华润赢
下载本站客户端群组频道
代理协议独立百科词条商业级伪装

TrustTunnel

源自 AdGuard 架构 · HTTP/2 & HTTP/3 承载 · 全栈透明中继

TrustTunnel 是源自知名商业隐私安全工具 AdGuard VPN 底层架构的开源轻量级代理隧道协议[1][4]。 为了让用户的代理流量在任何审查或防火墙监控下均与「最普通的标准 HTTPS 网页浏览完全一致」， TrustTunnel 将完整的 TCP、UDP 乃至 ICMP 网络报文封装进标准的 HTTP/2 与 HTTP/3 多路复用流中， 利用工业级的交互时序与报文分片混淆，达成极高隐蔽性的网络中继。

词条概览核心架构完整时间线生态兼容适用场景参考文献
架构源起AdGuard VPN
开源发布2025.12.17
承载协议HTTP/2 与 HTTP/3 标准栈
支持协议TCP / UDP / ICMP 全栈隧道

日期辨析：2025 年 12 月 17 日 v0.9.74 开源首发

开源公开版本首发2025.12.17

TrustTunnel 发布 v0.9.74 开源版本，将商业 AdGuard VPN 架构向开源社区公布。

Mihomo 等开源内核深度集成2026.02.14

Mihomo 原生集成 TrustTunnel 出站模块，支持直接在通用配置中调度该类型节点。

v1.0 架构与多连接规范定型2026.04.10

完善客户端非阻塞连接调度与 ICMP 回显代理，成为标准 HTTPS 承载的成熟企业级隧道方案。

编写口径：所有时间节点严格以 GitHub 官方 Release 与开源代码提交记录为权威依据。

词条概览与核心定位

01

很多通用 VPN 协议（如 OpenVPN、WireGuard）虽然拥有极强的密码学安全性， 但在设计之初并未充分考虑对抗恶劣的主动网络审查：固定的端口、特征分明的握手协商报文与独特的流量时序， 使其极易在第一时间内被运营商的深度包检测（DPI）设备定点封锁或断流限速。

TrustTunnel 采取了「隐于众林」的成熟思路： 通过将底层全栈 IP 报文打包进标准的 HTTP/2 或 HTTP/3 报文，外部观测者看到的完全是浏览器与现代 Web 服务器之间的标准 HTTPS/TLS 会话[4]。 即使遭遇网络审查者的主动嗅探扫描，服务端也能以标准的 HTTP 响应优雅应对， 为需要高隐蔽性且依赖商业级稳定性的用户提供了极具价值的解决方案。

定位结论

TrustTunnel 属于商业级反嗅探架构向开源社区外溢的代表作。 它已被 Mihomo 等主流现代内核原生收录，在需要同时兼顾全协议中继与高拟态网页伪装的高阶场景中表现卓越。

基于标准 HTTP 承载的隧道架构

02
1. 标准 Web 传输承载层（HTTP/2 & HTTP/3 Transport）架设在标准的 HTTPS 443 端口之上，使用现代 HTTP/2 或基于 QUIC 的 HTTP/3 作为承载； 所有的外部包头、扩展协商与握手完全服从标准 Web 规范。
2. 工业级流量时序与分片混淆（Traffic Shaping）内置源自 AdGuard 商业版积累的时序平滑算法，对突发大流量进行微调切片， 避免出现不同于普通网页浏览特征的极端报文抖动。
3. TCP / UDP / ICMP 全栈中继引擎不仅能高效代理常规的 TCP 网页与 UDP 视音频数据，还支持原生 ICMP Ping 转发， 使客户端在隧道内能够完整享受类似传统 VPN 的全协议栈透明连通。

握手与数据交互生命周期

  1. 标准 Web 握手协商：客户端发起标准的 TLS 1.3 握手与 ALPN 协商（h2 或 h3），建立完全合规的加密通道。
  2. 身份令牌快速鉴权：在 HTTP 报头中携带经过加密的会话准入凭据，服务端完成校验后开启全双工数据流。
  3. 多路复用隧道转发：客户端将本地网络数据帧封装为 HTTP 数据块（Data Frames）送入隧道，实现零特征中继。

域名与证书配置提示

为了发挥 TrustTunnel 最大的伪装防护效益，服务端必须配置合法的公网域名与有效的 CA 证书， 不建议使用自签名证书，以免在客户端安全校验时产生握手异常。

精确到日的核验时间线（共 5 个关键节点）

03

以下时间线记录了 TrustTunnel 自开源发布以来的核心技术迭代，全部依据官方 GitHub 仓库记录整理核验：

2025 年

开源发布与架构公开

  • TrustTunnel v0.9.74 正式开源

    在 GitHub 开源发布，将经过 AdGuard VPN 大规模商业验证的 HTTP 隐蔽隧道协议正式面向公众开放。

    GitHub：v0.9.74 Release

  • 公布 TrustTunnel 完整协议规范

    发布项目说明与技术白皮书，详细定义了如何将全套 IP 报文拆解为标准的 HTTP 报文流进行隐蔽传输。

    GitHub：项目规范文档
2026 年

开源内核跟进与体验优化

  • Mihomo 宣布原生支持 TrustTunnel

    跨平台通用代理内核 Mihomo 正式支持解析 TrustTunnel 节点，拓宽了用户的客户端选择面。

    MetaCubeX：TrustTunnel 配置

  • 修复 TCP 连接就绪等待与异常处理

    针对高延迟链路下握手未完成即开始读取数据的竞争边界，优化客户端状态机，大幅降低偶发断流率。

    GitHub：开源社区提交记录

  • TrustTunnel 增强 HTTP/3 承载支持

    针对恶劣无线弱网进一步强化基于 HTTP/3（QUIC）的快速握手与单包恢复，提升移动漫游场景下的连通率。

    GitHub：TrustTunnel Releases

生态实现与客户端兼容性

04

除 AdGuard VPN 原厂客户端外，TrustTunnel 开源实现提供了通用的命令行与服务端； 主流通用内核 Mihomo (Clash.Meta) 也已原生支持该协议的出站转发。

软件 / 内核类型支持平台支持级别起始版本发布日期特性支持与备注
TrustTunnel (官方第一方核心)核心内核Linux / macOS / Windows / Android官方参考实现v0.9.74+2025.12.17TrustTunnel 官方开源项目，提供单二进制服务端、命令行客户端与本地 SOCKS5 接口。
Mihomo (Clash.Meta)核心内核全平台现代通用内核完整原生支持v1.18.5+2026.02.14原生支持 TrustTunnel 节点解析与出站转发，修复了 TCP 握手前未就绪的边缘阻塞缺陷。
AdGuard VPN (官方客户端)客户端iOS / Android / Windows / macOS出站客户端支持全线版本原生2020.05.01AdGuard 商业级客户端，该协议的商业源头产品，具备工业级的防封锁与指纹隐藏能力。

适用场景、网络边界与部署建议

05

最佳适用场景

针对审查严密、限制非常规代理端口的企业或校园网络，利用标准 Web 流量进行隐蔽中继； 需要原生 ICMP Ping 转发或复杂全栈透明代理；已在客户端配置中使用 Mihomo 等现代通用内核。

网络边界与安全注意事项

服务端必须维护合法公网域名与有效 CA 证书； 若开启 HTTP/3 模式，需注意通信链路是否对 UDP 443 存在 QoS 限速； 第三方图形客户端覆盖目前主要依赖 Mihomo 生态与 AdGuard 官方应用。

第一手文献与官方参考资料

06

词条事实与技术定义均以开源项目官方代码、文档及发行版记录为准：

  1. [1]TrustTunnel/TrustTunnel GitHub 官方代码库TrustTunnel 官方开源项目源代码、Releases 构建工件与服务端部署指南。https://github.com/TrustTunnel/TrustTunnel
  2. [2]TrustTunnel v0.9.74 首发开源记录GitHub 官方记录的 2025 年 12 月 17 日首个公开发行版本日志。https://github.com/TrustTunnel/TrustTunnel/releases/tag/v0.9.74
  3. [3]MetaCubeX 官方文档：TrustTunnel 代理配置Mihomo 针对 TrustTunnel 出站协议的配置字段、参数校验与路由指南。https://wiki.metacubex.one/config/proxies/trusttunnel/
  4. [4]AdGuard VPN 技术架构白皮书详细阐述如何通过伪装为真实无异的 HTTPS 网页流量规避深度检测的技术推导。https://adguard-vpn.com/kb/general/adguard-vpn-protocol/