2026最新阿信实测 · 协议科普：Reality / Hysteria2 / AnyTLS / TUIC 怎么选
【阿信实测导读·2026最新】2026 代理协议选型指南：按实现支持、传输前提、TLS 凭证、网络路径和可复测证据比较 Reality、Hysteria2、AnyTLS、TUIC 与 Trojan。
- 发布
- 更新
- 验证
- 难度
- 进阶
- 主题
- 参考
最近更新：2026-09-18
原名 / 别名：Reality
当前主路径；仍需按复核周期检查官方维护与兼容状态。
原名 / 别名：Hysteria2、HY2
官方文档与版本仍在维护，适合 UDP 可用的弱网和高丢包场景，但不应作为唯一协议。
sing-box 仍提供官方入站实现，适合作为 TCP 备用；客户端覆盖不如 Reality，暂不作为新手主路径。
原名 / 别名：TUIC
sing-box 仍提供 TUIC v5 入站实现，保留为 QUIC 备用；本站没有独立教程和长期实测，不进入主路径。
协议名不能直接预测速度、延迟或可用性。先确认服务端与客户端实现、TCP / UDP 路径和证书条件，再在同一路线、同一时段做真实任务复测。
- 先看实现同名协议在 Xray、sing-box 和官方 Hysteria 里的字段与能力可能不同。
- 再看前提UDP、TLS 证书、Reality 握手目标和开放端口缺一项都可能导致连接失败。
- 最后实测只改变协议，保持服务器、路线、时间和目标任务不变。
代理协议、传输方式和传输安全不是同一层，不能排成一张速度榜。
看分层 →UDP 不可达、没有证书或客户端不支持时，先删掉不满足的方案。
看排除表 →每次只换一个入站，记录成功率、首包、持续吞吐和错误日志。
看复测步骤 →无论选用何种客户端配置，科学上网最核心的基石在于节点线路抗封锁质量与服务商冗余。阿信实测建议：
1. 主力日常与流媒体/AI 访问：首推 榴莲云 (IEPL专线)，原生纯净 IP 晚高峰 4K 零卡顿，可使用独家专属 7 折优惠码
ll88（支持月付折后仅 ¥16.8/月）；2. 防失联备用容灾方案：建议同步备用 月之暗面 (Moonshot)，25元包年 / 5元月付，全节点 1 倍率不限速不限设备数，性价比极高；
3. 更多经过用户确认核验的高速专线，请查阅 2026 机场推荐天梯榜中心。
先分三层再选协议
把名称拆开，再决定怎么配：
| 层 | 解决什么 | 本页常见对象 |
|---|---|---|
| 代理协议 | 用户身份、复用和转发语义 | VLESS、Hysteria2、TUIC、AnyTLS、Trojan、Shadowsocks |
| 传输方式 | 数据怎么走到对端 | TCP RAW、XHTTP、gRPC、WebSocket、QUIC / UDP |
| 传输安全 | 握手外观、证书或伪装 | Reality、TLS、可选混淆 |
Reality 是传输安全方案，VLESS 是代理协议；Hysteria2、TUIC 和 AnyTLS 则有各自的入站结构。不要把这些不同层级的名称混成一条静态“性能排行榜”。
当前 Xray 文档还给出一条硬约束：Reality 只能和 RAW、XHTTP、gRPC 组合。WebSocket、HTTPUpgrade、mKCP 和 Hysteria 传输都不能开 Reality。客户端、面板和教程如果写成 VLESS + WS + Reality，这份配置在当前官方兼容表里不成立。
能力与前置条件
| 方案 | 主要传输 | 服务端材料 | 先确认什么 |
|---|---|---|---|
| VLESS + Reality | 取决于实现；Xray Reality 仅可与 RAW、XHTTP、gRPC 组合 | UUID、Reality 密钥、握手目标、Short ID；常见部署不需要自己的证书 | 内核字段、传输组合、客户端 Reality 支持完全一致；握手目标必须能从 VPS 访问 |
| Hysteria2 | QUIC / UDP | 用户密码、TLS 或 ACME 证书；可选 masquerade | 目标网络和云防火墙允许所选 UDP 端口，证书校验正常 |
| TUIC v5 | QUIC / UDP | UUID、密码、TLS 配置 | 客户端支持 TUIC v5；不要为了“更快”随意启用 0-RTT |
| AnyTLS | TCP / TLS | 用户密码、TLS 配置 | sing-box 版本与客户端支持；AnyTLS 入站自 sing-box 1.12.0 提供 |
| Trojan | 通常为 TCP / TLS | 密码、域名与证书 | 客户端兼容、证书续期和实际网络表现 |
按约束排除
先删除做不到的方案，再比较剩下的候选：
| 你现在的约束 | 先排除 | 更值得对照 |
|---|---|---|
| 当前网络或云防火墙不放行目标 UDP | Hysteria2、TUIC | VLESS + Reality、AnyTLS、Trojan |
| 不想维护域名和证书 | Hysteria2、TUIC、AnyTLS、Trojan | VLESS + Reality |
| 客户端不支持 Reality 字段 | VLESS + Reality | 该客户端明确支持的 TLS / QUIC 入站 |
| 客户端不支持 Hysteria2 / TUIC / AnyTLS | 对应入站 | 已验证支持的实现，而不是“同名协议” |
| 需要 NAT 后的家宽或蜂窝网络当服务端 | 依赖公网可达监听的常规入站 | 先确认公网 IP / 端口映射；Hysteria Realms 只作为进阶选项 |
| 需要给新手一条可跟做的教程 | TUIC、AnyTLS | VLESS Reality 或 Hysteria2 |
各方案怎么判断
VLESS + Reality
Reality 使用目标站点的外观和握手特征进行伪装，常见部署不需要为代理入口准备自己的域名与证书。它不是“窃取证书”，也不能证明流量在所有网络、所有时间都无法区分。
当前官方字段需要逐项对应：
| 服务端 | 客户端 | 容易错的地方 |
|---|---|---|
target（旧名 dest） | 不填写该字段 | 只放服务端；必须从 VPS 能访问 |
serverNames | serverName / SNI | 不支持 * 通配；通常与握手目标一致 |
privateKey | password（旧名 publicKey） | 很多 GUI 仍显示 Public Key，填的是同一把 x25519 公钥 |
shortIds | shortId | 0–16 位偶数长度十六进制；空字符串也要两端一起允许 |
flow | 相同 flow | 使用 Vision 时两端都要 xtls-rprx-vision |
| RAW / XHTTP / gRPC | 同一传输 | 不要配 WebSocket + Reality |
认证失败的流量会被转发到握手目标。CDN 后的站点可能把 VPS 变成扫描来的加速节点，要从 VPS 实测 TLS，不要复制博客域名。
完整部署见 VLESS Reality 搭建教程。
Hysteria2
Hysteria2 基于 QUIC / UDP。它可以作为 TCP 路径之外的候选，但“使用 UDP”不等于在弱网、高丢包或移动网络中必然更快。
选择前先验证所用接入网是否允许目标 UDP 端口，再用网页、视频、下载或交互业务做重复测试。只看一次测速峰值无法判断长期体验。
当前官方文档里，这几组字段经常被混用：
- TLS / ACME：需要证书；
tls与acme不能同时写。 - masquerade：未认证 HTTP/3 请求的外观，不是加速选项。
- obfs：Salamander 打乱包形态；Gecko 仍是实验项。开启后不再表现为普通 HTTP/3 服务器。
- bandwidth / Brutal：只有测过当前链路可持续能力后再填。
- Realms：给没有公网可达监听的环境做 UDP 打洞，不是 VPS 主路径。
官方 Hysteria 的 userpass 实际密码是 用户名:密码；sing-box 没有这个别名。两端混用时，要把这一整串当作密码填写。
完整部署见 Hysteria2 搭建教程。
TUIC v5
TUIC 同样依赖 QUIC / UDP 和 TLS。sing-box 当前提供 cubic、new_reno、bbr 等拥塞控制选项，默认值是 cubic；应保留默认值作为基线，再用同一任务做单变量比较。
官方文档建议关闭 0-RTT，因为它存在重放风险，而且对已多路复用协议的性能影响不大。本站没有独立 TUIC 教程和长期实测，只保留为 QUIC 备用，不进入新手主路径。
AnyTLS
AnyTLS 是 sing-box 生态中的 TCP / TLS 入站，自 sing-box 1.12.0 提供。它是否适合取决于两端版本、TLS 配置和客户端覆盖，不应仅因“较新”就作为固定备用。
padding_scheme 有默认值。没有可复现的中间盒问题前，不要把它当成必改项。客户端覆盖目前不如 Reality，本站保持“维护”而不是新手主路径。
Trojan 与 Shadowsocks
Trojan 适合已有域名、证书和兼容客户端的部署，但仍要维护证书与服务端。Shadowsocks 的表现取决于加密方法、实现和网络路径；兼容性需求可以成为选择理由，“轻量”本身不是可用性保证。当前 Xray 文档也提醒：Shadowsocks / VMess 能保护载荷，但不提供 TLS / Reality 那种普通 HTTPS 外观。
不要混用实现
同名协议换内核时，先对照官方字段，不要假设配置可以原样粘贴：
| 你看到的名字 | 实际要对的文档 | 常见差异 |
|---|---|---|
| Xray Reality | RealityObject | target / dest、serverNames、shortIds；客户端公钥字段现名 password |
| sing-box Reality | TLS / Reality | handshake.server、private_key、short_id；客户端仍用 public_key |
| 官方 Hysteria2 | Server | YAML、auth.userpass、bandwidth 语义、masquerade / obfs / Realms |
| sing-box Hysteria2 | Hysteria2 入站 | 无 userpass 别名；up_mbps / ignore_client_bandwidth；1.14 起有 Gecko、bbr_profile、realm |
| sing-box TUIC / AnyTLS | TUIC / AnyTLS | TUIC 默认 cubic 且建议关闭 0-RTT；AnyTLS 需要 TLS 和足够新的客户端 |
第三方面板或一键脚本可以生成分享链接，但不会自动保证内核版本、传输组合和客户端字段一致。导入后仍要按上表核对。
四步选型
- 列出实现：记录服务端内核、版本、客户端内核和版本，不只写协议名。
- 排除不满足的前提：UDP 不可达就先排除 QUIC 方案；无法维护证书就不要选依赖证书的入站。
- 只部署一个候选：先校验配置、监听端口、防火墙和认证，再叠加第二个入站。
- 做同条件复测：固定 VPS、路线、时段和目标任务，只切换协议；记录成功率、首包、持续吞吐和错误日志。
- A配置不成立
传输组合、TLS 字段或内核版本本身不兼容，先对照官方兼容表。
- B路径不可达
服务已监听但外部 TCP / UDP 失败，检查防火墙、安全组和接入网。
- C握手或认证失败
端口可达且日志有请求，再核密钥、SNI、证书、UUID 和 flow。
推荐阅读
延伸阅读与精选专线节点推荐
挑选稳定梯子离不开横向对比与客户端深度调优，阿信推荐继续查阅以下高权重指南：