip=10.0.0.2
ShadowTLS = shadowtls, 1.2.3.4, 443, password=password, sni=example.com, skip-cert-verify=false, fingerprint=chrome
ProxyMASQUE = masque, 1.2.3.4, 443, token=auth-token, mode=connect-udp, sni=example.com, alpn=h3, skip-cert-verify=false
SSH = ssh, 1.2.3.4, 22, root, password=pw
SCHEME = scheme, ssr://....

تنبيه: تقبل سياسات HTTPS و SOCKS5-TLS خيار key=value إضافياً واحداً على الأكثر بعد بيانات الاعتماد. تحتاج سياسة Trojan إلى tls=true صريح — TLS ليس ضمنياً.

المعاملات

معاملات البروكسي مع TLS

tls: اختياري.

tls=true

تفعيل نقل TLS.

skip-cert-verify: اختياري

skip-cert-verify=true

إذا تم تفعيل هذا الخيار، لن يتحقق Chute من شهادة الخادم.

sni (الافتراضي: اسم المضيف)

sni=exmaple.com

يمكنك تخصيص Server Name Indication (SNI) أثناء مصافحة TLS. افتراضياً سيرسل Chute SNI مع اسم المضيف مثل معظم المتصفحات.

معاملات البروكسي مع Shadowsocks

الطريقة: مطلوبة.

مدعومة حالياً:

rc4-md5
aes-128-cfb
aes-192-cfb
aes-256-cfb
aes-128-ctr
aes-192-ctr
aes-256-ctr
bf-cfb
camellia-128-cfb
camellia-192-cfb
camellia-256-cfb
salsa20
chacha20
chacha20-ietf
aes-128-gcm
aes-192-gcm
aes-256-gcm
chacha20-ietf-poly1305
xchacha20-ietf-poly1305

طرق Shadowsocks 2022

يدعم Chute بروتوكول Shadowsocks 2022، الذي يستخدم اشتقاق مفاتيح قائم على BLAKE3 وتشفير AEAD. يحدد اسم الطريقة مجموعة التشفير:

2022-blake3-aes-128-gcm
2022-blake3-aes-256-gcm
2022-blake3-chacha20-poly1305

تنسيق كلمة المرور:

يتكون حقل كلمة المرور لـ SS2022 من مفتاح واحد أو اثنين مشفرين بـ base64، مفصولين بـ : (نقطتين رأسيتين).

وضع المستخدم الواحد (مفتاح واحد):

SS2022 = ss, 1.2.3.4, 443, 2022-blake3-aes-256-gcm, "base64-key"

وضع المستخدمين المتعددين مع ترويسات الهوية (مفتاحان):

بالنسبة لـ 2022-blake3-aes-128-gcm و 2022-blake3-aes-256-gcm، يمكنك توفير مفتاح ترويسة هوية ومفتاح مستخدم، مفصولين بـ ::

SS2022 = ss, 1.2.3.4, 443, 2022-blake3-aes-256-gcm, "header-base64-key:user-base64-key"

كل مفتاح هو نص مشفر بـ base64 (يدعم كلاً من base64 القياسي والآمن للروابط). أطوال المفاتيح المطلوبة:

توليد مفتاح:

openssl rand -base64 32

ملاحظة: طرق SS2022 لا تدعم معامل obfs. طريقة 2022-blake3-chacha20-poly1305 لا تدعم وضع المستخدمين المتعددين.

obfs: اختياري.

مدعوم حالياً:

tls
http

معاملات البروكسي مع ShadowsocksR/ShadowsocksRR/ShadowsocksR-Akarin

الطريقة: مطلوبة.

مدعومة حالياً:

rc4
rc4-md5-6
rc4-md5
aes-128-cfb
aes-192-cfb
aes-256-cfb
aes-128-ctr
aes-192-ctr
aes-256-ctr
bf-cfb
camellia-128-cfb
camellia-192-cfb
camellia-256-cfb
cast5-cfb
des-cfb
idea-cfb
rc2-cfb
seed-cfb
salsa20
chacha20
chacha20-ietf

protocol: اختياري.

مدعوم حالياً:

origin
auth_sha1
auth_sha1_v2
auth_sha1_v4
auth_aes128_md5
auth_aes128_sha1
auth_chain_a
auth_chain_b
auth_chain_c
auth_chain_d
auth_chain_e
auth_chain_f
auth_akarin_rand
auth_akarin_spec_a

protocol_param: اختياري.

obfs: اختياري.

مدعوم حالياً:

plain
http_simple
http_post
tls1.2_ticket_auth

obfs_param: اختياري.

معاملات البروكسي مع WebSocket

ws: اختياري.

ws=true

تفعيل نقل WebSocket.

ws-path: اختياري.

ws-path=/exmaple

تغيير مسار طلب HTTP لـ WebSocket.

ws-headers: اختياري.

ws-headers=Header1:Value1|Header2:Value2

تعديل ترويسة HTTP لطلب HTTP لـ WebSocket.

معاملات البروكسي مع gRPC

نقل gRPC متاح لبروتوكولات Trojan و VMess و VLESS. يستخدم تأطير gRPC المعتمد على HTTP/2 عبر TLS، مما يمكن أن يساعد في تجاوز بعض قيود الشبكة.

grpc: اختياري.

grpc=true

تفعيل نقل gRPC. يتطلب تفعيل TLS.

grpc-service-name: مطلوب عندما grpc=true.

grpc-service-name=MyService

تحديد اسم/مسار خدمة gRPC للتجميع المتعدد. يجب أن يتطابق مع اسم الخدمة المكوَّن على الخادم؛ لا يوجد افتراضي.

grpc-multi-mode: اختياري.

grpc-multi-mode=true

تفعيل الوضع المتعدد لـ gRPC، الذي يسمح لعدة تدفقات بمشاركة اتصال gRPC واحد لأداء أفضل.

مثال مع VMess و gRPC:

VMess = vmess, 1.2.3.4, 443, uuid=uuid, tls=true, grpc=true, grpc-service-name=GunService, sni=example.com

معاملات البروكسي مع XTLS

xtls: اختياري.

xtls=true

تفعيل نقل XTLS. فقط تدفق xtls-rprx-direct مدعوم.

skip-cert-verify: اختياري

skip-cert-verify=true

مثل TLS.

sni (الافتراضي: اسم المضيف)

sni=exmaple.com

مثل TLS.

معاملات البروكسي مع REALITY

REALITY هي تقنية تمويه قائمة على TLS تجعل حركة مرور البروكسي غير قابلة للتمييز عن حركة TLS العادية إلى موقع حقيقي. يمكن استخدامها مع بروتوكول VLESS.

reality: اختياري.

reality=true

تفعيل تمويه REALITY. يتطلب خادم هدف سيعمل كوجهة تمويه.

public-key: مطلوب.

public-key=BASE64KEY

مفتاح X25519 العام للخادم (base64). لا يمكن بناء مصافحة REALITY بدونه.

short-id: اختياري.

short-id=abcd1234

معرف قصير يستخدم لمصادقة REALITY. عادة ما يكون نصاً ست عشرياً.

server-name: اختياري.

server-name=www.microsoft.com

اسم SNI (Server Name Indication) الذي سيتم تقديمه أثناء مصافحة TLS. يجب أن يكون موقعاً حقيقياً شائع الزيارة لأفضل تأثير تمويه. يجب أن تتطابق شهادة الخادم الهدف مع هذا الاسم.

fingerprint: اختياري.

fingerprint=chrome

بصمة عميل TLS للمحاكاة. القيم المدعومة تشمل chrome، firefox، safari، ios، edge، 360، qq. استخدام بصمة متصفح شائعة يساعد في تجنب الاكتشاف.

spiderx: اختياري.

spiderx=/path

مسار مخصص لتمويه REALITY العنكبوتي.

مثال مع VLESS:

VLESS = vless, 1.2.3.4, 443, uuid=uuid, reality=true, public-key=BASE64KEY, server-name=www.microsoft.com, short-id=abcd, fingerprint=chrome

ملاحظة: REALITY لا تستخدم شهادة تقليدية. يستخدم الاتصال الشهادة الحقيقية لخادم التمويه.

TCP Fast Open (تجريبي)

tfo: اختياري

tfo=true

يمكن قراءة المزيد من المعلومات عن TCP Fast Open في Wikipedia. قد يتسبب تفعيل TCP Fast Open في فشل اتصال غير متوقع.

المعاملات المشتركة

udp-relay: اختياري (الافتراضي: true)

udp-relay=false

يجعل السياسة TCP فقط. ترحيل UDP مفعل افتراضياً حيث يدعمه البروتوكول؛ عيّن udp-relay=false لاستبعاد السياسة من ترحيل حركة UDP.

mux: اختياري

mux=true

تفعيل إعادة استخدام الاتصال / المضاعفة. يُقبل أيضاً الاسمان المستعاران multiplex و reuse. مدعوم من Trojan و VMess و VLESS و Hysteria2 و Shadowsocks(R) و MASQUE.

cert-fingerprint-sha256: اختياري

cert-fingerprint-sha256=<hex>

تثبيت شهادة الخادم ببصمتها SHA-256. يُقبل أيضاً الاسم المستعار cert-fp. فعال حالياً للبروتوكولات القائمة على QUIC (مثل MASQUE).

encrypt-method (VMess): اختياري (الافتراضي: auto)

encrypt-method=aes-128-gcm

تشفير حمولة VMess. القيم المدعومة: aes-128-gcm، chacha20-poly1305، aes-128-cfb (الاسم المستعار legacy)، none.

alpn: اختياري

alpn=h2|http/1.1

تفصل قيم ALPN المتعددة بـ |.

معاملات البروكسي مع AnyTLS

AnyTLS هو بروتوكول بروكسي قائم على TLS مع تمويه بالحشو.

AnyTLS = anytls, 1.2.3.4, 443, password, sni=example.com, skip-cert-verify=false

password: مطلوبة.

كلمة المرور المستخدمة للمصادقة.

sni (الافتراضي: اسم المضيف)

sni=exmaple.com

مثل TLS.

skip-cert-verify: اختياري

skip-cert-verify=true

مثل TLS.

مخطط الحشو: اختياري

يُكوَّن الحشو بـ stop=N بالإضافة إلى مفاتيح رقمية لكل حزمة:

AnyTLS = anytls, 1.2.3.4, 443, password, sni=example.com, stop=2, 0=30-30, 1=100-400+c

كل مخطط هو قائمة مقاطع موصولة بـ + (أو ,)، حيث يكون المقطع إما c (فحص) أو نطاق بايتات min-max (بحد أقصى 16384)، مثال stop=2, 0=30-30, 1=100-400+c.

معاملات البروكسي مع TUIC

TUIC هو بروتوكول بروكسي قائم على QUIC يقدم ترحيل TCP و UDP متعدد الإرسال.

TUIC = tuic, 1.2.3.4, 443, uuid=uuid, password=password, sni=example.com, skip-cert-verify=false, alpn=h3

uuid: مطلوب.

معرف UUID للمصادقة.

password: مطلوبة.

كلمة المرور للمصادقة.

sni (الافتراضي: اسم المضيف)

sni=exmaple.com

مثل TLS.

skip-cert-verify: اختياري

skip-cert-verify=true

مثل TLS.

alpn: اختياري

alpn=h3

تحديد نص ALPN لاتصال QUIC.

معاملات البروكسي مع Hysteria2

Hysteria2 هو بروتوكول بروكسي قائم على QUIC مع تحكم ازدحام Brutal لسيناريوهات الإنتاجية العالية.

Hysteria2 = hysteria2, 1.2.3.4, 443, auth=password, sni=example.com, skip-cert-verify=false, up=10, down=100, alpn=h3

auth: مطلوبة.

كلمة المرور/الرمز للمصادقة.

sni (الافتراضي: اسم المضيف)

sni=exmaple.com

مثل TLS.

skip-cert-verify: اختياري

skip-cert-verify=true

مثل TLS.

up: اختياري (Mbps)

up=10

عرض النطاق الترددي للرفع بـ Mbps.

down: اختياري (Mbps)

down=100

عرض النطاق الترددي للتنزيل بـ Mbps.

alpn: اختياري

alpn=h3

تحديد نص ALPN لاتصال QUIC.

obfs: اختياري

obfs=salamander

تفعيل تمويه Salamander لحركة QUIC. يستخدم Salamander تشفير XOR مع BLAKE2b-256 لتمويه حزم QUIC، مما يجعلها مقاومة للفحص العميق للحزم (DPI).

obfs-password: اختياري

obfs-password=your-obfuscation-key

كلمة المرور/المفتاح المستخدم لتمويه Salamander. مطلوب عند تعيين obfs=salamander.

معاملات البروكسي مع WireGuard

WireGuard هو بروتوكول VPN حديث. يدعم Chute WireGuard كسياسة بروكسي صادرة، إما بشكل مضمن أو بالإشارة إلى قسم [WireGuard] مسمى.

تكوين مضمن:

WireGuard = wireguard, private-key=base64key, peer-public-key=base64key, self-ip=10.0.0.2, server=1.2.3.4, port=51820

مرجع قسم (موصى به):

WireGuard = wireguard, section-name=wg0

انظر إعدادات WireGuard لصيغة قسم [WireGuard].

private-key: مطلوب (للتكوين المضمن فقط).

مفتاح WireGuard الخاص مشفر بـ base64.

peer-public-key: مطلوب (للتكوين المضمن فقط).

مفتاح نظير WireGuard العام مشفر بـ base64.

self-ip: اختياري (مضمن).

عنوان IP المحلي المعين لواجهة WireGuard (مثال 10.0.0.2).

self-ip-v6: اختياري (مضمن).

عنوان IPv6 المحلي المعين لواجهة WireGuard.

server: مطلوب.

عنوان خادم WireGuard البعيد (قد يأتي من قسم [WireGuard] المشار إليه بدلاً من سطر السياسة).

port: مطلوب.

منفذ خادم WireGuard البعيد (قد يأتي من قسم [WireGuard] المشار إليه بدلاً من سطر السياسة).

preshared-key: اختياري.

مفتاح مشترك مسبقاً مشفر بـ base64 لمقاومة ما بعد الكم.

keepalive: اختياري (بالثواني).

keepalive=25

فاصل keepalive المستمر لعبور NAT.

mtu: اختياري.

mtu=1420

MTU لواجهة WireGuard.

reserved: اختياري.

reserved=0,1,2

بايتات محجوزة لترويسة مصافحة WireGuard.

معاملات البروكسي مع ShadowTLS

ShadowTLS هو بروتوكول بروكسي قائم على TLS يغلف حركة المرور داخل جلسة TLS 1.3 قياسية. يستخدم مصافحة قائمة على كلمة المرور بعد مصافحة TLS للمصادقة وإنشاء اتصال البروكسي.

ShadowTLS = shadowtls, 1.2.3.4, 443, password=password, sni=example.com, skip-cert-verify=false, fingerprint=chrome

password: مطلوبة.

كلمة المرور المستخدمة لمصادقة مصافحة ShadowTLS.

sni (الافتراضي: اسم المضيف)

sni=example.com

مثل TLS.

skip-cert-verify: اختياري

skip-cert-verify=true

مثل TLS.

fingerprint: اختياري

fingerprint=chrome

بصمة عميل TLS للمحاكاة. القيم المدعومة تشمل chrome، firefox، safari، ios، edge، 360، qq. استخدام بصمة متصفح شائعة يساعد في تجنب الاكتشاف.

معاملات البروكسي مع MASQUE

MASQUE هو بروتوكول بروكسي قائم على HTTP/3 يقوم بتوجيه حركة المرور عبر QUIC. تتطلب سياسة MASQUE الحقول type وhost وport، بينما يكون رمز المصادقة token اختياريًا.

ProxyMASQUE = masque, 1.2.3.4, 443, token=auth-token, mode=connect-udp, sni=example.com, alpn=h3, skip-cert-verify=false, mux=true

token: اختياري

token=auth-token

رمز مصادقة Bearer اختياري لخادم MASQUE. يُقبل أيضًا الاسم المستعار masque-token=.

mode: اختياري

mode=connect-udp

يُقبل للتوافق لكنه لا يغير سلوك النفق: تستخدم تدفقات TCP دائماً نفق CONNECT عادياً، وتستخدم تدفقات UDP دائماً connect-udp.

mux: اختياري

mux=true

تمكين المضاعفة عبر اتصال QUIC مشترك (يخضع لإعداد تجمع الاتصالات).

sni / alpn / skip-cert-verify: اختياري

نفس TLS. بما أن MASQUE يعمل عبر QUIC، يُستخدم عادةً alpn=h3.

معاملات البروكسي مع SSH

انظر بروكسي SSH للتوثيق الكامل.