通过真实目标站点路由
未认证请求会转发到可达的真实 TLS 1.3 站点。无需为节点申请域名或 CA 证书；身份密钥与临时绑定即可。
机制与选型
掩护，Vision， 传输。
三种机制，一对自建方案。Umbra 是由你管理的客户端与服务端；无需域名、无需 CA 证书、无需托管服务。
TLS 1.3 / QUIC01 — 03
umbra
你的设备
开放互联网
隐私传输未认证 → 真实站点
认证后用 Vision 拼接
认证完成后，Vision 为符合条件的内层 TLS 1.3 流量移除多余的外层加密，观察者看到的唯一 TLS 层就是应用的 HTTPS。
在一个 SOCKS5 后承载 TCP 和 QUIC
单个本地 SOCKS5 承载 TCP 和 QUIC。自适应多路复用与 BBR 共享路径；传输选择是显式的，而非自动故障转移。
与主流方案怎么选
Umbra 与 Xray 是软件平台；VLESS、VMess、Trojan 和 Shadowsocks 是协议，而 REALITY 和 Vision 是机制。具体行为取决于实现与配置。当你需要掩护、双传输路径与 SOCKS5 打包为一对由你管理的配置方案时，Umbra 值得选择；需要其他生态时，它们的方案更合适。
01
Umbra
自写的 TLS 1.3 协议栈与从零开始的 Rust 实现：真实站点掩护、Vision 拼接、TCP + QUIC 在一个 SOCKS5 背后、后量子握手、探测抵抗。
优势
- 自写的 TLS 1.3 协议栈，像素级 Chrome 指纹
- Vision 真正拼接，消除 TLS 套 TLS
- TCP 和 QUIC 在一个 SOCKS5 后，自适应多路复用 + BBR
- 后量子（X25519MLKEM768 + ML-DSA-65）内置于握手
- 设计上具备探测抵抗，时序对齐路径
- 从密码学到传输层完全自研，不依赖第三方 TLS 库
取舍
- 目前是 alpha 阶段的纯命令行工具，自研协议不兼容旧节点格式。
- 版本间协议可能变化，升级时两端需要一起更新。
02
Xray + VLESS + REALITY
最接近的同类组合，同样可以使用 REALITY 与 Vision；选择的关键在于打包与工作流，而非独有技术。
优势
- 成熟的多协议平台，路由能力强，现成客户端多，社区文档丰富。
取舍
- 整套装栈需要自行组装和维护：核心配置、传输层、路由规则与配套客户端。
- 采用相近机制不代表能与 Umbra 互通。
03
VMess
采用 AEAD 的代理协议，已有客户端支持时值得考虑。TLS 与 WebSocket 属于额外部署选择，不是具备加密能力的前提。
优势
- 客户端覆盖面极广，跨平台，旧设备和低配设备也有支持。
取舍
- 协议只负责加密、不负责伪装：掩护完全取决于你额外搭配的传输层。
- 旧的非 AEAD 模式已弃用，请固定使用实现 AEAD 的客户端版本。
04
Trojan
基于 TLS 的代理协议，适合偏好常规 TLS 部署的用户；是否回落及如何回落，取决于实现与配置。
优势
- 真实的 TLS 握手，回落行为有文档可依，设计多年稳定。
取舍
- 常见部署需要维护域名并续期公网受信证书。
- UDP 封装在 TLS 之上的 TCP 内，UDP 时延表现跟随 TCP 路径。
05
Shadowsocks
面向简洁部署的轻量加密代理；浏览器形态伪装和真实站点掩护并非 AEAD 或 2022 基础协议自带能力。
优势
- 组成简单：密钥加配套客户端即可，无需域名或证书。
取舍
- 基础协议提供加密而非伪装；需要掩护时应另行评估插件。
- 仅支持 TCP 的 SIP003 插件不能当作 UDP 伪装。
06
Hysteria 2
以 QUIC 为重点、采用自有拥塞控制设计；适合 UDP 稳定可达的环境。
优势
- 面向高丢包网络的不可靠数据报 UDP 路径，拥塞控制为恶劣条件调优。
取舍
- UDP 被封锁或受限时失去主要优势，设计也不能保证在你的网络上一定更快。
- TCP 仍以 QUIC 流承载，丢包时同样会像可靠传输一样被阻塞。