프록시 프로토콜 비교: SS, VMess, VLESS, Trojan, Hysteria2, TUIC

프록시 회선 업체는 프록시 회선을 파는 곳으로, 구독 링크 하나를 줍니다. 노드는 그 구독 안에 들어 있는 서버 하나하나입니다. 프로토콜은 노드와 여러분의 기기 사이에서 어떻게 암호화하고 어떻게 위장할지 정한 약속입니다. 클라이언트는 기기에서 구독을 불러오는 앱으로, Clash 계열(Clash Meta, Clash Verge, FlClash, Stash), Shadowrocket, v2rayN, v2rayNG, sing-box, Hiddify 등이 있습니다.

같은 업체라도 노드마다 프로토콜이 다를 수 있고, 클라이언트 하나에 여러 프로토콜의 노드를 함께 넣을 수도 있습니다. 그래서 '어떤 우회 방법이 좋은가'는 사실 세 가지 질문입니다. 이 업체의 회선 품질은 어떤가, 이 노드의 프로토콜이 지금 내 네트워크에 맞는가, 내 클라이언트가 그 프로토콜을 지원하는가. 이 글은 그중 두 번째만 다룹니다.

회선 업체, 가속기, VPN의 차이는 별개의 주제이므로 프록시 회선 업체, 가속기, VPN의 차이를 참고하세요. OpenVPN, WireGuard, AnyConnect 같은 VPN 프로토콜은 VPN 프로토콜 비교에서 다룹니다.

• Shadowsocks(SS): TCP를 쓰며 가장 가볍고 배터리 소모가 적습니다. 거의 모든 클라이언트가 지원합니다. 트래픽을 다른 것으로 위장하지 않고 '무엇인지 알아볼 수 없게' 만드는 방식입니다.
• ShadowsocksR(SSR): SS의 초기 분기판으로 난독화 플러그인을 더했습니다. 원래 프로젝트는 이미 오래전에 유지보수가 끝났고, 새 클라이언트는 대부분 지원하지 않으며, 아직 쓰는 업체도 점점 줄고 있습니다.
• VMess: V2Ray의 초기 프로토콜로, 자체 암호화와 시간 검증이 있어 기기 시간이 많이 어긋나면 접속되지 않습니다. 보통 WebSocket + TLS를 한 겹 씌워 씁니다.
• VLESS: VMess의 경량판으로 자체 암호화 없이 바깥의 TLS에 맡깁니다. XTLS Vision이나 Reality와 조합한 것이 현재 TCP 계열의 주류입니다.
• Trojan: 프록시 트래픽을 진짜 TLS 연결 안에 넣어 밖에서 보면 HTTPS 사이트에 접속하는 것처럼 보입니다. 설정이 간단하고 TCP 443을 씁니다.
• Hysteria2: QUIC 기반으로 UDP를 쓰며 전송 속도를 스스로 조절해, 손실이 큰 회선에서 TCP 계열보다 훨씬 빠릅니다.
• TUIC: 역시 QUIC 기반으로 UDP를 쓰며 Hysteria2와 발상이 비슷하지만 표준 혼잡 제어를 써서 속도가 더 완만합니다. 지원하는 클라이언트는 Hysteria2보다 조금 적습니다.
• NaiveProxy: Chrome의 네트워크 스택을 그대로 써서 HTTP/2로 통신하므로 트래픽 특징이 실제 브라우저와 가장 비슷합니다. 속도는 보통이고 지원 클라이언트가 적습니다.
• WireGuard: 엄밀히 말하면 VPN 프로토콜로, 일부 업체가 이것이나 Cloudflare WARP를 노드로 씁니다. UDP를 쓰고 빠르지만 위장이 전혀 없어 특징이 뚜렷합니다.

Shadowsocks는 가장 먼저 널리 퍼진 우회 프로토콜로, 목표는 단 하나, 트래픽을 규칙성 없는 바이트열로 암호화하는 것입니다. 핸드셰이크 위장이 없어 오버헤드가 가장 작고, 스마트폰에서는 배터리를 가장 적게 쓰며, 성능이 약한 공유기에서도 돌아갑니다. 요즘 업체가 주는 SS 노드는 보통 AEAD 암호화(aes-128-gcm, chacha20-ietf-poly1305)나 더 새로운 2022 방식을 씁니다. rc4-md5, aes-256-cfb 같은 옛 암호화를 쓰는 노드는 권하지 않습니다.

SSR은 SS의 분기판으로, 프로토콜 플러그인과 난독화 플러그인을 추가했습니다. 원래 프로젝트는 몇 년 전에 유지보수가 끝났고, Clash Meta, sing-box 같은 새 코어는 지원이 제한적이거나 이미 제거했습니다. 업체가 SSR을 주력으로 내세운다면 백엔드를 오랫동안 업데이트하지 않았다는 뜻입니다.

SS의 약점도 '위장이 없다'는 데 있습니다. 어떤 정상 트래픽과도 닮지 않았기 때문에, 검사가 엄격한 네트워크에서는 정체를 알 수 없는 트래픽이라는 것 자체가 집중 감시 대상이 될 수 있습니다. 그래서 많은 업체가 SS 노드에 포워딩 회선이나 전용 회선을 붙여 국경을 넘는 구간이 직접 드러나지 않게 합니다. 이건 회선 덕분이지 프로토콜 덕분이 아닙니다.

V2Ray(그리고 이후 분기한 Xray)는 프록시 플랫폼이고, VMess와 VLESS는 그 자체 프로토콜입니다. 구조가 계층적이어서 안쪽은 프록시 프로토콜, 바깥은 TCP 직결, WebSocket, gRPC, HTTP/2 같은 다양한 전송 방식에 TLS를 더할 수 있습니다. 그래서 노드 이름에 'VMess + WS + TLS', 'VLESS + gRPC' 같은 긴 표기가 자주 붙습니다.

VMess는 자체 암호화가 있고 기기 시간으로 검증합니다. 스마트폰이나 PC의 시간이 표준 시간과 많이 다르면 노드에 아예 접속되지 않으며, 이것이 VMess 노드가 '전부 타임아웃'되는 가장 흔한 원인 중 하나입니다. VLESS는 이 암호화와 시간 검증을 없애고 보안을 바깥 TLS에 전부 맡기므로 더 가볍지만, TLS 없이 그대로 쓰면 안전하지 않습니다.

XTLS Vision과 Reality는 Xray가 VLESS용으로 만든 두 기술입니다. Vision은 'TLS 안에 TLS를 또 넣는' 구조에서 생기는 특징과 낭비를 해결합니다. Reality는 노드가 자체 도메인과 인증서 없이도 핸드셰이크 때 실제 대형 사이트의 인증서 특징을 빌려 와, 밖에서 보면 그 사이트에 접속하는 것처럼 보이게 합니다. 'VLESS + Reality + Vision'은 현재 많은 업체의 직결 노드에서 주력 조합입니다.

WebSocket을 씌운 노드는 CDN 뒤에 둘 수 있어 노드의 실제 주소가 드러나지 않고, 막히면 입구만 바꾸면 됩니다. 대신 한 번 더 돌아가므로 지연과 속도에서 손해를 봅니다.

Trojan의 방식은 단순합니다. 노드와 표준 TLS 연결을 맺는데, 이는 HTTPS 사이트를 여는 것과 똑같고, 프록시 데이터는 그 연결 안에 담깁니다. 비밀번호를 모르는 사람이 이 포트를 탐지하면 평범한 웹페이지만 보게 됩니다.

설정 항목이 적어 잘못 설정하기 어렵고 클라이언트 지원도 넓습니다. 'VLESS + TLS'와 큰 차이는 없으며 둘 다 TCP 443에서 TLS로 위장합니다. Trojan은 노드에 자체 도메인과 인증서가 필요합니다.

TCP 계열 프로토콜에는 공통된 약점이 있습니다. 회선에서 패킷이 손실되면 TCP가 스스로 속도를 낮추기 때문에, 저녁 피크 시간에 국제 회선 손실이 커지면 영상이 눈에 띄게 끊깁니다. 아래에서 다룰 QUIC 계열은 바로 이 점을 겨냥해 나왔습니다.

Hysteria2와 TUIC는 모두 QUIC 위에 만들어졌고 UDP를 씁니다. QUIC은 HTTP/3가 쓰는 전송 프로토콜이라, 이 두 프로토콜의 트래픽은 밖에서 보면 HTTP/3 사이트를 보는 것처럼 보입니다.

Hysteria2의 가장 큰 특징은 전송 속도를 스스로 조절한다는 점입니다. 손실이 생겨도 TCP처럼 크게 속도를 줄이지 않고 설정한 대역폭대로 계속 보냅니다. 손실이 큰 국제 회선에서는 TCP 계열보다 몇 배 빠른 경우가 많고, 원래 깨끗한 회선에서는 이점이 크지 않습니다.

TUIC는 발상이 비슷하지만 흔히 쓰이는 표준 혼잡 제어 알고리즘을 써서 같은 회선의 다른 사용자에게 더 '예의 바르고', 속도 곡선이 안정적인 대신 손실 대응은 Hysteria2만큼 공격적이지 않습니다.

이 계열의 약점은 UDP입니다. 일부 회사, 학교, 호텔 네트워크는 UDP 속도를 제한하거나 아예 막기 때문에, 그런 곳에서는 Hysteria2와 TUIC가 접속되지 않거나 매우 느리니 TCP 계열인 Trojan, VLESS로 바꿔야 합니다. 스마트폰에서 오랫동안 고속으로 전송하면 배터리 소모도 SS보다 조금 큽니다.

• NaiveProxy: Chrome 브라우저의 네트워크 코드를 그대로 써서 HTTP/2 연결을 맺으므로 핸드셰이크 특징이 실제 브라우저와 같습니다. 지원하는 클라이언트가 많지 않고(sing-box 계열, 일부 데스크톱 클라이언트) 업체 쪽에서도 드뭅니다.
• WireGuard / WARP: WireGuard는 VPN 프로토콜로, 핸드셰이크 패킷에 고정된 특징이 있고 위장이 없습니다. 일부 업체는 Cloudflare WARP를 출구로 써서 스트리밍이나 ChatGPT 접속 제한을 풀기도 하는데, 이는 '출구에 어떤 주소를 쓰느냐'의 문제이고 여러분과 노드 사이에 어떤 프로토콜을 쓰느냐와는 별개입니다.
• Snell: Surge 개발자가 만든 가벼운 프로토콜로 주로 Surge, Stash 같은 클라이언트에서 쓰며, 다른 클라이언트는 거의 지원하지 않습니다.
• ShadowTLS: SS 바깥에 실제 TLS 핸드셰이크를 한 겹 씌워 SS 트래픽이 어떤 사이트에 접속하는 것처럼 보이게 합니다. 클라이언트와 노드 양쪽이 지원해야 합니다.
• HTTP / HTTPS / SOCKS5 프록시: 가장 기본적인 프록시 방식입니다. 암호화되지 않은 HTTP와 SOCKS5는 내 컴퓨터나 내부망 안에서만 쓰기에 적합하고, 국경을 넘을 때는 TLS가 있는 HTTPS 프록시를 써야 합니다.

• 공유 링크의 앞부분을 보세요. ss://는 Shadowsocks, ssr://는 SSR, vmess://는 VMess, vless://는 VLESS, trojan://은 Trojan, hysteria2:// 또는 hy2://는 Hysteria2, tuic://는 TUIC입니다.
• 클라이언트의 노드 목록을 보세요. Clash 계열과 Shadowrocket은 노드 이름 옆에 종류(Shadowsocks, Vmess, Vless, Trojan, Hysteria2, TUIC)를 표시합니다.
• Clash 구독 내용을 보세요. 노드마다 type 줄이 있고 거기에 프로토콜 이름이 적혀 있습니다. 옆의 network(ws, grpc), tls, reality-opts는 바깥 전송 방식입니다.
• 업체가 주는 구독은 보통 Clash 구독, sing-box 구독, 범용 구독(한 줄에 공유 링크 하나, 흔히 Base64로 인코딩) 등으로 나뉩니다. 내용은 같은 노드이고 형식만 다르니 클라이언트에 맞춰 고르세요. 인증 정보가 담긴 구독 링크를 제3자 '구독 변환' 사이트에 넘기지 마세요.

• Clash Meta(mihomo) 코어 클라이언트(Clash Verge, FlClash, Mihomo Party, Clash Nyanpasu, ClashX Meta, OpenClash): SS, VMess, VLESS(Reality 포함), Trojan, Hysteria2, TUIC, WireGuard를 모두 지원합니다.
• 원래의 Clash와 Clash for Windows: 코어 업데이트가 오래전에 멈춰 SS, VMess, Trojan 같은 옛 프로토콜만 인식하고 VLESS, Hysteria2, TUIC는 없습니다. 아직 쓰고 있다면 위의 mihomo 코어 클라이언트로 바꾸세요.
• sing-box 코어 클라이언트(sing-box 공식 앱, Hiddify, Karing, NekoBox): 새 프로토콜 지원이 가장 폭넓어 Hysteria2, TUIC, NaiveProxy, ShadowTLS까지 지원합니다.
• Shadowrocket(iOS, 유료): 주요 프로토콜은 대부분 지원하며 공유 링크와 Clash 구독 모두 불러올 수 있습니다.
• v2rayN(Windows), v2rayNG(Android): Xray 코어가 중심이라 VMess, VLESS, Trojan, SS에 강하고, 새 버전은 Hysteria2 등도 지원합니다.
• Stash(iOS / macOS): Clash 형식 구독을 쓰며 Hysteria2, TUIC, Snell 등을 지원합니다.
• Surge, Quantumult X, Loon: 각자 설정 형식이 다르고 지원 프로토콜은 각 업데이트 노트를 기준으로 합니다. 업체가 보통 이들용 구독을 따로 줍니다.

• 집 인터넷이고 UDP 제한이 없는데 저녁 피크에 영상이 끊긴다: Hysteria2를 먼저, 그다음 TUIC.
• 회사, 학교, 호텔 네트워크에서 UDP가 막혔거나 Hysteria2가 안 된다: Trojan이나 VLESS(Reality / TLS)처럼 TCP 443을 쓰는 것으로 바꾸세요.
• 모바일 데이터로 배터리를 아끼고 싶거나 웹 서핑, 채팅만 한다: SS, VLESS 같은 가벼운 것으로 충분합니다.
• 노드가 '전부 타임아웃'이다: 먼저 기기 시간이 맞는지 확인하고(VMess는 시간에 민감합니다), 구독을 한 번 업데이트한 뒤, 다른 프로토콜의 노드로 시험해 보세요.
• 느리다고 해서 꼭 프로토콜 문제는 아닙니다. 같은 프로토콜이라도 직결, 포워딩, 전용 회선의 차이가 프로토콜 간 차이보다 훨씬 큽니다. 노드와 지역을 먼저 바꿔 보고, 그다음에 프로토콜을 바꾸세요.
• 이런 걸 공부하기 싫다면: 클라이언트와 회선을 모두 대신 설정해 주는 VPN 서비스를 쓰세요.

LeoTun는 프록시 회선 업체가 아니라 한 계정으로 여섯 가지 접속 방식을 함께 쓰는 VPN 서비스입니다. 다만 그중 'Hiddify'(트래픽 위장 방식)는 회선 업체와 같은 구독 링크를 제공하며, 프로토콜은 Hysteria2입니다. 로그인한 뒤 Hiddify 페이지에서 지역 국기를 누르면 팝업에 세 가지 구독이 나옵니다. sing-box 구독(Hiddify, sing-box, Karing), Clash 구독(Clash Meta, Clash Verge, FlClash, Stash 등), hysteria2 공유 링크(NekoBox, Shadowrocket, v2rayN 등)이며, 내 클라이언트에 맞는 버튼만 누르면 되고 구독 변환은 필요 없습니다. 불러오는 방법은 구독 링크 불러오는 방법을 참고하세요.

지금 있는 네트워크가 UDP를 막아 Hysteria2가 접속되지 않을 때는 같은 계정으로 TLS를 쓰는 Cisco(AnyConnect)나 브라우저만 맡는 웹 프록시로 바꿀 수 있습니다. OpenVPN 방식은 이름 그대로 OpenVPN이고, 사설망은 WireGuard 기반입니다. 방식별 프로토콜은 VPN 프로토콜 비교, 고르는 법은 접속 방식별 추천 상황을 보세요.