VLESS, VMess, Trojan atau Shadowsocks: yang mana patut dipilih

Klien V2Ray tidak memilih protokol untuk anda. Konfigurasi yang anda import yang menentukannya, dan konfigurasi itu datang daripada pembekal atau pelayan anda sendiri. Jadi soalan praktikalnya ialah apa yang perlu diminta, atau apa yang perlu disediakan. Artikel ini menerangkan perbezaan yang penting dan diakhiri dengan cadangan ringkas.

Tiga lapisan, bukan satu pilihan

"VLESS atau VMess" kedengaran seperti satu keputusan. Sebenarnya ia tiga:

Protokol: cara klien mengesahkan diri dan rupa muatan (VMess, VLESS, Trojan, Shadowsocks).
Pengangkutan: cara bait bergerak (TCP biasa, WebSocket, gRPC dan lain-lain).
Keselamatan: apa yang membalut sambungan (tiada, TLS atau REALITY).

Protokol yang sama boleh hampir tidak kelihatan atau mudah dikesan, bergantung pada dua lapisan yang lain. Apa yang dilihat oleh pihak penapis kebanyakannya ditentukan oleh pengangkutan dan keselamatan.

Apa yang boleh dilihat oleh pihak penapis

Bait yang kelihatan rawak. Shadowsocks dan VMess melalui TCP biasa tidak mempunyai pengepala yang dikenali. Itu sendiri menjadi isyarat: sejak akhir 2021 Great Firewall telah menyekat sambungan yang paket pertamanya kelihatan seperti data yang disulitkan sepenuhnya. Artikel mengenai China mempunyai butirannya.
Jabat tangan TLS. Trojan, dan VLESS atau VMess melalui TLS, kelihatan seperti HTTPS. Pihak penapis masih boleh menyemak nama pelayan, alamat IP, sijil dan cara sambungan itu berkelakuan.
Jabat tangan pinjaman. REALITY meniru jabat tangan TLS sebuah laman web sebenar yang anda pilih. Probe yang tidak memiliki kunci diteruskan ke laman sebenar itu dan melihat halaman sebenarnya. Anda tidak memerlukan nama domain atau sijil sendiri.

Empat protokol dibandingkan

	VMess	VLESS	Trojan	Shadowsocks
Menyulitkan muatan sendiri	Ya	Tidak, bergantung pada TLS atau REALITY	Tidak, bergantung pada TLS	Ya
Kelihatan seperti, secara lalai	Bait rawak pada TCP biasa	Bergantung pada keselamatan: bait rawak, TLS atau REALITY	HTTPS	Bait rawak
Memerlukan domain dan sijil sendiri	Hanya dengan TLS	Hanya dengan TLS, bukan dengan REALITY	Ya	Tidak
Gagal jika jam tidak tepat	Ya	Tidak	Tidak	Tidak
Boleh diimport ke v2rc	Ya	Ya	Ya	Ya

VMess ialah protokol V2Ray yang asal. Ia mengesahkan dengan UUID dan cap masa, sebab itulah jam telefon atau pelayan yang tersasar beberapa minit menyebabkannya gagal tanpa mesej ralat. Gunakan alterId 0 (mod AEAD); alterId bukan sifar ialah cara lama.
VLESS ialah pengganti yang lebih ringan. Ia tidak melakukan penyulitan sendiri, jadi tahap privasinya hanya setakat lapisan di bawahnya. Gunakan bersama TLS atau REALITY, jangan sekali-kali dengan keselamatan none merentasi internet terbuka.
Trojan meniru HTTPS: kata laluan di dalam sambungan TLS biasa. Klien yang tidak tahu kata laluan itu akan ditunjukkan halaman web biasa. Ia memerlukan sijil sebenar untuk domain sebenar, dan sesebuah domain boleh disekat.
Shadowsocks ialah proksi tersulit yang sudah lama wujud dan paling mudah dijalankan. Gunakan sifer AEAD; sifer aliran lama seperti rc4-md5 atau aes-256-cfb adalah lemah. Tanpa pemalam atau pembungkus, trafiknya jenis yang disulitkan sepenuhnya.

Apa yang ditambah oleh REALITY dan Vision

Dalam konfigurasi REALITY anda akan melihat security=reality, nama pelayan (sni), kunci awam (pbk) dan ID pendek (sid). Nama pelayan itu mestilah laman web sebenar yang menyokong TLS 1.3 dan HTTP/2; dokumentasi REALITY meminta tepat perkara itu.

flow=xtls-rprx-vision ialah flow Vision. Sambungan TLS yang dibawa di dalam sambungan TLS lain meninggalkan corak yang dapat dikenali; literatur penyelidikan menamakannya TLS-in-TLS, dan Xue et al. (USENIX Security 2024) menunjukkan bahawa corak sedemikian boleh mendedahkan proksi yang dikaburkan. Vision direka untuk mengurangkan corak itu bagi trafik yang dengan sendirinya HTTPS.

Kedua-duanya bukan sihir. Alamat IP dan rangkaian pengehosan pelayan anda tetap penting, dan REALITY tidak menyembunyikan hakikat bahawa sambungan menuju ke alamat pusat data di luar negara.

Apa yang perlu diminta

Pada rangkaian yang menyekat (Rusia, Iran, China dan seumpamanya): VLESS dengan REALITY dan Vision melalui TCP, pada port 443.
Konfigurasi kedua yang berlainan jenis: Trojan, atau VLESS melalui TLS dengan WebSocket atau gRPC, boleh juga di belakang CDN. CDN menyembunyikan alamat IP pelayan anda, tetapi ia bergantung pada CDN itu sendiri dapat dicapai dan tidak dilambatkan di tempat anda.
Pada rangkaian terbuka: mana-mana daripada keempat-empatnya. Gunakan apa sahaja yang sudah disokong oleh pembekal anda.
Jika pembekal anda memberi langganan: anda tidak memilih, tetapi anda boleh membaca pautannya supaya tahu apa yang anda dapat. Lihat cara membaca pautan konfigurasi.
Simpan sekurang-kurangnya dua konfigurasi daripada hos yang berbeza. Apabila satu gagal, anda mahu alamat IP yang berbeza dan sebaik-baiknya protokol yang berbeza, bukan konfigurasi lain daripada pelayan yang sama.

Apa yang boleh dan tidak boleh diimport oleh v2rc

v2rc mengimport VMess, VLESS (termasuk REALITY), Shadowsocks dan Trojan daripada pautan, fail JSON V2Ray, papan keratan atau URL langganan. Ia tidak mengimport Hysteria 2, TUIC, WireGuard, AmneziaWG atau NaiveProxy. Empat yang pertama berjalan melalui UDP, yang digugurkan oleh banyak rangkaian yang menyekat; NaiveProxy berjalan melalui HTTPS tetapi memerlukan klien tersendiri. Untuk protokol itu anda memerlukan aplikasi lain.

v2rc tidak menyertakan pelayan: anda membawa konfigurasi sendiri. Smart Connect memilih konfigurasi yang terpantas dan mengesahkan bahawa terowong benar-benar melepaskan trafik sebelum bertukar.

Sumber

Dokumentasi REALITY dan contoh konfigurasi Xray
Perihalan protokol Trojan
Spesifikasi AEAD Shadowsocks
Xue, Kallitsis, Houmansadr, Ensafi: Fingerprinting Obfuscated Proxy Traffic with Encapsulated TLS Handshakes, USENIX Security 2024
Wu et al.: How the Great Firewall of China Detects and Blocks Fully Encrypted Traffic, USENIX Security 2023