2026 REALITY是什么？VLESS、XTLS Vision与客户端配置关系详解

技术资料核对：2026年11月1日。 本文讨论常见的 VLESS + XTLS Vision + REALITY 组合，重点是概念、版本兼容与验收，不提供未经运行验证的一键部署脚本，也不将官方支持写成大陆实测结果。

REALITY是什么？先分清五个名字

REALITY是传输安全方案，VLESS是代理协议，XTLS Vision是流控模式，RAW/TCP是传输方式，Xray是实现这些能力的程序。 它们不是五款互相替代的VPN。配置里同时出现这些名称，通常是在描述不同层次的组合，而不是重复加密五次。

项目对REALITY的定位见Project X传输安全文档。RAW说明则解释传输层的角色。本文使用经典RAW/TCP组合讲解，不意味着REALITY只能用于这一种传输；当前官方文档也列出XHTTP、gRPC，具体组合仍须核对实现。

REALITY连接走哪里？目标站不是CDN中转

理解连接时，应把“你的节点”“REALITY目标站”“实际访问的网站”分开。正常授权代理请求的业务路径是：客户端连接自己的节点，节点根据请求访问业务目的地。REALITY目标站参与握手外观及特定回落行为，不等于目标站替你承载全部代理业务，也不等于给节点套上CDN。

REALITY官方仓库提供服务端与客户端配置关系。选择目标时不能只看“网站能打开”：还应核查节点到目标的可达性、握手要求及使用边界。不应把第三方服务的品牌声誉解释为自己节点获得了安全背书。

对于商业服务，建议把节点地址与目标地址分列在资产表中。排障时分别记录“客户端能否到达节点”和“节点能否完成所需的目标握手”，避免把其中一个成功误认为整条链路成功。不要公开私钥、完整订阅或带凭据的诊断截图。

encryption为none，是不是没有加密？

不是只看一个字段就能判断。 经典组合里的VLESS encryption: "none"表示未启用VLESS自身的加密扩展；外层是否使用REALITY或TLS，需要另看传输安全设置。不能为了消除报错，把外层也改成无安全保护，再把这种连接当作同等安全的替代。

2026年的VLESS出站文档已经包含独立的VLESS Encryption功能，因此“VLESS永远完全不提供加密”也不准确。本篇不混用这一新功能与经典REALITY配置；采购或开发时应明确选择哪条技术路线。TLS配置文档可用于理解普通TLS方案与REALITY配置的区别。

工程上建议把配置审查拆成三项：用户身份正确、传输安全启用、业务请求确实经过预期出口。任意一项成功，都不能代替另外两项。

2026客户端兼容：先看内核，再看应用名称

客户端应用负责界面、订阅导入和系统接管；内核负责具体连接。相同名称的应用在不同平台或版本中可能使用不同内核。客服只问“你用哪个App”通常不够，还需要内核版本、服务端版本及最终生成的配置。

依据分别为Xray-core仓库、sing-box VLESS出站与Mihomo VLESS配置。此表不是实机认证名单。

特别注意版本分歧：核对时，Mihomo的官方TLS文档明确表示不考虑兼容Xray v26.7.11及以后版本。 这是该项目的兼容性声明，不是我们对所有版本组合的实测结论。不能因为两边都写着REALITY，就假定最新版可以互通。应选择仍受维护且明确支持的组合，在升级前验证；不要为了兼容盲目降级到失去安全维护的版本。详见Mihomo TLS与REALITY选项。

password、publicKey、public_key到底填哪个？

这些拼写来自不同实现或不同版本，不能机械替换整份配置。当前Xray文档把客户端原先称为publicKey的参数称作password；它对应服务端X25519私钥的公开部分，但这里承担客户端接入所需的信息，不应因为旧名称带有“public”就随意公开。它不是VLESS UUID，也不是面板登录密码。

表格用于字段辨认，不是完整配置模板。sing-box嵌套结构与服务器名称规则见官方TLS文档。例如sing-box VLESS出站中的network表示启用TCP还是UDP业务，不能直接当作Xray的传输类型字段复制。Xray的RAW与旧TCP名称也应按实际版本核对。

对于订阅转换器，建议保存脱敏的输入、输出及版本号，逐项比较字段有没有丢失。能导入、能保存、能生成二维码，都不是连接成功的证据。

UUID、serverName、shortId与时钟怎么检查？

服务端与客户端至少有两类对应关系：VLESS用户授权，以及REALITY参数匹配。服务端授权用户与流控模式应参照VLESS入站文档；不要将面板账号、节点认证和客户端配置混成同一种凭据。

• **UUID：**核对实际授权用户，避免复制示例里的身份标识或把不同环境的用户混用。
• **serverName：**正常域名模式下，应与服务端允许列表和目标握手条件对应，不是随便填一个知名网站。服务端允许列表不是通配符匹配器。
• **shortId：**Xray要求十六进制、偶数长度、最多16个字符；空值仅在服务端允许时才成立。其他实现的接受范围应以安装版本为准，不要通过截断字符“修好”配置。
• **时钟：**VLESS自身的身份认证不等于必须校验时间，但REALITY服务端可设置时间差限制；Xray的maxTimeDiff单位是毫秒。排障时核对双方系统时间及实际启用的限制，不应把所有失败都归因于时区。

建议在工单中记录“时间偏差是多少、限制是多少、改动前后结果如何”，而不是只写“已经同步时间”。设置极窄阈值会增加运维负担；关闭限制也不能作为通用安全建议。

安全边界：哪些信息不能公开？

服务端私钥必须留在受控环境中。订阅链接、UUID、客户端接入参数和管理面板凭据也不应进入公开仓库、论坛截图或分析平台。公开文章可以解释字段含义，但不能把实际生产凭据当作示例。

建议将用户撤销和密钥轮换分开设计：撤销某个用户应有明确的授权失效流程；共享节点密钥变更则可能影响一批客户端，需要发布计划与回退窗口。监控采集连接状态、错误类别和必要的资源指标即可，不要为了排查握手问题默认采集用户浏览内容。

REALITY也不会自动修复服务器漏洞、错误路由或泄露的后台密码。未经授权的回落流量可能消耗节点资源，目标站的选择及回落带宽应纳入运营检查。故障时不应直接开放额外管理端口，或关闭所有验证来换取表面连接成功。

REALITY连不上：按层排查，不要反复换协议

以下是VPNDevelop建议的排查矩阵，属于工程检查方法，不是本网站已完成的生产测试结果。

每次只改一个变量，并保留可恢复的旧配置。先验证一个受控业务请求，再扩大到下载、长连接和网络切换。Ping成功只能说明特定探测有响应，不能确认REALITY认证、VLESS授权或应用路由正常。

Vision与UDP 443：为什么同一份订阅表现不同？

Vision名称相同，不代表所有实现对UDP 443的处理相同。Xray区分xtls-rprx-vision和带udp443后缀的行为；Mihomo文档指出，其对应flow行为与Xray允许UDP 443的变体相当。因而浏览器是否走QUIC、是否回退到TCP，可能因实现和规则不同而改变。

运营团队应把“TCP网页请求”“UDP业务”“QUIC行为”拆成独立验收项，不要用网页能打开推断游戏语音可用。若某类业务失败，先确认转发与规则，再判断是否需要备用连接方案。对于跨内核产品，订阅转换测试必须覆盖这一差异，而不能只比对节点名称。

中国大陆能不能用？答案必须带测试条件

REALITY是候选连接方案，不是地域可用保证。 客户端版本正确、参数匹配，也可能受到入口可达性、运营商路径、节点负载或业务目标限制。反过来，一次连接失败也不能证明整个协议在所有地区失效。

我们建议将结果至少写成“日期＋地区＋运营商＋网络类型＋节点区域＋双端版本＋业务测试”。只记录协议名字的排行榜缺乏可复核性。未完成这些测试前，不能写“大陆稳定”“长期可用”或把某个成功截图推广到所有用户。

不同网络条件下如何选择TCP或UDP候选，可以结合REALITY、Hysteria 2与AnyTLS对比与大陆VPN协议连接条件阅读；这些选择仍需要落到真实线路测试。

商业客户端交付怎样验收？

以下“VPNDevelop REALITY兼容与验收矩阵 v1.0”是建议模板，可用于采购需求或测试计划，未填入虚构成绩。

不要把一台开发电脑连接成功当作全平台交付。移动端后台行为、桌面TUN权限和自动更新都属于客户端工程范围；协议内核只是其中一部分。完整产品关系见如何开发一款VPN App，节点运营关系见VPN节点系统完整架构。

REALITY常见问题

REALITY和VLESS是同一个协议吗？

不是。常见组合中，VLESS处理代理与用户身份，REALITY负责传输安全。不能拿其中一个名称替代整套配置。

REALITY一定要配XTLS Vision吗？

不能将常见组合当作唯一组合。是否使用Vision及可选传输应按双方实现核对；本篇聚焦经典VLESS＋Vision＋REALITY，不替其他组合背书。

REALITY需要自己购买域名和证书吗？

不能简单照搬普通TLS证书部署的要求。REALITY有自己的密钥与目标握手机制；节点地址、面板域名和普通网站证书又是不同问题，仍需按实际系统设计配置。

password是不是我的面板登录密码？

不是。当前Xray此字段对应REALITY客户端所需的密钥信息，与VLESS UUID及面板账号密码不同。应从受信配置管理流程获取。

可以把目标站当作免费CDN吗？

不可以这样理解。目标站不是你的业务流量CDN中转。节点资源、出口与运维责任仍由自己的系统承担。

shortId为空为什么有的客户端能连接？

要看服务端是否允许以及实现版本是否接受。不要因为某个配置能用，就将空值当作所有环境的通用默认值。

更新客户端后失败，应该马上降级吗？

先核对实际内核变化和兼容性声明，再在受控环境复现。回退必须考虑安全维护与已知问题，不能长期停留在不受支持的版本。

REALITY、AnyTLS和Hysteria 2谁最快？

不能仅按名称排序。网络的TCP/UDP条件、丢包、服务器负载和客户端实现会改变结果；需要同线路、同业务、同时间窗口的对照测试。

结论：先验证组合，再讨论可用与性能

REALITY配置的关键不在于收集更多“推荐参数”，而在于明确每层职责、使用兼容版本并保留测试证据。先确认身份、握手和路由，再验证业务与恢复，最后才讨论性能和容量。需要将这套能力集成到产品，可查看VPN协议与SDK开发服务，并提交目标平台、双端版本和验收场景。