本文适合正在挑选订阅节点、给电脑和安卓设备配置同一服务的用户。先区分协议、传输方式与安全层，再对照四种协议的认证和加密特点，最后用客户端兼容检查与同条件测试决定主力节点。协议名称不直接代表速度；服务器线路、完整配置和实际内核支持，往往更影响连接结果。
一、先拆开节点名称：协议、传输与安全层
订阅里常见的“VLESS + WebSocket + TLS”不是三个互相替代的协议。VLESS 负责代理请求与用户认证，WebSocket 负责承载数据，TLS 负责保护连接。只看开头的 VLESS，就断言节点更快或更安全，会遗漏真正影响连接的配置。
客户端与内核也要分开理解。v2rayN、v2rayNG、v2flyNG 是操作配置的客户端；实际连接由内核执行。V2Ray 与 Xray 的支持范围不完全相同，同样写着 VLESS 的节点，还可能依赖特定传输或安全机制。
- 代理协议：VMess、VLESS、Trojan、Shadowsocks，决定请求格式、身份验证和部分加密行为。
- 传输方式：TCP、WebSocket、gRPC 等，决定代理数据怎样经过网络；两端必须采用兼容配置。
- 安全层：TLS 或 REALITY 等，不能仅凭端口号判断是否启用，也不能任意互换。
- 路由分流：决定请求送往 direct、proxy 或 block。选了代理节点，不代表每个应用的流量都一定进入它。
二、四种协议的加密与认证区别
四种协议都能用于代理连接，但保护数据的方式不同。下表讨论常见、兼容性较广的配置组合；遇到新扩展或特定内核参数，应以服务端要求和本机内核支持为准。
| 协议 | 认证方式 | 加密与安全边界 | 常见组合 |
|---|---|---|---|
| VMess | 基于 UUID 的用户身份，现代配置采用 AEAD 认证 | 具备协议内加密能力，实际取决于 security 设置；可再叠加 TLS | TCP；WebSocket + TLS |
| VLESS | 通常使用 UUID | 常见 encryption=none 配置没有协议内载荷加密，需依赖 TLS 或 REALITY 等保护 | TCP + TLS；WebSocket + TLS；TCP + REALITY + Vision |
| Trojan | 共享密码 | 经典部署依赖 TLS 保护认证与代理数据，正确验证证书很重要 | TCP + TLS |
| Shadowsocks | 共享密钥；输入形式取决于加密方法 | 使用所选密码方案保护代理数据，经典 AEAD 与 2022 系列需区分 | 原生 TCP / UDP；服务端指定的扩展组合 |
VMess：先确认 AEAD，再看传输参数
VMess 不是“旧节点就一定不能用”。维护正常的 AEAD 节点仍然有实际价值。旧配置中的 alterId 容易引起混淆：现代常见配置通常为 0，表示使用 AEAD；不要自行把它改成一个更大的数字。VMess 认证还涉及时间，应保持电脑和手机的系统时间准确。
VLESS：常见配置把加密交给外层
VLESS 的常见 encryption=none 配置不等于连接整体没有加密。外层 TLS 或 REALITY 可以保护连接。反过来，只有 VLESS + TCP、没有安全层，也不能因为应用访问的是 HTTPS 就认为整条代理链路都得到相同保护。部分新实现提供额外加密扩展，不能直接套用到所有客户端。
Trojan 与 Shadowsocks：密码字段含义不同
Trojan 的共享密码用于认证，TLS 提供连接保护。Shadowsocks 的密码或密钥与加密方法共同决定连接能否建立，例如 aes-128-gcm 与 chacha20-ietf-poly1305 不能随意互换。2022 系列还有特定密钥格式要求，不能把旧密码原样搬过去后仅修改 method。
三、握手开销与速度：不要按协议排固定名次
首次打开网页的等待时间，包含域名解析、到服务器的连接、外层安全握手、代理认证以及到目标站点的连接。WebSocket 常有 HTTP 升级过程；gRPC 依赖 HTTP/2；TLS 是否复用会话，也会改变建立连接的成本。不能把这些组合概括为某个协议永远“少一次握手”。
吞吐量是另一件事。服务器带宽、晚高峰拥塞、丢包和设备处理能力都可能成为瓶颈。VLESS + Vision 在适用条件下能减少重复加密相关开销，但它既不是所有 VLESS 节点的默认能力，也不保证任意线路都比其他协议快。
这组端口用于说明不同连接层的位置，不是速度实测。服务端端口与本机代理端口是两回事：浏览器连接本机监听端口，内核再连接订阅给出的服务器端口。把服务器的 443 填进本机 SOCKS 设置，并不能自动建立代理。
- 在同一设备、同一网络、同一时段测试，优先选同一服务端线路提供的不同协议节点。
- 每个候选节点做 5 次相同页面的首次加载记录，再做 3 次各 30 秒的相同下载任务。不要把单次峰值当作长期速度。
- 测试前固定系统代理或 VPN 接管状态及路由规则，确认目标请求确实走当前节点；避免直连结果混入比较。
- 记录超时次数、加载时间中位数和稳定下载速度。仅比较 TCP 延迟，不足以说明网页、视频或 UDP 应用是否可用。
四、按使用场景选型：先满足服务端条件
没有服务端配套配置，就不能只在客户端把 VMess 切换成 VLESS。下面的推荐以“服务提供方已经给出相应完整节点”为前提。对已经稳定使用的节点，迁移收益应由实测确认，而不是由名称新旧决定。
VLESS + REALITY + Vision
推荐在两端均支持、服务端参数完整的条件下，可作为 Xray 环境的主力候选。必须核对公钥、服务器名称、shortId 与 flow，不能从普通 VLESS 节点自行补出这些值。
适合：使用 Xray 内核、服务端已提供完整 REALITY 节点的桌面与安卓设备。
VMess + WebSocket + TLS
已有订阅部署较常见。重点检查 AEAD、WebSocket 路径、Host 和 TLS 服务器名称；在服务端允许的情况下，可用于需要 WebSocket 转发的环境。
适合：沿用正常维护的 VMess 服务，或已有 WebSocket 转发配置。
Trojan + TLS
认证与传输配置相对直观，仍需要有效证书和正确服务器名称。传统 Trojan 的 TLS 行为不意味着任何转发服务都支持它，普通 HTTP 反向代理不能直接替代 TCP 转发。
适合：已有域名与 TLS 部署，希望使用密码认证的服务。
Shadowsocks AEAD
常见配置围绕地址、端口、加密方法和密码展开。需要 UDP 时，应同时检查服务端、客户端与当前接管方式；支持 TCP 并不自动证明 UDP 可用。
适合：已有匹配加密方法的服务，或希望保留原生 TCP / UDP 代理方案。
五、v2rayN、v2rayNG 与 v2flyNG 怎么配合
判断兼容性时，要核对“客户端版本 + 内核版本 + 完整协议组合”，而不是只看客户端名字。v2rayN 是桌面客户端，可按发行包和配置使用不同内核；v2rayNG 使用 Xray 内核；v2flyNG 使用 V2Fly 内核。后两者不能只因名称相似就互换所有节点。
双端方案：共用订阅，分别检查内核与接管方式
桌面端：v2rayN
- 按 Windows、macOS 或 Linux 选择合适的发行包。
- 使用 REALITY / Vision 节点前，确认实际运行的是支持该组合的 Xray 内核。
- 选择节点后启动连接，核对系统代理或 TUN 状态以及路由规则。
- 本地监听端口从当前设置读取，不沿用其他设备的数值。
安卓端：v2rayNG / v2flyNG
- v2rayNG 用于匹配 Xray 能力的节点，仍需检查安装版本。
- v2flyNG 按 V2Fly 内核支持范围选择节点，不默认支持 Xray 专属组合。
- 导入同一订阅后确认节点参数，并完成系统 VPN 授权。
- 检查分应用代理设置，避免测试应用被排除在代理之外。
同一订阅能共享节点来源，但不会自动同步本机端口、路由规则、DNS 与分应用设置。
以 v2rayN 经典界面的常见入口为例，可在「订阅分组」→「订阅分组设置」管理订阅，在「设置」→「参数设置」核对本机参数；桌面跨平台界面可能采用不同名称，应以当前界面为准。安卓端可通过主界面的添加入口导入分享链接，再检查所选节点的编辑页。不要在不同版本之间机械照抄按钮位置。
- 已导入但无法启动：先读内核启动日志，检查不支持的传输、安全类型或加密方法，而不是立即修改密码。
- 电脑能用、安卓不能用：比较两端实际内核版本和节点字段，尤其是 flow、指纹、服务器名称与传输路径。
- 列表相同但访问结果不同：再比较 DNS、路由和接管范围。节点同步与全局配置同步不是同一个操作。
六、协议参数检查：连接失败先查哪一项
修改参数前，先保留服务提供方的原始配置作为对照。每轮只调整一个有依据的选项，重启连接并查看日志。一次同时改端口、SNI 和传输方式，会让排查失去参照。
| 节点类型 | 优先核对字段 | 常见误操作 |
|---|---|---|
| VMess | UUID、alterId、security、系统时间、传输路径 | 把旧教程的非零 alterId 套到现代 AEAD 节点 |
| VLESS + TLS | UUID、encryption、服务器名称、传输类型、flow | 对 WebSocket 节点强行添加 Vision，或遗漏 TLS |
| VLESS + REALITY | UUID、公钥、shortId、服务器名称、指纹、flow | 从另一个节点复制公钥，或只把安全类型改成 REALITY |
| Trojan | 密码、端口、TLS 服务器名称、证书验证 | 误以为连接地址为 IP 时，服务器名称也必须填写该 IP |
| Shadowsocks | method、密码或密钥、端口、UDP 支持 | 把 2022 系列与经典 AEAD 的密钥格式混用 |
TLS 节点的服务器名称通常对应证书覆盖的域名，可能与连接地址不同。WebSocket 的 Host 又是 HTTP 层字段；它与 TLS 的 SNI 可以被服务端分别设置，但都必须符合服务端要求。出现证书错误时应检查系统时间、域名和证书链，不应把 allowInsecure 当作日常修复开关。
如果日志已经显示连接成功，但部分网站打不开，排查重心应转向 DNS、规则匹配和目标站点连接。切换协议有时会恰好换到另一条线路，却不能证明原协议本身存在问题。通用检查步骤可参照故障排查，概念不清时可查看概念速查。
七、协议选型常见问题
VLESS 的 encryption 是 none，需要改成加密选项吗？
不要自行修改。先打开节点编辑页，检查服务端要求的 TLS 或 REALITY 是否已经设置。常见 VLESS 配置使用 none，由外层保护连接；新增加密扩展需要两端明确支持，不能只在客户端单方面启用。
Trojan 填了密码，为什么还是握手失败？
先核对端口与 TLS 服务器名称，再检查系统时间和证书错误。TLS 握手可能在密码认证之前就失败，此时反复换密码没有帮助。服务器名称按节点提供方的配置填写，不要从节点备注猜测。
Shadowsocks 能打开网页，游戏却连不上？
确认游戏是否使用 UDP，再检查服务端 UDP 转发、本机接管方式和分应用规则。普通 HTTP 代理不能覆盖任意 UDP 应用；桌面使用 TUN 时也要确认配置正确，安卓则检查游戏是否被排除在 VPN 接管范围之外。
同一订阅在 v2flyNG 里少了几个可用节点，怎么办？
查看缺失或失败节点的完整组合。如果依赖 Xray 的 REALITY / Vision 能力，应使用支持该组合的 v2rayNG，或向服务提供方索取兼容 V2Fly 的节点。不要把不支持的安全类型直接改成 TLS。
是不是直接选延迟最低的协议就行？
先确认测试测量的是 TCP 连接还是实际代理请求。按前面的同条件方法重复测试，比较网页加载、持续下载和超时次数。最终保留一个稳定主力节点与一个已验证的备用节点，比按协议名称排序更可靠。
最终选择可以归纳为三个顺序：先确认服务端提供什么，再确认客户端和内核能完整支持什么，最后比较当前网络下的真实表现。VMess、VLESS、Trojan 与 Shadowsocks 都需要匹配的配置；路由、DNS 和线路质量也不会因换一个协议名称就自动得到修复。