Trojan 协议是什么?把代理流量伪装成 HTTPS

Trojan 的设计思路可以用一句话概括:不发明新的加密,直接借用现成的 HTTPS。

它和前一代协议的根本差别#

Shadowsocks 这类协议的流量是「一段加密数据」—— 不像任何常见协议,在识别严格的环境里反而显眼。

Trojan 换了个思路:跑在标准 TLS 之上。在网络中间人看来, 你只是在访问一个使用 HTTPS 的普通网站——因为从握手到数据传输,它确实就是标准 TLS。

密码错误时会发生什么#

这是 Trojan 设计里最巧妙的一点。客户端连接后发送一个密码用于校验:

• 校验通过 → 服务端按代理请求处理;
• 校验失败 → 服务端把这个连接当作普通网页请求,返回正常网页内容。

也就是说,拿探测流量去试的人,得到的响应和访问一个普通网站没有区别, 无法据此判断这是不是代理服务端。这个行为通常叫「回落」。

代价与依赖#

Trojan 的隐蔽性建立在服务端配置规范这个前提上:

• 需要真实域名与有效 TLS 证书——证书不匹配会让流量显得可疑;
• 回落目标要设置得合理——回落到一个空白页或明显异常的站点会露馅;
• 域名本身的历史与信誉也有影响。

这些全在服务方手里,用户无法验证。所以选择时能做的判断, 还是回到服务本身是否可靠——见如何判断机场稳不稳定。

与其他协议的定位#

协议	思路	主要优势
Shadowsocks	简单加密	轻量、低开销
Trojan	伪装成 HTTPS	隐蔽性好
VLESS + TLS 系	轻量协议 + 外层 TLS	开销更低、生态活跃
Hysteria2	UDP + 抗丢包	烂线路上跑得快

VLESS 与 Trojan 在实践中经常被拿来比较:两者都依赖 TLS 保证安全与隐蔽, 差别更多在生态与实现细节上,而不是能力层级。当前新部署里 VLESS 系更常见, 但这不代表 Trojan 有问题——你的机场提供哪个、哪个稳,就用哪个。

常见误区#

• 「Trojan 是木马」——只是名字借用,与恶意软件无关;
• 「用了 Trojan 就不会被封」——没有绝对隐蔽的方案, 服务端配置不当照样暴露,而且入口 IP 本身也可能被处理;
• 「Trojan 更快」——TLS 握手带来的开销与其他协议差别很小, 速度取决于线路,见 IPLC 与 IEPL。