VMess・VLESS・Trojan・Shadowsocksを比較｜用途別プロキシプロトコルの選び方

1. 4つのプロトコルの違い：認証・暗号化・外側の保護

4つのプロトコルを単純に新旧で並べることはできません。VMessとShadowsocksにはデータの暗号化機能があります。一方、一般的なVLESS設定ではプロトコル層でペイロードを暗号化しないため、外側に安全な通信路が必要です。Trojanの一般的な構成はTLSに依存します。安全性を比較するときはプロトコルと外側の保護をセットで考え、保護のないVLESSと暗号化されたVMess接続をそのまま比べないでください。

VMessのalterId: 0は、現在のAEAD設定でよく使われる互換用フィールドです。暗号化されていないという意味ではありません。Shadowsocksも「SS対応」というだけでは不十分です。従来のAEAD方式と2022シリーズでは、鍵の形式やコアのバージョン要件が異なります。コアが暗号化方式を認識しない場合、表示名を変更しても解決しません。

2. 用途に応じた選び方：まずサーバー側の条件を確認

サブスクリプションを利用するだけなら、通常は自分でプロトコルを変更する必要はありません。VMessサーバーのノード種別をVLESSに変えても、接続できるようにはなりません。自分で構築する場合は、証明書管理、ポート開放、トランスポート対応、クライアントのバージョンを含めて選びましょう。以下の推奨は、新規構築で両端を管理でき、対応する設定を利用できる場合のものです。あらゆるネットワーク環境における速度ランキングではありません。

3. 接続時の負荷と速度：常に最速のプロトコルはない

接続時の負荷は新規接続の確立時間に影響します。一方、継続的な通信速度は、回線帯域、パケットロス、サーバー負荷、端末性能に左右されます。TCP接続、TLSハンドシェイク、WebSocketのHTTP Upgradeはいずれも追加の通信往復が発生する場合があります。接続の再利用やTLSセッション再開の有無によっても実際の所要時間は変わるため、4つのプロトコルに一律のミリ秒値を当てはめることはできません。

一般的な設定のVLESSではプロトコル層のペイロード暗号化を重ねて行いませんが、それだけであらゆるVMessやShadowsocksのノードより速いとは限りません。異なるデータセンターや出口を使うノード同士の比較では、結果に回線の違いが大きく反映されます。Visionも「有効にすれば帯域が2倍になる」機能ではありません。役割と適用条件は、コアのドキュメントと両端の設定を確認してください。

1. 測定条件をそろえる。可能な限り同じサーバー、出口、テスト先を使います。条件をそろえられない場合は、結果をノードの使用感の比較にとどめ、プロトコル自体の差と結びつけないでください。
2. 接続確立とダウンロードを分けて測る。初回応答時間を記録し、30秒以上の継続転送で平均速度を確認します。1回の遅延テストだけでは、動画や大容量ファイルの使用感は判断できません。
3. 各条件で3回測定する。中央値を使い、測定時刻、接続の再利用の有無、バックグラウンドダウンロードの有無を記録します。最良の結果だけでなく、失敗回数も残してください。
4. ルーティング条件をそろえる。測定対象の通信が実際にテスト中のアウトバウンドを通っているか確認します。直結ルールに一致した通信の速度は、プロキシ接続の測定結果ではありません。

多重化も個別に評価してください。短時間の接続で負荷を減らせることがありますが、相性の悪い構成やパケットロスの多い環境では、接続同士の影響が大きくなる場合もあります。まずはクライアントとサーバーで動作確認済みの設定を維持し、問題が明確になってから個別に変更しましょう。プロトコル、多重化、DNSの設定を一度に変えるのは避けてください。

4. TLS・REALITY・トランスポート：それぞれ別の設定項目

TLSは通信路を保護し、サーバーの身元を検証します。WebSocketはトランスポートの一種です。REALITYはXrayが提供するセキュリティ機構で、5つ目のプロキシプロトコルではありません。TCP、WebSocket、セキュリティ層はそれぞれ異なる設定項目です。サーバー側がTCP + REALITYを指定している場合、WebSocket + TLSに変更しても接続できるとは限りません。

• TLS：serverNameと証明書のドメインが一致しているか確認してください。接続先にIPアドレスを使う場合でも、証明書の検証には正しいサーバー名が必要です。SNIとWebSocketのHostも別の項目です。
• REALITY：サーバーの公開鍵、shortId、許可されているserverName、フィンガープリントの設定を確認してください。公開鍵はサーバーの鍵に対応するもので、ウェブサイトの証明書から任意の文字列を抜き出すものではありません。
• Vision：一般的なflow値はxtls-rprx-visionです。サーバーとトランスポートの組み合わせが対応している場合に限り設定してください。すべてのVLESSノードに一律で追加してはいけません。
• WebSocket：パスは大文字・小文字や先頭のスラッシュも含めて一致させてください。HTTP 404やハンドシェイクエラーが返る場合は、UUIDを変更する前にリバースプロキシの転送設定とパスを確認しましょう。

以下はXray JSONにおけるVLESS + TCP + TLSのアウトバウンド設定例です。example.netはドキュメント用の例示ドメインで、UUIDもサンプル値です。この設定で接続可能なノードを提供するものではありません。実際にはサーバーから割り当てられたアドレス、認証情報、証明書のドメインを使用してください。REALITYノードにこのTLS設定をそのまま適用することはできません。

{
  "outbounds": [
    {
      "tag": "proxy",
      "protocol": "vless",
      "settings": {
        "vnext": [
          {
            "address": "example.net",
            "port": 443,
            "users": [
              {
                "id": "6e7d180b-486c-4f4a-89c4-574ca70b83d2",
                "encryption": "none"
              }
            ]
          }
        ]
      },
      "streamSettings": {
        "network": "tcp",
        "security": "tls",
        "tlsSettings": {
          "serverName": "example.net",
          "allowInsecure": false
        }
      }
    }
  ]
}

ここに示すoutboundsはアウトバウンドのみの設定で、ローカルのインバウンドやルーティングは含まれていません。v2rayNでノードを管理する場合は、ノード編集画面でパラメーターを設定してください。クライアントが生成した実行時設定を直接上書きすると、次回の起動時やサブスクリプション更新時に再生成される可能性があります。各項目の役割はJSON設定ガイドを参照してください。

5. クライアントとコア：同じ名称でも対応構成は異なる

v2rayNはデスクトップクライアントです。利用できるプロトコル機能は、実際に呼び出すコアとそのバージョンによって異なります。Android版のv2rayNGはXrayコア、v2flyNGはV2Flyコアを使用します。Project V、V2Fly、Xrayには技術的なつながりがありますが、各プロジェクトの設定項目や拡張機能が同じとは限りません。特にREALITY、Vision、新しいトランスポートでは注意が必要です。

サブスクリプションリンクはノードの設定を配布する手段であり、5つ目のプロキシプロトコルではありません。正常にインポートできても、サブスクリプション形式の変換で拡張項目が失われる場合があります。「同じノードが一方のクライアントでは使え、別のクライアントでは使えない」場合は、プロトコル、ポート、トランスポート、セキュリティ層、SNI、flow、認証情報を順に比較し、コアの対応機能に差があるか判断してください。

6. ポート・UDP・ルーティング：接続の各段階を切り分ける

サーバー側のポート、ローカルプロキシのポート、アプリが接続する宛先ポートは、それぞれ役割が異なります。以下の3つの数字は設定箇所を見分けるための例で、すべてのノードに共通する初期値でも、性能を推奨する値でもありません。実際の待受アドレスとポートは、クライアントの現在の設定を確認してください。

サーバーのポートを443にしても、TLSが自動的に有効になるわけではありません。プロトコルのハンドシェイクとセキュリティ層を正しく設定する必要があります。また、ブラウザーからローカルのSOCKSポートに接続する段階と、クライアントがリモートの443番ポートに接続する段階は別です。システムプロキシが適用されるのは、その設定に従うアプリだけです。すべての通信がプロキシを経由している証明にはなりません。

• ウェブサイトは使えるが、リアルタイムアプリは使えない：アプリがプロキシを経由しているか、クライアントのインバウンド、リモートのアウトバウンド、ファイアウォールのすべてでUDPが許可されているか確認してください。
• ドメインには接続できないが、一部のIPアドレスには接続できる：プロトコルが不安定だと決めつけず、DNSの問い合わせ経路、名前解決の結果、ルーティングルールを確認してください。
• 一部のサイトでローカル回線からのアクセスと表示される：直結ルールに一致していないか確認してください。VMessからVLESSに変更しても、ルーティング方針は自動で変わりません。

7. よくある質問：インポート後に接続できない場合