V2Ray 协议与内核技术参考

在 v2rayNG 或 v2rayN 里点开一个节点之前,先分清三层东西,后面的选择会清楚很多。这三层分别是客户端、内核、协议与传输,每一层能改动的东西并不一样。

三层各管什么

客户端是能看到的那一层。桌面端是 v2rayN,安卓端是 v2rayNG 与 v2flyNG。客户端负责界面、订阅管理、路由开关、分应用代理这类操作,并把节点信息翻译成内核能读的配置。

内核是真正建立连接的程序。它读一份 JSON 配置,按 inbounds 接收本机流量,按 outbounds 把流量送出去,中间按 routing 里的规则决定走哪条出站。v2rayNG 调用的是 Xray 内核,v2flyNG 调用的是 V2Fly 内核,v2rayN 桌面版同样以 Xray 内核为主。内核决定了哪些协议可用——例如 REALITY 只存在于 Xray 一侧,把 REALITY 节点导入 v2flyNG 是解析不了的。

协议与传输是决定实际表现的一层。协议指 VMess、VLESS、Trojan、Shadowsocks、REALITY 这些身份与封装方案;传输指 TCP、WebSocket、gRPC 这些承载方式;再叠加是否使用 TLS。这一层通常随订阅一起下发,日常使用中很少需要手写。

日常能改的其实只有几项

打开客户端设置界面,普通用户真正会动的选项集中在几个地方:选哪个节点、路由模式选哪一种、哪些应用走代理、是否开机自启。协议与传输是随节点来的,不是现场编辑的。所以"选对协议"这件事发生在挑选订阅或整理自建配置的阶段,而不是每次连接的时候。理解协议差异的价值在于两点:同一个订阅里有多种协议的节点时,你知道该优先试哪一个;某个节点连不上时,你能判断问题出在协议参数还是链路本身。

本页与快速上手页的分工

快速上手负责把一次连接跑通的最短路径:导入订阅、选择模式、连接、验证,每一步只讲必要动作。本页不重复那条主线,而是把每个环节背后的选择讲清楚——协议之间差在哪、两个内核怎么取舍、订阅字段怎么对应、什么场景该用哪种组合。如果现在只想尽快连上,先看快速上手;如果在选订阅、整理自建配置或排查疑难,留在本页。

按目标找章节

• 想知道五种协议的设计差别 → 协议家族
• 想比较握手开销与资源占用 → 速度与开销对比
• 想知道 v2rayNG 与 v2flyNG 的内核区别 → 内核家族
• 订阅导入失败或字段对不上 → 订阅格式与兼容性
• 想了解传输方式与路由模式的影响 → 传输与路由
• 关心安卓设备的耗电 → 移动端电量表现
• 想直接看推荐组合 → 按场景选型
• 需要字段速查或排错清单 → 参数速查与排错

术语约定

本页所说的节点,指一条完整的出站配置,包含服务器地址、端口、身份字段与传输参数;订阅指包含多条节点信息的链接或文件;内核指 v2ray-core 家族的处理程序;入站与出站分别对应本机流量的入口与出口。流控指协议层对数据转发方式的控制参数。REALITY 在本页按协议层方案讨论,涉及的是选型与兼容性判断,不展开服务端部署细节。

协议之间的差别,大多不是"谁更快"这种能一句话回答的问题,而是每个方案在设计时优先解决了什么、又主动放弃了什么。把五种协议放回各自的出发点看,选型时的疑问会少很多。

VMess:协议内自带认证与加密

VMess 是 V2Ray 项目早期自有的协议,目标是在质量不稳定的链路上完成身份确认与数据封装。它自带 UUID 身份字段与时间戳校验,早期通过 alterId 机制生成一批子身份,后来改为 AEAD 认证加密,alterId 设为 0 成为主流做法。设计上的特点是认证与加密都在协议内部完成,因此不依赖外层 TLS 也能工作。代价是每个数据包都多一层封装,握手时客户端与服务端要完成一次请求与响应,移动设备会因此多出几次处理器唤醒。

VLESS:把加密交给外层

VLESS 可以理解为 VMess 的减法版本。它去掉了协议自带的加密层,只保留一个轻量的身份标识与可选流控参数,加密完全交给外层通道,通常是 TLS。取舍很明确:放弃"裸跑也加密"的能力,换取更短的握手路径与更少的封装字节。因此 VLESS 必须搭配 TLS 或等价的可靠加密通道使用,单独裸跑不提供机密性。在 Xray 内核里,VLESS 可以配合 flow 参数启用 XTLS Vision 流控,进一步减少加解密层数。

Trojan:让流量保持标准 HTTPS 的样子

Trojan 不发明新的流量形态,而是让代理流量保持一次标准 HTTPS 访问的样子。服务端监听 443 端口并持有真实证书,密码正确时转发流量,密码错误时把请求回落到一个真实网站。从外部观察,它就是一台普通的 Web 服务器。取舍在于:必须拥有域名与有效证书,证书或端口配置出错时会完全不可用;好处是配置概念少、理解成本低,流量形态与常规 HTTPS 高度接近。

Shadowsocks:轻量对称加密

Shadowsocks 走的是轻量对称加密路线。客户端与服务端共享一个密码,由密码派生出加密密钥,没有额外的身份握手字段。常见加密方式为 chacha20-ietf-poly1305 与 aes-256-gcm 这类 AEAD 算法。它的封装开销在几种方案里最小,实现也最简单,因此在算力有限的设备上仍然常见。代价是协议本身不提供伪装层,流量特征相对固定,需要靠外层封装或插件来补充。

REALITY:借用真实站点的握手流程

REALITY 由 Xray 一侧提出,针对的是证书维护成本这个具体问题。常规 TLS 方案需要自己拥有域名与证书,REALITY 改为在握手阶段借用某个真实站点的证书链:客户端预先知道目标站点的公钥,握手时验证的是目标站点,服务端不需要持有自己的证书。对使用者来说,一个 REALITY 节点通常只需要填几个参数:公钥、shortId、目标域名。它目前主要与 VLESS 搭配,并配合 XTLS Vision 流控使用。

五种方案的取舍对照

从表里能看出一条清晰的演化线索:早期方案倾向于把能力做进协议内部,后来的方案倾向于把能力交给外层、让协议本身尽量薄。这条线索也解释了为什么新协议往往要求搭配 TLS——它们把安全边界外移了。

"哪个协议快"要先拆开看。一次连接的时间由三部分构成:物理链路往返、握手往返次数、加解密与封装的处理时间。前两项由服务器位置和链路质量决定,与协议无关;协议能影响的只有第三项,以及握手需要几个来回。所以同一台服务器换协议测速,差异通常很小;换一台服务器,差异可能大得多。

握手路径:需要几个来回

VMess 的握手是请求与响应两段式,客户端发出身份信息后要等服务端确认;VLESS 只带一个轻量身份标识,不额外等待一轮确认;Trojan 走标准 TLS 握手,密码校验发生在握手之后的应用层数据里;Shadowsocks 没有身份往返,密钥由共享密码直接派生;REALITY 的握手过程与访问一个真实站点一致,客户端验证的是目标站点的证书链。往返次数越少,在高延迟链路上的首包时间越短。

封装层数:加解密做几遍

封装层数决定处理器开销。VMess 自带加密,如果外面再套一层 TLS,数据就要加解密两遍;VLESS 与 Trojan 自身不做加密,只做一层 TLS;REALITY 配合 XTLS Vision 时,代理数据可以直通,减少重复的加解密。在桌面处理器上这几层差异很难感知,在低功耗安卓设备上则会体现在耗电与发热上,这一点在移动端电量表现一章展开。

三种开销对照

什么时候差异能被感知

三种情况下协议差异会变得明显:链路本身延迟很高时,握手往返次数的影响被放大;设备算力有限时,加解密层数直接体现为耗电与掉速;并发连接数多时,每条连接的开销会累积。反过来,在延迟较低的固定宽带加中端以上设备上,VMess 与 VLESS 的体感差别通常小到无法稳定复现。

怎么自测才有意义

在 v2rayNG 的节点列表里,可以通过菜单发起延迟测试,常见的有 TCP 测试与真连接测试两类。TCP 测试只验证地址与端口能否连通,速度快但信息少;真连接测试会实际建立一次代理连接,结果更接近真实使用。比较协议时按下面的顺序做:

1. 固定一台服务器,把同一份配置按不同协议各写一条出站。
2. 用真连接测试各测三轮,记录波动范围而不是单次数值。
3. 在同一时间段内完成全部测试,避免跨时段比较。
4. 再补一次实际访问测试,确认测试结果与体感一致。

如果三轮结果互相重叠,说明在当前链路上这几个协议没有可分辨的差异,选型应该转向其它因素:是否需要伪装、证书维护成本、设备耗电。按同样的思路筛节点的完整流程,见首次连接检查。

订阅是节点信息从服务方到客户端的主要通道。理解它的格式,能在导入失败时快速定位问题,也能避免在不同客户端之间搬运配置时丢字段。

订阅链接与分享链接的区别

分享链接描述单个节点,形如 vless://、vmess://,复制一条就能导入一个节点。订阅链接描述一组节点,本身是一个 HTTP 或 HTTPS 地址,客户端访问后拿到一段文本,文本里的每一行是一条分享链接。订阅的价值在于更新:节点有增删时服务方改一处,客户端下次刷新就同步,不需要逐条重新复制。

文本是怎么编码的

订阅返回的内容有两种常见形态:明文的多行分享链接,以及把整段文本做一次 Base64 编码后的单块字符串。客户端导入时会先尝试按明文解析,失败则按 Base64 解码再解析。所以手工检查订阅内容时,如果看到的是一长串没有换行的字符,先做一次 Base64 解码再读。解码后的每一行应该以协议名开头。

四种分享链接的字段形态

可以看到,VMess 与 Shadowsocks 把字段打包进 Base64 段,VLESS 与 Trojan 则把字段摊在 URL 查询参数里。REALITY 节点通常以 vless:// 形式出现,额外带上公钥与 shortId 两个参数,少任何一个都无法完成握手。

导入失败的常见原因

• Base64 段在复制过程中被截断,末尾少了几个字符,解码结果不完整。
• 分享链接里的服务地址是域名,而当前环境下域名解析不到,表现为导入成功但连接失败。
• REALITY 节点的公钥或 shortId 缺失,导入后节点存在但握手无法完成。
• 订阅里的节点使用了当前客户端内核不支持的特性,导入时被跳过。
• 订阅地址需要额外的请求头或鉴权参数,直接粘贴到浏览器能打开、在客户端里却拉取失败。

导入之后客户端内部长什么样

导入完成后,节点会被翻译成内核能读的 JSON。下面是 VLESS 出站的最小骨架,字段名与真实配置一致,地址与身份做了替换:

{
  "outbounds": [
    {
      "protocol": "vless",
      "settings": {
        "vnext": [
          {
            "address": "node.example.com",
            "port": 443,
            "users": [
              {
                "id": "00000000-0000-0000-0000-000000000000",
                "flow": "xtls-rprx-vision"
              }
            ]
          }
        ]
      },
      "streamSettings": {
        "network": "tcp",
        "security": "reality",
        "realitySettings": {
          "serverName": "www.example.com",
          "publicKey": "example-public-key",
          "shortId": "0123456789abcdef"
        }
      }
    }
  ]
}

对照这份骨架就能理解导入过程:分享链接里的每个查询参数,最终都会落到 settings 或 streamSettings 的某个键上。字段对不上时,问题通常出在链接本身,而不是客户端。

多客户端并存时的同步

同一个订阅在 v2rayN 与 v2rayNG 上导入,节点列表理论上应该一致。如果桌面端有某个节点、安卓端没有,先检查该节点的协议与传输:REALITY 与带 flow 的 VLESS 节点在只支持基础协议的内核上会被跳过。更新订阅时,客户端通常按订阅分组整体替换,本地对单个节点的改名或排序可能不会保留,重要节点建议单独记下关键字段。多设备之间搬运配置的几种做法,可以参考多设备同步 V2Ray 配置。

同一套协议参数,换一种传输方式,表现可能完全不同。传输决定数据怎么被承载,路由决定哪些流量进入代理,两者共同影响连接成功率与使用体验。

常见传输方式

选传输的实用判断是:能用 TCP 就用 TCP,需要配合前置服务或特定端口时再考虑 WebSocket 与 gRPC。WebSocket 的可配置项最多,路径与 Host 头写错是最常见的连接失败原因之一;gRPC 在链路质量波动时靠多路复用有优势,但配置里多一个服务名参数,填错同样连不上。

TLS 与 SNI 在选型中的位置

TLS 决定流量是否加密,SNI 决定握手时向对端声明访问哪个域名。对 VLESS 与 Trojan 来说,TLS 不是可选项而是前提;对 VMess 来说,TLS 是可加的一层。REALITY 把 SNI 指向一个真实站点,握手时验证的是该站点的证书链,因此配置里的 serverName 必须与目标站点一致,写错会导致握手失败。选择传输时先确认订阅里带的 SNI 字段,再决定是否需要额外设置。

路由模式三选一

v2rayNG 与 v2rayN 的路由模式通常提供三种:

• 仅代理:按内置规则分流,匹配到的流量走代理,其余直连。日常使用最常用。
• 绕过局域网:局域网地址直连,其余流量走代理。适合需要访问路由器管理页、局域网存储这类本地设备的场景。
• 全局:所有流量都进代理。排查问题时用得多,日常使用会增加不必要的流量消耗。

三种模式对应的是内核配置里 routing 段的不同规则集。切换模式不会改变节点本身,只改变哪些流量被送进出站。

分应用代理与开机自启

安卓端的分应用代理按应用包名决定是否走代理,适合只让少数应用走代理的使用方式。开启后需要逐个勾选应用,未勾选的应用按直连处理。桌面端没有这项设置,取而代之的是按进程或按地址段的规则。开机自启适合长期在线的设备;移动设备上开启会持续占用一个后台连接,是否启用取决于使用频率。

domainStrategy 与 DNS 的关系

路由规则里的 domainStrategy 决定域名在什么时候被解析成 IP。常见取值有三种:

这一项与 DNS 设置耦合:如果 DNS 查询没有走代理,解析结果可能暴露真实出口。相关的现象与检查方法整理在V2Ray DNS 泄漏检测与防泄漏设置一文里。需要让全部流量都经过虚拟网卡接管时,做法见TUN 模式原理与开启。

把前面几章的结论收拢成一套判断顺序:先确认内核支持,再看链路与维护成本,最后按设备类型微调。下面按常见场景给出建议组合。

三步判断顺序

1. 看内核:节点里是否出现 REALITY 或 flow 参数。出现就用 Xray 内核的客户端,不出现则两个内核都能覆盖。
2. 看链路与维护成本:是否愿意维护域名与证书。愿意维护,Trojan 与 VLESS 加 TLS 都是成熟选择;不愿意维护,VLESS 加 REALITY 省去证书这一环。
3. 看设备:低功耗设备优先封装层数少的方案;桌面端按便利性选即可。

场景对照

几种不建议的组合

• VLESS 不带 TLS 直接使用:协议本身不提供机密性,数据在链路上没有加密保护。
• 在 V2Fly 内核上使用 REALITY 节点:内核不支持该方案,配置无法生效。
• 把 Shadowsocks 当作唯一方案覆盖所有场景:缺少协议层伪装,可配置项少,遇到需要自定义路径的链路时没有退路。
• 在移动设备上长期开启全局模式:所有流量都进代理,连接数与唤醒次数都会上升。

一个可执行的落地流程

1. 在客户端里导入订阅,确认节点数量与预期一致。
2. 按协议分组,优先测试封装层数少的节点。
3. 用真连接测试筛掉不通的节点,步骤参考首次连接检查。
4. 选定两到三个节点作为常用项,其余保留备用。
5. 按设备类型调整路由模式与分应用代理。

协议之间的横向比较还可以参考VMess、VLESS、Trojan、SS 横向对比,那篇按握手开销、延迟与场景选型三个角度展开,与本页的对照表互为补充。客户端的选取与系统要求集中在下载中心,三款客户端的差异集中在选型指南。

这一章是前面的索引化收尾:常用字段的含义、典型现象对应的检查项,以及站内相关页面的入口。

常用字段速查

现象与检查项

相关页面

• 快速上手:导入订阅、选择模式、连接、验证的完整主线。
• 下载中心:三款客户端的平台入口与系统要求。
• 选型指南:v2rayN、v2rayNG、v2flyNG 三款客户端的横向对比。
• 常见问题:按基础认知、安装配置、使用技巧、故障排查分类整理。
• 首次连接检查:节点挑选、真连接测速与代理生效验证。
• DNS 泄漏检测:现象、检测入口与配置项。
• 多设备配置同步:三种搬运做法的取舍。
• 四种协议横向对比:握手开销、延迟与场景选型。
• TUN 模式:原理与开启顺序。

最后一点说明

本页的结论都建立在协议与内核的公开设计之上,不涉及具体服务端的部署参数。协议选择没有唯一正确答案:同一份订阅在不同链路上表现可能不同,同一台服务器在不同设备上的耗电表现也不一样。把本页当作判断依据,把实际测试当作最终结论,两者结合才能选出适合自己的组合。如果本页没有覆盖你的问题,可以在常见问题里按分类查找,或回到快速上手按主线重走一遍流程。