小火箭支持哪些协议:Shadowsocks、VMess、VLESS、Trojan、Hysteria2 一分钟科普

一分钟识别：协议、传输与路由不是同一个设置

Shadowsocks、VMess、VLESS、Trojan、HTTP、SOCKS5、WireGuard 与 Hysteria2 分别规定客户端怎样与服务端通信。地址和端口只是连接入口；密码、UUID、密钥以及传输参数共同决定连接能否建立。列表中的显示名称可以自行命名，因此名称里写着某个协议，不代表 Type 就是该协议。

传输层回答数据怎样送达，例如 TCP、WebSocket 或 QUIC；TLS 负责相应连接层的加密与身份验证。Global Routing 则决定某次访问采用什么策略。修改 Global Routing 不会修复错误的密码，也不会把不支持 UDP 的网络变成可以承载 QUIC 的网络。

在 Add Server 中识别与核对已有配置

手动添加适合核对单条记录；已有订阅适合保留来源并统一更新。两种方式都应先确认原始参数。订阅可能包含访问凭据，排查时不要公开完整链接、二维码、密码或私钥。

1. 打开添加页

   进入 Home → 右上角“+”，打开 Add Server。在 Type 中选择与已有配置一致的协议；不要先照着显示名称猜选项。

2. 核对入口

   对照已有资料填写地址与端口。地址栏只填写该字段需要的主机名或 IP，不要把整段分享链接当成主机名，也不要把 443 当成所有协议的固定端口。

3. 核对认证

   Shadowsocks 核对加密方法与密码；VMess、VLESS 核对 UUID；Trojan、Hysteria2 核对相应认证内容；WireGuard 核对本地私钥与对端公钥。各类凭据不可互换。

4. 核对传输

   逐项对照 TLS、服务器名称与底层传输。若已有配置使用 WebSocket，还要核对路径和 Host；不要因为地址能够解析，就省略这些字段。

5. 保存并测试

   保存后回到 Home，选择该记录并使用 Connectivity Test，再连接测试具体访问。若使用已有订阅，可在 Home → “+” → Type 选择 Subscribe，填入自己的订阅地址；更新后应重新核对记录，避免本地修改被来源内容覆盖。

Shadowsocks、VMess 与 VLESS：先区分认证和加密

这三类配置经常出现在已有订阅中，但参数结构不同。Shadowsocks 的核心是双方一致的加密方法与密码；VMess 使用 UUID 等参数完成认证，并有自身的数据保护机制；VLESS 本身不提供内容加密，不能因为使用了 UUID 就认为连接已经受到 TLS 保护。

例如，已有资料要求 WebSocket 路径为 /gateway，填写为 / 就不是同一个入口；要求的 Host 与连接地址也可能不同。域名可解析、TCP 端口可达，只能说明前面的连接条件成立，不能证明后面的认证或路径正确。

• Shadowsocks 的加密方法名称必须完整匹配；不要把相似名称当成同一算法。
• VMess 认证涉及时间校验，出现认证异常时应同时检查 Apple 设备的日期与时间是否准确。
• VLESS 的 UUID 与安全层参数应作为一组核对；不应通过关闭安全层来尝试“修复”连接。

Trojan 与 Hysteria2：都有安全层，但底层要求不同

Trojan 常见配置以 TLS 承载认证与代理数据。除密码外，证书验证、服务器名称和实际连接地址也需要对应。连接 IP 不一定等于证书中的域名；若已有配置要求特定服务器名称，就应保留该值，而不是随意换成地址栏内容。

Hysteria2 基于 QUIC，底层使用 UDP，并结合 TLS。它与 Hysteria 的其他协议代际不能仅凭名称相近就互换。在网络限制 UDP 时，TCP 服务可用而 Hysteria2 超时并不矛盾；此时首先检查网络条件与端口协议，而不是反复更改认证字符串。

• Trojan：核对地址、端口、密码和 TLS 服务器名称。遇到证书错误，先检查设备时间、名称与证书有效性。
• Hysteria2：核对认证信息、TLS 参数，以及已有配置指定的混淆或带宽参数；有配置才填写，不自行添加。
• 共同检查：若源配置使用 443，应进一步确认是 TCP、UDP 还是两者均需放行。数字相同不代表网络路径相同。
• 性能比较：固定同一网络、目标与测试时段再比较。协议名称不能直接换算成吞吐量，延迟测试也不能代替持续传输测试。

HTTP、SOCKS5 与 WireGuard：用途和凭据差别更大

HTTP 与 SOCKS5 常用于已有代理入口。HTTP 代理可以通过 CONNECT 建立通往目标的隧道，但这不意味着客户端到代理这一段自动使用 TLS。若目标网站使用 HTTPS，目标站点的 TLS 与代理入口是否加密是两个不同层面。

SOCKS5 支持不同命令与认证方式，但协议名称本身不保证当前服务端与网络一定支持 UDP。普通 HTTP 代理同样不应被当作通用 UDP 隧道。若业务依赖 UDP，应核对具体配置和实际可用能力。

WireGuard 是基于密钥的隧道协议，不采用普通代理的“用户名加密码”结构。对端公钥不是本地私钥，Endpoint 是对端的网络入口，也不是分配给本机的隧道地址。如果把两类地址混用，入口可能可达，但隧道内仍无法通信。私钥只应保留在自己的设备和可信配置中，不能放进公开截图。

协议正确后，再用 Global Routing 区分规则问题

Home 用于选择连接与服务器，Config 用于管理配置文件，Settings 用于应用设置。Global Routing 中的 Proxy、Direct、Config、Scene 是路由姿态，不是新的协议。排查时先记录原值，再临时调整；Scene 的结果取决于已设定的场景，应同时检查当前命中的场景设置。

例如，DOMAIN-SUFFIX,example.com,PROXY 按域名后缀指定策略；IP-CIDR,192.0.2.0/24,DIRECT 按地址网段匹配；GEOIP 依赖 IP 地理归属数据；FINAL 承接未命中的流量。这些关键字决定去向，而不是协议。示例只说明语法与匹配对象，不是可直接替换现有配置的完整规则。

常见问题：能导入、能测试与能使用如何区分

实际选择顺序是：先使用已有服务明确提供的协议，再保证参数完整，随后确认网络满足传输要求，最后观察相同条件下的使用结果。协议支持列表不能替代服务端配置，也不能保证某种协议在所有网络中更快。