代理协议：VLESS、Trojan 与 Shadowsocks——数据怎样封装，资料怎样核对

VLESS 是只负责用户认证和传递目标地址的轻量代理协议，协议本身不加密，机密性交给外层的 TLS 或 REALITY。本文拆解 VLESS 请求头的字段，说明不套外层时会暴露什么，以及读机场资料里的“VLESS”时还缺哪些信息。

REALITY 是 Xray 社区提出的 TLS 层方案：节点不持有自己的证书，握手时借用一个真实网站的 TLS 特征，合法客户端靠预置公钥与短 ID 通过认证，其他连接被转交给那个真实网站。本文按握手顺序讲清原理与客户端参数含义。

Trojan 先与服务器完成一次标准 TLS 握手，再在加密通道里发送密码哈希和目标地址；认证失败的连接被转交给一个正常网站。它的安全与外观都来自 TLS，因此域名、证书与 SNI 是否正确决定能否连接。本文按连接顺序拆解原理。

Shadowsocks 用预共享密钥对目标地址和数据做对称加密，AEAD 加密在保密之外增加了完整性校验，2022 版规范又加入时间戳与重放防护。结构简单、开销小、原生支持 UDP、客户端覆盖广，是它至今仍被广泛使用的主要原因。

VMess 自带协议层加密，认证依赖客户端与服务器的时间差，偏差过大就会失败；VLESS 去掉了协议层加密和时间依赖，只保留 UUID 认证与寻址，安全交给外层 TLS 或 REALITY。本文逐项比较两者，并说明节点参数上的可见差别。

使用 TLS 的代理节点连不上，协议层常见原因有五类：SNI 与证书域名不符、证书过期或链不完整、设备时间错误、ALPN 或指纹参数不被接受、REALITY 参数不匹配。本文按 TLS 握手顺序说明每一类在哪一步失败、报错大致长什么样。

传输方式决定代理协议的数据装在什么“容器”里发出：原始 TCP 结构最简单，WebSocket 能经过 HTTP 反向代理与 CDN，gRPC 基于 HTTP/2 可在一条连接里复用多路请求。本文解释三者的工作方式、各自需要的参数和适用条件，不做性能排名。

测速截图显示 Shadowsocks、品牌资料写 VLESS，从协议原理看可能来自多协议订阅、中转入口与落地使用不同协议、测试订阅不同或工具识别口径差异。本文给出每种可能在客户端里留下的痕迹，以及购买前后各自能做的核对步骤。

普通用户选协议，实际是在订阅提供的节点里做选择：先看客户端内核支持哪些协议与参数，再看场景是否需要 UDP、设备性能和网络环境，最后才是个人偏好。本文给出按客户端、场景和资料状态三步判断的方法，不推荐任何品牌。

机场节点能否转发 UDP，要同时满足三方条件：协议定义了 UDP 承载方式，服务器端（含中转入口）开启并放行 UDP，客户端以能接管 UDP 的方式运行并启用相应开关。任何一方缺失，语音、游戏等 UDP 应用都会失败或退回 TCP。

NAT 类型决定外部主机能否直接把 UDP 数据发回你的设备，从全锥型到对称型逐级收紧。它影响联机游戏的匹配与主机连接、点对点语音能否直连，而对网页和视频影响很小。本文解释打洞原理、游戏机上的 NAT 标签与经代理后的变化。

多协议机场指同一订阅里同时下发 VLESS、Shadowsocks、Trojan 等不同协议的节点，常见用途包括照顾不同客户端的兼容性、提供备用连接方式、区分中转与直连形态以及逐步迁移协议。本文说明这些用途的判断方法，以及客户端只显示部分节点的原因。

Hysteria2 与 TUIC 都建立在 QUIC 之上，运行于 UDP，自带 TLS 1.3 加密与多路复用，在丢包较多的网络中避免了 TCP 队头阻塞。Hysteria2 侧重可设定速率的拥塞控制与 HTTP/3 外观，TUIC 侧重低握手延迟与 UDP 转发。本站 17 个品牌资料均未涉及这两种协议。