导入机场订阅后，节点列表里一堆名字：有的后面带 hysteria2，有的写着 vless，还有 trojan。你可能会想：这些到底有什么区别？哪个协议更适合我？节点又慢又断，是不是协议选错了？
先说结论：没有哪个协议是“永远最好”的，它们解决的是不同的问题。Hysteria2 走 QUIC/UDP，主打高带宽场景；VLESS + Reality 走 TCP，主打“看起来像访问一个正常网站”；Trojan 是最早把“伪装成 HTTPS”做成熟的方案之一，配置简单、客户端支持广。你要做的不是追新，而是看自己的网络环境和客户端，挑一个能连上、连得稳的。
本文查阅了 Hysteria2 官方协议文档、Xray-core 与 REALITY 的 GitHub 仓库、Trojan 协议文档以及 mihomo（Clash Meta 内核）的配置文档，查询日期为 2026 年 11 月 2 日。我们不提供任何测速数据，因为协议快不快取决于你的线路、运营商和服务器，没有统一答案。
先搞懂：节点协议到底是干什么的
说白了，节点协议就是你的客户端和机场服务器之间“怎么说话”的约定。它主要决定三件事：
- 怎么认人：用密码、UUID 还是别的方式确认你是合法用户。
- 怎么加密、怎么伪装：数据长什么样，从外面看像不像普通的网页访问。
- 用什么传输：走 TCP 还是 QUIC（基于 UDP），遇到丢包时怎么调速度。
订阅链接本身只是一份“节点清单”，里面每个节点都标着自己用的协议。如果你对订阅链接还不熟，可以先看我们之前写的Clash 订阅链接是什么？导入前必看的 6 件事。
一张表看懂三种协议的核心区别
| 对比项 | Hysteria2 | VLESS + Reality | Trojan |
|---|---|---|---|
| 底层传输 | QUIC（基于 UDP） | TCP 上的 TLS 变体 | 标准 TLS over TCP |
| 伪装方式 | 认证失败时表现得像普通 HTTP/3 网站 | 借用真实目标网站的 TLS 握手特征 | 表现得像 HTTPS，认证失败转发到本地网页 |
| 是否要自己的域名和证书 | 官方文档建议部署真实内容或反代站点 | 不需要，可指向别人的站点 | 官方强调需使用有效证书 |
| 特色功能 | 端口跳跃、Salamander 混淆、带宽速率声明 | xtls-rprx-vision 流控 | 配置简单，兼容面广 |
| 主要风险点 | UDP 被整体限制时用不了 | 目标站点选得不好会不稳 | 特征相对成熟，伪装不是它的新卖点 |
上表的内容都来自官方文档的描述，最后一行是我们的总结，不是官方评价。下面逐个拆开讲。
Hysteria2：基于 QUIC，适合“带宽大、丢包多”的线路
它是怎么工作的
按 Hysteria2 官方协议文档，它必须建立在标准 QUIC 传输协议之上，并使用 QUIC 的不可靠数据报扩展来转发 UDP 数据。TCP 连接则是每条连接对应一个 QUIC 双向流。客户端用一个 HTTP/3 的 POST /auth 请求来认证，成功后服务器返回状态码 233，之后这条 QUIC 连接才变成代理通道。没有通过认证的人访问，服务器的表现“就像一个标准的 HTTP/3 网站”。
另外，它允许客户端声明自己的接收速率（文档里是 Hysteria-CC-RX 头）。在 Clash（mihomo）的配置里，对应的就是 up 和 down 两个字段，默认单位是 Mbps。这两个数字不要乱填：填得比你真实带宽大太多，在有丢包的网络里容易适得其反；填得太小又跑不满。这是我们根据“按声明速率发包”的机制做的提醒，具体效果要看你的线路。
端口跳跃和混淆
官方端口跳跃文档直接写明：中国用户有时会反映运营商封锁或限速长时间保持的 UDP 连接。端口跳跃就是让客户端在一段端口范围内定期换端口，比如 example.com:20000-50000，默认每 30 秒换一次，最短 5 秒。如果限制是按“某个端口”来做的，它有用；但官方也明确说，如果限制是针对整个 UDP，端口跳跃没有帮助。在 mihomo 配置里，对应字段是 ports 和 hop-interval。
混淆方面，官方提供 Salamander（对所有 QUIC 包做一层基于 BLAKE2b 哈希的异或处理）和 Gecko（把握手包拆成 2 到 8 个随机填充的片段）。mihomo 里用 obfs 和 obfs-password 字段启用。注意：这需要服务端和客户端同时配置，机场订阅里已经配好了，你一般不用动。
适合和不适合的人
- 可能适合：线路本身带宽不小、但偶尔丢包的用户；常看视频、下大文件的用户；所在网络对 UDP 比较宽容的用户。
- 可能不适合：家宽或公司网络整体限制 UDP 的用户。这种情况下，Hysteria2 节点会表现为“连不上”或者“显示延迟但网页打不开”。
VLESS + Reality：不用自己的域名，借别人的“门面”
VLESS 是 Xray 体系里的协议，本身是个很轻的“认人 + 转发”协议。Xray 官方传输文档特别说明：不加密也不加 TLS 的 VLESS 只能连接私有网络地址。所以实际使用时，它通常要搭配 TLS 或者 Reality。
Reality 的官方描述是：一种修改过的 TLS，用目标网站的外观和握手特征作为伪装。它是 Go 语言 tls 包的一个分支。和普通 TLS 相比（据 README 的中文说明），它去掉了服务器端的 TLS 指纹特征，保留前向保密，并让证书链攻击失效。最实用的一点是：你不需要买域名，也不需要配置证书，只要指向一个符合条件的外国网站（官方建议支持 TLSv1.3 和 H2，且域名不是跳转页）即可。
Reality 还有两个关键点：
- 流控 xtls-rprx-vision：REALITY 的 README 提到，搭配非 XTLS 的代理协议并不推荐，因为存在明显且已被针对的“TLS in TLS”特征。在 mihomo 的 VLESS 配置里，
flow目前列出的值就是xtls-rprx-vision，客户端和服务端必须一致。 - 传输限制：官方说明 Reality 只能和 RAW、XHTTP、gRPC 这几种传输方式一起用。
在 mihomo 配置里，Reality 节点会出现 reality-opts，里面有 public-key 和 short-id；还会有 servername 和 client-fingerprint。这些都是机场配好的，你只需要确保客户端内核足够新，否则可能不认识这些字段。
Trojan：老牌 HTTPS 伪装方案，配置简单
按 Trojan 协议文档，客户端先完成真实的 TLS 握手；握手失败，服务器像普通 HTTPS 站点一样关闭连接。握手成功后，客户端发送 SHA224 哈希后的密码（56 字节），再跟一个类似 SOCKS5 的请求。如果密码不对，服务器会把流量转发到预设地址，默认是本机的 127.0.0.1:80，这样探测的人看到的就是一个普通网页。文档也强调，使用有效证书是用户自己的责任。
它的优点是简单、成熟，几乎所有主流客户端都支持。mihomo 里的 Trojan 配置字段很少：type: trojan、server、port、password，再加 sni、alpn 等。如果你的订阅里有 Trojan 节点，并且能正常连通，没必要为了“新协议”去换。
按场景选：你可以这样挑
| 你的情况 | 建议先试 | 理由 |
|---|---|---|
| 手机流量、移动网络 | Reality 或 Hysteria2 都试一下 | 不同运营商对 UDP 的态度不同，没有通用答案 |
| 家里宽带、UDP 被限制 | Reality 或 Trojan（TCP） | Hysteria2 依赖 UDP，被整体限制就用不了 |
| 主要看视频、下载大文件 | Hysteria2 | 设计目标就是高带宽场景，但要看线路 |
| 客户端比较旧 | Trojan 或更稳妥的协议 | 旧内核可能不认识 Reality、Hysteria2 |
| 追求稳定、不想折腾 | 订阅里默认顺序靠前的节点 | 机场一般会把更适合大多数人的放在前面 |
再强调一次：这张表是思路，不是结论。最可靠的办法是在你自己的网络里把几种协议的节点都试一遍，哪个稳就用哪个。
客户端支持：你的软件认不认识这些协议
协议再好，客户端不认识也白搭。mihomo（Clash Meta 内核）的文档列出了对 VLESS、Trojan、Hysteria2、TUIC 等多种协议的支持。我们之前写过的教程里，用的客户端大多基于这个内核或 Xray：
- Windows 电脑：参考Clash Verge Rev 导入订阅教程，更新内核通常就能支持新协议。
- iPhone：参考小火箭连不上怎么办？8 步排查。
- 安卓手机：参考v2rayNG 导入订阅教程。
如果你导入订阅后，部分节点显示灰色、不可用，或者报“不支持的类型”，十有八九是客户端或内核版本太旧。先升级，再看是不是节点本身的问题。
节点慢、断流，按协议怎么排查
- 先换协议再换机场：同一个机场往往提供多种协议的节点，换一个协议类型试试，比马上怀疑机场更快。
- Hysteria2 连不上：先怀疑 UDP。换手机热点试一下；如果热点能连、家宽连不上，大概率是家宽限制了 UDP。
- Reality 连不上：检查客户端内核是否够新，再看订阅是否刚被更新过（公钥、short-id 变了需要重新拉取订阅）。
- 延迟显示正常但打不开网页：这类“假通”很常见，可能是 DNS 或规则问题，不一定是协议。可以对照 Shadowrocket 的排查思路去看。
- 时通时断：试试关掉自动测速的高频率，或者改用另一个地区的节点；同时确认系统时间准确，时间偏差也会让握手失败。
选机场时，别只看“支持什么协议”
有些机场会在宣传里堆很多协议名字。我们的建议是：协议多不等于质量好。更值得看的是：官网有没有写清楚支持的协议和客户端、退款与到期政策、有没有公开的隐私政策。另外，机场有可能随时停运，建议按月购买；订阅链接就是你的“账号凭证”，别发给别人，也别随手贴在公开的地方。免费订阅的风险可以参考免费节点订阅安全吗？Clash 用户必看的 7 个风险。
常见问题（FAQ）
Hysteria2 和 Reality 哪个更好？
没有绝对答案。Hysteria2 依赖 UDP/QUIC，Reality 走 TCP。你的网络对 UDP 友好，可以优先试 Hysteria2；UDP 受限，就用 Reality 或 Trojan。
Reality 真的不需要域名和证书吗？
按官方 README 的说法，Reality 可以直接借用别人的网站作为目标，不用自己买域名、配置 TLS 服务器。但服务端仍需要正确配置目标站点、密钥和 short-id，这部分机场会替你做好。
端口跳跃是什么，我要自己设置吗？
就是客户端定期换服务器端口，应对按端口限速的情况。订阅里如果有 ports 字段，机场已经配置好；你自己搭服务器才需要设置。
Trojan 是不是已经过时了？
不能这么说。它简单、兼容性好，能连通就可以继续用。是否“过时”要看你所在网络的实际表现，而不是看出现时间。
节点显示不支持，是协议问题吗？
多数是客户端版本太旧或内核不支持该协议。先升级客户端，再重新更新订阅。
总结
Hysteria2、VLESS Reality 和 Trojan 各有擅长的场景：前者看重带宽和 UDP 环境，中间的靠借用真实网站握手来伪装，后者简单成熟、兼容面广。选择时别迷信“最新”，先确认客户端能识别，再在自己的网络里多试几种，保留稳定的那个。同时记得按月购买、保护好订阅链接，并遵守所在地的法律法规。本文只作技术科普，不构成法律意见。