科学上网技术概念指南：从协议到内核和客户端全解
大多数人接触科学上网，是从“找梯子”开始的。面对 Shadowsocks、VLESS、Clash、Mihomo 等层出不穷的技术名词，许多人长期停留在“能用就行”的浅层认知。这种“知其然不知其所以然”的被动模式代价是高昂的：一旦遭遇敏感时期的封锁升级或节点故障，你将完全丧失排查和解决问题的能力。
本文将帮你构建一套完整的科学上网知识框架。通过理清协议、内核与客户端背后的逻辑关系，未来无论面对何种新教程，你都能迅速定位其技术原理，并知道它们各自适合什么场景。
一、什么是“科学上网”？
“科学上网”、“翻墙”、“梯子”等词汇的诞生，完全是基于“防火长城”（Great Firewall）这一概念衍生出来的。其技术本质是：利用网络手段绕过国内网络审查系统（GFW），访问受限的国际互联网资源。
“科学上网” 最早是因为很多高校师生需要访问 Google Scholar（谷歌学术）等网站查阅资料，而这些网站无法直接访问，所以大家戏称这是为了“科学研究”。后来，这个词因为听起来比较中性、隐晦，就被广泛用来代替敏感词汇。
“墙”指的是防火长城（Great Firewall，简称 GFW）。它是部署在国际出口链路上的一系列过滤和审查系统的统称。既然有了一道看不见的高墙，想要看到外面的世界，就必须借助工具跨越它。于是，这些工具被形象地称为“梯子”。
先用一句话概括：科学上网 = 通过各种网络技术，让你在网络限制、丢包严重、质量不佳的环境下，尽量稳定、安全地访问全球互联网资源。
典型使用场景：
- 程序员 / 技术从业者：
访问 GitHub、Stack Overflow、Docker Hub 拉镜像，跟进国外技术社区、文档和 issue。 - 学习和内容消费：
在 YouTube 上看技术教程、公开课，上 Coursera、edX、Udemy 等 MOOC 平台，或使用 Google Scholar 查论文。 - 跨境相关：
外贸、跨境电商卖家需要登录 Amazon Seller、eBay、Shopify 等后台，或进行海外社交平台运营（X/Twitter、Facebook、Instagram 等）。 - 云服务与开发：
访问海外云服务控制台（AWS、GCP、Azure 等），连接海外服务器、调试接口和 Webhook。
本质上，科学上网通常是两件事：
- 能连上：域名/IP 被限制、路由不通，需要“绕过”或“中转”。
- 连得好：丢包高、延迟大、带宽抖动，需要优化传输效率、对抗网络劣化。
防火墙 (GFW) 是如何工作的？
为了绕过障碍，必须了解障碍的机理。抛开政治因素，从纯技术角度看，GFW 主要通过以下几种手段阻断连接：
- DNS 污染 (DNS Pollution)：GFW 抢先返回一个错误的 IP 地址，让你连到“荒郊野外”。
- IP 封锁 (IP Blocking)：黑名单机制，所有发往该 IP 的数据包在骨干网被直接丢弃。
- SNI 阻断 (SNI Reset)：在 HTTPS 握手阶段，GFW 通过检测明文的 SNI（目标域名）来识别敏感请求并强制切断连接。
- 主动探测 (Active Probing)：GFW 伪装成普通用户连接你的服务器。如果服务器暴露了代理特征，IP 随即被封。
二、VPN 与代理 (Proxy) 的本质区别
很多新手习惯将所有的科学上网工具统称为“VPN”，但这在技术上是不准确的。理解 VPN 与代理的区别，是我们迈出的第一步。
网络是分层级的（网络分层参考 OSI模型），我们不搞教科书那种复杂的 OSI 七层，只用一个简化版帮助理解：
- 网络层（IP 层）： 负责“包怎么从 A 送到 B”，代表技术：IP、路由。
- 传输层（TCP/UDP）： 负责“怎么可靠/快速地送达”，代表技术：TCP、UDP。
- 应用层： 我们日常感知到的大部分协议都在这里：HTTP、HTTPS、SOCKS5、DNS 等。
科学上网相关技术，大致分两大类：
- VPN：在网络层/传输层做文章，给你弄出一条“虚拟隧道”和一个“虚拟网卡”。
- 代理：在应用层做文章，特定的程序/流量走代理。
VPN 与代理 (Proxy) 对比表：
| 维度 | VPN（虚拟专用网） | 代理（Proxy） |
|---|---|---|
| 技术本质 | 基于虚拟网卡和隧道的网络层/传输层方案，将本机或子网“接入”远端网络 | 在应用层转发请求，充当客户端与目标站点之间的中间节点 |
| 流量范围 | 系统级。默认接管整个设备的所有流量 | 应用级/规则级。可精确控制哪些走代理，哪些直连 |
| 抗检测能力 | 特征明显，极易被 GFW 识别并封锁 | 现代代理协议强调伪装，抗封锁能力更强 |
| 代表技术 | OpenVPN, WireGuard, IPsec/IKEv2 等 | Shadowsocks, VLESS, Trojan, Hysteria2, TUIC 等 |
| 典型用途 | 企业内网访问、远程办公、整机隐私防护 | 科学上网、爬虫流量转发、网络调试、精细分流 |
补充说明：
- VPN 更适合“整机/网段统一通过某一出口”的场景；
- 代理更适合“只让特定流量通过代理、其余直连”的精细控制；
- 并非所有代理协议都适合翻墙（例如裸 HTTP/SOCKS 代理缺乏加密和伪装，更适合内网或本地用途）。
三、科学上三层核心架构：协议、内核、客户端
一个完整的科学上网技术栈，自下而上可以抽象为三层：
| 协议（Protocol） | 定义通信规则，规定数据如何编码、加密、握手、封装与伪装。 示例：VLESS、Trojan、Hysteria2、Shadowsocks 等。 |
| 内核（Core） | 实现协议的二进制程序（后台进程），负责实际的加解密、转发与路由逻辑。 示例：Xray-core、sing-box、Mihomo 等。 |
| 客户端（Client） | 提供用户界面，管理节点和分流规则，生成配置并调用内核。 示例：Clash Verge Rev、v2rayN、NekoBox、Shadowrocket、Quantumult X 等。 |
对应关系可以理解为：
- 协议：定义“说什么样的话”；
- 内核：负责“按照这些规则真正说话和听话”；
- 客户端：负责“告诉内核什么时候对谁说什么”。
四、协议（Protocol）概览
GFW 在进化，技术也在不断迭代。本章列出当前主要协议，兼顾现代主流、功能型/存量以及不再推荐的协议。
现代主流协议
这类协议兼顾性能和抗封锁能力，是当前实践中的主力军。
| 协议名称 | 类型/推荐度 | 核心特点 | 现状 |
|---|---|---|---|
| VLESS | 轻量伪装 ⭐⭐⭐⭐⭐ |
无状态、轻量，上层依赖 TLS/XTLS/Reality 提供加密与伪装，支持TCP/WS/gRPC/QUIC 等多种传输封装，配合Reality等技术时可实现更灵活的伪装策略。 | 当前在抗封锁与灵活性方面表现突出，广泛作为科学上网场景的首选协议之一。 |
| Trojan | TLS伪装 ⭐⭐⭐⭐ |
将流量封装在标准 TLS/HTTPS 连接中，对外行为接近普通 HTTPS 网站，配置较为简单。 | 成熟稳定，兼容性好，仍然是高可用方案之一。 |
| Hysteria2 | UDP/QUIC竞速 ⭐⭐⭐⭐⭐ |
基于 QUIC，采用激进拥塞控制算法（如 Brutal），在高丢包、高延迟链路下能更好利用带宽。 | 对烂线路和晚高峰有明显改善效果，是“差网络环境”下的有力选项。 |
| TUIC (v5) | UDP/QUIC竞速 ⭐⭐⭐⭐ |
基于 QUIC 设计，支持 0-RTT 建连，注重降低握手延迟和提高传输效率。 | 与 Hysteria2 类似，是新一代高性能通道协议的主要代表之一。 |
| Shadowsocks 2022 | 加密传输/中转 ⭐⭐⭐ |
新一代 AEAD 2022 套件，完全重构了协议头部和加密逻辑，强制要求 AEAD，不再支持流加密（如 RC4-MD5） | 在机场/自建中作为中转协议有其价值，但客户端与服务端需要同时完整支持，生态仍在逐步统一中。 |
TLS 就是给你的流量穿上一层“标准 HTTPS”的外衣，让防火墙以为你在访问普通网站。
说明：SS 2022 的支持度在不同客户端与服务端之间尚未完全统一，新手在使用时需确认所用客户端是否支持对应加密套件。
功能型与存量协议
这类协议仍然广泛存在，但逐渐不再作为新部署的首选。
| 协议名称 | 类型/推荐度 | 核心特点 | 现状 |
|---|---|---|---|
| VMess | 功能型 ⭐⭐ |
V2Ray 原生自带协议，集成认证、加密和部分“混淆”逻辑，功能丰富。 | 协议特征较重，已被广泛分析，在现代高对抗环境中逐步被 VLESS 等取代，新部署一般不推荐。 |
| Shadowsocks（传统 AEAD 版本） | 加密传输 ⭐⭐ |
经典轻量加密代理协议，早期科学上网主力之一。 | 特征已被充分研究，在强对抗环境下抗封锁能力有限，更适合作为历史兼容或中低对抗场景之用。 |
| SOCKS5/HTTP 代理 | 明文代理 ⭐ |
标准代理协议本身不提供加密或依赖外层 TLS，仅负责转发请求。 | 更适合用作本地分流接口或内网代理，不适合作为跨境科学上网主协议。 |
补充：SOCKS5/HTTP 是通用代理协议，本身只是“机制”，不是科学上网协议；对外直连使用时缺乏必要的加密与伪装。
已淘汰或不推荐协议
这类协议要么安全性不足，要么特征明显、易被识别阻断。
| 协议名称 | 致命问题 | 状态与建议 |
|---|---|---|
| SSR（ShadowsocksR） | 协议层和混淆层特征明显，已被针对性研究，容易成为识别目标。 | 已停止维护，存在安全和识别风险，新部署不推荐，存量环境建议过渡。 |
| PPTP / L2TP | 协议结构固定、加密方案老旧，安全和隐私保障不足；在高对抗环境中容易被直接封锁。 | 在科学上网场景不建议使用，更多只适合作极老旧环境的内网 VPN。 |
| Brook 等小众协议 | 生态小众，客户端支持有限，维护节奏不稳定。 | 不适合作为通用主力方案，除非有明确理由，否则不建议投入精力。 |
五、内核（Core）体系
内核是协议的具体实现者，现代格局可以概括为“Xray、sing-box、Mihomo 为主，其它内核为补充”。
第一梯队：全能御三家
这三类内核在当前生态中处于主导地位。绝大多数现代客户端内置的都是这三个内核之一。
| 内核名称 | 官方 GitHub 仓库 | 支持协议（概览） | 综合评价 |
|---|---|---|---|
| Xray-core | XTLS/Xray-core | VLESS (Reality/Vision), Trojan, Shadowsocks, VMess等 | 性能与伪装的标杆。从 V2Ray 分支并独立进化的顶级内核，首创了 Reality（无证书伪装）和 Vision 等底层黑科技，是目前直连方案的最强选择。 |
| sing-box | SagerNet/sing-box | VLESS、Trojan、SS/2022、SOCKS、HTTP、Hysteria2、TUIC、Naive 等 | 高度统一的多协议内核，Go 语言实现，支持新旧协议混合场景。适合作为服务端统一内核和移动端核心引擎。 |
| Mihomo（原 Clash Meta 内核） | MetaCubeX/mihomo | VLESS、Trojan、SS、VMess、Hysteria2 等 | 是 Clash 分流模型的核心实现。广泛用于 Clash Verge Rev、Clash Meta for Android、OpenClash 等客户端，是桌面与软路由分流场景的事实标准。 |
典型组合示例：
- VPS 服务端用 Xray / sing-box；
- 本机或路由器使用 Mihomo 作为 Clash 分流引擎；
- 客户端（桌面/安卓/iOS）根据平台选择相应前端，底层调用上述内核。
第二梯队：专用型与经典内核
| 内核名称 | 官方 GitHub 仓库 | 特点与备注 |
|---|---|---|
| v2ray-core（V2Fly） | v2fly/v2ray-core | 目前已进入 5.x 时代，虽然在“黑科技”上不如 Xray 激进，但它依然是活跃的开源项目 |
| shadowsocks-rust | shadowsocks/shadowsocks-rust | Rust 实现的 Shadowsocks 标准内核，轻量高性能，多用于路由器或资源有限环境。 |
| NaiveProxy | klzgrad/naiveproxy | 复用 Chromium 网络栈，伪装程度高，适合特定高对抗需求；需要专门客户端，生态相对小众。 |
已停止维护或闭源内核
| 内核名称 | 状态 | 说明 |
|---|---|---|
| Clash Premium（闭源内核） | ❌ 已删库 / 闭源不再分发 | 原版 Clash Premium 内核；现已停止维护，网络上传播的二进制存在安全风险，不建议使用。 |
| Clash Core（开源原版） | ❌ 已归档 / 停更 | 功能不完整，不支持现代协议，也缺乏维护，不适合作当前环境。 |
| Surge Core | 🔒 闭源 | Surge（iOS/macOS 商业软件）的自研内核，不单独提供，作为商业产品的一部分存在。 |
六、客户端（Client）与软路由插件
客户端是内核的“外壳”，负责：管理节点与订阅 / 定义分流规则 / 调用内核跑流量，选择客户端本质是在选择：它内置或支持的内核类型 / 它提供的规则系统和操作便利性。
⚠️ 安全提示： 科学上网工具是计算机安全的重灾区。请务必通过官方 GitHub Release 渠道下载客户端，严禁下载并使用来自搜索广告、不明 Telegram 频道或百度网盘分享的“破解版”或“汉化集成包”，以免遭受资产损失。
Windows 平台
| 客户端名称 | 内置/支持内核 | 推荐理由 |
|---|---|---|
| Clash Verge Rev | Mihomo | 强烈推荐。Clash for Windows 的现代替代，UI 设计良好，支持 VLESS/Trojan/Hysteria2 等现代协议，和 Clash 分流模型完全兼容。 |
| v2rayN | Xray / sing-box（部分版本） | 功能全面，支持多内核切换，适合需要深入调试、查看日志和自定义配置的用户。 |
| Clash for Windows | Clash Premium / 旧 Clash 内核 | 不推荐。原作者已删库，互联网上流传的版本来源不明，存在安全风险，且不支持新协议。 |
Android 平台
| 客户端名称 | 内置/支持内核 | 推荐理由 |
|---|---|---|
| Clash Meta for Android | Mihomo | 适合 Clash 用户的安卓端，实现与桌面端接近的配置与分流体验。 |
| v2rayNG | Xray | 结构简单、可靠性高，是 Xray 官方推荐的 Android 客户端之一。 |
| NekoBox for Android | sing-box | 对 Hysteria2/TUIC 等新协议支持较好，适合希望体验新型传输协议的用户。 |
iOS 平台（美区 App Store）
| 客户端名称 | 推荐理由 |
|---|---|
| Shadowrocket | 性价比较高（约 $2.99），支持协议全面（SS/SSR/VMess/VLESS/Trojan 等），更新频繁，适合大多数科学上网场景。 |
| Quantumult X | 功能更丰富（约 $7.99），分流和脚本系统深入，适合需要细致控制和自动化的进阶用户。 |
| Stash | 支持 Clash 配置格式，便于直接导入 Clash YAML 文件，适合习惯 Clash 分流语法的用户。 |
注：价格和上架情况会随时间变化，以 App Store 显示为准。
常见节点 URI 与订阅格式简要说明：
ss:// |
Shadowsocks URI |
ssr:// |
SSR URI（已过时，不推荐使用） |
vmess:// |
VMess URI（旧格式，新建节点不建议采用） |
vless:// |
VLESS URI（当前主力之一） |
trojan:// |
Trojan URI |
| Clash 订阅 | YAML 格式的配置集合，包含多个节点和规则 |
| 通用订阅 | 部分面板/机场提供的多格式订阅，需要相应客户端支持解析 |
OpenWrt 软路由插件体系
在 OpenWrt 等软路由系统中，科学上网相关插件本质上是：
Web 管理面板 + 流量重定向脚本 + 内核包装层。
底层仍然调用 Xray、sing-box、Mihomo 等内核，只是通过 Web UI 和脚本自动完成配置与重启。
常见插件与对应内核
| OpenWrt 插件名 | 调用的主要内核 | 对应 PC 端软件 | 适用场景 |
|---|---|---|---|
| PassWall / PassWall2 | Xray / sing-box | v2rayN 等 | 适合新手，界面清晰，支持现代协议，功能与复杂度平衡良好。 |
| OpenClash | Mihomo（原 Clash Meta 内核） | Clash Verge Rev 等 | 功能非常强大，全面支持 Clash 分流模型，适合需要复杂路由和规则的进阶用户，资源占用相对较高。 |
| HomeProxy | sing-box | NekoBox 等 | 为 sing-box 设计，配置简洁，性能突出，适合希望统一使用 sing-box 生态的用户。 |
| SSR-Plus+ | Xray / shadowsocks-rust 等 | 旧版 v2rayN 等 | 模块轻量，适合老硬件或资源较紧张的环境，目前更多作为历史兼容与轻量使用。 |
流量重定向的基本方式，软路由插件通常通过：
- iptables / nftables 规则；
- ipset / nft set 列表
- TUN 设备或透明代理端口；
来实现：
- 将局域网内设备的流量按源/目标 IP、端口等条件重定向到本机代理端口或 TUN 设备；
- 由 Mihomo / sing-box / Xray 等内核根据配置进行分流和转发；
- 达到“全屋设备统一分流”的效果。
七、Clash 到底是什么？
Clash 不是协议：没有“Clash 协议”这种东西。“Clash 订阅”指的是使用 Clash 所定义的 YAML 配置格式（包含 nodes、proxy-groups、rules 等），而不是某种新的网络协议。
Clash 是一种分流模型 + 内核实现，现代意义上的 Clash（尤其是 Mihomo）可以理解为：
- 一套分流模型：
- 使用
proxies、proxy-groups和rules来描述“节点 → 策略组 → 规则”的路由结构；
- 使用
- 加上一个实现这套模型的核心内核：
- 支持多种底层协议（VLESS/Trojan/SS/VMess/Hysteria2 等）；
- 提供透明代理、本地端口、TUN 等入口与多种出站方式。
它的核心价值在于：
- Rule-Based Routing（规则驱动路由）：
- 用户可以用统一语法描述：哪些域名/IP/GeoIP/端口/应用属于哪个策略组；
- 多平台统一配置：
- 一套 Clash YAML 配置可以在 Windows、macOS、Linux、Android、OpenWrt 等多个环境中以近似方式复用。
因此，理解 Clash，更重要的是理解它的分流抽象与配置语言，而不是停留在“某个具体客户端版本”的层面。
八、科学上网技术发展小史
技术不是一夜之间变成现在这个样子的，大致经历了几个阶段。了解这条演化路径，有助于你理解：为什么现在大家更推荐某些协议，而不是另一些。
| 大致阶段 | 代表技术 | 主要特点 |
|---|---|---|
| 早期 | 商用 VPN：PPTP、L2TP、OpenVPN | 整机 VPN，配置简单，但流量特征明显，分流能力弱。 |
| 中期 | Shadowsocks / SSR | 基于 SOCKS5 的轻量加密代理，开创了“规则分流”时代。 |
| 近几年 | V2Ray / Xray：VMess、VLESS、Trojan | 模块化平台，多协议、多传输封装，可结合 CDN 和复杂路由策略。 |
| 当前 | Hysteria2、TUIC、NaiveProxy | 重视高丢包环境下的性能与抗封锁能力，进一步强化伪装。 |
关键术语表
在使用 V2RayN 或 Clash 时，你经常会看到各种数字。看懂它们，你就能判断一个节点的好坏。
1、延迟 (Ping / Latency)
- 单位： 毫秒 (ms)
- 含义： 数据从你的电脑跑到服务器，再跑回来所需要的时间。
- 标准：
- 50ms：极快（通常是香港/台湾节点，或 IPLC 专线）
- 50ms - 150ms：流畅（日本/韩国/新加坡节点）
- 200ms+：一般（美国/欧洲节点）
- 注意：Ping 值低不代表下载速度快，只代表反应快（适合玩游戏、网页秒开）。
2、抖动 (Jitter)
- 含义： 延迟的稳定性。如果你的 Ping 一会儿 50ms，一会儿 300ms，这就是“抖动大”。
- 影响： 抖动大是游戏噩梦，你会感觉人物瞬移；看视频则会频繁缓冲。
3、丢包率 (Packet Loss)
- 含义： 数据包在路上“弄丢了”的比例。
- 影响： 它是网络质量的最核心指标。丢包率超过 5%，网页就会很难打开；超过 10%，基本处于断网状态。UDP 协议（如 Hysteria）对丢包有较好的抵抗力。
4、带宽 (Bandwidth / Speed)
- 单位： Mbps (兆比特每秒)
- 含义： 路有多宽。
- 对比： 延迟决定了响应速度，带宽决定了下载通量。看 4K/8K 视频，主要看带宽。
总结
通过上述内容，你可以把科学上网技术栈概括为：
1、层次结构
- 用户操作 客户端；
- 客户端启动和配置 内核；
- 内核依据 协议 完成加解密和转发。
2、避坑清单
- 避免在科学上网场景继续使用：
- SSR（已停更且特征明显）；
- PPTP/L2TP 等老旧 VPN 协议；
- 原版 Clash for Windows 或来历不明的 Clash Premium 内核。
3、长期维护的正确姿势
- 关注协议/内核的官方文档和 GitHub 仓库，而不是仅依赖教程或博客；
- 先掌握概念再套用脚本，遇到问题时能从“协议–内核–客户端”三个层次去排查，而不是只会重新导一次订阅。
如果你能把这篇内容里的核心概念消化掉，再去看各类“VLESS+Reality 教程”“Hysteria2 搭建指南”“OpenClash 配置示例”，理解成本会显著降低，也更容易判断哪些方案是长期可靠的。