结论先行：2026 年日常使用优先选 VLESS Reality 或 Trojan，网络丢包严重时换 Hysteria2，老设备和路由器用 Shadowsocks（SS2022）；不过对机场用户来说，协议是机场决定的，你只需选一个支持这些协议的客户端，再在节点之间挑表现最好的那个。
协议决定了数据如何加密、如何伪装、走 TCP 还是 UDP。不同协议在速度、抗干扰能力和客户端兼容性上各有取舍。本文先逐个介绍主流协议，再用一张表横向对比，最后说明该怎么选，以及协议和机场节点到底是什么关系。
代理协议是什么？为什么有这么多种
代理协议是客户端和代理服务器之间约定的“说话方式”：怎么认证身份、怎么加密数据、在网络上看起来像什么。早期的协议只追求加密，后来网络识别技术越来越强，协议开始追求“看起来像正常网页流量”，再后来又出现了基于 UDP 的协议，专门解决丢包环境下速度上不去的问题。所以协议的演进大致是三个方向：更隐蔽、更快、更省资源。想了解代理从客户端到落地服务器的完整链路，可以先读 代理是怎么工作的。
Shadowsocks 与 SS2022
Shadowsocks 是最早普及的代理协议，结构简单、资源占用低，几乎所有客户端和路由器固件都支持。它的流量是看不出特征的随机数据，曾经很有效，但这种“完全随机”本身也成了一种可被识别的特征。
2022 年推出的 Shadowsocks 2022（SS2022） 改进了密钥派生和防重放机制，加密方式名称以 2022-blake3 开头，安全性比旧版好不少。如果机场同时提供新旧两种 SS 节点，优先用 SS2022。
VMess 与 Trojan
VMess 是 V2Ray 项目的经典协议，自带加密，可以搭配 WebSocket、gRPC 等传输方式和 TLS 使用，曾经是机场最常见的协议。它对设备时间敏感，客户端与服务器时间相差过大会连不上。如今它的资源开销和特征都不占优势，正在逐渐被 VLESS 取代。
Trojan 的思路是“把代理流量伪装成 HTTPS”：服务器用真实域名和证书提供 TLS 服务，不带正确密码的访问会被当成普通网站处理。它结构简洁、兼容性好，是很多机场的主力协议之一。Trojan 的隐蔽性依赖于服务器上真实网站的配置质量，证书过期或域名被封时节点会整体失效，所以机场一般会准备多个域名轮换。
VLESS、Reality 与 Vision
VLESS 是比 VMess 更轻量的协议，自身不做加密，把加密交给外层的 TLS 或 Reality，开销更低。它通常和两个技术一起出现：
- Reality：无需自己的域名和证书，握手时“借用”一个真实大型网站的 TLS 特征，外部看起来就像在访问那个网站，是 2026 年抗干扰能力最强的方案之一。
- XTLS Vision：一种流控方式，减少“TLS 套 TLS”带来的重复加密和流量特征，提升速度和隐蔽性。
所以节点名或配置里看到“VLESS + Reality + Vision”，基本代表当前主流的高配组合。它的代价是只能走 TCP，也不能套 CDN，节点 IP 一旦被封只能更换服务器。
Hysteria2、TUIC 与 AnyTLS
Hysteria2 基于 QUIC（UDP），使用激进的拥塞控制，在丢包较多的网络上依然能跑出高速度，适合晚高峰丢包严重的宽带或移动网络。缺点是部分地区或运营商会对大流量 UDP 限速，表现因网络而异。
使用 Hysteria2 时，客户端里填写的上下行带宽要接近你宽带的真实值，填得过大反而会加剧拥塞；机场订阅一般已经设好，不建议随意修改。
TUIC 同样基于 QUIC，侧重低延迟和多路复用，握手更快，适合游戏和频繁建立连接的场景，但机场提供的比例比 Hysteria2 少。
AnyTLS 是较新的协议，基于 TLS，通过可配置的填充策略打散流量长度特征，缓解“TLS 套 TLS”被识别的问题。mihomo 和 sing-box 等新内核已经支持，其他客户端以各自的版本说明为准。
看懂节点配置里的传输与安全字段
用节点解析工具或客户端查看一个节点的详情，除了协议名，还会看到几个字段，它们组合起来才决定节点的真实特征：
- 传输方式（network）：常见的有 tcp、ws（WebSocket）、grpc、h2。ws 和 grpc 可以接在 CDN 后面，提高可用性，但会增加一点延迟。
- 安全层（security / tls）：tls 表示用真实证书加密，reality 表示借用其他网站的握手特征，none 表示外层没有加密，只依赖协议本身。
- SNI 与伪装域名：客户端在握手时声明访问的域名，Reality 节点这里通常是某个知名网站的域名。
- 端口：使用 443 端口的节点更像普通网页流量，非常规高位端口在部分网络环境下更容易被限速。
例如“VLESS + tcp + reality + 443 端口”就是典型的高隐蔽配置，而“VMess + ws + none + 8080 端口”属于较旧、特征较明显的配置。普通用户不必改这些参数，但能看懂它们，就能理解为什么同一家机场里有的节点更耐用。
代理协议对比表
| 协议 | 传输 | 速度 | 抗干扰 | 客户端支持 | 适合场景 |
|---|---|---|---|---|---|
| Shadowsocks / SS2022 | TCP / UDP | 快 | 一般 | 几乎全部 | 路由器、老设备 |
| VMess | TCP | 中 | 中（加 TLS 后较好） | 几乎全部 | 兼容老配置 |
| Trojan | TCP + TLS | 快 | 较强 | 几乎全部 | 通用主力 |
| VLESS + Reality | TCP | 快 | 很强 | 新内核客户端 | 敏感时期、长期主力 |
| Hysteria2 | UDP（QUIC） | 很快 | 较强 | 新内核客户端 | 丢包网络、看视频 |
| TUIC | UDP（QUIC） | 快 | 较强 | 新内核客户端 | 游戏、低延迟 |
| AnyTLS | TCP + TLS | 快 | 强 | 较新版本 | 尝鲜、备选 |
“新内核客户端”指基于 mihomo、sing-box、Xray 的客户端，例如 Clash Verge Rev、Clash Meta for Android 与新版 Shadowrocket。仍在用原版 Clash 或 Clash for Windows 的话，会看不到 VLESS、Hysteria2 节点，换客户端即可，见 Clash 教程。
代理协议怎么选？
- 先看客户端：客户端不支持的协议，节点会直接被忽略，先确认用的是新内核客户端。
- 日常默认：优先 VLESS Reality 或 Trojan，稳定且隐蔽。
- 晚高峰慢、丢包多：切到 Hysteria2 节点试试，速度可能提升一倍以上；如果反而更慢，说明你的网络对 UDP 有限制，换回 TCP 协议。
- 路由器和老设备：用 Shadowsocks，优先 SS2022。
- 敏感时期：常用节点普遍不稳时，Reality 和 AnyTLS 通常坚持得更久。
协议和机场节点是什么关系？
机场节点的完整配置包括“协议 + 传输方式 + 线路 + 地区”。协议决定伪装方式，线路决定跨境质量。一个直连的 Reality 节点，晚高峰可能不如一个专线的 Shadowsocks 节点，因为专线节点的跨境段本来就不经过拥挤的公网出口，对伪装的要求也低，详见 IEPL 和 IPLC 是什么。
另外，同一家机场往往会给同一地区同时提供两三种协议的节点，目的就是互为备份：某种协议在你的网络里被限速时，换另一种协议的同地区节点通常就能恢复。建议在客户端里把不同协议的常用节点放进同一个故障转移组，出问题时自动切换。
所以挑选机场时，协议是加分项而不是决定项：先看线路和晚高峰实测，再看是否提供新协议作为备选。节点配置可以用 节点解析工具 查看协议细节；想找提供多种新协议、线路也稳定的机场，可以看 稳定机场推荐 或 机场排行榜。