Comparativo de protocolos de proxy: SS, VMess, VLESS, Trojan, Hysteria2 e TUIC

O provedor de linhas de proxy é quem vende as rotas e entrega um link de assinatura; os servidores (ou “nós”) são as máquinas listadas nessa assinatura; o protocolo é a regra de como o servidor e o seu aparelho criptografam e disfarçam o tráfego; o aplicativo é o programa no seu aparelho que importa a assinatura, como a família Clash (Clash Meta, Clash Verge, FlClash, Stash), Shadowrocket, v2rayN, v2rayNG, sing-box e Hiddify.

Servidores do mesmo provedor podem usar protocolos diferentes, e um mesmo aplicativo aceita servidores de vários protocolos ao mesmo tempo. Por isso, “qual é o melhor jeito de furar o bloqueio” são na verdade três perguntas: qual é a qualidade das linhas desse provedor, se o protocolo daquele servidor combina com a rede em que você está agora e se o seu aplicativo é compatível com ele. Este guia trata só da pergunta do meio.

A diferença entre provedor de linhas, acelerador e VPN é outro assunto: veja Provedor de linhas, acelerador ou VPN: qual a diferença; protocolos de VPN como OpenVPN, WireGuard e AnyConnect estão no comparativo de protocolos de VPN.

• Shadowsocks (SS): usa TCP, é o mais leve e o que menos gasta bateria, e quase todo aplicativo aceita; o tráfego não se disfarça de nada, a aposta é que “não dá para saber o que é”.
• ShadowsocksR (SSR): uma ramificação antiga do SS com plugins de ofuscação; o projeto original parou de ser mantido há muito tempo, a maioria dos aplicativos novos já não aceita e cada vez menos provedores ainda usam.
• VMess: o protocolo original do V2Ray, com criptografia própria e checagem de horário — se o relógio do aparelho estiver muito errado, não conecta; normalmente vai dentro de WebSocket + TLS.
• VLESS: a versão enxuta do VMess, sem criptografia própria, que deixa isso para o TLS por fora; com XTLS Vision ou Reality, é hoje a combinação principal sobre TCP.
• Trojan: coloca o tráfego do proxy dentro de uma conexão TLS de verdade, então de fora parece o acesso a um site HTTPS; configuração simples, porta TCP 443.
• Hysteria2: baseado em QUIC, usa UDP e controla ele mesmo a velocidade de envio; em linhas com muita perda de pacotes, é bem mais rápido que os protocolos sobre TCP.
• TUIC: também baseado em QUIC e UDP, com uma ideia parecida com a do Hysteria2, mas usa o controle de congestionamento padrão, então a velocidade é mais comedida; um pouco menos de aplicativos aceitam do que no caso do Hysteria2.
• NaiveProxy: reaproveita a pilha de rede do Chrome e usa HTTP/2, então o tráfego é o mais parecido com o de um navegador de verdade; velocidade mediana e poucos aplicativos compatíveis.
• WireGuard: a rigor é um protocolo de VPN; alguns provedores o usam, ou o Cloudflare WARP, como servidor; usa UDP e é rápido, mas não tem disfarce nenhum e é fácil de identificar.

O Shadowsocks foi o primeiro protocolo para furar bloqueios a fazer sucesso, e o objetivo dele é um só: criptografar o tráfego numa sequência de bytes sem padrão visível. Não tem disfarce no handshake, tem o menor custo, é o que menos gasta bateria no celular e roda até em aparelhos fracos como roteadores. Os servidores SS dos provedores hoje usam criptografia AEAD (aes-128-gcm, chacha20-ietf-poly1305) ou a criptografia mais nova da versão 2022; servidores que ainda usam cifras antigas, como rc4-md5 ou aes-256-cfb, não são recomendados.

O SSR é uma ramificação do SS que acrescentou plugins de protocolo e de ofuscação. O projeto original parou de ser mantido há anos, e núcleos novos como Clash Meta e sing-box têm suporte limitado a ele ou já o removeram. Se um provedor ainda empurra o SSR como opção principal, é sinal de que a estrutura dele não é atualizada há muito tempo.

O ponto fraco do SS também é a falta de disfarce: ele não se parece com nenhum tráfego normal, e em redes com inspeção rigorosa um tráfego impossível de classificar pode, por si só, chamar atenção. Por isso muitos provedores colocam os servidores SS atrás de linhas de encaminhamento ou de linhas dedicadas, para que o trecho internacional não fique exposto diretamente — mérito da linha, não do protocolo.

O V2Ray (e a ramificação posterior, Xray) é uma plataforma de proxy, e VMess e VLESS são os seus dois protocolos próprios. A ideia é trabalhar em camadas: por dentro vai o protocolo de proxy, e por fora dá para usar diferentes formas de transporte — TCP direto, WebSocket, gRPC, HTTP/2 — com TLS por cima. É por isso que o nome dos servidores costuma vir com sequências como “VMess + WS + TLS” ou “VLESS + gRPC”.

O VMess tem criptografia própria e usa o horário do aparelho como verificação: se o relógio do celular ou do computador estiver muito diferente da hora certa, o servidor simplesmente não conecta — é uma das causas mais comuns de servidores VMess darem “tempo esgotado em todos”. O VLESS tira essa criptografia e a checagem de horário e deixa a segurança toda a cargo do TLS por fora, por isso é mais leve; mas usar VLESS puro, sem TLS, não é seguro.

XTLS Vision e Reality são duas tecnologias que o Xray criou para o VLESS. O Vision resolve o padrão identificável e o desperdício de colocar “TLS dentro de TLS”; o Reality dispensa domínio e certificado próprios no servidor e, no handshake, usa as características do certificado de um site grande de verdade, então de fora parece que você está acessando aquele site. “VLESS + Reality + Vision” é hoje a combinação principal dos servidores de conexão direta de muitos provedores.

Servidores com WebSocket podem ficar atrás de uma CDN, o endereço real do servidor não aparece e, se uma entrada for bloqueada, basta trocar de entrada; o preço é um desvio a mais, que piora a latência e a velocidade.

O Trojan é direto: abre com o servidor uma conexão TLS padrão, exatamente igual a abrir um site HTTPS, e coloca os dados do proxy dentro dela. Quem sondar essa porta sem saber a senha vê só uma página web normal.

Tem poucas opções de configuração, é difícil errar e quase todo aplicativo aceita. Comparado a “VLESS + TLS”, a diferença é pequena: os dois se disfarçam de TLS na porta TCP 443; o Trojan exige que o servidor tenha domínio e certificado próprios.

Os protocolos sobre TCP têm uma fraqueza em comum: quando a linha perde pacotes, o TCP reduz a velocidade por conta própria, e no horário de pico, quando a perda nas linhas internacionais é alta, o vídeo trava visivelmente. A família QUIC, logo abaixo, foi feita justamente para isso.

Hysteria2 e TUIC são construídos sobre o QUIC e usam UDP. O QUIC é o transporte usado pelo HTTP/3, então de fora o tráfego desses dois protocolos parece o acesso a um site em HTTP/3.

O grande diferencial do Hysteria2 é controlar ele mesmo a velocidade de envio: quando há perda de pacotes, ele não derruba a velocidade como o TCP, e continua enviando na banda que você configurou. Em linhas internacionais com muita perda, costuma ser várias vezes mais rápido que os protocolos sobre TCP; em linhas que já são limpas, a vantagem é pequena.

O TUIC segue uma ideia parecida, mas usa um algoritmo de controle de congestionamento padrão e comum, mais “educado” com os outros usuários da linha: a velocidade é mais estável, mas ele não aguenta perda de pacotes de forma tão agressiva quanto o Hysteria2.

O ponto fraco dessa família é o UDP: algumas redes de empresa, faculdade e hotel limitam ou bloqueiam o UDP por completo, e aí Hysteria2 e TUIC não conectam ou ficam muito lentos — volte para Trojan ou VLESS, que usam TCP. No celular, transferências rápidas e longas também gastam um pouco mais de bateria do que o SS.

• NaiveProxy: usa o próprio código de rede do Chrome para abrir conexões HTTP/2, então o handshake é igual ao de um navegador de verdade. Poucos aplicativos aceitam (a família sing-box e alguns clientes de desktop) e é raro nos provedores.
• WireGuard / WARP: o WireGuard é um protocolo de VPN, com pacotes de handshake de padrão fixo e sem disfarce. Alguns provedores usam o Cloudflare WARP como saída para liberar streaming ou o ChatGPT — isso é sobre “qual endereço aparece na saída”, outra coisa que não tem a ver com o protocolo entre você e o servidor.
• Snell: protocolo leve criado pelo autor do Surge, usado principalmente em aplicativos como Surge e Stash; os outros praticamente não aceitam.
• ShadowTLS: coloca um handshake TLS de verdade por fora do SS, para que o tráfego SS pareça o acesso a um site; o aplicativo e o servidor precisam aceitar.
• Proxy HTTP / HTTPS / SOCKS5: a forma mais básica de proxy; HTTP e SOCKS5 sem criptografia só servem dentro do próprio computador ou da rede local; para atravessar a fronteira, use um proxy HTTPS com TLS.

• Olhe o início do link compartilhado: ss:// é Shadowsocks, ssr:// é SSR, vmess:// é VMess, vless:// é VLESS, trojan:// é Trojan, hysteria2:// ou hy2:// é Hysteria2 e tuic:// é TUIC.
• Olhe a lista de servidores no aplicativo: a família Clash e o Shadowrocket mostram o tipo ao lado do nome do servidor (Shadowsocks, Vmess, Vless, Trojan, Hysteria2, TUIC).
• Olhe o conteúdo da assinatura Clash: cada servidor tem uma linha type com o nome do protocolo; os campos ao lado, network (ws, grpc), tls e reality-opts, são o transporte por fora.
• Os provedores costumam oferecer a assinatura em alguns formatos: Clash, sing-box e genérica (um link compartilhado por linha, muitas vezes em Base64). Os servidores são os mesmos, só muda o formato — escolha conforme o seu aplicativo; não entregue um link de assinatura com credenciais para sites de terceiros de “conversão de assinatura”.

• Aplicativos com núcleo Clash Meta (mihomo) — Clash Verge, FlClash, Mihomo Party, Clash Nyanpasu, ClashX Meta, OpenClash: aceitam SS, VMess, VLESS (com Reality), Trojan, Hysteria2, TUIC e WireGuard.
• Clash original e Clash for Windows: o núcleo parou de ser atualizado há muito tempo e só reconhece os protocolos antigos SS, VMess e Trojan, sem VLESS, Hysteria2 nem TUIC. Se ainda usa um deles, troque por um aplicativo com núcleo mihomo da lista acima.
• Aplicativos com núcleo sing-box — o app oficial do sing-box, Hiddify, Karing, NekoBox: o suporte mais completo aos protocolos novos, incluindo Hysteria2, TUIC, NaiveProxy e ShadowTLS.
• Shadowrocket (iOS, pago): aceita praticamente todos os protocolos principais e importa tanto links compartilhados quanto assinaturas Clash.
• v2rayN (Windows) e v2rayNG (Android): baseados principalmente no núcleo Xray, fortes em VMess, VLESS, Trojan e SS; as versões novas também trazem suporte a Hysteria2 e outros.
• Stash (iOS / macOS): usa assinaturas no formato Clash e aceita Hysteria2, TUIC, Snell e outros.
• Surge, Quantumult X e Loon: cada um tem o próprio formato de configuração, e os protocolos aceitos são os que constam nas notas de versão de cada um; os provedores costumam oferecer uma assinatura separada para eles.

• Internet de casa, sem restrição de UDP e vídeo travando no horário de pico: prefira Hysteria2 e, em segundo lugar, TUIC.
• Redes de empresa, faculdade ou hotel, com UDP limitado ou Hysteria2 sem conectar: troque por Trojan ou VLESS (Reality / TLS), que usam TCP 443.
• Dados móveis, querendo economizar bateria, ou só navegando e conversando: um protocolo leve como SS ou VLESS basta.
• Servidores com “tempo esgotado em todos”: confira primeiro se o relógio do aparelho está certo (o VMess é sensível a isso), depois atualize a assinatura uma vez e então teste servidores de outro protocolo.
• Lentidão nem sempre é culpa do protocolo: com o mesmo protocolo, a diferença entre linha direta, linha de encaminhamento e linha dedicada é muito maior do que a diferença entre protocolos. Troque de servidor e de região antes de pensar em trocar de protocolo.
• Se não quer estudar nada disso: use uma VPN completa, em que o aplicativo e as linhas já vêm configurados para você.

O LeoTun não é um provedor de linhas de proxy: é um serviço de VPN com seis formas de conexão numa única conta, mas uma delas, o Hiddify, entrega justamente um link de assinatura desse tipo, com o protocolo Hysteria2. Depois de entrar, clique na bandeira de uma região na página do Hiddify; a janela mostra três assinaturas: sing-box (Hiddify, sing-box, Karing), Clash (Clash Meta, Clash Verge, FlClash, Stash etc.) e link compartilhado hysteria2 (NekoBox, Shadowrocket, v2rayN etc.). Clique no botão que corresponde ao seu aplicativo — não precisa converter a assinatura. O passo a passo da importação está em Como importar um link de assinatura de proxy.

Quando a rede onde você está trava o UDP e o Hysteria2 não conecta, a mesma conta pode usar o Cisco (AnyConnect), que vai sobre TLS, ou o Proxy Web, que cuida só do navegador; o OpenVPN usa o próprio OpenVPN, e a Rede privada é baseada em WireGuard. O protocolo de cada forma está no comparativo de protocolos de VPN, e como escolher está em Quando usar cada forma de conexão.