您买了机场订阅，导入客户端后发现节点名字后面带着 ss、trojan、vless、hysteria2 一堆标记，不知道该选哪个？先说结论：没有“最好”的协议，只有适合您网络环境和客户端的协议。如果您的客户端支持，日常用 TCP 类协议（Trojan 或 VLESS+REALITY）比较稳妥；网络丢包明显、又想试试新东西时，再试 Hysteria2。小编查了各协议的官方文档，下面用大白话给您讲清楚。
先打个预防针：本文只讲协议原理和选择思路，不提供任何测速数据。哪个协议更快、更稳，取决于机场线路、您所在的网络和运营商，没有放之四海皆准的排名。
先搞懂：协议到底是什么
简单讲，协议就是客户端和机场服务器之间“怎么说话”的约定。不同协议在三件事上做法不同：数据怎么加密、流量看起来像什么、走 TCP 还是 UDP。机场给您的订阅里，每个节点都会标明用的是哪种协议，客户端按这个约定去连。
订阅怎么买、怎么选套餐，可以看小编之前写的机场套餐怎么买？按月、流量、设备数选购指南，这里不重复。
五种常见协议一句话看懂
1. Shadowsocks（含 2022 版）
老牌协议，配置简单，几乎所有客户端都支持。根据 Shadowsocks 官方的 SIP022 文档，2022 版做了几处改进：强制完整的重放保护、要求直接提供固定长度的随机密钥（不再用密码派生密钥）、用 BLAKE3 做子密钥派生，并重写了 UDP 部分。文档里也写明：该协议不提供前向保密。
说白了：旧版 ss 能用但设计偏老，如果机场节点标的是 2022-blake3 开头的加密方式，说明用了新版，客户端需要支持才能连。
2. Trojan
Trojan 的思路是“伪装成普通 HTTPS”。按官方协议文档，客户端先完成一次真实的 TLS 握手，之后所有流量都在 TLS 保护下；服务器收到密码不对或格式不对的连接，会转发到预设的网站（默认是本机 80 端口的网页服务），所以对探测者来说，它表现得像一个正常网站。文档也提醒，用户需要自己准备有效证书。
3. VLESS（常搭配 REALITY）
VLESS 是 Xray 体系里的轻量协议。从 REALITY 项目的配置示例看，VLESS 本身的 encryption 字段填的是 none，也就是说它自己不负责加密，安全性靠外层的传输安全（TLS 或 REALITY）。这一点是小编根据配置示例得出的理解，官方页面没有直接这样表述。
REALITY 是 XTLS 团队做的 TLS 替代方案。项目 README 介绍，它可以“指向别人的网站”，不需要自己买域名、配置 TLS 服务端；服务端要配置目标站点（target）、可用的 SNI（serverNames）、私钥和 shortId。README 还建议目标站点选支持 TLSv1.3 和 H2 的境外网站。配合 xtls-rprx-vision 这个 flow 使用是官方推荐的搭配；页面说也能搭配别的协议，但不建议，因为会出现“TLS in TLS”特征。
4. Hysteria2
和前面几个最大的不同：它基于 QUIC，走 UDP。官方协议文档说，它是“基于 QUIC 的 TCP 和 UDP 代理”，对没有凭据的探测者，服务器表现为标准 HTTP/3 网站。可选的 Salamander 混淆会对 QUIC 包做异或处理。
在 Clash 内核 mihomo 的配置文档里，Hysteria2 节点支持端口跳跃（ports 和 hop-interval，间隔默认 30 秒）、up/down 速率参数和 obfs 混淆。需要注意：UDP 在部分网络环境下可能被限制或限速，这时候这类节点就连不上或很慢，不是您操作错了。
5. 其他：VMess、TUIC 等
mihomo 文档的导航里还列了 VMess、TUIC、AnyTLS 等多种类型。机场订阅里偶尔会见到，原则一样：看您的客户端支不支持，再决定用不用。
对比表：看这几项就够了
| 协议 | 底层 | 设计思路 | 需要注意 |
|---|---|---|---|
| Shadowsocks 2022 | TCP/UDP | 重放保护、固定长度密钥 | 无前向保密；客户端需支持新加密方式 |
| Trojan | TCP + TLS | 伪装成 HTTPS，探测流量转发到真实网页 | 服务端需有效证书 |
| VLESS + REALITY | TCP | 借用他站 TLS 握手，免自备域名证书 | 建议搭配 Vision flow |
| Hysteria2 | QUIC（UDP） | 伪装 HTTP/3，支持端口跳跃 | UDP 在部分网络可能受限 |
信息来源：Shadowsocks SIP022 文档、Trojan 官方协议文档、XTLS/REALITY 项目 README、Hysteria 官方协议文档、mihomo 配置文档，查询日期 2026-11-08。
怎么选：按场景给您一个思路
- 新手，只想先连上：机场默认推荐哪个就先用哪个，别折腾。能连、不掉线就行。
- TCP 节点老是断：可以换一个不同协议的节点试试，比如 Trojan 换 VLESS+REALITY，同一机场里通常都有。
- 网络波动、丢包明显：可以试试 Hysteria2 节点。不保证一定更好，要自己对比。
- 节点 UDP 连不上：先退回 TCP 类节点，别死磕。
要强调的是：协议只是影响体验的一环，线路质量、节点负载、本地网络同样重要。想知道代理模式（规则、全局、直连）怎么配合节点使用，可以看Clash 规则、全局、直连模式有啥区别。
导入前自查：您的客户端支持吗
- 看客户端内核。Windows、Android 常用的 Clash 系客户端大多基于 mihomo 内核，文档里列了 VLESS、Trojan、Hysteria2 等类型；具体哪个客户端版本支持哪种协议，请以客户端自己的说明为准。
- 看节点类型。导入订阅后，在节点列表里能看到每个节点的类型标记。
- 看到灰色、报错或直接缺失的节点，多半是客户端不支持该协议，更新客户端再试。
- Windows 用户可参考Windows 电脑怎么用机场：Clash Verge Rev 导入订阅教程。
- 连不上时按小火箭连不上怎么办？节点超时排查 8 步的思路逐项排查，iPhone 之外的客户端也适用。
安全提醒
机场服务商可能随时跑路，建议按月购买；订阅链接等同于您的“账号密码”，别随手发给别人或截图外传。协议再新，也解决不了服务商本身不可信的问题。请遵守所在地法律法规，本文只做技术科普，不构成法律意见。
常见问题（FAQ）
Hysteria2 一定比 Trojan 快吗？
不一定。官方文档只说明了它的设计，没有保证速度。实际表现看线路和网络环境，建议自己对比。
VLESS 没有加密，安全吗？
VLESS 的加密由外层的 TLS 或 REALITY 提供，正常搭配使用时流量是受保护的。单独裸用才有问题，机场一般不会这样给。
节点显示不支持，是机场坏了吗？
大概率是客户端版本太旧或内核不支持该协议。先更新客户端，再联系机场客服确认推荐的客户端。
端口跳跃是干嘛的？
Hysteria2 的功能，客户端会按设定间隔在一段端口范围内切换连接端口。mihomo 文档里默认间隔 30 秒。是否需要开启，由机场提供的节点配置决定。
总结
协议没有绝对的好坏：Trojan 和 VLESS+REALITY 是 TCP 路线，Hysteria2 走 QUIC，Shadowsocks 2022 是老牌协议的升级版。您只需要确认客户端支持，然后在同一机场里多试几个类型的节点，留下稳定的那个。想了解免费节点的风险，可以看免费节点订阅安全吗？5 个风险和自查办法。