HopFox VPN 的工作原理

本页只描述今天正在运行的内容。当有变化时，变化会出现在这里和动态中。

协议：VLESS Reality

HopFox VPN 使用开源引擎 Xray-core（服务器和所有应用均为 26.3.27 版本），通过 TCP 443 端口上以 Reality 封装的 VLESS 进行连接。

443 是 HTTPS 的端口，而 Reality 让连接看起来与一次和知名公共网站的 TLS 1.3 会话完全一样：握手是真实的，证书属于那个网站，最初的数据包里没有任何东西表明这是“VPN”。识别并减慢传统 VPN 协议的过滤设备看到的只是普通网页流量。只有知道服务器密钥的客户端才能获得隧道；其他任何连接到同一地址的人都会被透明地转发到真实网站，看到一个正常的页面。

我们选择它的原因：

• 与 HTTPS 无法区分。没有可供指纹识别的自定义握手，也没有 VPN 专用端口。这是我们最看重的特性，因为它决定了应用能否在你所处的网络中工作。
• 无需信任任何证书。Reality 借用真实网站的 TLS 身份，因此手机上没有任何东西需要安装或批准，也没有任何东西可能被吊销。
• 快速。借助 XTLS Vision，已经过 TLS 加密的应用数据不会被二次加密，因此隧道的开销非常小。延迟与直接连接服务器相当。
• 开源，经受众多审视。Xray-core 是公开开发的；我们运行最新版本，不修改协议。

默认是 Automatic：应用为每个网络自行在两者间选择。网络环境恶劣时就该用 Reality。从 0.5.0 版本起还有第二个选择，见下文。

第二个协议：AmneziaWG

AmneziaWG 是带混淆的 WireGuard：同样快速的 UDP 隧道，但握手经过填充并先发送垃圾包，过滤设备不会把它识别为 WireGuard。它在每个节点的 UDP 443 端口上与 Reality 并行运行，服务器端和应用都使用开源引擎 amneziawg-go。

何时选它：在正常网络里它通常比 TCP 隧道更快、延迟更低，而且手机在 Wi-Fi 和移动数据之间切换时连接不断。何时留在 Reality：当 UDP 被封锁或限速时，这在企业网络和部分移动网络中很常见；Reality 走 TCP，看起来就是 HTTPS。每个应用的 Settings 里都有 Protocol 选项。Automatic 为默认，总是先用 Reality 连接，因此在受过滤的网络里不会通过 UDP 发送任何内容。若 Reality 在某个网络里无法通过，应用会尝试一次 AmneziaWG，并在一周内记住那里可用的协议。

在应用中

在 Android 上，应用注册系统 VPN 接口，因此手机上的每个应用都经过隧道，包括 DNS。在 Windows 和 Linux 上，一个小型辅助服务创建隧道适配器，整台电脑都经过它；在 Mac 上，Reality 作为系统代理工作，AmneziaWG 作为真正的隧道。每个应用内部由一份 Xray-core 或 amneziawg-go 打开连接。应用自身与面板的通信以及对你可见 IP 的检查则直接进行。

延迟在你的设备上测量，而不是由我们猜测：应用向每个节点建立连接并计时。Automatic 选项就是当时数值最低的节点。你查看列表时它不会自行重新排序；它每小时刷新一次，也会在你要求时刷新。

在服务器上

• 自有服务器，Debian 13，保持最新。每台两个进程：TCP 443 端口的 Xray-core 和 UDP 443 端口的 amneziawg-go。
• 日志仅记录警告，并且只写入内存，不写入磁盘。服务器存储中不会写入任何关于用户的信息。
• 每台服务器上的一个小型代理与我们的面板通信：哪些账户被允许、多少在线、经过了多少流量。这就是全部的数据模型。
• 面板知道你的账号、套餐、设备数量和连接时间。它不知道你在隧道里做了什么。

无身份的账户

首次启动时，应用在你的设备上生成一个密钥，并向面板申请一个账号。这个账号就是账户。没有邮箱、手机号或密码：没有什么可泄露，也没有什么需要重置。如果你想在第二台设备上使用同一账户，在那里输入账号即可。如果你删除账户，面板会关闭该账号，与之关联的每台设备会立即失去访问权限。

尚未实现的

• iPhone 应用：开发中。

更新于 2026 年 10 月 26 日。