REALITY 与 XTLS Vision 原理科普:VLESS 传输为什么更快

先分清 VLESS、Vision 与 REALITY

节点名称里常把“VLESS + TCP + REALITY + Vision”写在一起，但这不是四种互相竞争的协议。VLESS 描述代理请求如何认证和封装；TCP 提供可靠字节流；REALITY 处理外层安全连接；Vision 则是 Xray 的一种流控模式，用于识别和优化适合处理的内部 TLS 流量。

这条流程链是职责示意，不表示每个实现步骤都严格串行。安全握手先建立连接条件，随后代理请求和数据才能传送。访问 HTTPS 网站时，浏览器与网站还会建立自己的 TLS 连接；外层连接保护客户端到代理服务器这一段，内层连接保护浏览器到目标网站的内容。

• VLESS：使用 UUID 等参数识别用户，本身不提供类似 VMess 的载荷加密层，通常配合 TLS 或 REALITY 使用。
• XTLS Vision：对应 flow: "xtls-rprx-vision"，不是一个可以随意替换 TCP、WebSocket 的传输名称。
• REALITY：对应 streamSettings.security: "reality"，与常规 "tls" 是不同的安全设置。
• Xray：是这些功能所在的内核实现。客户端界面能填写 VLESS，不等于当前运行内核一定支持 REALITY 与 Vision。

Vision 怎样减少重复加密

以浏览器访问 HTTPS 为例，应用数据先被网站的 TLS 加密，再进入代理隧道。如果外层隧道也逐字节加密，就形成“加密数据再加密”的路径。它不一定造成明显卡顿，但会增加密码运算和数据处理开销；在服务器 CPU 忙、吞吐较高或设备性能有限时，这部分成本更容易显现。

Vision 会观察内部 TLS 流量的阶段，对起始部分进行相应封装与填充。在满足实现条件、确认进入适合的内部 TLS 1.3 加密数据阶段后，可以转入优化的数据传递路径，减少外层对这部分已加密载荷的重复处理。部分环境还可利用更高效的数据转发机制，但是否启用取决于操作系统、连接类型与内核实现。

因此，“VLESS 更快”只是简写。更准确的说法是：在相同线路和资源条件下，合适的 VLESS、Vision 与安全传输组合，可能比包含更多封装或重复加密的方案减少处理开销。如果瓶颈是晚高峰拥塞、服务端限速或跨网丢包，改变协议名称往往没有明显收益。

REALITY 的握手与认证边界

REALITY 基于 TLS 1.3 机制构建安全连接，并将特定的认证信息结合到握手中。客户端需要知道服务端对应的公钥信息、允许的服务器名称以及 shortId 等参数。它不要求节点管理员像常规 TLS 部署那样，为自己的节点域名申请并维护公开受信任证书，但仍然需要正确配置目标站点和服务端参数。

服务端识别到符合条件的客户端后，建立代理连接；对于不能通过相关认证的连接，则按 REALITY 设计转向配置的目标站点。这个目标参与握手外观与回落行为，不是普通 CDN 中转，也不表示正常代理载荷会一直绕经目标网站。

shortId 是服务端允许列表中的短标识，不是 UUID，也不是公钥。非空值必须由十六进制字符组成，长度为偶数且不超过 16 个字符；客户端值必须与服务端允许项对应。能否使用空值也由服务端列表决定，不应为了排错随意清空。

把原理对应到 config.json 字段

排查时先区分“代理协议参数”与“传输安全参数”。在常见 Xray VLESS 出站结构里，flow 属于用户对象，security 属于 streamSettings。把这两个字段写在同一层，或者把 reality 填进 VLESS 的 encryption，都不是等价配置。

下面是字段定位片段，不是完整节点，也不能单独启动。第一段展示 VLESS 用户对象中的流控字段；第二段展示传输安全对象。真实配置还需要服务器地址、端口、用户身份和 REALITY 认证参数。

{
  "encryption": "none",
  "flow": "xtls-rprx-vision"
}

{
  "security": "reality",
  "realitySettings": {
    "fingerprint": "chrome"
  }
}

• 字段随内核演进：旧配置常见公钥字段 publicKey，较新的内核文档和客户端可能采用 password 命名。应让客户端按所用内核生成，不要仅凭字段名迁移教程拼接配置。
• 传输名称也要看版本：传统配置常见 network: "tcp"，较新配置可能显示 raw。界面名称变化不代表可以任意叠加其他传输。
• 指纹不是服务器名称：fingerprint 控制客户端握手特征，serverName 对应 SNI；二者不能交换填写。
• 公私钥不可混用：客户端填写服务端公钥对应的信息，服务端私钥应留在服务端，不应出现在分享链接或截图里。

需要继续核对对象层级时，可以查看配置参考。对订阅用户而言，优先重新导入服务方提供的完整节点，再对照导出的有效配置检查，通常比手改生成文件更可靠；客户端可能在下次启动内核时覆盖这些生成文件。

在 v2rayN 与安卓端逐项核对

桌面端使用 v2rayN 时，首先确认这个节点实际由支持 REALITY 与 Vision 的 Xray 内核运行。安卓端的 v2rayNG 使用 Xray 内核，但仍应核对所装版本是否识别订阅中的参数。v2flyNG 使用 v2fly 内核，不能仅因同样识别 VLESS，就推断它能执行 Xray 专属配置。

1. 检查导入结果。在 v2rayN 主界面选中节点，右键进入「编辑」，核对地址、端口、UUID、流控和传输安全。界面标签可能随版本变化，最终以导出的字段和值为准。
2. 核对外层安全。REALITY 节点应对应 security=reality，Vision 节点的流控应对应 xtls-rprx-vision。不要把“TLS”勾选项当成所有安全模式的通用替代。
3. 检查接管方式。在 v2rayN 托盘菜单中打开「系统代理」→「自动配置系统代理」，再用遵循系统代理的浏览器测试。v2rayNG 则需要确认已授权并启动系统 VPN 连接。
4. 核对本地端口。例如本地代理设置为 127.0.0.1:10808 时，应用的端口及代理类型必须与实际入站一致。10808 只是示例，以当前参数设置为准。
5. 保留最小日志。先测试一次网页访问，记录时间与错误信息，再调整单个字段。分享日志前遮盖 UUID、订阅地址和认证参数。

“更快”应该怎样测

协议比较必须控制变量。用不同地区、不同商家的两个节点测速，结果首先反映的是线路差异，而不是 Vision 的开销。最好使用同一服务器、相同带宽限制和相近路由，只切换待比较的传输方案；无法满足条件时，就把结果称为“节点体验比较”，不要归因到协议。

1. 固定设备、网络、测试目标和时段，关闭后台下载；每个方案测试 3 次，记录中位数。
2. 使用同一个 100 MiB 测试文件，分别记录首字节等待时间与稳定下载速度，不只看瞬时峰值。
3. 在服务端同时观察 CPU 占用与出口带宽。若出口已满而 CPU 很低，减少加密开销通常不能继续提高吞吐。
4. 间隔测试，避免连续下载触发目标站点限速；再测一次常用网页，确认大文件结果没有掩盖交互延迟。

例如，100 MiB 文件耗时 10 秒，对应平均约 10 MiB/s，换算约为 83.9 Mbps。这只是单位换算示例，不是本文实测。客户端显示 MB/s、测速页面显示 Mbps 时，先统一单位，再判断差距；代理封装、连接建立与计时范围也会影响数值。

REALITY 与 Vision 常见问题