VLESS, VMess, Trojan oder Shadowsocks: welches nutzen?

Ein V2Ray-Client wählt kein Protokoll für dich aus. Das entscheidet die Konfiguration, die du importierst, und die stammt von deinem Anbieter oder von deinem eigenen Server. Praktisch geht es also darum, was du anfordern oder einrichten solltest. Dieser Artikel erklärt die Unterschiede, auf die es ankommt, und schließt mit einer kurzen Empfehlung.

Drei Ebenen, keine einzelne Entscheidung

„VLESS oder VMess“ klingt nach einer einzigen Entscheidung. Tatsächlich sind es drei:

• Protokoll: wie sich der Client authentifiziert und wie die Nutzdaten aussehen (VMess, VLESS, Trojan, Shadowsocks).
• Transport: wie die Bytes übertragen werden (reines TCP, WebSocket, gRPC und andere).
• Sicherheit: was die Verbindung umhüllt (nichts, TLS oder REALITY).

Dasselbe Protokoll kann je nach den anderen beiden Ebenen fast unsichtbar oder leicht zu erkennen sein. Was ein Zensor sieht, bestimmen vor allem Transport und Sicherheit.

Was ein Zensor sehen kann

• Zufällig wirkende Bytes. Shadowsocks und VMess über reines TCP haben keinen erkennbaren Header. Schon das ist ein Signal: Seit Ende 2021 blockiert die Great Firewall Verbindungen, deren erstes Paket wie vollständig verschlüsselte Daten aussieht. Details stehen im China-Artikel.
• Ein TLS-Handshake. Trojan sowie VLESS oder VMess über TLS sehen aus wie HTTPS. Ein Zensor kann trotzdem den Servernamen, die IP-Adresse, das Zertifikat und das Verhalten der Verbindung prüfen.
• Ein geborgter Handshake. REALITY imitiert den TLS-Handshake einer echten Website, die du auswählst. Eine Sonde, die den Schlüssel nicht besitzt, wird an diese echte Website weitergeleitet und sieht deren echte Seiten. Du brauchst weder einen eigenen Domainnamen noch ein eigenes Zertifikat.

Die vier Protokolle im Vergleich

• VMess ist das ursprüngliche V2Ray-Protokoll. Es authentifiziert sich mit einer UUID und einem Zeitstempel; deshalb scheitert es ohne Fehlermeldung, wenn die Uhr von Handy oder Server um ein paar Minuten abweicht. Verwende alterId 0 (den AEAD-Modus); eine alterId ungleich 0 ist veraltet.
• VLESS ist der schlankere Nachfolger. Es verschlüsselt nicht selbst und ist deshalb nur so privat wie die Ebene darunter. Nutze es mit TLS oder REALITY, nie mit der Sicherheitseinstellung none über das offene Internet.
• Trojan ahmt HTTPS nach: ein Passwort innerhalb einer gewöhnlichen TLS-Verbindung. Ein Client, der das Passwort nicht kennt, bekommt stattdessen eine normale Webseite zu sehen. Es braucht ein echtes Zertifikat für eine echte Domain, und eine Domain kann gesperrt werden.
• Shadowsocks ist ein lange etablierter verschlüsselter Proxy und der einfachste im Betrieb. Nutze eine AEAD-Chiffre; alte Stream-Chiffren wie rc4-md5 oder aes-256-cfb sind schwach. Ohne Plug-in oder Wrapper gehört sein Datenverkehr zur vollständig verschlüsselten Sorte.

Was REALITY und Vision hinzufügen

In einer REALITY-Konfiguration findest du security=reality, einen Servernamen (sni), einen öffentlichen Schlüssel (pbk) und eine Short-ID (sid). Der Servername muss eine echte Website sein, die TLS 1.3 und HTTP/2 unterstützt; genau das verlangt die REALITY-Dokumentation.

flow=xtls-rprx-vision ist der Vision-Flow. Eine TLS-Verbindung, die innerhalb einer anderen TLS-Verbindung läuft, hinterlässt ein erkennbares Muster; die Forschungsliteratur nennt das TLS-in-TLS, und Xue et al. (USENIX Security 2024) haben gezeigt, dass solche Muster verschleierte Proxys verraten können. Vision wurde entwickelt, um dieses Muster bei Datenverkehr zu verringern, der selbst HTTPS ist.

Keines von beidem ist Zauberei. Die IP-Adresse und das Hosting-Netz deines Servers spielen weiterhin eine Rolle, und REALITY verbirgt nicht, dass eine Verbindung zu einer Rechenzentrumsadresse im Ausland geht.

Was du anfordern solltest

1. In einem restriktiven Netz (Russland, Iran, China und ähnliche): VLESS mit REALITY und Vision über TCP auf Port 443.
2. Eine zweite Konfiguration anderer Art: Trojan oder VLESS über TLS mit WebSocket oder gRPC, optional hinter einem CDN. Ein CDN verbirgt die IP-Adresse deines Servers, hängt aber davon ab, dass das CDN selbst erreichbar ist und dort, wo du bist, nicht gedrosselt wird.
3. In einem offenen Netz: jedes der vier. Nimm, was dein Anbieter ohnehin unterstützt.
4. Wenn dein Anbieter dir ein Abonnement gibt: Du wählst nicht selbst, kannst aber die Links lesen und so wissen, was du bekommen hast. Siehe wie man einen Konfigurationslink liest.
5. Halte mindestens zwei Konfigurationen von verschiedenen Hosts bereit. Wenn eine ausfällt, brauchst du eine andere IP-Adresse und idealerweise ein anderes Protokoll, nicht noch eine Konfiguration vom selben Server.

Was v2rc importieren kann und was nicht

v2rc importiert VMess, VLESS (einschließlich REALITY), Shadowsocks und Trojan aus einem Link, einer V2Ray-JSON-Datei, der Zwischenablage oder einer Abonnement-URL. Hysteria 2, TUIC, WireGuard, AmneziaWG und NaiveProxy importiert es nicht. Die ersten vier laufen über UDP, das viele restriktive Netze verwerfen; NaiveProxy läuft über HTTPS, braucht aber einen eigenen Client. Dafür brauchst du eine andere App.

v2rc bringt keine Server mit: Du bringst deine eigenen Konfigurationen mit. Smart Connect wählt die schnellste Konfiguration und prüft, ob der Tunnel tatsächlich Daten durchlässt, bevor es umschaltet.

Quellen

• REALITY-Dokumentation und Xray-Konfigurationsbeispiele
• Beschreibung des Trojan-Protokolls
• Shadowsocks-AEAD-Spezifikation
• Xue, Kallitsis, Houmansadr, Ensafi: Fingerprinting Obfuscated Proxy Traffic with Encapsulated TLS Handshakes, USENIX Security 2024
• Wu et al.: How the Great Firewall of China Detects and Blocks Fully Encrypted Traffic, USENIX Security 2023