VPN 术语表：值得了解的关键术语
这份 VPN 术语表定义了使用 VPN 时最常遇到的术语 — VLESS、Reality、WireGuard、AmneziaWG、Hysteria2、DPI、GFW、DNS leak、kill switch、no-logs、obfuscation 和 jurisdiction — 每一条都简短而精准。
- 12 个关键术语，分为 3 组：协议、网络过滤与检测、隐私与安全
- 覆盖 TUKTUKVPN 的全部协议：VLESS、Reality、WireGuard、AmneziaWG、Hysteria2
- 解释网络用来识别和屏蔽 VPN 的 DPI 与 GFW，以及混淆技术的含义
- 隐私术语：DNS leak、kill switch、no-logs、jurisdiction
协议与传输
- VLESS
Xray/V2Ray 家族的传输协议，设计轻量、无状态，本身不带加密层。通常与 Reality 或 TLS 搭配使用，因此其流量看起来与普通 HTTPS 相同。TUKTUKVPN 运行的协议之一（VLESS+Reality）。
- Reality
Xray 的一种技术，让 VPN 流量看起来像通往知名真实网站的正宗 TLS 连接——即普通 HTTPS——而无需自己的证书。这是对其工作方式的描述；对于屏蔽 VPN 的网络，TUKTUKVPN 不作任何声明。
- WireGuard
一种现代 VPN 协议，代码精简、采用最新的密码学，速度快、耗电低 — 是当今最流行的标准。它的局限：数据包格式相当独特，因此在严格过滤的网络上会被 DPI 识别并封锁。
- AmneziaWG
WireGuard 的修改版分支，改变了数据包的特征，使其不带 WireGuard 的常见签名，同时保留 WireGuard 的速度。TUKTUKVPN 将 WireGuard/AmneziaWG 作为其协议之一。
- Hysteria2
基于 QUIC/UDP 的协议，借助激进的拥塞控制应对丢包或高延迟的网络——因此在质量差的连接或长距离国际线路上通常能提供更好的吞吐量。
- Shadowsocks
一种起源于中国、因防火长城而出现的开源加密代理。现代 DPI 系统越来越能识别它的流量特征，因此原生 Shadowsocks 被检测和封锁的频率远高于从前。TUKTUKVPN 改为运行 VLESS+Reality，其流量看起来与普通 HTTPS 相同。对于屏蔽 VPN 的网络，我们不作任何声明。
- OpenVPN
历史悠久的开源 VPN 协议 — 安全、久经实战考验，几乎所有设备和路由器都支持。它的短板与年龄相伴：代码库沉重、吞吐量明显低于 WireGuard，流量模式也相当容易被 DPI 识别。TUKTUKVPN 转而运行 WireGuard/AmneziaWG、VLESS+Reality 和 Hysteria2。值得了解它，是因为许多老牌 VPN 服务仍把它作为默认协议。
Web 与加密基础
- TLS传输层安全（Transport Layer Security）
HTTPS 和浏览器挂锁背后的加密协议，保护你与所访问网站之间的大部分流量。Reality 模仿与真实网站之间的正宗 TLS 握手，因此 VLESS + Reality 的流量看起来与普通 HTTPS 相同。对 VPN 用户来说，TLS 有双重意义：它保护普通网页流量，也是 VLESS + Reality 流量所采用的形式。
- SNI服务器名称指示（Server Name Indication）
TLS 握手中告诉服务器你要访问哪个网站的字段——以明文发送，因此即使其余内容都已加密，网络路径上的任何人都能读到目的地。审查者正是利用这一点：凡是 SNI 写着被禁网站的握手一律掐断。Reality 出示的是真实网站的 SNI，因此它的握手看起来与普通 HTTPS 相同。这是对设计的描述；对于屏蔽 VPN 的网络，TUKTUKVPN 不作任何声明。
- QUIC
一种运行在 UDP 而非 TCP 之上的现代传输协议——由 Google 设计、IETF 标准化，是 HTTP/3 的基础。它建立连接更快，从丢包中恢复更平稳，并避免了 TCP 的队头阻塞。TUKTUKVPN 的协议之一 Hysteria2 构建于 QUIC 之上——这就是它连接快、在丢包的酒店或移动网络上表现稳定的原因。对 VPN 用户来说，QUIC 是网络差时仍能保持速度的原因。
- HTTP/3
最新版本的 HTTP，运行在 QUIC（UDP）而非 TCP 之上，Google、Cloudflare 等大型平台已经在提供。Hysteria2 运行在同样的 QUIC 传输之上，因此能很好地应对丢包的连接。
网络过滤与检测
- DPI深度包检测（Deep Packet Inspection）
由 ISP 或国家对数据包内容进行的深度检查，即使数据本身已加密，也能识别并屏蔽 VPN 流量。像中国防火长城这样的大型审查系统把 DPI 当作主要工具。
- GFW防火长城（Great Firewall）
中国的互联网审查系统，综合运用 DPI、DNS 污染、连接重置，以及对可疑服务器的主动探测，来封锁网站和 VPN。被广泛认为是世界上最精密的互联网过滤系统之一。
- Obfuscation流量混淆
让 VPN 流量看起来像别的东西——普通 HTTPS 或 QUIC——或抹去协议特征的技术。例如，VLESS + Reality 的流量看起来与普通 HTTPS 相同。混淆描述的是流量的样子，并不保证能够连接；对于屏蔽 VPN 的网络，TUKTUKVPN 不作任何声明。
- Active probing主动探测
一种审查技术——最著名的使用者是中国的防火长城——审查者不只是观察流量，而是伪装成客户端主动连接可疑的 VPN 或代理服务器，在封锁前确认其真实身份。Shadowsocks 等较老的协议就曾以这种方式暴露。到达 Reality 服务器的探测会收到它所模仿的真实网站的响应；对于任何协议面对主动探测的表现，我们不作任何声明。
隐私与安全
- DNS leakDNS 泄漏
指 DNS 请求（把网站名称解析为 IP 地址）绕过 VPN 隧道、跑到 ISP 的服务器上 — 让 ISP 即使在你连接 VPN 时也能看到你访问了哪些网站。设计良好的 VPN 必须防止 DNS 泄漏。
- Kill switch紧急断网开关
在 VPN 掉线的瞬间立即切断互联网访问的功能，确保真实流量和真实 IP 在空档期不会泄漏到隧道之外。对需要持续隐私的人来说是必不可少的保护。
- No-logs无日志
业内用来指代服务商数据留存立场的简称 — 它保存什么、保存多久，以及法院可以强制它交出什么。TUKTUKVPN 只保留服务运行所需的数据：你的账户、你在套餐内已使用的流量，以及你的设备。泰国法律要求留存的数据，我们会留存，并如实说明。
- Jurisdiction司法管辖权
VPN 公司注册所在、并受其法律管辖的国家 — 它决定了国家能在多大程度上强制其交出或留存用户数据。TUKTUKVPN 在泰国法律下运营，该法要求服务提供者留存特定的流量数据；请将这一点与数据留存政策本身一并权衡。
访问与性能
- Geo-blocking地域封锁
按观看者 IP 推断的所在地限制内容 — 这就是为什么同一段视频在一个国家能播放，在另一个国家却显示“您所在的地区不可用”，原因通常是地区性版权授权协议。VPN 把你的流量经由另一个国家的服务器转发，服务看到的就是那个国家的 IP；是否允许这样做，取决于各服务自己的使用条款。对多数人来说，这就是切换出口国家的日常理由。
- ISP throttling运营商限速
指互联网服务商刻意放慢特定类型的流量 — 视频流媒体、游戏 — 而不是整条连接。限速的前提是先识别出流量类型；VPN 加密隐藏了流量的种类，运营商便无从单独挑出它来降速。如果测速结果正常、却有某个应用慢如蜗牛，限速就是头号嫌疑 — 而这恰恰是 VPN 常能击败的对手。
- VoIP网络电话（Voice over IP）
通过互联网而非电话网络进行语音和视频通话，例如 WhatsApp、FaceTime 和 Zoom。一些国家对此有所限制：尤其是阿联酋，为保护持牌电信服务而屏蔽了许多通话应用。对于在这类网络上通过 VPN 通话，我们不作任何声明，而且当地规定依然适用。这对依赖免费打电话回家的旅行者和外派人员最为重要。
常见问题
为什么这些术语值得了解？
理解 DPI、混淆（obfuscation）、no-logs 和 kill switch 这些词，能帮你判断哪款 VPN 真正适合你的需求 — 尤其是在重度过滤的网络上，或以隐私为首要考量时。
Reality 和 AmneziaWG 有什么区别？
两者都会改变 VPN 流量在网络上的样子，但基础不同：Reality 是 Xray 的技术，让 VLESS 流量看起来与普通 HTTPS 相同（即通往真实网站的 TLS 连接）；AmneziaWG 则是改变了 WireGuard 数据包形态的修改版 WireGuard。TUKTUKVPN 两者都用并自动切换；这是对协议的说明，并非对屏蔽 VPN 的网络作出的声明。
TUKTUKVPN 会保存我的哪些数据？
我们保存服务运转所需的信息：你的账户、按套餐计算的用量，以及你的设备。泰国法律要求留存的数据，我们会留存并如实说明 — 完整细则见隐私政策页面。