6 min di lettura
Risposta breve: se l'obiettivo è sfondare un blocco attivo con DPI, scegli VLESS + Reality. Shadowsocks e Trojan si configurano più in fretta e funzionano dove il filtraggio è leggero, ma la loro «impronta» è ormai riconosciuta: il Grande Firewall cinese segnala i cifrari AEAD di Shadowsocks in pochi minuti, e Trojan si tradisce per via del suo handshake TLS. Reality non nasconde il traffico dentro la cifratura, ma lo rende indistinguibile da una visita a un sito web reale e importante: per questo nel 2026 è l'opzione più resistente al DPI.
Di seguito: in cosa differiscono davvero questi tre protocolli, perché alcuni reggono sotto blocco mentre altri cadono, e come scegliere in base al tuo scopo.
Shadowsocks è un proxy leggero basato su SOCKS5, ideato in Cina proprio per aggirare la censura. I suoi punti di forza sono reali: latenza minima, basso consumo di batteria sul telefono, configurazione semplice. Per anni è stato il cavallo di battaglia dell'aggiramento dei blocchi.
Il problema è che il DPI moderno ha imparato a vederlo. Il flusso cifrato di Shadowsocks ha tratti statistici, e i sistemi di analisi profonda del traffico li calcolano dalla forma dei pacchetti, senza nemmeno decifrarne il contenuto. Nelle reti con filtraggio attivo un server Shadowsocks viene individuato e bloccato in fretta, e sotto sondaggio attivo (active probing) quasi subito.
Dove Shadowsocks è ancora adatto: filtraggio leggero, restrizioni geografiche senza DPI, casi in cui contano più la velocità e la semplicità che la resistenza.
Trojan maschera il traffico del proxy da normale HTTPS: lavora sulla porta 443, usa un vero certificato TLS e avvolge le richieste in una sessione TLS dall'aspetto legittimo. Per un analizzatore sembra la visita a un sito sicuro, non una VPN.
È più forte di Shadowsocks contro l'analisi superficiale. Ma l'approccio ha un punto debole: lo stesso handshake TLS. Il client Trojan presenta parametri TLS che non coincidono del tutto con quelli che un browser reale mostrerebbe a un sito reale. Da questa discrepanza il DPI avanzato e il sondaggio attivo distinguono un server Trojan da un onesto server web.
Dove Trojan è adatto: dove serve un camuffamento da HTTPS, ma il filtraggio non arriva all'analisi fine delle impronte TLS.
VLESS + Reality risolve il problema a un livello inaccessibile a Shadowsocks e Trojan: non finge di essere «un» HTTPS qualsiasi, ma prende in prestito l'handshake TLS di un sito web reale e importante. Per il sistema di blocco la connessione sembra una richiesta a una risorsa popolare autentica, con il suo certificato e la sua impronta genuini.
La differenza chiave rispetto a Trojan: Trojan presenta il proprio certificato e il proprio handshake, ed è da questi che viene scoperto. Reality non alza un TLS proprio a nome del proxy, ma «prende in prestito» l'handshake di un sito esistente, così il sondaggio attivo si scontra con un sito reale, non con un server sospetto. Semplicemente non c'è un'impronta a cui aggrapparsi.
Conclusione: per resistenza al DPI, al sondaggio attivo e al blocco per firme, Reality a inizio 2026 è il più resistente dei tre. È proprio su VLESS + Reality che funziona BessyConnect: per questo la connessione regge dove Shadowsocks e Trojan sono già segnalati.
Resistenza al DPI (l'essenziale nel 2026):
Velocità:
Complessità di configurazione:
Regola generale: più duro è il blocco nella tua rete, più la bilancia pende verso Reality. Più è leggero, più diventano accettabili i più semplici Shadowsocks e Trojan.
L'utente comune non deve scegliere il protocollo a mano né tirare su un server. L'app BessyConnect ha già configurato VLESS + Reality: accesso con Apple, Google o e-mail, scelta del paese tra oltre 100 server in 15 paesi, traffico illimitato e senza log delle visite: connessione con un paio di tocchi.
Se vuoi capire più a fondo la meccanica, leggi gli approfondimenti: cos'è Reality in parole semplici, cos'è il DPI e come lo aggira una VPN e VLESS, OpenVPN o WireGuard. Se la VPN si connette ma i siti non si caricano, perché la VPN non funziona.
Cosa è meglio contro i blocchi, Reality o Shadowsocks? Reality. Il DPI moderno riconosce Shadowsocks dalla statistica del flusso e nelle reti dure lo blocca in pochi minuti, mentre Reality non ha impronta per il DPI.
In cosa Reality differisce da Trojan se entrambi si camuffano da HTTPS? Trojan alza il proprio certificato TLS e il proprio handshake, ed è dalla loro discrepanza con un browser reale che viene scoperto. Reality prende in prestito l'handshake di un sito reale, così il sondaggio si scontra con quel sito, non con il proxy.
Quale protocollo è il più veloce? Shadowsocks: ha l'overhead minimo e il miglior risparmio di batteria. Ma se la rete rallenta Shadowsocks, la sua velocità non conta: la connessione semplicemente non funziona.
Bisogna scegliere il protocollo da soli? No. In un'app pronta come BessyConnect, VLESS + Reality è già configurato: basta scegliere il paese e connettersi.
Nel 2026 il protocollo decide se la VPN funzionerà del tutto sotto blocco. Shadowsocks è veloce, ma il DPI lo vede. Trojan si camuffa da HTTPS, ma si tradisce per l'handshake TLS. VLESS + Reality non lascia impronta perché prende l'handshake di un sito reale: ed è la scelta più resistente dove il filtraggio è attivo.
Puoi provare Reality senza configurazione manuale in BessyConnect: iPhone e iPad, Android e Android TV.
Quale VPN scegliere nel 2026: 6 criteri onesti — protocollo, server, log, dispositivi, traffico e accesso. Come scegliere la VPN migliore e perché BessyConnect. Altro
Con cosa paghi una VPN gratis e cosa offre una VPN a pagamento: crittografia, server, registri, velocità. Confronto onesto e dove si colloca BessyConnect. Altro
Happ, Incy e Batya VPN sono client senza server propri; Sota è a pagamento. In cosa differisce BessyConnect: app propria su VLESS+Reality, senza registri. Altro
