# VLESS, VMess, Trojan ou Shadowsocks: qual usar

HTML: https://v2rc.app/pt/learn/choosing-a-protocol/ · Última revisão: 2026-11-06

Como VLESS, VMess, Trojan e Shadowsocks se diferenciam na rede, qual resiste em redes restritivas e o que pedir primeiro. Inclui o que o v2rc consegue importar.

Um cliente V2Ray não escolhe o protocolo por você. Quem escolhe é a configuração que você importa, e essa configuração vem do seu provedor ou do seu próprio servidor. Então a pergunta prática é o que pedir ou o que montar. Este artigo explica as diferenças que importam e termina com uma recomendação curta.

> **Resposta curta.** Se você pode escolher e a rede é restritiva, comece com VLESS e REALITY sobre TCP na porta 443, com o flow `xtls-rprx-vision`. Tenha como reserva uma segunda configuração de outro tipo, como Trojan ou VLESS sobre TLS e WebSocket. Em uma rede aberta, quase qualquer coisa funciona. Nenhuma escolha é definitiva: os censores se adaptam, e o que funciona este mês pode não funcionar no próximo.

## Três camadas, não uma escolha

“VLESS ou VMess” parece uma decisão só. São três:

- **Protocolo**: como o cliente se autentica e qual é a aparência da carga útil (VMess, VLESS, Trojan, Shadowsocks).
- **Transporte**: como os bytes viajam (TCP simples, WebSocket, gRPC e outros).
- **Segurança**: o que envolve a conexão (nada, TLS ou REALITY).

O mesmo protocolo pode ser quase invisível ou fácil de identificar, dependendo das outras duas camadas. O que um censor enxerga é definido principalmente pelo transporte e pela segurança.

## O que um censor consegue ver

- **Bytes com aparência aleatória.** Shadowsocks e VMess sobre TCP simples não têm cabeçalho reconhecível. Isso já é um sinal: desde o fim de 2021, o Great Firewall bloqueia conexões cujo primeiro pacote parece dados totalmente criptografados. O [artigo sobre a China](https://v2rc.app/pt/learn/china/) traz os detalhes.
- **Um handshake TLS.** Trojan, e VLESS ou VMess sobre TLS, parecem HTTPS. Um censor ainda pode verificar o nome do servidor, o endereço IP, o certificado e o comportamento da conexão.
- **Um handshake emprestado.** O REALITY imita o handshake TLS de um site real que você escolhe. Uma sonda que não tem a chave é encaminhada a esse site real e vê as páginas reais dele. Você não precisa de domínio nem de certificado próprios.

## Os quatro protocolos lado a lado

| | VMess | VLESS | Trojan | Shadowsocks |
|---|---|---|---|---|
| Criptografa a carga por conta própria | Sim | Não, depende de TLS ou REALITY | Não, depende de TLS | Sim |
| Aparência por padrão | Bytes aleatórios em TCP simples | Depende da segurança: bytes aleatórios, TLS ou REALITY | HTTPS | Bytes aleatórios |
| Precisa de domínio e certificado próprios | Só com TLS | Só com TLS, não com REALITY | Sim | Não |
| Falha se o relógio estiver errado | Sim | Não | Não | Não |
| Importável no v2rc | Sim | Sim | Sim | Sim |

- O **VMess** é o protocolo original do V2Ray. Ele se autentica com um UUID e um carimbo de data e hora, e por isso um relógio de telefone ou de servidor errado por alguns minutos faz a conexão falhar sem mensagem de erro. Use alterId 0 (o modo AEAD); um alterId diferente de zero é legado.
- O **VLESS** é o sucessor mais leve. Ele não faz criptografia própria, então é tão privado quanto a camada que fica por baixo. Use-o com TLS ou REALITY, nunca com segurança `none` pela internet aberta.
- O **Trojan** copia o HTTPS: uma senha dentro de uma conexão TLS comum. Um cliente que não sabe a senha recebe uma página web normal. Ele precisa de um certificado real para um domínio real, e um domínio pode ser bloqueado.
- O **Shadowsocks** é um proxy criptografado consolidado há muito tempo e o mais simples de rodar. Use uma cifra AEAD; cifras de fluxo antigas, como `rc4-md5` ou `aes-256-cfb`, são fracas. Sem um plugin ou uma camada que o envolva, o tráfego dele é do tipo totalmente criptografado.

## O que o REALITY e o Vision acrescentam

Em uma configuração REALITY, você vai ver `security=reality`, um nome de servidor (`sni`), uma chave pública (`pbk`) e um short ID (`sid`). O nome do servidor precisa ser de um site real com suporte a TLS 1.3 e HTTP/2; a [documentação do REALITY](https://github.com/XTLS/REALITY) pede exatamente isso.

`flow=xtls-rprx-vision` é o flow Vision. Uma conexão TLS transportada dentro de outra conexão TLS deixa um padrão reconhecível; a literatura de pesquisa o chama de TLS-in-TLS, e [Xue et al. (USENIX Security 2024)](https://www.usenix.org/conference/usenixsecurity24/presentation/xue) mostrou que esses padrões podem expor proxies ofuscados. O Vision foi projetado para reduzir esse padrão no tráfego que já é, ele mesmo, HTTPS.

Nenhum dos dois é mágica. O endereço IP e a rede de hospedagem do seu servidor continuam importando, e o REALITY não esconde o fato de que a conexão vai para um endereço de data center no exterior.

## O que pedir

1. **Em uma rede restritiva** (Rússia, Irã, China e similares): VLESS com REALITY e Vision sobre TCP, na porta 443.
2. **Uma segunda configuração de outro tipo:** Trojan, ou VLESS sobre TLS com WebSocket ou gRPC, opcionalmente atrás de uma CDN. Uma CDN esconde o endereço IP do seu servidor, mas depende de a própria CDN estar acessível e sem limitação de velocidade onde você está.
3. **Em uma rede aberta:** qualquer um dos quatro. Use o que o seu provedor já oferece.
4. **Se o seu provedor fornece uma assinatura:** você não escolhe, mas pode ler os links para saber o que recebeu. Veja [como ler um link de configuração](https://v2rc.app/pt/learn/read-a-config-link/).
5. **Tenha pelo menos duas configurações de hosts diferentes.** Quando uma falha, você quer outro endereço IP e, de preferência, outro protocolo, e não mais uma configuração do mesmo servidor.

## O que o v2rc consegue e não consegue importar

O v2rc importa VMess, VLESS (incluindo REALITY), Shadowsocks e Trojan a partir de um link, de um arquivo JSON do V2Ray, da área de transferência ou de uma URL de assinatura. Ele não importa Hysteria 2, TUIC, WireGuard, AmneziaWG nem NaiveProxy. Os quatro primeiros funcionam sobre UDP, que muitas redes restritivas descartam; o NaiveProxy funciona sobre HTTPS, mas precisa de um cliente próprio. Para esses, você precisa de outro app.

O v2rc não inclui servidores: você traz as suas próprias configurações. O Smart Connect escolhe a configuração mais rápida e verifica se o túnel realmente passa tráfego antes de trocar.

## Fontes

- [Documentação do REALITY](https://github.com/XTLS/REALITY) e [exemplos de configuração do Xray](https://github.com/XTLS/Xray-examples)
- [Descrição do protocolo Trojan](https://trojan-gfw.github.io/trojan/protocol)
- [Especificação AEAD do Shadowsocks](https://shadowsocks.org/doc/aead.html)
- Xue, Kallitsis, Houmansadr, Ensafi: [Fingerprinting Obfuscated Proxy Traffic with Encapsulated TLS Handshakes](https://www.usenix.org/conference/usenixsecurity24/presentation/xue), USENIX Security 2024
- Wu et al.: [How the Great Firewall of China Detects and Blocks Fully Encrypted Traffic](https://gfw.report/publications/usenixsecurity23/en/), USENIX Security 2023