So sánh giao thức proxy: SS, VMess, VLESS, Trojan, Hysteria2, TUIC

Nhà cung cấp đường truyền proxy là bên bán đường truyền, thứ họ giao cho bạn là một link subscription. Node là từng máy chủ trong subscription đó. Giao thức là quy ước giữa node và thiết bị của bạn về cách mã hóa và ngụy trang. Ứng dụng (client) là phần mềm trên máy bạn dùng để nhập subscription, ví dụ họ Clash (Clash Meta, Clash Verge, FlClash, Stash), Shadowrocket, v2rayN, v2rayNG, sing-box, Hiddify.

Các node của cùng một nhà cung cấp có thể dùng giao thức khác nhau, và một ứng dụng cũng chứa được node của nhiều giao thức. Vì vậy câu hỏi “vượt tường lửa cách nào tốt” thật ra gồm ba câu: đường truyền của nhà cung cấp này chất lượng ra sao, giao thức của node này có hợp với mạng bạn đang dùng không, và ứng dụng của bạn có hỗ trợ nó không. Bài này chỉ bàn câu thứ hai.

Khác biệt giữa nhà cung cấp proxy, dịch vụ tăng tốc và VPN là chuyện khác, xem bài Nhà cung cấp proxy, dịch vụ tăng tốc và VPN khác nhau thế nào; các giao thức VPN như OpenVPN, WireGuard, AnyConnect xem bài So sánh giao thức VPN.

• Shadowsocks (SS): chạy TCP, nhẹ nhất, tiết kiệm pin nhất, gần như ứng dụng nào cũng hỗ trợ; lưu lượng không giả làm thứ gì khác mà dựa vào việc “không nhận ra được là gì”.
• ShadowsocksR (SSR): nhánh cũ của SS, thêm plugin làm rối (obfs); dự án gốc đã ngừng bảo trì từ lâu, phần lớn ứng dụng mới không còn hỗ trợ, ngày càng ít nhà cung cấp còn dùng.
• VMess: giao thức đầu tiên của V2Ray, tự mã hóa và có kiểm tra thời gian, đồng hồ thiết bị lệch quá nhiều sẽ không kết nối được; thường bọc thêm WebSocket + TLS.
• VLESS: bản tinh gọn của VMess, tự nó không mã hóa mà giao cho lớp TLS bên ngoài; đi cùng XTLS Vision hoặc Reality là bộ đôi chạy TCP phổ biến nhất hiện nay.
• Trojan: đặt lưu lượng proxy vào một kết nối TLS thật, nhìn từ ngoài chỉ như đang vào một trang HTTPS; cấu hình đơn giản, chạy TCP 443.
• Hysteria2: dựa trên QUIC, chạy UDP, tự điều khiển tốc độ gửi, trên đường truyền mất gói nhiều thì nhanh hơn hẳn các giao thức TCP.
• TUIC: cũng dựa trên QUIC, chạy UDP, ý tưởng gần với Hysteria2 nhưng dùng cơ chế kiểm soát tắc nghẽn tiêu chuẩn nên tốc độ ôn hòa hơn; ít ứng dụng hỗ trợ hơn Hysteria2 một chút.
• NaiveProxy: dùng thẳng bộ mạng của Chrome để đi HTTP/2, đặc điểm lưu lượng giống trình duyệt thật nhất; tốc độ bình thường, ít ứng dụng hỗ trợ.
• WireGuard: nói đúng ra là giao thức VPN, một số nhà cung cấp dùng nó hoặc Cloudflare WARP làm node; chạy UDP, nhanh, nhưng không hề ngụy trang, rất dễ nhận ra.

Shadowsocks là giao thức vượt tường lửa phổ biến sớm nhất, mục tiêu thiết kế chỉ có một: mã hóa lưu lượng thành một chuỗi byte không có quy luật. Nó không ngụy trang lúc bắt tay, tốn ít tài nguyên nhất, trên điện thoại tiết kiệm pin nhất, router cấu hình yếu cũng chạy nổi. Node SS hiện nay thường dùng mã hóa AEAD (aes-128-gcm, chacha20-ietf-poly1305) hoặc kiểu mã hóa 2022 mới hơn; node còn dùng mã hóa cũ như rc4-md5, aes-256-cfb thì không nên dùng.

SSR là một nhánh của SS, thêm hai loại plugin “protocol” và “obfs”. Dự án gốc đã ngừng bảo trì từ nhiều năm trước; các lõi mới như Clash Meta, sing-box hỗ trợ nó rất hạn chế hoặc đã bỏ hẳn. Nhà cung cấp nào vẫn lấy SSR làm chủ lực thì chứng tỏ hệ thống của họ lâu rồi không cập nhật.

Điểm yếu của SS cũng nằm ở chỗ “không ngụy trang”: nó không giống bất kỳ loại lưu lượng bình thường nào, và trong mạng kiểm tra gắt, chính việc hoàn toàn không đoán được loại lưu lượng lại dễ bị để ý. Vì thế nhiều nhà cung cấp cho node SS đi qua đường truyền chuyển tiếp hoặc đường truyền riêng để chặng vượt biên không lộ trực tiếp; đó là công của đường truyền, không phải của giao thức.

V2Ray (và nhánh sau này là Xray) là một nền tảng proxy, VMess và VLESS là hai giao thức riêng của nó. Ý tưởng là chia lớp: bên trong là giao thức proxy, bên ngoài có thể bọc các kiểu truyền tải khác nhau như TCP thuần, WebSocket, gRPC, HTTP/2, rồi thêm TLS. Đó là lý do tên node hay có một chuỗi dài kiểu “VMess + WS + TLS”, “VLESS + gRPC”.

VMess tự mã hóa và dùng giờ của thiết bị để kiểm tra: điện thoại hay máy tính lệch giờ chuẩn quá nhiều thì node sẽ không kết nối được, đây là một trong những lý do thường gặp nhất khiến node VMess “timeout hết”. VLESS bỏ lớp mã hóa và kiểm tra thời gian này, giao toàn bộ phần an toàn cho TLS bên ngoài nên nhẹ hơn, nhưng VLESS chạy trần không có TLS là không an toàn.

XTLS Vision và Reality là hai công nghệ Xray dành cho VLESS. Vision giải quyết dấu hiệu và sự lãng phí do “TLS lồng trong TLS”; Reality cho phép node không cần tên miền và chứng chỉ riêng, khi bắt tay thì mượn đặc điểm chứng chỉ của một trang web lớn có thật, nhìn từ ngoài như đang truy cập trang đó. “VLESS + Reality + Vision” hiện là bộ chủ lực cho node kết nối trực tiếp của nhiều nhà cung cấp.

Node bọc WebSocket có thể đặt sau CDN, địa chỉ thật của node không bị lộ, bị chặn thì đổi lối vào khác là xong; cái giá là phải đi vòng thêm một chặng, độ trễ và tốc độ đều bị giảm.

Cách của Trojan rất thẳng: lập một kết nối TLS chuẩn tới node, giống hệt khi mở một trang HTTPS, rồi đặt dữ liệu proxy vào bên trong kết nối đó. Ai không biết mật khẩu mà dò cổng này thì chỉ nhận được một trang web bình thường.

Nó có rất ít mục cấu hình, khó cấu hình sai, và được nhiều ứng dụng hỗ trợ. So với “VLESS + TLS” thì khác biệt không lớn, cả hai đều ngụy trang TLS trên TCP 443; Trojan cần node có tên miền và chứng chỉ riêng.

Các giao thức chạy TCP có chung một điểm yếu: đường truyền mất gói là TCP tự giảm tốc. Giờ cao điểm buổi tối, đường truyền quốc tế mất gói nhiều thì xem video sẽ giật thấy rõ; họ QUIC nói ở phần dưới sinh ra chính là để xử lý chuyện này.

Hysteria2 và TUIC đều xây trên QUIC và chạy UDP. QUIC vốn là giao thức truyền tải mà HTTP/3 dùng, nên lưu lượng của hai giao thức này nhìn từ ngoài giống như đang xem một trang web HTTP/3.

Đặc điểm lớn nhất của Hysteria2 là tự điều khiển tốc độ gửi: khi mất gói, nó không giảm tốc mạnh như TCP mà tiếp tục gửi theo băng thông bạn đặt. Trên đường truyền quốc tế mất gói nhiều, nó thường nhanh hơn các giao thức TCP vài lần; trên đường truyền vốn đã sạch thì lợi thế không rõ.

TUIC có ý tưởng tương tự nhưng dùng các thuật toán kiểm soát tắc nghẽn tiêu chuẩn thông dụng, “lịch sự” hơn với người dùng khác trên cùng đường truyền; đường tốc độ ổn định hơn, nhưng chống mất gói không quyết liệt bằng Hysteria2.

Điểm yếu của họ này là UDP: mạng ở một số công ty, trường học, khách sạn bóp tốc độ UDP hoặc chặn hẳn, lúc đó Hysteria2 và TUIC sẽ không kết nối được hoặc rất chậm, phải đổi về Trojan, VLESS chạy TCP. Trên điện thoại, truyền tốc độ cao trong thời gian dài cũng tốn pin hơn SS một chút.

• NaiveProxy: dùng thẳng mã mạng của trình duyệt Chrome để mở kết nối HTTP/2, đặc điểm bắt tay giống hệt trình duyệt thật. Không nhiều ứng dụng hỗ trợ (họ sing-box, một vài ứng dụng máy tính), hiếm gặp ở các nhà cung cấp proxy.
• WireGuard / WARP: WireGuard là giao thức VPN, gói bắt tay có dấu hiệu cố định, không ngụy trang. Một số nhà cung cấp dùng Cloudflare WARP làm cổng ra để mở khóa dịch vụ xem phim hoặc ChatGPT; đó là chuyện “ra Internet bằng địa chỉ nào”, khác với giao thức giữa bạn và node.
• Snell: giao thức do tác giả Surge làm, nhẹ, chủ yếu dùng trong các ứng dụng như Surge, Stash, ứng dụng khác gần như không hỗ trợ.
• ShadowTLS: bọc ngoài SS một lần bắt tay TLS thật, để lưu lượng SS trông như đang truy cập một trang web nào đó; cần cả ứng dụng lẫn node cùng hỗ trợ.
• Proxy HTTP / HTTPS / SOCKS5: kiểu proxy cơ bản nhất; HTTP và SOCKS5 không mã hóa chỉ nên dùng trong máy hoặc mạng nội bộ, đi ra nước ngoài phải dùng proxy HTTPS có TLS.

• Xem phần đầu link chia sẻ: ss:// là Shadowsocks, ssr:// là SSR, vmess:// là VMess, vless:// là VLESS, trojan:// là Trojan, hysteria2:// hoặc hy2:// là Hysteria2, tuic:// là TUIC.
• Xem danh sách node trong ứng dụng: họ Clash và Shadowrocket ghi loại ngay cạnh tên node (Shadowsocks, Vmess, Vless, Trojan, Hysteria2, TUIC).
• Xem nội dung subscription Clash: mỗi node có một dòng type, ghi đúng tên giao thức; các mục bên cạnh như network (ws, grpc), tls, reality-opts là kiểu truyền tải lớp ngoài.
• Subscription của nhà cung cấp thường có vài loại: subscription Clash, subscription sing-box, subscription chung (mỗi dòng một link chia sẻ, thường mã hóa Base64). Nội dung là cùng một bộ node, chỉ khác định dạng, chọn theo ứng dụng của bạn; đừng đưa link subscription có kèm thông tin đăng nhập cho các trang “chuyển đổi subscription” của bên thứ ba.

• Các ứng dụng dùng lõi Clash Meta (mihomo) như Clash Verge, FlClash, Mihomo Party, Clash Nyanpasu, ClashX Meta, OpenClash: hỗ trợ đủ SS, VMess, VLESS (cả Reality), Trojan, Hysteria2, TUIC, WireGuard.
• Clash bản gốc và Clash for Windows: lõi đã ngừng cập nhật từ lâu, chỉ nhận vài giao thức cũ như SS, VMess, Trojan, không có VLESS, Hysteria2, TUIC. Nếu còn dùng thì hãy chuyển sang ứng dụng lõi mihomo ở trên.
• Các ứng dụng lõi sing-box như app sing-box chính thức, Hiddify, Karing, NekoBox: hỗ trợ giao thức mới đầy đủ nhất, gồm cả Hysteria2, TUIC, NaiveProxy, ShadowTLS.
• Shadowrocket (iOS, trả phí): hỗ trợ gần như mọi giao thức phổ biến, nhập được cả link chia sẻ lẫn subscription Clash.
• v2rayN (Windows), v2rayNG (Android): chủ yếu dùng lõi Xray, mạnh về VMess, VLESS, Trojan, SS; bản mới cũng đã hỗ trợ Hysteria2 và một số giao thức khác.
• Stash (iOS / macOS): dùng subscription định dạng Clash, hỗ trợ Hysteria2, TUIC, Snell…
• Surge, Quantumult X, Loon: mỗi ứng dụng có định dạng cấu hình riêng, giao thức hỗ trợ xem theo ghi chú cập nhật của từng bên; nhà cung cấp thường cấp subscription riêng cho chúng.

• Mạng cáp quang ở nhà, không bị hạn chế UDP, tối xem video bị giật: ưu tiên Hysteria2, sau đó đến TUIC.
• Mạng công ty, trường học, khách sạn, UDP bị hạn chế hoặc Hysteria2 không kết nối được: đổi sang loại chạy TCP 443 như Trojan hoặc VLESS (Reality / TLS).
• Dùng 4G/5G, muốn tiết kiệm pin, hoặc chỉ lướt web, nhắn tin: loại nhẹ như SS, VLESS là đủ.
• Node “timeout hết”: kiểm tra giờ thiết bị có đúng không trước (VMess nhạy với thời gian), rồi cập nhật subscription một lần, sau đó thử node của giao thức khác.
• Chậm chưa chắc là do giao thức: cùng một giao thức, khác biệt giữa đường truyền trực tiếp, qua đường truyền chuyển tiếp hay đường truyền riêng lớn hơn nhiều so với khác biệt giữa các giao thức. Hãy đổi node, đổi khu vực trước, rồi mới tính đổi giao thức.
• Không muốn tìm hiểu mấy chuyện này: dùng dịch vụ VPN trọn gói, ứng dụng và đường truyền đều được cấu hình sẵn cho bạn.

LeoTun không phải nhà cung cấp đường truyền proxy mà là dịch vụ VPN có sáu cách kết nối dùng chung một tài khoản; trong đó cách Hiddify cấp đúng loại link subscription như các nhà cung cấp proxy, giao thức là Hysteria2. Sau khi đăng nhập, vào trang Hiddify và bấm vào lá cờ khu vực, cửa sổ hiện ra có ba loại subscription: subscription sing-box (Hiddify, sing-box, Karing), subscription Clash (Clash Meta, Clash Verge, FlClash, Stash…), và link chia sẻ hysteria2 (NekoBox, Shadowrocket, v2rayN…). Bấm nút ứng với ứng dụng bạn dùng là xong, không cần chuyển đổi subscription. Các bước nhập xem bài Cách nhập link subscription.

Khi mạng bạn đang dùng chặn hẳn UDP và Hysteria2 không kết nối được, cùng tài khoản đó có thể chuyển sang Cisco (AnyConnect) chạy TLS, hoặc Web Proxy chỉ áp dụng cho trình duyệt; OpenVPN thì dùng chính giao thức OpenVPN, còn Mạng riêng dựa trên WireGuard. Giao thức của từng cách xem bài So sánh giao thức VPN, cách chọn xem bài Mỗi cách kết nối hợp với tình huống nào.