外观模式
主流代理协议深度解析：Hysteria 2 / TUIC / VLESS / Trojan 对比
在网络代理技术的演进过程中，协议的设计重点经历了从早期单纯的数据对称加密（如原版 Shadowsocks、VMess），逐步转向现代的 抗主动探测（Active Probing Resistance） 与 恶劣网络拥塞恢复（Congestion Control Optimization）。
当前主流协议主要分为两大技术路线：以 Hysteria 2 与 TUIC 为代表的 基于 QUIC / UDP 传输协议，以及以 VLESS Reality 与 Trojan 为代表的 基于标准 TLS / TCP 伪装协议。
本文从底层报文结构、握手交互流程、拥塞控制算法到真实网络抗封锁能力进行深度拆解。
协议核心技术全景对比表
| 维度 | Hysteria 2 (Hy2) | TUIC (v5) | VLESS Reality | Trojan (经典/gRPC) |
|---|---|---|---|---|
| 底层传输层 | UDP (定制 QUIC) | UDP (标准 QUIC) | TCP (支持 Vision) | TCP (支持 gRPC/WS) |
| 拥塞控制算法 | Brutal 激进算法 | BBR / Cubic / New Reno | 系统底层 TCP BBR | 系统底层 TCP BBR |
| 证书要求 | 需自签或公共证书 | 需标准 TLS 证书 | 完全免证书 (借用目标域名) | 需合规域名与 CA 证书 |
| 握手轮次 (RTT) | 1-RTT / 0-RTT | 0-RTT (会话复用) | 1-RTT (TLS 1.3) | 1-RTT (TLS 1.3) |
| 高丢包抗性 | 极高 (30%丢包不降速) | 较高 (受丢包影响微调) | 较低 (依赖 TCP 重传) | 较低 (依赖 TCP 重传) |
| 运营商 QoS 风险 | 易受 UDP 限速/阻断 | 易受 UDP 限速/阻断 | 极低 (完美伪装 HTTPS) | 极低 (真实 HTTPS 流量) |
基于 UDP / QUIC 的新一代协议剖析
QUIC 协议原本由 Google 提出并成为 HTTP/3 的底层标准。代理协议利用 QUIC 的连接迁移（Connection Migration）与多路复用无队头阻塞（Head-of-Line Blocking Free）特性，实现了极高的吞吐与响应速度。
QUIC 传输架构优势：
传统 TCP 多流：[Packet 1 (丢包)] -> [Packet 2 (阻塞等待)] -> [Packet 3 (阻塞等待)]
QUIC UDP 多流：[Stream A (独立重传)] | [Stream B (正常传输)] | [Stream C (正常传输)]1. Hysteria 2 (Hy2)
Hysteria 2 是专为恶劣、高丢包、远距离跨国公网环境设计的定制版 QUIC 协议。
核心技术特性：
- Brutal 拥塞控制：标准 TCP 在检测到丢包时会主动降低窗口发送速率（拥塞退避）。而 Hysteria 2 采用专有的 Brutal 算法，客户端与服务端预先协商固定带宽值，在遇到网络丢包时完全不降低发包速率，而是强行并发重传丢失的报文，从而在 15% 到 30% 丢包率的国际劣质公网上跑满下行带宽。
- 端口跳跃（Port Hopping）：支持服务端在一段连续的 UDP 端口范围内监听。当本地运营商针对某个长期发包的高位 UDP 端口实施限速或丢包阻断时，客户端会自动按照预设计算规则平滑切换至新端口，连接不发生中断。
- Salamander 混淆：利用轻量级对称密钥对 UDP 报文头进行混淆，使深度数据包检测（DPI）无法识别其为 QUIC 协议特征。
2. TUIC (v5)
TUIC 是基于纯粹标准 QUIC 协议构建的高性能代理框架，设计理念强调极简握手与原生特性复用。
核心技术特性：
- 原生 0-RTT 握手：在完成首次连接握手后，后续发起的连接直接携带加密数据包，实现真正的零往返时延（0-RTT），首包延迟极低。
- 标准拥塞控制适配：TUIC 遵循标准的 BBR / Cubic 拥塞控制，对网络带宽更具礼貌性（Friendly），不会像 Hysteria 那样对局域网其他设备造成带宽挤压。
- 极致多路复用：单个 UDP Socket 即可并发承载成百上千个独立的代理流，连接切换开销几乎为零，非常适合移动端设备在 Wi-Fi 与蜂窝数据之间频繁切换。
基于 TCP / TLS 伪装的经典协议剖析
与 UDP 协议在恶劣网络中“暴力抗丢包”不同，TCP + TLS 路线的核心在于 将自身完全伪装为合法的互联网主流 HTTPS 网站流量，从而从根本上规避审查与识别。
VLESS Reality 窃取验证拓扑：
客户端发起 ClientHello (SNI: apple.com, 内嵌公钥认证信息)
└─> GFW 观测为正常向 Apple 服务器请求
└─> Reality 服务端收到后验证内置密钥：
├─ 验证成功 ──> 建立 VLESS 代理数据通道
└─ 验证失败 ──> 将流量无缝透明反向代理至真实 Apple 官方服务器 (无破绽)1. VLESS Reality
VLESS Reality 是 Xray 项目组研发的划时代协议扩展，彻底解决了传统代理需要购买域名与申请 SSL 证书的痛点。
核心技术特性：
- 窃取合法证书与域名（Cert Theft / Masquerading）：服务端无需配置自签名或公开证书，直接指定一个支持 TLS 1.3 的海外知名正规网站（如
www.apple.com、gateway.icloud.com、www.microsoft.com）作为伪装目标。 - 主动探测免疫（Active Probing Proof）：当审查系统向服务端端口发送异常探测报文时，Reality 服务端会自动充当透明反向代理，将探测流量原封不动转发给真实的目标官方服务器，返回完全合法的官方证书与 HTTP 响应，使探测者无法判定该 IP 是否为代理服务器。
- XTLS-Vision 流控：在 TLS 内部直接对数据包进行拼接与零拷贝转发，去除了多余的内部二次加密开销，大幅降低了服务端的 CPU 占用。
2. Trojan (经典协议)
Trojan 是代理协议由“混淆加密”向“完全伪装”转型的里程碑式设计。
核心技术特性：
- 严格模仿 HTTPS 行为：Trojan 服务端运行在标准 443 端口上，配置合法的 Let's Encrypt 证书。客户端发起标准的 TLS 1.3 握手，在建立加密隧道后发送预置密码哈希。
- 精准回退机制（Fallback）：若收到的数据包没有正确的密码校验，Trojan 服务端会直接将请求回退（Fallback）至本地运行的 Nginx 或 Caddy 网站服务，呈现一个真实的静态网页。
不同网络环境下的协议选型决策指南
没有在所有场景下均占据绝对优势的单一协议，合理的选择取决于你的物理网络环境与业务目标。
协议选型逻辑流：
[本地网络环境]
├─ 运营商严重封锁/限速 UDP (移动/校园网) ──> 优先选择 VLESS Reality / Trojan
├─ 国际出口丢包严重且 UDP 畅通 (晚高峰直连) ──> 优先选择 Hysteria 2
├─ 追求极致首包响应与流媒体切换 ───────────> 优先选择 TUIC v5
└─ 商业内网 IEPL / IPLC 专线环境 ──────────> 优先选择 Shadowsocks 2022 / VLESS1. 晚高峰严重丢包与跨国公网直连环境
- 最佳推荐：Hysteria 2
- 理由：通过 Brutal 激进重传机制，能够无视 20% 以上的国际公网丢包，稳定维持 4K 视频码率。
2. 严格的企业防火墙与校园网环境
- 最佳推荐：VLESS Reality
- 理由：企业硬件防火墙对未知 UDP 端口往往直接丢弃，但必须放行标准 443 端口的 TLS 流量。Reality 借用知名域名伪装，具备最高的穿透成功率。
3. 外服游戏与即时交互通讯
- 最佳推荐：TUIC v5 或 Hysteria 2
- 理由：基于 UDP 原生机制，不存在 TCP 的队头阻塞问题，按需快速完成 0-RTT 恢复，网络抖动极小。
4. 商业 IEPL 专线中转环境
- 最佳推荐：Shadowsocks 2022 或 Trojan / VLESS
- 理由：专线内部完全不过公网防火墙且无丢包，无需依赖 Hy2 的暴力发包算法，简单的轻量协议能最大限度减少服务器 CPU 负担与降低端到端握手延迟。
常见问题解答 (FAQ)
A
部分公共 Wi-Fi、校园网或企业防火墙策略性封锁了所有非标准 UDP 流量（仅允许 UDP 53 DNS 报文）。由于 Hysteria 2 纯粹基于 UDP 构建，一旦 UDP 端口被掐断，客户端将无法完成初始握手。