从 Shadowsocks 到 Reality：抗封锁协议演进与选型（2026 视角）
过去十年，GFW 的流量识别从"抓固定特征"进化到"AI 行为指纹分析"，代理协议也随之完成了一轮又一轮的军备竞赛。理解这条演进路线，你才知道今天为什么是这个格局。
第一代：Shadowsocks / SSR（2012–2018）
Shadowsocks 用 AEAD 加密把流量伪装成普通 HTTPS，曾经畅通无阻。转折点是 GFW 研究出主动探测——向服务器发探测包，根据回应特征识别 SS 协议。此后老版 SS 协议特征公开，批量被封。
现状：SS-2022 等新算法解决了早期问题，但主流客户端支持参差，多作为机场内网的辅助协议。
第二代：V2Ray 与 VMess + WS + TLS（2018–2021）
思路升级：把代理流量藏进标准网站流量里。
- VMess 加密流量，WebSocket 传输，外面套一层真 TLS（需要域名 + 证书）
- 配合 CDN 还能隐藏源站 IP，一度成为自建标配
软肋：TLS 指纹。GFW 发现很多"网站"的 TLS 握手和真实浏览器不一样（JA3 指纹），照样能批量识别。
第三代：Trojan / Trojan-Go
更彻底的伪装：直接把代理流量放进 443 端口的 HTTPS，协议行为和 nginx 一模一样，没有额外特征。配合真域名和真网站做掩护，过墙率大幅提升。
软肋：需要域名和证书，且 TLS 指纹问题依然存在——GFW 逐帧分析 TLS 握手，能区分"浏览器 TLS"和"Golang 写的 TLS"。
第四代：VLESS + Reality（2022– 至今）
这是目前公认的最强方案，思路堪称精妙：不伪造自己的指纹，而是借用别人的。
- 服务器配置一个"伪装目标"（如 apple.com）
- 当探测者访问你的服务器时，它转发真实 apple.com 的 TLS 握手回应
- 用你自己的私钥解密真实流量——只有知道 UUID 的真实客户端能通信
GFW 看到的，就是一次再正常不过的访问苹果官网的 TLS 连接。无需域名、无需证书，抗主动探测能力目前无出其右。
第五代：基于 UDP/QUIC 的 Hysteria 2 与 TUIC v5
TCP 阵营之外的新路线：基于 QUIC。
- 针对丢包率高、QoS 限速严重的晚高峰环境优化拥塞控制
- 高峰期测速常常反超 TCP 协议，秒开 4K
- 代价：UDP 在某些校园网/公司网络被整体封锁，需要备用方案
2026 年怎么选：按场景而非信仰
| 场景 | 首选 | 理由 |
|---|---|---|
| 自建节点、求稳 | VLESS-Reality | 免域名证书、抗探测最强 |
| 晚高峰看 4K 视频 | Hysteria 2 | 抗 QoS、拥塞控制优秀 |
| TCP 被封环境 | Trojan / VMess-WS | 走 443 + CDN 保底 |
| 移动端 | 双协议备着 | Wi-Fi 和蜂窝网 UDP 可用性不同 |
几个共识：
- 没有银弹。Reality 也可能在特定时期被区域性干扰，高频更换 IP 和入口才是机场的护城河
- 协议之外更重要。中转专线、入口冗余、IP 质量对体验的影响大于协议选择
- 多协议客户端是底线。只支持单协议的机场，抗风险能力天然弱一档
本站状态页能看到各家机场节点在不同时段的连通性表现，比任何协议宣传都更有说服力：节点状态。