SS、VMess、Trojan、Hysteria2到底有什么区别？主流翻墙协议全对比

很多刚接触科学上网的朋友，在配置代理软件时，经常会被各种字母缩写搞得一头雾水：Shadowsocks、VMess、VLESS、Trojan、Hysteria2……这些名词到底代表什么？它们之间有什么区别？对于普通用户来说，目前主流的翻墙协议有哪几种，我们又该如何选择？

其实，协议就像是数据传输的“包装盒”和“快递车”。防火墙（GFW）是路上的检查站，有些包装盒看起来太显眼，会被直接拦截；有些包装盒伪装成了普通的快递，就能安全通过；还有些快递车跑得特别快，能在短时间内送达大量数据。

本文将为您全面梳理目前市面上常见的代理协议，对比它们的优缺点，并探讨在当前的网络环境下，普通用户应该如何看待协议的作用。

代理协议的核心作用：加密与伪装

在深入了解各个协议之前，我们需要先明白，为什么我们需要这么多种不同的协议？

在早期，也就是GFW还没有那么强大的时候，我们只需要将数据加密，防止检查站看到里面的内容就可以了。这就是早期VPN（如PPTP、L2TP）和早期Shadowsocks的作用。

但是，随着GFW引入了深度包检测（DPI）技术和主动探测技术，仅仅“加密”已经不够了。GFW会发现：“这辆快递车里的货物虽然我看不到是什么，但这种完全随机的加密数据流本身就很可疑！”于是，GFW开始对未知的加密流量进行无差别封锁，或者对可疑的服务器IP进行封禁。

这就逼迫协议从“单纯加密”走向了“伪装”。我们需要把数据伪装成正常的HTTPS网页浏览流量，或者其他常见的网络流量，让GFW认为这只是一次普通的网站访问。这就是后来VMess、Trojan、VLESS等协议发展的核心动力。

主流翻墙协议一览

接下来，我们按照时间线和技术演进的顺序，为您逐一介绍目前常见的几种主流协议。

Shadowsocks (SS)

Shadowsocks（简称SS）可以说是现代科学上网协议的鼻祖，由@clowwindy在2012年开发。

工作原理： SS的核心思想非常简单：在客户端和服务器之间建立一个加密通道。客户端将数据加密后发送给服务器，服务器解密后代为请求目标网站，然后再将结果加密返回给客户端。

优点：

• 轻量高效：由于设计简单，加解密过程消耗的系统资源极少，在路由器等低性能设备上运行良好。
• 速度快：没有复杂的握手和伪装开销，传输效率高。
• 生态完善：所有主流代理软件（如Clash、v2rayN、Shadowrocket）都全面支持。

缺点：

• 特征明显：原版SS的流量在今天看来特征过于明显，没有针对DPI的伪装能力，在直连环境下极易被GFW识别并封锁IP。

现状： 原版SS目前已经很少用于公网直连翻墙了。但是，在专线机场中，SS依然是绝对的主力。因为专线（如IPLC/IEPL）不过防火墙，不需要进行伪装，SS的高效和低延迟优势就能得到完美发挥。例如，业内知名的SOGO云，其月付套餐全为IEPL专线，不限时包全为IPLC专线，官方提供节点通常也会支持这种轻量高效的协议以保证晚高峰不降速。如果想了解更多关于SOGO云的信息，可以查看他们的官网 SOGO云。

VMess

VMess是V2Ray（Project V）项目的核心协议，曾经是科学上网的中流砥柱。

工作原理： VMess引入了基于时间认证的机制（需要客户端和服务器时间误差在90秒内）。它最大的特点是支持强大的底层传输配置（如TCP、WebSocket、mKCP等），可以结合TLS将流量伪装成正常的HTTPS访问。

优点：

• 伪装能力强：VMess + WebSocket + TLS 是曾经最经典的防封锁组合，通过将流量伪装成网页流量并经过CDN转发，可以有效复活被墙的IP。
• 功能丰富：V2Ray强大的路由功能使得VMess在复杂网络环境下表现优异。

缺点：

• 性能开销大：VMess的头部数据包含了较多的加密和验证信息，这导致它的传输效率不如SS和Trojan，在移动设备上耗电也相对较多。
• 时间同步要求：对设备的时间准确度有硬性要求。

现状： 随着协议的发展，VMess逐渐暴露出了一些可以被主动探测的弱点。目前，很多新建立的节点已经开始转向更轻量、更安全的VLESS或Trojan。

VLESS 与 Reality

VLESS是VMess的升级版，全称是“Very Light, Easy, Secure, and Swift”。

工作原理： VLESS去掉了VMess中复杂且冗余的加密和时间认证机制，它不依赖于系统时间，也不自带加密，而是完全依赖于底层的TLS来保证安全性。

在这之后，开发者又推出了Reality技术（VLESS+XTLS+Reality）。Reality不仅不需要你拥有一个真实的域名，还能直接借用别人的高信誉域名（如微软、苹果的官网）来向防火墙“证明”自己是在进行正常的HTTPS访问，这是目前防封锁技术的巅峰之一。想要深入了解这项技术，可以阅读我们的科普：VLESS-Reality 协议详解。

优点：

• 极致轻量：去除了多余的加密，VLESS的性能开销极低。
• 防封锁极强：配合Reality技术，伪装效果极佳，极难被封锁。
• 免域名建站：Reality大大降低了自建节点的门槛。

缺点：

• 配置相对复杂：对于新手来说，自己搭建和配置VLESS+Reality有一定门槛。

Trojan

Trojan的诞生理念是：“不要试图去欺骗防火墙，而是直接变成防火墙不会拦截的样子。”

工作原理： Trojan直接将自己的流量伪装成最常见的HTTPS流量。当防火墙或任何人探测它时，它会表现得就像一个真正的Web服务器；只有当客户端发送了正确的密码，它才会启动代理功能。

优点：

• 伪装浑然天成：它不需要像VMess那样套用多层协议，因为它本身就是标准的HTTPS连接，特征极少。
• 速度与性能均衡：由于直接使用底层的TLS加密，性能优于VMess，速度表现出色。

缺点：

• 对客户端要求：在某些旧版本客户端上可能存在兼容性问题。

Hysteria2

Hysteria（目前主流为Hysteria2，简称hy2）是近年来异军突起的新星。与前面基于TCP协议的老前辈不同，它是一个基于QUIC (UDP) 协议的代理。

工作原理： Hysteria2的设计初衷是解决恶劣网络环境下的速度问题。在跨国网络传输中，TCP协议经常会因为丢包和延迟导致速度大幅下降。Hysteria2使用暴力发包的方式，强行在拥堵的国际链路上抢占带宽。

优点：

• 速度极快：在丢包率高、延迟大的烂线路上，Hysteria2能够爆发出惊人的速度，化腐朽为神奇。对于想详细了解它是如何做到的读者，可以参考这篇科普：Hysteria2 协议为什么这么快？。
• 自带伪装：Hysteria2内置了优秀的伪装机制，可以伪装成正常的QUIC流量。

缺点：

• 容易被限速：部分地区的运营商会对UDP流量进行严格的限速或阻断（QoS）。如果你发现Hysteria2连接不上或者速度极慢，很可能是被运营商限制了。
• 耗费资源：这种暴力抢带宽的机制对服务器和客户端的网络资源消耗都比较大。

对于普通用户：协议还重要吗？

我们花了大量篇幅介绍了各种协议的原理和优缺点。但如果您只是一个希望能够稳定访问Google、观看Netflix的普通用户，您真的需要纠结使用哪种协议吗？

结论是：不需要。

如果您选择自己购买VPS搭建节点，那么选择合适的协议（如VLESS+Reality）至关重要，因为这直接关系到您的服务器IP是否会在明天被封锁。

但如果您选择的是专业的机场服务，那么协议的种类其实已经被弱化了。为什么这么说？

1. 专线的普及：目前市面上优质的机场，几乎都采用了IPLC或IEPL专线。专线相当于在您和目标网站之间建立了一条物理级别的私密通道，数据根本不需要经过GFW的审查。
2. 轻量才是王道：在专线环境下，那些复杂的伪装协议（如VMess的TLS伪装）反而成了累赘，会增加延迟、降低速度。因此，很多顶级机场的专线节点，底层跑的往往是最原始、最轻量的SS或Trojan协议。
3. 专业的事交给专业的人：机场的技术团队会根据网络环境的实时变化，在服务端为您配置最合适的协议和线路。您只需要将订阅链接导入到客户端中即可。

机场推荐：专线为您保驾护航

与其每天研究最新的翻墙协议，不如选择一家靠谱的专线机场，省下时间去享受互联网。

对普通用户来说，与其纠结协议，不如选一家线路靠谱的机场。例如位列机场排行榜榜首的 SOGO云，官方资料显示其月付套餐为 IEPL 专线，不限时包为 IPLC 专线，并提供原生 IP。看重稳定性可以去看稳定机场推荐，预算有限可以看便宜机场推荐，想看综合排名就看机场推荐。

总结

科学上网协议的发展史，就是一部与防火墙对抗的进化史。从追求轻量加密的Shadowsocks，到注重伪装的VMess和Trojan，再到极致轻量防封的VLESS，以及暴力抢速的Hysteria2，每一种协议都在特定的历史时期发挥了重要作用。

如果您是技术爱好者，折腾这些协议无疑充满了乐趣。但对于绝大多数希望省心省力的用户而言，选择一家提供优质专线线路的机场，才是通往自由网络最稳妥、最高效的捷径。