VLESS 负责代理请求与用户标识，REALITY 负责安全握手与服务端身份验证，XTLS Vision 负责流量识别、填充及符合条件时的数据转发优化。本文适合准备在 v2rayN 或 v2rayNG 中使用此组合的读者：先分清三者职责，再核对配置字段，最后用同一网络条件验证速度，而不是只凭节点名称判断性能。
VLESS、REALITY、Vision：三个名称对应三层职责
节点列表中的“VLESS + REALITY + Vision”不是三个代理协议叠加。VLESS 是代理协议；REALITY 是安全层方案；Vision 是 Xray 中的一种流控模式，配置值通常为 xtls-rprx-vision。底层还需要传输通道，常见组合使用 TCP，部分新版界面或配置把这类传输标为 RAW。
理解它们最直接的方法，是区分“怎样说明目标地址”“怎样确认对端身份”“怎样搬运后续数据”。VLESS 请求携带用户标识和目标信息，但不能把 UUID 当作会加密全部内容的密码。常见配置中的 VLESS encryption=none 指这一层不额外加密，并不表示整个连接以明文传输。
| 部分 | 主要职责 | 不能替代的部分 |
|---|---|---|
| VLESS | 传递代理请求、用户标识和目标地址 | 不能单独替代安全传输层 |
| REALITY | 建立安全连接，验证配置对应的服务端身份 | 不负责选择路由出口或更新订阅 |
| XTLS Vision | 识别内层 TLS 流量，执行填充与转发优化 | 不增加线路带宽，也不降低物理距离 |
| TCP / RAW | 承载有序字节流 | 不等同于 WebSocket 或 HTTP 中转 |
这里讨论的是 Xray 的实现。v2rayN 可使用不同内核，应确认该节点实际由支持此组合的 Xray 运行；v2rayNG 使用 Xray 内核。v2flyNG 使用 V2Fly 内核，不能因为也能导入部分 VLESS 信息，就推断它兼容 Xray 的 REALITY 与 Vision。订阅能显示节点和内核能完成连接，是两件事。
TLS 套 TLS：重复加密发生在哪里
浏览器访问 HTTPS 网站时，浏览器与目标网站会建立 TLS 连接。代理只转发字节，通常不解密这个 HTTPS 内容。如果浏览器的流量又被放进一个 TLS 保护的代理隧道，同一段数据就可能先被网站连接加密，再被代理隧道加密。这就是常说的“内层 TLS”和“外层 TLS”。
上述流程表示处理职责，不表示所有握手严格串行。连接建立过程中，客户端与代理服务端要交换握手信息，代理服务端还要连接目标网站。即使取消某些重复加密工作，网络往返、目标网站响应时间、TCP 丢包重传等成本仍然存在。
- 内层保护：浏览器到目标网站的 TLS，保护网站内容；代理服务端转发的通常是加密记录。
- 外层保护：本地客户端到代理服务端的安全通道，保护代理请求及通道内的数据。
- 额外开销：重复加解密、记录封装、缓冲区处理和数据拷贝，可能消耗 CPU 与吞吐能力。
- 优化边界：非 TLS 流量不能直接套用“已有内层加密，所以外层可少做工作”的判断。
因此，Vision 的性能收益更容易出现在持续传输 HTTPS 数据、客户端或服务端处理能力成为瓶颈的场景。如果线路本身只有较低带宽，或者晚高峰丢包明显，换一种封装并不会自动解决拥塞。
XTLS Vision：流量识别、填充与直传优化
Vision 会观察代理承载的内层 TLS 流量，在连接早期执行协议规定的填充，并判断后续是否满足优化条件。对于实现能够识别、符合要求的内层 TLS 加密应用数据，它可以切换到专门的直传路径，减少外层重复加密及部分缓冲处理。
“直传”并不等于绕过代理服务端，也不等于把 HTTPS 解密成明文。数据仍沿客户端、代理服务端、目标网站这条路径流动；减少的是不必要的重复处理。也不能把它理解为从连接第一字节起完全取消安全层，握手、代理请求及不符合直传条件的数据仍有各自的保护和处理逻辑。
- 先建立安全连接。客户端与服务端确认安全参数，VLESS 请求提供用户与目标信息。
- 再处理早期流量。Vision 对初始数据执行填充，并识别内层 TLS 握手与记录。
- 条件满足才优化。符合实现要求的内层加密应用数据进入直传路径，而不是所有字节一律走同一捷径。
- 其他流量保留保护。无法识别或不符合条件的流量仍按适用路径处理，不能强行当成已加密内容。
Vision 还包含减少某些流量特征的设计，但这不意味着连接无法被识别或永远可用。目标站点选择、网络环境、服务端配置与内核实现都会影响结果。速度和连接可用性也应分开测量，不能用一次测速替代长期观察。
REALITY：不自备证书，也不取消身份验证
普通 TLS 服务端通常需要为自己的域名部署证书，并处理证书续期。REALITY 的常见部署方式不要求代理服务端为自身域名申请这套证书，而是结合目标站点的 TLS 特征和额外的身份验证机制建立连接。客户端配置中的服务端公钥、ServerName 与 Short ID 都有实际作用，不能只填一个看起来正常的域名。
REALITY 服务端持有私钥，客户端使用服务端提供的对应公钥等参数验证连接。它不是仅靠“看到了某网站证书”就信任代理服务端。对于不满足认证条件的连接，服务端通常会按配置转交给目标站点处理；这不代表已认证用户的全部业务流量都必须经过该目标站点。
- 地址与端口：指向实际代理服务端。服务端监听什么端口，客户端就填什么端口，不能一律改成 443。
- ServerName：常被界面标为 SNI，应使用服务端允许的名称；它与节点连接地址可以不同。
- 公钥：使用服务端提供的对应值。私钥保留在服务端，不能拿私钥替换客户端的公钥字段。
- Short ID：需匹配服务端允许的值；服务端是否允许空值由实际配置决定。
- 指纹：如
chrome，用于选择 TLS ClientHello 的模拟特征，不会把整个客户端变成浏览器。
目标站点的 TLS 兼容性、可达性和响应行为都需要服务端检查。随机更换 ServerName 不是可靠的修复方法。系统时间也影响相关认证判断，时间偏差过大时，应先开启系统时间同步，再重新连接。
v2rayN 与 v2rayNG：按字段核对，不按名称猜配置
优先通过已有订阅导入完整节点。手动编辑时，先确认安全层，再核对 Flow、传输、ServerName、公钥和 Short ID。以下两张卡片对比的是不同安全层下的常见组合，不是可以直接复制运行的完整节点；地址、用户标识及认证参数均以服务端提供的信息为准。
VLESS + REALITY + Vision
- 协议
- VLESS
- 传输
- TCP / RAW
- 安全层
- REALITY
- Flow
- xtls-rprx-vision
- 认证字段
- 服务端公钥、Short ID
- ServerName
- 服务端允许的名称
客户端与服务端参数必须对应，普通节点不能只改 Flow 就变成此组合。
VLESS + TLS + Vision
- 协议
- VLESS
- 传输
- TCP / RAW
- 安全层
- TLS
- Flow
- xtls-rprx-vision
- 身份验证
- 证书链与域名验证
- ServerName
- 与证书匹配的名称
Vision 不只用于 REALITY；常规 TLS 方案仍需正确部署证书。
- 桌面端核对节点。在 v2rayN 节点列表双击目标 VLESS 节点，逐项检查协议、传输方式、安全层和 Flow；确认该节点使用支持这些功能的 Xray 内核。不同版本字段名称可能略有变化。
- 检查本地入口。进入 v2rayN「设置」→「参数设置」，核对本地监听端口相关设置。例如客户端实际监听
127.0.0.1:10808时，手动配置应用代理也应使用对应地址、端口及代理类型。10808 在这里是检查示例，不是所有安装的固定值。 - 安卓端核对字段。在 v2rayNG 节点列表打开目标节点的编辑界面，确认传输、安全设置和流控。保存后重新选择节点并启动连接，避免仍在测试另一条配置。
- 区分入口与出口。桌面系统代理或安卓 VPN 接管决定应用流量能否进入客户端；节点安全参数决定代理连接能否建立；路由规则决定流量最终走代理还是直连。
不要为解决 REALITY 连接错误而开启跳过证书验证，也不要删除公钥或随意改写 Short ID。这类修改不能替代正确的服务端参数，反而会把诊断方向带偏。分享截图时，应遮盖订阅地址、用户标识及其他敏感配置。
速度与连接故障：用对照测试定位问题
“为什么更快”只能回答机制，不能承诺每条线路的结果。比较 Vision 与其他组合时，应尽量使用同一服务端、相近时间和同一目标资源，并区分首次连接延迟、持续下载吞吐与 CPU 占用。不同地区的两个节点即使协议名称不同，也无法构成有效的协议性能对照。
- 固定条件：保持网络、目标资源与路由一致，暂停后台下载。先确认测试应用的流量确实经过待测节点。
- 分开记录：首次请求耗时以毫秒记录，持续吞吐以 MB/s 或 Mbit/s 记录，并注明单位；二者相差约 8 倍，不能混用。
- 重复采样：每组做 3 次持续 30 秒的传输，记录中位数与明显波动。这是建议的测试方法，不是本文提供的实测结果。
- 观察资源：同时检查客户端和服务端 CPU。如果 CPU 已接近满载，减少重复处理可能有效；如果吞吐低而 CPU 很空闲，应优先检查线路与目标服务。
改成 Vision 后为什么完全连不上？
先恢复服务端提供的配置，再在节点编辑界面核对 xtls-rprx-vision、TCP / RAW 与安全层。确认当前使用支持此组合的 Xray，并查看连接时的核心日志。Flow 不匹配和传输不兼容，应通过修正配置处理，而不是增加连接超时。
日志提示 REALITY 验证失败，先查什么？
按服务端公钥、ServerName、Short ID、系统时间的顺序检查。公钥是否复制完整、Short ID 是否含多余空格都值得核对。确认系统自动校时后重新连接；若仍失败，让配置提供方核对服务端目标可达性与允许的参数。
节点测试正常，但浏览器打不开怎么办？
先检查浏览器是否使用正确的本地代理。桌面端核对系统代理状态与监听端口，安卓端确认 VPN 连接已建立且应用没有被排除。再观察请求是否被路由到直连出口，以及 DNS 是否返回可用地址；一次节点测试不能覆盖所有网站。
换成 REALITY 后速度没有提升，是配置错了吗？
不一定。REALITY 主要改变握手与部署方式，Vision 才涉及这里讨论的数据路径优化。按同一目标做 3 次对照测试，并观察 CPU 与丢包；如果瓶颈在带宽、拥塞或网站限速，配置正确也可能没有明显提升。
最终应把三个问题分开回答：安全握手能否完成，应用流量是否进入正确出口，持续传输是否减少了处理开销。REALITY 省去常见部署中的自备证书维护，Vision 在合适的内层 TLS 流量上减少重复工作，VLESS 则承载代理请求。配置字段准确、内核兼容、测试条件一致，才能判断这套组合是否适合当前网络。