TOPIC / tech/protocol · 12 篇文章

代理协议原理与选择指南：VLESS、Trojan、VMess、Hysteria2 与 TLS 安全边界

代理协议到底解决什么问题

代理协议解决的是「客户端如何安全地把请求交给远端节点，并让节点代为访问目标」这一件事。它通常包含三个层面：身份认证（节点怎么确认你是合法用户）、数据保护（传输内容是否加密、由谁负责加密）、承载方式（走 TCP 流、还是 UDP/QUIC 数据报）。

很多新用户会把协议当成速度的决定因素，这是一个常见误解。决定体感速度的首先是线路（详见 线路与专线）、节点负载与出口带宽；协议更多影响的是握手开销、在不稳定网络里的表现，以及与客户端的兼容性。换句话说，协议是「信封的格式」，线路是「邮路」。

把一次代理访问拆开看，大致是这样的分层：

┌──────────────────────────────────────────────┐
│ 应用数据（网页、API 请求、视频分片）          │
├──────────────────────────────────────────────┤
│ 代理协议头（VLESS / Trojan / VMess / SS）     │  ← 认证 + 目标地址
├──────────────────────────────────────────────┤
│ 传输安全层（TLS / REALITY / 协议自带加密）    │  ← 机密性与完整性
├──────────────────────────────────────────────┤
│ 传输方式（TCP / WebSocket / gRPC / QUIC）     │  ← 承载
├──────────────────────────────────────────────┤
│ IP 网络（经由线路到达节点）                   │
└──────────────────────────────────────────────┘

理解这张图，基本就能看懂各种协议「组合名」的含义：比如「VLESS + TCP + REALITY」就是代理协议头用 VLESS、承载用 TCP、传输安全层用 REALITY；「Trojan」则把代理头直接放进标准 TLS 连接里。

主流协议横向对比

主流协议的核心差异集中在「加密由谁负责」和「承载是 TCP 还是 UDP」两点上。下表只描述协议设计层面的特点，不涉及任何品牌的实际表现，所有速度与稳定性一律为未实测（Not Tested）。

需要说明：表中「常见内核支持」是一般性情况，具体以你使用的客户端版本说明为准。原版 Clash 内核不支持 VLESS，而基于 mihomo（原 Clash Meta）内核的客户端支持，这是很多人「导入订阅后部分节点不显示」的原因之一，相关操作可参考 桌面客户端 与 移动客户端 专题。

逐个协议的深入解释见本专题的集群 A 文章：VLESS 协议原理、Trojan 协议原理、VMess 协议原理、Hysteria2 解析、Shadowsocks 原理 与 REALITY 原理。

握手与加密层：为什么 TLS 是绕不开的话题

TLS 是现代代理协议最常借用的安全层，原因在于它成熟、被广泛审计，而且与普通 HTTPS 共用同一套机制。VLESS 与 Trojan 都把机密性交给 TLS；Hysteria2 所基于的 QUIC 把 TLS 1.3 直接内置在握手里；REALITY 则是在 TLS 握手的框架内完成认证。

一次 TLS 1.3 握手的简化流程如下：

客户端                                   服务端
  │ ── ClientHello（支持的套件、SNI、密钥共享）──▶ │
  │ ◀── ServerHello + 加密的证书与握手完成 ────── │
  │ ── 握手完成 ─────────────────────────────▶ │
  │ ══════ 之后的应用数据全部加密 ════════════ │

这里有两个值得理解的边界。第一，TLS 1.3 加密了证书等大部分握手内容，但 ClientHello 中的 SNI（目标域名）在未启用 ECH 的情况下仍是明文；第二，ClientHello 的字段排列会形成「指纹」，不同客户端库生成的指纹不同，这就是集群 B 中 TLS 指纹 一文讨论的主题。握手与证书校验的细节可阅读 代理协议中的 TLS。

证书校验是另一个容易被忽视的安全点。如果客户端配置里开启了「跳过证书验证」（常见字段名如 allowInsecure、skip-cert-verify），TLS 仍会加密，但客户端不再确认对方身份，理论上存在中间人风险。是否开启应以服务商提供的配置为准，本站不建议用户自行随意开启。

TCP 与 UDP/QUIC：承载方式带来的差异

承载方式决定了协议在不同网络环境下的「性格」：基于 TCP 的协议在稳定网络中表现可预期，基于 UDP/QUIC 的协议在高丢包链路上可能更有韧性，但前提是 UDP 本身没有被所在网络限速或丢弃。

TCP 有内建的可靠传输与拥塞控制，一旦丢包就会触发重传并降低发送速率，这在长距离、跨境链路上容易表现为「延迟不高但速度上不去」。QUIC 运行在 UDP 之上，把可靠性与拥塞控制放到用户态实现，Hysteria2 在此基础上提供了可配置的拥塞控制策略。代价是：部分家庭宽带、企业网络或公共 Wi-Fi 对 UDP 并不友好，这时基于 QUIC 的协议可能完全无法连接。TCP 与 UDP 的更多原理可参考 网络原理与排障 专题。

另一个常被问到的问题是「游戏、语音通话需要 UDP 吗」。需要实时交互的应用通常依赖 UDP，而 VLESS、Trojan 等协议可以把 UDP 封装在 TCP 流内转发，能用但会承受 TCP 的队头阻塞；原生基于 UDP 的协议在这类场景下理论上更自然，但仍需以实际测试为准。

协议安全边界：加密能做什么、不能做什么

协议加密的作用是让传输途中的第三方看不到你访问的具体内容，它不能让你在服务商、目标网站或账号体系面前「隐身」。这是理解协议安全边界最重要的一句话。

因此，选择服务商时，协议只是一个维度，服务商的日志政策、支付隐私与运营可靠性同样重要，这部分请参考 安全与隐私 专题；集群 B 中的 加密不等于匿名 与 协议识别的原理 会展开讨论。本站不提供针对任何网络管理系统的规避操作，使用代理服务请遵守所在地法律法规与相关平台条款，相关一般性说明见 合规与法律。

品牌协议资料：已标注 VLESS 与待核实要分开看

在本站收录的 17 个品牌中，协议资料分成两类，必须分开对待：一类品牌资料标注为 VLESS，另一类资料未给出协议，统一显示「待核实」。

几点说明：其一，「资料标注 VLESS」只说明品牌资料如此描述，本站未独立核验节点实际协议，也未实测连接表现；其二，协议待核实不等于协议差，它只意味着信息缺失，你无法提前判断客户端是否兼容；其三，同一品牌可能同时提供多种协议节点，订阅内容才是最终依据。

想按协议筛选品牌，可以查看 VLESS 标签 与 协议待核实标签；对资料字段含义有疑问，可参考 字段说明。协议待核实对选购判断的具体影响，见 机场协议待核实意味着什么。

如何选择协议：一个简化决策流程

协议选择的顺序应该是「先看客户端支持，再看网络环境，最后才看协议偏好」，而不是先认定某个协议最好再去找客户端。

你的客户端内核支持哪些协议？
├─ 只支持 Shadowsocks / VMess / Trojan（如原版 Clash 内核）
│    └─ 优先选用这些协议的节点；VLESS 节点可能无法导入
└─ 支持 VLESS / REALITY / Hysteria2（mihomo、sing-box、Xray 系）
     │
     所在网络 UDP 是否通畅？
     ├─ 不确定或较差 → 优先基于 TCP 的协议（VLESS、Trojan）
     └─ 通畅 → 可在高丢包场景下对比测试 Hysteria2
          │
          服务商是否明确提供该协议？
          ├─ 是 → 以订阅中的实际配置为准，自行复测
          └─ 协议待核实 → 先向官网或客服确认，再决定是否试用

这个流程刻意回避了「哪个协议最强」的问题，因为在服务商已经正确配置的前提下，日常网页浏览、视频与办公场景中协议差异往往不如线路与节点负载明显。更完整的决策方法请阅读 如何选择代理协议。

关于协议的五个常见误区

协议相关的讨论里，误区往往比知识更容易传播，下面五条是选购和排障时最常见的。

第一个误区是「新协议一定比老协议快」。协议发布时间与传输效率没有必然关系，Shadowsocks 设计简单、开销很低，在网络条件良好时并不慢；新协议的改进更多体现在认证方式、抗主动探测能力或拥塞控制策略上，而不是简单的带宽提升。

第二个误区是「协议名字一样，体验就一样」。同叫 VLESS，可能搭配 TLS，也可能搭配 REALITY；可能走直连线路，也可能经过中转。真正决定体验的是整条链路，协议只是其中一个环节。

第三个误区是「加密强度越高越安全」。在 AES-GCM、ChaCha20-Poly1305 这类现代算法之间比较「谁更强」，对普通用户几乎没有意义，更现实的风险来自证书校验被关闭、订阅链接泄露、客户端来源不明等配置与使用问题。

第四个误区是「协议能决定 AI 或流媒体能否使用」。平台判断的是出口 IP 的地区与信誉、账号状态等因素，与客户端到节点之间用什么协议基本无关，这部分请阅读 节点与 IP 专题。

第五个误区是「资料没写协议，说明协议不好」。协议待核实只意味着信息缺失，本站既不会据此给出负面判断，也不会推测其协议类型，正确的做法是自行确认后再决定。

本专题文章怎么读

本专题分两个集群，建议按自身需要选择阅读路径。

• 集群 A「主流协议原理」：适合想弄清楚每个协议握手、认证与承载方式的读者，六篇文章分别讲 VLESS、Trojan、VMess、Hysteria2、Shadowsocks 与 REALITY。
• 集群 B「加密与安全边界」：适合关心「到底安不安全、会不会被识别、该怎么选」的读者，包括 TLS 握手、TLS 指纹、协议识别原理、加密与匿名的区别、协议选择方法与协议待核实的影响。

如果你是第一次接触代理，建议先读 技术知识库 总览，再从「加密不等于匿名」与「如何选择代理协议」两篇入手；如果你已经在用客户端、只是遇到兼容问题，可以直接看对应协议的原理文章，再结合 订阅管理 排查。

理解了协议之后，下一步可以去 机场品牌库 按协议字段筛选品牌，或在 对比工具 中把两个品牌的协议、线路与客户端字段并排查看。所有协议相关表现本站均未实测，最终请以你自己的网络环境下的测试结果为准。