选择协议前，先确认服务端提供什么配置、客户端使用哪个内核，再检查传输与安全参数。本文适合需要导入订阅、迁移旧节点或比较连接方案的用户：读完可以区分协议与传输层，识别 UUID、密码、SNI、flow 等字段，并按同一线路测试，避免把网络差异误认为协议差异。
先区分协议、传输与安全层
VMess、VLESS、Trojan、Shadowsocks 是代理协议名称。WebSocket、gRPC 等是承载代理数据的传输方式；TLS 和 REALITY 属于需要另外核对的安全配置。订阅里出现“VLESS + WebSocket + TLS”，不是三个可互换的协议，而是同一条连接的不同层次。
客户端也不等于协议。v2rayN 是桌面客户端；v2rayNG 在安卓端使用 Xray 内核；v2flyNG 在安卓端使用 V2Fly 内核。界面能保存配置，不代表当前内核一定支持其中的每个字段。特别是 REALITY、特定 flow 与较新的加密方式，需要对照实际内核能力。
- 协议层：确定身份认证、请求格式及相关加密方式，例如 VMess 的 UUID 与 Shadowsocks 的方法和密码。
- 传输层：确定连接怎样承载，例如直接使用 TCP，或通过 WebSocket 路径接入反向代理。
- 安全层：检查 TLS 证书、服务器名称，或 REALITY 的公钥等参数。
- 路由层：决定哪些请求进入哪个出站。切换“全局”或“绕过大陆”不会把 VMess 转换为 VLESS。
四种协议的加密与配置差异
下面比较常见部署方式，不把某种传输绑定成协议的唯一用法。尤其要区分“代理协议自身的数据加密”与“外层 TLS”：两者处在不同位置，不能仅凭名称判断一条连接是否具备完整保护。
| 协议 | 认证与加密 | 常见搭配 | 导入后重点核对 |
|---|---|---|---|
| VMess | 以 UUID 识别用户；现代部署通常使用 AEAD 认证，数据加密由 security 设置决定。 | TCP，或 WebSocket + TLS。 | UUID、security、传输类型、路径、TLS；旧配置还可能携带 alterId。 |
| VLESS | 以 UUID 认证；常见 encryption=none 配置不提供协议层数据加密，通常配合 TLS 或 REALITY。 | TCP + TLS、TCP + REALITY，或 WebSocket + TLS。 | UUID、encryption、flow、服务器名称，以及 REALITY 的公钥与 shortId。 |
| Trojan | 以密码认证，经典部署依赖 TLS 保护连接。 | TCP + TLS；其他传输封装需双方实现同时支持。 | 密码、端口、SNI、证书有效性与传输类型。 |
| Shadowsocks | 由方法与密码或密钥确定加密；AEAD 方法与 Shadowsocks 2022 的密钥规则不同。 | 协议自身的 TCP、UDP 转发；额外封装需单独确认。 | method、密码或密钥、服务端地址、端口，以及 UDP 是否开放。 |
VMess 的认证依赖时间，设备时钟明显偏差时可能连接失败。先开启系统自动校时，再查 UUID 与传输参数。看到旧分享链接中的 alterId，不应照着旧教程统一改成某个非零值；现代 AEAD 配置通常使用 0，最终仍须与服务端一致。
VLESS 常见配置中的 encryption=none 不等于“整条连接都是明文”，因为外层还可能使用 TLS 或 REALITY。但也不能反过来认为 VLESS 自动提供这些保护。若配置使用新增的 VLESS 加密扩展，必须同时确认两端实现与版本支持，不能套用经典配置的字段解释。
结论：按完整参数组选型
比较时记录“协议 + 传输 + 安全层 + 内核”，例如“VLESS + TCP + REALITY + Xray”。只记录“VLESS 节点”会漏掉决定兼容性的关键条件，也不利于复现故障。
握手开销与速度：怎样比较才有效
握手次数不是下载速度排行榜。建立连接时，TCP、TLS、代理认证与传输封装都可能增加等待；连接复用后，大文件传输又主要受线路带宽、拥塞、服务端负载和丢包影响。VLESS 的协议头较精简，也不意味着任意 VLESS 节点都比 VMess 节点快。
WebSocket 或 gRPC 常用于配合现有接入设施，不是免费的加速开关。TLS 会话恢复、连接复用、服务端部署方式也会改变实际表现。下面两个端口仅用于解释连接方向，不是任何客户端的默认端口声明，更不是速度数据。
- 固定线路：尽量选择同一服务端、同一出口与同一时间段；不同地区的节点无法直接用于比较协议开销。
- 固定测试条件：使用相同路由模式、DNS 设置与目标站点；不要一边开 TUN，一边只开系统代理。
- 分开记录：首次打开网页耗时、持续下载速率、连接失败次数分别记录，不能把 TCP 探测延迟当成网页加载时间。
- 重复观察：可在每种配置下重复五次相同请求，记录中位数与失败次数；这里是测试方法，不代表已经测得任何性能结果。
按使用场景选择协议
以下推荐限定在“新部署、两端支持 Xray、能够取得完整配置”的前提下。若已有稳定服务，保持兼容比为了协议名称而迁移更重要。没有服务端管理权限时，也无法在本地凭空增加一种协议。
VLESS：新配置候选
推荐两端支持目标功能时，可评估 VLESS + TLS 或 REALITY。逐项核对 flow、服务器名称与密钥参数，不把 REALITY 当成所有 VLESS 节点的必选项。
适合：使用 Xray、能取得完整服务端参数的新部署。
VMess：现有配置延续
现有 VMess + WebSocket + TLS 服务运行正常时，可继续使用。先检查时间同步与 AEAD 相关配置，不必仅因为出现其他协议就重建服务。
适合：已有 VMess 服务、需要延续现有接入配置。
Trojan：已有 TLS 服务
适合已经能够维护域名、证书与 TLS 入站的场景。证书过期、SNI 错误与密码错误要分别排查；关闭证书验证不是日常解决方案。
适合：已有域名证书维护流程、服务端明确提供 Trojan。
Shadowsocks：方法明确的接入
地址、端口、方法与密码构成主要参数。选择双方共同支持的加密方法；使用 Shadowsocks 2022 时，还需确认相应方法与密钥格式被两端支持。
适合：服务端直接提供兼容的 Shadowsocks 配置。
客户端方面，v2rayN 应按节点功能选择可用内核；v2rayNG 使用 Xray，遇到新增字段仍需确认当前内核是否支持；v2flyNG 使用 V2Fly，不能因为同属相关生态，就假定它支持 Xray 的 REALITY 或特定 flow。订阅能更新成功，只能说明取回了配置，不代表所有节点都能启动。
导入与核对：从分享链接到实际连接
订阅地址与单条节点链接是两种入口。订阅地址通常通过 HTTPS 获取一组节点；单条分享链接则常以 vmess://、vless://、trojan:// 或 ss:// 开头。前缀只能说明大类，不能说明内核一定支持全部扩展字段。
-
识别链接
先区分订阅地址与单条分享链接。本文流程针对单条链接；不要把订阅网页内容当成节点密码，也不要把含 UUID、密码或密钥的完整链接发到公开讨论区。
-
导入节点
v2rayN 常见入口为「服务器」→「从剪贴板导入分享链接」；v2rayNG 为主界面右上角「+」→「从剪贴板导入」。不同界面版本可能调整措辞，应选择分享链接导入项，而不是订阅设置。
-
核对字段
在 v2rayN 选中节点后打开编辑窗口，或在 v2rayNG 点击节点的编辑图标。依次检查地址、远端端口、UUID 或密码、传输类型、TLS 或 REALITY；WebSocket 还需核对 Host 与路径。
-
启动并查日志
先启动节点，再开启需要的代理入口。v2rayN 可从底部「系统代理」选择「自动配置系统代理」；v2rayNG 启动后按系统提示允许 VPN 连接。若失败，先看日志属于配置解析、握手还是连接超时，再改对应一项。
常见问题：连接失败先查哪一层
VLESS 导入成功，为什么启动就报错？
先看是否出现不支持的字段、flow 或安全类型。核对当前内核，再对照服务端检查 UUID、REALITY 公钥与 shortId。不要通过删除不认识的字段让配置勉强保存；字段可能正是服务端要求的条件。
Trojan 提示证书错误，能直接跳过验证吗？
先检查设备时间、SNI 和证书有效期。连接地址是 IP 时，也应填写服务端指定的服务器名称。跳过验证会削弱服务器身份校验，不能用来替代正确证书与名称配置。
Shadowsocks 密码一样，为什么还是连不上？
同时检查 method 与端口。不同方法的密码或密钥要求并不相同，不能只复制密码。若网页能打开而依赖 UDP 的应用失败，再检查服务端 UDP、防火墙与客户端转发设置。
节点延迟正常，为什么浏览器打不开？
先确认浏览器流量确实进入客户端，再看 DNS 与路由。TCP 探测成功不等于代理认证或 TLS 握手成功。桌面端先单独测试系统代理；排查期间不要同时切换 TUN、路由和协议。
最终选择应落到可验证的条件：服务端确实提供、客户端内核支持、参数可以完整导入、真实应用能够稳定访问。协议名称只是这张检查表的第一项；保留一份可用配置，每次只改一个变量，通常比反复更换协议更容易定位问题。