网络知识百科：代理协议与网络原理完整指南
本文定位：适合有一定基础的用户深入了解机场技术原理。不涉及具体配置步骤，聚焦"为什么"而非"怎么做"。
TL;DR — 核心概念对比速查表
在深入阅读前，先用一张表快速建立整体认知：
代理协议横向对比
| 协议 | 伪装性 | 速度 | 抗封锁 | 成熟度 | 适用场景 |
|---|---|---|---|---|---|
| VLESS | ⭐⭐⭐⭐⭐ | ⭐⭐⭐⭐⭐ | 极强 | 中 | 主力协议首选 |
| Trojan | ⭐⭐⭐⭐⭐ | ⭐⭐⭐⭐ | 极强 | 高 | 稳定性优先 |
| Shadowsocks | ⭐⭐⭐ | ⭐⭐⭐⭐⭐ | 中等 | 极高 | 轻量低延迟 |
| Hysteria2 | ⭐⭐⭐⭐ | ⭐⭐⭐⭐⭐ | 强 | 低 | 高丢包环境 |
| TUIC | ⭐⭐⭐⭐ | ⭐⭐⭐⭐⭐ | 强 | 低 | UDP 密集场景 |
线路类型横向对比
| 线路类型 | 价格 | 延迟 | 稳定性 | 适用人群 |
|---|---|---|---|---|
| BGP 公网中转 | 低 | 60–150ms | 一般 | 预算有限 |
| CN2 GT | 中 | 50–120ms | 良好 | 普通用户 |
| CN2 GIA | 高 | 40–90ms | 优秀 | 对质量有要求 |
| IEPL | 很高 | 30–80ms | 极优 | 企业/重度用户 |
| IPLC | 最高 | 25–70ms | 最优 | 顶级需求 |
主流代理协议深度对比
Shadowsocks — 历史最悠久的轻量协议
Shadowsocks（简称 SS）诞生于 2012 年，是机场行业历史最久的代理协议。其设计哲学非常简单：用对称加密（AES-256-GCM、ChaCha20-Poly1305）混淆流量，让防火墙难以识别。
核心特点：
- 极低开销：协议头部极简，CPU 占用极低，适合低配置服务器
- 生态成熟：几乎所有客户端均支持，兼容性无出其右
- 弱点明显：流量特征相对固定，在强审查环境下容易被精准识别和封锁
- Shadowsocks-2022：新版本引入了无状态握手和更强的抗重放机制，显著提升安全性
适用场景：轻量日常使用、延迟敏感型应用（游戏加速）、低端设备。
VMess / VLESS — V2Ray 家族的核心协议
VMess 是 Project V（V2Ray）生态中的原生协议，VLESS 是其精简版本，去掉了时间戳校验和双重加密，换来更低的协议开销。
VLESS 相对 VMess 的优势：
| 维度 | VMess | VLESS |
|---|---|---|
| 握手开销 | 较高（含加密+时间校验） | 极低 |
| 传输层依赖 | 自身携带加密 | 依赖 TLS（必须配合使用） |
| 检测风险 | 中等 | 极低（配合 XTLS/Reality） |
| 性能 | 良好 | 优秀 |
VLESS + XTLS-Reality 组合是当前最主流的高级配置，其工作原理是将流量伪装成访问真实网站（如微软、Cloudflare 的 TLS 握手），从协议层面做到几乎无法区分。
Trojan — 以"正常 HTTPS"为伪装的协议
Trojan 的名字来源于其核心思路：伪装成正常的 HTTPS 流量，服务器对外表现为一个普通的 HTTPS 网站，只有携带正确密码的请求才会被转发代理。
工作原理简述：
- 客户端发起标准 TLS 握手，与真实 HTTPS 无异
- 请求中携带特定密码（Password Hash）
- 服务端验证密码后建立代理隧道
- 无效请求（如防火墙探测）将被反向代理到真实网站，无懈可击
优点：伪装性极强，协议简洁，稳定性高
缺点：必须依赖有效的 TLS 证书，部署成本略高于 SS
Hysteria2 — 为高丢包网络而生的 QUIC 协议
Hysteria2 基于 QUIC 协议（即 HTTP/3 的传输层），专门针对高延迟、高丢包的网络环境进行优化。传统 TCP 协议在丢包时会触发拥塞控制大幅降速，而 Hysteria2 的 BBR-like 拥塞控制算法可以在相同网络条件下维持数倍于 TCP 的吞吐量。
Hysteria2 的技术优势：
- UDP 传输：避开 TCP 拥塞控制的速度惩罚
- 0-RTT 握手：连接建立极快，适合频繁切换网络的移动用户
- 自适应速率控制：可填满带宽瓶颈，4K 视频、大文件传输体验极佳
- 伪装为 HTTP/3：流量看起来像正常的 HTTP/3 流量
缺点：客户端支持相对较少（Clash.Meta、Sing-box 支持良好），部分网络会 QoS UDP 流量。
TUIC — 同样基于 QUIC 的轻量化替代
TUIC（Tiny UDP/IP Communication）同样基于 QUIC，但设计目标与 Hysteria2 有所不同：更关注协议的轻量化和低延迟握手，而非极限带宽。
TUIC v5 改进要点：
- 支持多路复用（Multiplexing），单连接并发多请求
- 0-RTT 连接恢复，网络切换几乎无感知中断
- 比 Hysteria2 更保守的带宽占用策略，适合共享节点
TUIC vs Hysteria2 选择建议：追求极限下载速度选 Hysteria2，追求稳定低延迟选 TUIC。
协议选型决策树
你的首要需求是什么？
├── 稳定性 + 抗封锁 → VLESS (Reality) 或 Trojan
├── 极限速度（大文件/4K） → Hysteria2
├── 低延迟游戏 → Shadowsocks 或 TUIC
├── 移动网络频繁切换 → TUIC 或 Hysteria2
└── 低配设备 → Shadowsocks线路类型深度解析（核心章节）
线路类型是决定机场体验的最核心因素，比协议选择更重要。同样是 VLESS 协议，走 IPLC 专线和走公网 BGP 的体验可能天壤之别。
公网 BGP 中转线路
BGP（Border Gateway Protocol，边界网关协议）是互联网路由的基础协议。所谓 BGP 机场，是指流量走普通公网路由，经由中国三大运营商（电信、联通、移动）的骨干网传输至海外。
特点分析：
- 成本极低：无需租用专用物理线路，按带宽付费即可
- 路由不可控：流量走哪条路由由 BGP 自动决定，可能经过拥堵节点
- 高峰期劣化：晚上 8–11 点出口带宽竞争激烈，延迟可能从 80ms 飙升至 300ms+
- 适用人群：预算在 ¥20/月以下，对稳定性要求不高
BGP 优化变体：部分服务商会购买"BGP 优化"带宽，优先走质量更好的国际 AS 路径，体验介于普通 BGP 和 CN2 之间。
CN2 GT vs CN2 GIA — 电信高端线路
CN2 是中国电信专有的下一代运营商网络（Chinatelecom Next Generation）。与普通电信线路相比，CN2 路由更短、跳数更少。
CN2 GT（Global Transit）：
- 中国境内走优化路由，出国后可能降级为普通路由
- TTL 中通常能看到
59.43.x.x（电信 CN2 特征 IP 段） - 成本适中，延迟比普通 BGP 低 20–40ms
CN2 GIA（Global Internet Access）：
- 全程走电信 CN2 骨干网，包括出口段
- 全球专用高品质路由，抗干扰性强
- 即使在网络高峰期，延迟波动极小
- 成本较高，节点建设成本约为 BGP 的 3–5 倍
如何判断是否走 CN2？
traceroute <服务器IP>
# 看到 59.43.x.x 开头的跳表示经过 CN2IEPL — 跨境内网专线（当前主流专线）
IEPL（International Ethernet Private Line，国际以太网私线）是运营商为企业客户提供的跨境二层专用链路，本质上是一条物理隔离的以太网电缆连接两地。
为什么 IEPL 体验优秀？
- 物理隔离：不与公网流量共享带宽，不受互联网峰值拥堵影响
- 零 NAT：流量不经过 NAT 转换，延迟极低且稳定
- 内网通信：中国机房到海外落地机的通信走运营商内网，不受 GFW 流量审查（这是关键优势）
- 不走公网：不存在路由不稳定问题
IEPL 的缺点：
- 租赁成本极高（企业级定价，每月数万元起），机场通过多用户分摊成本
- 服务商跑路风险：如果机场经营不善，IEPL 线路会立即中断
IEPL 典型延迟：上海→香港 IEPL 约 28–45ms，上海→日本约 55–80ms。
IPLC — 国际私人租用线路（顶级专线）
IPLC（International Private Leased Circuit，国际私人租用线路）与 IEPL 类似，都是物理专用线路，但 IPLC 通常指更传统的 SDH/SONET 数字电路，而 IEPL 是以太网封装版本。
在机场行业语境中，IPLC 和 IEPL 常常被混用，泛指物理专线。部分高端机场宣传的"IPLC 直连"意味着：
- 中国入口服务器直连海外出口，中间无中转
- 延迟最低，抖动最小
- 价格最贵，通常只出现在百元以上的套餐中
中转架构详解
大多数机场并非简单的"一跳直连"，而是采用多层中转架构：
用户设备
↓ (协议加密)
国内中转服务器（国内 BGP/IEPL 入口）
↓ (中转协议)
海外落地服务器（CDN/VPS 落地）
↓ (原始流量)
目标网站不同中转方案的体验对比：
| 中转方案 | 延迟 | 稳定性 | 成本 |
|---|---|---|---|
| 纯 BGP 直连 | 80–200ms | 低 | ¥ |
| BGP 入口 + CN2 GIA 出口 | 60–120ms | 中 | ¥¥ |
| IEPL 入口 + 落地优化 | 30–80ms | 高 | ¥¥¥ |
| IPLC 专线直连 | 25–60ms | 极高 | ¥¥¥¥ |
延迟 vs 丢包率 vs 带宽 — 三者关系详解
许多用户对这三个概念存在混淆，实际上它们描述的是网络质量的三个完全不同的维度。
延迟（Latency / RTT）
延迟指数据从发出到收到响应所需的时间，单位为毫秒（ms）。分为：
- 传播延迟：由物理距离决定，光速在光纤中约 20 万公里/秒，上海到美国西海岸单程约 60ms
- 排队延迟：在拥堵节点等待转发时产生，高峰期可增加数百毫秒
- 处理延迟：路由器/服务器处理数据包的时间，通常可忽略
延迟对不同应用的影响：
| 延迟范围 | 体验 | 适用场景 |
|---|---|---|
| < 50ms | 优秀 | 游戏、实时通话 |
| 50–100ms | 良好 | 正常浏览、视频流 |
| 100–200ms | 可接受 | 普通浏览、下载 |
| > 200ms | 较差 | 仅适合大文件下载 |
丢包率（Packet Loss）
丢包率指在传输过程中未能到达目标的数据包百分比。丢包对用户体验的影响远比延迟严重：
TCP 协议的丢包惩罚机制：
- 检测到丢包 → 触发拥塞控制
- 发送窗口降至 1/2
- 重传丢失数据包
- 等待 ACK 确认
- 缓慢恢复发送速率
即使只有 1% 的丢包率，在高带宽连接上也可能导致实际吞吐量下降 50% 以上。
不同丢包率的体验影响：
| 丢包率 | 影响描述 |
|---|---|
| 0% | 理想状态 |
| < 0.5% | 几乎无感知 |
| 0.5–2% | 视频偶发卡顿，网页加载稍慢 |
| 2–5% | 明显卡顿，实时应用不可用 |
| > 5% | 严重影响，视频无法流畅播放 |
带宽（Bandwidth）
带宽是单位时间内可传输的最大数据量，常见单位为 Mbps（兆比特/秒）。
常见内容对带宽的需求：
| 内容类型 | 所需带宽 |
|---|---|
| 普通网页浏览 | 1–5 Mbps |
| 1080P 视频 | 5–15 Mbps |
| 4K HDR 视频 | 25–80 Mbps |
| 远程桌面 | 2–10 Mbps |
| 视频会议 | 3–8 Mbps |
带宽 ≠ 速度体验：即使机场标称"不限速"，如果丢包率高或延迟大，实际体验的"速度"也会很差。这是因为：
实际吞吐量 ≈ (窗口大小 × MSS) / RTT × √(1/丢包率)这就是为什么低丢包、低延迟的 IEPL 专线，往往比高带宽的 BGP 线路下载速度更快。
三者综合评估模型
| 指标 | 权重（普通用户） | 权重（游戏/实时） | 权重（大文件下载） |
|---|---|---|---|
| 延迟 | 30% | 60% | 10% |
| 丢包率 | 40% | 30% | 30% |
| 带宽 | 30% | 10% | 60% |
如何科学测试机场质量？
测试前的准备工作
在开始测试前，确保：
- 关闭其他占用带宽的程序（视频、P2P 等）
- 选择合理的测试时间：分别在非高峰（上午 10–12 点）和高峰时段（晚上 8–10 点）各测一次
- 固定测试条件：同一设备、同一网络环境、同一节点
工具一：延迟测试（Ping/ICMP）
使用客户端内置的延迟测试（如 Clash 的节点延迟测试），或命令行工具：
# 测试节点 IP 的 ICMP 延迟
ping <节点IP> -n 20
# 注意：部分服务器禁用 ICMP，需用 TCP Ping 替代解读指标：
- 平均延迟（Avg）：节点基础质量
- 最大延迟（Max）：最差情况
- 抖动（Jitter = Max - Min）：稳定性指标，越小越好
工具二：下载速度测试
推荐使用 SpeedTest 或 Fast.com 进行基础测速。更专业的方式：
# 使用 curl 从固定测速文件测试下载速度
# 推荐选择测速点与节点出口在同一地区
curl -o /dev/null https://speedtest.tokyo.linode.com/100MB-tokyo.bin判断标准：
- 100MB 文件 10 秒内下完（≥80Mbps）：优秀
- 10–30 秒（26–80Mbps）：良好
- 30–60 秒（13–26Mbps）：一般
- 60 秒以上：较差
工具三：丢包率检测
使用 MTR（My Traceroute）工具可同时测试路由路径和丢包：
# Windows 使用 WinMTR
# macOS/Linux
mtr --report --report-cycles=100 <节点IP>解读 MTR 报告：
- 关注最后一跳（目标主机）的丢包率
- 中间节点的丢包可能是 ICMP 限速，不代表实际丢包
- 丢包发生在哪一跳，说明该段链路是瓶颈
工具四：流媒体解锁检测
许多用户关心 Netflix、Disney+、YouTube Premium 等平台的解锁情况。可使用脚本检测：
# 常用检测脚本（在已代理的终端运行）
bash <(curl -L -s check.unlock.media)解锁 ≠ 质量高：能解锁 Netflix 的节点不一定速度快，需结合速度测试综合判断。
工具五：节点综合评分体系
建立自己的评分表：
| 测试项目 | 满分 | 你的得分 |
|---|---|---|
| 峰值延迟（<100ms 满分） | 25 | — |
| 丢包率（=0% 满分） | 25 | — |
| 下载速度（>80Mbps 满分） | 20 | — |
| 高峰稳定性 | 20 | — |
| 流媒体解锁 | 10 | — |
DNS 防泄漏设置
什么是 DNS 泄漏？
当你使用代理时，浏览器发出的 DNS 查询（将域名转为 IP 地址的请求）可能绕过代理，直接发送到你本地网络的 DNS 服务器（如运营商 DNS）。这意味着：
- 运营商能看到你查询的域名
- 即使流量走了代理，你的 DNS 查询记录暴露了你的上网行为
- 部分 DNS 污染可能导致代理失效
检测 DNS 是否泄漏
访问以下检测网站（需在代理连接状态下）：
- dnsleaktest.com：显示你的 DNS 服务器位置
- ipleak.net：综合 IP/DNS/WebRTC 泄漏检测
- browserleaks.com：更全面的浏览器泄漏检测
判断标准：如果检测结果显示 DNS 服务器位于中国境内，说明存在 DNS 泄漏。
DNS 防泄漏配置策略
方案一：使用代理客户端的 DNS 分流功能
主流客户端（Clash/Sing-box）均支持 DNS 分流：
# Clash 配置示例（仅示意，非完整配置）
dns:
enable: true
enhanced-mode: fake-ip
# 国内域名走国内 DNS
nameserver:
- 223.5.5.5
- 119.29.29.29
# 国外域名走代理 DNS
fallback:
- 8.8.8.8
- 1.1.1.1
fallback-filter:
geoip: true
geoip-code: CN方案二：使用加密 DNS
- DNS over HTTPS (DoH)：通过 HTTPS 加密 DNS 查询
- DNS over TLS (DoT)：通过 TLS 加密 DNS 查询
- 推荐服务：Cloudflare（1.1.1.1）、Google（8.8.8.8）
方案三：TUN 模式全局代理
TUN 模式可将所有网络流量（包括 DNS）强制经过代理，是防 DNS 泄漏最彻底的方案，但会影响国内网站访问速度。
常见 DNS 配置误区
| 错误做法 | 正确做法 |
|---|---|
| 将所有 DNS 设为 8.8.8.8 | 国内域名用国内 DNS，国外域名用境外 DNS |
| 不启用 fake-ip 模式 | 在 Clash 中启用 fake-ip 减少 DNS 请求延迟 |
| 忽略 WebRTC 泄漏 | 在浏览器安装 WebRTC 防泄漏扩展 |
常见问题 FAQ
Q1：协议越新越好吗？应该优先选 Hysteria2？
不一定。协议的选择要结合你的网络环境和机场节点质量。如果节点本身走的是 IEPL 专线，丢包率接近 0，那么 Shadowsocks 和 VLESS 的体验差异很小，Hysteria2 的优势无法体现。Hysteria2 更适合本身网络条件较差（丢包高）的环境。
Q2：机场宣传"IPLC 专线"就一定好吗？
需要警惕。部分小机场会混淆 BGP 优化和 IPLC/IEPL 的概念。判断方法：使用 MTR 追踪路由，真正的专线通常不会有公网 IP 跳。此外，IPLC/IEPL 的成本决定了它必然是高价套餐，如果某机场在极低价套餐中宣称 IPLC，应持怀疑态度。
Q3：延迟 100ms 和 50ms 对看视频有什么区别？
对于视频流媒体，延迟影响不大（缓冲设计已规避），更重要的是带宽和丢包率。50ms vs 100ms 的差距在浏览网页、看视频时几乎无感，但在网络游戏中会产生明显差异。
Q4：为什么同一机场，有人说好用，有人说难用？
主要原因：
- 运营商差异：电信用户走 CN2 路由，联通/移动走 163 路由，体验相差很大
- 地理位置：城市与农村的出口质量不同
- 使用时段：高峰期和非高峰期差异显著
- 节点选择：同一机场的香港节点和美国节点体验可能完全不同
Q5：Shadowsocks 被封了吗？现在还能用吗？
标准的 Shadowsocks 协议在流量特征方面确实容易被识别，但这取决于具体的加密方式和混淆插件。配合 obfs 插件（HTTP/TLS 混淆）的 Shadowsocks 在大多数环境下依然有效。Shadowsocks-2022 的安全性也有显著提升。
Q6：什么是落地服务器？对体验有什么影响？
落地服务器是流量离开代理隧道后，真正访问目标网站的那台服务器。落地服务器的位置决定：
- 你在目标网站眼中的"地理位置"（影响 Netflix 等地区限制）
- 与目标网站之间的网络质量
优质落地服务器应具备：IP 干净（未被列入黑名单）、与目标服务在同一地区、带宽充足。
Q7：为什么高峰期机场会变慢？是机场在"偷懒"吗？
大多数情况不是机场的问题。晚间高峰期变慢的核心原因是中国国际出口带宽竞争：数千万用户同时访问境外网站，出口带宽（非专线部分）产生严重拥塞。走 IEPL/IPLC 的节点因不走公网出口，受此影响极小。
Q8：BGP 和 AS 路径是什么关系？怎么看节点是否走优质路由？
BGP 路由通过 AS 号（自治系统号）进行标识。中国电信的 CN2 路由对应 AS4809，普通 163 路由对应 AS4134。通过 traceroute 追踪路由时，看到的 IP 段可以反查 AS 归属：
59.43.x.x：电信 CN2（AS4809）202.97.x.x：电信 163 骨干（AS4134，质量相对较低）219.158.x.x：联通骨干（AS4837）221.183.x.x：移动骨干（AS9808）
本文为网络技术科普，所有技术概念基于公开的 RFC 文档和互联网技术资料。