去年秋天我在深圳华强北买路由器，翻网站墙老板听说我要刷固件，翻网站墙头也不抬说了句：“又是翻网站墙个想翻墙的。”他柜台下面压着一摞已经刷好OpenWrt的翻网站墙二手设备，明码标价，翻网站墙比官方渠道贵八十块。翻网站墙这事让我意识到，翻网站墙翻墙早就不是翻网站墙什么秘密，它变成了一门散落在灰色地带的翻网站墙日常生意。

技术本身不复杂。翻网站墙你家里的翻网站墙网络数据包本来要直奔目的地，但中间有一道叫GFW的翻网站墙过滤系统，它会检查每个包的翻网站墙目的地，发现不对劲就丢掉。翻网站墙翻墙要做的翻网站墙事情，就是让数据包先跑到一台境外服务器上，由它替你访问目标网站，再把结果传回来。GFW看到的是你和那台服务器之间的加密流量，不知道里面装了什么。原理就这么简单。

具体实现方式分好几代。最早流行的是VPN，把整个设备的网络流量都塞进一条加密隧道。这东西在企业里本来是用来让员工远程接入内网的，后来被普通人拿来翻墙。缺点是特征太明显，GFW早就学会了识别VPN协议，现在裸连VPN基本活不过五分钟。

后来出现了Shadowsocks，一个中国程序员写的代理工具。它不像VPN那样把所有流量都代理，而是只处理你指定的那些。更关键的是，它把流量伪装成正常的HTTPS网页浏览，GFW很难从流量特征上分辨。我2016年第一次用SS，在阿里云上租了台最便宜的香港服务器，自己搭了个服务端。那时候还能直连，速度飞快，看YouTube 1080p不卡。现在阿里云香港的IP段早就被盯上了，新开的机器大概率连不上。

再往后是V2Ray和Trojan，思路更进一步。V2Ray支持多种协议和混淆方式，可以模拟成正常的网站流量，甚至能伪装成访问某个真实存在的网站。Trojan干脆直接借用HTTPS协议，你的代理流量和正常访问HTTPS的流量在GFW看来一模一样。去年我帮朋友配了一台Trojan服务器，伪装成一个卖茶叶的网站，跑了大半年没被封。

但技术对抗是动态的。GFW会主动探测，它发现某个IP有可疑流量，就会假装成普通用户去连接，看服务器怎么回应。如果回应不符合正常网站的行为，就封掉。所以现在的翻墙工具都在研究怎么让服务器在遇到探测时表现得像个真网站。有人干脆用Nginx做前置，代理服务藏在后面，探测请求直接返回一个真实的网页。

普通人不想折腾这些。买现成的机场服务最省事，付钱拿订阅链接，导入客户端就能用。机场主负责维护服务器、更新协议、应对封锁。问题是机场良莠不齐，有的跑路，有的被攻击，有的偷偷记录你的流量。我见过一个机场，用了三个月突然关停，群里几百号人骂街，但钱早就追不回来了。

自己搭服务器也不难。租一台境外VPS，装个一键脚本，十分钟搞定。难的是选对机房和IP。搬瓦工的CN2 GIA线路贵但稳，普通线路便宜但随时可能被墙。我现在的做法是同时开三台不同机房的机器，一台被封就切另一台。成本每月大概十美元，比机场贵，但数据在自己手里。

法律上这事很模糊。个人使用翻墙工具访问境外网站，被处罚的案例大多是涉及传播或盈利。纯粹自己查资料、看视频，风险相对低，但也不是零。2019年广东有个程序员因为搭建SS服务器给朋友用，被罚款一千块。判决书里写的是“擅自建立、使用非法定信道进行国际联网”。

我自己的判断是，翻墙的需求不会消失。做外贸的要跟客户用WhatsApp，搞科研的要查Google Scholar，看个Netflix还得考虑区域限制。技术手段会一直迭代，封锁和反封锁的猫鼠游戏没有终点。华强北那个老板说得实在：“你今天买回去能用，明天封了我可不负责。”