AnyTLS 是什么？AnyTLS 协议的设计与客户端支持

梯子岛编辑部 · 更新于 2026-10-09

协议新一代协议难度：高级约 9 分钟读完

AnyTLS 协议要处理的是一个很具体的麻烦：用 TLS 包着代理流量时，里面往往还有一层 TLS，两次握手叠在一起，包长度和握手往返都会露出特征。官方仓库把它描述为一个试图缓解“TLS 嵌套 TLS”握手指纹问题的代理协议，办法是在 TLS 之上复用连接，再用一套可由服务端更新的分包与填充方案控制数据包长度。下面依据官方仓库、协议文档和常见问题页，说清 anytls是什么、它的弱点，以及 anytls客户端怎么判断。

AnyTLS 协议是什么：三份官方文档各管一件事

官方仓库是 anytls/anytls-go，README 称它是这个协议的参考实现，协议、常见问题与 URI 格式文档放在仓库的 docs 目录。仓库页面没有写明协议提出者是谁，首次发布的时间也没有写，这部分资料待核实，梯子岛不去补。仓库状态会变化，以仓库页实际显示为准。

查 AnyTLS 的资料，去哪一份文档找什么，可以这样对照：

三份里最值得先读的是常见问题页：一个协议愿意把弱点写在自己的文档里，对读者判断它的边界很有帮助。

“TLS 嵌套 TLS”是什么问题，别的做法怎么应对

你访问的 https 网站，本身就是一层 TLS。代理协议如果也用 TLS 做外壳，外层握手完成后，内层还要再握手一次，这就是“TLS 嵌套 TLS”。额外的握手往返和固定的包长度，是文档里指出的特征来源。

值得注意的是，AnyTLS 的常见问题页把“TLS 嵌套带来额外握手往返与包长度特征”也列在了自己的已知弱点里。所以更准确的说法是“缓解”，而不是“消除”。同一个问题，站内其他协议资料里有不同的回应：

这张表只放文档的说法，不比较谁更有效。有没有效果、对哪种网络有效，需要大量实际测试，梯子岛没有这类数据。词典里的 TLS 和 多路复用 Mux 可以帮你补一下术语。

anytls的会话怎么走：认证、帧与填充方案

协议文档把一次连接写成几个阶段，对使用者的意义放在最右一列：

“填充方案”用白话讲，就是一份规则：一次数据要拆成多大的包、在哪些位置补多少无意义的字节。常见问题页特别说明，默认的方案只是示例。所以没有必要去背某个具体的参数，更实用的认识是：这个协议把“包长度长什么样”做成了可以更换的部分。

sing-box 的 AnyTLS 出站还提供 idle_session_check_interval、idle_session_timeout、min_idle_session 这几个空闲会话管理参数。从名字看，分别管空闲会话的检查间隔、超时和最少保留数，具体含义以 sing-box 文档 为准。节点没有特别说明时，保持客户端默认即可。

AnyTLS 协议的弱点与不支持的组合

官方没有回避问题。常见问题页列出的已知弱点包括：

• TLS 嵌套带来额外的握手往返与包长度特征。
• 未处理下行流量。
• 首个往返内几乎同时发出多个包。
• 服务端不是 HTTP 服务器，仍可能存在主动探测问题。

README 另有一条提醒：示例的服务端与客户端默认采用不安全配置，假设不会遇到 TLS 中间人，示例项目的定位是演示协议，不是生产级客户端。再加上 Mihomo 文档声明不支持 AnyTLS 加 Reality 的组合、今后也不会支持，几条合起来，对使用者的含义很直接：

1. 别把 anytls-go 的示例客户端当成日常工具。
2. 别指望把 AnyTLS 和 Reality 叠在同一个节点里。
3. 这些弱点是项目自己写的，梯子岛没有测试数据评估严重程度，也不会借此给它下任何“好”或“不好”的结论。

anytls客户端：谁写明支持，怎么判断

README 列出了第三方兼容软件，并说明这些软件的兼容程度没有经过项目验证。结合内核文档，可以得到下面这张表：

读表时记住两层：内核有类型，不等于客户端界面开放了它；界面有入口，不等于你手里的版本够新。哪款客户端写明支持，查 协议支持矩阵，没填的格子就是资料待核实；还没选好客户端，用 客户端选择工具 按平台缩小范围，官方入口在 下载导航。

anytls节点链接怎么读，要注意什么

官方文档给出的 URI 格式是 anytls://password@host:port，密码在前，服务器地址和端口在后，README 称参考客户端的较新版本可以直接使用这种链接。这类写法为什么存在，可以看词典里的 节点链接 URI，逐段拆开的办法见 节点链接怎么读。

最需要警惕的是：链接里直接带着密码。所以：

• 不要把完整链接发到公开的聊天群或评论区。
• 转换格式时尽量在本机完成，在线转换站的风险见 订阅转换怎么做才安全。
• 怀疑密码外泄，应当联系节点提供方更换，而不是继续使用。

导入 AnyTLS 节点后，怎么自己确认

1. 在节点详情里确认类型显示为 AnyTLS，没有被转换成 Trojan 之类的别的类型。
2. 确认客户端内核的版本够新，没有 AnyTLS 类型的旧内核不认识这条节点，具体表现因软件而异。
3. 确认节点没有同时标注 Reality，Mihomo 不支持这种组合。
4. 核对密码、服务器地址、端口，以及 TLS 相关设置，别带多余的空格。
5. 连上后，用 IP 与 DNS 检测 看出口地区和 DNS 走向。梯子岛只教方法，不提供检测结果。
6. 连不上时，按 梯子连不上怎么办 往下查，证书类报错优先看 证书错误与系统时间不对怎么办。

下一步：先查矩阵，再决定要不要换内核

• 手里有 AnyTLS 节点：先查 协议支持矩阵，确认客户端写明支持。
• 想对照 TLS 系协议的设计：读 Trojan 协议 和 Reality 协议。
• 想翻官方规范原文：去 协议规范导航。
• 订阅里协议很多、拿不准先试哪个：读 代理协议怎么选。

面对 AnyTLS，比较稳妥的态度是：官方怎么写就怎么理解，资料没写的地方就写“待核实”，不要靠传言补全。

接着读

• 协议 · Reality 协议是什么？VLESS + Reality 的原理与客户端
• 协议 · Trojan 协议是什么？Trojan 节点的原理与客户端支持
• 术语 · TLS是什么意思
• 术语 · 多路复用 Mux是什么意思
• 客户端 · sing-box 是什么？内核、官方客户端与各平台入口
• 客户端 · Mihomo 内核是什么？Clash Meta 内核与客户端的关系

文中出现的术语

• TLS
• 代理内核
• 多路复用 Mux
• sing-box 内核
• Mihomo
• Xray
• 节点链接 URI
• subconverter