協定與線路技術參考

理解協定與線路：一次連線的兩層結構

當你在用戶端裡點擊「連線」按鈕時，背後其實發生了兩件獨立的事：第一，你的裝置用某種協定把資料封裝並加密，讓它能在公共網路上安全傳輸；第二，這些加密資料沿著一條特定的線路路徑，從你的裝置出發，經過若干中間節點，最終到達目標伺服器。協定和線路是兩個正交的維度——同一個協定可以在不同線路上運行，同一條線路也可以承載不同協定。

很多使用者只關心「連不連得上」，而進階使用者會發現，理解這兩層結構能幫你解決大多數模糊的問題：「為什麼換了線路還是慢？」「為什麼這個協定在手機上特別耗電？」「為什麼晚高峰總是斷？」這些問題的答案，都藏在協定與線路的交互裡。

協定層：資料怎麼被封裝和傳輸

代理協定解決的核心問題是：如何在公共網路上安全、隱蔽地傳輸資料。不同協定採用不同的加密演算法、握手流程和偽裝策略。有的協定追求極致的輕量（比如 Shadowsocks），有的協定把偽裝成普通 HTTPS 流量做到極致（比如 Trojan），有的協定則利用現代傳輸協定的特性來對抗網路抖動（比如 Hysteria2）。

協定的選擇會影響三個關鍵指標：連線建立速度、傳輸吞吐量、資源耗用。連線建立速度決定了你點擊連線後多久能開始瀏覽；傳輸吞吐量決定了大流量場景（如串流媒體、檔案下載）的上限；資源耗用則影響裝置的 CPU 和記憶體消耗，在行動裝置上還會直接轉化為耗電量。

線路層：資料走哪條路

線路決定了資料從你到目標伺服器的實體路徑。直連線路是你直接連接到目標地區的伺服器，路徑最短但容易受國際出口壅塞影響；中轉線路會經過一個中間節點幫你「繞行」，可能在延遲上稍高但更穩定；專線則是電信業者級的高品質鏈路，由服務商租用或自建，延遲和穩定性都有保障。

VPNXE 提供 120+ 國家 / 190+ 線路的覆蓋，不同線路的拓撲類型不同。理解線路拓撲能幫你判斷：為什麼有些線路在白天飛快、晚上卻卡頓？為什麼專線線路雖然貴但值得？為什麼「節點越多越好」這個說法不完全正確？

接下來的章節會分別深入協定與線路兩個維度，最後給出依情境選型的建議。你可以按順序閱讀，也可以直接跳到感興趣的章節。每條線路在節點頁都有類型標註，讀完後你就能看懂那些標註背後的含義。

主流代理協定的設計取捨

當前主流代理協定有六個：Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC。它們各自的側重點不同，理解這些差異是選型的前提。下面逐一說明。

Shadowsocks：輕量而廣泛

Shadowsocks 是最經典的代理協定之一，設計目標是在防火牆環境下提供輕量、低延遲的加密隧道。它使用 SOCKS5 代理模式，加密方式簡單（通常為 AES-256-GCM 或 ChaCha20-Poly1305），握手流程短，因此連線建立速度快，CPU 佔用也低。它的生態極為成熟，幾乎所有用戶端都原生支援，配置格式也最簡單。缺點是加密流量特徵較為明顯，在深度封包檢測環境下容易被識別。

VMess：V2Ray 的核心協定

VMess 是 V2Ray 專案引入的協定，設計目標是解決 Shadowsocks 流量特徵明顯的問題。它引入了 UUID 作為身分識別，每次連線都會生成隨機的請求 ID，配合 AEAD 加密，使得流量特徵更難被識別。VMess 還支援多路復用，可以在一個 TCP 連線上並行傳輸多個請求，減少握手開銷。代價是協定頭更複雜，連線建立速度略慢於 Shadowsocks，CPU 佔用也稍高。

Trojan：偽裝成 HTTPS 流量

Trojan 的核心思路是「偽裝成正常的 HTTPS 流量」。它直接利用 TLS 協定作為外層，伺服器端與用戶端之間的通訊看起來就是一個普通的 HTTPS 網站，這使得它在深度封包檢測面前極難被識別。Trojan 不需要額外的加密層（因為 TLS 已經加密了），所以開銷比 VMess 更低，連線速度也更快。它的配置相對簡單，只需要一個網域和憑證，因此在很多場景下是兼顧隱蔽性與效能的優選。

VLESS：VMess 的去冗餘改進

VLESS 是 VMess 的改進版，核心變化是去掉了 VMess 中冗餘的加密層。VMess 本身會用 AEAD 加密請求體，但 VLESS 認為外層已經有 TLS 加密時，這層加密就是多餘的——它只會增加 CPU 開銷和連線延遲。VLESS 因此比 VMess 更輕量，連線建立更快，同時保留了 VMess 的抗識別能力。VLESS 通常搭配 XTLS 使用，後者可以在 TLS 握手後直接把原始流量透傳，進一步減少開銷。

Hysteria2：基於 QUIC 的抗丟包設計

Hysteria2 基於 QUIC 協定，QUIC 是運行在 UDP 之上的傳輸協定，具有天然的壅塞控制和連線遷移能力。Hysteria2 的殺手鐧是它的壅塞控制演算法——它假設網路是「盡力而為」的，透過激進的傳送策略來填滿可用頻寬，因此在丟包率較高的網路中（比如晚高峰的國際出口），Hysteria2 的表現往往優於基於 TCP 的協定。代價是它在網路條件良好時可能過度佔用頻寬，且 UDP 流量在某些網路中可能被限制。

TUIC：輕量級的 QUIC 協定

TUIC 同樣基於 QUIC，但設計取向與 Hysteria2 不同。它追求的是「最小化開銷」，在 QUIC 之上只做一層極薄的代理封裝，沒有 Hysteria2 那樣激進的壅塞控制。TUIC 特別適合行動裝置場景：QUIC 的連線遷移特性讓它在 Wi-Fi 與行動網路切換時不會斷線，且 UDP 傳輸減少對 TCP 堆疊的依賴，有助於降低耗電量。

從這張表可以看出，協定的選擇沒有「最好」，只有「最適合當前網路條件」。在低丟包的網路環境下，基於 TCP 的協定（Trojan、VLESS）往往更快；在高丟包環境下，基於 QUIC 的協定（Hysteria2、TUIC）則更有優勢。

連線建立速度與資源耗用對比

「點擊連線後要等幾秒」是使用者最常見的抱怨之一。這個等待時間由兩部分組成：協定握手時間和線路建連時間。理解它們各自的影響因素，能幫你判斷問題出在哪一層。

協定握手：從點擊到隧道建立

協定握手的過程大致是：用戶端傳送連線請求、伺服器端驗證身分、雙方協商加密參數、隧道建立。不同協定在這個環節的往返次數不同。

• Shadowsocks：握手僅需一次往返，用戶端直接傳送加密後的 SOCKS5 請求，伺服器端解密後立即回應。這是最快的握手。
• Trojan / VLESS：需要 TLS 握手，通常為 1~2 個往返（TLS 1.3 為 1 個往返）。加上身分驗證，總共約 2 個往返。
• VMess：在 TLS 之外還有一層自己的握手（如果不走 TLS），需要額外的往返來交換請求 ID 和加密參數。總往返數約 3 個。
• Hysteria2 / TUIC：基於 QUIC，QUIC 的握手是 1 個往返（0-RTT 或 1-RTT），加上協定自身的認證，總共約 2 個往返。

在實際網路環境中，每個往返大約耗時 20~80ms（取決於線路延遲）。所以 Shadowsocks 的握手可能在 50ms 內完成，而 VMess 可能需要 150ms 以上。這個差異在肉眼上幾乎不可感知，但在頻繁重連的場景下（比如行動裝置在 Wi-Fi 和行動網路之間切換），累積起來就很明顯。

傳輸吞吐量：大流量場景的上限

吞吐量受協定本身的傳輸效率和網路條件共同影響。基於 TCP 的協定受限於 TCP 的壅塞控制演算法，在丟包率超過 1% 時吞吐量會急劇下降。基於 QUIC 的協定則內建了更激進的壅塞控制，能在丟包率較高的環境中保持更高的吞吐量。

實際體驗中，線路的頻寬上限也起決定性作用。VPNXE 的套餐按流量計費，不限制單次連線的頻寬上限；但不同線路的實際頻寬能力不同，專線線路通常能提供更穩定的高頻寬。如果你需要大流量傳輸，建議參考套餐頁中不同檔位的流量配額，選擇適合自己使用習慣的那一檔。

資源耗用：CPU 與記憶體

加密和解密是 CPU 佔用的主要來源。AES-256-GCM 和 ChaCha20-Poly1305 都是高效的 AEAD 加密演算法，在現代處理器上都有硬體加速（Intel AES-NI、ARMv8 Crypto Extensions），所以 CPU 佔用通常不是瓶頸。但在老舊裝置或低功耗裝置上，加密開銷會被放大。

記憶體佔用方面，每個連線都會分配一定的緩衝區。協定頭越複雜，單連線的記憶體佔用越高。VMess 因為協定頭更複雜，單連線記憶體佔用比 Shadowsocks 高約 20~30%。在同時建立大量連線的場景下（比如瀏覽器同時開啟幾十個分頁），這個差異會累積。

行動裝置耗電表現：協定如何影響續航

行動裝置使用者對電量格外敏感——同樣一部手機，開啟代理後的續航差異可能高達 20~30%。這個差異來自三個層面：加密計算的功耗、網路傳輸的功耗、以及連線保持策略。

加密計算的功耗

每一次資料傳輸都需要加密和解密。在行動裝置上，這個計算由 CPU 或專用加密單元完成。AES-256-GCM 在支援硬體加速的晶片上（幾乎所有現代手機 SoC 都支援）功耗極低，但 ChaCha20-Poly1305 在某些沒有硬體加速的舊晶片上會消耗更多電量。

更關鍵的是協定頭的複雜度。協定頭越複雜，需要計算的位元組數就越多，功耗也越高。VMess 因為協定頭結構複雜，在行動裝置的加密計算功耗比 Shadowsocks 高約 15~20%。

網路傳輸的功耗

行動無線電模組（RF）是手機裡最耗電的部件之一，而它的功耗與傳輸時長成正比。基於 TCP 的協定在丟包時會觸發重傳，延長傳輸時間，從而增加 RF 模組的工作時長。基於 QUIC 的協定（TUIC、Hysteria2）在丟包時能更快恢復，減少無效傳輸，因此在弱網環境下可能反而更省電。

另一個容易被忽視的因素是連線遷移。QUIC 協定支援連線遷移，當你在 Wi-Fi 和行動網路之間切換時，連線不會斷掉，不需要重新握手。這意味著你的手機不會在每次切換網路時都經歷一次「重新建立隧道」的高功耗過程。TUIC 在這方面表現尤為突出。

連線保持策略

很多用戶端預設會保持連線以維持低延遲，但這意味著即使沒有資料傳輸，連線也活著。行動裝置的空閒連線會佔用少量但持續的電量。如果用戶端支援「按需連線」（僅在應用需要時建立隧道），可以顯著降低耗電量。

行動裝置省電實務

除了協定選擇，還有幾個用戶端設定能直接影響耗電量。第一，關閉不必要的背景連線——很多應用會持續保持連線以接收推播，但大部分應用並不需要。第二，選擇「按需連線」模式，讓隧道僅在應用傳送請求時建立。第三，在 Wi-Fi 訊號穩定的環境下，優先使用 Wi-Fi 而非行動網路——Wi-Fi 的功耗比行動網路低很多。

VPNXE 的用戶端為行動裝置做了省電最佳化：預設使用 TUIC 或 Shadowsocks（取決於網路條件），並支援按需連線模式。你可以根據自己裝置的實際情況調整。如果你在 iOS 上使用，還可以參考iOS VPN 設定教學了解用戶端的具體設定步驟。

線路拓撲：直連、中轉與專線

線路拓撲決定了資料從你的裝置到目標伺服器之間經過哪些節點。理解拓撲類型，能幫你解釋很多網路體驗差異，也能指導你選擇更合適的線路。

直連線路：最短路徑，但受國際出口影響

直連線路意味著你的資料直接通過國際出口到達目標伺服器，中間不經過任何中轉節點。這種線路的路徑最短，理論延遲最低，但受國際出口頻寬和壅塞的影響最大。中國到海外的國際出口在晚高峰時段（台北時間 20:00~24:00）通常會出現明顯壅塞，導致直連線路的延遲飆升、丟包率上升。

直連線路適合對延遲敏感、且網路條件良好的場景，比如短時間的網頁瀏覽、線上文件協作。但在晚高峰時段，直連線路的穩定性會大幅下降。

中轉線路：繞行更穩

中轉線路會在你和目標伺服器之間插入一個或多個中間節點。中間節點的作用不是簡單的「繞路」，而是幫你避開壅塞的路徑。例如，一條從中國到美國的直連線路在晚高峰可能壅塞嚴重，但如果你先連接到香港的中轉節點，再從香港出發到美國，路徑雖然更長，但每段的品質都更好。

中轉線路的延遲通常比直連線路高 10~30ms，但穩定性顯著提升。它的代價是增加了中轉節點的維護成本，因此中轉線路的收費通常高於直連。

專線線路：電信業者級品質

專線線路是服務商業已租用或自建的電信業者級鏈路。相比公網中轉，專線具有獨立的頻寬配額、更低的丟包率和更穩定的延遲。專線線路通常使用 IEPL（International Ethernet Private Line）技術，能夠提供接近本地網路的品質。

專線線路的延遲通常最低、穩定性最高，但成本也最高。VPNXE 的套餐中，高價位套餐會提供更多專線線路的選擇；低價位套餐則以直連和中轉線路為主。

如何判斷目前線路的拓撲

在 VPNXE 的節點頁，你可以查看每條線路的類型標註。用戶端中也可以看到目前線路的拓撲資訊。如果你發現某條線路在特定時段不穩定，可以嘗試切換到同地區的其他線路——即使地區相同，拓撲類型也可能不同。

丟包與晚高峰壅塞的成因

「為什麼白天好好的，一到晚上就卡？」這是幾乎所有網路使用者都遇到過的問題。晚高峰壅塞不是特定服務商的問題，而是全球網際網路基礎設施的共性現象。理解它的成因，能幫你做出更理性的線路選擇。

什麼是丟包

丟包是指資料封包在網路傳輸過程中遺失的現象。當網路裝置（路由器、交換器）的緩衝區被佔滿時，新到達的資料封包會被丟棄。丟包率是衡量網路品質的核心指標之一：丟包率超過 1% 時，TCP 協定的吞吐量會急劇下降，因為 TCP 會進入壅塞控制模式，降低傳送速率並重傳遺失的資料封包。

丟包對使用者體驗的影響是多方面的。網頁載入變慢、視訊緩衝、遊戲延遲飆升，都是丟包的典型表現。在丟包率較高的網路中，即使頻寬再高，使用者的實際體驗也不會好。

晚高峰為什麼壅塞

晚高峰（台北時間 19:00~24:00）是全球網際網路流量最集中的時段。這個時段的使用者行為高度同質化：下班回家後看視訊、玩遊戲、滑社群媒體。這種集中流量會導致國際出口頻寬被佔滿，尤其是中美、中歐等熱門方向的國際鏈路。

國際出口的頻寬是有限資源，電信業者在高峰時段會按照策略分配頻寬。當實際流量超過設計容量時，路由器開始丟包，壅塞控制機制被觸發，使用者感知到的就是「變慢」和「不穩定」。

協定如何應對丟包

基於 TCP 的協定（Shadowsocks、VMess、Trojan、VLESS）嚴格遵循 TCP 的壅塞控制演算法。當偵測到丟包時，TCP 會立即降低傳送速率，然後慢慢恢復。這種機制在丟包率較低時表現良好，但在丟包率較高時會導致吞吐量驟降。

基於 QUIC 的協定（Hysteria2、TUIC）則採用了更激進的策略。Hysteria2 的壅塞控制演算法假設網路是「盡力而為」的，它不會因為少量丟包就大幅降低傳送速率，而是透過持續探測可用頻寬來維持吞吐量。這使得 Hysteria2 在丟包率 3~5% 的網路中仍能保持較好的吞吐量。

使用者端能做什麼

面對晚高峰壅塞，使用者端有幾個實用策略。第一，切換線路——同一地區的不同線路可能走不同的實體路徑，壅塞程度差異很大。第二，切換協定——如果你的用戶端支援，在晚高峰嘗試切換到 Hysteria2 或 TUIC。第三，調整使用時間——如果對延遲敏感（比如視訊會議），避開晚高峰時段。

VPNXE 的用戶端內建了智慧選線功能，會自動偵測各線路的即時品質並推薦最佳線路。你可以在用戶端中開啟這個功能，讓它幫你自動應對晚高峰壅塞。

如何依使用情境選協定

沒有「最好」的協定，只有「最適合目前情境」的協定。下面依常見使用情境給出選型建議。

一個實用的選型決策流程

如果你不確定該選哪個協定，可以按照以下流程快速決策：

1. 先看網路條件：如果你所在網路的丟包率較高（比如在晚高峰時段），優先選擇 Hysteria2 或 TUIC；如果網路品質良好，任意協定都可用。
2. 再看裝置類型：行動裝置優先考慮 TUIC 或 Shadowsocks（省電）；桌上型裝置對協定不敏感，可以依情境選擇。
3. 最後看使用情境：遊戲和即時通訊優先低延遲協定（Shadowsocks、VLESS）；串流媒體和大檔案優先高吞吐協定（Hysteria2）。

協定與線路的組合

協定與線路不是獨立的。一個常見的誤區是「選了專線線路就一定能獲得低延遲」，但實際上，如果協定本身在高丟包環境下表現不佳，再好的線路也可能被浪費。反過來，一條直連線路如果品質足夠好，配合輕量協定（如 Shadowsocks）也能提供出色的體驗。

VPNXE 的用戶端允許你對每條線路單獨指定協定。這意味著你可以在同一條線路上嘗試不同協定，找到最適合目前網路條件的組合。如果你不確定怎麼配，讓用戶端的智慧選線功能幫你決定即可。

VPNXE 的智慧選線

VPNXE 的用戶端內建了智慧選線邏輯，它會根據目前網路條件自動選擇協定和線路。具體來說，用戶端會定期測量各線路的延遲和丟包率，然後選擇延遲最低、丟包率最小的線路。你不需要手動干預，用戶端會持續最佳化。

如果你對某個協定有偏好，也可以在用戶端設定中手動指定。用戶端支援對每條線路單獨指定協定，這樣你可以在不同的情境下使用不同的協定。

訂閱與用戶端：配置如何生效

當你購買套餐後，會在會員中心拿到一個訂閱連結。這個連結包含了你的帳戶資訊和線路列表，用戶端透過解析它來取得所有配置。

訂閱連結裡有什麼

訂閱連結本質上是一個加密的配置文件，裡面包含：你的帳戶識別碼、所有可用線路的列表、每條線路的協定類型、伺服器位址、連接埠、加密方式、以及流量和到期時間等資訊。用戶端每次重新整理訂閱時會重新取得這些資料，所以你在服務商後台修改的任何配置都會同步到用戶端。

以 VPNXE 為例，你在會員中心的「訂閱」頁面可以找到你的專屬訂閱連結。複製它到用戶端的「訂閱」欄中，用戶端會自動解析並載入線路列表。

用戶端如何解析訂閱

不同用戶端的解析方式略有不同，但基本流程一致：用戶端向訂閱連結傳送 HTTPS 請求 → 伺服器端回傳加密的配置文件 → 用戶端解密並解析 → 生成線路列表。整個過程只需要幾秒鐘。

VPNXE 支援多種用戶端，包括 Windows、macOS、iOS、Android 和 Linux。你可以在下載中心取得對應平台的用戶端。iOS 使用者需要注意，部分用戶端需要透過 App Store 取得（具體取決於你所在的地區）。

配置文件的常見格式

訂閱檔案通常採用 URI 格式，每行代表一條線路。一個典型的線路 URI 長這樣：

vmess://eyJ2IjoiMiIsInBzIjoi5Li65Y2M5pe76ZWcIiwiYWRkIjoiZXhhbXBsZS5jb20iLCJwb3J0IjoiNDQzIiwiaWQiOiJ5b3VyLXV1aWQiLCJuZXQiOiJ0Y3AifQ==

這個 URI 是 Base64 編碼的 JSON，解碼後包含線路的伺服器位址、連接埠、使用者 ID 等資訊。不同協定的 URI 前綴不同：Shadowsocks 是 ss://，VMess 是 vmess://，VLESS 是 vless://，Trojan 是 trojan://，Hysteria2 是 hysteria2://，TUIC 是 tuic://。

匯入訂閱的常見操作

在大多數用戶端中，匯入訂閱只需三步：開啟用戶端的「訂閱」或「配置」頁面 → 貼上訂閱連結 → 點擊「更新」或「匯入」。用戶端會自動下載並解析配置，線路列表會出現在主介面。

如果你使用的是 VPNXE 官方用戶端，匯入過程更加簡化：在登入頁面輸入你的使用者名稱和密碼（無需電子郵件地址），用戶端會自動拉取你的訂閱並載入線路列表。

如何驗證配置是否生效

匯入訂閱後，選擇一條線路並點擊連線。連線成功後，你可以在IP 查詢頁面驗證你的出口 IP 是否已改變。如果顯示的是你選擇的線路所在地區的 IP，說明配置生效。

常見問題與排錯思路

即使理解了協定與線路的原理，實際操作中仍可能遇到各種問題。下面整理最常見的幾個問題及其排錯思路。

連線失敗，但線路列表顯示正常

這種情況通常是本地網路環境導致的。請依次檢查：第一，確認你的裝置能正常存取網際網路——開啟瀏覽器造訪任意網站，如果連網站都打不開，問題出在本地網路。第二，嘗試切換協定——有些網路環境會限制 UDP 流量，導致基於 QUIC 的協定無法連線，切換到 TCP 協定即可。第三，檢查防火牆設定——某些防火牆會攔截代理連線，需要將用戶端加入白名單。

連線成功，但速度很慢

速度慢的原因通常是線路壅塞或協定選擇不當。請按以下順序排查：第一，切換線路——目前線路可能正處於晚高峰壅塞狀態，切換到同地區的其他線路通常能改善。第二，切換協定——如果目前用的是 TCP 協定，嘗試切換到 Hysteria2 或 TUIC。第三，檢查本地網路——如果你的本地 Wi-Fi 本身速度就慢，代理無法提升它。

連線頻繁斷開

頻繁斷開通常是網路不穩定導致的。請嘗試：第一，切換線路——目前線路可能品質不佳。第二，啟用自動重連——大多數用戶端支援斷線自動重連，開啟後可以自動恢復。第三，檢查裝置電源管理——有些裝置的省電模式會限制背景網路活動，導致連線被切斷。

部分網站打不開

如果只有部分網站打不開，而其他網站正常，可能是目標網站對代理流量有特殊限制。請嘗試：第一，切換線路——不同線路的 IP 位址段不同，有些 IP 可能被目標網站封鎖。第二，切換協定——有些網站對 TLS 流量更友善，切換到 Trojan 或 VLESS。第三，檢查 DNS 設定——某些用戶端預設使用遠端 DNS 解析，如果解析失敗，切換到本地 DNS 模式。

行動裝置耗電異常

如果行動裝置開啟代理後耗電明顯增加，請檢查：第一，是否開啟了按需連線——如果沒有，用戶端會保持持續連線，耗電增加。第二，協定選擇——TUIC 和 Shadowsocks 在行動裝置的功耗最低。第三，背景應用——有些應用會頻繁傳送請求，導致隧道持續傳輸資料。

訂閱無法匯入

如果訂閱連結無法匯入用戶端，請確認：第一，連結是否完整——訂閱連結通常很長，複製時容易截斷。第二，帳戶是否有效——確認你的套餐未過期。第三，用戶端版本——舊版本用戶端可能不支援某些協定，升級到最新版本。