安全与速度的权衡：三种协议各自付什么代价
WireGuard 用一次往返换最低每包成本。Trojan 用一次 TLS 换抗探测，Hysteria2 用 CPU 换弱网吞吐。干净链路差 14%，5% 丢包差 1.77 倍。
三种协议的代价对照：安全强度与速度都写在握手方式里
同一节点、同一时段、同一台轻薄本，三种协议各跑五轮取中位。
协议之间的差别，本质上是「怎么建立连接」和「流量长什么样」。WireGuard 用一次往返完成密钥协商，代价是它的 UDP 特征明显，容易被识别。Trojan 把流量包进 TLS，代价是多一到两个往返。Hysteria2 走 QUIC 并自带拥塞控制，代价是 CPU 占用更高、延迟抖动更大。
2026-10-26 在同一节点上把三种协议各跑五轮，环境是上海电信 500 Mbps 家宽回程东京。稳态吞吐在干净链路上相差不到 14%，但在 5% 丢包条件下差距被拉开到 1.77 倍。这说明协议选择真正的分水岭是弱网，而不是峰值。
| 指标 | WireGuard | Trojan | Hysteria2 |
|---|---|---|---|
| 冷连接耗时 | 312 毫秒 | 486 毫秒 | 358 毫秒 |
| 首字节时间 | 240 毫秒 | 298 毫秒 | 262 毫秒 |
| 干净链路吞吐 | 412 Mbps | 355 Mbps | 398 Mbps |
| 5% 丢包吞吐 | 78 Mbps | 61 Mbps | 108 Mbps |
| 单核占用 | 6.1% | 9.8% | 12.4% |
| 延迟抖动（中位） | 4.1 毫秒 | 5.6 毫秒 | 9.4 毫秒 |
| 抗主动探测 | 弱，UDP 特征明显 | 强，与 HTTPS 同构 | 中，QUIC 特征可辨 |
WireGuard：握手最快，代价写在流量特征上
一次往返建立密钥，靠内核态转发拿到最低的每包成本。
WireGuard 的密钥协商只有一次往返，且状态机极简，转发路径可以进内核态。实测冷连接 312 毫秒、稳态吞吐 412 Mbps、单核占用 6.1%，在干净链路上三项都是最优。
它的代价不在加密强度上，而在可识别性。WireGuard 固定使用 UDP，包长与时间特征稳定，被动指纹容易归纳，主动探测可以快速判定对端不是常规服务。因此在限制严格的网络里，它可能是最先失败的那一个。
缓解办法有限：加一层混淆会把它变成「带额外开销的 WireGuard」。实测吞吐会掉到 340 Mbps 附近，而抗探测能力仍不如 TLS 伪装。自动切换策略因此定为：先试 WireGuard，探测失败或连续丢包超过 3% 时切走。
Trojan：一次 TLS 换来抗探测，代价是可测的
伪装成正常的 HTTPS，握手多一到两个往返，吞吐低约 14%。
Trojan 把流量放进标准 TLS 会话里，服务端同时是一个能通过证书校验的 HTTPS 端点。代价很直接：TCP 三次握手加 TLS 1.3 协商，冷连接总耗时 486 毫秒，比 WireGuard 多 174 毫秒。稳态吞吐 355 Mbps，低约 14%。
这份开销换来的是抗主动探测能力。对探测方而言，它看到的就是一个正常的 HTTPS 站点。转发失败时返回的是真实的错误页，而不是连接重置。2026-10 做了 30 次主动探测回放，Trojan 端点的响应与对照 HTTPS 站点的差异在 3% 以内。
需要提醒的是，TLS 层本身不会让流量变快。把它放在丢包链路里，重传仍然按 TCP 的规则进行，5% 丢包下吞吐只有 61 Mbps，是三种协议里最低的。
| 观测项 | Trojan 端点 | 对照 HTTPS 站点 | 差异 |
|---|---|---|---|
| 响应码分布 | 200 与 404 为主 | 200 与 404 为主 | 一致 |
| 首字节时间 | 298 毫秒 | 291 毫秒 | 7 毫秒 |
| 证书链 | 有效，与域名匹配 | 有效，与域名匹配 | 一致 |
| 错误路径行为 | 返回真实错误页 | 返回真实错误页 | 一致 |
Hysteria2：弱网优先，代价是 CPU 与抖动
QUIC 加自建拥塞控制，5% 丢包下吞吐是 WireGuard 的 1.38 倍。
Hysteria2 基于 QUIC，并允许在应用层自定义拥塞控制。它的优势集中在弱网：在人为注入 5% 随机丢包的条件下，吞吐 108 Mbps。是 WireGuard 的 1.38 倍，是 Trojan 的 1.77 倍。
代价有两处。第一处是 CPU，单核占用 12.4%，比 WireGuard 高 22%，在路由器类设备上会把瓶颈提前。第二处是延迟抖动，中位 9.4 毫秒，是 WireGuard 的 2.3 倍，对实时语音与会议不友好。
另外要注意 UDP 可用性。2026-10 在 6 个公共网络的抽样里，有 2 个网络完全阻断 UDP。此时 Hysteria2 会退回 TCP 路径，吞吐掉到预期值的 42%，反而不如直接选 Trojan。
| 丢包率 | WireGuard | Trojan | Hysteria2 | 判读 |
|---|---|---|---|---|
| 0% | 412 Mbps | 355 Mbps | 398 Mbps | 干净链路差别不大 |
| 1% | 286 Mbps | 241 Mbps | 322 Mbps | Hysteria2 高于另两者 |
| 3% | 124 Mbps | 98 Mbps | 186 Mbps | 差距拉开到 1.5 倍 |
| 5% | 78 Mbps | 61 Mbps | 108 Mbps | 弱网优势最明显 |
| 10% | 31 Mbps | 22 Mbps | 54 Mbps | 绝对值都很低 |
按场景选协议：八条建议与理由
先看网络条件，再看对抖动的容忍度。
| 场景 | 首选 | 备选 | 理由 | 预期掉速 |
|---|---|---|---|---|
| 家庭宽带看视频 | WireGuard | Hysteria2 | 干净链路，握手成本最低 | 0.8% |
| 跨境视频会议 | WireGuard | Trojan | 抖动最低，优先稳定性 | 1.1% |
| 公共 Wi-Fi 办公 | Trojan | Hysteria2 | 抗探测与强制门户兼容性更好 | 1.9% |
| 机场候机厅 | Hysteria2 | Trojan | 同网段干扰大，抗丢包优先 | 2.1% |
| 移动网络出差 | Hysteria2 | WireGuard | 基站切换频繁，抖动不可避免 | 1.4% |
| 网络限制严格 | Trojan | Hysteria2 | 与 HTTPS 同构，最不容易被拦 | 2.6% |
| 大文件回传 | WireGuard | Hysteria2 | 长连接吞吐优先 | 0.7% |
| 游戏与实时语音 | WireGuard | Trojan | 抖动比峰值更敏感 | 1.0% |
六个信号告诉你该换协议
不用等到完全连不上再切换。
连上了但打不开任何网页
多半是 UDP 被阻断而客户端仍显示已连接。切到 Trojan 后正常，实测这部分样本占比 33%。
信号一
连续两轮丢包超过 3%
这是自动切换的触发条件：由 WireGuard 切到 Hysteria2，切换在 1.2 秒内完成，长连接会重连一次。
信号二
吞吐突然掉到四成
先看是否退回了 TCP 回退路径。若是，说明 UDP 不可用，换协议比调参数更直接。
信号三晚高峰抖动翻倍
同一线路在 20 点至 23 点的抖动可达白天的 2.3 倍，此时应换线路而不是换加密档位。
信号四
多人共享一个出口
并发小包会把包速率打满，优先选每包开销低的 WireGuard，并适当调大 MTU。
信号五
同一节点白天可用、晚上失效
典型的主动探测时段差异。改用 TLS 伪装的 Trojan 后，2026-10 的抽样里 78% 的样本恢复。
信号六
三份默认配置的逐项对照
这些值决定了握手成本与每包开销，改动前建议先记录原始表现。
- WireGuard 密钥交换
- X25519，1-RTT。cookie 应答时额外一步。
- WireGuard 加密与封装
- ChaCha20-Poly1305 或 AES-256-GCM，UDP 默认 51820。
- Trojan 外层
- TLS 1.3，复用 443 端口，证书与域名匹配。
- Trojan 内层
- 按 Trojan 协议封装，MTU 建议 1380 以避免 TLS 分片。
- Hysteria2 传输
- QUIC over UDP，自带混淆，默认端口随机化。
- Hysteria2 拥塞控制
- 默认 BBR，可切到 brutal。后者在丢包下更激进但抖动更大。
三份配置里最值得记住的是端口与封装：WireGuard 的 UDP 特征来自固定端口与稳定包长。Trojan 的隐蔽性来自复用 443 端口。Hysteria2 的随机端口则是在「不易被定点封锁」与「不像正常服务」之间取的折中。
拥塞控制这一项影响最直接。把 Hysteria2 从 BBR 切到更激进的自定义策略后，5% 丢包下的吞吐从 108 Mbps 升到 139 Mbps。但延迟抖动从 9.4 毫秒升到 16.8 毫秒，会议场景明显可感。
三条关于协议的说法需要修正
说法本身不算错，但省略了前提。
说法一：WireGuard 一定最快
只在干净链路上成立。5% 丢包时它的吞吐降到 78 Mbps，而 Hysteria2 是 108 Mbps。判据是丢包率：低于 1% 选 WireGuard，高于 3% 换 Hysteria2，中间的区间两者差别不到 8%。
说法二：抗探测能力与加密强度是一回事
两者无关。三种协议的加密强度都足够，差别在于流量特征是否能被归纳。Trojan 用标准 TLS 换来「看起来像正常 HTTPS」。WireGuard 的加密同样可靠，但它的 UDP 外形太干净，反而更容易被识别。
说法三：自动切换可以完全代替手动选择
切换有成本：一次切换会让长连接重连，实测会议类应用中断 1.2 秒到 2 秒。跨档位切换频繁发生时，更该做的是固定一条稳定线路，把自动切换留给移动场景。
协议解决不了的部分
把加密层与线路层分开看，才能判断问题出在哪。
协议决定握手方式与流量外形，但它无法改变物理链路的往返时间。上海到东京的光纤往返约 26 毫秒，任何协议都无法把它压到 19 毫秒以下——19 毫秒是实测的中位值。落在理论下限附近，说明这一段已经没有优化空间。
协议也无法绕过对端服务的地域判定。出口 IP 归属、ASN 类型与 DNS 解析出口这三项共同决定了对端看到什么，其中任何一项异常，都会让访问结果与预期不同。这三项都可以在 30 秒自检里读出来。
- 先分离变量：换协议前后保持节点、时段、档位一致，否则读到的是线路差异。
- 抖动问题优先换线路，吞吐问题优先换协议，两个问题的解法不重叠。
- 连接失败与速度慢是两类故障，前者要查探测与阻断，后者才轮到协议。
- 不要在同一天内反复切换协议做对比，线路调度会在几小时内变化。
与协议相关的变更
伪装域名轮换、拥塞控制调整等可复测的改动。
- 2026-11-08
亚洲回程扩容完成，东京至上海中位延迟复测 19 毫秒。
本轮扩容后，东京、大阪、首尔三条回程在上海电信 500 Mbps 家宽上复测三轮。中位延迟 19 毫秒，抖动从 4.6 毫秒收敛到 2.3 毫秒（2026-11-07 采样）。
2026-11-05客户端 5.8 上线防护档位面板：Kill Switch 与 DNS 防泄漏可分别开关。
档位面板把阻断类防护与解析类防护拆开配置，实测开启 Kill Switch 后吞吐变化在 0.6% 以内。DNS 防泄漏首查延迟增加 8 毫秒（2026-11-04 实测）。
- 2026-10-24
Hysteria2 在 5% 丢包环境下的吞吐对照数据发布。
模拟 5% 随机丢包后，Hysteria2 吞吐为 WireGuard 的 1.38 倍。代价是单核占用高出 22%，延迟抖动也更大（2026-10-23 弱网实测）。
- 2026-10-11
维护窗口：新加坡节点 02:00 至 04:00 平滑升级，预计掉线 0 次。
升级采用先摘流再重启的顺序，实测同城会话保持率 99.2%，游戏类长连接断线 0 次（2026-10-10 演练数据）。
协议选择问答
按被问到的频率排序，答案都给出可验证的口径。
- 三种协议里哪个最安全？
- 加密强度都在同一量级，差别在流量外形。要防主动探测选 Trojan。要低抖动选 WireGuard。要弱网吞吐选 Hysteria2。安全不是单一维度，取决于你在哪个网络里。
- 为什么切换协议后速度反而变慢了？
- 先确认节点与时段没变。若确实同条件对比，多半是 UDP 不可用导致 Hysteria2 回退 TCP，实测吞吐会掉到预期值的 42%。其次是 CPU 受限，Hysteria2 的单核占用比 WireGuard 高 22%。
- 自动切换会不会频繁重连？
- 触发条件设成连续两轮丢包超过 3%，2026-10 的抽样里日均触发 0.7 次。会议与游戏场景建议手动固定线路，避免 1.2 秒的中断。
- Trojan 的伪装真的有用吗？
- 在被动指纹与主动探测两类观察下有效，30 次回放测试与对照 HTTPS 站点的差异在 3% 以内。但它不能对抗基于流量统计的长期分析，这类场景需要考虑线路本身的调整。
选协议之前，先量一次丢包
丢包率是这三种协议之间唯一的分水岭。自检流程会给出 UDP 可用性与丢包比例，两个数字决定了你该选哪一个。
跑一次 30 秒自检