VLESS 协议：V2Ray VPN、Xray 服务器和绕过审查指南
VLESS 协议在 GitHub 一个不起眼的孵化仓库中出现大约五年后，悄然成为俄罗斯、伊朗和中国用户实际使用的代理服务器的默认协议。原因并不浪漫。它体积小巧，本身并不加密任何数据。此外，截至 2026 年中期，它还是唯一一个尚未被最大的国家级深度包检测 (DPI) 系统彻底击败的广泛部署协议。
本指南解释了 VLESS 作为一种轻量级协议的本质、其内部工作原理、其上运行的协议（Xray、XTLS、REALITY）、它与 VMess、Trojan、Shadowsocks、WireGuard 以及 OpenVPN 等传统 VPN 协议的比较，并展示了实际的 VLESS VPN 设置。这是一份技术说明，而非配置指南。如果您阅读完本指南后仍然需要可复制粘贴的服务器命令，请参考 xtls.github.io 上的项目文档。
VLESS 是什么？V2Ray 社区为何构建它？
VLESS，即“VMess Less”的缩写，是一种无状态的轻量级代理协议，由名为RPRX的开发者于2020年推出。RPRX从2019年起就在RPRX/v2ray-vless维护着一个孵化仓库。它的设计初衷是对原始V2Ray协议VMess进行精简，因为VMess在2010年代后期由于其自身的加密、重放保护和时钟同步机制而变得难以管理。
目前，VLESS 主要存在于两个代码库中。原始的 v2fly/v2ray-core 代码库为了兼容性而保留了它。另一个由 RPRX 维护的分支 XTLS/Xray-core 则开发更为活跃：截至 2026 年 5 月，其在 GitHub 上拥有 38,600 个 star 和约 5,400 个 fork，而 v2fly/v2ray-core 则拥有 33,900 个 star。Xray 提供了一些关键功能，例如 XTLS Vision 流控制和 REALITY 传输，而 v2fly 上游代码库则没有这些功能。
VLESS协议的工作原理：UUID、无加密、TLS外部
VLESS 无线协议非常简洁，一段话就能概括。客户端建立连接后，会发送一个头部。头部包含版本字节、16 字节的用户 UUID、可选附加组件字段的长度指示符、附加组件本身、一个字节的命令（TCP 或 UDP）、目标端口、地址类型字节以及地址。每个连接大约占用 25 到 50 字节。而 OpenVPN 每个数据包则超过 100 字节。
VLESS 本身不会对请求头进行任何加密。该协议在其 JSON 配置中明确要求使用 `encryption: "none"`，v2fly 文档也指出此字段不能为空——必须明确表示为“none”，以便提醒操作人员该协议将所有机密性委托给底层传输层。实际上，该传输层几乎总是 TLS 1.3。
这种设计选择是 VLESS 所有有趣特性的根源。由于 VLESS 不运行自身的加密层，因此避免了 VMess 在审查网络中遭遇的致命故障。在外部 TLS 隧道内添加第二层加密，会产生流量分析研究人员所称的“TLS-in-TLS”模式。经过专门训练以识别这种双重包裹结构的深度包检测 (DPI) 系统，是导致 VMess 在中国防火长城上的检测率在 2025 年 9 月超过 80% 的主要原因。VLESS 仅携带认证信息和路由元数据，看起来更像一个普通的 TLS 会话，这使得深度包检测系统赖以生存的协议指纹识别技术无法识别它。
另一个刻意省略之处在于状态性。VLESS 依赖于客户端和服务器之间的时钟同步，并使用数据包时间戳来防止重放攻击。其结果是，每当手机时钟漂移、笔记本电脑双系统启动或服务器位于错误的时区时，都会出现令人困惑的连接失败，这种情况持续多年。VLESS 是无状态的。UUID 就是全部的身份验证机制。如果 UUID 匹配，则连接获得授权；否则，连接会在第一个字节处被拒绝。一切都与时间无关。
VLESS 中的 UUID 是标准的 RFC-4122 标识符。`xray uuid` 命令可以生成 UUID；任何标准的 UUID 生成器也都可以。VLESS 接受长度不超过 30 字节的自定义字符串，并通过文档中所谓的“VLESS UUID 映射标准”将其映射到 UUID。大多数配置都坚持使用规范的 UUID，因为实际上映射关系并不会改变任何实际效果。
协议底层提供了多种传输选项：支持 TCP（带或不带 TLS）、mKCP、WebSocket、gRPC 和 QUIC。每种传输方式对流量的处理方式都不同。WebSocket 使 VLESS 能够隐藏在标准的 HTTP/1.1 升级握手之后，并通过 Cloudflare 等 CDN 进行路由。gRPC 利用 HTTP/2 多路复用技术。QUIC 则将所有数据都放在一个基于 UDP 的 TLS 1.3 会话中。该协议本身并不关心它运行在哪种传输方式上。正是这种分离性使其具有可移植性。
Xray、REALITY 和 XTLS：VLESS 实际运行的堆栈
实际上，没有人会裸奔运行 VLESS。真正有趣的部分是围绕它运行的其他部分。
Xray-core 是目前主流的运行时环境。它是 V2Ray-core 的一个分支，由 RPRX 和 XTLS 的贡献者在社区分裂后创建，它包含了 VLESS 进行严肃的审查规避工作所依赖的两项技术：XTLS Vision 和 REALITY。
XTLS Vision（在配置中指定为 `flow: "xtls-rprx-vision"`）是一种应用于 TLS 1.3 流量的填充方案。它解决的问题很微妙。TLS 1.3 记录在承载固定格式的内部应用数据时，其长度签名是可预测的——长度会泄露有关隧道传输内容的信息。Vision 在握手初期阶段添加填充字节。连接建立后，它会切换到原始套接字复制。在 Linux 系统上，它使用 `splice()` 系统调用在内核中转发 TCP 数据包，而无需经过用户空间。最终结果是吞吐量接近于非代理 TCP 连接，同时长度签名泄露的问题也得到了有效解决。
REALITY 于 2023 年发布，维护地址为 github.com/XTLS/REALITY，它更加激进。标准的 VLESS+TLS 服务器会提供自己的 TLS 证书，这意味着它拥有一个域名，运行着 Certbot，并且会暴露一个证书指纹，DPI 系统可以将其与代理的使用情况关联起来。REALITY 完全摒弃了这种做法。它不运行自己的 TLS，而是模拟真实第三方网站的握手过程。操作员可以选择目标：`microsoft.com`、`apple.com` 或任何其他域名。服务器使用 SNI 伪造和 X25519 密钥交换。知道正确 REALITY 公钥的客户端会与模拟的证书链完成真正的 TLS 1.3 握手，就像浏览器与真实 Web 服务器握手一样，然后被路由到 VLESS 隧道。不知道正确公钥的客户端（包括探测 DPI 系统的客户端）会看到看似正常的连接到模拟网站，包括真实的证书。
VLESS 作为内部协议，XTLS Vision 用于长度签名扁平化，REALITY 用于握手伪装，这三者的组合就是人们常说的“VLESS+REALITY”或“VLESS+Vision+REALITY”。截至 2026 年中期，这种配置在几乎所有其他方案都失效的环境中仍然有效。
VLESS vs VMess vs Trojan vs Shadowsocks vs WireGuard
VLESS 协议领域很小，协议间的差异至关重要。简要说明如下；详细说明请参见表格。
VMess 是 VLESS 的前身。它拥有自己的 AEAD 加密、重放保护和基于 alterId 的变体。在未审查的网络中，这些功能会损失几个百分点的吞吐量，但没有任何实际好处。在审查的网络中，TLS 内部加密模式是可以检测到的，GFW 遥测数据显示，自 2025 年 9 月以来，这种模式的检测率约为 80%。
Trojan 是另一个团队设计的同系列恶意软件。它甚至比 VLESS 更简单：使用密码而非 UUID，没有插件字段，外部使用 TLS 加密。多年来，这种极简设计使其安全性极高；但 2025 年 8 月的 GFW 升级改变了这一切，Trojan 现在的检测率约为 90%。
Shadowsocks 属于完全不同的协议家族。它是一种对称的 AEAD 加密算法，没有 TLS 封装，旨在伪装成随机字节而非 HTTPS。这种方法在 GFW 开始默认将完全加密的流量标记为可疑流量之前一直有效；现代的 Shadowsocks 部署依赖于传输插件（例如 v2ray-plugin 和 cloak），这些插件将加密算法封装在 TLS 或 HTTP 中，实际上是从相反的方向重建了 VLESS 架构。
WireGuard 完全属于另一个范畴。它是一个内核级 VPN，而非代理协议。在干净的网络中，它的原始吞吐量比 VLESS+XTLS 快约 2-3%，CPU 开销也低得多，对于普通的隐私保护场景（例如防止 ISP 监控）来说，它仍然是最佳选择。但在网络审查严格的网络中，其固定的 0x01 握手字节很容易被识别，有效吞吐量会骤降至接近于零。
| 协议 | 家庭 | 外层 | DPI 耐药性 | 最适合 |
|---|---|---|---|---|
| VLESS+现实 | V2Ray/Xray代理 | 模拟的 TLS 1.3 | 高（现场报告中检出率≤5%） | 敌对网络 |
| VMess | V2Ray代理 | TLS内部的自加密 | 低（~80% GFW） | 仅兼容旧版系统 |
| 特洛伊木马 | TLS前端代理 | 自有TLS | 低（2025 年 8 月后 GFW 约为 90%） | 更简单的自托管 |
| Shadowsocks（AEAD） | 对称混淆 | 随机字节/插件TLS | 混合型（取决于插件） | 移动用户遇到不稳定的链接 |
| WireGuard | 内核 VPN | UDP + 噪声握手 | 极低（DPI可检测） | 清洁网络的隐私和速度 |
无损访问、审查制度和俄罗斯DPI封锁
如果不是因为VLESS比任何其他广泛部署的协议都能更可靠地绕过俄罗斯及类似政权的审查，它或许只会成为代理软件发展史上的一个脚注。自2024年以来，全球最大的国家级深度包检测系统一直在积极试图扼杀它。此后，事态发展演变为一场缓慢升级的公开博弈。
俄罗斯联邦通信、信息技术和大众传媒监管局（Roskomnadzor）报告称，截至2026年1月，已有439个VPN服务被封锁。据zona.media在2026年4月的报道，俄罗斯联邦政府在2025年至2027年期间的VPN封锁预算约为600亿卢布（约合7.8亿美元），另有22.7亿卢布（约合2900万美元）专门用于基于人工智能的流量过滤。2026年2月17日，Roskomnadzor再次升级封锁力度，对VLESS over TCP with TLS协议发起了一波大规模封锁，Mezha和digirpt等机构对此进行了记录。用户在数小时内转而使用REALITY、gRPC和CDN前端传输协议。据报道，在这一波封锁期间，VLESS+REALITY协议绕过俄罗斯深度包检测（DPI）的社区成功率接近99.5%，但该数据仅供参考，而非精确测量。
在中国，防火长城在2025年也经历了类似的演变过程。8月份木马的检测率降至约90%，9月份VMess的检测率降至约80%。2025年9月，网络安全新闻报道了一起来自中国防火长城承包商的600GB数据泄露事件，该事件暴露了部分内部分类基础设施，但其本身并未改变部署的经济效益。greatfirewallguide.com网站的社区测试报告显示，2026年初VLESS+REALITY+Vision的绕过率达到了98%。
在伊朗，MCI 的 IRGFW 至少从 2024 年 4 月起就将 REALITY IP 地址列入灰名单，这在 XTLS/Xray-core 讨论 #3269 中有记录。运营商报告称，承载约 100 GB REALITY 流量的 IP 地址往往会在 48 小时内被 Irancell 屏蔽，这就是为什么服务器轮换和 CDN 前端部署已成为当地的标准做法。
VLESS VPN 设置概览：服务器、客户端、配置
一个正常运行的 VLESS 部署包含三个部分：某个地方的服务器、每个设备上的客户端以及连接它们的连接字符串。
服务器端要求不高。任何廉价的VPS都可以，例如Hetzner、Vultr、OVH，只要提供公网IPv4地址即可。从项目发布版二进制文件或包管理器安装Xray-core，生成一个UUID（`xray uuid`），为REALITY生成一个X25519密钥对（`xray x25519`），选择一个模拟目标（一个支持TLS 1.3和HTTP/2的真实HTTPS站点），然后编写一个绑定到443端口的JSON服务器配置。一旦配置完成，总共只需大约十分钟。像3X-UI和Hiddify-Manager这样的Web面板将相同的配置封装在浏览器界面中，方便那些不想编辑JSON的运维人员使用。此外，还有托管设备可供选择。AWS Marketplace上有一个Xray VLESS VPN服务器镜像，在t3.micro实例上的价格为每小时0.063美元，并提供5天免费试用。
客户端方面，生态系统虽然分散但总体可靠。v2rayN 和 Nekoray 是 Windows 平台上的主流客户端。v2rayNG、NekoBox 和 Hiddify 则覆盖了 Android 平台。Hiddify 还支持 macOS 和 Linux 跨平台运行。在 iOS 平台上，由于苹果 App Store 的政策限制，Streisand 是免费的选择，而 Shadowrocket 或 V2Box 则是付费选项。所有这些客户端都支持 VLESS 协议；大多数还支持 REALITY 协议。配置通常通过 `vless://` URI 方案导入，该方案是一个包含 UUID、地址、端口、传输协议和 REALITY 参数的 URL，或者也可以通过服务器端面板扫描二维码进行导入。
性能、风险以及何时 VLESS 不是合适的工具
性能至上。社区基准测试表明，在相同的传输协议下，VLESS 的吞吐量比 VMess 高出约 15% 到 25%，这主要是因为 VLESS 的头部更短，而且没有内部加密。借助 XTLS Vision 和 Linux splice 优化，经过良好调优的 VLESS 部署可以接近原生 TCP 的吞吐量，其瓶颈仅在于 VPS 带宽和服务器往返时间。在未审查的网络中，WireGuard 的速度仍然快 2% 到 3%，因为在这些网络中，其握手过程不会造成性能负担。
风险真实存在。VLESS协议本身是中立且开源的，但使用它绕过国家审查的法律地位因司法管辖区而异。俄罗斯的联邦法律将推广可用的配置而非个人使用定为犯罪；中国的监管态度更为严苛且随意；伊朗则起诉大型代理池的运营者。企业网络通常会完全禁止所有代理和VPN流量。在这些环境下，用户在进行任何设置之前都应该了解其所处环境的相关规则。预装VLESS订阅的免费VPN应用程序在某些司法管辖区属于不同的监管类别，可能会受到不同的审查。
最后一点，虽然没那么重要。如果你不在审查严格的网络环境下，VLESS 就有点杀鸡用牛刀了。对于普通的网络隐私保护，在干净的连接上，WireGuard 或现代的 OpenVPN 配置速度更快、更简单，而且所有商业 VPN 提供商都支持。VLESS+REALITY 是针对特定问题而设计的工具，如果问题不是这样，用它只会增加复杂性。
