VMess、VLESS、Trojan、Shadowsocks 怎么选:四种代理协议横向对比

协议、传输与安全层

VMess、VLESS、Trojan、Shadowsocks 是代理协议名称；v2rayN 是桌面客户端，不是第五种协议。客户端负责管理节点、订阅、系统代理与路由，实际连接由内核执行。安卓端的 v2rayNG 使用 Xray 内核，v2flyNG 使用 v2fly 内核。两者的功能支持不能仅凭相似的界面推断。

阅读节点详情时，需要同时看三层信息。协议负责描述认证和代理请求；传输方式决定数据如何承载，例如 TCP 或 WebSocket；安全层决定链路如何保护，例如 TLS。REALITY 是 Xray 中的安全机制，不是与 VMess 并列的代理协议，也不能理解成给任意节点增加的一键加速开关。

• 协议字段：检查 VMess、VLESS、Trojan 或 Shadowsocks，必须与服务端一致。
• 传输字段：检查 TCP、WebSocket 等类型；使用 WebSocket 时还要核对路径和 Host。
• 安全字段：检查 TLS、服务器名称及证书验证；REALITY 还需要服务端提供的公钥等参数。
• 客户端设置：系统代理和 TUN 决定哪些流量进入内核，不会把一种远端协议变成另一种。

四种协议的背景与加密边界

VMess 来自 V2Ray 项目，包含用户认证和数据保护机制。VLESS 最初以更精简的协议设计减少重复工作，常见配置把链路保护交给 TLS 或 REALITY。Trojan 以 TLS 通道承载代理请求。Shadowsocks 则采用相对紧凑的加密代理设计，具体能力取决于所用方法及实现。

“VLESS 不加密”只适合描述常见的 encryption: none 协议层配置，不能据此判断整个连接是否加密。相反，启用了 TLS 也不意味着参数可以随意填写：服务器名称、证书链和服务端配置仍须对应。不要通过关闭证书验证来掩盖配置错误。

握手开销：区分首连与持续传输

握手开销影响连接刚建立时的等待时间，不等同于下载带宽。以常规 TCP 加 TLS 1.3 的新连接为例，TCP 建连通常需要 1 个往返，完整 TLS 握手通常还需要 1 个往返；DNS、代理请求和目标站连接另计。TLS 会话恢复、连接复用和网络丢包都会改变实际结果，不能把这些往返机械相加当作页面加载时间。

• VMess：需要处理协议认证及载荷保护；若外面还有 TLS、WebSocket，还会叠加这些层的处理和报文开销。
• VLESS：精简的请求头不代表整条连接没有握手。TLS、REALITY、传输方式以及 flow 的实际组合都影响连接路径。
• Trojan：常规部署先建立 TLS 通道，再发送代理请求。TLS 会话恢复能否使用，取决于实现及连接条件。
• Shadowsocks：典型 AEAD TCP 连接可直接发送加密的请求数据，不需要单独的 TLS 握手；这不等于没有 TCP 建连，也不保证更低的端到端延迟。

WebSocket 的 HTTP 升级会引入额外过程。连接复用可以让多个逻辑连接共享底层连接，但也会改变拥塞和故障影响范围。因此，比较“VMess 加 WebSocket 加 TLS”与“Shadowsocks 直连 TCP”，比较的是整套连接配置，不只是协议头大小。

移动端耗电：无线唤醒比协议名更重要

没有统一可信的“最省电协议”排行。加密会消耗 CPU，但设备的 AES 硬件加速、ChaCha20 实现和吞吐负载都会影响结果。在蜂窝网络上，反复唤醒无线模块、保持连接、信号较弱时重传，以及应用后台同步，也可能成为主要耗电来源。

TUN 接管的流量范围通常比单个应用代理更大，DNS 请求、UDP 和后台连接也可能进入内核。由此产生的耗电变化不能全部归给 VLESS 或 Trojan。测试时还要避免同时开启详细日志、频繁测速和大规模节点探测，否则测到的是额外任务的成本。

1. 固定设备、网络类型和屏幕亮度，先记录未进行测试时的电量、信号状态与后台应用。
2. 每轮使用相同的 20 分钟操作：例如 10 分钟浏览、5 分钟固定画质视频、5 分钟息屏待机。这里是测试方案，不是本站实测结果。
3. 保持相同的 TUN 或应用代理方式、DNS 和路由规则；每轮只更换一个协议配置，并记录实际流量。
4. 每个候选重复 3 轮，查看系统电池用量和内核日志中的重连情况。低于电量显示精度的差异，不应直接下结论。

按现有节点与客户端选择

下面的“推荐”仅针对已经具备对应服务端参数、使用兼容 Xray 内核的日常连接场景，不表示协议排名。若订阅只提供某一种可用协议，优先使用已验证的配置，不必为了更换名称重新搭建整条链路。

在 v2rayN 中选中节点后，打开节点编辑窗口检查协议与传输参数；界面字段可能随版本变化。安卓端使用 v2rayNG 或 v2flyNG 时，应先确认内核对该协议、加密方法和安全扩展的支持，不能认为同一订阅在两个内核中必然表现一致。

同条件验证：不要只看 Tcping

Tcping 主要反映到指定端口的 TCP 可达性和建连耗时。它不能验证 UUID、密码、TLS 名称和代理请求是否正确，也不能代表 UDP 可用。真连接测试更接近实际代理请求，但结果仍取决于测试目标、DNS、路由和连接复用情况。

1. 固定入口：在 v2rayN 使用相同的系统代理或 TUN 状态，检查本地监听端口是否与应用设置一致。例如本地端口设为 10808 时，应用不能仍指向旧端口；这只是示例设置，不代表所有版本的默认值。
2. 确认规则命中：确保测试流量确实经过选中的代理出站。若路由规则将目标设为直连，测试结果就无法说明该节点表现。
3. 分别测量：记录首次请求、连续请求、大文件传输和 UDP 应用的结果，不把不同项目混成一个分数。
4. 交错复测：按 A、B、A、B 的顺序测试，每个候选至少进行 5 次请求，记录中位数和失败次数，减少网络时段变化的影响。

协议选型常见问题