実在の接続先を経路にする
未認証のリクエストは、到達可能な実在の TLS 1.3 サイトへ転送されます。ノード用のドメインも CA 証明書も不要です。アイデンティティ鍵と一時バインドだけで十分です。
仕組みと選択
カバー、Vision、 トランスポート。
3 つの仕組み、1 つのセルフホストペア。Umbra はあなたが管理するクライアントとサーバーです。ドメインなし、CA 証明書なし、管理サービスなし。
TLS 1.3 / QUIC01 — 03
umbra
あなたの端末
オープンなネット
プライベート通信未認証 → 実在サイト
認証後に Vision で継ぎ接ぐ
認証後、Vision は条件を満たす内側の TLS 1.3 トラフィックの冗長な外側暗号化を除去し、観測者に見える TLS 層はアプリケーションの HTTPS だけになります。
ひとつの SOCKS5 の背後に TCP と QUIC を載せる
単一のローカル SOCKS5 が TCP と QUIC を運びます。適応型 mux と BBR が経路を共有し、トランスポートの選択は明示的で、自動フェイルオーバーではありません。
主な方式と、どう選び分けるか
Umbra と Xray はソフトウェアプラットフォーム、VLESS・VMess・Trojan・Shadowsocks はプロトコル、REALITY と Vision は仕組みです。実際の動作は実装と設定で変わります。カバーと二つの転送経路と SOCKS5 を、自分で管理する一組の構成としてまとめて受け取りたいなら Umbra が向いており、各種エコシステムが必要なら他の選択肢が向いています。
01
Umbra
ゼロから書いた TLS 1.3 スタックと Rust によるゼロからの実装：実在サイトによるカバー、Vision 継ぎ接ぎ、ひとつの SOCKS5 の背後に TCP + QUIC、耐量子ハンドシェイク、プローブ耐性。
強み
- 自作の TLS 1.3 スタック、バイトレベルの Chrome 指紋
- Vision の真の継ぎ接ぎが TLS-in-TLS を排除
- ひとつの SOCKS5 の背後に TCP と QUIC、適応型 mux + BBR
- 耐量子（X25519MLKEM768 + ML-DSA-65）をハンドシェイクに組み込み
- 設計によるプローブ耐性、タイミング整合パス
- 暗号からトランスポートまで完全自社実装、サードパーティ TLS ライブラリ不使用
トレードオフ
- 現時点では alpha の CUI 専用で、独自プロトコルは旧形式ノードと互換性がありません。
- リリース間でプロトコルが変わる可能性があるため、更新は両端を同時に行います。
02
Xray + VLESS + REALITY
最も近い選択肢です。REALITY と Vision はこちらでも使えるため、選択のポイントは独自技術ではなく梱包とワークフローにあります。
強み
- 成熟したマルチプロトコルプラットフォームで、柔軟なルーティング、すぐに使えるクライアント、充実したコミュニティ文書があります。
トレードオフ
- スタック全体を自分で組み立てて維持する必要があります。本体設定、トランスポート層、ルーティング規則、対応クライアントまで含めてです。
- 共通の仕組みを使っていても Umbra と相互接続はできません。
03
VMess
AEAD を使うプロキシプロトコルで、既存クライアントが対応している場合の選択肢です。TLS や WebSocket は追加の構成要素であり、暗号化の必須条件ではありません。
強み
- クライアントの対応範囲が非常に広く、古い機器や低スペック機でも動かせます。
トレードオフ
- プロトコルは暗号化のみを担い、偽装は行いません。カバーの可否は上乗せしたトランスポート層次第です。
- 旧式の非 AEAD モードは非推奨です。AEAD を実装したクライアントに絞ってください。
04
Trojan
一般的な TLS 構成で運用したい方向けの、TLS ベースのプロキシプロトコルです。フォールバックの動作は実装と設定によって異なります。
強み
- 本物の TLS ハンドシェイクと文書化されたフォールバック動作を備え、設計が長年安定しています。
トレードオフ
- よくある構成ではドメインの維持と公的な信頼された証明書の更新が必要です。
- UDP は TLS の下の TCP 内に載るため、UDP の遅延は TCP 経路に律されます。
05
Shadowsocks
シンプルな構成に適した軽量な暗号化プロキシです。ブラウザーの模倣や実在サイトによるカバーは、AEAD・2022 の基本プロトコルには含まれません。
強み
- 構成要素が最小で済みます。鍵と対応クライアントがあればよく、ドメインも証明書も不要です。
トレードオフ
- 基本プロトコルは暗号化のみで、偽装は行いません。カバーが必要ならプラグインを別途評価してください。
- TCP 専用の SIP003 プラグインを UDP の偽装と見なしてはいけません。
06
Hysteria 2
QUIC を中心とし、独自の輻輳制御設計を持つ方式です。UDP が安定して通る環境で検討できます。
強み
- 高損失ネットワーク向けに設計された非信頼データグラムの UDP 経路を持ち、輻輳制御は過酷な条件に合わせて調整されています。
トレードオフ
- UDP が遮断・制限されると主な強みを失い、設計だけでは利用中のネットワークで速くなる保証もありません。
- TCP は今も QUIC ストリームで運ばれるため、損失時には信頼型転送と同じくストリームが滞り得ます。