Comparativa de protocolos proxy: SS, VMess, VLESS, Trojan, Hysteria2 y TUIC

El proveedor de líneas proxy es el negocio que vende las líneas y te entrega un enlace de suscripción; los nodos son los servidores que contiene esa suscripción; el protocolo es el acuerdo sobre cómo se cifra y se camufla el tráfico entre el nodo y tu dispositivo; y el cliente es la app de tu dispositivo donde importas la suscripción, como la familia Clash (Clash Meta, Clash Verge, FlClash, Stash), Shadowrocket, v2rayN, v2rayNG, sing-box o Hiddify.

Los nodos de un mismo proveedor pueden usar protocolos distintos, y un mismo cliente puede cargar nodos de varios protocolos a la vez. Así que «qué forma de saltarse la censura es mejor» son en realidad tres preguntas: qué calidad tienen las líneas de ese proveedor, si el protocolo de ese nodo encaja con tu red actual y si tu cliente lo admite. Esta guía trata solo la del medio.

La diferencia entre proveedores de líneas proxy, aceleradores y VPN es otro tema: consulta Proveedores de líneas proxy, aceleradores y VPN: diferencias. Los protocolos VPN como OpenVPN, WireGuard o AnyConnect están en Comparativa de protocolos VPN.

• Shadowsocks (SS): va por TCP, es el más ligero y el que menos batería gasta, y casi todos los clientes lo admiten. Su tráfico no se hace pasar por nada; su baza es que «no se nota qué es».
• ShadowsocksR (SSR): una rama antigua de SS que añadió complementos de ofuscación. El proyecto original dejó de mantenerse hace tiempo, la mayoría de clientes nuevos ya no lo admiten y cada vez menos proveedores lo usan.
• VMess: el protocolo original de V2Ray, con cifrado propio y comprobación de la hora; si la hora del dispositivo se desvía demasiado, no conecta. Suele usarse envuelto en WebSocket + TLS.
• VLESS: la versión simplificada de VMess; no cifra por sí mismo y deja esa tarea al TLS exterior. Con XTLS Vision o Reality es hoy la combinación más extendida sobre TCP.
• Trojan: mete el tráfico proxy dentro de una conexión TLS de verdad, así que desde fuera parece que visitas una web HTTPS. Se configura fácilmente y usa TCP 443.
• Hysteria2: basado en QUIC y sobre UDP; controla él mismo la velocidad de envío y, en líneas con mucha pérdida de paquetes, es mucho más rápido que los protocolos sobre TCP.
• TUIC: también basado en QUIC y sobre UDP, con una idea parecida a la de Hysteria2, pero con un control de congestión estándar y una velocidad más comedida; lo admiten algo menos clientes que Hysteria2.
• NaiveProxy: reutiliza directamente la pila de red de Chrome sobre HTTP/2, así que su tráfico es el que más se parece al de un navegador real; velocidad normalita y pocos clientes lo admiten.
• WireGuard: en sentido estricto es un protocolo VPN; algunos proveedores lo usan, o usan Cloudflare WARP, como nodo. Va por UDP y es rápido, pero no tiene ningún camuflaje y su huella es evidente.

Shadowsocks fue el primer protocolo para saltarse la censura que se popularizó, y tiene un único objetivo de diseño: cifrar el tráfico para que parezca una ristra de bytes sin patrón. No disfraza el saludo inicial, tiene la menor sobrecarga, es el que menos batería gasta en el móvil y funciona incluso en equipos poco potentes como los routers. Hoy los nodos SS de los proveedores suelen usar cifrado AEAD (aes-128-gcm, chacha20-ietf-poly1305) o los métodos más nuevos de la versión 2022; no se recomiendan los nodos que siguen con cifrados antiguos como rc4-md5 o aes-256-cfb.

SSR es una rama de SS que añadió dos tipos de complementos: de protocolo y de ofuscación. Su proyecto original dejó de mantenerse hace años, y los núcleos nuevos como Clash Meta o sing-box lo admiten de forma limitada o ya lo han eliminado. Si un proveedor sigue apostando por SSR, es señal de que su sistema lleva mucho sin actualizarse.

El punto débil de SS es justamente que «no se camufla»: no se parece a ningún tráfico normal, y en redes con inspección estricta un tráfico del que no se sabe qué es puede llamar la atención por sí mismo. Por eso muchos proveedores ponen los nodos SS detrás de líneas de reenvío o líneas dedicadas, para que el tramo internacional no quede expuesto directamente; ese mérito es de la línea, no del protocolo.

V2Ray (y su rama posterior, Xray) es una plataforma proxy, y VMess y VLESS son sus dos protocolos propios. Funciona por capas: dentro va el protocolo proxy y por fuera se pueden poner distintos transportes, como TCP directo, WebSocket, gRPC o HTTP/2, más TLS. Por eso en los nombres de los nodos ves a menudo cadenas como «VMess + WS + TLS» o «VLESS + gRPC».

VMess trae su propio cifrado y comprueba la hora del dispositivo: si la hora del móvil o del ordenador se aleja demasiado de la hora estándar, el nodo directamente no conecta, y esta es una de las causas más comunes de que todos los nodos VMess den «tiempo de espera agotado». VLESS quita ese cifrado y esa comprobación y deja toda la seguridad en manos del TLS exterior; por eso es más ligero, pero usar VLESS sin TLS no es seguro.

XTLS Vision y Reality son dos tecnologías que Xray añade a VLESS. Vision resuelve la huella y el desperdicio de meter «TLS dentro de TLS»; Reality permite que el nodo no necesite dominio ni certificado propios: durante el saludo toma prestada la huella del certificado de una web grande y real, y desde fuera parece que visitas esa web. «VLESS + Reality + Vision» es hoy la combinación principal de muchos nodos directos de los proveedores.

Los nodos con WebSocket pueden ponerse detrás de una CDN, de modo que su dirección real no queda expuesta y, si bloquean una entrada, basta con cambiar a otra; a cambio, el tráfico da un rodeo más y la latencia y la velocidad salen perdiendo.

Trojan va al grano: establece con el nodo una conexión TLS estándar, idéntica a la de abrir una web HTTPS, y mete los datos del proxy dentro. Quien sondee ese puerto sin conocer la contraseña solo ve una página web normal.

Tiene muy pocas opciones de configuración, es difícil equivocarse y lo admiten muchos clientes. Frente a «VLESS + TLS» la diferencia es pequeña: los dos se camuflan con TLS sobre TCP 443. Trojan necesita que el nodo tenga su propio dominio y certificado.

Los protocolos sobre TCP comparten una debilidad: en cuanto la línea pierde paquetes, TCP baja la velocidad por sí solo, y en las horas punta de la noche, cuando las líneas internacionales pierden muchos paquetes, el vídeo se corta claramente. La familia QUIC que viene a continuación nace precisamente para eso.

Hysteria2 y TUIC se apoyan en QUIC y van por UDP. QUIC es el transporte que usa HTTP/3, así que desde fuera el tráfico de estos dos protocolos parece el de una web HTTP/3.

Lo más característico de Hysteria2 es que controla él mismo la velocidad de envío: cuando hay pérdida de paquetes no frena en seco como TCP, sino que sigue enviando según el ancho de banda que hayas configurado. En líneas internacionales con mucha pérdida suele ser varias veces más rápido que los protocolos sobre TCP; en líneas que ya van limpias, la ventaja apenas se nota.

TUIC sigue una idea parecida, pero usa un algoritmo de control de congestión estándar y habitual, más «educado» con los demás usuarios de la línea; su velocidad es más estable, aunque aguanta la pérdida de paquetes de forma menos agresiva que Hysteria2.

El punto débil de esta familia es el UDP: algunas redes de empresas, universidades y hoteles limitan la velocidad del UDP o lo bloquean por completo, y entonces Hysteria2 y TUIC no conectan o van muy lentos; toca volver a Trojan o VLESS, que van por TCP. En el móvil, las transferencias largas a alta velocidad también gastan algo más de batería que SS.

• NaiveProxy: usa directamente el código de red del navegador Chrome para abrir conexiones HTTP/2, con un saludo idéntico al de un navegador real. Lo admiten pocos clientes (la familia sing-box y algunos clientes de escritorio) y es raro verlo en los proveedores.
• WireGuard / WARP: WireGuard es un protocolo VPN; sus paquetes de saludo tienen una huella fija y no llevan camuflaje. Algunos proveedores usan Cloudflare WARP como salida para desbloquear streaming o ChatGPT; eso tiene que ver con «qué dirección se usa a la salida», y es algo distinto del protocolo que usas entre tu dispositivo y el nodo.
• Snell: un protocolo ligero creado por el autor de Surge; se usa sobre todo en clientes como Surge o Stash, y los demás clientes casi no lo admiten.
• ShadowTLS: envuelve SS en un saludo TLS real para que el tráfico SS parezca una visita a una web; tienen que admitirlo tanto el cliente como el nodo.
• Proxies HTTP / HTTPS / SOCKS5: la forma más básica de proxy. HTTP y SOCKS5 sin cifrar solo valen dentro de tu propio equipo o de una red local; para cruzar fronteras hay que usar un proxy HTTPS con TLS.

• Mira el principio del enlace compartido: ss:// es Shadowsocks, ssr:// es SSR, vmess:// es VMess, vless:// es VLESS, trojan:// es Trojan, hysteria2:// o hy2:// es Hysteria2 y tuic:// es TUIC.
• Mira la lista de nodos del cliente: la familia Clash y Shadowrocket indican el tipo junto al nombre del nodo (Shadowsocks, Vmess, Vless, Trojan, Hysteria2, TUIC).
• Mira el contenido de la suscripción de Clash: cada nodo tiene una línea type con el nombre del protocolo; a su lado, network (ws, grpc), tls y reality-opts indican el transporte exterior.
• Los proveedores suelen ofrecer varias suscripciones: de Clash, de sing-box y una genérica (un enlace compartido por línea, a menudo codificado en Base64). Contienen los mismos nodos en formatos distintos; elige la que corresponda a tu cliente. No entregues un enlace de suscripción con tus credenciales a webs de terceros de «conversión de suscripciones».

• Clientes con núcleo Clash Meta (mihomo), como Clash Verge, FlClash, Mihomo Party, Clash Nyanpasu, ClashX Meta u OpenClash: admiten SS, VMess, VLESS (con Reality), Trojan, Hysteria2, TUIC y WireGuard.
• El Clash original y Clash for Windows: su núcleo dejó de actualizarse hace tiempo y solo reconoce protocolos antiguos como SS, VMess y Trojan, sin VLESS, Hysteria2 ni TUIC. Si todavía lo usas, cámbiate a uno de los clientes con núcleo mihomo de arriba.
• Clientes con núcleo sing-box, como la app oficial de sing-box, Hiddify, Karing o NekoBox: son los que admiten más protocolos nuevos, incluidos Hysteria2, TUIC, NaiveProxy y ShadowTLS.
• Shadowrocket (iOS, de pago): admite prácticamente todos los protocolos principales e importa tanto enlaces compartidos como suscripciones de Clash.
• v2rayN (Windows) y v2rayNG (Android): basados sobre todo en el núcleo Xray; su fuerte son VMess, VLESS, Trojan y SS, y las versiones nuevas también incluyen Hysteria2, entre otros.
• Stash (iOS / macOS): usa suscripciones en formato Clash y admite Hysteria2, TUIC, Snell y otros.
• Surge, Quantumult X y Loon: cada uno tiene su propio formato de configuración; para saber qué protocolos admiten, consulta sus notas de versión. Los proveedores suelen dar una suscripción aparte para ellos.

• Banda ancha en casa, sin límites de UDP y con vídeo a trompicones en las horas punta de la noche: primero Hysteria2 y, si no, TUIC.
• Red de empresa, universidad u hotel con el UDP limitado, o Hysteria2 no conecta: cambia a Trojan o VLESS (Reality / TLS), que van por TCP 443.
• Datos móviles, ahorro de batería o solo navegar y chatear: bastan los ligeros como SS o VLESS.
• Todos los nodos dan «tiempo de espera agotado»: comprueba primero que la hora del dispositivo sea correcta (VMess es sensible a la hora), actualiza la suscripción una vez y luego prueba nodos de otro protocolo.
• La lentitud no siempre es culpa del protocolo: con el mismo protocolo, la diferencia entre una línea directa, una de reenvío y una dedicada es mucho mayor que la que hay entre protocolos. Cambia antes de nodo o de región, y solo después de protocolo.
• Si no quieres complicarte: usa una VPN en la que el proveedor se ocupa de todo y te deja configurados el cliente y las líneas.

LeoTun no es un proveedor de líneas proxy, sino un servicio VPN con seis métodos de conexión en una misma cuenta; aun así, su método Hiddify te da justo el tipo de enlace de suscripción de los proveedores de líneas, con el protocolo Hysteria2. Tras iniciar sesión, en la página de Hiddify pulsa la bandera de una región y verás tres suscripciones en la ventana emergente: suscripción sing-box (Hiddify, sing-box, Karing), suscripción Clash (Clash Meta, Clash Verge, FlClash, Stash, etc.) y enlace compartido hysteria2 (NekoBox, Shadowrocket, v2rayN, etc.). Pulsa el botón que corresponda a tu cliente; no hace falta convertir la suscripción. Los pasos de importación están en Cómo importar un enlace de suscripción proxy.

Si tu red bloquea el UDP y Hysteria2 no conecta, con la misma cuenta puedes pasarte a Cisco (AnyConnect), que va por TLS, o al Proxy Web, que solo se encarga del navegador; OpenVPN usa el protocolo OpenVPN y Privada se basa en WireGuard. El protocolo de cada método está en Comparativa de protocolos VPN, y cómo elegir, en Qué método de conexión encaja en cada caso.