机场协议对比：SS、VMess、VLESS、Trojan、Hysteria2、TUIC

机场是卖代理线路的商家，给你的是一条订阅链接；节点是订阅里的一台台服务器；协议是节点和你的设备之间怎么加密、怎么伪装的约定；客户端是你设备上那个导入订阅的软件，比如 Clash 系（Clash Meta、Clash Verge、FlClash、Stash）、Shadowrocket、v2rayN、v2rayNG、sing-box、Hiddify。

同一家机场的不同节点可以是不同协议，同一个客户端也能同时装下好几种协议的节点。所以「哪种翻墙方式好」其实是三个问题：这家机场的线路质量怎么样、这个节点用的协议适不适合你现在的网络、你的客户端支不支持它。这篇只讲中间那个。

机场、VPN 和加速器的区别是另一回事，见《机场、加速器和 VPN 的区别》；OpenVPN、WireGuard、AnyConnect 这些 VPN 协议见《VPN 协议对比》。

• Shadowsocks（SS）：走 TCP，最轻、最省电，几乎所有客户端都支持；流量没有伪装成别的东西，靠的是「看不出是什么」。
• ShadowsocksR（SSR）：SS 的早期分支，加了混淆插件；原项目早已停止维护，新客户端大多不再支持，还在用它的机场越来越少。
• VMess：V2Ray 最初的协议，自带加密和时间校验，设备时间差太多会连不上；通常套一层 WebSocket + TLS 使用。
• VLESS：VMess 的精简版，自己不加密，交给外层的 TLS；配上 XTLS Vision 或 Reality 是目前走 TCP 的主流组合。
• Trojan：把代理流量放进一条真正的 TLS 连接里，从外面看就是在访问一个 HTTPS 网站；配置简单，走 TCP 443。
• Hysteria2：基于 QUIC、走 UDP，自己控制发送速度，在丢包大的线路上比走 TCP 的协议快得多；支持端口跳跃。
• TUIC：同样基于 QUIC、走 UDP，思路和 Hysteria2 接近，用标准的拥塞控制，速度更平和；客户端支持比 Hysteria2 少一些。
• NaiveProxy：直接复用 Chrome 的网络栈走 HTTP/2，流量特征和真实浏览器最像；速度一般，支持它的客户端少。
• WireGuard：严格说是 VPN 协议，有的机场拿它或 Cloudflare WARP 当节点；走 UDP，快，但没有任何伪装，特征明显。

Shadowsocks 是最早流行起来的翻墙协议，设计目标只有一个：把流量加密成一串看不出规律的字节。它没有握手伪装，开销最小，手机上最省电，路由器这类性能弱的设备也跑得动。现在机场给的 SS 节点一般用 AEAD 加密（aes-128-gcm、chacha20-ietf-poly1305）或更新的 2022 版加密方式；还在用 rc4-md5、aes-256-cfb 这类旧加密的节点不建议使用。

SSR 是 SS 的一个分支，增加了协议和混淆两类插件。它的原项目多年前就停止了维护，Clash Meta、sing-box 等新内核对它的支持有限或已经移除。机场主推 SSR 说明它的后端很久没更新了。

SS 的弱点也在「没有伪装」：它不像任何一种正常流量，在检查严格的网络里，完全看不出类型的流量本身就可能被重点关照。所以很多机场给 SS 节点加了中转或专线，让跨境那一段不直接暴露，这属于线路的功劳，不是协议的。

V2Ray（以及后来的分支 Xray）是一个代理平台，VMess 和 VLESS 是它自己的两种协议。它的思路是分层：里层是代理协议，外层可以套不同的传输方式，比如直接 TCP、WebSocket、gRPC、HTTP/2，再加上 TLS。所以你在节点名字里常看到「VMess + WS + TLS」「VLESS + gRPC」这种一长串。

VMess 自带加密，并且用设备时间做校验：手机或电脑的时间和标准时间差得太多，节点会直接连不上，这是 VMess 节点「全部超时」最常见的原因之一。VLESS 去掉了这层加密和时间校验，把安全性完全交给外层的 TLS，所以更轻，但 VLESS 不套 TLS 裸跑是不安全的。

XTLS Vision 和 Reality 是 Xray 给 VLESS 配的两项技术。Vision 解决「TLS 里面再套一层 TLS」造成的特征和浪费；Reality 让节点不需要自己的域名和证书，握手时借用一个真实大网站的证书特征，从外面看像是在访问那个网站。「VLESS + Reality + Vision」是目前很多机场直连节点的主力组合。

套 WebSocket 的节点可以挂在 CDN 后面，节点的真实地址不暴露，被封了换一个入口就行；代价是多绕一道，延迟和速度都要打折。

Trojan 的做法很直接：和节点之间建立一条标准的 TLS 连接，和打开一个 HTTPS 网站完全一样，代理数据放在这条连接里面。不认识密码的人去探测这个端口，得到的是一个正常网页。

它的配置项很少，不容易配错，客户端支持也广。和「VLESS + TLS」相比差别不大，都是走 TCP 443 的 TLS 伪装；Trojan 需要节点有自己的域名和证书。

走 TCP 的协议有一个共同的短板：线路一丢包，TCP 就主动降速，晚高峰跨境线路丢包大的时候，看视频会明显变卡，下面要讲的 QUIC 一族就是冲着这一点来的。

Hysteria2 和 TUIC 都建立在 QUIC 之上，走 UDP。QUIC 本身是 HTTP/3 用的传输协议，所以这两种协议的流量从外面看像是在看一个 HTTP/3 的网站。

Hysteria2 最大的特点是自己控制发送速度（它的 Brutal 拥塞控制）：丢包时不像 TCP 那样大幅降速，而是按你设定的带宽继续发。在丢包大的跨境线路上，它常常比走 TCP 的协议快好几倍；在本来就干净的线路上，优势不明显。它还支持端口跳跃——在一段端口范围里定时换端口，用来对付运营商对单个 UDP 端口的限速。

TUIC 的思路接近，但用的是标准的拥塞控制算法（BBR、CUBIC），对线路上的其他用户更「客气」，速度曲线平稳一些，抗丢包不如 Hysteria2 激进。

这一族的短板是 UDP：有些公司、学校、酒店的网络把 UDP 限速甚至整个封掉，这时 Hysteria2 和 TUIC 会连不上或者很慢，要换回走 TCP 的 Trojan、VLESS。手机上长时间高速传输，耗电也会比 SS 高一些。

• NaiveProxy：直接使用 Chrome 浏览器的网络代码发起 HTTP/2 连接，握手特征和真实浏览器一致。支持它的客户端不多（sing-box 系、部分桌面客户端），机场里少见。
• WireGuard / WARP：WireGuard 是 VPN 协议，握手包有固定特征，没有伪装。有的机场把 Cloudflare WARP 当作出口来解锁流媒体或 ChatGPT，这是「出口用什么地址」的事，和你到节点之间用什么协议是两回事。
• Snell：Surge 作者做的协议，轻量，主要在 Surge、Stash 这类客户端里用，别的客户端基本不支持。
• ShadowTLS：给 SS 外面套一层真实的 TLS 握手，让 SS 流量看起来像在访问某个网站；需要客户端和节点两边都支持。
• HTTP / HTTPS / SOCKS5 代理：最基础的代理方式，不加密的 HTTP 和 SOCKS5 只适合在本机或内网里用；跨境要用带 TLS 的 HTTPS 代理。

• 看分享链接的开头：ss:// 是 Shadowsocks，ssr:// 是 SSR，vmess:// 是 VMess，vless:// 是 VLESS，trojan:// 是 Trojan，hysteria2:// 或 hy2:// 是 Hysteria2，tuic:// 是 TUIC。
• 看客户端的节点列表：Clash 系和 Shadowrocket 在节点名旁边会标出类型（Shadowsocks、Vmess、Vless、Trojan、Hysteria2、TUIC）。
• 看 Clash 订阅的内容：每个节点有一行 type，写的就是协议名；旁边的 network（ws、grpc）、tls、reality-opts 是外层的传输方式。
• 机场给的订阅通常分 Clash 订阅、sing-box 订阅、通用订阅（一行一个分享链接，常做了 Base64 编码）几种。内容是同一批节点，只是格式不同，按你的客户端选；不要把带凭据的订阅链接交给第三方「订阅转换」网站。

• Clash Meta（mihomo）内核的客户端——Clash Verge、FlClash、Mihomo Party、Clash Nyanpasu、ClashX Meta、OpenClash：SS、VMess、VLESS（含 Reality）、Trojan、Hysteria2、TUIC、WireGuard 都支持。
• 原版 Clash 和 Clash for Windows：内核早已停止更新，只认 SS、VMess、Trojan 这几种老协议，没有 VLESS、Hysteria2、TUIC。还在用它的话，换成上面 mihomo 内核的客户端。
• sing-box 内核的客户端——sing-box 官方 App、Hiddify、Karing、NekoBox：新协议支持最全，包括 Hysteria2、TUIC、NaiveProxy、ShadowTLS。
• Shadowrocket（iOS，付费）：主流协议基本都支持，分享链接和 Clash 订阅都能导入。
• v2rayN（Windows）、v2rayNG（安卓）：以 Xray 内核为主，VMess、VLESS、Trojan、SS 是强项；新版本也带了 Hysteria2 等协议的支持。
• Stash（iOS / macOS）：吃 Clash 格式的订阅，支持 Hysteria2、TUIC、Snell 等。
• Surge、Quantumult X、Loon：各有各的配置格式，支持的协议以各自的更新说明为准，机场一般会单独给它们的订阅。

• 家里宽带、网络不限制 UDP、晚高峰看视频卡：优先 Hysteria2，其次 TUIC。
• 公司、学校、酒店的网络，UDP 被限或 Hysteria2 连不上：换 Trojan 或 VLESS（Reality / TLS）这类走 TCP 443 的。
• 手机流量、想省电，或者只是刷网页聊天：SS、VLESS 这类轻量的就够。
• 节点「全部超时」：先看设备时间准不准（VMess 对时间敏感），再更新一次订阅，然后换一种协议的节点试。
• 速度慢不一定是协议的问题：同一种协议，直连、中转、专线的线路差别远大于协议之间的差别。先换节点、换地区，再考虑换协议。
• 不想研究这些：用服务商全包的 VPN，客户端和线路都替你配好。

雷腾 不是机场，是六种接入方式共用一个账号的 VPN 服务，但其中的「流量伪装」给的就是机场那种订阅链接，协议是 Hysteria2，带端口跳跃。登录后在流量伪装页面点地区国旗，弹窗里有三种订阅：sing-box 订阅（Hiddify、sing-box、Karing）、Clash 订阅（Clash Meta、Clash Verge、FlClash、Stash 等）、hysteria2 分享链接（NekoBox、Shadowrocket、v2rayN 等），按你的客户端点对应的按钮即可，不需要订阅转换。导入步骤见《机场订阅链接怎么导入》。

所在网络把 UDP 限死、Hysteria2 连不上的时候，同一个账号可以换用走 TLS 的思科（AnyConnect），或者只接管浏览器的网页代理；专网是 OpenVPN，私网基于 WireGuard。各方式对应的协议见《VPN 协议对比》，怎么选见《各种连接方式适用的场景》。