Wie das TUIC-Proxy-Protokoll TCP und UDP über QUIC weiterleitet
Von 534 Privatkunden-VPNs in unseren Daten geben 74 an, keinen anzubieten. Unten: die Dienste, die dafür am höchsten ranken.
TUIC ist ein Proxy-Protokoll, das TCP- und UDP-Traffic über eine TLS-verschlüsselte QUIC-Verbindung leitet; die aktuelle Version ist v5 (0x05). Es ist ein Protokoll, kein VPN-Anbieter: Man begegnet ihm als Option in einer Client-App, in der Einrichtung eines Anbieters oder auf einem eigenen VPS-Server, während das offizielle Repository nur die Spezifikation enthält.
Wie eine TUIC-Sitzung Traffic transportiert
QUIC läuft über UDP, und TLS 1.3 ist in seinen handshake integriert, was bedeutet, dass der Server ein Zertifikat vorlegen muss. Der Client spricht anschließend fünf Befehle: Authenticate weist die Identität nach, Connect öffnet ein TCP-Relay, Packet transportiert ein UDP-Paket oder einen Teil davon, Dissociate beendet eine UDP-Sitzung, und Heartbeat hält die Verbindung am Leben (sing-box sendet standardmäßig alle 10 Sekunden eines). Jede TCP-Verbindung nutzt ihren eigenen Stream, und der Server antwortet nie auf Relay-Befehle: Nach einem Connect fließen die Daten einfach.
Was 0-RTT bei TUIC bedeutet
0-RTT bezieht sich hier auf die Relay-Befehle selbst: Der Client nennt die Zieladresse und sendet sofort Daten, da keine Antwort vorgesehen ist, auf die er warten müsste. UDP-Sitzungen verhalten sich genauso. Ein separater Schalter, der QUIC 0-RTT-handshake (zero_rtt_handshake in sing-box, reduce-rtt in mihomo), ist standardmäßig deaktiviert. Er bringt kaum Leistungsvorteile, da das Protokoll ohnehin vollständig multiplext ist, und ist anfällig für Replay-Angriffe. Lassen Sie ihn deaktiviert.
UDP-Relay: Modus native oder quic
| Modus | Transportiert als | Verhalten bei Verlust | Passt zu |
|---|---|---|---|
| native | QUIC-Datagrammen | verlorene Pakete bleiben verloren, wie bei reinem UDP | Games, Sprachanrufe, DNS |
| quic | QUIC-Einweg-Streams | wird erneut gesendet, bis zugestellt, zusätzlicher Overhead | Strecken, bei denen jedes Paket ankommen muss |
| udp_over_stream (sing-box-Zusatzoption) | UDP-over-TCP-artiger Modus auf QUIC-Streams | verlustfrei | Relay von Streaming-UDP wie QUIC selbst; benötigt einen sing-box-kompatiblen Server |
Jeder UDP-Flow trägt eine 16-Bit-Associate-ID, und der Server ordnet jede ID einem einzelnen UDP-Socket zu und nimmt auf diesem Antworten von jeder Adresse an: Full Cone NAT, das Verhalten, das Konsolen und Peer-to-Peer-Apps erwarten. Zu große Pakete werden in Fragmente aufgeteilt, die durch Paket-ID und Fragmentnummer markiert sind, und auf der Gegenseite wieder zusammengesetzt. Der Server antwortet auf eine Sitzung im Modus, in dem sie geöffnet wurde, und udp_over_stream kollidiert mit udp_relay_mode.
Stauvermeidung und warum BBR die übliche Wahl ist
Die Optionen sind cubic, new_reno und bbr. Cubic und new_reno sind verlustbasiert: Sie drosseln beide, wenn Pakete verloren gehen, was auf mobilen Verbindungen und langen Routen mit zufälligem Verlust schlecht funktioniert. BBR schätzt stattdessen Bottleneck-Bandbreite und Round-Trip-Time und passt das Tempo entsprechend an, weshalb die meisten Anleitungen es für verlustanfällige Strecken empfehlen. sing-box nutzt standardmäßig cubic, und mihomo bietet drei BBR-Profile: standard, conservative und aggressive.
Anmeldung mit einer UUID und einem Passwort
Ein v5-Konto ist eine UUID mit einem Passwort. Das rohe Passwort geht nie über die Leitung: Beide Enden leiten ein 256-Bit-Token aus dem TLS keying material exporter der aktuellen Sitzung ab (UUID als Label, Passwort als Kontext), sodass das Token an genau diese TLS-Sitzung gebunden ist. Die Authentifizierung läuft über einen Einweg-Stream, während das Relay bereits beginnen kann; der Server hält Befehle zurück, die vor der bestandenen Prüfung eintreffen (sing-box gibt ihm dafür 3 Sekunden). Das v4-artige einzelne Token-Feld darf bei v5 nicht gesetzt sein, da die Versionen inkompatibel sind.
Wie sich TUIC von Hysteria2 unterscheidet
Beide nutzen QUIC. TUIC bleibt bei der Standard-Stauvermeidung und verlangt keine Bandbreitenangabe, während Hysteria2 einen eigenen aggressiven Modus (Brutal) sowie eine Website-Tarnung und optionale Paketverschleierung ergänzt, die TUIC fehlt; der Hysteria2-Glossar-Eintrag behandelt diese Punkte.
Wo TUIC läuft
Zu den Cores gehören sing-box, mihomo, shoes und der tuic-Server (Itsusinn-Fork); die Liste der Implementierungen nennt außerdem dae für Linux, das plattformübergreifende ClashRS und nicht quelloffene Apple-Apps wie Surge. Von 371 von VPNRadarLab erfassten Diensten geben 2 an, dass sie TUIC unterstützen, 64 erklären, dass sie es nicht tun, und 311 machen keine Angabe, was bedeutet, dass es nicht veröffentlicht ist, nicht dass es fehlt. Die Liste findet sich im Ranking der TUIC-Anbieter, Clients und Panels.
Schwachstellen
Netzwerke, die UDP verwerfen oder QUIC drosseln, wie Hotel-WLANs, Campus-Firewalls und manche Mobilfunkanbieter, stoppen TUIC vollständig; es gibt kein TCP-Ausweichverfahren, also richten Sie eines daneben ein. Fehler bleiben stumm: Die Spezifikation sieht keine Antworten auf Befehle vor, und wie ein Server mit einer fehlgeschlagenen Authentifizierung oder einer nicht erreichbaren Adresse umgeht, liegt bei jeder Implementierung, sodass ein fehlerhaftes Profil oft einfach hängt. Die TUIC-Spezifikation ist einen Blick wert, bevor Sie irgendetwas debuggen.
TUIC-FAQ
Ist TUIC ein VPN?
Nein, es ist ein Relay-Protokoll. Ein Client im TUN-Modus kann dennoch das gesamte Gerät darüber leiten.
Ist TUIC schneller als Hysteria2?
Auf einer sauberen Leitung vergleichbar. Bei Paketverlusten hält Hysteria2 konstruktionsbedingt aggressiver an der Senderate fest.
Benötigt TUIC eine Domain?
Ein gültiges TLS-Zertifikat ist erforderlich, und eine Domain ist der einfachste Weg dorthin.
TUIC in Kürze
TUIC v5 leitet TCP und UDP über eine verschlüsselte QUIC-Verbindung mit beantwortungsfreien Befehlen, zwei UDP-Relay-Modi (native und quic) mit Full Cone NAT, einer an jede TLS-Sitzung gebundenen Anmeldung per UUID und Passwort sowie BBR als bevorzugtem Algorithmus für Verbindungen mit Paketverlusten. Es hat kein Brutal, keine Tarnung und keinen TCP-Modus: Es stirbt überall dort, wo UDP blockiert ist.