REALITY 与 XTLS Vision 原理科普:VLESS 流控为何能省掉一层加密开销

TLS 握手与代理隧道：重复加密出现在哪一层

访问 HTTPS 网站时，浏览器首先与目标网站协商 TLS。握手阶段确认协议参数、验证网站身份并建立会话密钥；随后的 HTTP 请求与响应由 TLS 记录层加密。即使请求经过代理，网站这一层 TLS 通常仍然在浏览器与网站之间保持端到端关系。

如果代理客户端与代理服务器之间又建立一条 TLS 隧道，浏览器产生的 TLS 密文便成为外层隧道的载荷。客户端对已经加密的数据再次加密，服务器先解开外层，再把内层密文转发给网站。这是常说的 TLS 套 TLS，但两层负责的连接并不相同。

重复加密会增加密码运算、记录封装和内存搬运。不过，它未必是连接慢的主要原因。首次打开网页还受到域名解析、跨网往返时间、丢包和服务器排队影响。Vision 优化的是特定数据路径，不能把这些成本一并消除。

• 内层 TLS：浏览器与目标网站之间的加密；代理服务器通常不持有目标网站的会话密钥。
• 外层安全传输：客户端与代理入口之间的保护；REALITY 处理的是这一侧的握手与认证。
• VLESS：负责代理请求中的用户识别、目标地址等信息，本身不是给业务数据提供加密的算法。

REALITY：真实站点证书与客户端认证

REALITY 是 Xray 的传输安全机制。典型配置会指定一个真实 TLS 目标站点，并选择与该目标相容的服务器名称及握手特征。它利用目标站点的真实握手材料与证书外观，使入口呈现接近正常 TLS 服务的行为，同时为预先配置的客户端提供专门的认证路径。

“借用证书”不等于下载一张证书就能冒充任意网站，也不表示代理服务器获得了目标站点的私钥。REALITY 客户端除了处理 TLS 握手，还会使用预先配置的公钥等信息验证对应的 REALITY 服务端。真实站点证书不是用户配置公钥的替代品。

未通过认证的连接可以按 REALITY 的配置和实现走向目标站点；这不意味着任何探测都能得到完全相同的响应。目标站点是否可达、TLS 行为是否相容、入口地址与网络路径的特征，都会影响结果。目标选择错误时，仅修改客户端指纹通常不能解决问题。

XTLS Vision：什么时候能省掉一层加密

Vision 对应常见的 flow 值 xtls-rprx-vision。它不仅是一个配置标签，还包含对连接早期数据的识别、填充和后续转发策略。两端必须支持并正确配置这套行为，单方面改客户端字段可能直接造成连接失败。

对于能够识别并满足条件的内层 TLS 1.3 流量，Vision 可以在握手阶段之后切换数据处理路径，让已经受到内层 TLS 保护的应用数据不再重复经过外层 TLS 记录加密。目标网站的 TLS 仍然存在，浏览器也仍然执行证书验证；被减少的是代理这一层对该部分密文的重复处理。

1. 建立外层连接：客户端先完成与代理服务端的安全连接和认证，不能跳过 REALITY 参数核对。
2. 发送代理请求：VLESS 携带用户身份和目标信息，Vision 处理早期数据并观察内层协议特征。
3. 判断是否满足条件：只有被识别且符合要求的 TLS 流量，才可能进入减少外层加密的路径。
4. 转发后续数据：内层 TLS 密文继续传送；不满足条件的流量不应被理解成“直接明文发送”。

普通 HTTP、无法识别的流量、UDP，以及 QUIC 使用的 UDP 路径，不能直接套用“TLS 1.3 密文直通”的说明。TLS 1.2 流量也不能简单视为具有相同优化效果。是否触发高效路径，还与实际内核实现、传输组合和操作系统有关。

协议数字：TLS 版本、443 端口与性能边界

下列数字是协议与常见部署参数，不是本文的测速结果。它们可以帮助区分“连接入口是什么”与“数据如何处理”，不能据此推断某个订阅节点的实际速度。

当大文件传输把客户端或服务端 CPU 压满时，减少重复加密可能降低 CPU 占用，提升可用吞吐量。某些环境还能利用更高效的数据搬运方式。但 Mac 桌面客户端与服务器的系统能力并不相同，不能把某一平台上的零拷贝表现直接套到所有设备。

延迟改善同样有条件。高负载时，减少处理开销可能缩短排队时间；空闲连接上的一次小请求，则往往仍由网络往返时间主导。Vision 不是压缩算法，也不会让代理服务器到目标网站的物理距离变短。

• 比较 CPU 时，同时观察客户端与服务端，避免只看到本机占用下降，却忽略服务端已经成为瓶颈。
• 比较吞吐量时，固定同一入口、目标资源、路由规则和并发数；每组至少重复 3 次并保留结果。
• 比较网页延迟时，区分首次连接和复用连接；域名缓存与连接复用会明显影响结果。
• 不要直接删除 flow 做所谓对照测试。应由服务端提供各自匹配的配置，否则比较的是成功连接与配置错误。

v2rayN 与 v2rayNG：订阅导入后的字段核对

桌面端使用 v2rayN 时，先导入订阅并更新分组，再打开对应节点的编辑窗口核对字段。Android 上的 v2rayNG 使用 Xray 内核，可以检查相同概念的配置。v2flyNG 使用 v2fly 内核，不能因为同样识别部分 VLESS 链接，就推定它支持 Xray 的 REALITY 与 Vision 组合。

不同版本的编辑界面、翻译和底层字段名称可能变化，因此下面按参数含义列出检查项，不把某一版本菜单当作固定标准。分享链接常见的 pbk 对应 REALITY 公钥信息；界面中也可能出现不同标签，应以当前内核要求为准。

分享链接中还常见 encryption=none。这里描述的是 VLESS 协议层，不表示整个连接没有加密；REALITY 负责外层安全传输，HTTPS 业务还有内层 TLS。不要为了让字段看起来“更安全”而擅自改成不被协议支持的值。

握手失败、能连但打不开：按现象排查

排错先区分三个阶段：入口 TCP 是否可达、REALITY 认证是否成功、应用流量是否进入代理。每次只改一项，并记录对应日志。连续更换 SNI、端口、flow 和指纹，会让故障原因更难定位。

如果日志显示 TCP 连接超时，应先处理网络路径、入口监听或防火墙问题；如果认证完成后仅某个网站异常，再检查该网站的解析结果、出口连通性与分流规则。不要把所有连接错误都归因于 REALITY，也不要通过反复切换全局模式掩盖字段错误。