杂项选项

[General]
ipv6 = true
loglevel = notify

skip-proxy = 127.0.0.1, 192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12, 100.64.0.0/10, localhost, *.local

tun-excluded-routes = 192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12
tun-included-routes = 192.168.1.12/32

通用选项

启用完整 IPv6 支持（默认：true）

ipv6 = true

loglevel（默认：warning）

loglevel = notify

可选值：none、fatal、warning、notify、info 或 verbose。不建议在日常使用中启用 verbose，因为这会显著降低性能。

skip-proxy

skip-proxy = 127.0.0.1, 192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12, 100.64.0.0/10, localhost, *.local

在 iOS 版本中，此选项强制将这些域名/IP 范围的连接交给 Chute TUN 处理，而非 Chute 代理。在 macOS 版本中，当启用「设为系统代理」时，这些设置将应用于系统。此选项用于解决某些应用程序的兼容性问题。

• 要指定单个域名，输入域名 - 例如 apple.com。
• 要指定域名下的所有网站，在域名前使用星号 - 例如 *apple.com。
• 要指定域名的特定部分，指定每个部分 - 例如 store.apple.com。
• 要通过 IP 地址指定主机或网络，输入特定 IP 地址（如 192.168.2.11）或地址范围（如 192.168.2.* 或 192.168.2.0/24）。

注意：如果你输入 IP 地址或地址范围，仅当你使用该地址连接到该主机时才能绕过代理，而通过解析到该地址的域名连接时不会绕过代理。

代理服务器监听

interface = 127.0.0.1
port = 8118
socks-interface = 127.0.0.1
socks-port = 8119

interface / port 控制 HTTP 代理服务器的监听地址和端口（默认 127.0.0.1:8118）。socks-interface / socks-port 控制 SOCKS5 代理服务器（默认 127.0.0.1:8119）。

兼容性别名：doh-server 可作为 doh 的别名；http-listen / socks5-listen（例如 0.0.0.0:6152、[::]:6153 或单独的端口号）会被映射到上述 interface/port 设置。使用通配监听地址（0.0.0.0、:: 或 *）还会同时设置 allow-wifi-access = true。

入站代理鉴权

http-auth = username:password

要求客户端在使用 Chute 的 HTTP 和 SOCKS5 代理服务器之前进行身份验证。该行可以重复出现以允许多组凭据。

绕过系统请求

bypass-system = true

启用后，系统进程发出的请求将绕过 Chute 处理。

默认：true。

始终使用真实 IP

always-real-ip = *.example.com, tracker.example.org

当 Chute 为被劫持的 DNS 查询提供虚拟 IP 地址时（见 hijack-dns），匹配此逗号分隔列表的主机名将始终以其真实解析出的 IP 地址应答。支持通配符。

中断现有连接

interrupt-exist-connections = true

启用后，在任何策略组中更改所选策略（通过 URL Test、Fallback、Load Balance、SSID 或手动选择）将优雅地断开使用旧策略的现有连接。这确保连接立即使用新选择的代理，而不是继续使用旧代理。

每个受影响的连接会以 3 秒超时优雅关闭，之后强制关闭。

默认：false。这是一个全局设置——影响所有策略组。

Network Framework（macOS / tvOS）

network-framework = true

为出站连接启用 Apple Network.framework。使用 Network.framework 可以在支持的平台上提供更好的性能和现代化的 TLS 栈集成。

默认：macOS 上为 true，iOS 和 tvOS 上为 false。

排除简单主机名

exclude-simple-hostnames = true

启用后，对简单主机名（不含点的单标签名称，例如 localhost）的请求将绕过代理规则并在本地解析。这有助于避免对本地网络名称进行不必要的 DNS 查询。

在 Chute Mac 上，首次运行时会通过一次性迁移默认启用此选项；用户显式关闭的设置会被尊重。

默认：false。

禁用数据库记录

disable-db-record = true

启用后，Chute 停止将流量记录写入本地数据库。这可以提高性能并减少存储使用，但流量历史将无法在 Chute Dashboard 中使用。

默认：false。

菜单栏速度显示（仅 Mac）

menu-bar-show-speed = true

启用后，Chute Mac 在菜单栏中显示当前的上下行速度。

默认：false。

劫持其他 DNS 服务器

hijack-dns = 8.8.8.8:53

默认情况下，Chute 仅为发送到 Chute DNS 地址（198.18.0.2）的 DNS 查询返回虚拟 IP 地址。发送到标准 DNS 的查询将被直接转发。

某些设备或软件始终使用硬编码的 DNS 服务器（例如，Google 音箱始终使用 8.8.8.8）。你可以使用此选项劫持查询以获取虚拟地址。

你可以使用 hijack-dns = *:53 来劫持所有 DNS 查询。

排除路由

tun-excluded-routes = 192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12

Chute VIF 只能处理 TCP 和 UDP 协议。使用此选项绕过特定 IP 范围，允许所有流量直接通过。

注意：此选项仅对增强模式的 VIF（utun）类型生效——使用 PacketTunnel VPN 类型时无效。由 Chute 代理服务器处理的请求不受影响。结合使用「skip-proxy」和「tun-excluded-routes」以确保某些 HTTP 流量完全绕过 Chute。

此选项可能导致系统错误 ENOMEM（无法分配内存）。这似乎是 iOS 系统中的一个错误。如有可能，请勿使用此选项。

包含路由

tun-included-routes = 192.168.1.12/32

默认情况下，Chute VIF 接口将声明自身为默认路由。但由于 Wi-Fi 接口具有更小的路由，某些流量可能不会通过 Chute VIF 接口。使用此选项添加更小的路由。

注意：此选项仅对增强模式的 VIF（utun）类型生效——使用 PacketTunnel VPN 类型时无效。

协议嗅探

sniffing-enabled = true
sniffing-timeout = 100

Chute 可以通过检查连接的初始字节来检测实际协议。这使得像 PROTOCOL,TLS,Proxy 这样的规则即使对非 HTTP 入站连接也能正常工作。

sniffing-enabled（默认：false）

sniffing-enabled = true

启用 TCP 连接的协议检测。

sniffing-timeout（默认：100ms）

sniffing-timeout = 200

等待初始数据以确定协议的最大时间（毫秒）。如果协议检测在慢速连接上失败，请增大此值。

阻断 QUIC

block-quic = auto

控制 Chute 是否拒绝检测到的 QUIC（包括 HTTP/3）流量。QUIC 基于 UDP，无法由 Chute 的 HTTP MitM 解密。拒绝 QUIC 可促使兼容的客户端改用 TCP，从而应用基于 TCP 的代理处理，并在已配置时进行 HTTPS 解密。

对经 TUN 进入的流量，Chute 会向被拒绝的 QUIC 流返回 ICMP/ICMPv6 Port Unreachable 消息，使兼容的客户端无需等待 QUIC 超时即可回退到 TCP。

block-quic 使用自动 QUIC 检测，不需要 sniffing-enabled；后者只控制 TCP 协议嗅探。如需按规则处理单个 QUIC 流，请使用 PROTOCOL,QUIC,... 规则。

Bypass TUN

bypass-tun = 192.168.0.0/16, 10.0.0.0/8

类似于 skip-proxy，但在 TUN/VIF 路由层面工作。到这些 IP 范围的连接将完全绕过 TUN 接口，直接通过系统网络栈传输。

注意：此选项仅对增强模式的 VIF（utun）类型生效，使用 PacketTunnel VPN 类型时无效。

拒绝时显示错误页面

show-error-page-for-reject = true

启用后，Chute 对被拒绝的请求返回用户友好的错误页面，而不是直接丢弃连接。

乐观 DNS

optimistic-dns = false

启用后，Chute 立即返回缓存的 DNS 结果，同时在后台刷新记录。这减少了连接延迟，但可能返回过时的 DNS 记录。

默认：true。设置 optimistic-dns = false 可禁用。

允许 Wi-Fi 访问

allow-wifi-access = true

用于允许同一 Wi-Fi 网络中的其他设备访问 Chute 的 HTTP/SOCKS5 代理端口。该开关会显示在 Chute 应用中，其值会保留在配置文件里。

注意：内核目前会存储此标志，但尚未实际执行。

托管配置

#!MANAGED-CONFIG https://example.com/config.conf interval=86400 strict=false

首行带有 #!MANAGED-CONFIG 头的配置会自动从该 URL 重新获取。头部参数与更新行为详见托管配置。

副本 / 流量录制

replica = true

[General] 中的 replica 键（replica = true）启用流量录制；[Replica] 部分负责过滤 Chute Dashboard 显示的内容，其键详见 Replica。

外部控制器访问（Chute Dashboard）

external-controller-access = password@0.0.0.0:6155

启动供 Chute Dashboard 使用的远程控制服务器。值的格式为 password@host:port；密码前可以选择性地加上用户名（user:password@host:port）。在 iOS 上，还会在 port + 1 上开启一个配套的 USB 通道（macOS 上没有）。

HTTP 控制 API 和 Web UI

[General]
external-http-controller = 127.0.0.1:9090
external-http-secret = your-secret-token
external-http-ui = true
external-http-cors = false

Chute 提供内嵌的 HTTP 控制 API 和基于 Web 的管理 UI，类似于 Clash 和 Surge 面板。API 通过 REST 端点暴露内核状态、流量、连接、DNS、策略控制和配置管理。

external-http-controller（默认：禁用）

external-http-controller = 127.0.0.1:9090

HTTP 控制服务器的地址和端口。使用 127.0.0.1 进行仅本地访问。绑定到具体的非回环地址（例如 192.168.1.5:9090）时必须设置非空的 external-http-secret——否则服务器会拒绝启动并记录一条警告。注意 0.0.0.0 能通过这项检查，但它监听所有网卡：配合空的 secret 会把整个 API 无鉴权地暴露到网络上，因此绑定 0.0.0.0 时请务必自行设置 secret。

external-http-secret（默认：空）

external-http-secret = your-secret-token

用于 API 鉴权的 Bearer 令牌。请求必须包含请求头 Authorization: Bearer <secret>——令牌只接受这个请求头，不支持查询参数携带，比较采用常量时间算法。secret 为空时，所有端点都不需要鉴权。鉴权失败返回 401，响应体为 {"ok": false, "error": {"code": "unauthorized", "message": "missing or invalid token"}}。只有 /api/* 路径和 Clash 兼容别名受鉴权保护；Web UI 的静态资源始终可访问。

external-http-ui（默认：true）

external-http-ui = true

启用后，Chute 在控制器地址提供内嵌的 Web UI。Web UI 提供概览仪表板、连接管理、DNS 检查、流量监控、策略控制和配置编辑。设置为 false 则仅启用 API 而禁用 UI。

external-http-cors（默认：false）

external-http-cors = true

在 API 响应中启用 CORS（跨域资源共享）头。当 Web UI 或第三方工具需要从不同源访问 API 时非常有用。

API 端点：

端点说明：

• GET /api/connections 接受 limit（正整数，默认与上限均为 1000）和 cursor（只返回 id 大于游标的连接）。响应 data 包含 connections、total、page_size、has_more，还有更多分页时附带 next_cursor。
• GET /api/connections/history 接受 limit（默认 100，上限 1000）和 cursor/before（同义参数；同时传两个会被拒绝）。
• GET /api/connections/:id/request 与 .../response 返回 {"connection_id": <id>, "data": "<base64>"}。捕获内容超过 2 MiB 时返回 413。
• GET /api/config 返回的配置中，敏感值（http-auth、external-http-secret、ca-p12、ca-passphrase、WireGuard 密钥等）会被替换为 <redacted>——不要把结果原样回传给 PUT /api/config，否则这些占位符会被逐字写进配置。
• PUT /api/config 接受 JSON {"configuration": "<配置全文>"} 或直接以请求体承载裸配置文本（上限 1 MB）。成功后内核会重新加载——若尚未运行则直接启动。
• PUT /api/policies/:group 按 policy、name、selected、select 的顺序取请求体中第一个存在的键作为选择值；取值可以是策略名，也可以是数字下标的字符串。特殊组名 GLOBAL 用于设置全局选中策略。
• PUT /api/mode 要求 JSON 数字：{"mode": 0}——0 规则、1 直连、2 代理。
• PUT /api/features/mitm 与 PUT /api/features/record-traffic 接受 {"enabled": true}。
• GET /api/logs 接受 since（Unix 秒）；内存缓冲区保留最近 1000 条，每条为 {timestamp, level, section, message}。

示例——读取状态，然后切换策略组：

curl -H "Authorization: Bearer your-secret-token" http://127.0.0.1:9090/api/status
{"ok":true,"data":{"running":true,"outbound_mode":0,"mitm":false, ...}}

curl -X PUT -H "Authorization: Bearer your-secret-token" \
     -d '{"policy": "ProxyB"}' http://127.0.0.1:9090/api/policies/MainGroup
{"ok":true,"data":{"outbound_mode":0,"selectable_groups":[...], ...}}

注意：此功能默认禁用。所有响应都使用统一信封：成功为 {"ok": true, "data": {...}}，错误为 {"ok": false, "error": {"code": "...", "message": "..."}}；请求体上限为 1 MB。

PUT 端点也接受 PATCH。为第三方仪表盘提供了 Clash 兼容的别名路径：/version、/traffic、/connections、/configs、/proxies、/rules——路径可达，但响应使用 Chute 自己的信封和字段名而非 Clash 的 schema（/version 只返回 {"name", "run_id"}），因此 Clash 面板无法开箱即用。

客户端指纹

global-client-fingerprint = chrome

为所有未自行指定 fingerprint 的策略设置 TLS 客户端指纹。策略自身的取值始终优先，所以这是默认值而不是强制覆盖。

可用取值为 chrome、firefox、safari、ios，以及 edge、360、qq、 android、random——后面这几个都按 Chrome 处理。无法识别的取值会被忽略， 此时使用系统 TLS 栈。

默认：留空，即使用系统 TLS 栈。只有 Trojan、VMess、VLESS 和 ShadowTLS 策略会读取它。