截至2026年，VLESS仍是轻量、无状态的代理协议，但“VLESS本身没有加密”已不是完整描述。Xray-core现已提供可选的VLESS Encryption；实际部署还可按威胁模型搭配TLS、REALITY、XTLS Vision、XHTTP与XUDP。这些技术分别解决不同问题。

资料口径：本文核对Project X、Xray-core、sing-box与AnyTLS的一手文件。GitHub PR／Discussion属于维护者设计和实现说明，不是独立安全审计。文中对SingLink的分析也不是星连VPN已经采用相关技术的产品声明。

一、一张清单看懂现代VLESS技术栈

  • VLESS：身份、连接指令与目标地址的轻量协议层。

  • VLESS Encryption：Xray-core当前可选的协议负载加密层。

  • TLS 1.3／REALITY：外层传输安全、身份验证和网络外观。

  • XTLS Vision：流控与数据路径优化，不是另一种加密算法。

  • RAW／XHTTP／gRPC／WebSocket：承载VLESS数据的传输方式。

  • XUDP：Xray生态中的UDP封装选项。

  • XMUX／其他MUX：让多个逻辑请求共用底层连接。

  • Padding／FinalMask／Browser Dialer：处理长度、时序、外层参数或真实浏览器网络栈。

常见链路可以抽象为：应用流量 → VLESS身份与目标 → 协议／外层安全 → Vision流控 → RAW或XHTTP等传输 → TCP或UDP网络。并非每种组合都需要或兼容所有模块。

二、VLESS基础协议负责什么？

Project X VLESS文档将VLESS定义为轻量、无状态的传输协议；它不依赖系统时间，身份验证使用UUID或映射后的ID。公开的Xray-core编码实现显示请求会携带版本、用户ID、附加数据、命令、目标端口、地址与后续数据。

VLESS核心回答“我是谁、要建立什么连接、要去哪个地址”。智能选路、节点负载、套餐权限与客户端自动重连通常属于更高层产品系统。

传统配置常见`encryption: "none"`。官方现已明确要求：除非对端位于可信私有网络，否则必须使用外层传输安全，或启用VLESS Encryption。

三、VLESS Encryption改变了什么？

VLESS Encryption是Xray-core在2025年合并的可选原生加密层。合并PR #5067及现行配置文档列出`mlkem768x25519plus`握手、`native`／`xorpub`／`random`外观、`1rtt`／`0rtt`会话模式和可变Padding。

设计目标与证据边界

  • 通过ML-KEM-768与X25519组合建立会话密钥；

  • 让VLESS负载在没有外层TLS时仍可被保护；

  • 使用Ticket支持后续0-RTT恢复，并以短期状态降低重放风险；

  • 通过可变Padding和可选XOR模式调整固定长度或公钥外观。

以上是维护者公开的设计与实现说明。本文未发现可以证明全部安全主张的独立密码学审计，因此不使用“完美防重放”或“绝对抗量子”等说法。

它不能自动替代什么？

VLESS Encryption保护协议负载，但不会自动产生标准HTTPS证书、网站握手、HTTP／2或HTTP／3行为，也不自动解决CDN兼容，因此不等于TLS或REALITY。

四、TLS 1.3与REALITY如何分工？

TLS负责标准证书验证、密钥交换、完整性和传输加密。它可以配合RAW、XHTTP、gRPC、WebSocket等传输，实际TLS版本、ALPN和证书验证仍由配置与对端能力决定。

REALITY官方文档描述的是修改后的TLS式安全层，配置包括目标、serverNames、X25519密钥与shortId，目前还有可选ML-DSA-65验证数据。REALITY可与RAW、XHTTP和gRPC配合。

REALITY不能简化成“免证书”，也不能保证在所有网络上不可识别。它的效果仍受目标、客户端指纹、传输和部署质量影响。

五、XTLS Vision不是加密协议

VLESS／Vision文档将Vision列为flow control。满足条件时，它可识别内层TLS流量，减少额外加解密或数据复制；在Linux、TCP及兼容路径下，核心会尝试使用splice转移数据。

更准确的分工是：TLS、REALITY或VLESS Encryption负责安全，Vision负责数据如何更高效地经过代理层。并非所有平台与传输都能使用splice。

六、XHTTP的三种模式

XHTTP维护者设计说明将XHTTP描述为可在HTTP／1.1、HTTP／2和HTTP／3环境中承载流量的传输体系：

  • packet-up：上行拆为多个POST，下行使用持续响应；偏向中间盒与CDN兼容。

  • stream-up：上行流式POST，下行独立流式GET。

  • stream-one：单个双向流式请求；效率和兼容性取决于代理与中间盒。

XHTTP还可配置Header Padding、上下行分离和XMUX。是否可通过某个CDN取决于模式、HTTP版本、反向代理限制和服务商配置。

七、XMUX、通用MUX与队头阻塞

XMUX管理XHTTP并发、底层连接数、重用次数、连接寿命和保活。它不是永远只保持一条连接，而是在握手成本、并发和长连接特征之间权衡。

sing-box Multiplex文档还列出smux、yamux和h2mux。复用能减少握手，但底层TCP丢包或阻塞也可能影响多个stream。HTTP／3避免TCP层跨stream队头阻塞，但单个QUIC stream仍受丢包与重传影响。

八、XUDP处理的是UDP封装

sing-box VLESS文档将`xudp`列为packet encoding选项，另有`packetaddr`和关闭额外封装的模式。这证明XUDP可用于UDP承载，但不是完整、版本化的XUDP封包规范。

因此本文只保守定义：XUDP让UDP数据经代理通道传输。具体会话、地址、边界和迁移行为应以所用核心版本及代码为准。

九、Padding、FinalMask、ECH与Browser Dialer

  • Padding：改变长度或发送时序，不能代替加密。

  • FinalMask：官方配置显示它处于外层传输处理阶段，可配置TCP、UDP和QUIC参数。

  • ECH：sing-box TLS文档提供Encrypted ClientHello配置，保护ClientHello部分数据；ECH不代替VPN通道加密。

  • Browser Dialer：Project X文档让真实浏览器建立TLS与HTTP连接，换取更完整的浏览器行为，但增加部署限制和性能成本。

十、Fallback能做什么？

Project X Fallback文档说明不匹配的SNI、路径或协议流量可转交Nginx、Caddy或正常网站，让同一入口承载代理与普通服务。

Fallback可避免认证失败时只返回固定错误，但它不是“主动探测免疫”。整体可识别性还取决于TLS、传输、响应与时序配置。

十一、AnyTLS是比较对象，不是VLESS模块

AnyTLS协议文档描述的流程为TCP → TLS → `SHA-256(password)`验证 → Session → 多个Stream。Frame由Command、Stream ID、Data Length与Data组成，并包含SYN、PSH、FIN、Settings、Padding、心跳及version 2的SYNACK等命令。

AnyTLS的Session、多stream、动态Padding和健康检测值得比较，但它是独立协议。列入本文是为了说明设计取舍，不代表VLESS自动包含这些能力。

十二、常见组合与限制

  • VLESS + REALITY + Vision + RAW：偏向直连性能与TLS式外观，不依赖CDN。

  • VLESS + TLS／REALITY + XHTTP：偏向HTTP承载、反向代理和条件式CDN兼容。

  • VLESS Encryption + Vision：在协议层保护负载，可用于中转等场景，但不自带普通HTTPS外观。

  • VLESS + TLS + XHTTP + Browser Dialer：使用真实浏览器网络栈，部署成本较高。

  • AnyTLS + TLS：独立Session／stream与Padding设计，不是VLESS组合。

不存在同时在性能、兼容、可维护性、外观与安全上永远最优的配置。选型应先定义威胁模型、网络路径、CDN／代理限制、客户端平台和可观测性需求。

十三、对SingLink研究的参考边界

VLESS与AnyTLS公开材料可以为身份、密钥交换、会话、stream、UDP、Padding、多路复用、恢复和版本协商提供参考。但本文没有证据证明SingLink 2.0基于VLESS、REALITY、XHTTP或AnyTLS。

星连VPN应继续区分已公开功能、研究方向与未披露实现。可通过星连VPN开源计划查看当前公开范围。

十四、常见问题

VLESS本身会加密流量吗？

传统`encryption: "none"`不提供协议层负载加密，需要可信私网或外层安全。当前Xray-core可选VLESS Encryption，因此答案取决于实现和配置。

VLESS Encryption可以替代TLS或REALITY吗？

不能直接等同。它保护VLESS负载，但不自动提供标准HTTPS证书、握手与网站外观。

XTLS Vision负责加密吗？

不是。Vision主要负责流控与数据路径优化。

XHTTP三种模式如何选择？

packet-up偏兼容，stream-up分离流式上下行，stream-one使用单个双向流；仍需按网络与中间盒实测。

XUDP与普通UDP代理有何不同？

XUDP是Xray生态的UDP封装选项；具体行为取决于核心实现与版本，不应从名称推导未公开细节。

目前公开证据不足以证明这种关系。本文仅作技术比较与研究参考。

十五、结论与资料版本

现代VLESS是可组合技术栈：VLESS处理身份和目标，VLESS Encryption提供可选协议层保护，TLS／REALITY处理外层安全，Vision优化流控，XHTTP与XUDP负责承载，MUX与Padding再处理连接和外观。

原始发布日期：2026年5月20日。技术资料核对日期：2026年7月28日。相关核心持续更新，部署前应重新核对所用版本的官方文档、变更记录与兼容性。