مقارنة بروتوكولات مزوّدي الخطوط: SS وVMess وVLESS وTrojan وHysteria2 وTUIC

مزوّد الخطوط هو الجهة التي تبيع خطوط البروكسي، وما يعطيك إياه رابط اشتراك؛ والسيرفرات هي الأجهزة الموجودة داخل هذا الاشتراك؛ والبروتوكول هو الاتفاق على طريقة التشفير والتمويه بين السيرفر وجهازك؛ أما التطبيق فهو البرنامج الذي تستورد فيه الاشتراك على جهازك، مثل عائلة Clash (Clash Meta وClash Verge وFlClash وStash) وShadowrocket وv2rayN وv2rayNG وsing-box وHiddify.

قد تختلف بروتوكولات السيرفرات لدى المزوّد نفسه، ويستطيع التطبيق الواحد أن يحمل سيرفرات بعدة بروتوكولات في آن واحد. لذلك فسؤال «أي طريقة لتجاوز الحجب أفضل؟» هو في الحقيقة ثلاثة أسئلة: ما جودة خطوط هذا المزوّد، وهل يناسب بروتوكول هذا السيرفر شبكتك الحالية، وهل يدعمه تطبيقك. وهذا الدليل يتناول السؤال الأوسط فقط.

أما الفرق بين مزوّد الخطوط والـ VPN وتطبيقات التسريع فموضوع آخر، راجع الفرق بين مزوّد الخطوط وتطبيقات التسريع والـ VPN؛ ولبروتوكولات الـ VPN مثل OpenVPN وWireGuard وAnyConnect راجع مقارنة بروتوكولات VPN.

• Shadowsocks (SS): يعمل على TCP، وهو الأخف والأوفر للبطارية، وتدعمه كل التطبيقات تقريبًا؛ لا يتنكّر في هيئة شيء آخر، بل يعتمد على أن حركته «لا يُعرف ما هي».
• ShadowsocksR (SSR): فرع قديم من SS أضاف إضافات للتعمية؛ توقف المشروع الأصلي عن الصيانة منذ زمن، ومعظم التطبيقات الحديثة لم تعد تدعمه، والمزوّدون الذين ما زالوا يستخدمونه يتناقصون.
• VMess: البروتوكول الأول في V2Ray، فيه تشفير مدمج وتحقق من الوقت، فإن اختلفت ساعة الجهاز كثيرًا تعذّر الاتصال؛ ويُستخدم عادة داخل طبقة WebSocket + TLS.
• VLESS: نسخة مخففة من VMess، لا تشفّر بنفسها بل تترك ذلك لطبقة TLS الخارجية؛ ومع XTLS Vision أو Reality يشكّل اليوم التركيبة الأساسية على TCP.
• Trojan: يضع حركة البروكسي داخل اتصال TLS حقيقي، فيبدو من الخارج كزيارة موقع HTTPS؛ إعداده بسيط ويعمل على TCP 443.
• Hysteria2: مبني على QUIC ويعمل على UDP، ويتحكم بنفسه في سرعة الإرسال، فيكون أسرع بكثير من بروتوكولات TCP على الخطوط كثيرة فقدان الحزم.
• TUIC: مبني أيضًا على QUIC ويعمل على UDP، وفكرته قريبة من Hysteria2 لكنه يستخدم التحكم القياسي في الازدحام، فسرعته أهدأ؛ ودعم التطبيقات له أقل قليلًا من Hysteria2.
• NaiveProxy: يعيد استخدام كود الشبكة في Chrome عبر HTTP/2، فحركته الأقرب شبهًا بمتصفح حقيقي؛ سرعته متوسطة، والتطبيقات التي تدعمه قليلة.
• WireGuard: بروتوكول VPN بالمعنى الدقيق، وبعض المزوّدين يستخدمونه أو Cloudflare WARP كسيرفرات؛ يعمل على UDP وسريع، لكنه بلا أي تمويه وبصمته واضحة.

Shadowsocks أول بروتوكول لتجاوز الحجب انتشر على نطاق واسع، وهدفه واحد: تشفير الحركة إلى سلسلة بايتات بلا نمط واضح. ليس فيه تمويه للمصافحة، وعبؤه هو الأقل، وهو الأوفر للبطارية على الهاتف، ويعمل حتى على الأجهزة الضعيفة كالراوترات. وسيرفرات SS لدى المزوّدين اليوم تستخدم عادة تشفير AEAD (aes-128-gcm وchacha20-ietf-poly1305) أو طرق تشفير إصدار 2022 الأحدث؛ أما السيرفرات التي ما زالت على تشفير قديم مثل rc4-md5 وaes-256-cfb فلا يُنصح بها.

SSR فرع من SS أضاف نوعين من الإضافات: للبروتوكول وللتعمية. توقف مشروعه الأصلي عن الصيانة قبل سنوات، والأنوية الحديثة مثل Clash Meta وsing-box تدعمه دعمًا محدودًا أو أزالته. وإن كان مزوّد يروّج لـ SSR أساسًا فهذا يعني أن أنظمته لم تُحدَّث منذ زمن طويل.

ونقطة ضعف SS هي أيضًا «غياب التمويه»: فهو لا يشبه أي حركة عادية، وعلى الشبكات ذات الفحص الصارم قد تكون الحركة المجهولة النوع تمامًا هي نفسها ما يلفت الانتباه. لهذا يضع كثير من المزوّدين سيرفرات SS على خطوط إعادة توجيه أو خطوط مخصصة، حتى لا يكون الجزء العابر للحدود مكشوفًا مباشرة؛ وهذا فضل الخط لا البروتوكول.

V2Ray (وفرعه اللاحق Xray) منصة بروكسي، وVMess وVLESS بروتوكولاها الخاصان. وفكرتها الطبقات: في الداخل بروتوكول البروكسي، وفي الخارج يمكن وضع طرق نقل مختلفة مثل TCP المباشر أو WebSocket أو gRPC أو HTTP/2، ثم TLS فوقها. لذلك ترى كثيرًا في أسماء السيرفرات سلاسل طويلة مثل «VMess + WS + TLS» أو «VLESS + gRPC».

VMess فيه تشفير مدمج ويستخدم وقت الجهاز للتحقق: إن ابتعد وقت الهاتف أو الحاسوب كثيرًا عن الوقت القياسي رفض السيرفر الاتصال مباشرة، وهذا من أكثر أسباب «انتهاء المهلة على كل السيرفرات» شيوعًا مع VMess. أما VLESS فقد أزال هذا التشفير والتحقق من الوقت، وترك الأمان كله لطبقة TLS الخارجية، فصار أخف؛ لكن تشغيل VLESS دون TLS غير آمن.

XTLS Vision وReality تقنيتان أضافتهما Xray إلى VLESS. Vision تعالج البصمة والهدر الناتجين عن «TLS داخل TLS»؛ وReality تُغني السيرفر عن نطاق وشهادة خاصين به، إذ يستعير أثناء المصافحة بصمة شهادة موقع كبير حقيقي، فيبدو من الخارج كأنك تزور ذلك الموقع. وتركيبة «VLESS + Reality + Vision» هي اليوم عماد السيرفرات المباشرة لدى كثير من المزوّدين.

والسيرفرات التي تعمل عبر WebSocket يمكن وضعها خلف CDN، فلا ينكشف عنوانها الحقيقي، وإن حُجب مدخل يُستبدل بآخر؛ والثمن مرحلة إضافية في الطريق، فيتأثر زمن الاستجابة والسرعة.

طريقة Trojan مباشرة: ينشئ مع السيرفر اتصال TLS قياسيًا مطابقًا تمامًا لفتح موقع HTTPS، ويضع بيانات البروكسي داخل هذا الاتصال. ومن يفحص هذا المنفذ دون أن يعرف كلمة المرور يرى صفحة ويب عادية.

خيارات إعداده قليلة، فيصعب الخطأ فيها، ودعم التطبيقات له واسع. والفرق بينه وبين «VLESS + TLS» صغير، فكلاهما تمويه TLS على TCP 443؛ لكن Trojan يحتاج إلى أن يكون للسيرفر نطاق وشهادة خاصان به.

ولبروتوكولات TCP نقطة ضعف مشتركة: ما إن يفقد الخط حزمًا حتى يخفّض TCP سرعته من تلقاء نفسه، وحين يكثر فقدان الحزم على الخطوط العابرة للحدود في ذروة المساء يتقطع الفيديو بوضوح. وعائلة QUIC التالية جاءت لعلاج هذا بالذات.

Hysteria2 وTUIC كلاهما مبني فوق QUIC ويعمل على UDP. وQUIC هو بروتوكول النقل الذي يستخدمه HTTP/3، لذا تبدو حركة هذين البروتوكولين من الخارج كأنها تصفح موقع يعمل بـ HTTP/3.

أبرز ما يميّز Hysteria2 أنه يتحكم بنفسه في سرعة الإرسال: فلا يخفّض السرعة بشدة عند فقدان الحزم كما يفعل TCP، بل يواصل الإرسال وفق عرض النطاق الذي تحدده. وعلى الخطوط العابرة للحدود كثيرة الفقد يكون غالبًا أسرع بعدة أضعاف من بروتوكولات TCP؛ أما على الخطوط النظيفة أصلًا فميزته لا تكاد تظهر.

وفكرة TUIC قريبة، لكنه يستخدم خوارزمية تحكم قياسية شائعة في الازدحام، فيكون «ألطف» مع بقية مستخدمي الخط، ومنحنى سرعته أكثر استقرارًا، ومقاومته لفقدان الحزم أقل اندفاعًا من Hysteria2.

ونقطة ضعف هذه العائلة هي UDP: فبعض شبكات الشركات والجامعات والفنادق تخنق UDP أو تحجبه كليًا، وحينها يتعذّر اتصال Hysteria2 وTUIC أو يصبحان بطيئين جدًا، فتعود إلى Trojan أو VLESS على TCP. كما أن النقل السريع لفترات طويلة على الهاتف يستهلك بطارية أكثر قليلًا من SS.

• NaiveProxy: يستخدم كود الشبكة في متصفح Chrome مباشرة لإنشاء اتصالات HTTP/2، فبصمة مصافحته مطابقة لمتصفح حقيقي. التطبيقات التي تدعمه قليلة (عائلة sing-box وبعض تطبيقات سطح المكتب)، ونادرًا ما تجده لدى المزوّدين.
• WireGuard / WARP: WireGuard بروتوكول VPN، وحزم مصافحته لها بصمة ثابتة بلا تمويه. وبعض المزوّدين يستخدمون Cloudflare WARP كمخرج لفتح منصات البث أو ChatGPT؛ وهذه مسألة «أي عنوان يخرج به المخرج»، وهي أمر مختلف تمامًا عن البروتوكول المستخدم بينك وبين السيرفر.
• Snell: بروتوكول خفيف من صنع مطوّر Surge، يُستخدم أساسًا في تطبيقات مثل Surge وStash، ولا تكاد التطبيقات الأخرى تدعمه.
• ShadowTLS: يلفّ SS بمصافحة TLS حقيقية، فتبدو حركة SS كأنها زيارة لموقع ما؛ ويجب أن يدعمه التطبيق والسيرفر كلاهما.
• بروكسي HTTP / HTTPS / SOCKS5: أبسط أشكال البروكسي؛ وHTTP وSOCKS5 غير المشفّرين لا يصلحان إلا داخل الجهاز نفسه أو الشبكة المحلية؛ أما عبر الحدود فاستخدم بروكسي HTTPS مع TLS.

• انظر إلى بداية رابط المشاركة: ss:// هو Shadowsocks، وssr:// هو SSR، وvmess:// هو VMess، وvless:// هو VLESS، وtrojan:// هو Trojan، وhysteria2:// أو hy2:// هو Hysteria2، وtuic:// هو TUIC.
• انظر إلى قائمة السيرفرات في التطبيق: عائلة Clash وShadowrocket تكتب النوع بجانب اسم السيرفر (Shadowsocks وVmess وVless وTrojan وHysteria2 وTUIC).
• انظر إلى محتوى اشتراك Clash: لكل سيرفر سطر type يحمل اسم البروتوكول؛ وما بجانبه من network (ws وgrpc) وtls وreality-opts هو طريقة النقل الخارجية.
• الاشتراكات التي يعطيها المزوّد تأتي عادة بعدة صيغ: اشتراك Clash، واشتراك sing-box، واشتراك عام (رابط مشاركة في كل سطر، وغالبًا بترميز Base64). المحتوى هو السيرفرات نفسها بصيغ مختلفة، فاختر ما يناسب تطبيقك؛ ولا تعطِ رابط الاشتراك الذي يحمل بيانات دخولك لمواقع «تحويل الاشتراكات» الخارجية.

• التطبيقات المبنية على نواة Clash Meta (mihomo)، مثل Clash Verge وFlClash وMihomo Party وClash Nyanpasu وClashX Meta وOpenClash: تدعم SS وVMess وVLESS (مع Reality) وTrojan وHysteria2 وTUIC وWireGuard.
• Clash الأصلي وClash for Windows: توقفت نواتهما عن التحديث منذ زمن، ولا تعرفان إلا البروتوكولات القديمة SS وVMess وTrojan، دون VLESS أو Hysteria2 أو TUIC. إن كنت ما زلت تستخدمهما فانتقل إلى أحد تطبيقات نواة mihomo المذكورة أعلاه.
• التطبيقات المبنية على نواة sing-box، مثل تطبيق sing-box الرسمي وHiddify وKaring وNekoBox: الأشمل دعمًا للبروتوكولات الجديدة، بما فيها Hysteria2 وTUIC وNaiveProxy وShadowTLS.
• Shadowrocket (iOS، مدفوع): يدعم البروتوكولات الرئيسية كلها تقريبًا، ويستورد روابط المشاركة واشتراكات Clash.
• v2rayN (ويندوز) وv2rayNG (أندرويد): يعتمدان أساسًا على نواة Xray، وقوتهما في VMess وVLESS وTrojan وSS؛ والإصدارات الجديدة تدعم أيضًا Hysteria2 وغيره.
• Stash (iOS / macOS): يقبل اشتراكات بصيغة Clash، ويدعم Hysteria2 وTUIC وSnell وغيرها.
• Surge وQuantumult X وLoon: لكل منها صيغة إعداد خاصة، والبروتوكولات المدعومة بحسب ملاحظات تحديث كل منها؛ وعادة يعطيها المزوّد اشتراكات منفصلة.

• إنترنت منزلي لا يقيّد UDP، والفيديو يتقطع في ذروة المساء: Hysteria2 أولًا، ثم TUIC.
• شبكة شركة أو جامعة أو فندق، أو UDP مقيّد، أو Hysteria2 لا يتصل: انتقل إلى Trojan أو VLESS (Reality / TLS)، أي ما يعمل على TCP 443.
• بيانات الجوال، أو تريد توفير البطارية، أو مجرد تصفح ودردشة: الخفيفة مثل SS وVLESS تكفي.
• «انتهاء المهلة على كل السيرفرات»: تحقق أولًا من صحة وقت الجهاز (VMess حساس للوقت)، ثم حدّث الاشتراك مرة، ثم جرّب سيرفرات ببروتوكول آخر.
• البطء ليس بالضرورة ذنب البروتوكول: فمع البروتوكول نفسه، الفرق بين الخط المباشر وخط إعادة التوجيه والخط المخصص أكبر بكثير من الفرق بين البروتوكولات. غيّر السيرفر والمنطقة أولًا، ثم فكّر في تغيير البروتوكول.
• لا تريد الخوض في كل هذا: استخدم خدمة VPN متكاملة تضبط لك التطبيق والخطوط.

LeoTun ليس مزوّد خطوط، بل خدمة VPN فيها ست طرق اتصال بحساب واحد؛ لكن طريقة Hiddify منها تعطيك رابط اشتراك مثل اشتراكات مزوّدي الخطوط تمامًا، وبروتوكوله Hysteria2. بعد تسجيل الدخول اضغط علم المنطقة في صفحة Hiddify، فتظهر نافذة فيها ثلاثة اشتراكات: اشتراك sing-box (لـ Hiddify وsing-box وKaring)، واشتراك Clash (لـ Clash Meta وClash Verge وFlClash وStash وغيرها)، ورابط مشاركة hysteria2 (لـ NekoBox وShadowrocket وv2rayN وغيرها)؛ اضغط الزر المناسب لتطبيقك، ولا حاجة إلى تحويل الاشتراك. خطوات الاستيراد في كيف تستورد رابط اشتراك الخطوط.

وحين تخنق شبكتك UDP تمامًا ويتعذّر اتصال Hysteria2، يمكنك بالحساب نفسه الانتقال إلى Cisco (AnyConnect) الذي يعمل عبر TLS، أو إلى بروكسي الويب الذي لا يتولى إلا المتصفح؛ أما OpenVPN فهو طريقة OpenVPN، و«خاصة» مبنية على WireGuard. والبروتوكول المقابل لكل طريقة في مقارنة بروتوكولات VPN، وكيف تختار في أي طريقة اتصال تناسب أي حالة.