打开浏览器，电脑输入网址，何访敲回车——页面转圈，问国外的网站然后告诉你“无法访问此网站”。电脑这事儿几乎每个国内网民都遇到过。何访原因不复杂：数据包从你的问国外的网站电脑出发，经过路由器、电脑运营商骨干网，何访到了国际出口，问国外的网站被一道无形的电脑墙拦住了。这道墙不是何访物理设备，而是问国外的网站一套流量过滤和干扰系统，业内叫GFW，电脑Great Firewall。何访

它怎么拦你？问国外的网站手段其实挺多的。DNS污染是最常见的一种。你输入google.com，电脑先得问DNS服务器“这个域名对应哪个IP”。正常情况下，DNS服务器返回真实IP。但在国内，请求经过国际出口时，可能被中间设备抢答，返回一个假IP。你拿着假地址去敲门，当然敲不开。另一种是IP封锁，直接把某些境外IP段拉黑，数据包发过去就石沉大海。还有SNI检测，HTTPS握手时域名是明文的，防火墙看到敏感域名就直接掐断连接。

那怎么绕？最直接的办法是让流量“看起来不像”在访问那些网站。VPN干的就是这事。它在你的电脑和境外服务器之间建一条加密隧道，所有数据包先打包加密，再发给境外服务器，由它替你访问目标网站，然后把结果传回来。防火墙看到的就是一坨加密数据，不知道里面是什么，也没法按域名掐断。但VPN的破绽在于，它的流量特征太明显——大量加密数据持续发往同一个境外IP，容易被识别和封锁。所以很多VPN用着用着就失效了。

后来出现了Shadowsocks，思路更轻巧。它不像VPN那样全局代理，而是只代理你指定的流量。更关键的是，它的流量伪装成普通的HTTPS流量，防火墙很难区分它和正常网页浏览。我自己的体验是，SS配合一些混淆插件，在大部分网络环境下都能稳定工作。不过去年开始，一些地区的运营商对疑似SS流量的连接进行了更激进的干扰，表现为连接建立后几秒内被重置。

再往后是V2Ray、Trojan、Hysteria这些工具。Trojan的思路很妙：它直接伪装成一个正常的HTTPS网站。你连上去，它先跟你完成TLS握手，看起来就像在访问一个普通网站。只有当你发送正确的密码后，它才开始代理流量。防火墙如果只是被动监听，根本看不出区别。Hysteria则基于QUIC协议，用UDP传输，在丢包严重的网络里反而比TCP更快。

但工具只是工具，线路才是命门。你用的境外服务器IP如果被墙了，再好的协议也白搭。所以很多人会买多个VPS，轮换着用。或者用CDN中转，把流量先发到Cloudflare这样的CDN节点，再由CDN回源到你的服务器。这样你的真实服务器IP被隐藏，防火墙只能看到你连了Cloudflare。不过Cloudflare的免费CDN在国内访问速度一般，看视频会卡。

还有个细节：DNS查询本身也可能泄露你的意图。即使你用了代理，如果DNS请求还是走本地运营商，防火墙照样能看到你在解析哪些域名。所以代理工具通常会把DNS查询也一并代理，或者用DOH、DOT加密DNS。我习惯在本地跑一个DNS解析器，把常见域名解析结果缓存下来，减少明文DNS查询。

说回日常使用。如果你只是偶尔查个资料，用一些公益性质的镜像站可能就够了。比如某些高校提供的Google Scholar镜像，或者GitHub的加速下载站。但这些镜像不稳定，说关就关。长期稳定访问，还是得自己搭一套。成本也不高，最便宜的VPS一年十几美元，够用了。

最后说个观察：这场猫鼠游戏一直在升级。防火墙从早期的简单IP封锁，到现在的机器学习流量分类，越来越难对付。代理工具也从全局VPN进化到流量伪装。两边都在迭代。对普通用户来说，没有一劳永逸的方案，多备几套工具、几条线路，才是现实的做法。