选协议先确认服务端配置，再看客户端内核与网络条件。本文区分协议、传输和安全层，比较四种协议的认证方式、加密边界与连接成本，并给出桌面和安卓端的核对方法。已有订阅的用户可据此判断兼容性；自建服务的用户可据此确定测试顺序，而不是只按协议名称判断速度。
一、先分清协议、传输与安全层
VMess、VLESS、Trojan、Shadowsocks 是代理协议名称；TCP、WebSocket、gRPC 是传输配置中常见的选项；TLS 与 REALITY 属于连接安全机制。订阅中的“VLESS + TCP + REALITY”描述的是一组配置，不是三个可以互换的协议。
客户端必须与服务端逐项对应。服务端提供 VMess，不能仅把客户端类型改成 VLESS；服务端使用 WebSocket，也不能在客户端随意改成原始 TCP。协议、端口、认证信息、传输参数和安全层只要有一项不一致，就可能在建立连接时失败。
- 协议层：决定如何认证用户、表达目标地址，以及是否自行加密代理数据。
- 传输层：决定代理数据怎样被承载。WebSocket 有 HTTP 升级过程，gRPC 通常使用 HTTP/2；两者都需要服务端配套支持。
- 安全层：TLS 校验证书并保护连接；REALITY 需要兼容实现及对应的公钥、服务器名称等参数，不能直接替代普通证书配置。
- 路由层：决定哪些请求走代理、直连或阻断。换协议不会自动修正 DNS、分流规则或应用未走代理的问题。
二、四种协议的加密与认证区别
| 协议 | 主要认证信息 | 数据保护方式 | 重点核对项 |
|---|---|---|---|
| VMess | UUID，并依赖正确的系统时间 | 常见配置使用协议自身的认证加密，也可外加 TLS | UUID、AEAD 配置、加密方式、传输参数 |
| VLESS | UUID | 传统配置的 encryption 为 none，通常依靠 TLS 或 REALITY 保护连接 | UUID、flow、安全层及服务端对应参数 |
| Trojan | 密码 | 标准部署依赖 TLS 保护认证与代理数据 | 密码、服务器名称、证书有效性 |
| Shadowsocks | 加密方法及对应密码或密钥 | 使用所选方法进行对称加密；AEAD 方法同时提供完整性保护 | method、密钥格式、TCP 与 UDP 支持 |
VMess 常见 AEAD 配置使用 alterId: 0。旧分享链接中的非零 alterId 不应直接套用到现代配置；应向服务端确认实际模式。系统时间错误也会影响 VMess 认证，排查时应先启用系统的自动时间同步，而不是反复更换 UUID。
VLESS 的 encryption: none 指传统 VLESS 协议层不负责加密，不代表外层 TLS 或 REALITY 没有工作。反过来，只有 VLESS 加原始 TCP、没有任何安全层的公网连接，也不能因为使用了 UUID 就视为具备内容保密性。具体扩展能力仍应按双方内核版本核对。
Shadowsocks 的 aes-128-gcm、chacha20-ietf-poly1305 与 Shadowsocks 2022 方法不是同一个配置。后者对密钥格式和长度有明确要求，不能把任意文本密码原样迁移过去。客户端界面里都写着 Shadowsocks，也不保证双方支持同一方法。
判断：先核对完整组合，再考虑更换协议
记录“协议 + 传输 + 安全层 + 认证参数”。如果现有节点只有超时现象，先检查这四项和服务端可达性；单独更换协议名称无法修复端口未放行或证书不匹配。
三、握手开销与速度：不能按协议名称排名
首次打开网页的等待时间，可能包含 DNS 查询、TCP 建连、TLS 握手、代理认证以及目标站点响应。TLS 1.3 的完整握手通常需要一个往返，TCP 建连也有自己的往返成本；连接复用和会话恢复会改变后续请求的开销，因此“冷连接”和“已经连上后的下载速度”应分开记录。
VMess 和 Shadowsocks 自身提供加密，并不意味着任何部署都比使用 TLS 的配置快。设备是否有 AES 硬件加速、服务端负载、跨网链路丢包和拥塞控制都会影响结果。Trojan 依赖 TLS，但长连接建立后，首次握手成本通常不会逐次叠加到每个数据包。
- 固定测试条件：同一设备、同一网络、同一目标站点，关闭后台下载。尽量选择相同服务端位置，否则比较的是线路而非协议。
- 分别测首次与复用：重启连接后记录首次请求耗时，再连续请求相同目标。不要把复用连接的结果当作首次握手结果。
- 至少重复 5 次：记录中位数、失败次数和持续传输表现。一次最低延迟不能代表稳定性。
- 单独验证 UDP：网页能打开只证明相关 TCP 路径可用，不能据此判断语音、游戏或 QUIC 流量是否正常。
四、传输搭配、端口与服务端条件
VMess 与 VLESS 常见于原始 TCP 或 WebSocket 等传输组合；Trojan 的标准配置以 TLS 连接为基础，其他承载方式取决于实现；Shadowsocks 原生协议并不自带 WebSocket 或普通 HTTPS 站点语义。能否接入反向代理或 CDN，需要逐项核对服务支持的传输，而不是只看端口。
把服务端端口设成 443，不会自动启用 TLS，也不会自动获得 CDN 兼容性。使用 WebSocket 时，路径必须一致，例如服务端设为 /proxy-ws，客户端就不能填写 /。HTTP Host 用于相关 HTTP 请求，TLS 的 SNI 用于服务器名称协商，两者作用不同，不能因界面上都是域名就随意互换。
- 普通 TLS：证书应覆盖所用服务器名称，并在有效期内；不要把跳过证书验证当作日常修复方案。
- VLESS + REALITY：按服务端填写公钥、shortId、服务器名称等字段；仅选择 REALITY 开关并不足以完成配置。
- VLESS flow：
xtls-rprx-vision不是通用加速按钮，需要匹配支持的传输、安全层、客户端和服务端。 - UDP：同时检查服务端防火墙、核心支持、客户端入口以及具体承载方式。TCP 可用不能替代 UDP 验证。
五、v2rayN、v2rayNG、v2flyNG 怎么选
客户端是配置界面和运行入口，具体协议功能由所用内核实现。v2rayN 桌面端应确认当前配置实际调用的内核；v2rayNG 安卓端使用 Xray 内核；v2flyNG 安卓端使用 v2fly 内核。即使分享链接可以导入，也要继续确认 flow、REALITY、Shadowsocks 加密方法等字段有没有被正确保留。
v2rayNG：安卓端使用 Xray 配置
推荐如果服务端明确提供 VLESS + REALITY 或 Vision 配置，优先核对 v2rayNG 所带 Xray 内核版本与导入字段。推荐范围是这类配置的安卓端入口，不代表所有网络下速度更高。
适合：安卓设备，需要使用服务端提供的 Xray 特性
v2rayN：桌面端核对实际内核
适合在桌面管理多种节点与订阅。测试之前检查当前节点类型、调用的核心及其版本；客户端版本与核心版本是两项信息，更新界面程序后也应核对核心是否同步变化。
适合：桌面使用、集中管理订阅与路由配置
v2flyNG：按 v2fly 支持范围匹配
适合已有配置明确与 v2fly 兼容的安卓环境。不要将 Xray 专用的 REALITY 或 Vision 字段直接迁入；其他协议和加密方法也应按实际内核版本确认。
适合：已有 v2fly 配置，需要保持相同实现路径
核对时先进入客户端的节点编辑页，逐项查看“地址”“端口”“传输”“TLS”等字段，再查看运行日志。不同版本的菜单名称可能变化，因此不要只按旧截图寻找开关。分享链接中的 vmess://、vless://、trojan://、ss:// 表示不同的解析格式，不是通过修改前缀就能完成的协议转换。
六、按现有订阅和新部署分别决策
选择顺序：先确保可连接，再控制测试变量
已有订阅或现成服务
- 以服务端提供的协议和参数为准，不自行改协议类型。
- 优先选客户端内核完整支持、实际请求能通过的配置。
- 保持同一路由与 DNS 策略，比较同区域节点的稳定性。
- 升级前保留可用配置，订阅地址和认证信息不要公开。
新部署或可控制服务端
- 需要普通 TLS 证书部署时，可评估 Trojan 或 VLESS + TLS。
- 已有成熟 VMess 配置时，先验证兼容性与维护成本。
- 需要对称加密代理时，核对 Shadowsocks 方法及 UDP 能力。
- 需要 REALITY 时，先确认两端 Xray 实现与参数匹配。
先得到一组可复现的可用配置，再一次只调整一个参数；同时更换协议、传输和线路，会失去定位问题的依据。
普通网页浏览通常更受线路质量与首次连接耗时影响；持续下载更受带宽、拥塞和服务端资源影响；语音及游戏则需要关注 UDP 转发和抖动。不存在仅凭“VLESS 比 VMess 新”或“Shadowsocks 配置短”就能推导出的统一排名。
如果需求只是让未遵循系统代理的程序进入代理路径，应检查 TUN 或安卓 VPN 接管范围，而不是先换协议。代理协议负责客户端与服务端之间的数据交换；应用流量有没有进入客户端，是另一层问题。相关入口可结合客户端使用教程核对。
七、协议选择中的常见问题
VLESS 的 encryption 是 none，需要改成 AES 吗？
传统 VLESS 配置应保持服务端要求的 none，不要套用 VMess 的加密选项。转而核对 TLS 或 REALITY 是否按服务端要求启用，并检查服务器名称和认证参数。若服务端使用特定扩展，则按双方内核文档配置。
Trojan 端口能连通，为什么还是证书错误？
端口可连接不代表 TLS 验证通过。在节点编辑页检查服务器名称，再核对证书覆盖的域名、有效期和系统时间。服务端证书链不完整时应修复服务端，不要长期关闭证书验证。
Shadowsocks 换了加密方式后就无法连接？
把 method 和密码或密钥一起与服务端核对。尤其从传统 AEAD 切换到 2022 方法时，确认客户端支持该方法，并使用符合要求的密钥。只改下拉选项、继续沿用旧密码通常不能完成迁移。
同一条 VLESS 链接，为什么一个客户端成功、另一个失败？
比较两端实际内核版本及导入后的传输、安全层、flow、公钥和 shortId。若链接包含 Xray 特有能力，应使用匹配实现；在日志中找到具体失败阶段后再调整，不要仅凭导入成功认定兼容。
四种协议都超时，还需要逐个换着试吗？
先停止轮换，确认本地网络、系统时间、服务端地址和端口是否正确，再查看服务端是否运行及防火墙是否放行。若多种协议共用同一条异常线路，换协议不能解决底层不可达。更多基础排查见疑难解答。