機場協定比較：SS、VMess、VLESS、Trojan、Hysteria2、TUIC

機場是賣代理線路的商家，給你的是一條訂閱連結；節點是訂閱裡的一臺臺伺服器；協定是節點和你的裝置之間怎麼加密、怎麼偽裝的約定；用戶端是你裝置上那個匯入訂閱的軟體，比如 Clash 系（Clash Meta、Clash Verge、FlClash、Stash）、Shadowrocket、v2rayN、v2rayNG、sing-box、Hiddify。

同一家機場的不同節點可以是不同協定，同一個用戶端也能同時裝下好幾種協定的節點。所以「哪種翻牆方式好」其實是三個問題：這家機場的線路品質怎麼樣、這個節點用的協定適不適合你現在的網路、你的用戶端支不支援它。這篇只講中間那個。

機場、VPN 和加速器的區別是另一回事，見《機場、加速器和 VPN 的區別》；OpenVPN、WireGuard、AnyConnect 這些 VPN 協定見《VPN 協定比較》。

• Shadowsocks（SS）：走 TCP，最輕、最省電，幾乎所有用戶端都支援；流量沒有偽裝成別的東西，靠的是「看不出是什麼」。
• ShadowsocksR（SSR）：SS 的早期分支，加了混淆外掛；原專案早已停止維護，新用戶端大多不再支援，還在用它的機場越來越少。
• VMess：V2Ray 最初的協定，自帶加密和時間校驗，裝置時間差太多會連不上；通常套一層 WebSocket + TLS 使用。
• VLESS：VMess 的精簡版，自己不加密，交給外層的 TLS；配上 XTLS Vision 或 Reality 是目前走 TCP 的主流組合。
• Trojan：把代理流量放進一條真正的 TLS 連線裡，從外面看就是在訪問一個 HTTPS 網站；設定簡單，走 TCP 443。
• Hysteria2：基於 QUIC、走 UDP，自己控制傳送速度，在丟包大的線路上比走 TCP 的協定快得多；支援連接埠跳躍。
• TUIC：同樣基於 QUIC、走 UDP，思路和 Hysteria2 接近，用標準的擁塞控制，速度更平和；用戶端支援比 Hysteria2 少一些。
• NaiveProxy：直接複用 Chrome 的網路棧走 HTTP/2，流量特徵和真實瀏覽器最像；速度一般，支援它的用戶端少。
• WireGuard：嚴格說是 VPN 協定，有的機場拿它或 Cloudflare WARP 當節點；走 UDP，快，但沒有任何偽裝，特徵明顯。

Shadowsocks 是最早流行起來的翻牆協定，設計目標只有一個：把流量加密成一串看不出規律的位元組。它沒有握手偽裝，開銷最小，手機上最省電，路由器這類效能弱的裝置也跑得動。現在機場給的 SS 節點一般用 AEAD 加密（aes-128-gcm、chacha20-ietf-poly1305）或更新的 2022 版加密方式；還在用 rc4-md5、aes-256-cfb 這類舊加密的節點不建議使用。

SSR 是 SS 的一個分支，增加了協定和混淆兩類外掛。它的原專案多年前就停止了維護，Clash Meta、sing-box 等新核心對它的支援有限或已經移除。機場主推 SSR 說明它的後端很久沒更新了。

SS 的弱點也在「沒有偽裝」：它不像任何一種正常流量，在檢查嚴格的網路裡，完全看不出類型的流量本身就可能被重點關照。所以很多機場給 SS 節點加了中轉或專線，讓跨境那一段不直接暴露，這屬於線路的功勞，不是協定的。

V2Ray（以及後來的分支 Xray）是一個代理平臺，VMess 和 VLESS 是它自己的兩種協定。它的思路是分層：裡層是代理協定，外層可以套不同的傳輸方式，比如直接 TCP、WebSocket、gRPC、HTTP/2，再加上 TLS。所以你在節點名字裡常看到「VMess + WS + TLS」「VLESS + gRPC」這種一長串。

VMess 自帶加密，並且用裝置時間做校驗：手機或電腦的時間和標準時間差得太多，節點會直接連不上，這是 VMess 節點「全部超時」最常見的原因之一。VLESS 去掉了這層加密和時間校驗，把安全性完全交給外層的 TLS，所以更輕，但 VLESS 不套 TLS 裸跑是不安全的。

XTLS Vision 和 Reality 是 Xray 給 VLESS 配的兩項技術。Vision 解決「TLS 裡面再套一層 TLS」造成的特徵和浪費；Reality 讓節點不需要自己的域名和證書，握手時借用一個真實大網站的證書特徵，從外面看像是在訪問那個網站。「VLESS + Reality + Vision」是目前很多機場直連節點的主力組合。

套 WebSocket 的節點可以掛在 CDN 後面，節點的真實地址不暴露，被封了換一個入口就行；代價是多繞一道，延遲和速度都要打折。

Trojan 的做法很直接：和節點之間建立一條標準的 TLS 連線，和開啟一個 HTTPS 網站完全一樣，代理資料放在這條連線裡面。不認識密碼的人去探測這個連接埠，得到的是一個正常網頁。

它的設定項很少，不容易配錯，用戶端支援也廣。和「VLESS + TLS」相比差別不大，都是走 TCP 443 的 TLS 偽裝；Trojan 需要節點有自己的域名和證書。

走 TCP 的協定有一個共同的短板：線路一丟包，TCP 就主動降速，晚高峰跨境線路丟包大的時候，看影片會明顯變卡，下面要講的 QUIC 一族就是衝著這一點來的。

Hysteria2 和 TUIC 都建立在 QUIC 之上，走 UDP。QUIC 本身是 HTTP/3 用的傳輸協定，所以這兩種協定的流量從外面看像是在看一個 HTTP/3 的網站。

Hysteria2 最大的特點是自己控制傳送速度（它的 Brutal 擁塞控制）：丟包時不像 TCP 那樣大幅降速，而是按你設定的頻寬繼續發。在丟包大的跨境線路上，它常常比走 TCP 的協定快好幾倍；在本來就乾淨的線路上，優勢不明顯。它還支援連接埠跳躍——在一段連接埠範圍裡定時換連接埠，用來對付運營商對單個 UDP 連接埠的限速。

TUIC 的思路接近，但用的是標準的擁塞控制演算法（BBR、CUBIC），對線路上的其他使用者更「客氣」，速度曲線平穩一些，抗丟包不如 Hysteria2 激進。

這一族的短板是 UDP：有些公司、學校、酒店的網路把 UDP 限速甚至整個封掉，這時 Hysteria2 和 TUIC 會連不上或者很慢，要換回走 TCP 的 Trojan、VLESS。手機上長時間高速傳輸，耗電也會比 SS 高一些。

• NaiveProxy：直接使用 Chrome 瀏覽器的網路程式碼發起 HTTP/2 連線，握手特徵和真實瀏覽器一致。支援它的用戶端不多（sing-box 系、部分桌面用戶端），機場裡少見。
• WireGuard / WARP：WireGuard 是 VPN 協定，握手包有固定特徵，沒有偽裝。有的機場把 Cloudflare WARP 當作出口來解鎖流媒體或 ChatGPT，這是「出口用什麼地址」的事，和你到節點之間用什麼協定是兩回事。
• Snell：Surge 作者做的協定，輕量，主要在 Surge、Stash 這類用戶端裡用，別的用戶端基本不支援。
• ShadowTLS：給 SS 外面套一層真實的 TLS 握手，讓 SS 流量看起來像在訪問某個網站；需要用戶端和節點兩邊都支援。
• HTTP / HTTPS / SOCKS5 代理：最基礎的代理方式，不加密的 HTTP 和 SOCKS5 只適合在本機或內網裡用；跨境要用帶 TLS 的 HTTPS 代理。

• 看分享連結的開頭：ss:// 是 Shadowsocks，ssr:// 是 SSR，vmess:// 是 VMess，vless:// 是 VLESS，trojan:// 是 Trojan，hysteria2:// 或 hy2:// 是 Hysteria2，tuic:// 是 TUIC。
• 看用戶端的節點列表：Clash 系和 Shadowrocket 在節點名旁邊會標出類型（Shadowsocks、Vmess、Vless、Trojan、Hysteria2、TUIC）。
• 看 Clash 訂閱的內容：每個節點有一行 type，寫的就是協定名；旁邊的 network（ws、grpc）、tls、reality-opts 是外層的傳輸方式。
• 機場給的訂閱通常分 Clash 訂閱、sing-box 訂閱、通用訂閱（一行一個分享連結，常做了 Base64 編碼）幾種。內容是同一批節點，只是格式不同，按你的用戶端選；不要把帶憑據的訂閱連結交給第三方「訂閱轉換」網站。

• Clash Meta（mihomo）核心的用戶端——Clash Verge、FlClash、Mihomo Party、Clash Nyanpasu、ClashX Meta、OpenClash：SS、VMess、VLESS（含 Reality）、Trojan、Hysteria2、TUIC、WireGuard 都支援。
• 原版 Clash 和 Clash for Windows：核心早已停止更新，只認 SS、VMess、Trojan 這幾種老協定，沒有 VLESS、Hysteria2、TUIC。還在用它的話，換成上面 mihomo 核心的用戶端。
• sing-box 核心的用戶端——sing-box 官方 App、Hiddify、Karing、NekoBox：新協定支援最全，包括 Hysteria2、TUIC、NaiveProxy、ShadowTLS。
• Shadowrocket（iOS，付費）：主流協定基本都支援，分享連結和 Clash 訂閱都能匯入。
• v2rayN（Windows）、v2rayNG（安卓）：以 Xray 核心為主，VMess、VLESS、Trojan、SS 是強項；新版本也帶了 Hysteria2 等協定的支援。
• Stash（iOS / macOS）：吃 Clash 格式的訂閱，支援 Hysteria2、TUIC、Snell 等。
• Surge、Quantumult X、Loon：各有各的設定格式，支援的協定以各自的更新說明為準，機場一般會單獨給它們的訂閱。

• 家裡寬頻、網路不限制 UDP、晚高峰看影片卡：優先 Hysteria2，其次 TUIC。
• 公司、學校、酒店的網路，UDP 被限或 Hysteria2 連不上：換 Trojan 或 VLESS（Reality / TLS）這類走 TCP 443 的。
• 手機流量、想省電，或者只是刷網頁聊天：SS、VLESS 這類輕量的就夠。
• 節點「全部超時」：先看裝置時間準不準（VMess 對時間敏感），再更新一次訂閱，然後換一種協定的節點試。
• 速度慢不一定是協定的問題：同一種協定，直連、中轉、專線的線路差別遠大於協定之間的差別。先換節點、換地區，再考慮換協定。
• 不想研究這些：用服務商全包的 VPN，用戶端和線路都替你配好。

雷騰 不是機場，是六種接入方式共用一個帳號的 VPN 服務，但其中的「流量偽裝」給的就是機場那種訂閱連結，協定是 Hysteria2，帶連接埠跳躍。登入後在流量偽裝頁面點地區國旗，彈窗裡有三種訂閱：sing-box 訂閱（Hiddify、sing-box、Karing）、Clash 訂閱（Clash Meta、Clash Verge、FlClash、Stash 等）、hysteria2 分享連結（NekoBox、Shadowrocket、v2rayN 等），按你的用戶端點對應的按鈕即可，不需要訂閱轉換。匯入步驟見《機場訂閱連結怎麼匯入》。

所在網路把 UDP 限死、Hysteria2 連不上的時候，同一個帳號可以換用走 TLS 的思科（AnyConnect），或者只接管瀏覽器的網頁代理；專網是 OpenVPN，私網基於 WireGuard。各方式對應的協定見《VPN 協定比較》，怎麼選見《各種連線方式適用的場景》。