VLESS 负责请求格式与用户认证，REALITY 负责外层安全握手，XTLS Vision 负责识别流量并优化转发。本文面向已经导入节点、希望理解配置字段与性能差异的用户，按握手、证书验证、流控和客户端设置依次解释，并给出连接失败时应核对的参数。性能结论以机制和适用条件为边界，不把协议名称等同于实际网速。
VLESS、REALITY、Vision 分别负责什么
这三个名字不是三种互相替代的协议。常见的“VLESS + REALITY + Vision”是一组分层组合：VLESS 描述代理请求，REALITY 提供传输安全，Vision 是 VLESS 使用的一种流控。客户端界面把它们放在同一个节点编辑窗口里，容易让用户误以为只要选中 REALITY，Vision 就必然生效。
| 层次 | 主要职责 | 核对位置 |
|---|---|---|
| VLESS | 携带用户标识、目标地址、目标端口与请求类型 | 协议、UUID、encryption |
| REALITY | 完成带认证机制的 TLS 风格握手与安全传输 | security、SNI、公钥相关参数、shortId |
| XTLS Vision | 处理初始填充、识别内层 TLS，并在符合条件时优化转发 | flow = xtls-rprx-vision |
| TCP | 承载底层可靠字节流 | 传输类型与服务器监听端口 |
VLESS 的 encryption 通常为 none。这里的“无加密”仅指 VLESS 协议自身不再额外加密载荷，不代表整个连接以明文经过网络。在本文组合中，外层安全由 REALITY 提供；浏览器访问 HTTPS 时，应用本身还会建立到目标网站的 TLS 连接。
客户端和内核也需要分开理解。v2rayN 是桌面客户端，运行节点时要选择支持相应功能的内核；v2rayNG 使用 Xray 内核。v2flyNG 使用 V2Fly 路线内核，不能仅因为界面也能填写 VLESS，就推断它可以运行同样的 REALITY 与 Vision 组合。
REALITY 握手与“证书借用”的实际含义
普通 TLS 代理通常由服务器提供域名证书，客户端验证证书链与域名。REALITY 改变了这一部署与认证方式：服务端配置一个目标站点，客户端携带 SNI、指纹以及 REALITY 所需的认证参数，服务端区分有效客户端与其他连接。
“证书借用”是便于理解的概括，不是把目标站点的私钥复制到代理服务器。对于通过认证的连接，REALITY 使用自己的密钥与验证机制生成、验证临时证书；未通过认证等情况下，连接可以按机制转交给配置的目标站点，呈现该站点的正常 TLS 行为。具体处理还受服务端配置与实现版本影响。
因此，客户端并不是取消所有验证后接受任意证书。客户端持有的服务端公钥相关参数参与认证，短标识用于匹配服务端允许的客户端参数，SNI 必须符合服务端接受的名称。把“证书看起来来自目标站点”理解为“随便填一个域名即可”，会直接导致握手失败。
REALITY 的常见部署依赖合适的 TLS 1.3 目标站点。目标能否从服务器正常访问、SNI 是否在允许列表内、客户端时间是否偏差过大，都会影响握手。发生错误时，应先检查这些确定条件，再讨论更换指纹是否有意义。
XTLS Vision 如何减少重复加密与封装
浏览器访问 HTTPS 时，浏览器到网站已经有一层 TLS。如果代理再把这些 TLS 密文完整包进另一层 TLS，网络上就会出现常说的“TLS 套 TLS”。它仍然可以工作，但外层记录封装、加解密和缓冲处理都需要资源。
Vision 不是看到任意数据就停止加密。它会处理连接开头的流量与填充，并识别内层 TLS 的握手和记录特征。在实现判定满足条件后，特别是适合直接转发的内层 TLS 1.3 流量，可以切换到更直接的转发路径，减少对已有密文的重复处理。
- 连接起始阶段：仍然需要认证、VLESS 请求与流量识别，不能理解为完全跳过外层握手。
- 符合条件的 HTTPS 流量：应用侧 TLS 继续保护网站内容，Vision 主要减少外层重复处理，而不是解密浏览器到网站的业务数据。
- 不符合条件的流量：不能简单照搬直接转发路径，仍需要相应的安全封装与协议处理。
- 转发实现：在系统和连接条件允许时还可能利用更高效的转发机制；这不等于每个平台、每次连接都采用相同路径。
这解释了为何 CPU 较弱、并发较多或持续传输时，降低重复加密可能更有价值。不过，Vision 不会改变服务器的出口带宽，也不会把拥塞链路变成低延迟链路。若瓶颈在跨网丢包和线路排队，节省本机加密开销未必能反映为明显的下载速度变化。
判断：把握手耗时与持续吞吐分开测
对比时固定服务器、目标网站和测试时段，分别记录首次请求耗时、持续下载速度与客户端 CPU 占用。只有吞吐提高而首次请求变化很小，通常更符合转发与加密开销减少的表现，不能直接归因为“少了一次网络往返”。
配置字段：端口、SNI、短标识与 flow
节点能否运行，取决于客户端与服务端参数是否成套匹配。先从服务提供方取得完整配置，再检查客户端的导入结果。下列数字是协议或配置边界，不是本站的性能测试结果；其中 443 是常见部署端口，并非 REALITY 的唯一合法端口。
协议与传输
- 协议
- VLESS
- encryption
- none
- 传输
- TCP，部分新版配置称为 RAW
- security
- reality
- flow
- xtls-rprx-vision
这些选项描述本文组合，不构成可以直接连接的完整节点。
认证与握手
- 地址与端口
- 使用服务提供方给出的连接入口
- UUID
- 对应服务端 VLESS 用户
- SNI
- 匹配服务端允许的 serverNames
- 公钥相关参数
- 由服务端 REALITY 密钥配置提供
- shortId
- 匹配服务端 shortIds 中的值
公钥参数在不同版本中的界面或配置字段名称可能变化，应以当前内核文档与订阅格式为准。
shortId 使用十六进制表示，非空值的字符数应为偶数，最多 16 个字符，对应最多 8 字节。空值能否使用取决于服务端是否允许空短标识。它不是 UUID 的缩写，也不能根据节点名称自行生成；最稳妥的操作是保留订阅下发的原值。
SNI 与服务器地址也不是同一个概念。地址用于确定实际连接的主机，SNI 用于握手中声明服务器名称；节点地址可以是 IP，而 SNI 是配置允许的域名。不要因为地址不同，就把 SNI 改成服务器 IP，也不要通过跳过证书验证来掩盖认证参数错误。
v2rayN 设置与连接验证顺序
配置检查应沿着“导入正确、内核可用、握手成功、代理生效”的顺序进行。仅看到节点列表中有延迟数字，不能证明 REALITY 认证成功；普通 TCP 探测最多说明对应端口在某种程度上可达。
- 检查节点内容。在 v2rayN 节点列表中双击目标节点，核对协议为 VLESS、安全选项为 REALITY、流控为
xtls-rprx-vision。界面分组名称可能随版本变化，但这些字段的含义不变。 - 检查运行内核。打开「设置」→「参数设置」，查看核心相关选项，确认该节点实际交给支持 REALITY 与 Vision 的 Xray 内核运行。不要只根据客户端安装包名称判断功能支持。
- 检查本地监听。在同一设置入口核对本地代理端口。例如实际监听为
127.0.0.1:10808时，外部测试工具必须使用这个地址；如果已改端口，应同步调整测试命令。 - 执行真连接测试。选中节点后使用节点列表菜单中的真连接延迟测试，观察核心日志。认证错误、公钥参数错误和连接超时需要分别处理，不能一律归为“节点慢”。
- 验证应用路径。启用系统代理，再访问 HTTPS 页面。还可以给命令行显式指定 SOCKS 代理，排除应用没有读取系统代理设置的情况。
下面的命令仅适用于本地 SOCKS 入口确实监听在 10808 的情况。socks5h 让域名交由代理端处理，避免本机 DNS 解析结果干扰这一轮测试。返回状态码能帮助确认请求是否完成，但不能单独证明出站使用了指定流控，还应结合当前节点与日志判断。
curl --proxy socks5h://127.0.0.1:10808 --connect-timeout 10 --max-time 30 -I https://example.com/在安卓端，v2rayNG 同样需要检查导入后的 REALITY 参数，并启用对应的 VPN 连接权限。若配置来自支持 Xray 扩展的订阅，不要原样移到 v2flyNG 后期待得到相同结果；订阅文本能被读取与内核支持全部字段，是两个不同层面。
性能边界：为什么不保证每条线路都更快
“更省开销”是机制层面的结论，“更低延迟”是需要实测的结果。REALITY 仍然需要建立底层连接并完成安全握手，Vision 的优化也有适用流量条件。如果网页需要多次 DNS 查询、跨区域访问，或者服务器正在排队处理请求，减少加密计算可能只占总耗时的一小部分。
| 观察现象 | 优先检查 | 不应直接得出的结论 |
|---|---|---|
| 端口可达，真连接失败 | UUID、SNI、公钥相关参数、shortId、系统时间 | 端口通就代表认证通过 |
| 下载速度高，首次打开慢 | DNS、建连耗时、目标站响应 | 持续吞吐高就代表所有请求低延迟 |
| 晚间吞吐下降 | 线路拥塞、丢包、服务器负载 | 修改 flow 就能修复带宽瓶颈 |
| CPU 占用下降但速度不变 | 出口限速、目标限速、本地接入带宽 | 优化没有生效 |
对比测试时保持下载对象、连接数量与代理规则一致，至少重复 3 次并记录中位结果。不要用一次浏览器缓存命中与一次冷启动请求作对照，也不要把不同地区服务器的结果归因到流控本身。这样的测试才能区分协议开销、路由质量和服务端资源差异。
常见问题：连不上与配置不匹配怎么处理
选了 REALITY，为什么还要填 Vision？
REALITY 是传输安全设置，Vision 是 VLESS 流控。重新打开节点编辑窗口，分别核对安全选项和 flow；若服务提供方要求 xtls-rprx-vision，客户端与服务端用户配置需要匹配，不能用空流控替代。
TCP 延迟有数字，真连接却一直失败？
先打开核心日志，再核对 UUID、SNI、公钥相关参数和 shortId。随后确认设备自动校时已开启、服务端能访问配置的目标站点。TCP 延迟测试不包含完整的代理认证，不能用它排除握手问题。
指纹填 chrome，就等于真实浏览器了吗？
不等于。该设置主要影响客户端 TLS 握手特征，不会把后续所有网络行为都变成浏览器行为。保留提供方建议且当前内核支持的指纹值；如果日志提示不支持，应更新兼容内核或向提供方确认，不要随机轮换名称。
更新订阅后，能不能继续沿用旧公钥和短标识？
先以新订阅参数为准。服务端更换密钥或短标识列表后，旧值可能无法通过认证。重新导入或更新节点，核对是否存在同名旧节点，并确认当前选中的是更新后的配置，而不是只修改显示名称。
理解这组配置的重点，是区分代理协议、外层安全和流控职责。先保证参数与内核匹配，再观察握手和实际请求；只有连接路径已经确认，讨论 Vision 节省多少 CPU、是否缩短请求耗时，才有可比性。