传输方式与安全层

传输方式决定数据包在客户端与服务器之间如何承载，安全层决定它们如何被加密和伪装， 而 FinalMask 可以对剩下的部分进行混淆。面板只提供有效的组合；本页列出每一种传输方式的 设置项以及面板强制执行的规则。

传输方式

在入站/出站表单中选择传输方式（入站的 network）。每种网络会在传输链路上写入它自己的 设置键（tcpSettings、kcpSettings……）。

TCP (Raw) — tcpSettings

mKCP — kcpSettings

WebSocket — wsSettings

gRPC — grpcSettings

HTTPUpgrade — httpupgradeSettings

HTTPUpgrade 是一次性的 HTTP/1.1 Upgrade，没有 WebSocket 帧——因此没有心跳字段。

XHTTP — xhttpSettings

XHTTP（SplitHTTP）有一组庞大的字段；面板会填入合理的默认值。你通常会改动的那些：

Session-ID 字段（sessionIDPlacement、sessionIDKey、sessionIDTable、 sessionIDLength）以及 scMin/MaxEachPostBytes 旋钮属于高级项；除非要匹配某个特定的 上游，否则保持为空。

Hysteria — hysteriaSettings

仅当协议为 Hysteria2 时有效。

FinalMask — 末层混淆

FinalMask 在传输方式和安全层之后包裹流量，因此它既能伪装那些承载不了 TLS 的 传输（如 mKCP），也能在 TLS 之上再加一层外壳。掩码按方向分别配置：

• TCP 掩码 — fragment、sudoku、header-custom、xmc（把流量伪装成 Minecraft 协议；密码必填，主机名和玩家用户名可选）。
• UDP 掩码 — salamander、mkcp-legacy、header-custom、xdns、xicmp、 noise、sudoku、realm。（mkcp-legacy 重现旧版 mKCP 的头部混淆。）
• QUIC 参数 — 拥塞控制（reno、bbr、brutal、force-brutal）、Brutal 上/下行 速率、udpHop（在一个范围内轮换 QUIC 端口以规避端口封锁）以及接收窗口调优。

FinalMask 取代了旧版 Xray 构建中暴露的、按每种传输各自实现的 header/seed 混淆。

sockopt — 底层套接字选项

sockopt 与任意传输方式一同生效，用于调优底层套接字。最有用的字段：

保持为 0 的数值字段不会写入传输链路，因此 Xray 会沿用操作系统的默认值。高级条目 （happyEyeballs、customSockopt[]、keepalive 计时器）可用于特殊场景。

安全

安全层为 none、tls 或 reality 三者之一，并遵循以下适用规则：

mKCP 和 Hysteria 不使用单独的 TLS/REALITY 层——mKCP 以明文运行（用 FinalMask 混淆）， 而 Hysteria 在设计上就是 QUIC/TLS。REALITY 会把你的服务器伪装成一个真实的 TLS 站点， 且无需证书——参见 REALITY。

XTLS-Vision 流控

xtls-rprx-vision 流控既快速又能抵抗 DPI。在以下任一情况下，它都可用于 VLESS：

• 传输方式为裸 TCP，安全层为 TLS 或 REALITY（经典的 XTLS-Vision），或者
• 传输方式为 XHTTP 且启用了 VLESS 加密（见下文）。

请在 VLESS 客户端上设置流控，而不是在入站上。在 TCP 上使用经典 Vision 时，一旦某个 客户端使用该流控，面板还可以提供一个 Vision seed。

VLESS 加密（ML-KEM）

VLESS 支持后量子加密（ML-KEM / mlkem768x25519），它存储在入站的 decryption （服务器）以及客户端的 encryption（用于生成链接）中。启用后，它会解锁在 XHTTP 之上的 Vision 流控。请从面板的 VLESS 设置中生成密钥。

Shadowsocks 加密方式

Shadowsocks 入站同时支持经典加密方式和 Shadowsocks-2022（以 2022-blake3- 开头的方法名）。大多数加密方式支持多用户；2022-blake3-chacha20-poly1305 为单用户。