TLS

raw(tcp)、h2 和 raw(udp) 均可选择 TLS。配置属于出口，连接它的入口使用同一组设置。这是入口到出口的隧道加密；节点到主控的 HTTP / HTTPS 连接另见安装节点。

原生 UDP 传输使用 DTLS。

客户端到目标的 TLS 透传和 SNI 共享端口配置见 TLS 入站。

配置项

配置项	用途
证书域名 / SNI	证书覆盖的域名，不能填写 IP。
连接 SNI	入口发送的 SNI，留空使用证书域名；必须通过证书校验。
uTLS 指纹	用于 raw(tcp)、h2，默认关闭；也可选择 Chrome、Firefox 的库内预设。
证书模式：自签名	自动生成证书，入口由主控下发的公开证书验证。
证书模式：手动导入	填写证书链和匹配私钥；私有 CA 可填写公开根证书。
证书模式：DNS 自动申请	使用 DNS 服务商凭据完成验证并自动续期。
证书模式：HTTP 自动申请	出口开放 HTTP 验证服务；CA 从公网 80 端口验证。
ACME 邮箱、Directory	自动申请须填写邮箱；Directory 默认使用 Let’s Encrypt 正式接口，可替换为所需 CA 的 HTTPS 地址。
HTTP 验证监听端口	出口本地验证端口；不是 80 时需配置公网 80 到该端口的转发。
DNS 服务商、凭据 JSON	DNS 自动申请所用的服务商及授权信息，仅由主控使用。
ACME 私有根 CA	私有 ACME 服务的公开根证书；公共 CA 留空。
签发根 CA	私有签发 CA 的公开根证书，供入口验证；公共 CA 留空。

DNS 凭据填写 JSON，键名如下：

服务商	凭据字段
Cloudflare	`api_token`，可选 `zone_token`
阿里 DNS	`access_key_id`、`access_key_secret`
DNSPod	`login_token`

自动续期适用于 HTTP / DNS 自动申请模式；手动导入证书到期后需自行替换。

h2 的 Host、Path 和流控参数在「编辑传输协议」子窗口设置，详见 h2。Fallback 在「安全性设置」窗口配置。

在「编辑传输协议」选择 raw(tcp)，点击旁边的「安全性设置」选择 TLS，并开启「TLS Padding」。其他协议组合自动隐藏该设置，保存的策略不生效。入口与出口均需更新至支持 Padding 的节点端。

策略与 AnyTLS 的 padding_scheme 使用相同行格式，一行一条；留空使用以下默认值：

text

stop=8
0=30-30
1=100-400
2=400-500,c,500-1000,c,500-1000,c,500-1000,c,500-1000
3=9-9,500-1000
4=500-1000
5=500-1000
6=500-1000
7=500-1000

0 指认证填充，独立于 stop；1 起控制后续数据写入的拆分和填充长度。c 表示数据已发完时停止后续填充；stop=8 表示只填充第 1～7 次数据写入，第 8 次起保留数据帧、不再增加数据填充。它不是网卡 TCP 包计数。

stop 范围为 0–64，认证填充最大 2048 字节，其余长度为 1–16384，每条策略最多 16 个片段。每条连接每个方向的额外填充有 256 KiB 上限。

主控将策略统一下发给两端，TCP 以及通过此隧道承载的 UDP 均可使用。填充不会传到目标，也不计入用户套餐用量；节点探针的实际网络流量包含填充开销。此功能沿用 Nekopass 的身份验证和转发权限，不改变客户端与目标之间的 TLS 数据。

关闭发送方向时，结束帧会独立随机填充，不受 stop 限制，也不计入用户流量。入口与出口需同时使用支持当前 Padding 帧格式的节点端。