プロキシ回線業者のプロトコル比較：SS・VMess・VLESS・Trojan・Hysteria2・TUIC

プロキシ回線業者はプロキシ回線を販売する事業者で、渡されるのはサブスクリプションリンク1本です。ノードはそのサブスクリプションに含まれる個々のサーバー、プロトコルはノードとお使いの端末のあいだで暗号化や偽装をどう行うかの取り決め、クライアントはサブスクリプションを読み込む端末側のアプリです。たとえば Clash 系（Clash Meta、Clash Verge、FlClash、Stash）、Shadowrocket、v2rayN、v2rayNG、sing-box、Hiddify などがあります。

同じ業者でもノードごとにプロトコルが違うことがあり、1つのクライアントに複数プロトコルのノードを入れることもできます。つまり「どの方法で規制を越えるのがよいか」は実は3つの問題です。その業者の回線品質はどうか、そのノードのプロトコルは今のネットワークに合っているか、クライアントがそれに対応しているか。この記事で扱うのは真ん中の1つだけです。

回線業者・ゲーム用アクセラレーター・VPN の違いは別の話で、「プロキシ回線業者・アクセラレーター・VPN の違い」をご覧ください。OpenVPN、WireGuard、AnyConnect といった VPN プロトコルについては「VPN プロトコル比較」で解説しています。

• Shadowsocks（SS）：TCP を使い、最も軽く省電力で、ほぼすべてのクライアントが対応。通信を別の何かに偽装するのではなく、「何の通信か分からない」ことで身を守ります。
• ShadowsocksR（SSR）：SS の初期の派生版で、難読化プラグインを追加したもの。元のプロジェクトはとうに開発終了し、新しいクライアントの多くは非対応。まだ使っている業者も減っています。
• VMess：V2Ray の最初のプロトコル。暗号化と時刻チェックを内蔵しており、端末の時計が大きくずれていると接続できません。通常は WebSocket + TLS で包んで使います。
• VLESS：VMess の簡素版。自身では暗号化せず外側の TLS に任せます。XTLS Vision や Reality と組み合わせるのが、現在の TCP 系の主流です。
• Trojan：プロキシ通信を本物の TLS 接続の中に入れ、外からは HTTPS サイトを見ているようにしか見えません。設定が簡単で、TCP 443 番を使います。
• Hysteria2：QUIC ベースで UDP を使い、送信速度を自前で制御するため、パケットロスの多い回線では TCP 系よりずっと速くなります。
• TUIC：同じく QUIC ベースの UDP 系で、考え方は Hysteria2 に近いものの標準的な輻輳制御を使うため、速度は穏やか。対応クライアントは Hysteria2 よりやや少なめです。
• NaiveProxy：Chrome のネットワーク処理をそのまま使って HTTP/2 で通信するため、通信の特徴が本物のブラウザに最も近いプロトコルです。速度はそこそこで、対応クライアントは少数です。
• WireGuard：厳密には VPN プロトコルですが、これや Cloudflare WARP をノードとして出す業者もあります。UDP で速いものの偽装は一切なく、特徴がはっきり出ます。

Shadowsocks は最初に広まった規制回避プロトコルで、目的はただ1つ、通信を規則性のないバイト列に暗号化することです。ハンドシェイクの偽装がない分オーバーヘッドが最小で、スマートフォンでは最も電池にやさしく、ルーターのような非力な機器でも動きます。現在業者が提供する SS ノードは、AEAD 暗号（aes-128-gcm、chacha20-ietf-poly1305）か、より新しい 2022 版の暗号方式が一般的です。rc4-md5 や aes-256-cfb のような古い暗号のノードは使わないほうがよいでしょう。

SSR は SS の派生版で、プロトコルと難読化の2種類のプラグインを追加したものです。元のプロジェクトは何年も前に開発が止まっており、Clash Meta や sing-box などの新しいコアでは対応が限定的か、すでに削除されています。SSR を主力にしている業者は、サーバー側が長く更新されていないと考えてよいでしょう。

SS の弱点も「偽装がない」点にあります。普通の通信のどれにも似ていないため、検査の厳しいネットワークでは、種類がまったく分からない通信そのものが目を付けられることがあります。そのため多くの業者は SS ノードに転送回線や専用線を組み合わせ、国境をまたぐ区間を直接さらさないようにしています。これは回線側の工夫で、プロトコルの手柄ではありません。

V2Ray（およびその後の派生版 Xray）はプロキシ基盤で、VMess と VLESS はその独自プロトコルです。考え方は階層構造で、内側がプロキシプロトコル、外側には TCP 直結、WebSocket、gRPC、HTTP/2 などの伝送方式を選んで重ね、さらに TLS をかけられます。ノード名に「VMess + WS + TLS」「VLESS + gRPC」のような長い表記が並ぶのはこのためです。

VMess は暗号化を内蔵し、端末の時刻でチェックを行います。スマートフォンやパソコンの時計が標準時刻から大きくずれていると、ノードに一切つながりません。VMess ノードが「全部タイムアウト」になる最もよくある原因の1つです。VLESS はこの暗号化と時刻チェックを取り除き、安全性を外側の TLS に完全に任せるので軽い反面、TLS なしでそのまま使うのは安全ではありません。

XTLS Vision と Reality は、Xray が VLESS 向けに用意した2つの技術です。Vision は「TLS の中にさらに TLS」を通すことで生じる特徴と無駄を解消します。Reality はノードに独自ドメインや証明書を不要にし、ハンドシェイク時に実在する大手サイトの証明書の特徴を借りるため、外からはそのサイトにアクセスしているように見えます。「VLESS + Reality + Vision」は、現在多くの業者の直結ノードの主力構成です。

WebSocket で包んだノードは CDN の後ろに置けるため、ノードの本当のアドレスが露出せず、ブロックされても入口を替えれば済みます。その代わり経由地が1つ増える分、遅延も速度も割り引かれます。

Trojan のやり方はシンプルです。ノードとのあいだに、HTTPS サイトを開くときとまったく同じ標準の TLS 接続を張り、その中にプロキシのデータを流します。パスワードを知らない人がこのポートを調べても、普通のウェブページが返ってくるだけです。

設定項目が少なく間違えにくいうえ、対応クライアントも幅広いのが特長です。「VLESS + TLS」との違いは大きくなく、どちらも TCP 443 番で TLS に偽装します。Trojan の場合はノード側に独自ドメインと証明書が必要です。

TCP 系プロトコルには共通の弱点があります。回線でパケットロスが起きると TCP は自ら速度を落とすため、夜のピーク時に国際回線のロスが増えると、動画がはっきり重くなります。次に紹介する QUIC 系は、まさにこの点を狙ったものです。

Hysteria2 と TUIC はどちらも QUIC の上に作られ、UDP を使います。QUIC は HTTP/3 が使う伝送プロトコルなので、この2つの通信は外からは HTTP/3 のサイトを見ているように見えます。

Hysteria2 の最大の特徴は、送信速度を独自に制御する輻輳制御です。パケットロスが起きても TCP のように大きく減速せず、設定した帯域幅で送り続けます。ロスの多い国際回線では TCP 系より何倍も速くなることがよくありますが、もともときれいな回線では差はあまり出ません。

TUIC も考え方は近いものの、一般的な標準の輻輳制御アルゴリズムを使うため、同じ回線の他の利用者に「控えめ」で、速度の変化も穏やかです。そのぶんパケットロスへの強さは Hysteria2 ほど攻撃的ではありません。

この系統の弱点は UDP です。会社・学校・ホテルなどのネットワークでは UDP が速度制限されたり丸ごと遮断されたりしていることがあり、その場合 Hysteria2 や TUIC はつながらないか非常に遅くなります。TCP 系の Trojan や VLESS に切り替えてください。スマートフォンで長時間高速通信を続けると、SS より電池の消費も少し多くなります。

• NaiveProxy：Chrome ブラウザのネットワークコードをそのまま使って HTTP/2 接続を行うため、ハンドシェイクの特徴が本物のブラウザと同じです。対応クライアントは少なく（sing-box 系と一部のデスクトップクライアント）、業者の提供例もまれです。
• WireGuard / WARP：WireGuard は VPN プロトコルで、ハンドシェイクのパケットに固定の特徴があり、偽装はありません。Cloudflare WARP を出口にして動画配信サービスや ChatGPT を使えるようにしている業者もありますが、これは「出口にどのアドレスを使うか」の話で、端末からノードまでのプロトコルとは別の問題です。
• Snell：Surge の開発者が作った軽量プロトコルで、主に Surge や Stash のようなクライアントで使われ、ほかのクライアントはほぼ非対応です。
• ShadowTLS：SS の外側に本物の TLS ハンドシェイクを1枚かぶせ、SS の通信をどこかのサイトにアクセスしているように見せます。クライアントとノードの両方が対応している必要があります。
• HTTP / HTTPS / SOCKS5 プロキシ：最も基本的なプロキシ方式です。暗号化されない HTTP と SOCKS5 はローカルや社内ネットワーク内での利用に限り、国境をまたぐなら TLS 付きの HTTPS プロキシを使ってください。

• 共有リンクの先頭を見ます。ss:// は Shadowsocks、ssr:// は SSR、vmess:// は VMess、vless:// は VLESS、trojan:// は Trojan、hysteria2:// または hy2:// は Hysteria2、tuic:// は TUIC です。
• クライアントのノード一覧を見ます。Clash 系や Shadowrocket では、ノード名の横に種類（Shadowsocks、Vmess、Vless、Trojan、Hysteria2、TUIC）が表示されます。
• Clash サブスクリプションの中身を見ます。各ノードに type の行があり、そこにプロトコル名が書かれています。その横の network（ws、grpc）、tls、reality-opts が外側の伝送方式です。
• 業者のサブスクリプションは、Clash 用、sing-box 用、汎用（共有リンクを1行に1つ並べ、Base64 でエンコードされていることが多い）の数種類に分かれているのが普通です。中身は同じノード群で形式が違うだけなので、お使いのクライアントに合わせて選びます。認証情報入りのサブスクリプションリンクを第三者の「サブスクリプション変換」サイトに渡すのはやめましょう。

• Clash Meta（mihomo）コアのクライアント（Clash Verge、FlClash、Mihomo Party、Clash Nyanpasu、ClashX Meta、OpenClash）：SS、VMess、VLESS（Reality 含む）、Trojan、Hysteria2、TUIC、WireGuard すべてに対応。
• オリジナルの Clash と Clash for Windows：コアの更新はとうに止まっており、SS、VMess、Trojan など古いプロトコルしか扱えず、VLESS、Hysteria2、TUIC は使えません。まだ使っているなら、上の mihomo コアのクライアントに乗り換えましょう。
• sing-box コアのクライアント（sing-box 公式アプリ、Hiddify、Karing、NekoBox）：Hysteria2、TUIC、NaiveProxy、ShadowTLS を含め、新しいプロトコルへの対応が最も充実しています。
• Shadowrocket（iOS、有料）：主要なプロトコルにはほぼ対応し、共有リンクも Clash サブスクリプションも読み込めます。
• v2rayN（Windows）、v2rayNG（Android）：Xray コアが中心で、VMess、VLESS、Trojan、SS が得意分野。新しいバージョンでは Hysteria2 などにも対応しています。
• Stash（iOS / macOS）：Clash 形式のサブスクリプションを読み込み、Hysteria2、TUIC、Snell などに対応。
• Surge、Quantumult X、Loon：それぞれ独自の設定形式があり、対応プロトコルは各アプリの更新情報で確認してください。業者は通常これら専用のサブスクリプションを別に用意しています。

• 自宅の固定回線で UDP の制限がなく、夜のピーク時に動画が重い：まず Hysteria2、次に TUIC。
• 会社・学校・ホテルのネットワークで UDP が制限されている、または Hysteria2 がつながらない：Trojan や VLESS（Reality / TLS）など TCP 443 番を使うものに切り替え。
• モバイルデータ通信で省電力を重視する、あるいはウェブ閲覧やチャットだけ：SS や VLESS のような軽いもので十分。
• ノードが「全部タイムアウト」：まず端末の時刻が正しいか確認し（VMess は時刻に敏感）、サブスクリプションを1回更新してから、別のプロトコルのノードを試します。
• 遅いのがプロトコルのせいとは限りません。同じプロトコルでも、直結・転送・専用線といった回線の差はプロトコル同士の差よりはるかに大きいもの。まずノードや地域を替え、それからプロトコルの変更を考えましょう。
• こうしたことを調べたくない：クライアントも回線もまとめて用意してくれる VPN サービスを使いましょう。

LeoTun はプロキシ回線業者ではなく、6種類の接続方法を1つのアカウントで使える VPN サービスです。ただしそのうちの「Hiddify」では、回線業者と同じようなサブスクリプションリンクを提供しており、プロトコルは Hysteria2 です。ログイン後、Hiddify ページで地域の国旗をタップすると、ポップアップに3種類のサブスクリプションが表示されます。sing-box サブスクリプション（Hiddify、sing-box、Karing）、Clash サブスクリプション（Clash Meta、Clash Verge、FlClash、Stash など）、hysteria2 共有リンク（NekoBox、Shadowrocket、v2rayN など）です。お使いのクライアントに合ったボタンを押すだけで、サブスクリプション変換は不要です。読み込み手順は「プロキシ回線のサブスクリプションリンクを読み込む方法」をご覧ください。

利用中のネットワークで UDP が完全に制限され Hysteria2 がつながらないときは、同じアカウントで TLS を使う Cisco（AnyConnect）に切り替えるか、ブラウザだけを対象にする Webプロキシを使えます。OpenVPN 方式はその名のとおり OpenVPN、「プライベート」は WireGuard ベースです。各方式のプロトコルは「VPN プロトコル比較」、選び方は「接続方法ごとの向いている場面」をご覧ください。