VPN 协议、传输与混淆分别承担三项工作：协议定义对端身份、握手、密钥和受保护数据语义；传输负责在外部网络承载消息；混淆改变可观察的帧结构或外观。改变其中一层，并不会自动改变另外两层。［1］［2］［3］

完整 VPN 指南介绍隧道与加密。本文用分层模型解释配置名称，同时避免把某个项目的术语推广成所有 VPN 的强制分类。

关键要点

VPN 协议定义对端之间的安全会话和数据平面规则。

传输是消息经过网络时使用的外层承载方式。

混淆改变可观察表示，但不能替代认证与加密。

路由和流量捕获决定哪些数据进入栈，属于另一组问题。

应根据配置与实测外层流量识别变化，不能只看营销模式名称。

VPN 协议、传输与混淆分别做什么？

协议规定双方如何识别、交换握手消息、派生密钥、组织受保护数据、处理重放或计数器，以及怎样解释解密后的载荷。以 WireGuard 为例，其协议定义静态公钥身份、握手消息、传输数据消息和重新生成会话密钥的行为。［1］

传输回答这些协议消息怎样经过外部网络。它可能使用 UDP 数据报、TCP 字节流、HTTP 感知机制或实现支持的其他承载。WireGuard 核心协议使用 UDP，并不提供 TCP 模式。［2］

混淆则是额外变换，意在改变容易识别的外部特征，或适配另一种帧结构。Tor 的 pluggable transport 把客户端与服务器的变换放在应用协议和网络之间，说明这项功能可以模块化。［3］该例子并不要求 VPN 产品采用 Tor 的接口或术语。

层	主要定义	单独不能证明
VPN 协议	对端身份、握手、密钥、受保护消息语义	整机覆盖、外层可达或伪装效果
传输	承载、连接形式、顺序与交付环境	对端信任、内部路由或独立保密性
混淆	可观察帧结构或变换	安全认证、保证可用或完全不可区分
路由/捕获	进入栈的应用、前缀和数据包	加密协议或外层外观

VPN 协议为何不只是加密算法？

加密算法只是材料，不是完整互操作系统。双方还需要消息格式、身份规则、密钥协商、nonce 或计数器、重放保护、计时器和载荷模型。两个工具即使用同一种 cipher，也不表示能彼此通信。

WireGuard 清楚展示了这一边界：对端由静态公钥标识，Noise 风格握手产生会话密钥，IP 包被装入定义明确的加密消息；cryptokey routing 又把对端与允许的内部 IP 关联。［1］

产品界面有时会把一组默认组合统称为“协议”，其中可能同时包含传输、端口、DNS 和路由设置。排查时应拆开这个组合，确认真正改变的是哪一部分，以及哪些参数只是随模式一起切换。

改变传输会发生什么？

传输会改变外层连接的交付属性和中间设备可见内容。UDP 保留数据报边界，不叠加 TCP 可靠性，却可能被过滤或限速；TCP 提供有序字节流，但在它内部再承载可靠流时，丢包可能造成恢复耦合与队首阻塞。

HTTP 感知传输会与代理、负载均衡、复用、超时和帧大小限制互动；数据报则会受到 NAT 映射、路径 MTU、分片与空闲计时器影响。这些因素能改变性能和可达性，却不重新定义内部身份或握手。

换端口也不一定是换传输。UDP 443 与 TCP 443 是不同环境；把 UDP 从一个端口移到另一个端口，它仍是 UDP。若实现明确支持封装，还可能在保留内部协议的同时更换外层承载。

新传输会让协议更难识别吗？

不一定。网络仍可观察地址、端口、建连过程、时间、大小、方向和部分服务器响应。新传输可能移除一个特征，同时引入另一个；端点信誉与主动行为也没有消失。

WireGuard 的限制说明明确表示，其核心不专注混淆，并建议在需要时于其上方增加相应层。［2］这证明职责可分离，却不能保证任意包装在所有网络都有效。

混淆改变什么，又不改变什么？

混淆改变表示形式，例如增加 padding、调整时间或帧结构、变换字节，或适配另一外层协议。模块化 pluggable transport 可以独立演进变换，而不重做上层应用协议。［3］

除非组合明确把职责交给别处，内部协议仍需认证对端并保护数据。没有认证的混淆可能只是掩饰不安全流；没有混淆的加密可以保护内容，却仍留下可辨认流量模式。两者解决不同问题。

混淆也有边界。实现缺陷、统计行为、握手不一致、服务器响应和运营元数据都可能形成信号。“无法检测”或“保证绕过”不是层级名称能够支持的结论，也忽略政策与误判后果。

TUN、代理和路由位于哪里？

它们决定入口与范围。TUN 接收被路由的 IP 包；应用代理只接收主动交给它的连接；按应用或目的地策略选择符合条件的流量。这些选择本身不能说明安全协议、外层传输或混淆方式。

可以按以下顺序读栈：应用或数据包 → 捕获与路由 → 内部协议 → 可选变换 → 外层传输 → 网络。实现或许会合并组件，但故障和证据仍落在不同边界。

从系统代理换到 TUN，可能扩大应用覆盖，却不改变服务器协议；从 UDP 换到另一受支持承载，可能改变可达性，却不改变按应用规则；增加混淆可以改变外观，也不会自动改变哪些目的地进入。

如何按层读取配置？

先找身份与握手字段，例如对端公钥、证书、客户端标识、认证方式和协议版本。它们通常指向协议或安全子层。不得公开私钥、token 或完整连接配置。

再找外部端点、IP 传输协议、端口、流或数据报设置，以及中间代理。这些描述传输与路径，还应记录实现版本，因为同一个界面名称会随时间映射到不同能力。

然后检查 padding、camouflage、pluggable transport、encapsulation 或 framing 等明确变换，并确认它是否受认证、在哪里起止、只影响握手还是覆盖全部数据。

最后核对路由、应用选择、DNS、IPv4/IPv6 与本地例外。VLESS/REALITY 是否属于 VPN 协议就是按职责分类，而不是按热门组合名称归类的例子。

用 AethoVPN 时，也按同样方法读取应用实际展示的内容：安装应用，选择服务器位置或智能推荐节点并连接，然后根据自己的抓包标注能观察到的传输和路径事实，例如外层 IP 协议和端口。抓包能看出外层协议和端口，但 AethoVPN 的公开资料没有写明隧道协议、封装方式或是否混淆，所以这几层应记为未知，不要根据端口去补全。开始 3 天免费试用，完成这项评估。

应如何比较或排查各层？

比较时一次只改一层。更换传输时保持端点、路由范围、负载、地址族与测试时段不变；评估可选变换时保持协议与传输不变。可达性应记录 DNS、外层协议、端口、握手阶段和服务器接收；性能应记录延迟、丢包、MTU、CPU 与多次分布。

安全评估要覆盖完整组合：身份、认证、密钥管理、加密、重放处理、变换和更新生命周期。混淆不能弥补弱凭据，强协议也不能证明路由与 DNS 范围正确。

能从连接名称看出一项服务的各层吗？

不能。连接或模式名称只是产品标签，背后可能把协议、传输、混淆和默认路由打包在一起。每一层都应依据文档或自己的抓包来判断；观察不到的层记为未知，不要凭标签猜测。

总结

协议、传输和混淆承担不同职责，可以独立变化。
协议定义安全会话，传输承载消息，混淆改变可观察表示。
路由与捕获在这些层之外决定流量范围。
新端口、模式名称或包装不足以证明协议已改变。
应比较受控配置，并拒绝普遍性的速度、可用与不可检测保证。

常见问题

UDP 是 VPN 协议吗？

不是。UDP 是可以承载 VPN 消息的传输协议；VPN 协议还定义对端、握手、保护与载荷规则。

TCP 就是混淆吗？

不是。TCP 是有序传输。使用它可能改变外部行为或兼容性，却不会自动伪装上层协议。

混淆会加密 VPN 流量吗？

不一定。部分变换包含密码保护，另一些只改变帧结构。安全协议仍需提供或明确委派认证与保密性。

同一种 VPN 协议能使用多种传输吗？

只有实现或受支持封装明确定义相应组合时才可以，不能从另一协议或通用界面名称推断支持。

更换 VPN 端口会改变协议吗？

通常不会。端口表示服务位置；外层 IP 传输和上层握手才能说明协议是否变化。

混淆连接是否无法被检测？

不是。外层元数据、流量行为、实现指纹、端点和主动响应仍可能提供分类信号。

拆分隧道属于哪一层？

它属于捕获与路由策略，决定哪些流量进入保护栈，并不定义之后的协议、传输或混淆。

免责声明：本文仅提供一般协议与网络架构信息。请遵守适用法律和所使用网络的政策。

来源：

WireGuard, “Protocol & Cryptography”: https://www.wireguard.com/protocol/
WireGuard, “Known Limitations”: https://www.wireguard.com/known-limitations/
Tor Project, “Pluggable Transport Specification”: https://spec.torproject.org/proposals/180-pluggable-transport.html

Sources checked 2026 年 9 月 12 日。

延伸阅读：

VPN 协议、传输与混淆有何不同？身份、承载和流量外观分层说明