مقایسهٔ پروتکل‌ها: SS، VMess، VLESS، Trojan، Hysteria2، TUIC

ارائه‌دهندهٔ خط فروشندهٔ مسیرهای پروکسی است و یک لینک اشتراک به شما می‌دهد؛ سرورها (یا همان کانفیگ‌ها) دستگاه‌های داخل این اشتراک‌اند؛ پروتکل قراردادی است که می‌گوید ارتباط بین سرور و دستگاه شما چطور رمزگذاری و استتار شود؛ و برنامه (کلاینت) نرم‌افزاری است که لینک اشتراک را در دستگاهتان وارد می‌کنید، مثل خانوادهٔ Clash (Clash Meta، Clash Verge، FlClash، Stash)، Shadowrocket، v2rayN، v2rayNG، sing-box و Hiddify.

سرورهای یک ارائه‌دهنده می‌توانند پروتکل‌های متفاوتی داشته باشند و یک برنامه هم می‌تواند هم‌زمان سرورهایی با چند پروتکل را نگه دارد. پس سؤال «کدام فیلترشکن بهتر است» در واقع سه سؤال است: کیفیت خطوط این ارائه‌دهنده چطور است، آیا پروتکل این سرور به شبکهٔ فعلی شما می‌خورد، و آیا برنامه‌تان از آن پشتیبانی می‌کند. این راهنما فقط به سؤال وسط می‌پردازد.

تفاوت ارائه‌دهندهٔ خط با VPN و برنامه‌های تقویت‌کنندهٔ اتصال موضوع دیگری است؛ «تفاوت ارائه‌دهندهٔ خط، تقویت‌کننده و VPN» را ببینید. پروتکل‌های VPN مثل OpenVPN، WireGuard و AnyConnect در «مقایسهٔ پروتکل‌های VPN» آمده‌اند.

• Shadowsocks (SS): روی TCP، سبک‌ترین و کم‌مصرف‌ترین، و تقریباً همهٔ برنامه‌ها پشتیبانی‌اش می‌کنند؛ ترافیکش را شبیه چیز دیگری نمی‌کند و تکیه‌اش بر این است که «معلوم نباشد چیست».
• ShadowsocksR (SSR): شاخهٔ قدیمی SS با افزونه‌های مبهم‌سازی؛ پروژهٔ اصلی خیلی وقت است رها شده، بیشتر برنامه‌های جدید دیگر پشتیبانی‌اش نمی‌کنند و ارائه‌دهنده‌های کمتری هنوز از آن استفاده می‌کنند.
• VMess: پروتکل اولیهٔ V2Ray با رمزگذاری و بررسی زمان داخلی؛ اگر ساعت دستگاه خیلی جلو یا عقب باشد وصل نمی‌شود. معمولاً همراه WebSocket + TLS به کار می‌رود.
• VLESS: نسخهٔ سبک‌شدهٔ VMess که خودش رمزگذاری نمی‌کند و این کار را به TLS بیرونی می‌سپارد؛ همراه XTLS Vision یا Reality، رایج‌ترین ترکیب فعلی روی TCP است.
• Trojan: ترافیک پروکسی را داخل یک اتصال TLS واقعی می‌گذارد و از بیرون درست شبیه بازکردن یک سایت HTTPS است؛ تنظیمش ساده است و روی TCP 443 کار می‌کند.
• Hysteria2: بر پایهٔ QUIC و روی UDP، سرعت ارسال را خودش کنترل می‌کند و روی خطوطی که بسته زیاد گم می‌کنند خیلی سریع‌تر از پروتکل‌های TCP است.
• TUIC: آن هم بر پایهٔ QUIC و روی UDP، ایده‌اش نزدیک به Hysteria2 است اما از کنترل ازدحام استاندارد استفاده می‌کند و سرعتش آرام‌تر است؛ برنامه‌های کمتری نسبت به Hysteria2 از آن پشتیبانی می‌کنند.
• NaiveProxy: مستقیماً از پشتهٔ شبکهٔ Chrome استفاده می‌کند و روی HTTP/2 کار می‌کند؛ رفتار ترافیکش شبیه‌ترین چیز به یک مرورگر واقعی است. سرعتش معمولی است و برنامه‌های کمی آن را دارند.
• WireGuard: در اصل پروتکل VPN است و بعضی ارائه‌دهنده‌ها آن را یا Cloudflare WARP را به‌عنوان سرور می‌دهند؛ روی UDP و سریع است، اما هیچ استتاری ندارد و به‌راحتی شناخته می‌شود.

Shadowsocks اولین پروتکل دور زدن فیلترینگ بود که فراگیر شد و فقط یک هدف داشت: ترافیک را به رشته‌ای از بایت‌های بی‌الگو تبدیل کند. دست‌دادن استتارشده ندارد، سربارش کمترین است، روی گوشی کمترین باتری را مصرف می‌کند و حتی روی دستگاه‌های ضعیفی مثل روتر هم اجرا می‌شود. سرورهای SS امروزی معمولاً از رمزگذاری AEAD (aes-128-gcm، chacha20-ietf-poly1305) یا روش‌های جدیدتر نسخهٔ ۲۰۲۲ استفاده می‌کنند؛ سرورهایی که هنوز رمزگذاری قدیمی مثل rc4-md5 یا aes-256-cfb دارند توصیه نمی‌شوند.

SSR شاخه‌ای از SS است که دو دسته افزونهٔ «پروتکل» و «مبهم‌سازی» به آن اضافه کرده. پروژهٔ اصلی‌اش سال‌ها پیش متوقف شد و هسته‌های جدیدی مثل Clash Meta و sing-box پشتیبانی محدودی از آن دارند یا کلاً حذفش کرده‌اند. اگر ارائه‌دهنده‌ای بیشتر SSR می‌دهد، یعنی سامانه‌اش مدت‌هاست به‌روز نشده.

نقطه‌ضعف SS هم همین «بی‌استتار بودن» است: شبیه هیچ ترافیک عادی‌ای نیست و در شبکه‌هایی که سخت‌گیرانه بررسی می‌شوند، ترافیکی که نوعش اصلاً معلوم نیست خودش ممکن است بیشتر زیر نظر قرار بگیرد. برای همین بسیاری از ارائه‌دهنده‌ها سرورهای SS را روی خطوط واسط یا خطوط اختصاصی می‌گذارند تا بخش بین‌المللی مسیر مستقیم دیده نشود؛ این هنر خط است، نه پروتکل.

V2Ray (و شاخهٔ بعدی‌اش Xray) یک بستر پروکسی است و VMess و VLESS دو پروتکل خود آن‌اند. ایده‌اش لایه‌لایه است: لایهٔ داخلی پروتکل پروکسی است و لایهٔ بیرونی می‌تواند روش‌های انتقال مختلفی باشد، مثل TCP خام، WebSocket، gRPC یا HTTP/2، به‌علاوهٔ TLS. برای همین در نام کانفیگ‌ها زنجیره‌هایی مثل «VMess + WS + TLS» یا «VLESS + gRPC» زیاد می‌بینید.

VMess رمزگذاری خودش را دارد و زمان دستگاه را هم بررسی می‌کند: اگر ساعت گوشی یا کامپیوتر با زمان استاندارد اختلاف زیادی داشته باشد، سرور اصلاً وصل نمی‌شود؛ این یکی از رایج‌ترین دلیل‌های «تایم‌اوت شدن همهٔ کانفیگ‌ها»ی VMess است. VLESS این رمزگذاری و بررسی زمان را حذف کرده و امنیت را کاملاً به TLS بیرونی سپرده، پس سبک‌تر است؛ اما VLESS بدون TLS ناامن است.

XTLS Vision و Reality دو فناوری‌اند که Xray برای VLESS ساخته. Vision مشکل ردپا و هدررفت ناشی از «TLS داخل TLS» را حل می‌کند؛ Reality کاری می‌کند که سرور به دامنه و گواهی اختصاصی نیاز نداشته باشد و هنگام دست‌دادن، مشخصات گواهی یک سایت بزرگ واقعی را قرض بگیرد، طوری که از بیرون انگار به همان سایت وصل شده‌اید. ترکیب «VLESS + Reality + Vision» امروز ستون اصلی سرورهای مستقیم بسیاری از ارائه‌دهنده‌هاست.

سرورهایی که روی WebSocket هستند می‌توانند پشت CDN قرار بگیرند تا آدرس واقعی سرور دیده نشود و اگر یک ورودی مسدود شد، ورودی دیگری جایش بیاید؛ هزینه‌اش یک مسیر اضافه است که تأخیر و سرعت را کمی پایین می‌آورد.

روش Trojan سرراست است: یک اتصال TLS استاندارد با سرور می‌سازد، دقیقاً مثل بازکردن یک سایت HTTPS، و داده‌های پروکسی را داخل همین اتصال می‌گذارد. کسی که رمز را نداند و این پورت را بررسی کند، فقط یک صفحهٔ وب معمولی می‌بیند.

تنظیمات کمی دارد، کمتر پیش می‌آید اشتباه تنظیم شود و برنامه‌های زیادی پشتیبانی‌اش می‌کنند. با «VLESS + TLS» تفاوت چندانی ندارد؛ هر دو با استتار TLS روی TCP 443 کار می‌کنند، با این فرق که Trojan به دامنه و گواهی اختصاصی برای سرور نیاز دارد.

همهٔ پروتکل‌های TCP یک نقطه‌ضعف مشترک دارند: به محض گم شدن بسته‌ها، TCP خودش سرعت را پایین می‌آورد؛ شب‌ها که خطوط بین‌المللی بسته زیادی گم می‌کنند، ویدیو به‌وضوح گیر می‌کند. خانوادهٔ QUIC که در ادامه می‌آید دقیقاً برای همین مشکل ساخته شده.

Hysteria2 و TUIC هر دو روی QUIC ساخته شده‌اند و از UDP استفاده می‌کنند. QUIC همان پروتکل انتقالی است که HTTP/3 از آن استفاده می‌کند، پس ترافیک این دو از بیرون شبیه بازدید از یک سایت HTTP/3 است.

مهم‌ترین ویژگی Hysteria2 این است که سرعت ارسال را خودش کنترل می‌کند: وقتی بسته گم می‌شود، مثل TCP سرعت را به‌شدت کم نمی‌کند و با پهنای باندی که تعیین کرده‌اید به ارسال ادامه می‌دهد. روی خطوط بین‌المللی پرافت، اغلب چند برابر سریع‌تر از پروتکل‌های TCP است؛ روی خطوطی که از اول تمیزند، برتری‌اش چندان محسوس نیست.

ایدهٔ TUIC نزدیک است، اما از الگوریتم‌های رایج و استاندارد کنترل ازدحام استفاده می‌کند؛ با بقیهٔ کاربران خط «مؤدب‌تر» است، منحنی سرعتش صاف‌تر است و در برابر گم شدن بسته به تهاجمی بودن Hysteria2 نیست.

نقطه‌ضعف این خانواده UDP است: شبکهٔ بعضی شرکت‌ها، دانشگاه‌ها و هتل‌ها سرعت UDP را محدود یا آن را کاملاً مسدود می‌کند؛ در این حالت Hysteria2 و TUIC وصل نمی‌شوند یا خیلی کندند و باید به Trojan یا VLESS روی TCP برگردید. روی گوشی، انتقال طولانی با سرعت بالا کمی بیشتر از SS باتری مصرف می‌کند.

• NaiveProxy: مستقیماً با کد شبکهٔ مرورگر Chrome اتصال HTTP/2 برقرار می‌کند و رفتار دست‌دادنش با یک مرورگر واقعی یکی است. برنامه‌های کمی پشتیبانی‌اش می‌کنند (خانوادهٔ sing-box و چند برنامهٔ دسکتاپ) و در کانفیگ‌های فروشی کم دیده می‌شود.
• WireGuard / WARP: WireGuard پروتکل VPN است و بستهٔ دست‌دادنش الگوی ثابتی دارد و استتاری ندارد. بعضی ارائه‌دهنده‌ها از Cloudflare WARP به‌عنوان خروجی استفاده می‌کنند تا سرویس‌های پخش یا ChatGPT باز شود؛ این موضوع «آدرس خروجی» است و ربطی به پروتکل بین شما و سرور ندارد.
• Snell: پروتکل سبکی از سازندهٔ Surge که بیشتر در برنامه‌هایی مثل Surge و Stash استفاده می‌شود و برنامه‌های دیگر تقریباً پشتیبانی‌اش نمی‌کنند.
• ShadowTLS: یک دست‌دادن TLS واقعی دور SS می‌پیچد تا ترافیک SS شبیه بازدید از یک سایت به نظر برسد؛ هم برنامه و هم سرور باید از آن پشتیبانی کنند.
• پروکسی HTTP / HTTPS / SOCKS5: ساده‌ترین روش پروکسی؛ HTTP و SOCKS5 بدون رمزگذاری فقط برای استفاده روی همان دستگاه یا شبکهٔ داخلی مناسب‌اند و برای عبور از مرز باید از پروکسی HTTPS با TLS استفاده کرد.

• به ابتدای لینک اشتراک‌گذاری نگاه کنید: ss:// یعنی Shadowsocks، ssr:// یعنی SSR، vmess:// یعنی VMess، vless:// یعنی VLESS، trojan:// یعنی Trojan، hysteria2:// یا hy2:// یعنی Hysteria2 و tuic:// یعنی TUIC.
• فهرست سرورهای برنامه را ببینید: خانوادهٔ Clash و Shadowrocket نوع هر سرور را کنار نامش می‌نویسند (Shadowsocks، Vmess، Vless، Trojan، Hysteria2، TUIC).
• محتوای اشتراک Clash را ببینید: هر سرور یک خط type دارد که نام پروتکل است؛ network (ws، grpc)، tls و reality-opts کنارش روش انتقال لایهٔ بیرونی را نشان می‌دهند.
• اشتراکی که ارائه‌دهنده می‌دهد معمولاً چند قالب دارد: اشتراک Clash، اشتراک sing-box و اشتراک عمومی (هر خط یک لینک، اغلب با کدگذاری Base64). همه همان سرورها هستند و فقط قالبشان فرق دارد؛ متناسب با برنامه‌تان انتخاب کنید و لینک اشتراکی را که اطلاعات حسابتان در آن است به سایت‌های «تبدیل اشتراک» شخص ثالث ندهید.

• برنامه‌های مبتنی بر هستهٔ Clash Meta (mihomo) — Clash Verge، FlClash، Mihomo Party، Clash Nyanpasu، ClashX Meta، OpenClash: از SS، VMess، VLESS (با Reality)، Trojan، Hysteria2، TUIC و WireGuard پشتیبانی می‌کنند.
• Clash اصلی و Clash for Windows: هسته‌شان خیلی وقت است به‌روز نمی‌شود و فقط پروتکل‌های قدیمی SS، VMess و Trojan را می‌شناسند؛ VLESS، Hysteria2 و TUIC ندارند. اگر هنوز از آن‌ها استفاده می‌کنید، به یکی از برنامه‌های هستهٔ mihomo در بالا بروید.
• برنامه‌های مبتنی بر هستهٔ sing-box — برنامهٔ رسمی sing-box، Hiddify، Karing، NekoBox: کامل‌ترین پشتیبانی از پروتکل‌های جدید، از جمله Hysteria2، TUIC، NaiveProxy و ShadowTLS.
• Shadowrocket (iOS، پولی): تقریباً همهٔ پروتکل‌های رایج را دارد و هم لینک اشتراک‌گذاری و هم اشتراک Clash را وارد می‌کند.
• v2rayN (Windows) و v2rayNG (اندروید): بیشتر بر پایهٔ هستهٔ Xray، و نقطهٔ قوتشان VMess، VLESS، Trojan و SS است؛ نسخه‌های جدید از Hysteria2 و پروتکل‌های دیگر هم پشتیبانی می‌کنند.
• Stash (iOS / macOS): اشتراک با قالب Clash را می‌پذیرد و از Hysteria2، TUIC، Snell و غیره پشتیبانی می‌کند.
• Surge، Quantumult X، Loon: هر کدام قالب تنظیمات خودش را دارد و پروتکل‌های پشتیبانی‌شده را باید در یادداشت‌های به‌روزرسانی خودشان دید؛ ارائه‌دهنده‌ها معمولاً اشتراک جداگانه‌ای برای آن‌ها می‌دهند.

• اینترنت خانگی، UDP محدود نیست و شب‌ها ویدیو گیر می‌کند: اول Hysteria2، بعد TUIC.
• شبکهٔ شرکت، دانشگاه یا هتل که UDP را محدود کرده یا Hysteria2 وصل نمی‌شود: به Trojan یا VLESS (Reality / TLS) بروید که روی TCP 443 کار می‌کنند.
• اینترنت همراه، صرفه‌جویی در باتری، یا فقط وب‌گردی و پیام‌رسان: پروتکل‌های سبکی مثل SS و VLESS کافی‌اند.
• «همهٔ کانفیگ‌ها تایم‌اوت می‌شوند»: اول ببینید ساعت دستگاه درست است (VMess به زمان حساس است)، بعد اشتراک را یک بار به‌روز کنید و سپس سرورهایی با پروتکل دیگر را امتحان کنید.
• کندی همیشه تقصیر پروتکل نیست: با یک پروتکل یکسان، تفاوت خط مستقیم، خط واسط و خط اختصاصی خیلی بیشتر از تفاوت پروتکل‌هاست. اول سرور و منطقه را عوض کنید، بعد سراغ تعویض پروتکل بروید.
• حوصلهٔ این جزئیات را ندارید: از یک سرویس VPN کامل استفاده کنید که برنامه و خطوط را برایتان آماده کرده است.

LeoTun ارائه‌دهندهٔ خط نیست؛ یک سرویس VPN است که شش روش اتصال با یک حساب دارد، اما روش Hiddify آن دقیقاً همان لینک اشتراکی را می‌دهد که ارائه‌دهنده‌های خط می‌دهند، با پروتکل Hysteria2. پس از ورود، در صفحهٔ Hiddify روی پرچم منطقه بزنید؛ در پنجرهٔ بازشده سه نوع اشتراک هست: اشتراک sing-box (Hiddify، sing-box، Karing)، اشتراک Clash (Clash Meta، Clash Verge، FlClash، Stash و غیره) و لینک اشتراک‌گذاری hysteria2 (NekoBox، Shadowrocket، v2rayN و غیره). کافی است دکمهٔ مربوط به برنامهٔ خودتان را بزنید؛ نیازی به تبدیل اشتراک نیست. مراحل وارد کردن را در «وارد کردن لینک اشتراک» ببینید.

اگر شبکه‌تان UDP را کاملاً بسته و Hysteria2 وصل نمی‌شود، با همان حساب می‌توانید از روش Cisco (AnyConnect) که روی TLS کار می‌کند استفاده کنید، یا از پروکسی وب که فقط مرورگر را از مسیر عبور می‌دهد؛ روش OpenVPN با پروتکل OpenVPN کار می‌کند و روش «خصوصی» بر پایهٔ WireGuard است. پروتکل هر روش را در «مقایسهٔ پروتکل‌های VPN» و راهنمای انتخاب را در «کدام روش اتصال برای چه موقعیتی» ببینید.