01. 代理加密协议的十年演进史
在网络审查与反审查的博弈中，代理加密协议（Proxy Protocols） 经历了四次重大的技术迭代：
┌────────────────────────────────────────────────────────────────────────┐
│ 代理协议发展演进四部曲 │
├────────────────────────────────────────────────────────────────────────┤
│ 第一代：对称流加密时代 (早期 Shadowsocks) ──> 简单混淆，容易被重放识别 │
│ 第二代：AEAD 身份认证与指令头 (VMess / SS-AEAD) ──> 增加校验但特征暴露│
│ 第三代：借用真实 Web 伪装 (Trojan / VLESS-Reality) ──> 彻底消除代理特征│
│ 第四代：基于 QUIC/UDP 拥塞突破 (Hysteria 2 / TUIC) ──> 弱网极速暴力推流│
└────────────────────────────────────────────────────────────────────────┘02. 2026 六大主流代理协议全维度参数矩阵
| 协议名称 | 传输层基础 | 握手延迟 | 抗 DPI 探测能力 | 弱网吞吐能力 | 客户端兼容度 | 最佳适用场景 |
|---|---|---|---|---|---|---|
| Shadowsocks 2022 | TCP / UDP | 0-RTT | ★★★☆☆ (需专线保护) | ★★★★☆ | 极高 (全平台) | IPLC/IEPL 纯专线内部传输 |
| VLESS-Reality | TCP | 1-RTT | ★★★★★ (业界天花板) | ★★★★☆ | 高 (Mihomo/Singbox) | 公网直连、高审查敏感时期 |
| Hysteria 2 | UDP (QUIC) | 0-RTT | ★★★★☆ (HTTPS 伪装) | ★★★★★ (弱网拉满) | 高 (现代内核) | 移动蜂窝网络、晚高峰严重丢包 |
| TUIC v5 | UDP (QUIC) | 0-RTT | ★★★★☆ | ★★★★★ | 中 | 极客玩家、低延迟多路复用 |
| Trojan-GFW | TCP | 1-RTT | ★★★☆☆ | ★★★☆☆ | 极高 | 经典 Web 伪装网站搭建 |
| VMess (经典版) | TCP / WS | 2-RTT | ★★☆☆☆ (已逐渐淘汰) | ★★☆☆☆ | 极高 | 老旧客户端兼容兜底 |
03. 核心协议深度技术剖析
1. VLESS-Reality —— 现代伪装的“借鸡生蛋”终极方案
- 原理：Reality 彻底抛弃了自签证书或 Let’s Encrypt 证书，直接“借用”海外大型合规网站（如
www.apple.com、www.microsoft.com）的真实 TLS 证书作为伪装外壳。 - 抗探测：当审查系统对你的服务器发起主动探测时，你的服务器会将探测请求原封不动地反向代理给真实的目标大厂网站，审查系统只能得到 100% 正确的大厂 TLS 响应，从而判定该 IP 是合法服务器。
2. Hysteria 2 —— 专为恶劣网络打造的暴力吞吐引擎
- 原理：基于魔改的 QUIC 协议栈，利用 Brutal 算法主动下发恒定推流速率，在 15%~25% 严重丢包的弱网下依然能轻松跑满 4K 视频带宽。
04. 决策指南：如何根据网络环境选择最优协议？
你的核心网络环境是什么？
├── ① 已经购买了商业 IEPL 纯专线 ──> 首选【VLESS】或【Shadowsocks 2022】(延迟最低, 开销最小)
├── ② 晚高峰网络严重丢包 (中国移动 / 校园网) ──> 首选【Hysteria 2】(暴力突破 QoS)
├── ③ 自建 VPS 直连、极度注重防封锁安全性 ──> 首选【VLESS-Reality】(伪装天花板)
└── ④ 使用老旧路由器固件或不支持现代协议的旧客户端 ──> 选用【Trojan】更多协议加固与实操配置，请参阅 VLESS-Reality 生产级安全加固实战 与 Hysteria 2 协议高速机场推荐。
FAQ / 常见问题解答
Q1.
2026 年最推荐个人或机场使用的是哪种协议？
追求极致隐蔽性与抗封锁能力的首选 **VLESS-Reality**（无证书依赖，伪装度极高）；追求弱网高吞吐、突破晚高峰运营商恶性限速的首选 **Hysteria 2**；追求专线超低延迟与低 CPU 资源开销的首选 **Shadowsocks 2022**。
Q2.
为什么 Trojan 协议近年来容易被局部阻断？
Trojan 依赖自建或申请的公网 TLS 证书。由于其 ALPN 协商与 TLS 握手特征相对固定，且需要主动解析真实域名，GFW 的主动探测系统在特定敏感时期会通过主动回放握手包的方式精准识别并封禁服务器端口。