REALITY 與 XTLS Vision 原理解析：VLESS 傳輸為何更快

先釐清 VLESS、Vision 與 REALITY

節點名稱常會把「VLESS + TCP + REALITY + Vision」寫在一起，但這不是四種互相競爭的協定。VLESS 描述代理要求如何驗證與封裝；TCP 提供可靠的位元組串流；REALITY 處理外層安全連線；Vision 則是 Xray 的一種流控模式，用來識別並最佳化適合處理的內層 TLS 流量。

這個流程示意的是各自職責，不代表每個實作步驟都會嚴格依序執行。安全交握會先建立連線條件，之後才能傳送代理要求與資料。瀏覽 HTTPS 網站時，瀏覽器與網站也會建立自己的 TLS 連線；外層連線保護用戶端到代理伺服器這一段，內層連線則保護瀏覽器與目標網站之間的內容。

• VLESS：使用 UUID 等參數識別使用者，本身不提供類似 VMess 的負載加密層，通常會搭配 TLS 或 REALITY 使用。
• XTLS Vision：對應 flow: "xtls-rprx-vision"，不是可任意取代 TCP、WebSocket 的傳輸名稱。
• REALITY：對應 streamSettings.security: "reality"，與一般的 "tls" 是不同的安全設定。
• Xray：是這些功能所屬的核心實作。用戶端介面能設定 VLESS，不代表目前執行的核心一定支援 REALITY 與 Vision。

Vision 如何減少重複加密

以瀏覽器瀏覽 HTTPS 網站為例，應用程式資料先經過網站的 TLS 加密，再進入代理通道。如果外層通道也逐位元組加密，就會形成「加密資料再次加密」的路徑。這不一定會造成明顯延遲，但會增加密碼運算與資料處理負擔；伺服器 CPU 忙碌、傳輸量高或裝置效能有限時，這些成本更容易顯現。

Vision 會判讀內層 TLS 流量所處階段，並對起始部分進行相應封裝與填充。在符合實作條件，且確認進入適合處理的內層 TLS 1.3 加密資料階段後，可切換至最佳化的資料傳輸路徑，減少外層對這些已加密負載的重複處理。部分環境也能運用更有效率的資料轉送機制，但是否啟用取決於作業系統、連線類型與核心實作。

因此，「VLESS 比較快」只是簡略說法。更精確地說，在相同線路與資源條件下，合適的 VLESS、Vision 與安全傳輸組合，可能比封裝更多或重複加密的方案減少處理負擔。如果瓶頸是尖峰時段壅塞、伺服器限速或跨網封包遺失，光是更換協定名稱通常不會帶來明顯改善。

REALITY 的交握與驗證範圍

REALITY 以 TLS 1.3 機制建立安全連線，並在交握過程中加入特定驗證資訊。用戶端需要知道伺服器對應的公開金鑰資訊、允許的伺服器名稱，以及 shortId 等參數。節點管理者不必像一般 TLS 部署那樣，為節點網域申請並維護公開信任的憑證；但目標網站與伺服器參數仍須正確設定。

伺服器辨識出符合條件的用戶端後，便會建立代理連線；未通過相關驗證的連線則會依 REALITY 設計轉向設定的目標網站。此目標會參與交握外觀與回落行為，不是一般 CDN 中繼，也不代表正常代理負載會一直經由目標網站轉送。

shortId 是伺服器允許清單中的短識別碼，不是 UUID，也不是公開金鑰。非空值必須由十六進位字元組成，長度須為偶數且不得超過 16 個字元；用戶端的值必須符合伺服器允許的項目。是否允許空值也由伺服器清單決定，排除問題時不應任意清空。

將原理對應至 config.json 欄位

排查時先區分「代理協定參數」與「傳輸安全參數」。在常見的 Xray VLESS 出站結構中，flow 屬於使用者物件，security 則屬於 streamSettings。將這兩個欄位寫在同一層，或把 reality 填入 VLESS 的 encryption，都不是等效設定。

以下是欄位定位片段，不是完整節點，也無法單獨啟動。第一段展示 VLESS 使用者物件中的流控欄位；第二段展示傳輸安全物件。實際設定還需要伺服器位址、連接埠、使用者身分與 REALITY 驗證參數。

{
  "encryption": "none",
  "flow": "xtls-rprx-vision"
}

{
  "security": "reality",
  "realitySettings": {
    "fingerprint": "chrome"
  }
}

• 欄位會隨核心版本演進：舊版設定常見公開金鑰欄位 publicKey，較新的核心文件與用戶端可能使用 password 這個名稱。請讓用戶端依據所用核心產生設定，不要只看欄位名稱就照搬教學內容拼湊設定。
• 傳輸名稱也與版本有關：傳統設定常見 network: "tcp"，較新的設定可能顯示 raw。介面名稱改變，不代表可以任意疊加其他傳輸方式。
• 指紋不是伺服器名稱：fingerprint 控制用戶端交握特徵，serverName 對應 SNI；兩者不可互換填寫。
• 公私鑰不可混用：用戶端應填入與伺服器公開金鑰對應的資訊；伺服器私密金鑰應留在伺服器上，不可出現在分享連結或截圖中。

若要進一步確認物件層級，可參閱設定參考。訂閱使用者建議先重新匯入服務提供者提供的完整節點，再對照匯出的有效設定；通常比手動修改產生的檔案更可靠，因為用戶端可能在下次啟動核心時覆寫這些檔案。

在 v2rayN 與 Android 用戶端逐項確認

在桌面端使用 v2rayN 時，先確認此節點實際由支援 REALITY 與 Vision 的 Xray 核心執行。Android 端的 v2rayNG 使用 Xray 核心，但仍應確認安裝的版本能否辨識訂閱中的參數。v2flyNG 使用 v2fly 核心，不能只因為同樣能辨識 VLESS，就推斷它也能執行 Xray 專屬設定。

1. 檢查匯入結果。在 v2rayN 主畫面選取節點，按右鍵開啟「編輯」，確認位址、連接埠、UUID、流控與傳輸安全設定。介面標籤可能隨版本變動，請以匯出的欄位和值為準。
2. 確認外層安全設定。REALITY 節點應對應 security=reality，Vision 節點的流控應對應 xtls-rprx-vision。不要把「TLS」核取選項當成所有安全模式的通用替代方案。
3. 檢查代理接管方式。在 v2rayN 系統匣選單中開啟「系統代理」→「自動設定系統代理」，再使用遵循系統代理設定的瀏覽器測試。v2rayNG 則須確認已授權並啟動系統 VPN 連線。
4. 確認本機連接埠。例如本機代理設定為 127.0.0.1:10808 時，應用程式的連接埠與代理類型必須符合實際的入站設定。10808 僅為範例，請以目前的參數設定為準。
5. 保留必要的最低限度記錄。先測試一次網頁連線，記下時間與錯誤訊息，再一次調整一個欄位。分享記錄前，請遮蔽 UUID、訂閱網址與驗證參數。

如何測出「更快」

比較協定時必須控制變因。使用不同地區、不同業者的兩個節點測速，結果首先反映的是線路差異，而非 Vision 的處理負擔。最好使用同一台伺服器、相同頻寬限制與相近路由，只切換要比較的傳輸方案；若無法滿足條件，就將結果稱為「節點使用體驗比較」，不要歸因於協定。

1. 固定裝置、網路、測試目標與時段，關閉背景下載；每種方案測試 3 次並記錄中位數。
2. 使用同一個 100 MiB 測試檔案，分別記錄首位元組等待時間與穩定下載速度，不要只看瞬間峰值。
3. 同時觀察伺服器 CPU 使用率與出口頻寬。若出口頻寬已滿而 CPU 使用率偏低，降低加密負擔通常無法進一步提高傳輸量。
4. 分開進行測試，避免連續下載觸發目標網站限速；接著再測試常用網頁，確認大型檔案的結果沒有掩蓋互動延遲。

例如，下載 100 MiB 檔案花費 10 秒，平均速度約為 10 MiB/s，換算約為 83.9 Mbps。這只是單位換算範例，並非本文實測結果。用戶端顯示 MB/s、測速網站顯示 Mbps 時，請先統一單位再比較差距；代理封裝、連線建立與計時範圍也會影響數值。

REALITY 與 Vision 常見問題