VMess、VLESS、Trojan、Shadowsocks 对比：四种代理协议的场景选型

一、四种协议的差别：认证、加密与外层保护

四种协议不能只按“新旧”排列。VMess 与 Shadowsocks 自带数据加密机制；VLESS 的常见配置不在协议层加密载荷，需要外层安全通道；Trojan 的常见部署依赖 TLS。比较安全性时，必须把协议与外层保护一起写出来，不能把裸 VLESS 与 VMess 的加密连接直接比较。

VMess 的 alterId: 0 是现代 AEAD 配置中常见的兼容字段，不表示没有加密。Shadowsocks 也不能只写“支持 SS”：传统 AEAD 方法与 2022 系列对密钥格式、内核版本的要求不同。导入时若方法名不被内核识别，改一个显示名称不能解决问题。

二、按场景选型：先满足服务端条件

订阅用户通常没有必要自行改协议。一个 VMess 服务端不会因为客户端把类型改成 VLESS 就接受连接。自行部署时，才需要把证书管理、端口开放、传输支持与客户端版本一起纳入选型。下面的“推荐”针对新建、两端可控且支持对应配置的连接，并非所有网络环境的速度排名。

三、握手开销与速度：没有通用的最快协议

握手开销影响新连接建立时间，持续吞吐则更多受线路带宽、丢包、服务端负载与终端性能影响。TCP 建连、TLS 握手以及 WebSocket 的 HTTP Upgrade 都可能产生额外往返；是否复用连接、是否恢复 TLS 会话，也会改变实际耗时。因此不能给四种协议套一个固定毫秒数。

VLESS 在常见配置下不重复做协议层载荷加密，但这不意味着它一定比所有 VMess 或 Shadowsocks 节点快。不同节点若位于不同机房、使用不同出口，结果主要反映线路差异。Vision 也不是“开启后带宽翻倍”的开关，其作用与适用条件应按内核文档和两端配置理解。

1. 固定测试条件。尽量使用同一服务端、同一出口与同一测试资源；无法控制这些条件时，只把结果当作节点体验比较，不归因于协议本身。
2. 分开测建立连接与下载。记录首次响应时间，再观察持续传输至少 30 秒的平均速率。一次延迟测试不能代表视频或大文件体验。
3. 每组重复 3 次。使用中位数，并记录测试时间、是否启用复用及是否存在后台下载。保留失败次数，不只保留最好的一次。
4. 保持路由一致。确认测试请求确实经过待测出站。若某轮被直连规则命中，测得的速度就不属于代理连接。

多路复用也应单独评估。它可能减少部分短连接开销，但在不适合的组合或丢包环境中，也可能扩大连接间的相互影响。先保留客户端与服务端的已验证设置，出现明确问题后再单独调整，避免一次更改协议、复用和 DNS 三项参数。

四、TLS、REALITY 与传输层：配置不能互相替代

TLS 保护通道并验证服务端身份；WebSocket 是一种传输封装；REALITY 是 Xray 提供的安全机制，不是第五种代理协议。TCP、WebSocket 与安全层属于不同配置维度。服务端提供 TCP + REALITY 时，不能自行改成 WebSocket + TLS 并期待继续连接。

• TLS：核对 serverName 与证书域名。连接地址可以是 IP，但证书验证仍需要正确的服务名；SNI 与 WebSocket 的 Host 也不是同一个字段。
• REALITY：核对服务端公钥、shortId、允许的 serverName 及指纹设置。公钥对应的是服务端密钥，不是网站证书的任意一段文本。
• Vision：常见 flow 值为 xtls-rprx-vision。只有服务端与传输组合支持时才填写，不能给所有 VLESS 节点统一追加。
• WebSocket：路径必须一致，包括大小写与前导斜杠。返回 HTTP 404 或握手失败时，先核对反向代理转发与路径，不要先更换 UUID。

以下是 Xray JSON 中的 VLESS + TCP + TLS 出站结构示例。example.net 是文档示例域名，UUID 也是演示值，这段内容不提供可连接节点。实际使用须采用服务端分配的地址、身份和证书域名；REALITY 节点不能直接套用这段 TLS 配置。

{
  "outbounds": [
    {
      "tag": "proxy",
      "protocol": "vless",
      "settings": {
        "vnext": [
          {
            "address": "example.net",
            "port": 443,
            "users": [
              {
                "id": "6e7d180b-486c-4f4a-89c4-574ca70b83d2",
                "encryption": "none"
              }
            ]
          }
        ]
      },
      "streamSettings": {
        "network": "tcp",
        "security": "tls",
        "tlsSettings": {
          "serverName": "example.net",
          "allowInsecure": false
        }
      }
    }
  ]
}

这里的 outbounds 只描述出站，不包含完整的本地入站与路由。由 v2rayN 管理节点时，应优先在节点编辑界面维护参数；不要直接覆盖客户端生成的运行配置，以免下一次启动或订阅更新时被重新生成。更多字段职责可查阅JSON 配置手册。

五、客户端与内核：名称相同不代表组合相同

v2rayN 是桌面客户端，协议能力取决于它实际调用的内核与版本。Android 上的 v2rayNG 使用 Xray 内核，v2flyNG 使用 V2Fly 内核。Project V、V2Fly、Xray 存在技术渊源，但不同项目的配置字段与扩展能力不能直接画等号，尤其是 REALITY、Vision 与较新的传输方式。

订阅链接是分发节点参数的载体，不是第五种代理协议。即便成功导入，订阅格式转换也可能丢失某些扩展字段。遇到“同一节点在一个客户端可用、另一个不可用”，先逐项比较协议、端口、传输、安全层、SNI、flow 与认证信息，再判断是否为内核能力差异。

六、端口、UDP 与路由：区分连接的不同层级

服务端端口、本地代理端口与应用目标端口承担不同职责。下面三个数字仅用于辨认配置位置，不是所有节点的默认值，也不是性能建议。实际监听地址与端口以客户端当前配置为准。

把服务端设为 443，并不会自动开启 TLS；协议握手与安全层仍须正确配置。同样，浏览器访问本地 SOCKS 端口，与客户端向远端 443 发起连接，是两个不同阶段。系统代理只影响遵循系统代理设置的应用，不能证明所有流量都经过了代理。

• 网页可用但实时应用失败：检查应用是否走代理，以及 UDP 是否被客户端入站、远端出站和防火墙共同允许。
• 域名失败但部分 IP 可达：检查 DNS 查询路径、解析结果与路由规则，而不是直接认定协议不稳定。
• 部分站点显示本地出口：查看是否命中直连规则。更换 VMess 为 VLESS 不会自动改变路由策略。

七、常见问题：导入成功之后如何排查