去年秋天我在曼谷素坤逸路一家咖啡馆里，开外旁边坐了个德国人，工具对着笔记本骂了一句，开外然后掏出手机开热点。工具我瞄了一眼，开外他在用WireGuard连回柏林的工具服务器。那是开外我第一次意识到，所谓“打开外网”这件事，工具早就不是开外什么神秘操作，它变成了一种日常技能，工具跟会用地图导航差不多。开外

先说清楚一个概念。工具很多人把“翻墙”和“访问外网”混在一起谈，开外其实这两件事的工具技术路径完全不同。访问外网的开外本质是让你的流量从另一个出口出去，而防火墙的工作方式是识别和阻断特定流量特征。所以工具的核心逻辑就两类：要么伪装流量，要么加密隧道。

代理类：最老也最直接的路子

HTTP代理和SOCKS5代理是最早的形态。浏览器里填个IP和端口就能用，简单到不行。问题是这种流量基本是裸奔的，防火墙一眼就能认出来。我2015年试过用免费代理，速度慢到打开Google首页要四十秒，而且三天两头失效。现在还有人用这类工具，但多半是配合加密层一起。

Shadowsocks算是分水岭。它把流量伪装成正常的HTTPS流量，墙当时确实懵了一阵。我有个做外贸的朋友，2017年到2019年一直用SS，自己租VPS搭服务端，一个月五美元，稳定得很。后来墙升级了检测手段，单纯SS就不太够用了。

协议进化：从obfs到Trojan再到VLESS

SS之后出现了各种混淆插件，obfs4、simple-obfs这些，思路是给流量再加一层伪装。但真正让我觉得有意思的是Trojan，它干脆把自己伪装成一个正常的HTTPS网站。你访问它，它就是一个网页；你带着正确的密码访问，它就变成代理。这种设计思路很聪明，因为防火墙很难在不误伤正常网站的情况下封掉它。

VLESS加XTLS是近两年的方案，性能确实好。我在一台搬瓦工的机器上试过，看YouTube 4K基本不卡。但配置起来比SS麻烦，对新手不太友好。

商业VPN：省事但有代价

ExpressVPN、NordVPN这些商业服务，卖点就是一键连接。我出差的时候会用，图个省心。但说实话，它们在国内的稳定性越来越差，因为防火墙重点关照的就是这些大厂的IP段。而且你得信任它们不记录你的流量日志，这个信任成本不低。

有个细节值得注意：很多商业VPN的“混淆服务器”其实就是套了个Shadowsocks或者类似协议的壳。你花钱买的是配置好的服务和客服，不是技术本身。

自己搭还是买现成的

自己租VPS搭，成本大概一个月五到十美元，好处是IP独享，不容易被牵连。坏处是IP被封了得自己换，有时候一个月换两三次。买现成的机场服务，省事，但你的流量和别人的混在一起，IP被封的风险更高，而且服务商跑路的事情年年都有。

我自己的做法是：主力用一个自建的VLESS节点，备用两个不同服务商的机场。鸡蛋不放一个篮子里，这是被封出来的经验。

最后说一句实在话。工具本身不复杂，复杂的是持续维护。墙在升级，工具也在升级，这是一场没有终点的猫鼠游戏。你得有点折腾的精神，不然还是老老实实用商业VPN，虽然慢点，但至少不用自己修。