同线路交替实测：256 位与 128 位差 3.9%
五轮交替，每轮 60 秒，同一节点同一时段，避免把时段波动读成加密成本。
结论放在最前面。在支持 AES-NI 的设备上，AES-256-GCM 与 AES-128-GCM 的吞吐差为 3.9%。延迟差 0.7 毫秒。这个差距来自轮数：10 轮对 14 轮，而现代处理器把每轮压缩到十几个时钟周期，因此差距被限定在一个很小的区间内。
测量方式是把两种档位交替跑五轮，A 档跑 60 秒，B 档跑 60 秒，再回到 A 档，全程固定节点与时段。2026-10-29 22:10 至 22:40 这一轮的结果是：256 位档平均 412.6 Mbps。128 位档平均 429.4 Mbps，两者相差 16.8 Mbps。
如果只在白天测一次，很可能读到相反的结果。同一线路在晚高峰的波动可达 9%，远大于加密档位带来的 3.9%，这也是坚持交替测量的原因。
| 指标 | AES-256-GCM | AES-128-GCM | 差值 | 判读 |
|---|---|---|---|---|
| 下行吞吐 | 412.6 Mbps | 429.4 Mbps | 低 3.9% | 落在加密成本区间内 |
| 上行吞吐 | 386.2 Mbps | 401.8 Mbps | 低 3.9% | 上下行同步变化 |
| 延迟中位 | 19.4 毫秒 | 18.7 毫秒 | 高 0.7 毫秒 | 单次往返差小于 1 毫秒 |
| 延迟 95 分位 | 27.1 毫秒 | 26.4 毫秒 | 高 0.7 毫秒 | 尾部未放大 |
| 单核占用 | 8.2% | 6.1% | 高 2.1 个百分点 | 轻薄本上的可感差异 |
| 连接建立 | 312 毫秒 | 309 毫秒 | 高 3 毫秒 | 握手不随轮数线性增长 |
6% 拆成四段：加密只占其中 2.4 个百分点
把整链路开销拆开看，才能知道调哪一段有用。
很多人把 6% 全部记在加密头上。实际拆开是四段：握手与密钥协商 1.1%、对称加解密 2.4%、封装与完整性校验 1.5%、重传与拥塞补偿 1.0%。也就是说，即使把加密换成 128 位甚至临时关闭，能省下的也只有 2.4 个百分点附近，而代价是明文暴露。
第三段值得单独说明。GCM 的认证标签固定 16 字节，IPv4 头 20 字节，UDP 头 8 字节，握手封装再占一层。这些按包计的字节决定了 MTU 调整的空间。把 MTU 从 1380 提到 1420 之后，同一线路的吞吐回升 1.1%。但部分老旧的中间设备会丢弃分片，因此默认值没有改动。
| 分段 | 占可用带宽 | 随什么变化 | 压缩手段 | 压缩后实测 |
|---|---|---|---|---|
| 握手与密钥协商 | 1.1% | 重连频率、RTT、轮换周期 | 延长空闲断开时间 | 可降到 0.6% |
| 对称加解密 | 2.4% | 轮数、AES-NI 是否可用 | 确保硬件加速启用 | 可降到 0.9% |
| 封装与完整性校验 | 1.5% | 包长分布、MTU | MTU 调到 1420 | 可降到 1.2% |
| 重传与拥塞补偿 | 1.0% | 丢包率、抖动 | 换线路而非调参数 | 弱网下反而升高 |
硬件加速：同一份配置在四类设备上差 11 倍
没有 AES-NI 的设备，加解密会从 2.4% 涨到两位数百分比。
加密开销不是一个常数，它强依赖处理器。2026-10 以同一份配置在四类设备上各跑满速下载 60 秒，记录单核占用与稳态吞吐：支持 AES-NI 的轻薄本占用 3.4%。同款机器限频到 1.2 GHz 后占用 11.8%，五年前的入门路由器占用 38.2%，中端安卓手机占用 9.1%。
到第四类设备时，瓶颈已经从加密换成了主频。路由器那一档的稳态吞吐只有 92 Mbps，即使线路本身能跑到 400 Mbps 以上。此时把加密降到 128 位，吞吐回升 6.8%，但单核占用仍然在 30% 以上，说明瓶颈并未真正解除。
| 设备类别 | 是否支持 AES-NI | 单核占用 | 稳态吞吐 | 瓶颈判断 |
|---|---|---|---|---|
| 轻薄本（近三年） | 支持 | 3.4% | 438 Mbps | 线路带宽 |
| 同款限频 1.2 GHz | 支持 | 11.8% | 309 Mbps | 主频 |
| 五年前入门路由器 | 不支持 | 38.2% | 92 Mbps | 软件加解密 |
| 中端安卓手机 | 支持 | 9.1% | 271 Mbps | 无线与调制解调 |
| 企业级迷你主机 | 支持 | 2.8% | 461 Mbps | 线路带宽 |
- 先确认硬件加速是否真的启用：部分系统在虚拟化或省电模式下会关闭 AES 指令集。
- 路由器上跑客户端时，优先看单核占用而不是总占用，加密只跑在一个核上。
- 手机端限制多来自射频与调制解调，加密占用通常不是瓶颈。
- 同一台机器插电与用电池的表现可能差一倍，省电模式会降频。
六种常见的参数误配
这些设置不会报错，只会让开销比实测值高出一截。
硬件加速被系统关掉
虚拟化平台与部分省电模式会屏蔽 AES 指令集，面板上看不出异常，单核占用却从 3.4% 涨到 21.7%。
设备
包速率上限过低
多个终端共享一个出口时，小包场景会把包速率打满。限到 8 万包每秒后，实测吞吐下降 14%。
并发
把防护档位当加密档位
防护档位管的是阻断与解析，不改变加密强度。把它当成加密开关会白掉 2.1% 的吞吐而不提升任何加密强度。
概念
空闲断开时间过短
把空闲断开从 10 分钟改成 2 分钟之后，握手段占比从 1.1% 升到 3.2%，在移动网络下更明显。
握手
跨节点比较加密成本
换了节点再对比两个档位，读到的其实是线路差异。2026-10 的复测里，跨节点差异可达 9%，是加密差的 2.3 倍。
测量
在公共网络上测量
同一网段的其他终端会争抢上行，实测波动可达 15%。要测加密成本，请回到可控网络。
环境
加密强度自测：六步拿到自己的数字
不依赖任何外部工具，用客户端内置面板与系统命令即可复现。
- 第一步 · 记录基线2 分钟。
关闭加速，在同一网络跑三次测速，取中位数。这一步决定了后面所有百分比的参考点。
- 第二步 · 固定节点与协议1 分钟。
选同一城市同一节点，协议固定为 WireGuard，避免自动切换在测量中途改变条件。
- 第三步 · 打开性能面板30 秒。
面板会显示当前吞吐、单核占用与包速率。包速率比吞吐更能反映加解密压力。
- 第四步 · 切换加密档位3 分钟。
在 256 位与 128 位之间交替各跑 60 秒，共五轮。只看单轮结果容易读到相反结论。
- 第五步 · 对比单核占用1 分钟。
若两档占用都低于 15%，说明加密不是瓶颈。若接近 80%，应优先换设备而不是降档。
- 第六步 · 记录并复测10 分钟后。
把结果与时段一起记下，间隔 10 分钟再跑一轮，两次差异超过 5% 时以两次中位为准。
一份可复现的测量记录
把原始表格抄下来，换一台设备重跑，就能验证本文的所有结论。
下面是 2026-10-29 那次交替测量的原始记录，压缩成六行。左列是轮次，右两列分别是两个档位的吞吐中位数。可以看到第 3 轮出现了本轮最低值，原因是同网段有人开始上传大文件，因此该轮在统计时被标记为异常并保留。
记录时建议把异常也留下。删掉异常值会让结果看起来更整齐，但会掩盖环境中真实存在的干扰，而这类干扰恰恰是读者复现时最常遇到的差别来源。
| 轮次 | AES-256-GCM | AES-128-GCM | 备注 |
|---|---|---|---|
| 第 1 轮 | 415.2 Mbps | 431.7 Mbps | 环境正常 |
| 第 2 轮 | 408.9 Mbps | 426.3 Mbps | 环境正常 |
| 第 3 轮 | 397.4 Mbps | 411.8 Mbps | 同网段上传干扰 |
| 第 4 轮 | 414.6 Mbps | 430.2 Mbps | 环境正常 |
| 第 5 轮 | 426.9 Mbps | 447.0 Mbps | 基线时段，干扰最小 |
| 中位 | 412.6 Mbps | 429.4 Mbps | 差 3.9% |
- 每轮之间留 15 秒空闲，让连接重新稳定，避免上一轮的拥塞窗口影响下一轮。
- 异常轮次保留但标注，统计时用中位而不是均值，中位对单点异常更稳。
- 同一批测量尽量在一天内完成，跨天比较会引入线路调度变化。
- 记录时写下环境与时间，这两项决定了结论能否被别人复现。
- 如果没有条件做五轮，至少做三轮，并把时段写在结论旁边。
四个参数的取值与影响
改动前先记录原始表现，改完按同一口径复测。
- 加密档位
- AES-256-GCM 为默认。仅在无硬件加速的旧设备上考虑 128 位。
- 密钥轮换
- 默认 2 小时。压到 30 分钟会让握手占比从 1.1% 升到 2.6%。
- MTU
- 默认 1380。调到 1420 时吞吐回升 1.1%，老网络可能分片。
- 包速率上限
- 默认不限制。限到 8 万包每秒后，小包场景吞吐下降 14%。
- 硬件加速
- 默认开启。关闭后单核占用从 3.4% 升到 21.7%。
- 空闲断开
- 默认 10 分钟。缩短会放大握手成本，移动端不建议低于 5 分钟。
三条关于加密的误读
每一条都给出可推翻它的实验条件。
误读一：256 位是 128 位的两倍开销
轮数从 10 到 14，不是两倍关系。交替五轮实测的吞吐差是 3.9%，延迟差 0.7 毫秒。只有在完全没有硬件加速的设备上，这段差距才会放大到两位数百分比，而那类设备的瓶颈本来就不在加密档位。
误读二：加密开销会随带宽线性扩大
开销的四个分段里，只有握手段与连接频率线性相关，其余三段按包数与包长计算。把带宽从 100 Mbps 提到 400 Mbps 时。实测开销占比从 7.1% 降到 6.2%，因为包变大、单位流量的头部占比变小。
误读三：关掉完整性校验能提速
GCM 的认证标签只有 16 字节，关掉后实测吞吐回升 0.4%，在噪声边缘。代价是校验缺失，中间设备改写内容无法被发现。一次对照里出现过两次内容被改写，因此这个选项没有开放。
与加密相关的变更记录
只列可复测的项，活动与推广不记入。
- 2026-10-30
加密开销报告更新：AES-256-GCM 与 AES-128-GCM 同线路吞吐差 3.9%。
同一节点、同一时段交替跑五轮，256 位比 128 位吞吐低 3.9%。延迟差 0.7 毫秒，与理论开销的比例相符（2026-10-29 实测，样本 5 轮）。
- 2026-10-24
Hysteria2 在 5% 丢包环境下的吞吐对照数据发布。
模拟 5% 随机丢包后，Hysteria2 吞吐为 WireGuard 的 1.38 倍。代价是单核占用高出 22%，延迟抖动也更大（2026-10-23 弱网实测）。
- 2026-10-18
公共网络自检改为端内 30 秒流程，新增出口 IP 归属显示。
自检流程从六步收敛为一次点击，全程 30 秒内出结果，并直接显示出口 IP 的注册地与 ASN 归属。便于判断是否走本地直连（2026-10-17 版本）。
2026-09-29DNS 防泄漏判定规则调整，区分解析污染与线路故障。
新规则把解析结果分成三类：返回错误 IP、超时无响应、返回正确但归属异常。实测误报率从 11% 降到 2.4%（2026-09-28 回归测试）。
加密开销问答
问题按被问到的频率排序。
- 为什么我的开销是 12%，而文章里写 6%？
- 先看设备是否支持 AES-NI，再看是否在省电模式下运行。2026-10 的抽样里，开销超过 10% 的样本全部命中这两个条件之一。若设备正常而开销仍偏高，多半是小包占比过高，需要检查是否在跑大量短连接。
- 换成 128 位能省多少？
- 在支持硬件加速的设备上约 3.9% 的吞吐，延迟差 0.7 毫秒。在没有硬件加速的设备上可达 6.8%，但单核占用仍在 30% 以上，瓶颈没有解除。
- 自测需要跑多久？
- 一轮完整交替约 6 分钟，加上基线与复测共 15 分钟左右。低于 3 分钟的测量不足以覆盖线路抖动，结论不可靠。
- 为什么晚高峰的数字更差？
- 晚高峰的线路波动可达 9%，远大于加密档位造成的 3.9%。要判断加密成本，必须在同一时段交替测。跨时段对比得到的是线路曲线，不是加密曲线。
先量一次，再谈取舍
把自己设备的基线记下来，再看防护档位与协议选择。没有基线，任何「掉速多少」都是别人的数字。
看四档防护的实测掉速