机场协议科普：SS、VMess、VLESS、Trojan、Hysteria2 与 Reality 怎么选

协议是什么：它管加密与伪装，不管路

先把一个常见误区说清楚。很多人把机场体验差归因于协议，但实际上，从你的设备到海外服务器之间有两件独立的事：一是数据走哪条路（直连公网、中转还是 IEPL / IPLC 专线），二是数据怎么包装（用什么协议加密、伪装成什么样子）。前者叫线路，后者叫协议。晚高峰卡顿、延迟高基本是线路问题；在某些网络环境下节点频繁被限速、断连，才可能和协议有关。线路的内容我们在 IEPL 和 IPLC 的区别 里讲过，这篇只讲协议。

协议要解决三个问题：第一，加密，让中间任何设备读不出你在访问什么；第二，认证，让服务器只为付费用户服务；第三，伪装，让流量尽可能不被识别为代理流量。不同协议在这三点上的取舍不同，于是有了下面这些名字。

六种主流协议逐个讲清

Shadowsocks（SS）

最早流行的轻量代理协议，设计目标是简单、快。它用一个预共享密码做对称加密，没有复杂的握手，开销极小，几乎所有客户端、路由器固件、电视盒子应用都支持。缺点是它的流量虽然加密，但「长得不像任何正常协议」，在流量分析面前特征相对明显。目前仍是兼容性之王，老设备和路由器场景离不开它。

VMess

V2Ray 项目的原生协议。相比 SS，它加了基于用户 ID 的身份认证和时间校验（所以客户端时间不准会连不上），并支持多种传输方式（TCP、WebSocket、gRPC 等）配合 TLS 使用。它的问题是设计偏重、配置项多、协议本身自带的加密与外层 TLS 存在重复，开销比 VLESS 大。现在的新机场已较少把 VMess 作为主力，但依然是兼容老客户端的常见选择。

VLESS

VMess 的精简版，核心思路是「协议本身不加密，把加密全部交给外层 TLS」。去掉了重复加密后更轻、更快、更省电，并且天然适合配合 TLS、XTLS、Reality 做伪装。它是目前新机场的主流选择，我们跟踪的 17 家里有 12 家品牌资料写明使用 VLESS，其余 5 家没有统一公开协议。代价是客户端要求高：需要 Clash Meta（mihomo）内核、sing-box、Xray 系的客户端，旧版 Clash 内核和一些老的路由器插件不支持。

Trojan

思路和 VLESS + TLS 类似，但更直接：把代理流量完整地包装成一个标准 HTTPS 连接，服务器端在收到非授权请求时会把流量转给一个真实网站，让主动探测者看到的只是一个正常站点。它的伪装效果好、实现简单，在干扰严重的时期表现稳定。缺点是必须依赖有效的域名和证书，部署成本略高，所以在低价机场里不常见。

Hysteria2

基于 QUIC（跑在 UDP 上）的协议，特点是自带较激进的拥塞控制，在跨境丢包高、带宽被公网拥堵拖累的环境下，吞吐能明显高于 TCP 类协议。它的弱点同样来自 UDP：部分运营商、校园网、企业网会对 UDP 限速或直接丢弃，这时 Hysteria2 可能完全连不上。它适合作为「备用加速」协议，而不是唯一协议。

Reality

Reality 不是独立的代理协议，而是一种 TLS 伪装方案，通常写作「VLESS + Reality」。它的巧妙之处在于：服务器不需要自己拥有域名和证书，而是在握手阶段「借用」一个真实大网站的 TLS 特征，让探测者无法区分你是在访问那个网站还是在用代理。它解决了 Trojan 需要自备证书的问题，抗主动探测能力是目前最强的一类。要求客户端支持 Xray 或 sing-box、Clash Meta 内核。

协议对比速查表

表格里「开销」指协议本身消耗的 CPU 与电量，对手机续航和路由器性能有感知；「抗干扰」指在流量识别与主动探测下不被限速、不被封端口的能力。注意这两列和「速度」没有直接关系：一条 ×1 倍率的 IEPL 专线上跑 Shadowsocks，依然比公网中转上跑 Reality 快得多。

17 家机场分别用什么协议

我们在每篇评测里都会记录机场品牌资料公开的协议信息。下表在标准对比列之外加了一列「协议」，方便你和自己的客户端对照。「品牌资料未统一提供」表示官方套餐页与帮助页没有写明，不代表不能用，但建议先月付导入试一次，或者直接问客服支持哪些客户端。

从表里可以看出几个事实：

• VLESS 是唯一被公开的协议：光速云、SOGO 云、二猫云、速界、一翻云、U1S1、宇宙云、快狸、唯兔云、可信云、光年梯、全球云共 12 家品牌资料写明 VLESS。买这 12 家之前，确认你的客户端是 Clash Meta 内核（如 Clash Verge Rev、Clash Meta for Android）、sing-box 系或 Shadowrocket。
• 5 家品牌资料未统一提供：星岛梦、微风网络、飞猫云、灵猫网络、极连云。未公开协议在我们的风险评级里是减分项，但前三家靠运营时长与线路资料把风险拉回了「低」。这五家里微风网络、飞猫云、极连云有自研客户端，对不想研究协议的用户来说反而省事；星岛梦、灵猫网络只能第三方导入，导入方式要问客服。
• 没有一家在品牌资料里单独列出 Shadowsocks 或 VMess。这意味着榜单里没有「保证能在旧版 Clash、老路由器插件上直接跑」的机场。如果你的设备比较老，或者想在路由器上部署，要么先把固件内核换成支持 VLESS 的版本，要么在月付期间导入试一次。
• Trojan、Hysteria2、Reality 同样没有被任何一家写在品牌资料里。这不代表它们的订阅里一定没有这类节点，有些机场会在 VLESS 之外附带少量 Hysteria2 节点作为加速选项，但以品牌资料为准，我们不做猜测。想看各家节点在 2026-08-11 测速截图里显示的协议，可以去 测速页。

客户端与协议的对应关系

协议选择的真正落点是客户端。下面是常见客户端对各协议的支持情况，以帮助你在买机场之前先排除「导不进去」的风险。具体支持范围以各客户端当前版本为准，这里只给大方向。

一句话结论：2026 年只要你用的是 Clash Meta 内核、sing-box 或 Shadowrocket，所有主流协议都不是问题。真正会踩坑的是还在用已停更的 Clash for Windows、老版 Clash 内核或者老路由器插件的用户，这类用户买本站任何一家机场前都应该先换客户端，因为 17 家里没有一家公开提供 SS / VMess，旧内核大概率导不进去。

按场景选：你其实在选客户端，不是选协议

既然协议由机场决定、你只能决定客户端，那「怎么选协议」就变成了几个具体问题。

手机日常用

iOS 用 Shadowrocket，Android 用 Clash Meta for Android 或 sing-box，所有协议都能导。VLESS 开销低，对续航更友好；Hysteria2 在信号差的移动网络下有时能明显提速，但有流量倍率的机场要留意 UDP 节点的倍率。

电脑办公与 AI 服务

Windows / macOS 用 Clash Verge Rev。AI 服务对协议没有偏好，对线路和出口 IP 质量有偏好，所以这里更应该关注专线和品牌资料是否标注 AI 场景，而不是协议。顺带一提，本站 17 家机场都没有标注 原生 IP，这一项不作为推荐依据。

路由器与电视盒子

这是协议最容易成为瓶颈的场景。很多路由器固件自带的代理插件内核较旧，只稳定支持 SS、VMess、Trojan。本站 17 家公开协议的全是 VLESS，所以如果你打算在路由器上部署整个家庭网络，先确认路由器固件已经换成支持 Meta 内核或 sing-box 的版本，再买机场。详细做法见 路由器机场使用教程。

干扰严重的时期或网络

如果你发现同一机场的 SS 节点被限速而 VLESS 节点正常，这就是协议特征在起作用。这种情况下优先用 VLESS + TLS、Trojan 或 Reality 节点；如果机场有 Hysteria2 节点，也可以试试，但注意 UDP 是否被你的网络限制。

订阅转换时的协议丢失

用订阅转换服务把一种格式转成另一种格式时，不支持的协议会被静默丢掉。比如把含 VLESS 节点的订阅转成旧版 Clash 格式，VLESS 节点会直接消失，你会以为机场只给了几个节点。遇到这种情况看 订阅转换教程，并尽量用客户端原生导入而不是中间转一道。

常见排错：协议导致的「连不上」怎么判断

当节点连不上时，怎么区分是协议 / 客户端问题还是线路 / 机场问题？一个简单的判断流程：

1. 看客户端日志里有没有「unsupported」「unknown type」之类的提示，有则是客户端不支持该协议，换 Meta 内核或 sing-box。
2. 同一机场的不同协议节点表现是否一致：如果 SS 能连、VLESS 全挂，大概率是客户端内核问题；如果所有协议全挂，看 所有节点超时怎么办。
3. VMess 节点单独全挂，先校准系统时间。
4. UDP 类协议（Hysteria2）单独全挂，换网络环境试一次，确认是否 UDP 被限。
5. 以上都正常但速度慢、延迟高，那是线路问题，与协议无关，去看 机场速度慢怎么办。

把协议和线路分开看，是从新手进阶的第一步。记住这条原则：协议解决「能不能连、像不像正常流量」，线路解决「快不快、稳不稳」。

常见问题