摘要：ShadowTLS 的思路是在真实 TLS 握手前插入一段预共享的随机数据当「暗号」：客户端带暗号才触发代理流程，探测方拿到的是一个正常假网站的响应。它常和 Shadowsocks、Trojan 叠加使用，是近年受关注的抗封锁方案。
一分钟速查
- 原理：TLS 握手前验证暗号，探测看到的是假网站。
- 组合：Shadowsocks + ShadowTLS 最常见。
- 定位：传输层伪装，叠加在代理协议之上。
它解决什么问题
传统 TLS 伪装（如 Trojan）让代理服务器「看起来像」正常 HTTPS 网站但主动探测会伪装成普通客户端去连接，服务器一旦响应探测，就暴露「这不是真网站」。ShadowTLS 用随机数据做握手暗号：只有带正确暗号的客户端能触发真实代理握手，探测方拿到的是假响应。
工作原理
- 客户端在真实 TLS 握手前，先发送一段预共享的随机数据。
- 服务器识别到正确暗号，才进入后续代理流程。
- 没有暗号的探测连接，被引导到一个正常的假网站，看起来完全无害。
和 SS、Trojan 的配合
- Shadowsocks + ShadowTLS：最常见组合，SS 管加密传输，ShadowTLS 管伪装抗探测。
- Trojan + ShadowTLS：在 Trojan 的 TLS 伪装上再加一层暗号。
- 多数场景下，ShadowTLS 作为传输层伪装叠加在代理协议之上。
优缺点
- 优点：抗主动探测强、伪装逼真、部署相对简单。
- 缺点：有少量性能损耗；客户端生态不如 VLESS + Reality 普及。
适用场景
ShadowTLS 适合自建 VPS 的用户，或追求更强抗封锁的机场。普通用户不用关心底层细节——机场提供 ShadowTLS 节点、客户端支持，直接用即可。
小结
ShadowTLS 用「握手暗号」规避主动探测，是 TLS 伪装的一次升级。抗封锁强但生态仍在普及，普通用户把它当成一个可选节点类型即可，不必深究原理。