9 分钟
在所有绕过封锁的协议里，到 2026 年在严格过滤的网络中仍然可用的只剩三个：带 Reality 伪装的 VLESS、AmneziaWG，以及加了混淆的 Hysteria2。传统 OpenVPN、原生 WireGuard、Trojan 和基础配置下的 Shadowsocks 都会被过滤设备切断——它们各自在最初几个数据包上都有可识别的形态。下面拆解这几个幸存者有何不同，以及什么场景该选哪一个。
问题不在加密强度——上面列举的这些在这方面都没毛病。问题在于连接从外部看起来是什么样子。
过滤设备并不解密流量。它看的是特征：最初几个数据包的大小与顺序、握手字段、交互的节奏。传统 VPN 协议的这些特征是固定的、而且被记录得很清楚——靠它们，一条连接在最初几毫秒内就会被判定出来，此时还没有传出一个字节的有用数据。
活下来的是那些把这个特征签名藏起来的协议。藏的方法有三种，而且彼此在原理上完全不同。
| 协议 | 伪装成什么 | 传输层 | 强项 | 弱点 |
|---|---|---|---|---|
| VLESS + Reality | 通向真实网站的普通 HTTPS | TCP | 最不显眼：握手是与真实的第三方站点完成的 | 配置更复杂，对掩护站点的选择敏感 |
| Hysteria2 | HTTP/3（QUIC） | UDP | 速度快、延迟低，丢包环境下表现好 | QUIC 本身就显眼，必须加混淆 |
| AmneziaWG | 不伪装成任何具体东西，而是改动 WireGuard 的包结构 | UDP | 配置简单，速度与 WireGuard 相当 | 伪装强度弱于 Reality |
VLESS + Reality 不只是加密，而是在建立连接阶段把"对话对象"替换掉。客户端先与一个真实的第三方网站完成 TLS 握手，之后流量才转到你的服务器。在观察者看来，这就是一次普通用户访问普通网站：证书是真的，域名是真的。
Hysteria2 跑在 QUIC 之上，伪装成 HTTP/3 流量——今天相当一部分网页就是靠它承载的。押注的是 HTTP/3 太普遍，不可能被整体切断。问题在于过滤设备已经学会了识别 QUIC 的模式，因此在严格过滤的网络里，Hysteria2 都要配合混淆使用：混淆会在连接最初几个数据包这一层破坏识别。
AmneziaWG 是改动了包结构的 WireGuard：加入填充、改变尺寸和头部，使连接不再与标准特征吻合。它不假装成任何具体的东西，只是不再像 WireGuard 而已。
TUIC 是另一个基于 QUIC 的协议，理念上与 Hysteria 接近：同样的传输层，同样押注速度和抗丢包能力。它的实际生态位比上面三个主力要窄：客户端更少，教程更少，而在 QUIC 被过滤时，它和没加混淆的 Hysteria 一样脆弱。
对它合理的态度是：如果你本来就在 QUIC 上搭建基础设施，并且清楚自己在做什么，TUIC 是可行的选项。但作为一个"只想让网站能打开"的人的主力协议，它在现成方案的数量上处于下风。
基础协议之间的横向对比另有专文：VLESS、OpenVPN 还是 WireGuard。
纸面上 UDP 协议快过基于 TCP 的协议，Hysteria2 在不稳定链路上确实占优。但你实际感受到的速度，取决的不是协议，而是另外三件事：到服务器的距离、那个具体节点的负载，以及你的运营商是否在限速这类流量。
一个在第一个数据包就被掐断的协议，无论指标多漂亮，速度都是零。所以在有过滤的网络里，优先级顺序与常规相反：先问"能不能过得去"，再问"有多快"。速度损失的原因拆解见为什么 VPN 会拖慢网速。
如果是你自己搭服务器——需要，这是你的决定，隧道一个月后还能不能用也取决于它。自建服务器的工具见Amnezia、Outline 还是现成服务。
如果你用的是现成服务——不需要。服务的职责恰恰在于让你不必去想今天哪个协议能过：伪装是在基础设施那一侧更新的，你只要按一下按钮。
带 Reality 伪装的 VLESS——在三个可行方案里，它给出的隐蔽性最强。在运营商设备看来，这条连接就是一次通过 HTTPS 访问普通网站：握手是与真实资源完成的，流量没有自身的特征签名。iPhone、iPad、Mac、Apple TV 和 Apple Watch 共用一个应用，Android TV 有单独版本，Windows 和 macOS 有各自的客户端。服务器有一百多台，某个节点受限时可以切换到另一个。
2026 年在严格过滤的网络里哪个协议最管用？ 可行的有三个：VLESS + Reality、AmneziaWG，以及加混淆的 Hysteria2。传统 OpenVPN、原生 WireGuard、Trojan 和基础配置的 Shadowsocks 都会被切断。
Hysteria2 比 VLESS 快吗？ 在不稳定的链路上通常更快，得益于 UDP 传输和更好的丢包处理。在稳定链路上差别不大，起决定作用的是到服务器的距离。
AmneziaWG 和 WireGuard 有什么不同？ 差别在包结构：加入填充、改动头部，使连接不再与过滤系统所识别的 WireGuard 标准特征吻合。
混淆是什么，Hysteria2 为什么需要它？ 它是一个额外的层，会改变连接最初几个数据包的外观。没有它，QUIC 流量会因其固有特征被识别；有了它，识别在生效之前就被打断。
应该手动在协议之间切换吗？ 用现成服务的话不需要，那是服务商的事。自建服务器时，留一个备用协议是有意义的，以防主用协议哪天过不去。
哪些才是能在中国用的vpn？在 OpenVPN 和 WireGuard 相继失效的地方，本文讲清真正能通过过滤的架构特性：与真实网站握手、抗主动探测、充足的节点储备。这些结论在伊朗和俄罗斯同样适用，并附实测结果与选节点的实用建议。 更多
2026 年怎么选vpn？本文给出六个实用标准：协议抗封锁能力、服务器数量、日志政策、设备支持、流量限制与登录方式，教你避开营销话术挑到真正好用的服务，并逐条对照看 BessyConnect 如何满足这些要求，选对不选贵。 更多
两个vpn同时开为什么行不通？本文讲清两个客户端争夺系统路由的冲突原因、VPN 串联在哪些系统上能搭起来、它真正带来什么又要付出多少速度与稳定性，以及什么更简单的方案能解决同样的问题，看完再决定要不要花时间去折腾复杂配置。 更多
