VMess、VLESS、Trojan、Shadowsocks 協定比較：四種代理協定怎麼選

一、四種協定的差異：驗證、加密與外層保護

四種協定不能只按「新舊」排序。VMess 與 Shadowsocks 內建資料加密機制；常見的 VLESS 配置不會在協定層加密負載，因此需要外層安全通道；Trojan 的常見部署則仰賴 TLS。比較安全性時，必須一併列出協定與外層保護，不能直接拿未加外層保護的 VLESS，和已加密的 VMess 連線相比。

VMess 的 alterId: 0 是現代 AEAD 配置中常見的相容性欄位，不代表沒有加密。Shadowsocks 也不能只寫「支援 SS」：傳統 AEAD 方法與 2022 系列對金鑰格式和核心版本的要求不同。匯入後若核心不識別方法名稱，修改顯示名稱也無法解決問題。

二、依使用情境選擇：先符合伺服器條件

訂閱使用者通常不需要自行更改協定。VMess 伺服器不會因為用戶端把類型改成 VLESS 就接受連線。自行架設時，才需要一併考量憑證管理、連接埠開放、傳輸支援與用戶端版本。以下建議適用於新建、兩端配置可控且支援相應設定的連線，不代表各種網路環境下的速度排名。

三、握手耗時與速度：沒有放諸四海皆準的最快協定

握手耗時會影響新連線的建立時間；持續傳輸速度則更多取決於線路頻寬、封包遺失、伺服器負載與終端效能。建立 TCP 連線、TLS 握手及 WebSocket 的 HTTP Upgrade 都可能增加往返時間；是否重用連線、是否恢復 TLS 工作階段，也會影響實際耗時。因此，不能替四種協定訂出固定的毫秒數。

常見配置下，VLESS 不會在協定層重複加密負載，但不代表它一定比所有 VMess 或 Shadowsocks 節點快。若節點位於不同機房或使用不同出口，測試結果主要反映線路差異。Vision 也不是「啟用後頻寬翻倍」的開關；其用途與適用條件應依核心文件和兩端配置判斷。

1. 固定測試條件。盡量使用相同的伺服器、出口與測試資源；若無法控制這些條件，只能將結果視為節點體驗比較，不應歸因於協定本身。
2. 分開測量連線建立與下載。記錄首次回應時間，再觀察至少 30 秒的持續傳輸平均速率。單次延遲測試無法代表串流影片或大型檔案的使用體驗。
3. 每組重複測試 3 次。採用中位數，並記錄測試時間、是否啟用連線重用，以及是否有背景下載。保留失敗次數，不要只記下最好的一次。
4. 保持路由設定一致。確認測試請求確實經過待測的出站。如果某次測試符合直連規則，測得的速度就不代表代理連線。

多路複用也應分開評估。它可能降低部分短連線的開銷，但若組合不合適或網路有封包遺失，也可能加劇連線之間的相互影響。先保留用戶端與伺服器已驗證的設定，確認有明確問題後再單獨調整，避免一次更改協定、多路複用和 DNS 三項參數。

四、TLS、REALITY 與傳輸層：不同配置不能互相取代

TLS 用來保護通道並驗證伺服器身分；WebSocket 是傳輸封裝方式；REALITY 是 Xray 提供的安全機制，並非第五種代理協定。TCP、WebSocket 與安全層屬於不同的配置面向。伺服器提供 TCP + REALITY 時，不能自行改成 WebSocket + TLS，並期待連線仍能正常運作。

• TLS：確認 serverName 與憑證網域相符。連線位址可以是 IP，但憑證驗證仍需要正確的伺服器名稱；SNI 與 WebSocket 的 Host 也不是同一個欄位。
• REALITY：確認伺服器公鑰、shortId、允許的 serverName 與指紋設定。公鑰是伺服器金鑰，不是網站憑證中任意一段文字。
• Vision：常見的 flow 值為 xtls-rprx-vision。只有伺服器與傳輸組合支援時才填入，不能替所有 VLESS 節點一律加上此設定。
• WebSocket：路徑必須完全一致，包括大小寫與開頭的斜線。若收到 HTTP 404 或握手失敗，先確認反向代理轉送設定與路徑，不要先更換 UUID。

以下是 Xray JSON 中 VLESS + TCP + TLS 的出站結構範例。example.net 是文件範例網域，UUID 也是示範值，這段內容無法用來連線。實際使用時，必須採用伺服器提供的位址、身分識別資訊與憑證網域；REALITY 節點不能直接套用這份 TLS 配置。

{
  "outbounds": [
    {
      "tag": "proxy",
      "protocol": "vless",
      "settings": {
        "vnext": [
          {
            "address": "example.net",
            "port": 443,
            "users": [
              {
                "id": "6e7d180b-486c-4f4a-89c4-574ca70b83d2",
                "encryption": "none"
              }
            ]
          }
        ]
      },
      "streamSettings": {
        "network": "tcp",
        "security": "tls",
        "tlsSettings": {
          "serverName": "example.net",
          "allowInsecure": false
        }
      }
    }
  ]
}

這裡的 outbounds 只描述出站，不包含完整的本機入站與路由。使用 v2rayN 管理節點時，應優先在節點編輯介面維護參數；不要直接覆寫用戶端產生的執行配置，以免下次啟動或更新訂閱時被重新產生。如需了解其他欄位的用途，請參閱JSON 設定手冊。

五、用戶端與核心：名稱相同不代表支援相同組合

v2rayN 是桌面用戶端，支援的協定能力取決於實際呼叫的核心及版本。Android 上的 v2rayNG 使用 Xray 核心，v2flyNG 使用 V2Fly 核心。Project V、V2Fly、Xray 之間有技術淵源，但不同專案的設定欄位與擴充能力不能直接畫上等號，尤其是 REALITY、Vision 與較新的傳輸方式。

訂閱連結是用來傳送節點參數的載體，不是第五種代理協定。即使成功匯入，訂閱格式轉換仍可能遺失部分擴充欄位。若同一節點在一個用戶端可用、另一個卻無法使用，先逐項比對協定、連接埠、傳輸、安全層、SNI、flow 與驗證資訊，再判斷是否為核心支援能力不同。

六、連接埠、UDP 與路由：分辨連線的不同層級

伺服器連接埠、本機代理連接埠與應用程式的目標連接埠用途不同。以下三個數字僅用來辨認配置位置，並非所有節點的預設值，也不是效能建議。實際監聽位址與連接埠請以用戶端目前設定為準。

將伺服器連接埠設為 443，不會自動啟用 TLS；仍須正確設定協定握手與安全層。同樣地，瀏覽器連線至本機 SOCKS 連接埠，與用戶端連線至遠端 443，是兩個不同階段。系統代理只會影響遵循系統代理設定的應用程式，不能據此判定所有流量都經過代理。

• 網頁可用，但即時應用程式無法連線：確認應用程式是否使用代理，以及用戶端入站、遠端出站與防火牆是否都允許 UDP。
• 網域無法連線，但部分 IP 可連通：檢查 DNS 查詢路徑、解析結果與路由規則，不要直接認定是協定不穩定。
• 部分網站顯示本機出口：確認是否符合直連規則。將 VMess 換成 VLESS 不會自動變更路由策略。

七、常見問題：成功匯入後如何排查