协议原理：同一条线路上，数据是怎样被封装和伪装的
TECH · 4.2 · 代理协议
核心结论
代理协议（VLESS、Trojan 等）决定「客户端和服务端如何认证、如何描述要访问的目标」；传输层与伪装（TLS、REALITY、WebSocket 等）决定「这些数据在网络上看起来像什么」。两层要分开看：只写「VLESS」并不能说明用的是 TLS 还是 REALITY，也不能说明安全性高低。 协议对速度的影响通常小于线路与负载。本站 17 个品牌中，12 家在品牌资料中标注 VLESS，5 家（微风网络、飞猫云、星岛梦、灵猫网络、极连云）协议待核实；所有品牌的传输层与伪装方式均未在资料中出现，同样属于待核实范围。
本专题解决的问题
- VLESS、VMess、Trojan、Shadowsocks 各自的设计思路是什么？
- Hysteria2 和 TUIC 为什么基于 QUIC，适合什么网络环境？
- TLS、REALITY、XTLS Vision 分别解决什么问题，三者是什么关系？
- WebSocket、gRPC、原始 TCP 这些传输方式怎么选？
- 品牌资料写着「VLESS」，我还需要确认哪些信息？
本专题讲协议与封装。数据走哪条物理链路见 线路类型；客户端里如何选择这些协议对应的内核，见 客户端教程。
协议栈分层示意
text
┌───────────────────────────────────────────┐
│ 应用数据（网页、视频、AI 服务请求） │
├───────────────────────────────────────────┤
│ 代理协议：VLESS / VMess / Trojan / SS │ ← 认证、目标地址
├───────────────────────────────────────────┤
│ 流控（可选）：XTLS Vision │ ← 减少重复加密、填充长度
├───────────────────────────────────────────┤
│ 安全层：TLS / REALITY / 无 │ ← 加密与握手外观
├───────────────────────────────────────────┤
│ 传输方式：TCP / WebSocket / gRPC / ... │ ← 承载形式
├───────────────────────────────────────────┤
│ 网络层：TCP 或 UDP（QUIC 协议基于 UDP） │
└───────────────────────────────────────────┘
Hysteria2 / TUIC：把代理协议、加密与传输合并在 QUIC 之上主流协议对比表
| 协议 | 认证方式 | 自带加密 | 底层 | 设计特点 |
|---|---|---|---|---|
| VLESS | UUID | 否，依赖 TLS / REALITY | TCP 为主 | 无状态、头部精简，可搭配 Vision 流控 |
| VMess | UUID + 时间校验 | 是 | TCP 为主 | V2Ray 早期协议，要求客户端与服务端时间基本同步 |
| Trojan | 密码（哈希） | 依赖 TLS | TCP | 模仿 HTTPS，认证失败时可回落到正常网站 |
| Shadowsocks | 密码派生密钥 | 是（AEAD） | TCP / UDP | 结构简单，SS2022 增加了防重放设计 |
| Hysteria2 | 密码 | 是（QUIC 内置 TLS） | UDP / QUIC | 自定义拥塞控制，适合丢包较多的链路 |
| TUIC | UUID + 密码 | 是（QUIC 内置 TLS） | UDP / QUIC | 原生多路复用，支持 0-RTT 连接 |
主流协议
集群定位：逐一解释常见代理协议的设计原理和适用场景，并纠正「协议名 = 速度」「协议名 = 安全等级」两种常见误解。
核心关键词：VLESS 协议原理、UUID 认证、VMess、Trojan、Shadowsocks AEAD、Hysteria2、TUIC、QUIC。
文章大纲：
- VLESS 协议原理：无状态设计与 UUID 认证——解释 VLESS 为什么去掉了自带加密与时间校验，只用 UUID 认证，并把安全性交给外层 TLS 或 REALITY。
- VMess 与 VLESS 的差异——从加密方式、时间同步要求和头部开销三方面对比，说明 VLESS 被视为 VMess 精简继任者的原因。
- Trojan 协议原理与伪装方式——介绍 Trojan 依托真实 TLS 证书模仿 HTTPS，以及认证失败时把流量回落到正常网页的机制。
- Shadowsocks 协议的演进与 AEAD 加密——回顾从早期流加密到 AEAD 再到 SS2022 的演进，说明每一代修补的问题。
- Hysteria2 与 TUIC：基于 QUIC 的协议——解释 QUIC 运行在 UDP 之上带来的连接建立快、抗丢包等特点，以及部分网络对 UDP 限速的副作用。
- 协议选择对速度与稳定性的影响边界——说明协议开销差异在多数场景下远小于线路拥塞与节点负载的影响。
- 为什么协议名称不等于安全等级——举例说明同为 VLESS，配合 REALITY、TLS 或不加密时，安全性与可识别性截然不同。
传输层与伪装
集群定位：解释协议之下的安全层与传输方式，包括 TLS、REALITY、XTLS Vision、WebSocket / gRPC，以及握手特征、UDP 与多路复用等进阶话题。
核心关键词：传输层伪装、TLS、REALITY、XTLS Vision、WebSocket、gRPC、SNI、ALPN、TLS 指纹、UDP 转发、mux。
文章大纲：
- TLS 在代理协议中的作用——说明 TLS 同时提供加密、服务端身份验证与「看起来像普通 HTTPS」的外观三项功能。
- REALITY 是什么：与传统 TLS 伪装的区别——解释 REALITY 无需自有域名与证书，借用真实网站的握手，未通过认证的连接会被转交给该网站。
- XTLS Vision 流控的技术原理——说明 Vision 在内层已是 TLS 时避免重复加密，并通过填充削弱「TLS 套 TLS」的长度特征。
- WebSocket、gRPC 与 TCP 传输方式对比——比较三者在 CDN 兼容性、额外开销与连接复用上的差异。
- SNI、ALPN 与指纹：握手特征基础知识——介绍 TLS 握手中可被观察到的字段，以及客户端模拟浏览器指纹（uTLS）的意义。
- UDP 转发与游戏、语音场景——解释为什么游戏与语音通话依赖 UDP，以及不同协议对 UDP 转发的支持方式。
- 多路复用 mux 的利弊——说明 mux 减少握手次数的好处，以及单连接拥塞时多个请求一起变慢的代价。
4.2-A主流协议核心词：VLESS 协议原理7 篇 · 规划中
- VLESS 协议原理：无状态设计与 UUID 认证
- VMess 与 VLESS 的差异
- Trojan 协议原理与伪装方式
- Shadowsocks 协议的演进与 AEAD 加密
- Hysteria2 与 TUIC：基于 QUIC 的协议
- 协议选择对速度与稳定性的影响边界
- 为什么协议名称不等于安全等级
4.2-B传输层与伪装核心词：传输层伪装7 篇 · 规划中
- TLS 在代理协议中的作用
- REALITY 是什么：与传统 TLS 伪装的区别
- XTLS Vision 流控的技术原理
- WebSocket、gRPC 与 TCP 传输方式对比
- SNI、ALPN 与指纹：握手特征基础知识
- UDP 转发与游戏、语音场景
- 多路复用 mux 的利弊
以上标题处于规划中，正文将分批发布。
与本站品牌资料的关联
标注 VLESS 的 12 家：光速云、U1S1、唯兔云、宇宙云、光年梯、一翻云、二猫云、SOGO 云、可信云、速界、快狸、全球云。
协议待核实的 5 家：微风网络、飞猫云、星岛梦、灵猫网络、极连云。本站不会根据线路或价位推测它们使用的协议，品牌页中统一显示「待核实」。
| 主推 | 品牌 | 开业 | 价位档 | 月付入门价 | 年付折算均价 | 流量 | 每 GB | 线路 | 协议 | 实测 |
|---|---|---|---|---|---|---|---|---|---|---|
| #1 | 星岛梦 | 2020 | 10 元内年付 | — | ¥8 年付折算 | 60 | 0.133* | 企业级内网专线 | 待核实 | Not Tested |
| #3 | 飞猫云 | 2023 | 10 元内年付 | — | ¥7 年付折算 | 50 | 0.140* | IEPL 专线 / 小流量 | 待核实 | Not Tested |
| #4 | 微风网络 | 2023 | 10 元内年付 | — | ¥7 年付折算 | 50 | 0.140* | IEPL 专线 / 小流量 | 待核实 | Not Tested |
| — | 灵猫网络 | 2024 | 18–19 元档 | ¥19 | — | 150 | 0.127 | 企业级内网专线 | 待核实 | Not Tested |
| — | 极连云 | 2024 | 18–19 元档 | ¥18 | — | 100 | 0.180 | IEPL 专线 | 待核实 | Not Tested |
按本站主推顺序排列（编辑与商业合作选择，非实测排名）。* 年付折算口径的每 GB 单价，需一次性支付全年费用，仅供同口径内比较。数据来源：品牌资料；核对日期见各品牌页。
即使是标注 VLESS 的品牌，以下信息在本站资料中也都未收录：搭配 TLS 还是 REALITY、是否启用 Vision 流控、使用何种传输方式、是否同时提供其他协议的节点。这些信息可以在购买后通过订阅内容或客户端节点详情查看。它们的实际意义在于客户端兼容：例如 REALITY 需要较新版本的内核支持，旧版客户端可能无法导入。品牌能否导入第三方客户端，除光速云、微风网络、飞猫云提供自研客户端外，本站资料均为待核实，导入方法见 订阅与分流。