让 VPN 绕开深度包检测

“DPI”听起来像是个情报问题，但它多数时候只是一次字符串匹配。架设在国家级链路上的过滤系统，没办法对每一条数据流都仔细思考，所以它依赖的是成本最低、最管用的那些信号，大致按下面这个顺序：

• 固定偏移处的协议指纹。WireGuard 会话的第一个数据包是一次握手发起：正好 148 字节，首字节是 0x01，紧接着三个零字节。OpenVPN 则用首字节里的一个操作码、以及一个位置永远不变的会话 ID 来暴露自己。匹配任意一种，每个包只需几条指令、无需保存任何状态，这也是为什么它总是最先被部署的手段。
• 找不到指纹时，看熵。如果一条数据流最初的那些字节均匀随机 — 没有可打印的 ASCII 字符，没有可识别的头部 — 这本身就是一个信号，因为几乎没有合法流量会从第零个字节开始就长这样。过滤系统曾仅凭这一点，就封锁过整类“完全加密”的流量，而这正是随机化协议会掉进去的陷阱。
• 主动探测。过滤系统记下你服务器的地址，然后自己从别的地方发起连接，看它如何回应。一个会应答、以特定方式报错、或者干脆一直占着连接不放的代理，就坐实了这份怀疑。地址就是这样从“也许”变成封锁名单上的一员。
• 长期行为模式。一条长期存在、只连向一个境外地址、携带几百兆字节流量、还带着一条像居民用户的昼夜曲线的数据流，本身就是一种显眼的存在。再怎么混淆载荷也改变不了这一点。
• 地址本身。已知的 VPS 地址段、出现在公开订阅列表里的地址，以及任何商业服务商公开宣传过的地址。这一条审查者不费吹灰之力，也是共享代理地址比协议本身死得更快的原因。

有用的结论是：前三条是你能有所作为的地方，也是这份指南要讲的内容；后两条，则是为什么保护地址那一节绝不是可有可无的附加内容。

这是这个话题里被重复得最多的建议，效果却几乎为零，原因值得说清楚：特征藏在载荷里，不在端口号里。一个在 148 字节 UDP 数据报偏移零处匹配 0x01 的过滤系统，在 443 端口上找到它，和在 51820 端口上找到它一样轻松。

更糟的是，这一换反而可能让你更显眼。443 端口承载的是 HTTPS，走 TCP；还有 QUIC 和 HTTP/3，走 UDP，但一开始就是可识别的 QUIC 长头部，里面还带着一个 TLS ClientHello。一条既不是这个、也不是那个的 UDP 数据流出现在 443 端口上，在这条链路上其余流量非此即彼的背景下，是个不大不小的异常。

其余那些流传的说法也是一样的道理。改 MTU 改变的是分片方式，不是握手字节本身。给 WireGuard 加一个预共享密钥，加强的是密码学强度，线路格式原封不动。把隧道放到一个不常见的高位端口，在对抗载荷匹配上帮不了你什么，虽然确实能挡掉机会主义扫描器带来的背景噪音。

真正能改变结果的，是改变线路上的内容本身：要么让这些字节看起来什么都不像，要么让它们看起来像审查者已经决定不去封锁的东西。下面的内容，都是这两种做法之一。

实际可用的做法有四种。它们的排序并非只看强度，因为哪一种合适，取决于你的流量正在经历什么。

• 随机化、无头部的流量 — Shadowsocks-2022。2022 版 AEAD 密码套件（2022-blake3-aes-128-gcm 及同类算法）在线路上完全不留明文头部：从第一个字节起，一个会话就和随机数据没有区别，密钥错了也不会对探测产生任何回应。便宜、快、十分钟就能部署，几乎在任何地方都表现优异。它唯一的弱点就是前面说的熵信号 — 面对一个原则上就封锁一切无法归类的随机流量的过滤系统，看起来什么都不像，并不等于看起来无害。
• 借来的 TLS — 带 Reality 的 VLESS。这是目前实际使用中最强的一个选项。你的服务器会完成一次真正的 TLS 1.3 握手，任何无法通过认证的客户端，都会被原样转发给一个真实的第三方网站，并如实收到那个网站的真实证书。探测方看到的，是一名普通访客连上了一个普通网站——因为事实正是如此。你不需要域名、不需要证书，也不会留下证书透明度记录 — 没有任何地方注册过任何指向你的信息。
• 自己拥有的 TLS — Trojan，或者跑在 WebSocket 之上、挂在 Web 服务器后面的 VLESS。隧道藏在你自己的 HTTPS 网站里，用你自己的域名和证书。概念上更简单，也能和一个真实网站共用同一个地址。代价是这个域名如今成了一个可被烧毁的标识符，证书是 CT 日志里的公开记录，而封锁一个主机名，对审查者来说是个很廉价的动作。
• QUIC 形态 — Hysteria2 和 TUIC。这两者伪装成 HTTP/3，还能把一个真实网站提供给任何没通过认证的连接。选它们的理由通常根本不是审查，而是丢包：在一条丢包率有百分之五到十的链路上，它们能保住吞吐量，而任何基于 TCP 的方案都会崩溃。这里的取舍是真实存在的 — 有些网络会整体限速或丢弃 UDP，如果你把带宽数字填得不诚实，Hysteria 那套激进的拥塞控制还会成为链路上一个糟糕的邻居。

如果你想要一个默认方案：部署 Reality 作为主力，把 Shadowsocks-2022 放在第二个端口上作为备用，只有当你的问题被证明是链路丢包而不是被过滤时，才加上 Hysteria2。这三者都跑在同一个守护进程里，下面的步骤会依次配置每一个。

比你想的要少。这是个轻量级的负载；真正的约束是带宽和延迟，不是服务器本身。

• 一个小套餐。在任何带 AES-NI 的现代 vCPU 上，加密和 TLS 终止的开销都很低。Pup（1 vCPU / 1 GB / 25 GB NVMe，$3.50/mo）足以轻松承载一条个人隧道；如果是几个人共用，Cub（1 vCPU / 2 GB / 40 GB，$5.00/mo）是更合适的档位；如果是一整个家庭或小团队，还想留点余量，就选 Scout（2 vCPU / 4 GB / 70 GB，$9.00/mo）。每个档位流量都不限量、带宽 1 Gbps，这才是隧道真正在意的那项参数。
• 为路径选对位置。这是人们最容易选错的一步。要挑的是离你最近、且从你这边过去没有被过滤的那个司法辖区，而不是最猎奇的那个：对大多数读者来说，就是 Amsterdam、Paris、Bucharest 或 Sofia；如果人在亚洲，就是 Kuala Lumpur。Reykjavik 和 Zurich 买到的是法律上的距离，不是速度 — 对你托管的东西有用，对你隧道穿过的路径帮助不大。
• 从模板库选 Debian 13 或 Ubuntu LTS。完整的 KVM 虚拟化意味着一个真实内核和属于你自己的网络协议栈，这才让你能够绑定低位端口、整形 UDP 流量，而不用向任何人开口。
• 一个没有历史记录的专属 IPv4。每个套餐都自带一个，外加一段 IPv6 /64。一个从未待在共享代理池里的地址，是这里最值钱的东西，这也是回收利用的廉价云地址活不过几天的原因。
• 先花十分钟做加固。只用 SSH 密钥登录、禁止密码登录、防火墙默认拒绝。Debian 加固清单讲的就是这些；在一台 root 密码能被猜出来的机器上跑混淆隧道，就是在一扇敞开的门上装一把精致的锁。
• 一个域名 — 只有在你选择自己拥有 TLS 这条路线时才需要。Reality 和 Shadowsocks 都不需要域名，这也是它们吸引人的一大原因。

指纹识别负责找出候选对象；探测负责确认它们。一旦过滤系统怀疑某个地址，就会从一个不相关的网络自己发起连接，看看会得到什么回应。一切都取决于这个回应。

一台会返回特征鲜明的错误、在某个特定时刻关闭连接、或者接受一个它根本不可能完成认证的连接的服务器，就坐实了这个猜测。这不是纸上谈兵：大规模过滤系统正是靠这套已被记录在案的机制，成批淘汰过更早期的混淆协议，这也是为什么那些只是把头部打乱的 obfs 类插件，一接触到它就活不下来。

现代设计应对探测的正确方式只有两种：

• 什么都不说。没有密钥，Shadowsocks-2022 就给不出有效回应，所以它干脆什么都不给。在探测方眼里，这个端口就是个黑洞，和一个被防火墙拦住的端口看起来一模一样。它还带有一个时间窗口有限的重放保护，被截获的会话没法之后重发一次去诱出行为特征。
• 说真话，但说的是别人的事。Reality 会把未通过认证的握手转发给一个真实的第三方主机，再把那台主机的真实证书原样带回来。探测方拿到的是一条完全有效的证书链，只不过这个网站显然不是你。挑选握手目标时，要选一个受欢迎、从你服务器所在国家出发合理可达、自己也不太可能被封的网站 — 并且让服务器的时钟保持同步，因为 Reality 会拒绝时间窗口之外的握手。

在信任这套机制之前，自己动手测试一下。从一台不相关的机器上，对着一个 Reality 端口执行 curl -v https://YOUR_IP：你应该看到一张属于握手目标的证书，看不出任何代理的迹象。对着一个 Shadowsocks 端口，nc 应该会挂起，然后超时退出，不返回任何字节。除此之外的任何结果，都是一个值得关注的发现。

协议十分钟就能换一个。地址不行。一个 IPv4 一旦在某个国家被封，往往会一直封下去，远远超过触发封锁的那个原因本身消失的时间，因为没人拿钱专门去复核这份名单。把地址当成资产，把协议当成耗材。

由此引出三个习惯。不要公开它。出现在公开订阅列表、频道或者共享配置里的地址是可被枚举的，而枚举是成本最低的攻击手段 — 这就是为什么私有隧道比免费的公共隧道活得长得多。不要给它挂一个可被烧毁的名字。如果你走的是自己拥有 TLS 那条路线，一个同时还服务着某些惹眼内容的域名，会把这个地址一起拖下水。不要混用角色。一台只做一件事的机器，除了你的隧道什么都不跑，就不会继承你在这台机器上做的其他事情招来的封锁记录。

另一半的问题在于地址从哪儿来。周转率高的廉价云服务商，会把 IPv4 在成千上万个短命客户之间循环利用，所以一个“新”地址，在你发出第一个包之前，很可能就已经带着别人的名声了。这里的每个套餐配的都是专属的、经过筛查的 IPv4，而不是共享地址池里的一小块 — 具体定义和自查方法，见干净 IP 到底意味着什么。如果你的地址被标记，或者在什么要紧的地方被封了，就通过面板申请更换；你不应该为了换一个能用的地址而重新下一次单。至于怎么分辨问题出在审查还是声誉名单，我们这篇如何检查一个 IP 是否已被拉黑能帮你分清楚。

这是一份诚实的说明，因为只有把这部分讲清楚，这份指南剩下的内容才值得读。

• 它藏不住你正在往某处发送加密流量这件事。网络运营商依然能看到一条流向境外地址的数据流、它的大小、时间规律，以及持续了多久。Reality 能让这条数据流看起来像一次普通访问一个普通网站；它不会让这条数据流消失。
• 它打不赢流量分析。持续的大流量、带着明显昼夜模式的数据流，依然是显眼的。面对一个愿意在关联分析上真金白银投入、而不只是做模式匹配的对手，载荷混淆就是用错了工具，用可插拔传输层的 Tor，才是研究得更透彻的答案。
• 它保护不了端点。被攻破的设备、已登录的账号、浏览器指纹识别，以及你在对面那一端输入的一切，这些统统不受它的影响。
• 它不能让服务器变得匿名。主机商知道哪个地址是你的，无需 KYC 的注册方式限制的是能知道多少，而不是把这些信息彻底消除。用加密货币付款的 VPS 真的匿名吗这篇里，我们说清楚了哪些看得见、哪些看不见，值得在你依赖任何假设之前花十分钟读一下。
• 它不是永久的。这是一场有发布周期的军备竞赛。今天还管用的配置，明年可能就得换掉，这正是为什么一套你自己掌控、十分钟就能改动的方案，胜过一份你只能取消、却改不了的订阅服务。

它确实能做到、而且做得稳的一件事，是把封锁你的成本，从“线速下的一次字节匹配”，抬高到“决定破坏掉大量正常流量”。实际情况下，这通常就已经是全部的博弈。

协议决定的是数据包能不能穿过去。至于这条隧道能不能一直存在，剩下的一切都是在线路之外决定的。

司法辖区决定的是谁能强制谁做什么。我们的服务分布在荷兰、法国、罗马尼亚、保加利亚、瑞典、冰岛、瑞士和马来西亚这八个地点；在一个辖区有分量的请求，换到另一个辖区可能毫无效力，而且没有一份美式的下架通知，能在这些地方生效。这是如实陈述的运营政策，不是法律豁免 — 当地法院的命令依然适用，也有一条我们绝不会挪动的滥用底线。离岸主机把这中间的区别讲得很清楚。

账户是人们最容易低估的部分。一条隧道能有多私密，取决于“谁租用了它”这份记录本身能有多私密。这里注册只需要一个用来接收凭据的邮箱，仅此而已 — 不需要身份证明、不需要银行卡、不需要地址、也不需要电话。没有什么验证文件要上交，因为我们从来就没收集过。

付款方式是另一半。银行卡会把一台服务器和一份银行记录、一个真实姓名绑在一个我们谁都控制不了的数据库里。这里的结账在链上完成，Monero是头等选项，而不是事后才想起来的备选：我们那篇用 XMR 支付 VPS 费用的指南讲清楚了整个流程，不用信用卡购买那篇则讲清楚了从零加密货币开始该怎么做。确认后大约六十秒就能完成部署，所以万一需要更换地址，几分钟就能搞定。

把这些拼在一起，就是一条能存活下来的隧道该有的样子：一个过滤系统无法低成本匹配的协议，一个没被别人烧过的地址，一个在过滤系统触及不到的司法辖区，还有一个从未持有过任何值得被索要之物的账户。如果你想先从这条隧道最朴素的版本开始，WireGuard 搭建指南只需要十分钟，是个不错的起点 — 等哪天连不上了，再回到这里。