VLESS 与 VMess 代理协议

VLESS 与 VMess 代理协议

什么是 VMess 和 VLESS

VMess 和 VLESS 是 V2Ray 项目（Project V）为绕过互联网审查而开发的代理协议。它们的设计目标是把代理流量伪装成普通 HTTPS，从而具备抵抗 DPI（Deep Packet Inspection）的能力。

VMess（V2Ray Mess）是 V2Ray 的第一个协议，在协议层面包含加密和身份验证。

VLESS 是 VMess 的轻量版本。它去掉了内置加密（交由 TLS 处理），从而降低开销并提升性能。

为什么需要新协议

传统代理的问题

SOCKS5 —— 协议不加密。DPI 可以通过握手轻松识别 SOCKS5 流量。

HTTP CONNECT —— CONNECT 方法以明文出现，很容易被检测。

OpenVPN —— 具有可被 DPI 识别的特征流量模式。

Shadowsocks —— 曾经有效，但 GFW（Great Firewall of China）已学会通过主动探测（active probing）和流量分析来识别它。

V2Ray 的方案

V2Ray 设计的协议具备以下特点：
- 没有特征模式（看起来像普通 HTTPS）
- 能够抵抗主动探测
- 支持多种传输方式（WebSocket、gRPC、HTTP/2）
- 将代理流量伪装在合法的 TLS 连接中

VMess 详解

工作原理

VMess 使用基于 UUID 的身份验证和对称加密。每个请求包含：

1. 身份验证 —— UUID + 时间戳的 16-byte 哈希。服务器根据自身列表校验 UUID。
2. 头部加密 —— 使用 AES-128-CFB 加密请求元数据。
3. 数据加密 —— 载荷使用 AES-128-GCM 或 ChaCha20-Poly1305。

防重放攻击

VMess 在身份验证头中包含时间戳。服务器会拒绝时间戳过期的请求（120-second 时间窗口），并记住已处理的 ID 以防止重放。

VMess 的缺点

• 双重加密（VMess + TLS）带来不必要的开销
• 配置不当时易受主动探测攻击
• 协议实现复杂

VLESS 详解

与 VMess 的区别

VLESS 去掉了内置加密，仅保留基于 UUID 的身份验证。加密完全交由外层（TLS/XTLS）处理。

优势：
- 开销更小（无双重加密）
- 性能更高
- 实现更简单
- 与现代 TLS 库兼容性更好

XTLS（Xray TLS）

XTLS 是为 Xray-core 开发的优化版 TLS。在传输 TLS 流量（客户端的 HTTPS 请求）时，XTLS 直接转发已加密的数据，避免重复加密。

由此带来：
- CPU 负载降低 50-70%
- 吞吐量提升
- 与普通 TLS 流量无法区分

VLESS + Reality

Reality 是一种新的混淆机制，可让代理服务器"冒充"一个真实存在的网站（例如 microsoft.com）。当 DPI 探测该服务器时，看到的是真实的 TLS 证书和真实网站的内容。

传输方式

VMess 和 VLESS 支持多种传输方式：

VLESS vs VMess vs Shadowsocks vs SOCKS5

客户端与服务端

服务端实现

Xray-core —— 主要实现，支持 VLESS、VMess、XTLS、Reality，更新最及时。

V2Ray-core —— 最初的实现。支持 VMess 和 VLESS（不支持 XTLS）。

Sing-box —— 支持全部协议的通用代理平台。

客户端

实际应用

绕过审查

主要用途是绕过 GFW 及其他 DPI 系统。VLESS+Reality+XTLS 目前被认为是抗封锁能力最强的组合。

企业 VPN

把 VPN 流量混淆成 HTTPS，以绕过企业防火墙的限制。

代理基础设施

VLESS/VMess 可作为代理服务的传输层使用，提供加密与混淆。

结论

VLESS 和 VMess 是为绕过 DPI 而设计的高级代理协议。搭配 XTLS 和 Reality 的 VLESS 目前在性能、安全性和抗检测能力上提供最佳组合。对于绕过互联网审查（中国、伊朗、俄罗斯），这些协议已成为事实标准。