代理协议科普：VLESS Reality、Trojan、Hysteria2 对比

公网环境下最推荐「VLESS Reality」组合。传统的代理协议伪装往往需要自购域名并申请 Let's Encrypt 证书，容易遭遇 GFW 针对特定小众域名的 SNI 嗅探与阻断；而 VLESS 配合 Reality 技术的革命性突破在于：它直接借用海外真实存在的大型知名企业网站（如 Apple、Microsoft、Amazon 等）的公钥与证书指纹，客户端在握手阶段伪装成正在访问这些正规巨头。审查系统即便发起主动探测，得到的也是真实权威站点的正规响应，因此具备极高的隐蔽性和抗干扰生命周期。

传统协议（如 Shadowsocks、Trojan、VMess）底层依赖 TCP 协议，而 TCP 具有内置的拥塞控制算法——一旦遇到网络丢包，TCP 会主动将传输窗口减半甚至降速十倍以上；Hysteria2 则是基于 UDP 开发的定制 QUIC 协议，它抛弃了消极的 TCP 拥塞控制，采用了侵略性的自定义 BBR 拥塞算法与数据包重发机制。即使在丢包率高达 20%~30% 的恶劣弱网、跨洋公网或高校校园网环境下，Hysteria2 也能凭借 UDP 的并发优势将网络带宽强制拉满，让原本卡顿的 4K 视频瞬间恢复秒开。

主要原因在于审查技术的演进。原版 Shadowsocks（SS-AEAD 之前的版本）数据包缺乏足够的填充特征与握手混淆，其高熵值特征已被先进的深度包检测（DPI）算法通过机器学习精准识别，在公网直连环境下存活时间极短；而旧版 VMess 协议设计冗余较重，存在 MD5 认证漏洞与重放攻击隐患，且其复杂的双重对称加密对路由设备 CPU 带来了额外算力开销。现代机场通常在公网采用 VLESS Reality / Trojan，而在内网专线采用全新修订的 Shadowsocks-2022 标准。

Trojan 的核心设计哲学是「伪装而非混淆」。它完全遵循标准的 TLS 握手规范，将客户端到服务器之间的所有代理流量封装在最正规的 TLS/HTTPS 数据流之中。如果审查机构向 Trojan 监听的 443 端口发起探测请求，由于其没有正确的密码凭证，Trojan 服务端会将其无缝转发至本地配置的标准网站（如一个真实的个人博客或静态站），返回正规的 HTTP 200 页面。这种行为与互联网上数以亿计的常规 Web 服务器毫无差异，因此安全性极佳。

这通常是因为你使用的客户端核心版本过旧。例如老旧的经典原版 Clash（开源版内核停留在 2023 年）仅支持基本的 Shadowsocks 与 VMess，无法解析新型的 VLESS Reality、Hysteria2 或 Shadowsocks-2022 协议。解决方案是升级更换为目前主流的新一代客户端，例如基于 Mihomo 内核的「Clash Verge Rev」、「Clash Nyanpasu」，或全协议支持的原生「sing-box」，导入后即可完美兼容全部现代化协议。

不会。代理协议主要决定的是「数据的打包封装方式、加密开销与抗封锁/抗丢包能力」，而决定绝对速度上限、延迟高低以及晚高峰稳定性的核心瓶颈始终是「物理线路的底层质量与带宽资源」。如果底层是一条千兆企业 IEPL 专线，使用 Shadowsocks 或 VLESS 都能跑满千兆带宽；但如果底层是一条严重超售的廉价直连线路，即便使用了最先进的 Hysteria2，也无法突破物理带宽本身的拥塞瓶颈。

不同协议适合的网络和客户端不同，同时提供也能互为备用：某一类协议在特殊时期受影响时，用户可以切到另一类继续使用。

多半是这个网络限制了 UDP。换成 VLESS、Trojan 等基于 TCP 的节点即可；回到家庭宽带后再用 Hysteria2。

拿到它的人可以冒用你的身份连接节点，流量算在你的套餐里。一般在机场后台重置订阅即可，重置后旧的 UUID 和密码作废，再把新订阅重新导入各个客户端。