เทียบโปรโตคอลพร็อกซี: SS, VMess, VLESS, Trojan, Hysteria2, TUIC

ผู้ให้บริการเส้นทางพร็อกซีคือร้านที่ขายเส้นทางพร็อกซี สิ่งที่คุณได้คือลิงก์ซับสคริปชัน โหนดคือเซิร์ฟเวอร์แต่ละตัวในซับสคริปชันนั้น โปรโตคอลคือข้อตกลงว่าโหนดกับอุปกรณ์ของคุณจะเข้ารหัสและปลอมตัวกันอย่างไร ส่วนแอปคือโปรแกรมบนเครื่องที่ใช้นำเข้าซับสคริปชัน เช่น ตระกูล Clash (Clash Meta, Clash Verge, FlClash, Stash), Shadowrocket, v2rayN, v2rayNG, sing-box, Hiddify

โหนดต่างๆ ของผู้ให้บริการเจ้าเดียวกันอาจใช้คนละโปรโตคอล และแอปตัวเดียวก็ใส่โหนดหลายโปรโตคอลไว้พร้อมกันได้ คำถามว่า “ใช้วิธีไหนดี” จริงๆ จึงมีสามข้อ: เส้นทางของผู้ให้บริการรายนี้คุณภาพเป็นอย่างไร โปรโตคอลของโหนดนี้เหมาะกับเครือข่ายที่คุณใช้อยู่ไหม และแอปของคุณรองรับหรือเปล่า บทความนี้พูดถึงข้อกลางเท่านั้น

ความต่างระหว่างผู้ให้บริการพร็อกซี VPN และตัวเร่งความเร็วเป็นอีกเรื่องหนึ่ง ดูได้ที่ ผู้ให้บริการพร็อกซี ตัวเร่งความเร็ว และ VPN ต่างกันอย่างไร ส่วนโปรโตคอล VPN อย่าง OpenVPN, WireGuard, AnyConnect ดูที่ เทียบโปรโตคอล VPN

• Shadowsocks (SS): วิ่งบน TCP เบาที่สุดและประหยัดแบตที่สุด แทบทุกแอปรองรับ ทราฟฟิกไม่ได้ปลอมเป็นอะไร อาศัยการที่ “ดูไม่ออกว่าเป็นอะไร”
• ShadowsocksR (SSR): สาขาแยกยุคแรกของ SS เพิ่มปลั๊กอินพรางข้อมูล โปรเจกต์ต้นฉบับหยุดพัฒนาไปนานแล้ว แอปรุ่นใหม่ส่วนใหญ่ไม่รองรับ และผู้ให้บริการที่ยังใช้ก็น้อยลงเรื่อยๆ
• VMess: โปรโตคอลดั้งเดิมของ V2Ray มีการเข้ารหัสและตรวจเวลาในตัว ถ้าเวลาบนเครื่องคลาดเคลื่อนมากจะเชื่อมต่อไม่ได้ มักใช้คู่กับ WebSocket + TLS
• VLESS: VMess ฉบับย่อ ไม่เข้ารหัสเอง แต่ปล่อยให้ TLS ชั้นนอกทำแทน ใช้คู่กับ XTLS Vision หรือ Reality เป็นชุดหลักบน TCP ในตอนนี้
• Trojan: ใส่ทราฟฟิกพร็อกซีไว้ในการเชื่อมต่อ TLS ของจริง มองจากภายนอกเหมือนเปิดเว็บ HTTPS ธรรมดา ตั้งค่าง่าย ใช้ TCP 443
• Hysteria2: สร้างบน QUIC วิ่งบน UDP คุมความเร็วการส่งเอง บนเส้นทางที่แพ็กเก็ตหายเยอะจะเร็วกว่าโปรโตคอลบน TCP มาก
• TUIC: สร้างบน QUIC วิ่งบน UDP เช่นกัน แนวคิดคล้าย Hysteria2 แต่ใช้การควบคุมความแออัดแบบมาตรฐาน ความเร็วนุ่มนวลกว่า แอปที่รองรับน้อยกว่า Hysteria2 เล็กน้อย
• NaiveProxy: ใช้สแต็กเครือข่ายของ Chrome ตรงๆ วิ่งบน HTTP/2 ลักษณะทราฟฟิกใกล้เคียงเบราว์เซอร์จริงที่สุด ความเร็วกลางๆ แอปที่รองรับมีน้อย
• WireGuard: ถ้าพูดกันตรงๆ คือโปรโตคอล VPN ผู้ให้บริการบางรายเอามันหรือ Cloudflare WARP มาทำเป็นโหนด วิ่งบน UDP เร็ว แต่ไม่ปลอมตัวเลย จึงสังเกตได้ง่าย

Shadowsocks เป็นโปรโตคอลบายพาสการบล็อกตัวแรกที่ได้รับความนิยม เป้าหมายมีอย่างเดียว คือเข้ารหัสทราฟฟิกให้กลายเป็นไบต์ที่ดูไม่ออกว่ามีรูปแบบ ไม่มีการปลอมแฮนด์เชก โอเวอร์เฮดต่ำที่สุด ประหยัดแบตบนมือถือที่สุด อุปกรณ์สเปกต่ำอย่างเราเตอร์ก็รันไหว โหนด SS ที่ผู้ให้บริการแจกตอนนี้มักใช้การเข้ารหัสแบบ AEAD (aes-128-gcm, chacha20-ietf-poly1305) หรือแบบ 2022 ที่ใหม่กว่า ไม่แนะนำโหนดที่ยังใช้การเข้ารหัสเก่าอย่าง rc4-md5 หรือ aes-256-cfb

SSR เป็นสาขาแยกของ SS ที่เพิ่มปลั๊กอินสองแบบคือ protocol และ obfs โปรเจกต์ต้นฉบับหยุดพัฒนาไปหลายปีแล้ว คอร์ใหม่อย่าง Clash Meta และ sing-box รองรับแบบจำกัดหรือถอดออกไปแล้ว ถ้าผู้ให้บริการยังชูโหนด SSR เป็นหลัก แปลว่าระบบหลังบ้านไม่ได้อัปเดตมานาน

จุดอ่อนของ SS ก็คือ “ไม่ปลอมตัว” นี่แหละ มันไม่เหมือนทราฟฟิกปกติแบบไหนเลย ในเครือข่ายที่ตรวจเข้มงวด ทราฟฟิกที่ดูไม่ออกว่าเป็นอะไรก็อาจโดนจับตาเป็นพิเศษ ผู้ให้บริการหลายรายจึงให้โหนด SS วิ่งผ่านเส้นทางส่งต่อหรือเส้นทางเฉพาะ เพื่อไม่ให้ช่วงข้ามประเทศถูกเปิดเผยตรงๆ ซึ่งเป็นความดีของเส้นทาง ไม่ใช่ของโปรโตคอล

V2Ray (และ Xray ที่แยกออกมาทีหลัง) เป็นแพลตฟอร์มพร็อกซี VMess กับ VLESS คือโปรโตคอลของมันเอง แนวคิดคือแบ่งเป็นชั้น ชั้นในเป็นโปรโตคอลพร็อกซี ชั้นนอกเลือกวิธีส่งข้อมูลได้หลายแบบ เช่น TCP ตรงๆ, WebSocket, gRPC, HTTP/2 แล้วครอบด้วย TLS อีกที คุณจึงมักเห็นชื่อโหนดยาวๆ อย่าง “VMess + WS + TLS” หรือ “VLESS + gRPC”

VMess เข้ารหัสในตัวและใช้เวลาบนเครื่องในการตรวจสอบ ถ้าเวลาบนมือถือหรือคอมพิวเตอร์ต่างจากเวลามาตรฐานมากเกินไป จะเชื่อมต่อโหนดไม่ได้เลย นี่คือสาเหตุที่พบบ่อยที่สุดอย่างหนึ่งที่โหนด VMess “หมดเวลาทั้งหมด” ส่วน VLESS ตัดการเข้ารหัสและการตรวจเวลาออก ฝากความปลอดภัยไว้กับ TLS ชั้นนอกทั้งหมด จึงเบากว่า แต่การใช้ VLESS แบบไม่มี TLS ครอบนั้นไม่ปลอดภัย

XTLS Vision และ Reality เป็นสองเทคโนโลยีที่ Xray ทำมาใช้คู่กับ VLESS Vision แก้ปัญหาลักษณะเด่นและความสิ้นเปลืองจากการ “ซ้อน TLS ไว้ใน TLS” ส่วน Reality ทำให้โหนดไม่ต้องมีโดเมนและใบรับรองของตัวเอง ตอนแฮนด์เชกจะยืมลักษณะใบรับรองของเว็บไซต์ใหญ่ที่มีอยู่จริง มองจากภายนอกเหมือนกำลังเข้าเว็บนั้น ชุด “VLESS + Reality + Vision” คือกำลังหลักของโหนดเชื่อมต่อตรงของผู้ให้บริการหลายรายในตอนนี้

โหนดที่ครอบด้วย WebSocket วางไว้หลัง CDN ได้ ที่อยู่จริงของโหนดจึงไม่ถูกเปิดเผย ถ้าโดนบล็อกก็แค่เปลี่ยนทางเข้า แลกกับการที่ต้องอ้อมเพิ่มอีกทอด ทั้งดีเลย์และความเร็วจะลดลง

Trojan ทำแบบตรงไปตรงมา: สร้างการเชื่อมต่อ TLS มาตรฐานกับโหนด เหมือนการเปิดเว็บ HTTPS ทุกประการ แล้วใส่ข้อมูลพร็อกซีไว้ในการเชื่อมต่อนั้น ใครที่ไม่รู้รหัสผ่านแล้วลองตรวจพอร์ตนี้ จะเห็นแค่หน้าเว็บธรรมดา

ตัวเลือกในการตั้งค่ามีน้อย ตั้งผิดยาก แอปรองรับกว้าง เทียบกับ “VLESS + TLS” แล้วต่างกันไม่มาก ทั้งคู่เป็นการปลอมตัวด้วย TLS บน TCP 443 แต่ Trojan ต้องให้โหนดมีโดเมนและใบรับรองของตัวเอง

โปรโตคอลบน TCP มีจุดอ่อนร่วมกันข้อหนึ่ง: พอเส้นทางมีแพ็กเก็ตหาย TCP จะลดความเร็วเอง ช่วงหัวค่ำที่เส้นทางข้ามประเทศแพ็กเก็ตหายเยอะ ดูวิดีโอจะกระตุกชัดเจน ตระกูล QUIC ที่จะพูดถึงต่อไปนี้ถูกสร้างมาเพื่อแก้จุดนี้

Hysteria2 และ TUIC สร้างอยู่บน QUIC และวิ่งบน UDP ตัว QUIC เองเป็นโปรโตคอลขนส่งที่ HTTP/3 ใช้ ทราฟฟิกของสองโปรโตคอลนี้จึงดูจากภายนอกเหมือนกำลังเปิดเว็บ HTTP/3

จุดเด่นที่สุดของ Hysteria2 คือคุมความเร็วการส่งเอง: เมื่อแพ็กเก็ตหายจะไม่ลดความเร็วลงฮวบฮาบแบบ TCP แต่ส่งต่อตามแบนด์วิดท์ที่คุณตั้งไว้ บนเส้นทางข้ามประเทศที่แพ็กเก็ตหายเยอะ มักเร็วกว่าโปรโตคอลบน TCP หลายเท่า ส่วนบนเส้นทางที่สะอาดอยู่แล้วจะเห็นข้อได้เปรียบไม่ชัด

TUIC แนวคิดคล้ายกัน แต่ใช้อัลกอริทึมควบคุมความแออัดแบบมาตรฐานที่ใช้กันทั่วไป “เกรงใจ” ผู้ใช้คนอื่นบนเส้นทางมากกว่า กราฟความเร็วนิ่งกว่า แต่การรับมือกับแพ็กเก็ตหายไม่ดุดันเท่า Hysteria2

จุดอ่อนของตระกูลนี้คือ UDP: เครือข่ายบางแห่งในบริษัท มหาวิทยาลัย หรือโรงแรมจำกัดความเร็ว UDP หรือบล็อกทั้งหมด ตอนนั้น Hysteria2 และ TUIC จะเชื่อมต่อไม่ได้หรือช้ามาก ต้องสลับกลับไปใช้ Trojan หรือ VLESS ที่วิ่งบน TCP และถ้าส่งข้อมูลความเร็วสูงนานๆ บนมือถือ ก็จะกินแบตมากกว่า SS อยู่บ้าง

• NaiveProxy: ใช้โค้ดเครือข่ายของเบราว์เซอร์ Chrome ตรงๆ สร้างการเชื่อมต่อ HTTP/2 ลักษณะแฮนด์เชกตรงกับเบราว์เซอร์จริง แอปที่รองรับมีไม่มาก (ตระกูล sing-box และแอปเดสก์ท็อปบางตัว) จึงพบไม่บ่อยในผู้ให้บริการพร็อกซี
• WireGuard / WARP: WireGuard เป็นโปรโตคอล VPN แพ็กเก็ตแฮนด์เชกมีลักษณะตายตัว ไม่ปลอมตัว ผู้ให้บริการบางรายใช้ Cloudflare WARP เป็นขาออกเพื่อปลดล็อกสตรีมมิ่งหรือ ChatGPT ซึ่งเป็นเรื่อง “ขาออกใช้ IP อะไร” คนละเรื่องกับโปรโตคอลที่ใช้ระหว่างคุณกับโหนด
• Snell: โปรโตคอลจากผู้สร้าง Surge น้ำหนักเบา ใช้ในแอปอย่าง Surge และ Stash เป็นหลัก แอปอื่นแทบไม่รองรับ
• ShadowTLS: ครอบ SS ด้วยแฮนด์เชก TLS ของจริงอีกชั้น ให้ทราฟฟิก SS ดูเหมือนกำลังเข้าเว็บไซต์หนึ่ง ต้องรองรับทั้งฝั่งแอปและฝั่งโหนด
• พร็อกซี HTTP / HTTPS / SOCKS5: วิธีพร็อกซีพื้นฐานที่สุด HTTP และ SOCKS5 ที่ไม่เข้ารหัสเหมาะกับใช้ในเครื่องหรือในวงแลนเท่านั้น ถ้าข้ามประเทศต้องใช้พร็อกซี HTTPS ที่มี TLS

• ดูต้นลิงก์แชร์: ss:// คือ Shadowsocks, ssr:// คือ SSR, vmess:// คือ VMess, vless:// คือ VLESS, trojan:// คือ Trojan, hysteria2:// หรือ hy2:// คือ Hysteria2, tuic:// คือ TUIC
• ดูรายการโหนดในแอป: ตระกูล Clash และ Shadowrocket จะแสดงประเภทไว้ข้างชื่อโหนด (Shadowsocks, Vmess, Vless, Trojan, Hysteria2, TUIC)
• ดูเนื้อหาในซับสคริปชัน Clash: แต่ละโหนดมีบรรทัด type ซึ่งก็คือชื่อโปรโตคอล ส่วน network (ws, grpc), tls, reality-opts ที่อยู่ข้างๆ คือวิธีส่งข้อมูลชั้นนอก
• ซับสคริปชันจากผู้ให้บริการมักแบ่งเป็นแบบ Clash, แบบ sing-box และแบบทั่วไป (ลิงก์แชร์บรรทัดละหนึ่งลิงก์ มักเข้ารหัส Base64) ข้างในเป็นโหนดชุดเดียวกัน ต่างกันแค่รูปแบบ เลือกตามแอปที่ใช้ และอย่าเอาลิงก์ซับสคริปชันที่มีข้อมูลบัญชีไปใส่ในเว็บ “แปลงซับสคริปชัน” ของบุคคลที่สาม

• แอปที่ใช้คอร์ Clash Meta (mihomo) ได้แก่ Clash Verge, FlClash, Mihomo Party, Clash Nyanpasu, ClashX Meta, OpenClash: รองรับ SS, VMess, VLESS (รวม Reality), Trojan, Hysteria2, TUIC, WireGuard
• Clash ตัวดั้งเดิมและ Clash for Windows: คอร์หยุดอัปเดตไปนานแล้ว รู้จักแค่โปรโตคอลเก่าอย่าง SS, VMess, Trojan ไม่มี VLESS, Hysteria2, TUIC ถ้ายังใช้อยู่ ให้เปลี่ยนไปใช้แอปคอร์ mihomo ข้างบน
• แอปที่ใช้คอร์ sing-box ได้แก่ แอปทางการของ sing-box, Hiddify, Karing, NekoBox: รองรับโปรโตคอลใหม่ครบที่สุด รวมถึง Hysteria2, TUIC, NaiveProxy, ShadowTLS
• Shadowrocket (iOS, เสียเงิน): รองรับโปรโตคอลหลักแทบทั้งหมด นำเข้าได้ทั้งลิงก์แชร์และซับสคริปชัน Clash
• v2rayN (Windows), v2rayNG (Android): ใช้คอร์ Xray เป็นหลัก เด่นเรื่อง VMess, VLESS, Trojan, SS รุ่นใหม่ก็รองรับ Hysteria2 และโปรโตคอลอื่นด้วย
• Stash (iOS / macOS): ใช้ซับสคริปชันรูปแบบ Clash รองรับ Hysteria2, TUIC, Snell ฯลฯ
• Surge, Quantumult X, Loon: แต่ละตัวมีรูปแบบการตั้งค่าของตัวเอง โปรโตคอลที่รองรับให้ดูจากบันทึกการอัปเดตของแต่ละแอป ผู้ให้บริการมักแจกซับสคริปชันแยกสำหรับแอปเหล่านี้

• เน็ตบ้าน ไม่จำกัด UDP แต่ช่วงหัวค่ำดูวิดีโอกระตุก: เลือก Hysteria2 ก่อน รองลงมาคือ TUIC
• เครือข่ายบริษัท มหาวิทยาลัย หรือโรงแรมที่จำกัด UDP หรือเชื่อม Hysteria2 ไม่ได้: เปลี่ยนไปใช้ Trojan หรือ VLESS (Reality / TLS) ที่วิ่งบน TCP 443
• ใช้เน็ตมือถือ อยากประหยัดแบต หรือแค่เล่นเว็บและแชต: SS หรือ VLESS ที่เบาๆ ก็พอ
• โหนด “หมดเวลาทั้งหมด”: ตรวจก่อนว่าเวลาบนเครื่องตรงไหม (VMess ไวต่อเวลา) แล้วอัปเดตซับสคริปชันอีกรอบ จากนั้นลองโหนดโปรโตคอลอื่น
• ช้าไม่ได้แปลว่าโปรโตคอลมีปัญหาเสมอไป: โปรโตคอลเดียวกัน เส้นทางแบบเชื่อมต่อตรง แบบส่งต่อ หรือเส้นทางเฉพาะ ต่างกันมากกว่าความต่างระหว่างโปรโตคอลเยอะ ลองเปลี่ยนโหนดหรือเปลี่ยนภูมิภาคก่อน แล้วค่อยคิดเรื่องเปลี่ยนโปรโตคอล
• ไม่อยากศึกษาเรื่องพวกนี้: ใช้ VPN ที่ผู้ให้บริการจัดการให้ครบ ทั้งแอปและเส้นทางตั้งค่าไว้ให้แล้ว

LeoTun ไม่ใช่ผู้ให้บริการเส้นทางพร็อกซี แต่เป็นบริการ VPN ที่มีวิธีเชื่อมต่อหกแบบใช้บัญชีเดียวกัน แต่ในนั้นมีวิธี Hiddify ที่ให้ลิงก์ซับสคริปชันแบบเดียวกับผู้ให้บริการพร็อกซี โปรโตคอลคือ Hysteria2 หลังล็อกอินแล้ว ไปที่หน้า Hiddify กดธงของภูมิภาค หน้าต่างที่เด้งขึ้นมามีซับสคริปชันสามแบบ: ซับสคริปชัน sing-box (Hiddify, sing-box, Karing), ซับสคริปชัน Clash (Clash Meta, Clash Verge, FlClash, Stash ฯลฯ) และลิงก์แชร์ hysteria2 (NekoBox, Shadowrocket, v2rayN ฯลฯ) กดปุ่มที่ตรงกับแอปของคุณได้เลย ไม่ต้องแปลงซับสคริปชัน ขั้นตอนนำเข้าดูที่ วิธีนำเข้าลิงก์ซับสคริปชัน

ถ้าเครือข่ายที่ใช้บล็อก UDP จน Hysteria2 เชื่อมไม่ได้ บัญชีเดียวกันนี้เปลี่ยนไปใช้ Cisco (AnyConnect) ที่วิ่งบน TLS หรือ Web Proxy ที่ดูแลเฉพาะเบราว์เซอร์ก็ได้ ส่วนวิธี OpenVPN ใช้โปรโตคอล OpenVPN และวิธี “ส่วนตัว” สร้างบน WireGuard โปรโตคอลของแต่ละวิธีดูที่ เทียบโปรโตคอล VPN และวิธีเลือกดูที่ วิธีเชื่อมต่อแต่ละแบบเหมาะกับสถานการณ์ไหน