我住在成都，样绕一个网络审查不算最严、过防但也绝对不松的火墙城市。去年秋天，样绕我的过防一个朋友——姑且叫他老周——在某个深夜给我发来一条消息：“你知不知道，GitHub 上那个仓库又打不开了？火墙”我点开链接，果然，样绕转圈，过防超时，火墙一片空白。样绕这不是过防我第一次碰到这种事，也不会是火墙最后一次。

绕过防火墙，样绕说白了就是过防跟一台巨大的、会自我学习的火墙路由器玩捉迷藏。它检查你的DNS请求，检查你的SNI字段，甚至检查你的TLS握手特征。你问我要怎么绕？答案不是一条路，而是无数条。但最基础的逻辑只有一条：让它看不见你在访问什么，或者让它以为你在访问别的东西。

最简单的办法是改DNS。把系统默认的DNS换成8.8.8.8或者1.1.1.1，有时候就能打开一些被DNS污染的网站。但这招只对新手管用——防火墙早就不玩DNS污染这种低端把戏了，它现在直接掐SNI。你访问一个网站，TLS握手时明文暴露了域名，它一眼就认出你是谁。所以，改DNS只是入门，就像用湿毛巾捂住口鼻跑进烟雾里，管用，但撑不久。

真正靠谱的做法是加密你的整个连接。VPN是传统方案，但商用VPN的服务器IP早就被标记得干干净净。你连上的一瞬间，它可能直接给你断流，或者给你看一个“连接被重置”的红色错误页。我试过十来个免费VPN，大多撑不过一周。有个叫“蓝灯”的老牌工具，前几年还能用，后来被盯上，服务器IP段被轮番封锁，更新速度根本跟不上封锁速度。

后来我开始用V2Ray，配合WebSocket和TLS伪装。原理很简单：你的流量看起来像在访问一个普通的HTTPS网站，比如某个博客或者电商页面。但实际上，那台服务器在悄悄转发你的请求。防火墙检查到的是正常的TLS流量，域名也看着没问题，它就放行了。这招挺有效，但前提是你得有一台境外的服务器。我租了一台东京的VPS，一个月大概二十块人民币，配置好之后，速度还算稳定，看YouTube的4K视频会卡，但刷推特、查资料完全没问题。

再高级一点的玩法是搞“流量混淆”。比如把流量伪装成微信视频通话或者抖音的直播流。防火墙再聪明，也不敢贸然掐断腾讯和字节跳动的连接，否则整个中国的网络都得瘫痪。这个思路叫“影子节点”，我见过有人用树莓派在家里搭了一个，平时当普通路由器用，需要的时候自动把特定流量导出去。成本不高，但调试起来挺费劲，我折腾了一个周末才搞定。

说到底，绕过防火墙不是一劳永逸的事。今天能用的方法，明天可能就失效了。我手机里常备三个工具，轮换着用，哪个挂了就换下一个。最让我印象深刻的是一次深夜，我连上一个新搭好的节点，打开了一个被屏蔽的新闻网站。页面加载出来的那一刻，我忽然觉得，这不仅仅是技术问题，更像是一种对信息自由的执念。老周后来问我：“你费这么大劲，就为了看几个新闻？”我没回答。其实我也说不清，但我知道，有些门，如果一旦被关上，你就得学会自己开锁。

(责任编辑：百科)