Trojan、VLESS、Shadowsocks 怎么选？主流代理协议对比

先说结论

普通用户不需要自己挑协议：机场在服务端决定每个节点用什么协议，客户端照着订阅连接即可。你真正需要做的是：

1. 确认客户端和内核足够新，能识别订阅里的所有协议；
2. 知道不同协议的特点，在某类节点出问题时能快速判断原因；
3. 选择机场时，把线路放在协议前面考虑。

协议	一句话特点	最适合的节点类型
Shadowsocks	轻量高效，不模仿任何协议	专线、中转
Trojan	伪装成普通 HTTPS 网站	通用
VLESS（+ Reality）	借用真实网站握手，抗探测最强	直连、落地
VMess	自带加密，老牌但需校时	老订阅兼容

三种主流协议的原理

Shadowsocks

Shadowsocks 用预共享密码对流量做对称加密，传输的内容看起来就是一串随机字节，不模仿任何常见协议。目前推荐的加密方式是 AEAD（如 aes-128-gcm、chacha20-ietf-poly1305）和 Shadowsocks 2022（如 2022-blake3-aes-128-gcm），后者增加了防重放能力。旧的流加密方式已不建议使用。术语定义可以参考术语表。

Trojan

Trojan 的思路是“藏在 HTTPS 里”：服务器上运行一个真实的 TLS 服务，客户端在 TLS 通道中发送密码的哈希值完成验证；如果收到的请求验证不通过，就回落到一个正常网页。因此从外部看，它就是一个普通 HTTPS 网站。Trojan 需要机场准备域名和证书，定义见术语表。

VLESS

VLESS 用 UUID 验证身份，本身不加密，需要与 TLS 或 Reality 搭配。与 Reality 结合时，它无需自有证书，借用真实大型网站的 TLS 握手，未通过验证的探测会被转交给真实网站，抗探测能力在三者中最强。原理细节见 VLESS + Reality 是什么。

顺带一提：VMess

VMess 是 VLESS 的前身，协议本身带加密，并且会校验时间。它和 TLS 组合时存在二次加密开销，但兼容性很好，不少老牌机场仍在使用。

五个维度对比

维度	Shadowsocks	Trojan	VLESS + Reality	VMess
加密方式	协议自带对称加密	依赖 TLS	依赖 Reality（TLS 1.3）	协议自带加密
是否需要域名证书	不需要	需要	不需要	可选（搭配 TLS 时需要）
外观特征	随机字节流	普通 HTTPS 网站	访问真实大型网站	取决于传输层
抗主动探测	中（2022 版改善）	中，有网页回落	强	中
性能开销	很低	低	低	中
时间校验	无（2022 版有时间窗口）	无	无	有，约 90 秒
UDP 转发	支持	支持	支持	支持

表中“UDP 转发”指协议能否代理游戏、语音等 UDP 流量，与 Hysteria2 这类“本身跑在 UDP 上”的协议不是一回事，后者见 Hysteria2 与 AnyTLS。

为什么专线节点常用 Shadowsocks

一个专线或中转节点的路径是：你 → 国内入口 → 跨境专线 → 海外落地。你的客户端连接的是国内入口，跨境那一段走的是机场自己的专用通道或优质线路。

在这种结构下，客户端到入口的协议不需要承担太多“伪装”任务，轻量、低延迟的 Shadowsocks 就成了效率最高的选择。而直连节点的客户端直接穿过公网连接海外服务器，抗探测更重要，这时 VLESS + Reality 或 Trojan 更合适。整体线路知识可参考机场线路怎么选。

按场景选择

场景	推荐协议	原因
专线 / 中转节点	Shadowsocks、VLESS	入口在国内，追求效率
直连节点	VLESS + Reality、Trojan	需要更强的伪装与抗探测
公司网 / 校园网	TCP 类协议（上述任意一种）	这些网络可能限制 UDP
老旧设备或旧客户端	Shadowsocks、VMess	兼容性最好
高丢包弱网	可尝试 Hysteria2	基于 QUIC，对丢包不敏感

客户端支持情况

客户端	Shadowsocks（含 2022）	Trojan	VLESS + Reality	VMess
Clash Verge Rev（Mihomo）	支持	支持	支持	支持
sing-box	支持	支持	支持	支持
v2rayN（Xray）	支持	支持	支持	支持
Shadowrocket	支持	支持	支持	支持

四款主流客户端对这四种协议的支持都比较完整，但 Shadowsocks 2022、Reality 等较新特性需要较新的版本，以客户端实际版本为准。

怎么查看自己订阅里是什么协议

1. 看客户端界面：Clash Verge Rev 的代理页面会在节点旁显示类型（如 Shadowsocks、Trojan、VLESS），v2rayN 的服务器列表有“类型”一列；
2. 看本地配置文件：Clash Verge Rev 会把订阅保存为 YAML 文件，每个节点的 type: 字段就是协议；
3. 统计各协议数量：用下面的命令快速统计。

Windows PowerShell（目录名以实际安装版本为准）：

Get-ChildItem "$env:APPDATA\io.github.clash-verge-rev.clash-verge-rev\profiles\*.yaml" |
  Select-String -Pattern "type:\s*(ss|trojan|vless|vmess|hysteria2|anytls)\b" |
  ForEach-Object { $_.Matches[0].Groups[1].Value } | Group-Object | Select-Object Name, Count

macOS：

grep -ohE "type: ?(ss|trojan|vless|vmess|hysteria2|anytls)\b" \
  ~/Library/Application\ Support/io.github.clash-verge-rev.clash-verge-rev/profiles/*.yaml | sort | uniq -c

配置文件中包含节点地址和密码，查看后不要随意分享。

本站收录品牌用的是什么协议

根据品牌资料：二猫云使用 Shadowsocks 与 VMess，配合 IEPL 专线、中转和直连；宇宙云、光速云、飞猫云、星岛梦、无忧链接使用 VLESS；暮光网络和微风网络未公开协议。可以看到，协议选择与品牌的 AI 实测结果并没有直接对应关系——二猫云用的是 Shadowsocks 与 VMess，ChatGPT、Claude、Claude Code、Codex、Gemini 仍全部实测可用，决定因素是线路稳定性和落地 IP。

遇到问题时，协议能帮你定位什么

虽然协议不必自己挑，但知道节点用的是什么协议，排查问题时能少走很多弯路。建议按下面的顺序对比：

1. 同地区、不同协议的节点都慢：问题在线路或本地网络，与协议无关，优先在晚高峰和白天分别测速对比；
2. 只有 VMess 节点全部失败：几乎可以确定是系统时间偏差，校时后再测；
3. 只有 VLESS + Reality 节点消失或报错：多半是客户端内核太旧，不认识 Reality 参数，升级客户端即可；
4. 只有 Trojan 节点报证书错误：检查系统时间和是否被本地安全软件拦截了 TLS 连接；
5. 换到公司网络后 UDP 类节点失效、TCP 类正常：说明所在网络限制了 UDP，改用 TCP 协议节点。

把这几条和客户端日志对照着看，大部分“部分节点能用、部分不能用”的问题都能在几分钟内判断出原因，再决定是换节点、升级客户端还是联系机场客服。

常见误区

1. “VLESS 一定比 Shadowsocks 快”：同线路下速度差距很小，节点慢优先怀疑线路和晚高峰拥堵。
2. “协议越新越好”：新协议需要新内核，旧客户端可能直接无法识别；稳定成熟的协议对多数人已经足够。
3. “换协议能解决地区限制”：AI 服务看的是出口 IP，与协议无关。
4. “VMess 连不上就是节点坏了”：先校准系统时间，再判断节点问题，详细排查见节点超时怎么解决。

使用任何网络服务时，请遵守当地法律法规与服务条款。