代理协议怎么选？协议、TLS、传输与兼容性一次看懂
分清 VMess、VLESS、Trojan、Shadowsocks 2022、Hysteria2 与 TUIC 的协议层次，按内核版本、传输、TLS 和认证字段核对兼容性，并用实际连接判断是否适用。
本文目录 7 节
快速回答 代理协议对比
代理协议负责认证与转发，TLS 或 REALITY 负责相应的连接保护，TCP、WebSocket、gRPC 或 QUIC 决定如何承载；它们不是同一层的替代品。选节点先核对客户端内核和完整参数能否兼容，再在自己的网络下验证连接、目标网站与稳定性，没有脱离线路和网络条件的“最快协议”。
同一个节点名字里出现“VLESS + TCP + REALITY + Vision”，并不是用了四种互相竞争的代理协议。这些字段描述的是不同层次。本文适合已经拿到订阅、需要判断节点是否适配客户端的读者；准备好客户端名称、实际内核版本、节点详情和一条失败日志即可，不需要手写服务端。
先把一个节点分成五部分
| 部分 | 解决什么问题 | 你会看到的字段 |
|---|---|---|
| 地址与线路 | 先连到哪里、经过什么路径 | 服务器、端口、入口地区、出口地区 |
| 代理协议 | 如何认证、如何表示目标与转发数据 | VMess、VLESS、Trojan、Shadowsocks 等 |
| 承载方式 | 客户端和节点之间怎样建立通道 | TCP/raw、WebSocket、gRPC、QUIC 等 |
| 连接保护 | 如何保护这段连接并验证对端 | TLS、REALITY、协议自身的加密机制 |
| 具体参数 | 这两端能否按同一约定对话 | UUID、密码、SNI、路径、公钥、协议版本 |
这里的“传输”是代理项目中的配置术语，不应全部等同于网络分层中的传输层。例如 WebSocket 是运行在 HTTP 之上的承载方式，QUIC 则基于 UDP。配置界面把它们放在同一菜单，不表示它们位于同一网络层。
同样，节点使用的 TLS 与浏览器访问目标网站的 HTTPS 是两段不同的连接。浏览器通过代理访问 HTTPS 网站时，目标网站的 TLS 通常仍由浏览器和网站协商；把节点证书校验关闭，不会因为目标网站使用 HTTPS 就变成正确配置。
常见协议：应核对什么
下表用于核对配置，不是性能榜，也不表示每个内核都实现了所有组合。
| 协议 | 常见承载与保护 | 导入后优先核对 | 需要注意的兼容边界 |
|---|---|---|---|
| VMess | 可搭配 TCP、WebSocket 等，协议提供认证与加密，也可叠加 TLS | UUID、加密选项、传输与 TLS 字段、系统时间 | 旧式配置与现代实现可能不同，客户端和服务端时间偏差会影响认证 |
| VLESS | 常见配置为 TCP + TLS/REALITY，也有其他受支持组合 | UUID、encryption、flow、安全层及其参数 |
encryption: none 需有合适的外层保护；新版可选 VLESS Encryption 需双方明确支持 |
| Trojan | 标准协议先建立 TLS，再在其中认证并转发 | 密码、服务器名、证书验证、端口 | 原始 Trojan 与某些扩展的传输组合不能仅凭同名判断兼容 |
| Shadowsocks 2022 | TCP 和 UDP，使用预共享密钥与 AEAD | 精确的 2022-* 加密方法、密钥格式、时间 |
“支持 Shadowsocks”不一定支持 2022；密钥不是任意长度的普通密码 |
| Hysteria2 | QUIC，外层实际使用 UDP | 是否为第二版、认证、TLS、混淆参数 | Hysteria 1 与 2 不能当作同一协议；UDP 不通时可能完全连不上 |
| TUIC | 通常运行于 QUIC，以 TLS 保护多路流 | 协议版本及对应认证字段、TLS、UDP 转发选项 | mihomo 的 v4 使用 token，v5 使用 uuid 与 password，不可混填；双方版本必须一致 |
VLESS 的“轻量”不等于所有配置都不加密。Project X 当前出站文档已包含可选的 VLESS Encryption；大量现有订阅仍使用 encryption: none 配合 TLS 或 REALITY。不要为追求“新配置”擅自替换这个字段，应以服务方给出的完整配置和内核对应版本文档为准。
REALITY 是连接保护方案，通常与 VLESS 一起出现。公钥或相应验证参数、短 ID、服务器名与 flow 都可能影响握手。它也不代表节点的 IP、入口或线路天然更可靠。关于“专线”这类线路标签，另见 IEPL 的定义与验证边界。
TUIC 的版本差异也会改变认证结构。例如 mihomo 文档将 v4 的 token 与 v5 的 uuid、password 明确分开；不能把同一个令牌随意塞进密码框，也不能同时填写两套字段后期待客户端自行判断。先查原订阅版本，再用该版本要求的字段重新导入。TUIC 版本与认证字段
用五步核对兼容性
- 记录正在运行的内核。 到客户端的“关于”或日志启动信息中，找到 Xray、mihomo 或 sing-box 的实际版本。图形客户端版本与内核版本不一定相同。
- 选对应的订阅格式。 服务方提供 mihomo、sing-box 或通用分享链接时，使用客户端声明支持的格式。JSON 或 YAML 只是文件格式，并不能保证配置可互换。具体操作见 订阅导入指南。
- 对照完整节点详情。 核对协议版本、服务器与端口、认证、传输、安全层，再核对 SNI、WebSocket 路径、gRPC 服务名或 REALITY 参数。不要只确认密码正确。
- 先验证一个节点。 选择固定节点，暂时避免自动切换；保留证书校验，校准系统时间，按服务方原配置发起一次真实 HTTPS 请求。
- 看连接记录与日志。 确认请求进入内核、使用预期节点且收到目标响应。导入成功、TCP 端口可连、页面请求成功是三个不同结果。
不要为排查协议兼容性一次改多个参数。若服务方要求的功能未在当前内核实现，优先更新到项目正式支持的版本，或选已有支持的节点；手动删掉未知字段可能使配置“能加载”却无法连接。
最小验收可以是：固定该节点，让浏览器使用客户端的本地代理，打开 https://example.com/，在同一时刻的连接记录中确认目标、命中规则和选定节点，并检查是否存在认证或握手错误。若记录显示 DIRECT，应先修正本次测试的出站，再判断节点是否可用；页面能打开但没有预期节点记录，不能算该协议组合通过。
网页访问通过只验证了这次 TCP 业务。即使节点外层采用基于 UDP 的 QUIC，也不代表应用的 UDP 转发已通过；语音或游戏需要用原应用单独验证，且客户端和服务端都要支持相应转发。Hysteria2 的规范也将 TCP 请求与 UDP 转发分开定义。Hysteria2 协议规范
按失败阶段判断下一步
| 看到的现象 | 先验证 | 下一步 |
|---|---|---|
| 导入时出现不支持类型或未知字段 | 订阅格式、内核版本、协议版本 | 换对应格式或支持该功能的内核，不先改线路 |
| 连接超时，连 TLS 日志都没有 | 地址、端口、入口可达性；QUIC 节点的 UDP 路径 | 用同网络的其他节点、另一个网络作对照 |
| TLS、证书或 REALITY 验证失败 | 系统时间、服务器名、证书或验证参数 | 对照原订阅修正，保留验证功能 |
| 认证失败或连上立即断开 | UUID/密钥、版本、时间、服务状态 | 重新获取原配置，并向服务方提交脱敏日志 |
| 能连通但只有部分网站失败 | DNS、规则命中、目标站点状态 | 转到 DNS 与分流 排查 |
| 能使用但时快时慢 | 同一时段的丢包、吞吐与负载 | 按 线路测量流程 做重复对照 |
最后怎么选
先筛掉客户端不完整支持、当前网络无法承载的组合，再比较真实业务的连续表现。浏览网页要关注连接成功率和首字节时间，会议要关注波动与中断，下载要关注持续吞吐。协议名称不能代替这些测量。
若你只希望尽快使用，可以从 Clash/mihomo 基础 或 sing-box 入门 开始。若你已能连通却不清楚请求如何解析和分流，下一篇是 代理 DNS 与远程解析。
常见问题
- VLESS 本身不加密，所以所有 VLESS 节点都不安全吗？
- 不能这样判断。常见 encryption 为 none 的配置需要 TLS、REALITY 等外层保护；当前 Xray 也有可选的 VLESS Encryption。应检查实际配置和双方版本，而不是只看 VLESS 名称。目标网站的 HTTPS 保护还属于另一层。
- Hysteria2 和 TUIC 一定比 TCP 节点快吗？
- 不一定。它们通常使用基于 UDP 的 QUIC，表现受 UDP 可达性、限速、丢包、拥塞控制和服务器负载影响。应在同一网络、时段与目标下对照，不应用单次延迟或协议名称作排名。
- 节点能导入，是否代表客户端完整支持？
- 不代表。导入器可能识别了链接却忽略不支持的字段，也可能使用较旧的内核。需要确认实际内核、协议版本、传输、安全层和必需字段，再用真实请求验证。