目标网络的 AmneziaWG 3.1 或 VLESS Reality

AmneziaWG 3.1架构

AmneziaWG 创建了一个三层接口并继承了 WireGuard 加密密钥路由。客户端通过 UDP 发送加密的 IP 数据包。 H1 - H4 改变数据包类型值，S1 - S4 添加随机前缀，I1 - I5 定义握手前的签名数据包，Jc、Jmin 和 Jmax 控制额外的随机数据包。加密操作仍保留在 WireGuard 设计中。

该接口模型适合全设备隧道。应用程序使用正常路由，AllowedIPs 确定对等路由。同样的设计依赖于UDP。运营商可以限制一个端口、未知 UDP 或持续 UDP 流量。数据包伪装不会将传输转换为 TCP 或 TLS。

3.0 版本需要全新的配置文件和兼容的软件。 AmneziaVPN 5.0.1.5 之前的版本不支持新配置。运营商需要了解端点、防火墙、NAT、MTU、握手和匹配的客户端/服务器字段。

VLESS Reality 架构

VLESS 在 Xray-core 中提供身份验证和传输语义。 REALITY 位于 TLS 传输层。 Project X 记录了服务器端目标、serverNames、privateKey、shortIds 和 uTLS 约束。服务器使用配置的名称和密钥对有效的 REALITY 请求进行身份验证。认证失败的流量可能会被转发到目标；官方文档警告说，不合适的目标可能会将服务器变成可滥用的转发器，并建议过滤或回退限制。

VLESS 支持多种传输，因此“VLESS”本身无法识别 TCP、XHTTP 或其他模式。有效的比较会命名完整堆栈，例如 VLESS over TCP 与 XTLS Vision 和 REALITY。否则，两个基准报告可以在一个标签下测量不同的系统。

现实取决于目标和 SNI 选择。错误的服务器名称、密钥、短 ID、时钟或 Xray 版本可能会破坏握手。允许传统 TCP 443 的网络可以与 UDP 隧道不同地处理该堆栈。

可观察的网络特征

网络观察者将 AmneziaWG 视为 UDP 流。 H、S、I、J参数改变其打开顺序、大小和业务包。 Amnezia 文档称，配置文件可以模仿与常见 UDP 协议（​​例如 DNS 或 QUIC）相关的功能。它并不声称整个后续流程成为任一协议的完美实现。

VLESS Reality 观察者看到一个连接，其握手 REALITY 使用 uTLS 和配置的目标构建。后续功能取决于流量和传输。服务器地址、连接频率、方向和数量在两个系统中仍然可见。

DPI 可以结合签名、元数据、地址列表和主动测试。绕过审查 VLESS Reality 或 AWG 声明必须指定承运人、日期和程序。绝对检测声明没有可测量的界限，不应出现在产品指南中。

性能和延迟

已发布的速度数字不会跨部署转移。 AmneziaWG 取决于客户端和服务器实施、CPU、MTU 和 UDP 路由质量。 VLESS 现实取决于 Xray、流量、TCP 路径、拥塞控制和传输设置。服务器距离和负载可能超过协议的影响。

UDP在外传输层不重传隧道报文；内部 TCP 会话管理自己的恢复。基于 TCP 的 VLESS 堆栈遵循外部 TCP 拥塞控制。丢失会以不同的方式改变这两种结果，因此一次下载运行无法隔离协议。

在具有相同 CPU 和带宽限制的一台主机或同一数据中心上使用配对测试。记录下游和上游吞吐量、p50/p95 延迟、丢失、连接时间、长会话稳定性以及网络更改后的恢复。将结果标记为测量条件的证据。

客户端、路由和操作

AmneziaWG 通过 AmneziaVPN 或兼容的本机客户端提供 IP 隧道。 3.0 版需要新的配置文件。运营商管理对等密钥、路由、NAT 和 UDP 端口。每个设备的唯一配置支持有针对性的撤销。

VLESS Reality 使用与 Xray-core 和所选流程兼容的客户端。配置文件包含 UUID、端点、端口、REALITY 键和传输值。 TUN支持属于客户端；某些应用程序最初是作为系统代理。不同版本对同一 URI 的支持可能有所不同。

运营复杂性取决于团队经验。重叠的 AWG H 范围和无效的 REALITY 目标都会导致中断。在广泛分发之前应该存在配置验证器、冒烟测试、版本库存和回滚配置文件。

决策矩阵和后备

在目标网络允许 UDP、用户需要系统隧道并且存在受支持的 Amnezia 客户端的情况下，AWG 3.1 值得进行受控试验。当 UDP 面临全面限制而 TCP 443 有效时，团队可以测试 VLESS Reality。这些条件只是确定候选人，而不是保证结果。

构建 2026 年最佳 VPN 协议决策矩阵：目标运营商、UDP 状态、操作系统、TUN 模式、密钥轮换、诊断成本、可观测性和后备传输。对每个候选者运行相同的检查并记录 AmneziaVPN、Xray-core 和 VLESS 客户端版本。

主要来源：并保留不同传输类别的后备，因为网络策略在发布后可能会发生变化。

在矩阵中包含凭证生命周期。 AWG 需要每个设备有一个唯一的对等点、已知的配置版本以及针对泄漏密钥的撤销操作。 VLESS 操作跟踪 UUID、shortId、流字段和客户端 URI 支持。批量字符串替换可能会在每个堆栈中造成不同的故障，因此通过测试帐户进行阶段更改。

可观察性也不同。 WireGuard 风格的服务器公开最新的握手和字节计数器，但这些计数器不会诊断客户端 DNS。 Xray 可以记录协议事件，详细信息由配置控制。构建包含配置文件 ID、软件版本、端点类、运营商、故障阶段和错误代码的共享清理记录。

测试设备睡眠、Wi-Fi 到移动设备的切换以及 NAT 状态到期。这些场景通常比短期吞吐量运行对日常可靠性的影响更大。在可重复的重新连接、正确的布线和记录的回滚后批准设计。