🌱 Shadowsocks 的诞生与设计哲学
Shadowsocks 由 clowwindy 在 2012 年创建，初衷是提供一个轻量、快速且安全的加密代理工具。与传统的 VPN 不同，Shadowsocks 并不尝试在 IP 层建立隧道，而是专注于将 SOCKS5 代理流量包裹在加密壳中传输。它的设计核心是“像水一样流动”——流量尽量模仿正常的 TCP 连接，不容易被深度包检测 (DPI) 识别和阻断。
在 GFW 不断升级的背景下，Shadowsocks 经历了多次协议迭代，从最初的 AES-256-CFB 到后来强制使用的 AEAD 认证加密，安全性大幅提升。目前，它仍是全球使用最广泛的代理协议之一，被 Clash Verge Rev 的 Mihomo 内核 原生支持。与 VMess、VLESS 等协议相比，Shadowsocks 协议简单、开销小、性能卓越，非常适合低配服务器和低延迟场景。
plugin 字段启用这些混淆插件。
⚙️ 工作原理：加密隧道与 SOCKS5
Shadowsocks 的架构包含本地客户端和远程服务器两部分。本地客户端启动一个 SOCKS5 代理，应用程序将流量发送到本地 SOCKS5 端口。客户端将 SOCKS5 数据包加密后，通过 TCP 或 UDP 发送给远程 Shadowsocks 服务器。服务器解密数据包，并向目标地址发起连接，然后将返回数据加密回传给客户端。
应用请求
浏览器或程序通过 SOCKS5 连接本地 SS 客户端。
加密封装
客户端将 SOCKS5 数据加密，并添加地址信息头。
隧道传输
加密后的数据通过 TCP/UDP 发送到远程 SS 服务器。
解密转发
服务器解密，还原原始请求并连接目标网站。
整个过程，中间网络只能看到加密后的数据流，无法得知原始请求内容。Mihomo 内核在处理 Shadowsocks 节点时，同样遵循这一流程，但由于内核本身集成了规则引擎，你可以直接在配置文件中定义多个 SS 节点，并配合 Rule 模式 实现分流。
🔐 加密套件演进：从 stream 到 AEAD
早期的 Shadowsocks 使用流密码（如 AES-256-CFB、CHACHA20），这些算法简单高效，但缺乏完整性校验，容易受到主动探测和重放攻击。2019 年后，Shadowsocks 社区强制要求使用 AEAD（Authenticated Encryption with Associated Data）加密套件，包括 aes-256-gcm、chacha20-ietf-poly1305 等。AEAD 同时提供加密和完整性验证，极大提升了安全性。
| 加密方式 | 类型 | 性能 | 安全性 |
|---|---|---|---|
| AES-256-GCM | AEAD | 高（硬件加速） | 极高 |
| CHACHA20-IETF-POLY1305 | AEAD | 高（移动设备） | 极高 |
| AES-128-GCM | AEAD | 更高 | 中 |
| AES-256-CFB（已弃用） | Stream | 中 | 低（易受篡改） |
在 Clash Verge Rev 中，你可以通过节点的 cipher 字段指定加密方式。建议优先使用 aes-256-gcm 或 chacha20-ietf-poly1305，兼容性最好。如果节点服务器支持 2022-blake3-aes-256-gcm 等新标准，也可以获得更强的抗重放能力。
🛠️ 在 Clash Verge Rev 中配置 Shadowsocks
在配置文件里，一个典型的 Shadowsocks 节点定义如下：
如果你使用的是机场订阅，通常这些信息已经包含在订阅返回的 YAML 中，无需手动填写。导入后，你可以在 配置页面 的策略组中将该节点加入 url-test 自动选择组，实现智能切换。
ssr 协议，但 Mihomo 内核已不再推荐 SSR。更安全的方式是使用 TUN 模式 结合 WFP 或 gVisor，让所有流量透明代理，无需关心端口。
🚀 性能优化与网络环境适配
Shadowsocks 在低延迟网络上表现极佳，但如果服务器较远或带宽受限，可以通过以下方式优化：
- 启用多路复用：虽然 SS 本身不支持 multiplexing，但你可以使用 Clash.Meta 内核的
smux功能（在节点配置中添加smux: {enabled: true}），将多个连接合并为单一连接，减少握手开销。 - 选择正确的加密：在 x86 平台上，AES-256-GCM 受益于 CPU 硬件加速；在 ARM 或移动设备上，CHACHA20-POLY1305 更快。
- 调整 MTU：如果出现某些网站打不开的问题，可能需要在服务器端降低 MTU。在客户端，可以通过 Mihomo 的
mtu参数调整。
如果你的网络对 Shadowsocks 有 QoS 限制，可以搭配 DNS 防污染 和 Fake‑IP 来改善解析速度，并尝试使用 Hysteria2 协议（参考 v2.5.2 新特性）作为备选。
📊 Shadowsocks vs. 其他协议
| 协议 | 安全性 | 性能 | 抗识别 | 配置难度 |
|---|---|---|---|---|
| Shadowsocks | 高（AEAD） | 极高 | 中（需插件伪装） | 低 |
| VMess | 高 | 中 | 高（内置混淆） | 中 |
| VLESS | 极高（无加密，依赖外部） | 极高 | 极高 | 高 |
| Hysteria2 | 高（QUIC） | 极高（高延迟优化） | 高 | 中 |
如果你追求速度与简单，Shadowsocks 仍然是首选。特别是对于个人使用或小型 VPN，它的资源占用极低。当你需要更高级的伪装功能时，可以无缝切换到 Clash Verge Rev 支持的其他协议，而无需更换客户端。
🩺 常见问题与排查
连接超时
检查服务器端口是否开放，防火墙和运营商是否封堵。尝试更换端口或使用 IPv6。
密码错误
确认客户端和服务器密码、加密方式完全一致，包括大小写。
速度缓慢
更换加密为 CHACHA20，或检查服务器 CPU 是否过载。
UDP 转发失败
某些 SS 实现默认关闭 UDP。在 Mihomo 配置中需显式设置 udp: true。
如果怀疑网络对 SS 流量进行了干扰，可以尝试启用 obfs 插件（如 tls 模式），或将节点升级为 Shadowsocks-2022 新协议，它们具有更强的抗探测能力。日常使用中，通过 Clash Verge Rev 的 常见问题 页面也能找到更多排错方法。
随着协议生态的演进，Shadowsocks 将继续扮演基石的角色。掌握它的原理和配置，能让你在面对复杂网络环境时更加游刃有余。如果想了解 Mihomo 内核如何加速这些协议，推荐阅读 插件开发指南。