2026-09-14 · 协议科普 · 约 8 分钟

VMess 和 VLESS 有什么区别:Shadowrocket 添加服务器前需要知道的几点

VMess 自带加密并带 alterId 字段,VLESS 去掉内置加密、依赖 TLS 等传输层;在 Add Server 里按服务商给的参数原样填写即可。

本文速览

本文适合已经持有自己的服务器参数或订阅、准备在 Shadowrocket（小火箭）中导入的用户。先区分协议认证、传输方式和 TLS，再检查 Add Server 中的对应字段；读完可以判断哪些参数必须照填、为什么不能直接切换协议，以及连接失败时应先查哪一层。本站不提供、不销售、不推荐服务器或订阅服务。

一、VMess 与 VLESS：认证、加密和传输分开看

VMess 与 VLESS 都用于客户端和服务器之间的代理通信，但两者不是同一种协议的两个速度档位。VMess 支持在协议层加密数据，常见配置还会包含 alterId；VLESS 简化了协议本身，不提供同样的内置数据加密机制，部署时通常配合 TLS 等安全传输机制保护连接。服务器启用哪一种，客户端就必须选择对应类型。

核对项VMessVLESS
身份凭据通常使用 UUID，必须与服务器端一致。通常使用 UUID，不能因为格式相同就跨协议使用。
协议内置加密支持协议层加密，具体方式按已有配置填写。不提供内置数据加密，应核对外层安全机制。
alterId历史兼容参数；采用 VMess AEAD 的配置通常为 0。没有对应的 alterId 参数，不应从 VMess 条目复制。
传输设置可采用 TCP、WebSocket 等，取决于服务器部署。同样需要匹配服务器采用的传输方式及相关字段。
TLS可以与协议层加密同时使用。常用于保护外层连接，但不能只凭协议名判断已启用。

理解参数时可以按三层拆开：UUID 等凭据用于识别用户，TCP 或 WebSocket 决定数据如何承载，TLS 负责加密连接并验证服务器身份。WebSocket 本身不等于加密；看到 VLESS 也不等于已经启用了 TLS。反过来，VMess 的协议层加密与外层 TLS 可以同时存在，并不是二选一。

结论：先匹配已有配置，再讨论协议选择

打开用户已有条目的详情，先核对协议类型、UUID、传输方式与 TLS。不要把 VMess 条目的类型改成 VLESS 来尝试提速；除非服务器也提供了对应的 VLESS 配置，否则认证和握手通常无法完成。

二、Add Server：按字段核对，不按协议名称猜值

手动添加时，从 Home 进入添加入口，打开 Add Server，先选协议类型，再输入服务器地址、端口和身份凭据。不同平台的字段布局可能不同，但这些参数之间的对应关系不变。以下端口和路径仅用于解释字段含义，不能作为可连接的服务器配置。

443
常见 TLS 端口示例；实际端口以已有配置为准
0
VMess AEAD 配置中常见的 alterId 值
/ws
WebSocket Path 示例；大小写和完整路径需匹配
  1. 核对服务器地址和端口。地址栏填写用户已有的域名或 IP，端口单独填写。不要把完整分享链接粘贴到服务器地址栏，也不要看到 TLS 就自动把原端口改成 443。
  2. 核对 UUID。复制完整字符串，避免遗漏连字符或带入空格。显示名称只是备注，名称相同不代表凭据相同。
  3. 核对 VMess 的加密方式和 alterId。按原始配置填写。alterId 不是网络延迟参数，不能通过调大数值提高速度；旧配置出现其他值时应先确认服务器要求，而不是套用统一数值。
  4. 核对传输方式。选择 WebSocket 时继续检查 Host 与 Path；选择其他传输时按对应参数填写。只改传输选项、不改服务器端配置，不能完成协议转换。
  5. 核对 TLS 和 Server Name。Server Name 用于 TLS 握手中的服务器名称指示及证书验证相关流程，可能与连接地址不同。不要直接用服务器 IP 替换原有域名。
  6. 核对附加参数。已有 VLESS 配置若包含 flow 等字段，应确认当前客户端支持并原样保留，不要把它理解为所有 VLESS 条目都需要开启的通用选项。

假设已有配置写明连接地址为一个 IP、TLS Server Name 为域名，二者不同不一定是错误：前者决定连接到哪里，后者参与 TLS 握手。WebSocket 的 Host 又属于 HTTP 层，不能仅因字段都像域名就互相替换。遇到证书错误，应先核对名称、证书有效期和设备时间，而不是关闭验证。

三、分享链接与 Subscribe：选择对应的导入流程

单个分享链接通常描述一个服务器条目，订阅地址则用于获取和更新一组条目。VMess 分享链接常以 vmess:// 开头，VLESS 分享链接常以 vless:// 开头；不要手动替换前缀，因为后面的编码格式、字段含义和服务器端要求也可能不同。包含 UUID 的分享链接和含 token 的订阅地址都应按凭据保管。

导入方案：区分单条参数与订阅更新地址

已有单条分享链接
  • 使用 Shadowrocket 的链接导入入口，导入后回到 Home 查看条目。
  • 打开条目详情，确认协议、地址、端口、TLS 与传输设置。
  • 参数发生变化时，重新导入新链接或按说明修改已有条目。
已有 Subscribe 地址
  • 在添加流程中选择 Subscribe，填写用户已有的订阅 URL 并保存。
  • 执行更新，等待 Home 出现服务器列表，再选择具体条目。
  • 后续参数变化先更新订阅；手工修改可能在下次更新时被覆盖。

订阅导入失败与服务器连接失败是两个阶段的问题；先确认列表已成功获取，再检查所选条目的连接。

用于识别订阅地址形态的假值是 https://example.com/sub?token=xxxx，它不提供实际服务。真实地址应完整粘贴，特别是问号后的查询参数；缺少 token、订阅到期或返回登录页面，都可能导致列表无法解析。订阅能够更新，只说明获取列表这一步成功，并不能证明每个服务器都可用。

四、Global Routing：区分连接问题与规则问题

导入完成后，在 Home 选择条目并开启连接，再检查 Global Routing。协议决定如何连接代理服务器，Global Routing 决定哪些流量使用该连接。若当前处于 Direct，网页能打开不代表 VMess 或 VLESS 已经可用；若 Config 中某个目标命中 DIRECT，也不能用这个目标验证代理服务器。

Config：按当前配置匹配规则

推荐

依次匹配当前 Config 中的规则，再执行对应策略；未命中前面规则的连接由 FINAL 处理，并非固定直连。

适合:日常使用、按域名和 IP 分流

Proxy：临时排除规则分流影响

让由 Shadowrocket 处理的流量使用代理路径，便于判断问题是否来自 Config 的规则或策略选择。

适合:短时验证所选服务器，测试完成后恢复日常设置

Direct：对照直连结果

让由 Shadowrocket 处理的流量直接连接目标，不经过代理服务器，因此不能用它验证代理认证是否成功。

适合:比较目标在当前网络下的直连表现

以下只是规则语法示意，不是完整 Config 文件。使用前需要确认配置里确实存在名为 PROXY 的策略，并理解规则从上到下匹配。DOMAIN-SUFFIX 匹配域名后缀，GEOIP 按 IP 地理数据库匹配，IP-CIDR 匹配地址段，FINAL 承接前面没有命中的连接。

DOMAIN-SUFFIX,example.com,PROXY
IP-CIDR,192.168.0.0/16,DIRECT
GEOIP,CN,DIRECT
FINAL,PROXY

若同一条目在 Proxy 下能访问目标、在 Config 下失败，应回到 Config 检查目标命中了哪条规则、策略指向哪里，而不是立即换协议。Global Routing 中的 Scene 用于场景选择，不是第四种代理协议；排查时先固定一种模式和同一个条目，避免场景切换干扰对照。

五、连接失败：按可观察的现象逐层排查

一次只更改一个参数，并保留原始条目用于恢复。记录失败发生在“订阅更新”“建立连接”还是“访问具体目标”阶段，比只记“打不开”更有用。端口可达也不代表认证通过，延迟测试成功更不等于所有应用请求都能完成。

VMess 改成 VLESS 后就连不上了，哪里填错了？

先恢复原条目的 VMess 类型和参数。只有服务器端提供对应 VLESS 配置时，才新增 VLESS 条目并填写它的 UUID、传输和 TLS 参数；不要继续在旧条目上试改类型。

端口能连通，但 TLS 握手报错怎么办？

进入条目详情，对照原始配置检查 TLS、Server Name 和端口，再检查设备日期与时间。连接地址是 IP 时尤其要保留原有 Server Name；证书不匹配应核实配置，不以关闭证书验证作为常规处理。

WebSocket 条目一直失败，要改 Path 吗？

先核对传输方式确为 WebSocket，再逐字比对 Host 和 Path，包括开头的斜杠、大小写及查询参数。错误路径可能收到 HTTP 404，握手被拒绝也可能与反向代理配置有关；不要把所有失败都归因于 UUID。

为什么关掉连接后又自动打开？

检查 Settings → On Demand 中的启用状态及条件。排查时可暂时停用 On Demand，固定连接开关状态后再测试；完成后按原有需求恢复。On Demand 控制按条件触发连接，不会把 VMess 转换成 VLESS。

VLESS 一定比 VMess 快吗？

不能只看名称判断。若用户已有两种可用配置，应在同一网络、同一目标和相近时段分别测试，并记录传输方式、是否启用 TLS 及失败现象。服务器负载、链路丢包与网络路径都会影响结果。

完成一次对照后，把 Global Routing 恢复为日常使用的 Config，并确认实际选中的服务器没有因订阅更新发生变化。若仍失败，向用户已有服务的维护方提供错误阶段、传输方式和脱敏日志即可；UUID、订阅 token 和完整分享链接不应放入公开截图。关于 Home、Config 与连接开关的基础操作，可继续阅读站内使用教程。

下载 Shadowrocket