先建立一个直觉

Reality 的核心思路是“伪装成正在访问一个真实存在的可信网站”，从而让代理流量在特征上难以和正常 HTTPS 区分。它常与 VLESS 搭配，写作 VLESS + Reality，是近年新节点的常见组合。

要理解它的价值，得先看传统 TLS 伪装的痛点。

传统 TLS 伪装的痛点

像 Trojan 这类方案把流量伪装成 HTTPS，但通常需要：

  • 自己的域名；
  • 有效的 TLS 证书；
  • 一个对外的伪装站点。

问题在于：证书、SNI（握手时暴露的域名）等都可能成为识别或封锁的抓手，配置也更繁琐。

具体来说，痛点集中在两方面：

  • SNI 暴露：TLS 握手的第一步（ClientHello）里，域名是明文发送的。审查设备只要盯着 SNI，就能看出你在连哪个域名，进而针对性封锁。
  • 主动探测：审查方会主动去连你的服务器，如果它对「乱敲门」的探测请求回应得不像一个真实网站——比如证书对不上、返回内容可疑——就会被标记为代理服务器。自建的伪装站往往经不起这种探测。

换句话说，传统 TLS 伪装是「你努力扮演一个网站」，而只要扮得不够像，就会露馅。

一次 TLS 握手到底发生了什么

要理解 Reality 的巧妙之处，先快速看一遍正常的 HTTPS 握手：

  1. 客户端发出 ClientHello，其中带着想访问的域名（SNI）和支持的加密套件；
  2. 服务器返回 证书，证明「我确实是这个域名」；
  3. 双方交换密钥，之后的通信全程加密。

审查设备主要就是在第 1、2 步做文章：看 SNI、看证书是否可信、看整体握手指纹像不像主流浏览器。Reality 的思路，正是让这几步都「借用」一个真实网站的表现，从而无懈可击。

Reality 做了什么

Reality（XTLS-Reality）换了思路：借用一个真实、可信的大网站的 TLS 握手。连接在握手阶段看起来就像在访问那个真实网站，因此：

  • 不需要自备域名和证书；
  • 握手特征来自真实站点，更难被识别；
  • 对抗“主动探测”有更好的表现。

对普通用户来说，这意味着在封锁较严的网络下，VLESS + Reality 往往更稳。

更进一步说，Reality 的关键动作是把握手「指向」一个真实存在的大网站（配置里叫 dest / SNI，通常是某个公认可信、流量巨大的站点）。当审查设备探测你的服务器时，服务器可以表现得就像那个真实网站；而真正的客户端因为握有服务端预先分享的一段密钥（类似「暗号」），能在握手里被服务端认出来并切换到代理通道。没有暗号的探测者，看到的只是一个普普通通的知名网站，无从下手。 这就是它比自建伪装站更难被「主动探测」揪出来的根本原因。

Reality 不是万能的

抗封锁强，不等于什么问题都能解决，也别对它有超出实际的期待：

  • 它不保证速度：Reality 只管「不被识别」，跑得快不快由线路和出口决定。
  • 它依赖借用的目标站点：所借用的网站要在你的网络里可达、且本身没被封，伪装才成立。
  • 它仍是明文之外的加密通道：安全性没问题，但如果服务端配置不当（比如暗号泄露、目标站选得不合适），伪装效果会打折。
  • 配置门槛在服务端：作为用户你碰不到这些，但也意味着不同机场做出来的 Reality 节点质量并不一样，仍需实测。

和其它协议的位置

方案是否需自备域名/证书伪装对象特点
Trojan需要自己的 HTTPS 站成熟、依赖证书
VLESS + TLS需要自己的 TLS轻量、看配置
VLESS + Reality不需要借用真实网站握手抗识别更强

更完整的协议对比见代理协议科普。

常见误解澄清

  • 「Reality 是一种协议」：更准确地说，它是一种传输层伪装方案，通常与 VLESS 这个协议搭配使用。协议管封装，Reality 管让握手看起来像正常网站。
  • 「用了 Reality 就绝对封不掉」：没有绝对。抗封锁是攻防动态博弈，Reality 目前表现优秀，但没有任何方案能一劳永逸。它只是把「被识别」的门槛抬得很高。
  • 「Reality 会更快」：不必然。它甚至可能因为多一层处理而略有开销，速度的决定因素始终是线路与出口带宽。
  • 「Reality 节点都一样好」：不对。目标站点选择、服务端配置、落地线路各不相同，不同机场的 Reality 节点体验差异可能很大。

作为用户你要做的

其实很少：

  1. 在机场订阅里选到标注 VLESS + Reality 的节点；
  2. 客户端自动完成握手与连接，无需你配置证书；
  3. 若你所在网络封锁较严、其它协议频繁被断，优先切到 Reality 节点试试；
  4. 遇到某个 Reality 节点连不上，别急着否定 Reality——可能是那个节点借用的目标站点在你这里不通，换同机场另一个 Reality 节点即可。

需要用到 Reality 的客户端，主流的 Clash 系、sing-box、Shadowrocket 等新版本都已支持，导入订阅即可，无需你手动填写握手参数。如果你用的客户端太老不识别 Reality 字段，升级到新版本通常就能解决。

抗封锁强不代表一定更快——速度、延迟仍取决于线路与出口，出口 IP 的质量见原生 IP 是什么。若遇到连接被重置，可参考 Connection reset by peer 排查。