先看服务端提供什么完整组合，再看客户端内核能否支持。VMess 自带协议层加密，常见 VLESS 配置把保密性交给 TLS 或 REALITY，Trojan 依赖 TLS，现代 Shadowsocks 使用预共享密钥加密。本文适合正在比较订阅节点、准备自建或需要多设备共用配置的读者；读完可以分清协议、传输和安全层，避免只改协议名称导致连接失败。
一、先分清协议、传输与客户端
VMess、VLESS、Trojan 与 Shadowsocks 是代理协议，不是四种客户端。v2rayN 是桌面客户端，负责保存节点、管理订阅、设置代理并调用内核；v2rayNG 在安卓端使用 Xray 内核，v2flyNG 在安卓端使用 v2fly 内核。界面里能够添加某种节点，不代表当前内核支持该节点的所有传输与安全选项。
把节点拆成几层看，比记“哪个协议最好”更有用。订阅中的协议名称只是第一层，地址、端口、传输、安全层和认证字段必须配套。尤其是 VLESS 节点，不能看到名称相同就认为可以在不同内核之间原样使用。
- 代理协议：决定如何认证用户、表达目标地址并封装代理请求，例如 VMess 或 Trojan。
- 传输方式：决定代理数据如何传送，例如 TCP、WebSocket、gRPC。不是每种协议或内核都支持所有组合。
- 安全层：例如 TLS 或 Xray 的 REALITY。它与代理协议名称不是同一回事。
- 客户端与内核：客户端负责交互，内核实际处理连接。排查兼容性时，两者版本都要记录。
二、四种协议的认证与加密区别
先判断“谁负责加密”，再比较配置复杂度。下表讨论当前常见部署：VMess AEAD、使用 encryption=none 的 VLESS、标准 Trojan，以及现代 Shadowsocks AEAD 系列。历史配置与新增扩展不能只凭协议名套用结论。
| 协议 | 认证依据 | 保密性来源 | 配置重点 |
|---|---|---|---|
| VMess | UUID 与协议认证机制 | 协议层可使用 AEAD 加密，也可叠加 TLS | UUID、加密选项、系统时间、传输参数 |
| VLESS | 通常使用 UUID | 常见 none 配置依赖 TLS 或 REALITY 等安全层 | 安全层、服务名、flow 及内核支持 |
| Trojan | 共享密码，经协议处理后认证 | TLS 连接 | 密码、证书验证、服务器名称 |
| Shadowsocks | 共享密码或规定格式的预共享密钥 | 所选加密方法提供的认证加密 | 加密方法、密钥格式、双方实现兼容性 |
VMess：关注 AEAD 与时间同步
VMess 不等于“必须使用旧配置”。现代常见配置使用 AEAD，传统 VMess 配置中的 alterId 通常设为 0。不要为解决连接问题随意增加这个值。VMess 的认证涉及时间因素，设备时间明显偏差时，正确的 UUID 也可能无法完成认证；先开启操作系统自动校时，再排查其他字段。
VLESS：不能把 none 理解为整条连接明文
常见 VLESS 配置里的 encryption=none 表示这一层不进行载荷加密，不代表外层 TLS 或 REALITY 没有加密。反过来，如果既没有协议层加密，也没有可靠安全层，就不能因名称是 VLESS 而认为连接受到了保护。采用其他加密扩展时，要单独核对两端实现与版本，不能沿用 none 模式的判断。
Trojan 与 Shadowsocks：密码字段相似，机制不同
Trojan 的保密性依赖 TLS，正常部署需要正确验证服务端证书。Shadowsocks 则由所选加密方法直接保护代理数据，基础部署不要求域名证书。传统 AEAD 方法与 Shadowsocks 2022 的密钥要求并不相同；例如 2022-blake3-aes-128-gcm 需要规定长度的密钥，不能把任意口令直接当成合格配置。
三、TLS、REALITY 与 WebSocket 怎样搭配
“VLESS + REALITY”和“VMess + WebSocket + TLS”描述的是不同层的组合。REALITY 是 Xray 提供的安全机制，不是独立代理协议；WebSocket 是传输方式，本身不能替代 TLS。常规 CDN 反向代理通常需要它支持的 HTTP 类传输，不能把任意 TCP 节点的地址改成 CDN 域名就期待连接成功。
端口号只是监听位置。服务器在 443 端口上仍可能运行不匹配的服务；在其他端口也可以部署 TLS。验证连接时，应该查看实际配置和握手日志，而不是只看端口数字。使用普通 TLS 时，连接地址可以是 IP，但用于证书验证的服务器名称仍须与证书匹配。
- 普通 TLS：核对服务器名称、证书有效期、证书链与设备时间。不要把“允许不安全连接”当作常规解决方案。
- WebSocket：核对路径与 Host，并确认反向代理确实把请求转发到对应入口。路径大小写或末尾斜杠不同，都可能影响匹配。
- gRPC：核对服务名及服务端 HTTP/2 支持，不能照搬 WebSocket 的路径字段。
- REALITY：核对服务端提供的公钥、shortId、服务器名称及配套参数。UUID 正确不代表这些字段自动正确。
VLESS 的 flow 也不是任意填的加速选项。只有服务端采用对应流程，且客户端内核和传输组合支持时，才应配置例如 xtls-rprx-vision。导入完整订阅通常比手动拼装字段更稳妥，但仍需确认订阅来源可信。
四、性能开销怎么比较才有意义
没有脱离线路的固定速度排名。同一台服务器上的不同协议，可能被不同入口、反向代理或限速策略影响；两个不同地区的节点，更不能用一次下载结果证明某协议更快。加密计算、握手、传输封装和网络丢包都可能成为瓶颈，最终需要看设备与线路的实际表现。
- 加密计算：AES 硬件加速会影响 AES-GCM 的效率；部分设备上 ChaCha20-Poly1305 更合适。不能只按算法名称判断耗电或速度。
- 握手成本：频繁建立短连接时，网络往返与 TLS 握手会影响首个请求；长时间传输则更受带宽、拥塞和丢包影响。
- 额外封装：WebSocket、gRPC 与反向代理会增加处理环节，但也可能满足已有部署条件。环节更少不等于线路一定更快。
- UDP 能力：协议、内核、服务端与本地接管方式要同时支持。游戏或语音失败时，不能仅凭网页正常就认定 UDP 路径正常。
可复用的对比步骤
- 尽量使用同地区、同服务器、相同带宽限制的入口；记录客户端版本、内核版本、协议组合与测试时间。
- 关闭后台下载，固定同一个目标资源，先预热一次，再分别测试三次。记录结果中位数，而不是只保留最高值。
- 分开观察网页首次加载、持续下载和实时通信。客户端的延迟测试只能反映特定探测，不能代替完整业务测试。
- 移动设备额外观察后台保持和耗电。切换网络后重新测试，不把无线信号变化误判为协议问题。
五、家用、移动网络与多设备如何选
下面的“推荐”限定于有配套服务端、两端均支持的常见 Xray 部署，并不是所有网络的速度排名。已有稳定节点时优先保留完整配置；新建入口时再根据证书管理、内核兼容和设备数量取舍。
VLESS + 配套安全层
推荐新建 Xray 部署可优先评估。按实际条件选择 TLS 或 REALITY，严格匹配安全参数；需要兼容其他内核时，先验证具体组合，不能只检查 VLESS 名称。
适合:可管理服务端、桌面与安卓均使用兼容内核
VMess AEAD
已有 VMess 订阅能正常使用，就没有必要只为名称迁移。保留正确的传输参数，处理时间同步问题，并确认没有沿用不适用的旧认证设置。
适合:已有稳定节点、需要延续现有配置
Trojan + TLS
采用密码认证和 TLS，配置重点集中在证书与服务器名称。适合能够持续维护域名、证书及入口转发的环境，不应通过跳过证书验证减少维护工作。
适合:已有域名与证书维护流程的部署
Shadowsocks AEAD 系列
基础配置字段较少，通常不需要证书。跨设备使用时核对相同加密方法与密钥格式；选择 2022 系列前，确认所有设备和服务端均支持。
适合:字段较少的直连部署、已确认兼容的多设备环境
家庭网络可以优先关注晚间稳定性与多设备并发；移动网络则要额外考虑网络切换、UDP 可达性及后台管理。安卓设备的省电限制可能中断代理进程，换协议不一定解决问题。先区分进程被系统停止，还是内核仍在运行但连接超时。
多设备方案：同一订阅，分别核对能力
桌面端：v2rayN
- 记录实际启用的内核与版本，不仅记录客户端版本。
- 先用浏览器验证系统代理，再按需处理终端或 TUN。
- 保留一个已验证的节点，更新后便于做对照。
安卓端：v2rayNG 或 v2flyNG
- v2rayNG 按 Xray 能力核对节点，v2flyNG 按 v2fly 能力核对。
- 首次启动确认 VPN 授权，检查分应用范围是否包含目标应用。
- 移动网络与家庭无线网络分别测试，不共用一次测试结论。
同一订阅不保证所有设备可用节点完全相同；涉及 REALITY、flow 或特定加密方法时，以两端实际支持为准。
六、导入后连接失败，按字段分层排查
协议选择结束后，最常见的问题不是“协议不好”，而是配置只匹配了一部分。先保留原节点副本，每次只改一个字段，并记下日志时间。公开求助时隐藏订阅地址、UUID、密码和私钥；日志里的真实节点地址也应按需要脱敏。
VLESS 的 UUID 没错，为什么还是连不上？
按地址与端口、安全层、服务器名称、传输、flow 的顺序核对。使用 REALITY 时，再检查公钥与 shortId 是否来自同一服务端入口。不要把 TLS 节点和 REALITY 节点的字段混用。
Trojan 只有关闭证书验证才可用，怎么办？
恢复证书验证，检查设备时间与服务器名称，再由服务端检查证书有效期和完整证书链。使用 IP 连接时，也要保留正确的验证名称，不能把“能握手”当成身份验证已通过。
Shadowsocks 换了加密方法，密码相同也不行？
客户端和服务端必须使用相同方法。若切换到 2022 系列，还要按该方法重新生成符合长度与编码要求的密钥。不能只改客户端下拉框，也不能把旧密码直接视为新密钥。
节点延迟测试成功，浏览器却打不开网页？
先确认内核已启动、浏览器确实使用当前本地代理端口，再检查 DNS 与路由。若入站监听的是 127.0.0.1:10808，应用就必须按该入站支持的代理类型连接；端口仅为示例，以实际设置为准。
订阅里的 VMess 节点突然全部失效，需要换协议吗？
先自动同步系统时间，再更新订阅并检查节点是否到期或入口变更。若日志显示认证失败，核对 UUID 与认证相关设置；若是连接超时，先查地址、端口和网络可达性，不要同时改动多个协议字段。
最后把结论落到完整组合上：协议决定认证与封装，安全层决定相应的保密与身份验证方式，传输和线路影响可达性与体验。选择客户端时可查看客户端对比，需要理解 DNS、路由与系统代理的关系时可查看使用文档。先让一条配置稳定运行，再逐项优化，比同时更换协议、内核和路由更容易定位问题。