藏身於真實目的網站
REALITY 驗證嵌入 TLS session_id——對任何觀測者不可見。未驗證探測只會看到與設定目的網站的真實 TLS 交握及真實憑證。無需註冊網域，無需管理 CA 憑證。
機制與選型
原理是什麼， 為何重要。
真實網站掩護、Vision 拼接與雙傳輸——了解每個機制如何影響你的連線，以及各自的取捨。
TLS 1.3 / QUIC01 — 03
umbra
你的裝置
開放網際網路
隱私傳輸未驗證 → 真實網站
消除冗餘加密層
Vision 真拼接在驗證後逐位元組透傳內層 TLS 記錄——無雙重加密，無 TLS-in-TLS 指紋。TCP mux 讓多串流複用一條連線，配合自適應填充打破長度模式偵測。
依網路選擇傳輸方式
TCP 搭配 Geneva 式分段，或 QUIC/HTTP-3 搭配 BBR 擁塞控制——共用同一個 SOCKS5 入口。明確選擇，非自動容錯切換。QUIC 需要 UDP 開放及可達的 QUIC 回落目標。
與主流方案怎麼選
Umbra、Xray 是軟體平台；VLESS、VMess、Trojan、Shadowsocks 是協定，REALITY 與 Vision 是機制。具體行為由實作與設定決定。一句話概括：想要真實網站掩護、雙傳輸路徑與 SOCKS5 整合在一個自行管理的執行檔中時，Umbra 值得選擇。
01
Umbra
從零用 Rust 建構：自研 TLS 1.3 堆疊實現位元組級 Chrome 指紋控制，REALITY 式真實網站掩護，Vision 真拼接，自適應 mux，QUIC/HTTP-3 與抗量子金鑰協商——全部整合在一個用戶端與伺服器執行檔中。
優勢
- 自研 TLS 1.3 堆疊：每個 ClientHello 位元組精確匹配 Chrome——擴充順序、GREASE 位置、金鑰共享組。不是打補丁的通用庫。
- Vision 真拼接消除驗證後的 TLS-in-TLS：內層 TLS 記錄逐位元組透傳，移除通用代理隧道留下的雙重加密指紋。
- TCP 與 QUIC 共用一個 SOCKS5 入口：自適應 mux 跨串流複用連線，QUIC/HTTP-3 為高丟包網路提供 BBR 擁塞控制的 UDP 路徑。
- 抗量子混合金鑰協商（X25519MLKEM768）與憑證綁定（ML-DSA-65）內建於交握——不是外掛，不是事後補丁。
- 探測抵抗內建於設計：未驗證連線收到真實目的網站回應，而非代理拒絕。時序對齊的路徑防止回應時間分析偵測。
- 從密碼學到傳輸層完全自研，不依賴第三方 TLS 庫。
侷限
- 目前是 alpha 階段的純命令列工具，自研協定不相容舊節點格式。
- 版本間協定可能變動，升級時兩端需要一起更新。
02
Xray + VLESS + REALITY
最接近的同類組合，同樣可以使用 REALITY 與 Vision；選擇的關鍵在於打包與工作流程，而非獨有技術。
優勢
- 成熟的多協定平台，路由能力強，現成用戶端多，社群文件豐富。
侷限
- 整套堆疊需要自行組裝與維護：核心設定、傳輸層、路由規則與配套用戶端。
- 採用相近機制不代表能與 Umbra 互通。
03
VMess
採用 AEAD 的代理協定，已有用戶端支援時值得考慮。TLS 與 WebSocket 屬於額外部署選擇，不是具備加密能力的前提。
優勢
- 用戶端涵蓋面極廣，跨平台，舊裝置與低階裝置也有支援。
侷限
- 協定只負責加密、不負責偽裝：掩護完全取決於你額外搭配的傳輸層。
- 舊的非 AEAD 模式已棄用，請固定使用實作 AEAD 的用戶端版本。
04
Trojan
基於 TLS 的代理協定，適合偏好常規 TLS 部署的使用者；是否回退及如何回退，取決於實作與設定。
優勢
- 真實的 TLS 交握，回退行為有文件可循，設計多年穩定。
侷限
- 常見部署需要維護網域並續期公網受信憑證。
- UDP 封裝在 TLS 之上的 TCP 內，UDP 延遲表現跟隨 TCP 路徑。
05
Shadowsocks
面向簡潔部署的輕量加密代理；瀏覽器形態偽裝與真實網站掩護並非 AEAD 或 2022 基礎協定內建能力。
優勢
- 組成簡單：金鑰加配套用戶端即可，無需網域或憑證。
侷限
- 基礎協定提供加密而非偽裝；需要掩護時應另外評估外掛程式。
- 僅支援 TCP 的 SIP003 外掛程式不能當作 UDP 偽裝。
06
Hysteria 2
以 QUIC 為重點、採用自有壅塞控制設計；適合 UDP 穩定可達的環境。
優勢
- 面向高丟包網路的不可靠資料包 UDP 路徑，壅塞控制為惡劣條件調校。
侷限
- UDP 被封鎖或受限時失去主要優勢，設計也不能保證在你的網路上一定更快。
- TCP 仍以 QUIC 串流承載，丟包時同樣會像可靠傳輸一樣被阻塞。