VMess・VLESS・Trojan・SS 比較:ハンドシェイク負荷・遅延と用途別の選び方

ハンドシェイク経路:4つのプロトコルはそれぞれ何往復多いのか

プロトコル間の差は、半分はハンドシェイク、半分は暗号化層から生まれます。ハンドシェイクは「接続確立に何往復必要か」を、暗号化層は「パケット1つあたりどれだけ CPU とバイト数を消費するか」を決めます。VMess と VLESS は同じ Project V 系の出身です。VMess は認証と暗号化層を自前で持ち、VLESS は暗号化を外側の TLS または REALITY に完全に任せ、自身はごく簡素なリクエストヘッダーだけを保持します。

Trojan は偽装路線で、認証情報を TLS 確立後の最初のデータに載せるため、ハンドシェイクのコストは通常の HTTPS ハンドシェイク1回とほぼ同じです。Shadowsocks は別の発想で、TLS を被せず AEAD でストリーム全体を直接暗号化し、クライアントは接続後すぐにデータを送れます。

4つのプロトコルを同じ表に並べると、違いは往復回数とヘッダーのバイト数という2列に集中します。

表の追加往復は TLS なしの TCP を前提とした数値で、ヘッダー負荷には TLS レコード層は含みません。実際のバイト数はアドレス種別(ドメイン、IPv4、IPv6)によって変動します。VMess や VLESS を WebSocket + TLS に載せると、さらに TLS の往復が1〜2回加わります。同じ回線でも、TLS なしの TCP の VLESS が WebSocket + TLS の VMess より先に最初のバイトを返すのはこのためです。

ハンドシェイク負荷を初回バイト遅延に換算すると

1リクエストの総遅延は、おおむね回線の RTT × 往復回数にサーバー側の処理時間を足したものになります。海外回線で片道 80 ms なら、1往復は約 160 ms です。TLS 1.2 のハンドシェイクは TLS 1.3 より1往復多く、初回バイトもその分だけ、この回線では約 160 ms 遅れます。

ページを1つ開くとき、接続は1回ではなく十数回に及びます。ブラウザの接続再利用である程度は削減できますが、新しいドメインごと、サブスクリプション更新ごと、アプリごとのリクエストごとにハンドシェイクがやり直されます。プロトコル間の差は、この「ハンドシェイクのやり直し」の回数によって増幅されます。

VLESS        TCP 1 往復 → リクエストヘッダーを初回パケットと同時に送信、合計 1 往復
VMess        TCP 1 往復 → 認証ヘッダーを初回パケットと同時に送信、合計 1 往復
Trojan       TCP 1 往復 → TLS 1.3 ハンドシェイク 1 往復、合計 2 往復
Shadowsocks  TCP 1 往復 → AEAD ペイロードを直接送信、合計 1 往復

この階段を4つのプロトコルに当てはめると、VLESS と Shadowsocks は TCP の1往復だけで済み、VMess AEAD も認証ヘッダーが1つ増えるだけで往復は消費しません。Trojan と、TLS を被せた VMess・VLESS は1〜2往復多く支払います。プロトコルを選ぶときは、まず往復回数を数え、それから他のパラメータを検討しましょう。

モバイルでの消費電力:暗号化方式と接続回数

Android での消費電力の大半はプロトコル名ではなく、2つの要素で決まります。暗号アルゴリズムにハードウェアアクセラレーションが効くか、そして単位時間あたりの接続回数です。ARMv8 以降のスマホ SoC は一般に AES 命令セットを備えており、VMess と Shadowsocks で aes-128-gcm を選べば CPU 使用率は低く抑えられます。古い ARMv7 端末でのみ、chacha20-ietf-poly1305 のソフトウェア実装のほうが速くなります。

接続回数は Mux 多重化と関係します。v2rayNG のノード編集画面には「Mux を有効にする」スイッチがあり、オンにすると複数のリクエストが同じ接続を再利用し、ハンドシェイク回数が減ります。メッセージ系アプリのような高頻度・小リクエストに向きますが、大きなファイルのダウンロードでは逆にオフを推奨します。1本の接続がボトルネックになるためです。

回線品質が異なれば、このローカルパラメータの取捨選択も変わります。

用途別のプロトコル選び:4つの組み合わせの守備範囲

プロトコルは転送方式と組み合わせて初めて、サブスクリプションで実際に使えるノード形態になります。以下の4つの組み合わせで、サブスクリプションに現れるノード種別のほとんどをカバーできます。

4つの組み合わせに絶対的な優劣はありません。VLESS + REALITY はハンドシェイクを最小に抑えつつ自己署名証明書も不要、Trojan は設定項目が最も少なく、VMess + WebSocket は CDN 中継が必要な場面ではほぼ唯一の選択肢、Shadowsocks は回線自体がクリーンなときに最もオーバーヘッドが小さくなります。

クライアントでの確認:プロトコル別フィールド対照表

プロトコル選定をクライアント側に落とし込むと、いくつかのフィールドの確認になります。v2rayNG ではノードを長押しして「編集」を開くと、別名、アドレス、ポート、ユーザー ID、alterId、暗号化方式、flow、転送方式、偽装ドメインが確認できます。v2rayN では「サーバー」メニューでノードを選んで「編集」をクリックし、フィールドは Android 版と一対一で対応します。

プロトコルによって使うフィールドは異なります。以下の対照表はチェックリストとして使えます。

ポートについて、v2rayN はデフォルトでローカルに 10808(SOCKS)と 10809(HTTP)を開き、v2rayNG のローカル SOCKS ポートも同じく 10808 です。この2つのポートは本機のアプリ専用で、ノードサーバー側の 443 や 8443 とは別物です。トラブルシューティングの際に混同しないよう注意してください。

パラメータを変更したらノード一覧に戻り、まず実接続の遅延テストを行い、それからページを開いてプロキシが効いているか確認します。速度テストは正常なのにページが開けない場合は、ルーティングモードとアプリ別プロキシで対象アプリが除外されていないかを優先的に確認してください。

よくある質問