VMess 和 VLESS 区别对照：UUID、alterId 与加密方式入门

本文速览

VMess 与 VLESS 都会用到用户 ID，但认证机制与加密职责不同。本文从 UUID、alterId、security 和 flow 入手，说明节点编辑页里哪些字段属于协议，哪些属于传输层，再给出 v2rayN 的核对顺序。适合已经拿到订阅、准备手动检查节点参数的用户。

VMess 与 VLESS 对照：先区分协议、传输和安全层

节点名称中的“VMess + WebSocket + TLS”不是三个同级协议。VMess 负责代理协议的认证与数据封装，WebSocket 是传输方式，TLS 则保护外层连接。VLESS 也需要按这三个层次理解。不能只把编辑页里的协议从 VMess 改成 VLESS，其他项目保持不动，就期待服务器接受连接。

下表以常见的 VMess AEAD 与传统 encryption: "none" 的 VLESS 配置为范围。较新内核可能扩展字段或能力，实际使用仍应以服务端给出的完整参数和双方内核支持情况为准。

对照项目	VMess	VLESS
用户身份	使用用户 ID，通常写作 UUID	同样通常使用 UUID，但线上的认证过程不同
alterId	历史遗留参数；现代 AEAD 配置通常为 0	没有这个字段，不应从 VMess 配置复制过去
协议层加密	可通过 security 选择数据加密方式，例如 auto	常见配置为 encryption: "none"，由外层 TLS 或 REALITY 保护连接
时间要求	认证依赖时间窗口，应同步客户端与服务端时钟	基础认证不采用 VMess 同类时间窗口，但证书及所用安全层仍可能依赖正确时间
常见组合	TCP、WebSocket 等，可结合 TLS	TCP + TLS、WebSocket + TLS、TCP + REALITY 等，取决于内核支持
flow	不使用 VLESS Vision 的 flow 配置	仅在服务端要求且组合支持时填写，例如 xtls-rprx-vision

结论：按服务端组合导入，不按协议名称改造节点

先核对协议、传输、安全层这三个项目，再处理 UUID 和可选字段。VLESS 不会自动让同一线路更快；节点出口、拥塞与服务器负载仍决定实际体验。

UUID 与 alterId：身份凭据不是加密强度

UUID 是常见的用户标识表示形式，例如 9d34742b-7f0c-4ca6-9f51-bb35d8a6d127。它通常由十六进制字符与连字符组成，按标准形式共有 36 个字符。服务器用配置中的用户记录识别连接；客户端需要填写相匹配的 ID。它不是服务器地址，也不是 TLS 证书。

标准 UUID 文本字符数，含连字符

现代 VMess AEAD 常见 alterId 值

443

常见 TLS 服务端口，并非协议强制值

alterId 中文界面常称“额外 ID”。它来自早期 VMess 的认证设计，不是“额外生成几个账号”，也不是数值越大越安全。现代 VMess 部署通常使用 AEAD，填写 0；部分新版本内核已经不再接受旧式认证。遇到旧教程中的 64，应先向节点提供方核对服务端模式，不能把它当作通用推荐值。

收到新 VMess 节点：保留订阅给出的 ID 与认证参数，优先确认它是否采用 AEAD。
收到 VLESS 节点：填写其用户 ID，不新增 alterId；检查 TLS 或 REALITY 的配套字段。
自行生成 UUID：必须同步修改服务器与客户端。只改客户端会使认证失败。
向他人求助：隐藏完整 ID、订阅地址和分享链接。这些内容可能直接授予节点使用权限。

两个协议都显示 UUID，不代表相同 UUID 可以跨协议通用。即便服务器上配置了相同字符串，VMess 与 VLESS 的报文格式仍不同，必须连接对应的入站端口和协议。

加密方式怎么选：security、encryption 与 TLS 不在同一层

“VLESS 的加密填 none，是不是明文？”需要看完整连接栈。传统 VLESS 配置中的 encryption: "none" 表示这一协议层不额外提供载荷加密；如果外层启用了正确配置的 TLS 或 REALITY，客户端到相应服务端的这段连接仍有加密保护。若连外层安全层也没有，则不能把 VLESS 本身当作保密通道。

VMess 的用户设置可出现 security: "auto"、aes-128-gcm 或 chacha20-poly1305 等取值。这里的 security 与 streamSettings.security 不是同一个字段：前者属于 VMess 用户参数，后者描述传输安全层。下面只展示配置位置，不是可直接连接的完整配置。

{
  "protocol": "vmess",
  "settings": {
    "vnext": [
      {
        "address": "example.net",
        "port": 443,
        "users": [
          {
            "id": "9d34742b-7f0c-4ca6-9f51-bb35d8a6d127",
            "alterId": 0,
            "security": "auto"
          }
        ]
      }
    ]
  },
  "streamSettings": {
    "network": "ws",
    "security": "tls",
    "tlsSettings": {
      "serverName": "example.net"
    },
    "wsSettings": {
      "path": "/proxy"
    }
  }
}

VLESS 的对应用户对象常写为 "encryption": "none"。只有服务端明确使用 Vision，且当前传输组合和内核支持时，才增加 "flow": "xtls-rprx-vision"。普通 VLESS + WebSocket + TLS 节点一般不填写这个 flow，不能因为界面中有选项就勾选。

先读节点给出的外层安全类型：TLS、REALITY 或未启用安全层。
TLS 核对 serverName、证书域名与验证结果；不要把跳过证书验证当成常规修复。
REALITY 核对服务端要求的公钥、shortId、serverName 与 fingerprint，字段不能相互替代。
最后核对协议内部字段：VMess 的 security，或 VLESS 的 encryption 与可选 flow。

客户端与内核选择：按节点能力匹配，不按名称判断

v2rayN 是桌面客户端，图形界面负责维护节点、订阅与系统代理，实际协议连接由所选内核执行。安卓端的 v2rayNG 使用 Xray 内核，v2flyNG 使用 V2Fly 内核。客户端名字相近，不代表每个版本都支持相同的传输方式或扩展。

Xray 内核方案

V2Fly 内核方案

已有 VMess 节点且提供方按 V2Fly 配置维护时，可继续使用匹配版本。桌面在 v2rayN 中核对内核选择，安卓可使用 v2flyNG；不要直接照搬 Xray 专有扩展字段。

适合：现有 VMess 配置、明确按 V2Fly 验证的部署

已有稳定 VMess 订阅，不必仅为更换协议而重建环境。若同一提供方同时给出 VMess 与 VLESS，可固定服务器地区、测试目标和测试时段，再观察连接成功率与下载表现。不同出口之间的速度差，不足以证明协议本身的性能差。

两类节点的参数核对方案

VMess + WebSocket + TLS

确认 ID 与现代 AEAD 配置，alterId 通常为 0。
核对服务端端口、WebSocket path 与所需 Host。
检查 TLS serverName 和证书验证。
不要添加 VLESS 的 Vision flow。

VLESS + TCP + REALITY

确认 ID 和 encryption 取值。
按服务端填写公钥、shortId 与 serverName。
使用兼容的 fingerprint 设置。
服务端要求 Vision 时，再匹配 flow。

两种组合分别核对；不能只切换协议下拉框来完成互转。

v2rayN 实际检查顺序：从导入到确认请求经过代理

优先导入提供方的完整分享链接或订阅，而不是从截图逐项抄写。分享链接中的 vmess:// 与 vless:// 标识不同协议；把前缀替换掉不会转换其内部结构。订阅更新也可能覆盖手动修改，排查时应先复制一份节点，避免测试参数与原始记录混在一起。

导入节点：复制完整分享链接，在 v2rayN 中使用「服务器」→「从剪贴板导入批量 URL」。菜单文字可能随版本调整，以当前界面同名导入功能为准。
检查核心参数：双击导入的节点，核对协议、地址、端口和用户 ID，再核对传输与 TLS 或 REALITY 设置。VMess 留意额外 ID；VLESS 留意 flow。
确认当前节点：保存后设为活动服务器，查看核心日志，确认没有字段不支持、端口占用或启动失败。
核对本地入口：在「设置」→「参数设置」中查看实际监听端口。例如本地 SOCKS 入口可以是 127.0.0.1:10808，但应以界面显示为准，不能照抄其他设备的端口。
发起新请求：按当前使用方式启用系统代理或设置应用代理，再打开测试网站。既有连接未必随节点切换立即改变，必要时关闭后重开应用。

TCPing 能通，只说明目标端口的 TCP 建连有响应，不代表 UUID、TLS、flow 或代理出口均正确。若“端口通但真连接失败”，应优先检查认证与握手日志。若核心连接正常却只有部分网站失败，再检查 DNS 与 routing，不要先把 UUID 随机换掉。

常见问题：改参数前先判断故障属于哪一层

VMess 的 alterId 填 0，为什么还是连不上？

0 只对应现代 AEAD 配置中的一个条件。打开节点编辑页继续核对 ID、端口、传输、路径和 TLS serverName，再确认系统时间已同步。若来自旧节点资料，向提供方确认服务端是否仍采用旧式认证，而不是反复尝试 16、32、64。

VLESS 的加密显示 none，需要改成 auto 吗？

传统 VLESS 节点应保留提供方给出的 encryption 值，不套用 VMess 的 auto。随后查看传输安全设置是否为 TLS 或 REALITY，并核对相应字段；协议层 none 与整条连接没有加密是两件事。

同一个 UUID，可以把 VMess 直接改成 VLESS 吗？

不可以仅改客户端。服务端也要有对应的 VLESS 入站，并提供正确端口和安全参数。拿到新的完整分享链接后导入，再检查协议；不要保留原 VMess 对象中的 alterId 与 security 用户字段。

有 flow 选项，是不是都选 xtls-rprx-vision？

先查看提供方给出的节点参数。普通 WebSocket + TLS 节点通常留空；明确提供 Vision 的节点才填写对应值，并使用支持它的内核。修改后保存并重新加载核心，再用新请求验证。

换成 VLESS 后延迟变高，是协议更慢吗？

先确认是否仍为同一出口、同一测试目标与相同测试方式。对两个节点各做多次真连接测试，记录失败次数与中位数；再用同一资源测吞吐。TCPing 与完整代理请求测量的环节不同，不能直接混合比较。

选择顺序可以归纳为：先满足服务端协议与内核能力，再完整匹配认证和传输参数，最后比较真实请求表现。对普通用户而言，保留可追溯的原始订阅、只修改确认过的字段，比记住哪一种协议“更新”更有用。