프록시 정책

프록시 정책은 요청을 다른 프록시 서버로 전달하는 것을 나타냅니다. Chute는 HTTP/HTTPS/SOCKS5/SOCKS5-TLS/SS/SSR/Trojan/VMess/VLESS/AnyTLS/TUIC/Hysteria2/WireGuard/ShadowTLS/MASQUE/SSH 프록시 프로토콜을 지원합니다.

[Proxy] 섹션은 프록시 정책을 선언합니다. 다양한 규칙에 대해 여러 프록시를 생성할 수 있습니다.

예:

[Proxy]
ProxyHTTP = http, 1.2.3.4, 443, username, password
ProxyHTTPS = https, 1.2.3.4, 443, username, password, sni=example.com
ProxySOCKS5 = socks5, 1.2.3.4, 443, username, password
ProxySOCKS5TLS = socks5-tls, 1.2.3.4, 443, username, password, sni=example.com
SS = ss, 1.2.3.4, 443, method, password, obfs=http
SSR = ssr, 1.2.3.4, 443, method, password, protocol=auth_chain_f, protocol_param=user:pass, obfs=http_post, obfs_param=example.com
Trojan = trojan, 1.2.3.4, 443, password=password, tls=true, sni=example.com, skip-cert-verify=false, ws=true
VMess = vmess, 1.2.3.4, 443, uuid=uuid, sni=example.com, tls=true, ws=true
VLESS = vless, 1.2.3.4, 443, uuid=uuid, sni=example.com, xtls=true
AnyTLS = anytls, 1.2.3.4, 443, password, sni=example.com
TUIC = tuic, 1.2.3.4, 443, uuid=uuid, password=password, sni=example.com
Hysteria2 = hysteria2, 1.2.3.4, 443, auth=password, sni=example.com, up=10, down=100
WireGuard = wireguard, private-key=base64key, peer-public-key=base64key, section-name=wg0, self-ip=10.0.0.2
ShadowTLS = shadowtls, 1.2.3.4, 443, password=password, sni=example.com, skip-cert-verify=false, fingerprint=chrome
ProxyMASQUE = masque, 1.2.3.4, 443, token=auth-token, mode=connect-udp, sni=example.com, alpn=h3, skip-cert-verify=false
SSH = ssh, 1.2.3.4, 22, root, password=pw
SCHEME = scheme, ssr://....

알림: Trojan 정책에는 명시적인 tls=true가 필요합니다 — TLS가 암묵적으로 적용되지 않습니다.

매개변수

TLS 프록시 매개변수

tls: 선택.

tls=true

TLS 전송을 활성화합니다.

skip-cert-verify: 선택

skip-cert-verify=true

이 옵션을 활성화하면 Chute는 서버의 인증서를 확인하지 않습니다.

sni (기본값: 호스트명)

sni=exmaple.com

TLS 핸드셰이크 중 서버 이름 표시(SNI)를 사용자 정의할 수 있습니다. 기본적으로 Chute는 대부분의 브라우저처럼 호스트명과 함께 SNI를 보냅니다.

fingerprint: 선택 사항.

fingerprint=chrome

시스템 기본값 대신 브라우저의 TLS ClientHello를 보내어 핸드셰이크가 프록시 클라이언트의 것으로 눈에 띄지 않도록 합니다. 사용할 수 있는 값은 chrome, firefox, safari, ios 그리고 edge, 360, qq, android, random이며 뒤의 값들은 모두 Chrome으로 처리됩니다.

TLS를 사용하는 Trojan, VMess, VLESS에 적용되며 WebSocket 및 gRPC 전송도 포함합니다. REALITY와 ShadowTLS는 각자의 섹션에 같은 이름의 옵션이 있습니다. 개별 지정이 없는 모든 정책에 하나의 지문을 적용하려면 global-client-fingerprint를 사용하세요.

지문을 설정하면 양자 내성 키 교환도 함께 켜집니다. Chute는 X25519와 더불어 X25519MLKEM768 하이브리드 그룹을 제시하므로, 오늘 기록된 세션을 훗날 양자 컴퓨터를 손에 넣은 공격자가 복호화할 수 없습니다. 이 그룹을 모르는 서버는 그냥 X25519를 고르므로 문제가 생기지 않습니다. 지문을 설정하지 않으면 시스템 TLS 스택을 사용하며 이 그룹은 제시되지 않습니다 — ECH에 지문이 필요한 것과 같은 이유입니다.

Shadowsocks 프록시 매개변수

method: 필수.

현재 지원:

rc4-md5
aes-128-cfb
aes-192-cfb
aes-256-cfb
aes-128-ctr
aes-192-ctr
aes-256-ctr
bf-cfb
camellia-128-cfb
camellia-192-cfb
camellia-256-cfb
salsa20
chacha20
chacha20-ietf
aes-128-gcm
aes-192-gcm
aes-256-gcm
chacha20-ietf-poly1305
xchacha20-ietf-poly1305

Shadowsocks 2022 메서드

Chute는 BLAKE3 기반 키 파생 및 AEAD 암호를 사용하는 Shadowsocks 2022 프로토콜을 지원합니다. 메서드 이름이 암호 스위트를 결정합니다:

2022-blake3-aes-128-gcm
2022-blake3-aes-256-gcm
2022-blake3-chacha20-poly1305

비밀번호 형식:

SS2022의 비밀번호 필드는 :(콜론)으로 구분된 하나 또는 두 개의 base64 인코딩 키로 구성됩니다.

단일 사용자 모드 (키 1개):

SS2022 = ss, 1.2.3.4, 443, 2022-blake3-aes-256-gcm, "base64-key"

ID 헤더가 있는 다중 사용자 모드 (키 2개):

2022-blake3-aes-128-gcm 및 2022-blake3-aes-256-gcm의 경우, :으로 구분하여 ID 헤더 키와 사용자 키를 제공할 수 있습니다:

SS2022 = ss, 1.2.3.4, 443, 2022-blake3-aes-256-gcm, "header-base64-key:user-base64-key"

각 키는 base64로 인코딩된 문자열입니다(표준 및 URL-safe base64 모두 지원). 필요한 키 길이:

키 생성:

openssl rand -base64 32

참고: SS2022 메서드는 obfs 매개변수를 지원하지 않습니다. 2022-blake3-chacha20-poly1305 메서드는 다중 사용자 모드를 지원하지 않습니다.

Shadowsocks AEGIS 메서드

Chute는 AEGIS 계열 AEAD 암호도 지원합니다. AES 라운드 함수 위에 구축되어 있으며, 하드웨어 AES를 갖춘 프로세서(최근의 iPhone, iPad, Apple TV, Mac이 모두 해당)에서는 AES-GCM이나 ChaCha20-Poly1305보다 뚜렷하게 빠릅니다:

aegis-128l
aegis-256

설정 방법은 위의 기존 AEAD 메서드와 같으며, 비밀번호는 base64 키가 아닌 일반 암호구입니다:

AEGIS = ss, 1.2.3.4, 443, aegis-128l, your-password

나머지는 모두 SIP004를 그대로 따릅니다: salt는 키와 길이가 같고, 세션 서브키는 HKDF-SHA1(key, salt, "ss-subkey")이며, TCP 페이로드는 길이 접두사가 붙은 AEAD 청크로 전달되고 각 연산 후 nonce가 증가하며, UDP는 전부 0인 nonce를 사용합니다.

서버는 직접 운영해야 합니다. AEGIS는 Shadowsocks 사양의 일부가 아닙니다. 이를 정의하는 SIP가 없으며, shadowsocks-rust, shadowsocks-libev, shadowsocks-go, sing-box, Xray를 포함한 주요 Shadowsocks 서버 중 어느 것도 구현하지 않았습니다. 이 메서드를 선택해도 이를 지원하도록 구축된 본인 소유의 서버에 대해서만 연결됩니다. 상용 또는 공유 노드에 연결하는 경우에는 위의 상호 운용 가능한 메서드를 사용하십시오.

obfs: 선택.

현재 지원:

tls
http

obfs_param: 선택.

obfs_param=example.com

obfs 계층이 사용하는 Host를 설정합니다. 설정하지 않으면 기본값은 cloudfront.net입니다.

ShadowsocksR/ShadowsocksRR/ShadowsocksR-Akarin 프록시 매개변수

method: 필수.

현재 지원:

rc4
rc4-md5-6
rc4-md5
aes-128-cfb
aes-192-cfb
aes-256-cfb
aes-128-ctr
aes-192-ctr
aes-256-ctr
bf-cfb
camellia-128-cfb
camellia-192-cfb
camellia-256-cfb
cast5-cfb
des-cfb
idea-cfb
rc2-cfb
seed-cfb
salsa20
chacha20
chacha20-ietf

protocol: 선택.

현재 지원:

origin
auth_sha1
auth_sha1_v2
auth_sha1_v4
auth_aes128_md5
auth_aes128_sha1
auth_chain_a
auth_chain_b
auth_chain_c
auth_chain_d
auth_chain_e
auth_chain_f
auth_akarin_rand
auth_akarin_spec_a

protocol_param: 선택.

obfs: 선택.

현재 지원:

plain
http_simple
http_post
tls1.2_ticket_auth

obfs_param: 선택.

WebSocket 프록시 매개변수

ws: 선택.

ws=true

WebSocket 전송을 활성화합니다.

ws-path: 선택.

ws-path=/exmaple

WebSocket HTTP 요청의 경로를 변경합니다.

ws-headers: 선택.

ws-headers=Header1:Value1|Header2:Value2

WebSocket HTTP 요청의 HTTP 헤더를 수정합니다.

gRPC 프록시 매개변수

gRPC 전송은 Trojan, VMess 및 VLESS 프로토콜에서 사용할 수 있습니다. HTTP/2 기반 gRPC 프레이밍을 TLS 위에서 사용하여 특정 네트워크 제한을 우회하는 데 도움이 될 수 있습니다.

grpc: 선택.

grpc=true

gRPC 전송을 활성화합니다. TLS가 활성화되어야 합니다.

grpc-service-name: grpc=true일 때 필수.

grpc-service-name=MyService

다중화를 위한 gRPC 서비스 이름/경로를 지정합니다. 서버에 구성된 서비스 이름과 일치해야 하며, 기본값은 없습니다.

grpc-multi-mode: 선택.

grpc-multi-mode=true

gRPC의 다중 모드를 활성화하여 여러 스트림이 단일 gRPC 연결을 공유하여 더 나은 성능을 제공합니다.

VMess 및 gRPC 예:

VMess = vmess, 1.2.3.4, 443, uuid=uuid, tls=true, grpc=true, grpc-service-name=GunService, sni=example.com

XHTTP 프록시 매개변수

XHTTP 전송은 Trojan, VMess, VLESS 프로토콜에서 사용할 수 있습니다. 연결 하나를 계속 열어 두는 대신 일반 HTTP 요청 안에 터널을 담습니다. 다운로드는 끝나지 않는 응답 하나로 오고, 업로드는 연속된 POST이거나 끝나지 않는 POST 하나입니다. CDN을 통과할 수 있다는 점이 WebSocket이나 gRPC 대신 이것을 고르는 주된 이유입니다.

HTTP 버전은 직접 설정하지 않습니다. TLS가 없으면 HTTP/1.1이고, TLS가 있으면 HTTP/2이며, alpn이 정확히 http/1.1이면 HTTP/1.1, 정확히 h3이면 HTTP/3이 됩니다. REALITY는 항상 HTTP/2를 사용합니다.

xhttp: 선택 사항.

xhttp=true

XHTTP 전송을 활성화합니다.

xhttp-mode: 선택 사항.

xhttp-mode=packet-up

업로드를 실어 나르는 방식입니다. auto(기본값)는 packet-up과 같으며, REALITY를 쓸 때는 stream-one과 같습니다.

• packet-up — 업로드가 번호가 붙은 POST의 연속입니다. 호환성이 가장 좋고 CDN과도 가장 잘 맞습니다.
• stream-up — 업로드는 끝나지 않는 POST 하나이고 다운로드는 별도 요청입니다.
• stream-one — 요청 하나가 송수신을 모두 담당합니다. 서버와 중간 장비가 전이중 HTTP를 지원해야 합니다.

서버는 보통 모드를 고정하며, 맞지 않으면 400으로 응답합니다.

xhttp-path: 선택 사항.

xhttp-path=/yourpath

요청 경로이며 기본값은 /입니다. 서버가 XHTTP를 제공하는 경로와 일치해야 합니다.

xhttp-host: 선택 사항.

xhttp-host=example.com

Host 헤더와 요청 URL에 사용하는 호스트 이름입니다. 기본값은 sni이며, 설정되지 않은 경우 서버 주소를 사용합니다.

xhttp-headers: 선택 사항.

xhttp-headers=Header1:Value1|Header2:Value2

추가 HTTP 헤더이며 형식은 ws-headers와 같습니다.

xhttp-padding: 선택 사항.

xhttp-padding=100-1000

모든 요청이 싣는 패딩 길이 범위이며 MIN-MAX 또는 단일 숫자로 쓰고 기본값은 100-1000입니다. 서버는 패딩을 필수로 요구하고 길이를 검증합니다. 따라서 이 범위는 서버가 허용하는 구간 안에 있어야 하며, 패딩이 없거나 길이가 맞지 않으면 400이 반환됩니다.

xhttp-max-post-bytes: 선택 사항.

xhttp-max-post-bytes=1000000

업로드 POST 하나의 최대 바이트 수이며 기본값은 1000000입니다. 더 큰 쓰기는 여러 POST로 나뉩니다.

xhttp-min-post-interval: 선택 사항.

xhttp-min-post-interval=30

연속된 업로드 POST 사이의 최소 간격(밀리초)이며 기본값은 30입니다.

xhttp-xmux-max-concurrency, xhttp-xmux-max-connections, xhttp-xmux-max-reuse-times, xhttp-xmux-max-lifetime: 선택 사항.

xhttp-xmux-max-concurrency=4

XMUX는 하위 HTTP/2 연결을 풀링하여 여러 터널이 연결 하나를 공유하게 합니다. 터널마다 연결을 여는 대신 평범한 브라우저 세션처럼 보이게 됩니다. 네 항목 모두 기본값은 0이며 풀링이 꺼진 상태입니다.

• xhttp-xmux-max-concurrency — 연결 하나를 공유할 수 있는 터널 수.
• xhttp-xmux-max-connections — 서버당 허용하는 연결 수.
• xhttp-xmux-max-reuse-times — 연결 하나가 터널 몇 개를 처리한 뒤 새 터널을 받지 않을지.
• xhttp-xmux-max-lifetime — 몇 초가 지나면 새 터널을 받지 않을지.

XHTTP 정책에서는 mux=true가 거부됩니다. XHTTP에는 자체 다중화가 있어 범용 다중화를 얹으면 두 겹이 되기 때문입니다.

xhttp-download-server, xhttp-download-port: 선택 사항.

xhttp-download-server=cdn.example.com

다운로드만 다른 주소로 — 보통 같은 서버 앞단의 CDN — 보내고 업로드는 주 주소를 계속 사용합니다. 둘은 같은 서버에 도달해야 합니다. 세션은 서버 측 상태이므로 경로를 바꾸는 것은 괜찮지만 서버를 바꿀 수는 없습니다.

VLESS와 XHTTP 예시:

VLESS = vless, 1.2.3.4, 443, uuid=uuid, tls=true, xhttp=true, xhttp-mode=packet-up, xhttp-path=/yourpath, sni=example.com

XTLS 프록시 매개변수

xtls: 선택.

xtls=true

xtls-rprx-direct 흐름으로 XTLS 전송을 활성화합니다. XTLS Vision을 사용하려면 대신 flow 매개변수를 사용하세요.

flow: 선택.

flow = xtls-rprx-vision

XTLS 흐름 제어를 선택합니다. 지원되는 값은 xtls-rprx-vision 하나뿐이며, Vision 프레이밍을 활성화합니다. 이 흐름 값은 VLESS addons를 통해 서버로 전달됩니다.

skip-cert-verify: 선택

skip-cert-verify=true

TLS와 동일합니다.

sni (기본값: 호스트명)

sni=exmaple.com

TLS와 동일합니다.

REALITY 프록시 매개변수

REALITY는 프록시 트래픽을 실제 웹사이트로의 일반 TLS 트래픽과 구별할 수 없게 만드는 TLS 기반 난독화 기술입니다. VLESS 프로토콜과 함께 사용할 수 있습니다.

reality: 선택.

reality=true

REALITY 난독화를 활성화합니다. 위장 대상으로 사용될 대상 서버가 필요합니다.

public-key: 필수.

public-key=BASE64KEY

서버의 X25519 공개 키(base64)입니다. 이 키 없이는 REALITY 핸드셰이크를 구성할 수 없습니다.

short-id: 선택.

short-id=abcd1234

REALITY 인증에 사용되는 짧은 식별자입니다. 일반적으로 16진수 문자열입니다.

server-name: 선택.

server-name=www.microsoft.com

TLS 핸드셰이크 중 표시할 SNI(서버 이름 표시)입니다. 최상의 위장 효과를 위해 실제로 자주 접속되는 웹사이트여야 합니다. 대상 서버의 인증서가 이 이름과 일치해야 합니다.

fingerprint: 선택.

fingerprint=chrome

모방할 TLS 클라이언트 지문입니다. 지원되는 값으로는 chrome, firefox, safari, ios, edge, 360, qq, android, random가 있습니다. 일반적인 브라우저 지문을 사용하면 탐지를 피하는 데 도움이 됩니다. 여기서 android와 random은 별도의 지문이 아니라 chrome으로 처리된다는 점에 유의하세요(경고가 로그에 기록됩니다).

spiderx: 선택.

spiderx=/path

REALITY 스파이더 위장을 위한 사용자 정의 경로입니다.

VLESS 예:

VLESS = vless, 1.2.3.4, 443, uuid=uuid, reality=true, public-key=BASE64KEY, server-name=www.microsoft.com, short-id=abcd, fingerprint=chrome

참고: REALITY는 기존 인증서를 사용하지 않습니다. 연결은 위장 서버의 실제 인증서를 사용합니다.

ECH 프록시 매개변수

Encrypted Client Hello는 연결을 지켜보는 쪽으로부터 서버 이름을 숨깁니다. 실제 이름은 핸드셰이크 내부에 암호화되어 전달되고, 경로에 드러나는 것은 서버의 ECHConfig가 공개한 public_name입니다.

ECH는 클라이언트 지문과 같은 구현 위에 올라가 있으므로 정책에 fingerprint도 함께 설정해야 합니다. 지정하지 않으면 ech=true는 아무 일도 하지 않고 실제 이름이 그대로 전송됩니다. 일반 TLS를 사용하는 Trojan, VMess, VLESS에 적용되며 WebSocket 전송도 포함합니다.

알림: gRPC 전송은 ECH를 지원하지 않습니다. grpc=true이면 ech=true는 조용히 무시되고 실제 서버 이름이 그대로 전송됩니다. (클라이언트 지문과 양자 내성 키 교환은 gRPC에도 적용됩니다.)

ech: 선택 사항.

ech=true

ECH를 활성화합니다. ech-config가 설정되어 있지 않으면 Chute는 브라우저와 같은 방식으로 서버 이름의 DNS HTTPS 레코드에서 ECHConfig를 조회합니다.

ech-config: 선택 사항.

ech-config=AEX+DQBBAAAgACD...

base64 ECHConfigList이며 DNS 조회 대신 사용됩니다. 서버가 HTTPS 레코드를 게시하지 않거나 특정 설정으로 고정하고 싶을 때 지정합니다.

ech-public-name: 선택 사항.

ech-public-name=cover.example.com

평문으로 전송되는 가림용 이름을 덮어씁니다. 기본값은 ECHConfig 안의 public_name이며 서버가 기대하는 값입니다. 설정을 다른 호스트가 대신 게시하는 배포에서만 지정하세요.

Trojan 예시:

Trojan = trojan, 1.2.3.4, 443, password=pw, tls=true, sni=secret.example.com, fingerprint=chrome, ech=true

서버가 ECH를 거부하면(대개 설정이 오래되어서입니다) 가림용 이름으로 응답하고 그 이름의 인증서를 제시하므로, 연결은 조용히 이어지지 않고 인증에 실패합니다. ech-config를 갱신하거나 삭제해 DNS 조회로 되돌리세요.

TCP Fast Open (실험적)

tfo: 선택

tfo=true

TCP Fast Open에 대한 자세한 정보는 Wikipedia에서 확인할 수 있습니다. TCP Fast Open을 활성화하면 예기치 않은 연결 실패가 발생할 수 있습니다.

공통 매개변수

udp-relay: 선택 (기본값: true)

udp-relay=false

정책을 TCP 전용으로 표시합니다. 프로토콜이 지원하는 경우 UDP 릴레이는 기본적으로 켜져 있으며, 정책을 UDP 트래픽 릴레이에서 제외하려면 udp-relay=false를 설정하세요.

mux: 선택

mux=true

연결 재사용/멀티플렉싱을 활성화합니다. 별칭 multiplex 및 reuse도 허용됩니다. Trojan, VMess, VLESS, Hysteria2, Shadowsocks(R), ShadowTLS 및 MASQUE에서 지원됩니다.

cert-fingerprint-sha256: 선택

cert-fingerprint-sha256=<hex>

SHA-256 지문으로 서버 인증서를 고정합니다. 별칭 cert-fp도 허용됩니다. 현재는 MASQUE에서만 유효합니다.

encrypt-method (VMess): 선택 (기본값: auto)

encrypt-method=aes-128-gcm

VMess 페이로드 암호화입니다. 지원되는 값: aes-128-gcm, chacha20-poly1305, aes-128-cfb(별칭 legacy), none.

alpn: 선택

alpn=h2|http/1.1

여러 ALPN 값은 |로 구분합니다.

underlying-proxy: 선택.

underlying-proxy=OtherProxy

프록시 체이닝: 이 정책의 트래픽을 대신 운반할 다른 정책의 이름을 값으로 지정합니다. 설정을 저장할 때 파싱되어 보존되지만 현재 커널에서는 효과가 없습니다 — 경고가 기록되고 정책은 여전히 자신의 서버에 직접 연결합니다.

알림: Clash/mihomo 프로필을 가져오면 dialer-proxy로부터 이 옵션이 생성되므로, 가져오기 후 정책이 체이닝된 것처럼 보여도 실제 트래픽은 체이닝되지 않습니다.

test-url: 선택.

test-url=http://www.gstatic.com/generate_204

정책별 지연 시간 테스트 URL입니다. 설정을 저장할 때 허용되어 보존되지만 실제로 읽히지는 않습니다: 벤치마크는 항상 해당 정책이 속한 정책 그룹의 url을 사용합니다. 알 수 없는 옵션과 달리 인식되는 옵션 목록에 있으므로 경고는 발생하지 않습니다.

AnyTLS 프록시 매개변수

AnyTLS는 패딩 난독화가 포함된 TLS 기반 프록시 프로토콜입니다.

AnyTLS = anytls, 1.2.3.4, 443, password, sni=example.com, skip-cert-verify=false

password: 필수.

인증에 사용되는 비밀번호/암호입니다.

sni (기본값: 호스트명)

sni=exmaple.com

TLS와 동일합니다.

skip-cert-verify: 선택

skip-cert-verify=true

TLS와 동일합니다.

패딩 방식: 선택

패딩은 stop=N과 숫자로 된 패킷별 키로 구성됩니다:

AnyTLS = anytls, 1.2.3.4, 443, password, sni=example.com, stop=2, 0=30-30, 1=100-400+c

각 방식은 +(또는 ,)로 연결된 세그먼트 목록이며, 세그먼트는 c(체크) 또는 min-max 바이트 범위(최대 16384)입니다. 예: stop=2, 0=30-30, 1=100-400+c.

TUIC 프록시 매개변수

TUIC는 다중화된 TCP 및 UDP 릴레이를 제공하는 QUIC 기반 프록시 프로토콜입니다.

TUIC = tuic, 1.2.3.4, 443, uuid=uuid, password=password, sni=example.com, skip-cert-verify=false, alpn=h3

uuid: 필수.

인증을 위한 UUID입니다.

password: 필수.

인증을 위한 비밀번호입니다.

sni (기본값: 호스트명)

sni=exmaple.com

TLS와 동일합니다.

skip-cert-verify: 선택

skip-cert-verify=true

TLS와 동일합니다.

alpn: 선택

alpn=h3

QUIC 연결을 위한 ALPN 문자열을 지정합니다.

Hysteria2 프록시 매개변수

Hysteria2는 높은 처리량 시나리오를 위한 Brutal 혼잡 제어 기능이 있는 QUIC 기반 프록시 프로토콜입니다.

Hysteria2 = hysteria2, 1.2.3.4, 443, auth=password, sni=example.com, skip-cert-verify=false, up=10, down=100, alpn=h3

auth: 필수.

인증 비밀번호/토큰입니다.

sni (기본값: 호스트명)

sni=exmaple.com

TLS와 동일합니다.

skip-cert-verify: 선택

skip-cert-verify=true

TLS와 동일합니다.

up: 선택 (Mbps)

up=10

업로드 대역폭(Mbps)입니다.

down: 선택 (Mbps)

down=100

다운로드 대역폭(Mbps)입니다.

alpn: 선택

alpn=h3

QUIC 연결을 위한 ALPN 문자열을 지정합니다.

obfs: 선택

obfs=salamander

QUIC 트래픽에 대한 Salamander 난독화를 활성화합니다. Salamander는 BLAKE2b-256 XOR을 사용하여 QUIC 패킷을 난독화하여 DPI(심층 패킷 검사)에 저항성을 갖게 합니다.

obfs-password: 선택

obfs-password=your-obfuscation-key

Salamander 난독화에 사용되는 비밀번호/키입니다. obfs=salamander가 설정된 경우 필수입니다.

WireGuard 프록시 매개변수

WireGuard는 현대적인 VPN 프로토콜입니다. Chute는 WireGuard를 인라인 또는 명명된 [WireGuard] 섹션을 참조하여 아웃바운드 프록시 정책으로 지원합니다.

인라인 구성:

WireGuard = wireguard, private-key=base64key, peer-public-key=base64key, self-ip=10.0.0.2, server=1.2.3.4, port=51820

섹션 참조 (권장):

WireGuard = wireguard, section-name=wg0

[WireGuard] 섹션 구문은 WireGuard 설정을 참조하세요.

private-key: 필수 (인라인 전용).

Base64로 인코딩된 WireGuard 개인 키입니다.

peer-public-key: 필수 (인라인 전용).

Base64로 인코딩된 WireGuard 피어 공개 키입니다.

self-ip: 선택 (인라인).

WireGuard 인터페이스에 할당된 로컬 IP 주소입니다(예: 10.0.0.2).

self-ip-v6: 선택 (인라인).

WireGuard 인터페이스에 할당된 로컬 IPv6 주소입니다.

server: 필수.

원격 WireGuard 서버 주소입니다(정책 줄 대신 참조된 [WireGuard] 섹션에서 가져올 수 있음).

port: 필수.

원격 WireGuard 서버 포트입니다(정책 줄 대신 참조된 [WireGuard] 섹션에서 가져올 수 있음).

preshared-key: 선택.

양자 내성을 위한 Base64 인코딩 사전 공유 키입니다.

keepalive: 선택 (초).

keepalive=25

NAT 통과를 위한 지속적 킵얼라이브 간격입니다.

mtu: 선택.

mtu=1420

WireGuard 인터페이스의 MTU입니다.

reserved: 선택.

reserved=0,1,2

WireGuard 패킷 헤더용 예약 바이트입니다. 현재 커널에서는 파싱만 되고 효과가 없습니다 — BoringTun FFI가 이 값을 지원하지 않아 경고를 남기고 무시됩니다.

ShadowTLS 프록시 매개변수

ShadowTLS는 표준 TLS 1.3 세션 내에서 트래픽을 캡슐화하는 TLS 기반 프록시 프로토콜입니다. TLS 핸드셰이크 후 비밀번호 기반 핸드셰이크를 사용하여 프록시 연결을 인증하고 설정합니다.

ShadowTLS = shadowtls, 1.2.3.4, 443, password=password, sni=example.com, skip-cert-verify=false, fingerprint=chrome

password: 필수.

ShadowTLS 핸드셰이크 인증에 사용되는 비밀번호입니다.

sni (기본값: 호스트명)

sni=example.com

TLS와 동일합니다.

skip-cert-verify: 선택

skip-cert-verify=true

TLS와 동일합니다.

fingerprint: 선택

fingerprint=chrome

모방할 TLS 클라이언트 지문입니다. 지원되는 값으로는 chrome, firefox, safari, ios, edge, 360, qq, android, random가 있습니다. 일반적인 브라우저 지문을 사용하면 탐지를 피하는 데 도움이 됩니다. 여기서 android와 random은 별도의 지문이 아니라 chrome으로 처리된다는 점에 유의하세요(경고가 로그에 기록됩니다).

MASQUE 프록시 매개변수

MASQUE는 QUIC를 통해 트래픽을 터널링하는 HTTP/3 기반 프록시 프로토콜입니다. MASQUE 정책에는 type, host, port가 필요하며 인증 token은 선택 사항입니다.

ProxyMASQUE = masque, 1.2.3.4, 443, token=auth-token, mode=connect-udp, sni=example.com, alpn=h3, skip-cert-verify=false, mux=true

token: 선택

token=auth-token

MASQUE 서버에 사용할 수 있는 선택적 Bearer 인증 토큰입니다. 별칭 masque-token=도 허용됩니다.

mode: 선택

mode=connect-udp

호환성을 위해 허용되지만 터널링 동작을 변경하지 않습니다: TCP 흐름은 항상 일반 CONNECT 터널을 사용하고 UDP 흐름은 항상 connect-udp를 사용합니다. 별칭 masque-mode=도 허용됩니다.

mux: 선택

mux=true

공유 QUIC 연결에서 멀티플렉싱을 활성화합니다 (연결 풀 설정에 따라 제어됨).

sni / alpn / skip-cert-verify: 선택

TLS와 동일합니다. MASQUE는 QUIC 위에서 동작하므로 일반적으로 alpn=h3을 사용합니다.

SSH 프록시 매개변수

전체 문서는 SSH 프록시를 참조하세요.