机场协议区别：SS、Trojan、VMess、VLESS、Reality、Hysteria2、TUIC 怎么选

先说结论

机场协议就像节点和客户端之间约定好的「暗号」：用什么方式加密、怎么把代理流量伪装成普通流量、走 TCP 还是 UDP。不同协议的取舍不同，所以机场往往同时提供几种。了解它们的区别，主要是为了两件事：一是遇到连不上、慢的时候知道该换哪种节点；二是挑客户端时确认它支持你机场用的协议。

七种机场协议一览

表格是各协议的一般特点。实际表现还和机场的线路、服务器负载、你本地网络有很大关系，同一个协议在不同机场可能差别很大。

先搞懂：TCP 类和 UDP 类的区别

TCP 是一种「可靠」的传输方式，每个数据包都要确认收到，丢了就重传。网页、下载大多用 TCP。它的问题是：网络丢包多的时候，频繁重传会让速度掉得很厉害。

QUIC 是基于 UDP 的新一代传输协议，HTTP/3 就是用它。Hysteria2 和 TUIC 都建立在 QUIC 之上，自己做了拥塞控制，丢包时不会像 TCP 那样大幅降速，所以在晚高峰、跨国链路丢包多的情况下，体感往往更快。

但 UDP 也有短板：有些运营商或公司网络会对大流量 UDP 限速，甚至直接干扰，这时候 Hysteria2、TUIC 节点就会变慢或连不上。所以最稳妥的做法是两类节点都留着，遇到问题时互相切换。

Shadowsocks（SS）：兼容性之王

Shadowsocks 是最早流行的代理协议，「机场」这个叫法就来自它的「小飞机」图标。它的设计很简单：用密码加密数据，让流量看起来像一堆随机字节。

• 优点：几乎所有客户端都支持，配置简单，资源占用小，路由器和老手机也能跑。
• 缺点：传统 SS 的流量特征在一些环境下可能被识别，所以很多机场把 SS 节点放在中转或专线后面使用。
• 新版本：SS 2022 系列加密方式改进了安全性，需要较新的客户端支持。

SSR（ShadowsocksR）是早年 SS 的一个分支，现在已基本停止维护，新客户端支持越来越少。

Trojan：伪装成 HTTPS

Trojan 的思路是「不像代理，像网站」：服务器上跑着一个正常的 HTTPS 网站，用正确密码连接的是代理，其他人访问看到的就是普通网页。流量用标准 TLS 加密，和你平时访问 HTTPS 网站几乎一样。

Trojan 需要域名和 TLS 证书，配置得当时稳定性很好，客户端支持也非常广泛。很多机场把它作为主力协议之一。

VMess 和 VLESS：V2Ray 家族

VMess 是 V2Ray 项目的原创协议，自带加密，常和 WebSocket、TLS、gRPC 等传输方式组合使用，可以套 CDN。它有一个容易踩的坑：对系统时间很敏感，设备时间误差太大就会连不上，所以遇到 VMess 节点全部超时，先校准系统时间。

VLESS 是 VMess 的精简版，去掉了自带的加密和时间校验，开销更小，把安全交给外层的 TLS 或 Reality 负责。单独说 VLESS 意义不大，通常看它搭配的是什么：VLESS + TLS、VLESS + WebSocket，或者现在最常见的 VLESS + Reality。

Reality：不用自己域名的伪装

Reality 是 Xray 项目推出的传输安全方式。传统 TLS 方案需要自己的域名和证书，而 Reality 会「借用」一个真实存在的大网站的 TLS 握手：在旁观者看来，你像是在访问那个网站。只有持有正确密钥的客户端才能真正用上代理。

• 优点：伪装性强，不需要域名，抗主动探测能力好，目前被很多机场和自建用户采用。
• 缺点：需要较新的客户端和内核支持。老版本 Clash（非 Mihomo 内核）不支持。

在机场节点名里，它常写作「VLESS Reality」「Reality」或「Vision」。

Hysteria2 和 TUIC：UDP 阵营

Hysteria2（常简称 Hy2）基于 QUIC，主打在高丢包、高延迟的网络下保持速度。它会把流量伪装成 HTTP/3，晚高峰跨国链路拥堵时，体感常常比 TCP 类协议好。

TUIC 同样基于 QUIC，设计目标是低延迟和快速握手，在支持它的客户端里表现也不错，但机场提供得比 Hysteria2 少一些。

两者的共同注意点：节点要用 UDP，而你所在网络对 UDP 是否友好，会直接决定体验。在公司、学校网络或者部分运营商下，可能会比 TCP 类节点更慢。

AnyTLS：较新的 TLS 类机场协议

最近一些机场的节点列表里多了 AnyTLS。它和 Trojan 思路相近，走 TCP + TLS，从外面看像普通的 HTTPS 连接，所以归在 TCP 阵营。它主要想解决的是「TLS 套 TLS」问题：你通过代理访问 HTTPS 网站时，代理连接里面又套着一层 TLS 握手，数据包的长度和节奏可能露出规律。AnyTLS 用填充（padding）打乱包长度分布，并支持在一条连接上复用多个请求，减少反复握手。

对普通用户来说，记住这几点就够了：

• 它不是提速协议。体感和 Trojan、VLESS 差不多，晚高峰快不快主要看线路，不看协议。
• UDP 受限的网络里比 Hysteria2 好连。公司、学校网络限制 UDP 时，可以把它和 Trojan、VLESS 一起当备选。
• 客户端要跟得上。需要较新的 mihomo（Clash Meta）内核或 sing-box 才能识别，旧版 Clash 内核和部分老客户端会直接跳过这类节点。订阅里有 AnyTLS 节点却看不到，先更新客户端，或换 Clash Verge Rev 教程、FlClash、sing-box 这类使用新内核的客户端。iOS 客户端是否支持，以客户端的更新说明为准。
• 不用为了它换机场。机场提供了就多一个选择，某个时段 Trojan 或 VLESS 节点被干扰时可以切过去试试。

传输方式：WebSocket、gRPC、CDN 是什么

看节点详情时，除了协议名，你还可能看到 ws、grpc、h2、tcp 这样的字段，它们是「传输方式」，也就是协议的数据用什么形式在网络上跑：

• TCP：最直接的方式，开销最小。
• WebSocket（ws）：把代理流量包装成网页常用的 WebSocket 连接，常和 TLS 一起用，可以套 CDN。
• gRPC：另一种基于 HTTP/2 的包装方式，同样可以走 CDN。
• CDN 中转：流量先到 CDN 节点再到服务器，能隐藏真实服务器 IP，但会增加一点延迟。

这些参数由机场在订阅里配置好，普通用户不需要也不应该手动改。只有当你自建节点或排查问题时才需要关心它们。

怎么看自己用的是哪个机场协议

1. 看节点名。很多机场会在节点名里写 SS、Trojan、VLESS、Hy2 等字样。
2. 看节点详情。Clash 系客户端在代理页面长按或右键节点能看到类型；Shadowrocket 点节点右侧的信息图标可以看到类型和参数。
3. 看机场说明。机场后台的节点说明或帮助文档里一般会写清楚每类节点的协议。

知道自己用的是哪种协议，遇到问题时就能更快定位：VMess 先查时间，Hysteria2 先怀疑 UDP，Reality 先检查客户端版本。

客户端支持情况

客户端更新频繁，具体支持以客户端官方说明和 GitHub Releases 的更新日志为准。客户端下载入口见梯子下载。

为什么机场协议一直在更新

代理协议的发展史，基本就是「伪装」和「识别」不断较量的过程。早期的协议只追求加密，后来发现加密后的流量本身也有特征，于是出现了伪装成 HTTPS 的 Trojan、借用真实网站握手的 Reality，以及伪装成 HTTP/3 的 Hysteria2。每一代新协议都在尝试让代理流量更像普通上网流量。

对普通用户来说，这意味着两点：一是客户端要保持更新，太老的客户端会逐渐不支持机场的新节点；二是机场提供多种协议是好事，某一类节点受影响时还有其他选择。挑机场时，可以留意它是否跟进主流协议，相关标准见机场怎么选。

机场协议实际怎么选：按场景

1. 新手：不用管协议，用机场推荐的默认节点或「自动选择」分组就行。
2. 晚上卡、丢包多：试同地区的 Hysteria2 或 TUIC 节点，对比一下。
3. UDP 节点连不上：说明你的网络限制 UDP，换 Trojan、VLESS + Reality 等 TCP 类节点。
4. 老设备、路由器：优先 Shadowsocks，兼容性最好、资源占用最低。
5. 打游戏、语音通话：选支持 UDP 转发的节点，开 TUN 模式，见加速器和机场。

协议相关问题排查

关于机场协议的误区

• 「新协议一定更快」：新协议主要改进伪装和弱网表现，线路差时换什么协议都快不起来。
• 「协议越复杂越安全」：主流协议都有可靠的加密，安全更多取决于服务商和你的使用习惯。
• 「UDP 协议适合所有人」：网络限制 UDP 时，反而是 TCP 类更稳。
• 「换协议就能解锁 Netflix」：解锁看落地 IP，和协议无关。

无论用哪种机场协议，都请遵守所在地法律法规和平台规则。

其他少见的机场协议：NaiveProxy、WireGuard、Snell、ShadowTLS

除了上面几种，部分机场的节点列表或自建教程里还会出现一些少见的协议。它们在主流机场里占比不高，见到时知道是什么、能不能用就够了：

• NaiveProxy：借用 Chromium 浏览器的网络代码发起连接，让流量特征尽量接近真实的 Chrome 访问 HTTPS 网站。伪装思路和 Trojan 接近，但支持它的客户端不多，导入前先确认客户端能识别。
• WireGuard：本身是一种 VPN 协议，走 UDP，配置简单、速度快，但没有做流量伪装，握手特征明显，从国内直连海外服务器很容易被识别和干扰。机场里偶尔出现，常见用法是作为落地端的出口或用来解锁特定服务，不适合当主力翻墙协议。
• Snell：Surge 开发团队设计的协议，主要在 Surge 生态里使用，少数其他客户端做了兼容。不用 Surge 的话基本不用关心。
• ShadowTLS：不是独立的代理协议，而是一层外壳：连接开始时和一个真实的大网站完成 TLS 握手，看起来像在访问那个网站，之后再传真正的数据，通常和 Shadowsocks 搭配。思路和 Reality 有相似之处。

这几种协议的共同点是客户端支持参差不齐：同一份订阅，有的客户端能识别，有的会直接跳过。导入后节点数比后台显示的少，先看看是不是这类节点被过滤了，再决定要不要换客户端，各客户端情况见上面的客户端支持一节。挑机场时也不必追求「协议越多越好」，Trojan、VLESS、Hysteria2 这些主流协议稳定可用更重要。

协议和线路是两回事：直连、中转、专线节点各用什么协议

比较机场协议时，很多人忽略了一个更大的变量：线路。协议决定流量「穿什么衣服」，线路决定流量「走哪条路」。同一个协议，放在直连线路和专线上，晚高峰体验可能完全不同。

所以看到专线节点用的是 Shadowsocks，不代表机场技术落后：线路已经解决了出境的问题，协议越轻反而越省资源。反过来，直连节点才最需要 Reality、Hysteria2 这类新协议。线路的详细区别见 IPLC 和 IEPL 区别。

选机场时可以把两件事分开看：先按用途确定要直连、中转还是专线，再看节点里有没有 TCP 类和 UDP 类协议可以互相备用。

从节点协议能看出机场什么、看不出什么

导入订阅后，节点列表里的协议类型其实透露了一些信息，但别指望靠它判断机场好坏。

判断一家机场，协议只是参考项之一。更可靠的办法是试用或买月付，按 机场测速方法 在晚高峰测几天，再决定是否续费。

协议支持全的机场用哪家

同时提供 TCP 类和 UDP 类节点的机场，遇到网络问题时切换空间更大。可以从本期编辑综合分前 8 里挑，具体协议以机场后台节点列表为准。

点表头可排序。价格、流量和每 GB 按官网核对于 2026 年 10 月 24 日；AI / 流媒体为官网标注（✓ 标注支持，△ 部分或需自测，✗ 未标注）。

更多选择看机场推荐和稳定机场。

下一步阅读

线路区别看IPLC 和 IEPL 区别；订阅格式不兼容看订阅转换；名词不懂查机场术语大全。