Aromatic-Shoulder871 | 1 points | Dec 16 2021 09:46:03

翻墙知识及教程 如何选择翻墙线路&软件&协议

目录

1. 前言
2. GFW和翻墙方式的演变
3. GFW和翻墙协议的运作原理
4. VPN
5. VPS vs 机场
6. 协议如何选择（SS SSR V2Ray Trojan）
7. 软件如何选择（Win Mac iOS Android Linux）
8. 机场线路如何选择（IPLC IEPL 163 CN2 BGP anycast 是否解锁流媒体）
9. 游戏加速 & 软路由 & 全局代理的一些问题
10. TLDR ~~太长不看版本~~

1. 前言

• 这个教程可能不适合完全没有基础的人阅读，比如不知道SS和V2Ray，不知道IP和DNS，不知道代理服务器等等，请直接跳到第10部分(或者看一眼4578也可以)；如果你有基础的网络知识，但不了解socks5、TCP UDP、网络的OSI7层模型（在这个模型中，越往下数字越小越底层，见图）等，我会在接下来的文章里尽量和你解释清楚，如果你不想看，也可以跳到第4、5、7、8、10部分；如果你在用鸿蒙+老王+反诈APP+2345浏览器看这篇教程，请马上退出，你现在还活着证明你的翻墙方式没有问题，不用改。
• OP从初中开始学翻墙，到现在和GFW斗智斗勇也有快10年时间了，因为过几个月要润阿美了，在润之前和大家分享一下翻墙经验，希望对大家有帮助，特别是那些还在用VPN和SS的浪友，我对你的器官感到担忧。构思贴子+查资料+✍花了一天多时间，大家能不能支我一下
• 教程不含任何推广，没有任何广告。~~如果有机场主愿意给我5位数的推广费，我马上把这一条删掉~~
• 港友&台友&🦇也可以浏览一下，如有些Netflix资源只有美区有，如春节回国需要应急几周
• 欢迎技术老嗨指出问题&和我讨论

2. GFW和翻墙方式的演变

• GFW，The Great Firewall，贵支政府称其为数据跨境安全网关，由蛤的长子江绵恒牵头建立，方滨兴为首要设计师。发展至今，GFW的探测手段已经变得无比复杂，但大体可以分为主动过滤、主动探测和代理分发。

&rt;主动过滤：主动过滤是由华为、思科和恒扬公司的硬件实现的，功能包括DNS污染、端口阻断、URL关键字阻断等，这也是GFW主要用的封锁方法。详见英文wiki
&rt;
&rt;主动探测：当GFW检测到可疑节点的时候，会自己去建立一个TCP连接，验证该节点是否真的是翻墙节点
&rt;
&rt;代理分发：GFW会对VPS和tor的ip段进行批量封锁

• 道高一尺，魔高一丈，GFW在逐渐演进，翻墙工具亦复如是。初期封锁不严重的时候，往往改一下hosts就能连接国外网站。同时期出现了一批VPN软件，免费的如lantern Psiphon和轮子的VPN，付费的如astrill和许多国产。好景不长，由于VPN的流量特征过于明显，GFW已经能精确识别和封锁VPN流量，并且贵支规定所有的VPN都要报备，国内的厂家死的死跑的跑，只有几家国外的还在坚挺，但也要频繁更换IP以对抗封锁。后来在2012年出现了shadowsocks(ss)，与VPN不同（VPN被研发的目的是加密通信而不是翻墙，翻墙只是一个bonus，所以在流量加密方面差了不是一星半点），ss生来就是为了翻墙，所以代码写的大开大阖，目的只有翻墙一个，没有其他功能，不得不说作者真的是个天才，后来的所有协议(SSR V2Ray Trojan)都是在ss的基础上改造的，没有ss可能就没有chonglangtv，可惜作者clowwindy在15年被喝茶了，还删除了所有代码(有备份就是了)，在喝茶后的几天内贵支政府还对GitHub进行过DDOS攻击。(用爱发电写代码的人在喝茶，卖机场的人在发财，凭借前面二者才能翻墙的粉红在爱国爱党，我麻)

&rt;hosts就是手动DNS，当浏览器输入网址时，会首先在hosts中寻找，如果没有才会提交本地DNS服务器。前几个月裸连GitHub不稳定时，这种方法就能有效解决。
&rt;
&rt;DDOS，Denial-of-service attack，拒绝服务攻击，详见wiki

• 继续说，除了SS，在其基础上又出现了多种协议，包括较早期的shadowsocksR(SSR)和最近几年出现的V2Ray和Trojan。SSR在SS的基础上做了一定的混淆；V2Ray则比较复杂，支持的协议的加密方式很多，安全性也有所提升；Trojan在我看来像是个简化的V2Ray，只有websocket+tls加密，省去了vmess的解码和编码，所以速度也会快一点点。在很长一段时间内，市场上都是这四个协议在混战，每种协议都有优劣，也各有支持者，吵架的贴子一吵就是几百条，虽然很多人说ss不如其他几个安全，但也没有事实支撑。
• 上面这种混战一直持续到这个论文的发表：https://gfw.report/talks/imc20/en/ （https://gfw.report/ 这个网站我劝你多看）这篇论文明确指出了GFW已经可以探测并封锁SS流量，于是VPS搭建者和机场主们纷纷改用其他协议，现在大部分机场应该不再支持SS协议了，如果你还在用，请马上更换V2Ray(为什么不换Trojan下面会说)

&rt;探测的原理其实也很简单，ss把所有的流量都进行了加密，使得packet一点特征都没有，而恰恰这种一点特征都没有成为了SS的特征，只能说在理论上安全性没有问题，但实际中还是出现了问题

3. GFW和翻墙协议的运作原理

• 这个部分技术门槛稍高，但我会尽量少用专业术语
• 想要翻墙，一台境外服务器（代理）肯定是必须的，无论你是直接租一台（什么富二代），还是买VPS（和其他人合租，但是虚拟化技术让你认为你独占这个服务器），还是用机场（机场主买出口专线或者VPS）。
• 文明国家的网民想要访问Google服务器，过程是这样的：电脑发出packet，经过许多交换机和路由，找到Google服务器，获得数据后原路返回。贵支的过程是这样的：电脑发出packet，经过许多交换机和路由，遇上了GFW，GFW用前面我介绍的三种方式阻断了连接，于是出现404。
• 有了VPN和境外服务器，我们也可以突破GFW了：电脑经由VPN发出加密packet，经过许多交换机和路由，遇上了GFW，可是packet显示目的地是代理服务器而不是Google，于是放行，到达境外服务器后再转到Google，然后原路返回
• SS是这样运作的：电脑发出packet，来到SS本地服务器（其实就是你电脑上的的SS软件啦），SS服务器对packet进行加密，然后发送，经过许多交换机和路由，遇上了GFW，GFW分析不出packet任何的流量特征，于是放行，packet来到了SS远程服务器（就是在你的境外服务器上部署的SS软件），远程服务器解密后转发给Google，然后原路返回（其他三种协议类似，不多赘述）

4.VPN

• VPN全称 virtual private network，正如我在前面所说，VPN被研发的目的是加密通信而不是翻墙，翻墙只是一个bonus，事实上VPN有很多的正当用途：如果你在校外想要访问知网或者学校的服务器集群，连上学校的VPN即可；如果你在大公司上班，几乎所有大公司都会有VPN，比如我前几个月在字节实习就是全程 VPN连接。
• 正因为VPN的本意不是翻墙，所以在安全性方面差很多，不用说老王VPN了，所有的VPN我都不推荐，如果你只是看看Youtube和Wikipedia，那VPN还能凑合凑合，但我相信本sub的应该都不止于此吧，为了你的器官着想，请停止使用VPN
• VPN中出现钓鱼软件的比例极高，不说免费的几个(老王、蚂蚁什么的)，就算是收费而且定价比较贵的几家都被爆出有钓鱼嫌疑，包括但不限于 Turbo VPN，快连VPN 等等
• 大厂的VPN也经常被封IP，他们和GFW的对抗方法就是频繁换IP，因为VPN的流量特征实在是太明显了
• 小厂的VPN通常就是捞一笔就跑路，然后换个名字继续捞，速度慢还断连，而且有可能他们说自己是VPN，底层协议用的还是SS什么的，只是封装好一个客户端给你用，可能是因为VPN名声在外，很多人直接把VPN和翻墙画上了等号，这很明显是错误的

5. VPS与机场

• 选择机场还是VPS？That is a question

&rt;VPS是virtual private server，就是托管出售的虚拟机

• 如果你熟练掌握了VPS+V2Ray+TLS+WebSocket+Nginx+CDN，对每个环节的配置都了然于胸，出了问题可以迅速定位并解决，带宽可以跑满千兆，每年军民大联欢纪念日都能正常使用，那我这个教程对你没有任何意义
• 如果你不能做到上面几点，我的建议是选用机场，机场和VPS相比优劣如下（一定别选小机场）

优点1 机场主的经验总是比你丰富，出了问题他可以解决而你连定位都做不到

优点2 VPS往往没有原生IP，看不了流媒体

&rt;提一句，流媒体检测可以用https://github.com/sjlleo/netflix-verify和https://github.com/CoiaPrant/MediaUnlock_Test

优点3 机场节点多，封了几个无伤大雅，VPS IP被封了要向运营商申请更换，而这往往不是免费的

优点4 VPS往往在军民大联欢纪念日不能用，即"敏感时期不开机"，不开机还怎么来sub联欢？

缺点1 机场限流量，如果天天油管奈飞4K视频嗯造，还是买VPS便宜

缺点2 VPS功能更多，而机场主给你什么你就要用什么

缺点3 VPS也有一键配置V2ray的脚本，和机场也差不多（但是配置完了出问题就寄了，所以没经验还是选机场）

缺点4 VPS能跑满千兆，机场跑百兆，虽然一台够用，但如果用在软路由上和男/女朋友或者室友一起用，还是差了点。软路由请参考第9部分

• 前面说了，不做任何推荐，想买VPS自行Google
• 有一个机场测评的良心网站，很好用 毒药机场 https://www.duyaoss.com/在上面选择大型的机场，小的不要考虑，防止跑路，并且最好选择有tg群且tg群可以聊天的，靠谱一些
• 至于如何甄别粉红机场，可以考虑以下几个方面，如查看一下机场的审计规则，看看是否block了轮子的网站；看看机场的标语，有没有说不要浏览"反动网站"；机场除了邮箱，是否还要手机号注册；我还看过一个机场在10月1祝贺国庆节，看着就抽象

6. 协议如何选择（SS SSR V2Ray Trojan）

喝口咖啡，继续写

• 首先要明确这样几个概念，协议 软件和线路。线路偏硬件，是OSI模型中的物理层和数据链路层（也包括网络层，如BGP）；协议就是SS(R) V2Ray Trojan等；软件就是基于上面这些协议的发行版，例如windows中想要跑V2ray协议可以用Qv2Ray或者V2RayN或者Clash，这些都是软件（看不懂没关系，接下来三节详细说明）
• 上面说了，SS被2020年的一篇论文爆出来有安全问题，所以现在不要用了，此处按下不表
• 不想写了！写了好多又删了，因为写的太复杂了。总之用V2Ray就对了，Trojan因为比较新，所以软件的兼容性不太好，而且随着硬件设备的进步，Trojan少占用的CPU资源和少发的几个握手packet其实算不了什么，不过有能力的可以都试一下，哪个快用哪个就是了，Trojan的安全性是可以和V2Ray媲美的。因为实际的网络环境很复杂，还要分墙内和墙外两段，所以哪个更快没人能给出标准答案，相较于协议对速度的影响，软件和机场的影响要大更多。
• 再说以下协议的加密方式，如果你在用机场，那么加密方式就是机场主配置的，如果你在用VPS，就是自己配置。早些年的加密方式用过AES chacha20等等，不过现在最安全的还是Vmess/Vless/websocket+TLS。V2ray一般选择Vmess+websocket+TLS，Trojan已经定死了，就是TLS

7. 软件如何选择（Win Mac iOS Android Linux）

Win：V2RayN Clash Qv2Ray

Mac： ClashX Surge Qv2Ray

iOS： Shadowrocket Surge Stash（刚出的软件，兼容Clash还比小火箭便宜）

Android：V2RayNG Clash

Linux：Q2Ray（可惜4月停更了）

其中Clash、Surge和Stash是比较特殊的，因为它们支持网关模式，此处内容太多，按下不表

8. 机场线路如何选择（IPLC IEPL 163 CN2 BGP AIA 是否解锁流媒体）

• 此处的内容是让你看懂这几个单词的意思，到底哪个更快需要实际测试，并不一定有IEPL &rt; IPLC &rt; CN2 &rt; 163
• IPLC，International Private Leased Circuit，指的是点对点传输，内网专线直达，数据不经过墙，实际上是OSI模型的第一层，物理层。比如常见的深港专线、沪日专线，不过IPLC奇贵无比，提供IPLC的机场少之又少，很多机场的IPLC线路都有一个倍率，比如×3倍率就是用100G按照300G计算，购买机场时务必注意。当然IPLC不一定就是最好，因为数据过墙只有一小段，墙内和墙外仍然有许多次packet的转发，还是按需购买
• IEPL是 International Ethernet Private Line，国际以太网专线，和IPLC比较类似，都是高端线路，IEPL在OSI模型的第二层数据链路层，速度略好于IPLC。对于很多机场来说，IPLC和IEPL已经成为了噱头，不要被忽悠到
• 163骨干网，是中国电信第一代通信网络，速度较慢，需要过墙
• CN2是ChinaNet Next Carrying Network，中国电信下一代通信网络，速度较快，也需要过墙。CN2GIA和CN2GT都属于此列，其中CN2GIA优于CN2GT
• BGP是 Border Gateway Protocol，即边界网关协议，这是一个 路由选择协议，可以妥善配置负载均衡等问题，在OSI模型的第三层网络层
• AIA是Anycast Internet Acceleration，Anycast公网加速，这是一个动态网络，可以在第三层对网络进行优化，同时避免单点故障等问题，数据也会走内网，更快
• 是否解锁流媒体一般会在机场上标识，没标识的一般是全部都可以或者全部不可以。一般来说，原生IP可以解锁，判断一个IP是否原生的方式就是看 IP 的注册地址与 VPS 机房所在位置是否一致。检测脚本https://github.com/sjlleo/netflix-verify和https://github.com/CoiaPrant/MediaUnlock_Test

9. 游戏加速 & 软路由 & 全局代理的一些问题

• 游戏加速也是支国特色了。从原理上来看，市面上流行的各类加速器如UU等其实就是VPN，只是加速器厂商对能访问的服务器进行了严格的限制，采用的是白名单而不是黑名单（我猜的），所以不能拿来翻墙
• 同理可得，VPN是可以拿来游戏加速的，但一是VPN不安全，最好不要用，二是VPN的效果往往不如专业加速器，专业加速器都是优化过的IPLC和IEPL线路，普通的VPN肯定是比不上的。
• 为什么第7部分说的那些软件开启了后也不能加速呢？这是一个好问题，因为那些软件是跑在OSI7层模型中的第五层会话层，属于比较顶端的部分，而游戏流量是TCP或者UDP，这在第四层，很明显是不归代理软件管的。同理，从win10商店中下载的UWP应用也不能简单地用那些代理软件代理，需要下载Fiddler更改沙盒设置，这也就是为什么从win10商店下载的Netflix不能打开就用。
• 同理，你翻墙后在shell里面ping google.com，一样ping不通，这是因为ping这个报文属于第三层网络层，比代理软件的层级低很多，当然ping不通
• 话说回来，为什么VPN可以而代理软件不行？这是因为VPN跑在OSI的第二层，相当于虚拟出来一个网卡，所以上面所说的所有流量VPN都能代理
• 我不想用VPN还想代理底层流量怎么办？当然可以，一些开源软件例如Netch、SSTAP（好像不能用了，不知道）也可以虚拟出一个网卡，并且兼容V2Ray协议，来强制接管流量
• 当然还有一个方法，就是给路由器刷第三方固件或者用软路由，使得从路由器出来的流量就是代理之后的，这样就是真正意义上的全局代理。有些硬件，不能用7中提到的软件，例如Oculus VR，例如Xbox PS5，例如各种TV，这时软路由就是最好选择
• 也就是说，7部分中提到的软件，其实只能代理应用层的流量，那为什么有的软件还有"全局代理"和"PAC代理"或者"路由规则"呢，这是因为应用层流量也不一定就要全走代理，例如完全可以实现看Youtube用代理流量，看b站用本地流量，这里的全局指的是应用层的全局，而不是整个电脑or手机的全局

10. TLDR 太长不看版本

无论你是一步一步读下来的还是直接跳过来的，感谢你能读到这里

总结

1. 不要用VPN和SS。从我上一个贴子的投票来看，用VPN的人数 &rt; 机场+V2Ray &rt; 机场+SS ≈ VPS，大概有50%的人要全过程民主的捐献器官了
2. 技术不好不要用VPS
3. 买机场参考第5条，注意避开粉红机场
4. 可以无脑大机场+V2Ray，目前看来是没有问题的
5. 如果看不懂机场对线路的描述，请参考第8部分
6. 如果你在好奇为什么你用的机场不能加速游戏，请参考第9部分
7. 如果预算比较低，也不要用VPN，可以选择一个月几块甚至免费的机场＋V2ray，不过安全性就差了些
8. 请分清协议&软件&线路，这是三个不同的东西！

​

https://preview.redd.it/ihbehxp2kv581.jpg?width=560&format=pjpg&auto=webp&s=5aa3b5017dbd2a2a2d9f67c2c895a550d5348866

               ∧,,                                                                                                     
            ヾ ｀. ､`フ                                                                                                    
        (,｀'´ヽ､､ﾂﾞ                                                                                                    
 (ヽｖ'            `''ﾞつ                                                                                                    
    ,ゝ     ⌒`ｙ'''´                                                                                                    
 （ (´＾ヽこつ                                                                                                    
     ) )