AnyTLS 协议是什么：为什么机场越来越多在用，和 Trojan、Reality 的区别

它要解决的问题

2024 年前后，机场圈反复讨论一个现象：Trojan、VLESS + TLS 这类「伪装成普通 HTTPS」的协议，在部分地区和时段被精准限速或阻断，而同一台服务器上的真正 HTTPS 网站访问正常。公认的解释是 TLS in TLS 特征：代理流量在 TLS 隧道里再传一层 TLS（你访问网站的 HTTPS），两层握手叠加后的数据包长度和时序有可识别的规律，与真实的浏览器 HTTPS 流量不一样。

AnyTLS 就是针对这个问题设计的。它的核心思路有两条：

• 灵活的填充策略：客户端和服务端按一套可配置的 padding scheme 给数据包加填充，打乱包长度分布，让隧道里的流量看起来不像另一层 TLS 握手。填充方案可以更新，而不需要改协议。
• 连接复用与会话管理：在一条 TLS 连接里多路复用多个请求，并保持空闲连接以供复用，减少频繁握手带来的特征和延迟。

它的名字来源于设计目标：在任何 TLS 实现之上工作，不依赖特定的 TLS 库指纹。

为什么机场开始用它

有三个现实原因：

1. Trojan 的老化：Trojan 诞生于 2019 年，服役多年后特征被研究得比较透。机场发现同一台服务器上 Trojan 节点晚高峰被限速而其他协议没事。
2. Reality 的局限：VLESS + Reality 用「偷」真实网站证书的方式伪装，很有效，但要求服务端伪装的目标网站选择得当，配置相对复杂，且不少机场的面板和中转架构对它支持不够好。
3. 内核支持到位：2025 年起 mihomo 和 sing-box 两大内核先后加入 AnyTLS，覆盖了绝大多数活跃客户端，机场敢于在订阅里放 AnyTLS 节点而不用担心用户连不上。

所以你现在看到订阅里出现 AnyTLS 节点，是机场在给 Trojan 找接替者。各协议的整体图谱见 协议科普。

和几个常见协议的区别

几个要点：

• AnyTLS 和 Trojan 一样需要服务端有真实域名和证书，部署门槛相近，所以机场迁移成本低。
• 它和 Reality 解决的是同一类问题，路径不同。Reality 让握手像目标网站，AnyTLS 让握手后的数据不像内嵌 TLS。
• 它是 TCP 协议。在 UDP 被运营商 QoS 的地区，它比 Hysteria 2 稍微稳定；在丢包严重但 UDP 畅通的线路上，Hysteria 2 更能硬顶速度。
• 对普通用户来说，这些协议的加密强度没有实际差别，差别只在被识别和干扰的概率。

哪些客户端支持

按内核分最清楚：

mihomo（Clash Meta）内核：1.19 系列后支持。使用它的客户端包括 Clash Verge Rev、FlClash、Mihomo Party、ClashX Meta、Clash Meta for Android、ClashBox、ShellCrash 和 OpenClash 的 Meta 内核模式。保持客户端和内核都是近期版本即可。

sing-box 内核：1.12 起支持。包括 sing-box 官方 App（iOS / macOS / Android）、GUI.for.SingBox、Karing、Hiddify、husi、v2rayN 切到 sing-box 内核时。

独立实现：Shadowrocket 已加入 AnyTLS 支持；Surge、Stash、Loon、Quantumult X 这几家 iOS 客户端跟进节奏不一，以各自更新日志为准，购买前先查。

不支持：Xray 内核不实现 AnyTLS，所以 v2rayNG、v2rayN 的 Xray 模式、以及一切只用 Xray 的客户端不认 AnyTLS 节点。已停更的 Clash for Windows、Clash for Android、NekoBox 也不支持。

Clash Verge Rev 的安装与内核更新见 Clash Verge 教程，sing-box 系见 sing-box 教程。

不支持时怎么办

订阅导入后节点数量比官网说的少、或者日志里出现 unsupported type anytls 之类的报错，就是客户端不认。按顺序处理：

1. 更新客户端：多数情况下更新到最新版就解决。Clash Verge Rev 另外在「设置」里更新内核。
2. 换内核：v2rayN 用户在设置里把内核切到 sing-box；OpenClash 用户切到 Meta 内核。
3. 用订阅转换过滤：如果客户端确实不支持又不想换，在机场面板选「不含 AnyTLS」的订阅格式，或通过订阅转换服务排除该协议。多数机场为每种客户端提供了单独的订阅链接，详见 订阅链接是什么。
4. 换客户端：长期来看，还在用停更客户端的话，趁这个机会换到 mihomo 或 sing-box 系。

机场一般不会只提供 AnyTLS 节点，至少会同时保留 Trojan 或 VLESS 作为兼容选项。如果一家机场的订阅只有 AnyTLS 且不提供其他协议，老设备用户要慎重。

它是不是终极答案

不是。协议对抗是持续演进的过程，AnyTLS 的填充策略今天有效，不代表长期有效，它的设计也预留了更新填充方案的空间。对用户而言，比协议本身更重要的是机场是否持续跟进：节点协议多样、内核版本更新及时、出问题时能快速换方案的机场，比押注任何单一协议的机场更可靠。

从这个角度，订阅里同时提供 AnyTLS、VLESS Reality、Hysteria 2 的机场，比只有 SS 和 Trojan 的机场在技术维护上更积极。协议多样性可以作为选机场时的一个加分项，但不应是决定项，线路质量和 IP 属性对日常体验的影响大得多，见 线路科普。

对普通用户的实际意义

多数人不需要在意节点用的是什么协议，订阅导入后客户端自动处理。但有三个场景和 AnyTLS 直接相关：

节点突然少了一批：机场把部分节点从 Trojan 换成 AnyTLS，你的老客户端不认，这些节点在列表里消失。更新客户端或换内核即可恢复。

晚高峰 Trojan 节点被限速而 AnyTLS 节点正常：这正是协议设计要解决的场景。同一机场内如果两种协议的节点并存，晚高峰优先试 AnyTLS。

iOS 客户端跟进慢：iOS 端的闭源客户端更新节奏由开发者决定，可能滞后几个月。iOS 用户在订阅里优先保留 Trojan 或 VLESS 节点作为备选，不要只依赖单一协议。

怎么看机场有没有用 AnyTLS

节点名通常不标协议，要看订阅文件里每个节点的 type 字段，或在客户端的节点详情里看。Clash Verge Rev 右键节点可以查看配置；FlClash 点节点名能看到协议类型。机场官网的「支持协议」列表也会写，列表里出现 AnyTLS 的机场，通常也会同时提供 VLESS Reality 和 Hysteria 2，技术栈较新。

相关

Hysteria2 是什么 · VLESS Reality 是什么

本文为信息整理与个人经验，不构成购买建议。机场政策与软件界面可能变化，以官方为准。发现过期内容请 联系纠错。