去年秋天我在宿舍用笔记本连校园网，校园开热点给手机刷视频，网开不到二十分钟客户端就弹了警告。热点不是不被断网，是检测那种“检测到共享行为”的提示，要求我关闭热点。校园当时我就纳闷，网开这玩意儿到底怎么被发现的热点。

后来跟网络中心一个师兄聊，不被他说原理不复杂。检测校园网认证系统里，校园每个账号绑一个MAC地址，网开这是热点设备唯一标识。你开热点，不被手机连上来，检测路由器做NAT转发，数据包源MAC还是你笔记本的，但TTL值会变。Windows默认TTL是128，经过一次NAT转发就减1变成127。服务器那边一看，同一个账号出来的包TTL忽高忽低，要么是中毒了，要么就是在共享。

更直接的是DHCP指纹。你手机连热点会发DHCP请求，请求里带厂商信息、主机名、甚至系统版本。校园网出口设备抓包一看，一个账号底下冒出“Xiaomi-14”和“DESKTOP-ABC123”两个主机名，不查你查谁。还有HTTP User-Agent，手机浏览器和电脑浏览器发的头完全不一样，混在一起太扎眼。

所以想不被检测，核心就一条：别让校园网看到你热点下面挂了别的设备。怎么藏，有几个路子。

最省事的是改TTL。Windows改注册表，把默认TTL从128改成65或者别的非标准值。Linux用iptables的TTL target，安卓要root后改内核参数。原理是让所有经过你热点的包TTL统一，服务器那边看就是一台设备在正常通信。但这个方法有个坑，如果校园网同时检测TCP时间戳或者窗口大小，TTL改了也没用，因为不同系统的TCP栈特征不一样。

再进一步是MAC地址克隆。把你手机的MAC改成和笔记本一样，这样DHCP请求看起来就是同一台设备。安卓开发者选项里能改，iPhone得越狱。但校园网如果开了802.1X认证，MAC克隆会直接导致认证失败，因为证书和MAC绑死了。我试过，学校用的锐捷客户端，改MAC后连认证页面都打不开。

真正稳的办法是用代理而不是NAT。笔记本上跑个Socks5代理，手机连WiFi后手动设置代理指向笔记本IP。这样手机流量走代理出去，源IP和源MAC都是笔记本的，TTL也不变，因为代理工作在应用层。缺点是你得在手机上装支持代理的App，浏览器还好，有些游戏和视频App不认系统代理。

还有个偏门操作是开热点但关DHCP。手机连上后手动配IP，网关指向笔记本。这样校园网抓不到DHCP指纹，但手机得root或者越狱才能手动配静态IP。我拿旧安卓机试过，能连上，但每次换教室都要重配，太麻烦。

说到底，校园网检测共享主要靠流量特征分析，不是单一指标。TTL、DHCP、User-Agent、甚至数据包发送频率，综合起来判断。你只改一样，可能撑几天，但流量一大照样被盯上。我见过最狠的是用树莓派做旁路由，所有设备流量走VPN隧道出去，校园网只看到一条加密连接。但那个方案成本高，而且学校如果限速，VPN也救不了。

最后说个实在的。大部分学校检测到热点只是警告，不会直接封号。第一次弹窗你关掉就行，过半小时再开。真要长期用，建议办张流量卡，省得跟网络中心斗智斗勇。我后来就是这么干的，49块钱100G，比天天改注册表省心多了。