Proxy protokolleri karşılaştırması: SS, VMess, VLESS, Trojan, Hysteria2, TUIC

Proxy hattı sağlayıcısı, proxy hatları satan ve size bir abonelik bağlantısı veren firmadır. Sunucular (düğümler) bu aboneliğin içindeki tek tek makinelerdir. Protokol, sunucu ile cihazınız arasındaki trafiğin nasıl şifrelenip nasıl gizleneceğine dair kuraldır. İstemci de cihazınızda aboneliği içe aktardığınız programdır: Clash ailesi (Clash Meta, Clash Verge, FlClash, Stash), Shadowrocket, v2rayN, v2rayNG, sing-box, Hiddify gibi.

Aynı sağlayıcının farklı sunucuları farklı protokoller kullanabilir; tek bir istemci de birkaç protokoldeki sunucuları bir arada tutabilir. Yani “hangi engel aşma yolu iyi” sorusu aslında üç sorudur: Bu sağlayıcının hatları ne kadar kaliteli, bu sunucunun protokolü şu anki ağınıza uygun mu ve istemciniz onu destekliyor mu? Bu yazı yalnızca ortadakini anlatıyor.

Proxy hattı sağlayıcısı, hızlandırıcı ve VPN arasındaki fark ayrı bir konu: Proxy hattı sağlayıcısı, hızlandırıcı ve VPN farkı. OpenVPN, WireGuard, AnyConnect gibi VPN protokolleri için: VPN protokolleri karşılaştırması.

• Shadowsocks (SS): TCP kullanır; en hafif ve pil dostu olanıdır, neredeyse her istemci destekler. Trafiği başka bir şeye benzetmez; dayandığı şey, ne olduğunun anlaşılmamasıdır.
• ShadowsocksR (SSR): SS'nin erken bir dalı, karıştırma (obfuscation) eklentileri ekler. Asıl proje çoktan bırakıldı; yeni istemcilerin çoğu artık desteklemiyor ve onu kullanan sağlayıcılar giderek azalıyor.
• VMess: V2Ray'in ilk protokolü; kendi şifrelemesi ve zaman doğrulaması vardır, cihaz saati çok saparsa bağlanamaz. Genellikle WebSocket + TLS katmanıyla kullanılır.
• VLESS: VMess'in sadeleştirilmiş hâli; kendisi şifrelemez, bu işi dıştaki TLS'e bırakır. XTLS Vision ya da Reality ile birlikte bugün TCP tarafının ana kombinasyonudur.
• Trojan: Proxy trafiğini gerçek bir TLS bağlantısının içine koyar; dışarıdan bir HTTPS sitesine giriliyormuş gibi görünür. Ayarı basittir, TCP 443 kullanır.
• Hysteria2: QUIC tabanlı, UDP kullanır ve gönderme hızını kendisi yönetir; paket kaybı yüksek hatlarda TCP kullanan protokollerden çok daha hızlıdır.
• TUIC: Yine QUIC tabanlı ve UDP kullanır, fikri Hysteria2'ye yakındır; standart sıkışıklık denetimi kullandığı için hızı daha ılımlıdır. İstemci desteği Hysteria2'den biraz azdır.
• NaiveProxy: Doğrudan Chrome'un ağ yığınını kullanarak HTTP/2 üzerinden gider; trafiği gerçek bir tarayıcıya en çok benzeyenidir. Hızı ortalama, onu destekleyen istemci azdır.
• WireGuard: Aslında bir VPN protokolüdür; bazı sağlayıcılar onu ya da Cloudflare WARP'ı sunucu olarak verir. UDP kullanır, hızlıdır ama hiçbir gizlemesi yoktur, izi belirgindir.

Shadowsocks, yaygınlaşan ilk engel aşma protokolüdür ve tek bir hedefle tasarlanmıştır: trafiği düzeni olmayan bir bayt yığını gibi şifrelemek. Taklit edilen bir el sıkışması yoktur, ek yükü en düşüktür; telefonda en az pil yer, router gibi zayıf cihazlarda bile rahat çalışır. Bugün sağlayıcıların verdiği SS sunucuları genellikle AEAD şifreleme (aes-128-gcm, chacha20-ietf-poly1305) ya da daha yeni 2022 şifreleme yöntemlerini kullanır; rc4-md5, aes-256-cfb gibi eski şifrelemelerle çalışan sunucuları kullanmayın.

SSR, SS'nin bir dalıdır ve protokol ile karıştırma olmak üzere iki tür eklenti ekler. Asıl projesi yıllar önce bırakıldı; Clash Meta, sing-box gibi yeni çekirdeklerde desteği ya sınırlıdır ya da tamamen kaldırılmıştır. Bir sağlayıcı ağırlıklı olarak SSR sunuyorsa, arka tarafını uzun süredir güncellemiyor demektir.

SS'nin zayıf noktası da “gizlemesi olmaması”dır: Hiçbir normal trafiğe benzemez ve sıkı denetlenen ağlarda türü anlaşılamayan trafik kendi başına dikkat çekebilir. Bu yüzden birçok sağlayıcı SS sunucularını yönlendirme (forwarding) hatlarıyla ya da özel hatlarla kullanır; böylece sınır ötesi kısım doğrudan açıkta kalmaz. Bu, protokolün değil hattın başarısıdır.

V2Ray (ve sonradan ondan ayrılan Xray) bir proxy platformudur; VMess ve VLESS onun kendi iki protokolüdür. Mantığı katmanlıdır: İçte proxy protokolü, dışta ise farklı taşıma yolları (doğrudan TCP, WebSocket, gRPC, HTTP/2) ve üstüne TLS. Sunucu adlarında “VMess + WS + TLS”, “VLESS + gRPC” gibi uzun dizileri bu yüzden görürsünüz.

VMess kendi şifrelemesini taşır ve cihaz saatiyle doğrulama yapar: Telefonunuzun ya da bilgisayarınızın saati gerçek saatten çok saparsa sunucu hiç bağlanmaz. VMess sunucularının “hepsi zaman aşımında” görünmesinin en yaygın nedenlerinden biri budur. VLESS bu şifrelemeyi ve zaman doğrulamasını kaldırır, güvenliği tamamen dıştaki TLS'e bırakır; bu yüzden daha hafiftir, ama TLS olmadan çıplak VLESS kullanmak güvenli değildir.

XTLS Vision ve Reality, Xray'in VLESS için sunduğu iki teknolojidir. Vision, “TLS içinde bir TLS daha” durumunun yarattığı izi ve israfı giderir. Reality ise sunucunun kendi alan adına ve sertifikasına ihtiyaç duymamasını sağlar: El sıkışmada gerçek, büyük bir sitenin sertifika özelliklerini ödünç alır; dışarıdan o siteye giriliyormuş gibi görünür. “VLESS + Reality + Vision”, bugün birçok sağlayıcının doğrudan bağlanan sunucularında ana kombinasyondur.

WebSocket katmanlı sunucular bir CDN'in arkasına konabilir; sunucunun gerçek adresi görünmez, engellenirse başka bir giriş noktasına geçmek yeterlidir. Bedeli de bir dolambaç daha olmasıdır: Gecikme ve hız düşer.

Trojan'ın yöntemi çok yalındır: Sunucuyla standart bir TLS bağlantısı kurar (bir HTTPS sitesini açmakla birebir aynı) ve proxy verisini bu bağlantının içine koyar. Parolayı bilmeyen biri bu portu yokladığında karşısına normal bir web sayfası çıkar.

Ayar seçenekleri azdır, yanlış yapılandırmak zordur ve istemci desteği geniştir. “VLESS + TLS” ile arasında büyük fark yoktur; ikisi de TCP 443 üzerinde TLS kılığına bürünür. Trojan için sunucunun kendi alan adı ve sertifikası olması gerekir.

TCP kullanan protokollerin ortak bir zaafı var: Hatta paket kaybı olunca TCP kendiliğinden hızını düşürür. Akşam saatlerinde sınır ötesi hatlarda paket kaybı arttığında video belirgin şekilde takılır. Aşağıda anlatılan QUIC ailesi tam da bu sorun için var.

Hysteria2 ve TUIC ikisi de QUIC üzerine kuruludur ve UDP kullanır. QUIC, HTTP/3'ün kullandığı taşıma protokolüdür; bu yüzden bu iki protokolün trafiği dışarıdan bir HTTP/3 sitesine giriliyormuş gibi görünür.

Hysteria2'nin en belirgin özelliği gönderme hızını kendisinin yönetmesidir: Paket kaybında TCP gibi hızı sertçe düşürmez, ayarladığınız bant genişliğiyle göndermeye devam eder. Paket kaybı yüksek sınır ötesi hatlarda TCP kullanan protokollerden çoğu zaman birkaç kat hızlıdır; zaten temiz olan hatlarda bu avantaj pek hissedilmez.

TUIC'in fikri benzerdir, ama yaygın, standart bir sıkışıklık denetimi kullanır. Hattaki diğer kullanıcılara karşı daha “nazik”tir, hız eğrisi daha düzgündür; paket kaybına karşı Hysteria2 kadar agresif değildir.

Bu ailenin zaafı UDP'dir: Bazı şirket, okul ve otel ağları UDP'yi yavaşlatır, hatta tamamen engeller. Bu durumda Hysteria2 ve TUIC ya bağlanmaz ya da çok yavaştır; TCP kullanan Trojan ya da VLESS'e dönmeniz gerekir. Telefonda uzun süreli yüksek hızlı aktarımda pil tüketimi de SS'ye göre biraz daha yüksektir.

• NaiveProxy: HTTP/2 bağlantısını doğrudan Chrome tarayıcısının ağ koduyla kurar; el sıkışma izi gerçek bir tarayıcıyla aynıdır. Destekleyen istemci azdır (sing-box ailesi, bazı masaüstü istemcileri), sağlayıcılarda nadir görülür.
• WireGuard / WARP: WireGuard bir VPN protokolüdür; el sıkışma paketlerinin sabit bir izi vardır, gizleme yoktur. Bazı sağlayıcılar Cloudflare WARP'ı yayın platformlarının ya da ChatGPT'nin kilidini açmak için çıkış olarak kullanır. Bu “çıkışta hangi adres kullanılıyor” meselesidir; sizinle sunucu arasında hangi protokolün kullanıldığından ayrı bir konudur.
• Snell: Surge'ün geliştiricisinin yaptığı hafif bir protokol; çoğunlukla Surge ve Stash gibi istemcilerde kullanılır, diğer istemciler neredeyse hiç desteklemez.
• ShadowTLS: SS'nin dışına gerçek bir TLS el sıkışması ekler; SS trafiği bir siteye giriliyormuş gibi görünür. Hem istemcinin hem sunucunun desteklemesi gerekir.
• HTTP / HTTPS / SOCKS5 proxy: En temel proxy türleri. Şifresiz HTTP ve SOCKS5 yalnızca kendi bilgisayarınızda ya da yerel ağda kullanılmalı; sınır ötesi kullanım için TLS'li HTTPS proxy gerekir.

• Paylaşım bağlantısının başına bakın: ss:// Shadowsocks, ssr:// SSR, vmess:// VMess, vless:// VLESS, trojan:// Trojan, hysteria2:// ya da hy2:// Hysteria2, tuic:// TUIC'tir.
• İstemcinin sunucu listesine bakın: Clash ailesi ve Shadowrocket sunucu adının yanında türünü gösterir (Shadowsocks, Vmess, Vless, Trojan, Hysteria2, TUIC).
• Clash aboneliğinin içeriğine bakın: Her sunucunun bir type satırı vardır ve orada protokolün adı yazar; yanındaki network (ws, grpc), tls ve reality-opts dış taşıma katmanını gösterir.
• Sağlayıcıların verdiği abonelikler genelde birkaç türdür: Clash aboneliği, sing-box aboneliği ve genel abonelik (her satırda bir paylaşım bağlantısı, çoğu zaman Base64 ile kodlanmış). İçlerindeki sunucular aynıdır, yalnızca biçim farklıdır; istemcinize göre seçin. Kimlik bilgisi içeren abonelik bağlantınızı üçüncü taraf “abonelik dönüştürme” sitelerine vermeyin.

• Clash Meta (mihomo) çekirdekli istemciler (Clash Verge, FlClash, Mihomo Party, Clash Nyanpasu, ClashX Meta, OpenClash): SS, VMess, VLESS (Reality dahil), Trojan, Hysteria2, TUIC ve WireGuard'ın hepsini destekler.
• Orijinal Clash ve Clash for Windows: Çekirdekleri çoktan güncellenmez oldu; yalnızca SS, VMess, Trojan gibi eski protokolleri tanır, VLESS, Hysteria2, TUIC yoktur. Hâlâ bunu kullanıyorsanız yukarıdaki mihomo çekirdekli bir istemciye geçin.
• sing-box çekirdekli istemciler (resmî sing-box uygulaması, Hiddify, Karing, NekoBox): Yeni protokol desteği en kapsamlı olanlardır; Hysteria2, TUIC, NaiveProxy ve ShadowTLS dahil.
• Shadowrocket (iOS, ücretli): Yaygın protokollerin neredeyse hepsini destekler; hem paylaşım bağlantılarını hem Clash aboneliklerini içe aktarabilir.
• v2rayN (Windows), v2rayNG (Android): Ağırlıklı olarak Xray çekirdeğini kullanır; güçlü oldukları alan VMess, VLESS, Trojan ve SS'dir. Yeni sürümlerde Hysteria2 gibi protokollerin desteği de var.
• Stash (iOS / macOS): Clash biçimindeki abonelikleri okur; Hysteria2, TUIC, Snell gibi protokolleri destekler.
• Surge, Quantumult X, Loon: Her birinin kendi yapılandırma biçimi vardır; desteklenen protokoller için kendi sürüm notlarına bakın. Sağlayıcılar bunlar için genellikle ayrı bir abonelik verir.

• Ev interneti, UDP kısıtlaması yok ama akşam saatlerinde video takılıyor: önce Hysteria2, sonra TUIC.
• Şirket, okul ya da otel ağı; UDP kısıtlı ya da Hysteria2 bağlanmıyor: Trojan ya da VLESS (Reality / TLS) gibi TCP 443 kullananlara geçin.
• Mobil veri, pil tasarrufu ya da yalnızca web gezintisi ve mesajlaşma: SS, VLESS gibi hafif olanlar yeter.
• Sunucuların “hepsi zaman aşımında”: Önce cihaz saatinin doğru olup olmadığına bakın (VMess saate duyarlıdır), sonra aboneliği bir kez güncelleyin, ardından başka bir protokoldeki sunucuyu deneyin.
• Yavaşlık her zaman protokolden kaynaklanmaz: Aynı protokolde doğrudan, yönlendirmeli ve özel hat arasındaki fark, protokoller arasındaki farktan çok daha büyüktür. Önce sunucuyu ve bölgeyi değiştirin, protokolü sonra düşünün.
• Bunlarla uğraşmak istemiyorsanız: İstemciyi ve hatları sizin yerinize ayarlayan, her şeyi kapsayan bir VPN hizmeti kullanın.

LeoTun bir proxy hattı sağlayıcısı değil; altı bağlantı yönteminin tek bir hesabı paylaştığı bir VPN hizmetidir. Ancak bu yöntemlerden Hiddify (trafik gizleme), tam da sağlayıcıların verdiği türden bir abonelik bağlantısı verir ve protokolü Hysteria2'dir. Giriş yaptıktan sonra Hiddify sayfasında bir bölgenin bayrağına tıklayın; açılan pencerede üç tür abonelik vardır: sing-box aboneliği (Hiddify, sing-box, Karing), Clash aboneliği (Clash Meta, Clash Verge, FlClash, Stash vb.) ve hysteria2 paylaşım bağlantısı (NekoBox, Shadowrocket, v2rayN vb.). İstemcinize uyan düğmeye basmanız yeterli, abonelik dönüştürmeye gerek yoktur. İçe aktarma adımları: Proxy aboneliği bağlantısı nasıl içe aktarılır.

Bulunduğunuz ağ UDP'yi tamamen kısıtladığında ve Hysteria2 bağlanmadığında, aynı hesapla TLS üzerinden çalışan Cisco'ya (AnyConnect) ya da yalnızca tarayıcıyı kapsayan Web Proxy'ye geçebilirsiniz. OpenVPN yöntemi adı üstünde OpenVPN kullanır; Özel ağ ise WireGuard tabanlıdır. Her yöntemin protokolü için: VPN protokolleri karşılaştırması; seçim için: Hangi bağlantı yöntemi hangi duruma uyar.