代理协议的演进：从 Shadowsocks、VMess 到 VLESS、Hysteria2 与 AnyTLS

代理协议的演进，本质上是在“更安全、更像正常流量、更适应恶劣网络”三个方向上不断迭代。从 Shadowsocks、VMess 专注加密内容，到 Trojan、VLESS 与 Reality 追求看起来像普通 HTTPS，再到 Hysteria2 优化高丢包线路、AnyTLS 处理 TLS 流量特征，每一代都在回应上一代暴露的问题。对用户来说，理解思路比记住名字更有用，因为它能帮你判断某类节点失效时该换哪一类。

本文只梳理设计思路，不涉及具体年份。请在遵守所在地法律法规和服务条款的前提下使用相关工具。

各代协议的核心思路

思路是怎样变化的

第一阶段：加密内容

Shadowsocks 用简洁的方式加密转发流量，部署容易、开销小。VMess 在此基础上加入了更完整的身份验证与传输选项，但也因此更复杂，并且对客户端与服务器的时间一致性有要求。两者的现状可参考 Shadowsocks 和 VMess 还能用吗。

第二阶段：像普通 HTTPS

仅仅加密还不够，加密流量本身的特征也可能被识别。Trojan 选择直接使用 TLS，让连接看起来与访问普通网站相近。VLESS 则把协议本身做得更轻，把加密交给 TLS；Reality 更进一步，不需要自备证书，而是借用真实网站的 TLS 握手信息，降低部署门槛与被识别的概率。

第三阶段：适应恶劣网络

TCP 在高丢包线路上重传频繁，速度会明显下降。Hysteria2 基于 UDP 上的 QUIC，并采用自己的拥塞控制思路，在丢包较多的线路上可能表现更好，但前提是网络对 UDP 没有明显限制。TCP 与 UDP 的差异见 TCP、UDP、TLS 基础。

第四阶段：处理 TLS 的“套娃”特征

在 TLS 通道里再传输 HTTPS 流量，数据包的长度与节奏可能呈现出可辨认的模式。AnyTLS 的思路是对这些特征进行填充与调整，让流量更接近普通连接。详细介绍见 AnyTLS 是什么。

对普通用户的启示

• 协议多样比单一更可靠：订阅里同时有 TCP 类和 UDP 类节点，出问题时可以互相替代。
• 客户端要跟上：新协议依赖新内核，Clash 系客户端的内核变化见 Clash 内核的演变。
• 按网络选协议：UDP 受限的网络优先 TCP 类协议；线路丢包严重时可以试试 Hysteria2。
• 不要迷信“最新”：线路质量对体验的影响往往大于协议本身，横向对比见 Hysteria2、VLESS 与 Trojan 对比。