Perbandingan protokol proxy: SS, VMess, VLESS, Trojan, Hysteria2, TUIC

Penyedia jalur proxy adalah penjual jalur proxy, dan yang Anda terima adalah link langganan. Node adalah server-server di dalam langganan itu. Protokol adalah aturan bagaimana node dan perangkat Anda mengenkripsi dan menyamarkan lalu lintas. Aplikasi (klien) adalah software di perangkat Anda yang mengimpor langganan, misalnya keluarga Clash (Clash Meta, Clash Verge, FlClash, Stash), Shadowrocket, v2rayN, v2rayNG, sing-box, dan Hiddify.

Node-node dari penyedia yang sama bisa memakai protokol berbeda, dan satu aplikasi bisa memuat node dengan beberapa protokol sekaligus. Jadi pertanyaan “cara tembus blokir mana yang bagus” sebenarnya ada tiga: seberapa bagus jalur penyedia itu, apakah protokol node ini cocok untuk jaringan Anda saat ini, dan apakah aplikasi Anda mendukungnya. Artikel ini hanya membahas yang kedua.

Beda penyedia jalur proxy, VPN, dan akselerator adalah topik lain, lihat Beda penyedia jalur proxy, akselerator, dan VPN; protokol VPN seperti OpenVPN, WireGuard, dan AnyConnect dibahas di Perbandingan protokol VPN.

• Shadowsocks (SS): lewat TCP, paling ringan dan paling hemat baterai, didukung hampir semua aplikasi; lalu lintasnya tidak menyamar sebagai apa pun, andalannya adalah “tidak kelihatan ini apa”.
• ShadowsocksR (SSR): cabang awal SS yang menambahkan plugin obfuscation (pengaburan); proyek aslinya sudah lama tidak dirawat, kebanyakan aplikasi baru tidak lagi mendukungnya, dan makin sedikit penyedia yang masih memakainya.
• VMess: protokol pertama V2Ray, punya enkripsi dan pengecekan waktu sendiri, jadi kalau jam perangkat meleset terlalu jauh, koneksi gagal; biasanya dibungkus WebSocket + TLS.
• VLESS: versi ramping VMess yang tidak mengenkripsi sendiri dan menyerahkannya ke TLS di lapisan luar; dipadukan dengan XTLS Vision atau Reality, ini kombinasi lewat TCP yang paling umum saat ini.
• Trojan: memasukkan lalu lintas proxy ke dalam koneksi TLS sungguhan, sehingga dari luar tampak seperti membuka situs HTTPS; pengaturannya sederhana, lewat TCP 443.
• Hysteria2: berbasis QUIC, lewat UDP, mengatur kecepatan kirimnya sendiri, dan jauh lebih cepat daripada protokol TCP di jalur yang banyak packet loss.
• TUIC: juga berbasis QUIC dan lewat UDP, idenya mirip Hysteria2 tetapi memakai kontrol kemacetan standar, jadi kecepatannya lebih kalem; dukungan aplikasinya sedikit lebih sempit daripada Hysteria2.
• NaiveProxy: langsung memakai network stack Chrome lewat HTTP/2, sehingga ciri lalu lintasnya paling mirip browser sungguhan; kecepatannya biasa saja dan aplikasi yang mendukungnya sedikit.
• WireGuard: sebenarnya protokol VPN; sebagian penyedia memakainya atau Cloudflare WARP sebagai node; lewat UDP dan cepat, tetapi tanpa penyamaran apa pun sehingga cirinya mencolok.

Shadowsocks adalah protokol tembus blokir pertama yang populer, dan tujuan desainnya cuma satu: mengenkripsi lalu lintas menjadi deretan byte tanpa pola. Tidak ada penyamaran saat handshake, overhead-nya paling kecil, paling hemat baterai di HP, dan tetap jalan di perangkat lemah seperti router. Node SS dari penyedia sekarang biasanya memakai enkripsi AEAD (aes-128-gcm, chacha20-ietf-poly1305) atau metode enkripsi versi 2022 yang lebih baru; node yang masih memakai enkripsi lama seperti rc4-md5 atau aes-256-cfb sebaiknya tidak dipakai.

SSR adalah cabang SS yang menambahkan dua jenis plugin, protokol dan obfuscation. Proyek aslinya sudah berhenti dirawat bertahun-tahun lalu, dan core baru seperti Clash Meta dan sing-box hanya mendukungnya secara terbatas atau sudah menghapusnya. Penyedia yang masih mengandalkan SSR berarti backend-nya sudah lama tidak diperbarui.

Kelemahan SS juga ada pada “tanpa penyamaran”: ia tidak mirip lalu lintas normal apa pun, dan di jaringan yang diperiksa ketat, lalu lintas yang sama sekali tidak bisa dikenali jenisnya justru bisa mendapat perhatian khusus. Karena itu banyak penyedia memasang jalur penerusan atau jalur khusus untuk node SS agar ruas lintas negaranya tidak terekspos langsung. Itu jasa jalurnya, bukan protokolnya.

V2Ray (dan cabangnya yang belakangan, Xray) adalah platform proxy, dan VMess serta VLESS adalah dua protokol miliknya. Cara kerjanya berlapis: lapisan dalam adalah protokol proxy, lapisan luar bisa memakai transport berbeda, misalnya TCP langsung, WebSocket, gRPC, atau HTTP/2, ditambah TLS. Itulah sebabnya nama node sering berbentuk panjang seperti “VMess + WS + TLS” atau “VLESS + gRPC”.

VMess punya enkripsi sendiri dan memakai jam perangkat untuk verifikasi: kalau jam HP atau komputer meleset terlalu jauh dari waktu standar, node langsung gagal tersambung. Ini salah satu penyebab paling umum node VMess “timeout semua”. VLESS membuang enkripsi dan pengecekan waktu itu dan menyerahkan keamanan sepenuhnya ke TLS di lapisan luar, jadi lebih ringan, tetapi VLESS tanpa TLS tidak aman.

XTLS Vision dan Reality adalah dua teknologi Xray untuk VLESS. Vision mengatasi ciri khas dan pemborosan akibat “TLS di dalam TLS”; Reality membuat node tidak perlu domain dan sertifikat sendiri, karena saat handshake ia meminjam ciri sertifikat sebuah situs besar sungguhan, sehingga dari luar tampak seperti membuka situs itu. “VLESS + Reality + Vision” adalah kombinasi andalan untuk node koneksi langsung di banyak penyedia saat ini.

Node yang dibungkus WebSocket bisa ditaruh di belakang CDN sehingga alamat asli node tidak terlihat, dan kalau diblokir cukup ganti pintu masuk; harganya, ada satu putaran tambahan sehingga latensi dan kecepatan sedikit berkurang.

Cara Trojan sangat lugas: membangun koneksi TLS standar dengan node, persis seperti membuka situs HTTPS, lalu data proxy ditaruh di dalam koneksi itu. Orang yang tidak tahu kata sandinya dan mencoba memeriksa port itu hanya akan mendapat halaman web biasa.

Opsi pengaturannya sedikit, jadi sulit salah atur, dan dukungan aplikasinya luas. Bedanya dengan “VLESS + TLS” tidak besar, keduanya penyamaran TLS lewat TCP 443; Trojan butuh domain dan sertifikat sendiri di node.

Semua protokol lewat TCP punya kelemahan yang sama: begitu jalur kehilangan paket, TCP otomatis menurunkan kecepatan. Saat packet loss di jalur lintas negara tinggi pada jam sibuk malam, video jadi jelas tersendat. Keluarga QUIC di bawah ini dibuat justru untuk masalah itu.

Hysteria2 dan TUIC sama-sama dibangun di atas QUIC dan lewat UDP. QUIC sendiri adalah transport yang dipakai HTTP/3, sehingga dari luar lalu lintas kedua protokol ini tampak seperti membuka situs HTTP/3.

Ciri utama Hysteria2 adalah mengatur kecepatan kirimnya sendiri: saat ada packet loss, ia tidak menurunkan kecepatan drastis seperti TCP, melainkan terus mengirim sesuai bandwidth yang Anda atur. Di jalur lintas negara yang banyak packet loss, ia sering beberapa kali lebih cepat daripada protokol TCP; di jalur yang memang bersih, keunggulannya tidak terasa.

TUIC idenya mirip, tetapi memakai algoritma kontrol kemacetan standar yang umum. Ia lebih “sopan” terhadap pengguna lain di jalur yang sama dan kurva kecepatannya lebih stabil, tetapi daya tahannya terhadap packet loss tidak seagresif Hysteria2.

Kelemahan keluarga ini adalah UDP: sebagian jaringan kantor, kampus, dan hotel membatasi kecepatan UDP atau memblokirnya sama sekali. Di sana Hysteria2 dan TUIC gagal tersambung atau sangat lambat, dan Anda perlu kembali ke Trojan atau VLESS yang lewat TCP. Transfer cepat yang lama di HP juga sedikit lebih boros baterai dibanding SS.

• NaiveProxy: memakai kode jaringan browser Chrome langsung untuk membuka koneksi HTTP/2, sehingga ciri handshake-nya sama dengan browser sungguhan. Aplikasi yang mendukungnya sedikit (keluarga sing-box dan sebagian aplikasi desktop), dan jarang ada di penyedia.
• WireGuard / WARP: WireGuard adalah protokol VPN dengan paket handshake yang cirinya tetap, tanpa penyamaran. Sebagian penyedia memakai Cloudflare WARP sebagai jalur keluar untuk membuka layanan streaming atau ChatGPT; itu soal “alamat keluar apa yang dipakai”, berbeda dengan protokol antara Anda dan node.
• Snell: protokol ringan buatan pengembang Surge, terutama dipakai di aplikasi seperti Surge dan Stash; aplikasi lain umumnya tidak mendukungnya.
• ShadowTLS: membungkus SS dengan handshake TLS sungguhan agar lalu lintas SS tampak seperti membuka sebuah situs; aplikasi dan node harus sama-sama mendukungnya.
• Proxy HTTP / HTTPS / SOCKS5: cara proxy paling dasar. HTTP dan SOCKS5 tanpa enkripsi hanya cocok di komputer sendiri atau jaringan lokal; untuk lintas negara pakai proxy HTTPS yang memakai TLS.

• Lihat awal link berbagi: ss:// berarti Shadowsocks, ssr:// berarti SSR, vmess:// berarti VMess, vless:// berarti VLESS, trojan:// berarti Trojan, hysteria2:// atau hy2:// berarti Hysteria2, tuic:// berarti TUIC.
• Lihat daftar node di aplikasi: keluarga Clash dan Shadowrocket menampilkan jenisnya di samping nama node (Shadowsocks, Vmess, Vless, Trojan, Hysteria2, TUIC).
• Lihat isi langganan Clash: setiap node punya baris type yang berisi nama protokolnya; network (ws, grpc), tls, dan reality-opts di sebelahnya adalah transport lapisan luar.
• Langganan dari penyedia biasanya ada beberapa format: langganan Clash, langganan sing-box, dan langganan umum (satu link berbagi per baris, sering di-encode Base64). Isinya node yang sama, hanya formatnya berbeda, jadi pilih sesuai aplikasi Anda; jangan serahkan link langganan yang berisi kredensial ke situs “konversi langganan” pihak ketiga.

• Aplikasi dengan core Clash Meta (mihomo), yaitu Clash Verge, FlClash, Mihomo Party, Clash Nyanpasu, ClashX Meta, dan OpenClash: mendukung SS, VMess, VLESS (termasuk Reality), Trojan, Hysteria2, TUIC, dan WireGuard.
• Clash versi asli dan Clash for Windows: core-nya sudah lama tidak diperbarui dan hanya mengenal protokol lama seperti SS, VMess, dan Trojan, tanpa VLESS, Hysteria2, atau TUIC. Kalau masih memakainya, ganti ke aplikasi dengan core mihomo di atas.
• Aplikasi dengan core sing-box, yaitu aplikasi resmi sing-box, Hiddify, Karing, dan NekoBox: dukungan protokol baru paling lengkap, termasuk Hysteria2, TUIC, NaiveProxy, dan ShadowTLS.
• Shadowrocket (iOS, berbayar): hampir semua protokol utama didukung, dan bisa mengimpor link berbagi maupun langganan Clash.
• v2rayN (Windows) dan v2rayNG (Android): berbasis core Xray, unggul di VMess, VLESS, Trojan, dan SS; versi baru juga mendukung Hysteria2 dan protokol lain.
• Stash (iOS / macOS): memakai langganan format Clash, mendukung Hysteria2, TUIC, Snell, dan lainnya.
• Surge, Quantumult X, Loon: masing-masing punya format konfigurasi sendiri, dan protokol yang didukung mengikuti catatan rilis masing-masing; penyedia biasanya memberi langganan terpisah untuk aplikasi-aplikasi ini.

• Internet rumah, UDP tidak dibatasi, video tersendat di jam sibuk malam: utamakan Hysteria2, lalu TUIC.
• Jaringan kantor, kampus, atau hotel yang membatasi UDP, atau Hysteria2 tidak bisa tersambung: ganti ke Trojan atau VLESS (Reality / TLS) yang lewat TCP 443.
• Data seluler, ingin hemat baterai, atau cuma browsing dan chat: protokol ringan seperti SS dan VLESS sudah cukup.
• Node “timeout semua”: cek dulu apakah jam perangkat tepat (VMess sensitif terhadap waktu), perbarui langganan sekali, lalu coba node dengan protokol lain.
• Lambat belum tentu salah protokol: untuk protokol yang sama, perbedaan antara jalur langsung, jalur penerusan, dan jalur khusus jauh lebih besar daripada perbedaan antarprotokol. Ganti node dan wilayah dulu, baru pertimbangkan ganti protokol.
• Tidak mau repot memikirkan semua ini: pakai layanan VPN yang serba diurus penyedianya, aplikasi dan jalurnya sudah diatur untuk Anda.

LeoTun bukan penyedia jalur proxy, melainkan layanan VPN dengan enam cara koneksi dalam satu akun. Tetapi Hiddify, salah satu caranya, memberikan link langganan seperti yang diberikan penyedia jalur proxy, dengan protokol Hysteria2. Setelah login, klik bendera wilayah di halaman Hiddify, dan jendela yang muncul berisi tiga jenis langganan: langganan sing-box (Hiddify, sing-box, Karing), langganan Clash (Clash Meta, Clash Verge, FlClash, Stash, dan lainnya), dan link berbagi hysteria2 (NekoBox, Shadowrocket, v2rayN, dan lainnya). Cukup klik tombol yang sesuai dengan aplikasi Anda, tanpa konversi langganan. Langkah impornya ada di Cara mengimpor link langganan proxy.

Kalau jaringan Anda membatasi UDP dengan ketat dan Hysteria2 tidak bisa tersambung, akun yang sama bisa beralih ke Cisco (AnyConnect) yang lewat TLS, atau ke Proxy Web yang hanya mengambil alih browser; metode OpenVPN memakai protokol OpenVPN, dan Privat berbasis WireGuard. Protokol tiap cara ada di Perbandingan protokol VPN, dan cara memilihnya di Cara koneksi mana yang cocok untuk situasi apa.