10月下旬GFW封锁加剧：自建节点与代理连接受影响 · 话题榜 · TwKit

@netwillow

免费获得了一个美国节点！ 继昨晚让Muse抢到一个台甲骨文的新加坡小鸡后，下午乘胜追击，让Muse又开了一台谷歌云的免费vps，已经搭好机场了。 永久免费哦！Muse，你太能干了，我爱你！

@ClashbyClash

欢迎来到 Clash 的万兆隧道时代。 Clash TestFlight 更新：iOS 1.0.14 (157)｜macOS 1.0.16 (121)｜tvOS 1.0.17 (59) iPhone、iPad、Mac 和 Apple TV 上的 Clash 全部换成新的隧道架构：直接读写系统隧道，数据在内核里直接转发。iPhone、iPad、Mac 的隧道单连接下载突破 10 Gbps，Apple TV 4K 最高 8 Gbps；搬同样多的流量，处理器占用只有原来的三分之一到四分之一。 图中测的是隧道本身的上限（设备内回环，不经过公网）。实际网速取决于你的宽带和节点：直连和 SOCKS5、HTTP 节点提升最明显，加密节点的速度主要看节点本身和线路。 macOS 版过审之后就可以安装。 已加入测试的用户直接在 TestFlight 里更新即可。 申请加入测试：入群满 3 天后私聊 @clash_group_bot 发送 /start 群组：https://t.me/+gKVgTqnizzlhNWNl

@10086110x

我操了兄弟们 刚搞来的一个很牛逼的机场，原生家宽 6%纯净度 最关键支持ai，包含南极冰岛等超多冷门节点，现在还有6折优惠：VIP888 这价格跑路了我都说他良心 https://wwww.luoyun7.com/#/register?code=q4bZVXsq

@jmyvpn

聚盟云VPN 8k实机测试 https://x.com/i/broadcasts/1yKAPwjqpznxb

@vpsing_de

hy2协议，也出现被封。 这次的防火墙，比以往任何一次玩的都花。

@antsBTW

10月这波 GFW 封锁，自建节点还能怎么保护？ 10月26日以来，V2EX、LINUX DO 等社区陆续有用户反馈，自建 VPS、机场节点出现无法连接的情况。 先说这波的几个现象： 1. 不只是 REALITY 被封。 LoopDNS 对36位受影响用户的调查显示，涉及 REALITY、Shadowsocks、Snell、Trojan、AnyTLS 等多种协议，甚至有用户报告普通建站服务器的443端口也无法访问。 不能简单归结为某一种协议被识别。 2. 相同协议，有人被封，有人没事。 10月28日 LINUX DO 的讨论中，REALITY + 大厂 SNI、自建网站 SNI 的用户，存活和被封两种结果都有。 目前没有足够证据证明，换某个 SNI 就一定能避开封锁。 3. 不要把异常握手都当成 GFW 主动探测。 节点日志中出现陌生 IP、大量非法握手，也可能来自普通互联网扫描。没有进一步证据，不能直接认定是 GFW 在探测。 GFW 到底靠什么找到你的 IP？ 先说清楚：10 月这波是按 ASN 掀桌子，不需要“发现”这一步。所以别拿这波的个案去论证“协议被识别”——那是拿掀桌子的证据论证狙击枪。 日常时期，GFW 的发现是个漏斗，按成本从低到高排： Stage 0：自己暴露——对攻击者免费，也是日常被封的最大死因。 1. 证书透明度日志：给节点域名申请 TLS 证书，域名就进了公开日志，任何人都能枚举新证书反查 IP。 2. 面板：x-ui 这类面板用 HTTP 明文挂在同一 IP 上，一个登录页面就是自首。 3. DNS：节点域名走明文解析，它先看到你查了什么，再看你连了哪个 IP。 4. 分享：配置、二维码、订阅链接流出聊天软件。 5. 检测站自首：拿自己的节点去公开检测站测“像不像代理”“能不能解锁”，等于把“我是代理”的自证交到第三方手里，日志本身就是名单。 Stage 1：便宜的网络信号组合。一个国内 IP 每月几十 GB 只打一个 VPS 商 IP，SNI 缺失或怪异——“行为像隧道”的先被筛出来做候选。这一步便宜，可规模化。 Stage 2：主动探测确认——但只对有瑕疵的配置有效。这是论文实锤过的武器：从国内发起试探握手，看服务器回包像不像代理。但前提是探测能区分——配置良好的 REALITY（uTLS 开好、回落正常）对经典探测免疫，裸 SS、VMess、回落没配好的 Trojan 才吃这套。所以探测是“验尸”，不是“通缉”：它负责确认候选，不负责发现候选。 结论：对配置良好的单用户节点，没有已知的便宜发现路径。“GFW 靠识别协议找到你”是倒果为因——日常被封的节点，绝大多数死于自己暴露或行为太显眼，不是协议被看穿。这套漏斗是推理，不是 GFW 泄露的手册，但它是目前唯一能同时解释“换 IP 就活”和“先封端口后封 IP”的版本。 如何避免进入它的射程 GFW 封不完所有的自建节点，只能处理进入射程的那一小部分——它的能力是有限的：没有一种方法兼具“覆盖广”和“精度高”，覆盖广的方法被误伤约束卡住，精度高的方法只能等对面犯错。 1. 别自己交名单。节点域名不申请公开证书（REALITY 本来就不需要给自己的域名办证书）；面板别挂在公网同 IP 上；配置别截图外发；别拿节点去检测站测“像不像代理”——查 ASN 用 http://ping0.cc 这类查公开属性的就行。 2. 别让形状太明显。单 IP 对单 IP 的大流量长连接是最显眼的形状——流量分到多个节点，IP 勤换（画像清零，对方白积累）。 3. 配置别留瑕疵。uTLS 打开，回落配成正常网站，让主动探测来了也验不出东西。 4. 敏感期别硬扛。提前切 UDP、IPv6 或不同 ASN 的备用路，实在不行就等过去——掀桌子不看射程，躲不开只能熬。 万一还是被封：先诊断是端口还是整个 IP 的问题，再换，别急着反复换 IP。 如果不想自己折腾，怎么选靠谱的 VPN 服务商？ 1. 看节点是不是所有人共用一张清单。 清单能被一次拉全，就能被一次封完；节点越分散，对方封锁成本越高。 2. 看能不能先试再买。 敢给免费试用的，才敢让人验。先验证自己的网络环境，别直接买长期套餐。 3. 看出问题找不找得到人。 客服是真人、响应及时、故障有说明，比什么广告词都实在。 最后的判断： 这轮事件说明，指望某个协议永远不被封是不现实的——但自建 VPS 从来就不是靠协议隐身活着的。 它的底气是分散：每个人的 VPS 都是独立的，没有一张所有人共用的节点清单可以一次拉全、一次封完。GFW 能封掉一批暴露的 IP，但封不完分散的自建节点；想封完，对方的成本比你换 IP 的成本高得多。 所以别问自建“还有没有生存空间”——自建 VPS 就是目前真正不容易被封堵的方法。 资料来源： - V2EX：10月28日 VPS 被封讨论；10月26日「坠机日」IP 段阻断讨论 - LINUX DO：10月28日 REALITY 节点讨论 - LoopDNS：10月26日受影响用户调查 - 主动探测机制：FOCI'12、IMC'15、IMC'20、USENIX'23 论文实测