学校网络中心那台深信服AC，学校默认策略是滤破只拦HTTP明文流量。HTTPS流量它基本不管，学校除非你主动去访问被标记的滤破域名。这就有意思了——你打开浏览器，学校地址栏里敲https://www.youtube.com，滤破大概率能直接进去。学校不是滤破学校不想封，是学校封HTTPS的成本太高，要么做中间人证书劫持，滤破要么上SNI检测，学校很多学校嫌麻烦就没做。滤破

我高中那会儿，学校机房电脑装的滤破是Windows 7，浏览器是学校IE 8。有次信息课我试着在地址栏输入https://www.google.com，回车，页面居然加载出来了。旁边的同学凑过来看了一眼，问我怎么做到的。我说就加了个s。他试了试，也成了。后来我们俩被老师叫去办公室，问是不是用了什么翻墙软件。其实真没有，就是协议的事。

但这个方法不是万能的。有些学校升级了设备，做了SSL解密。你访问HTTPS站点，防火墙会动态签发一张假证书，浏览器会弹安全警告。这时候你点“继续访问”，流量就被解密审查了。判断方法很简单：看证书颁发者是不是你学校的名字。如果是，那就说明被中间人了。

绕过SNI过滤有个老办法：用ECH。Cloudflare现在默认给免费用户开ECH，但需要浏览器支持。Chrome 117之后开始逐步支持，Firefox更早。你可以在about:config里把network.dns.echconfig.enabled设成true。不过学校如果直接封了Cloudflare的IP段，那也没辙。

还有个更土的办法——改DNS。学校通常强制你用它的DNS服务器，但你可以手动改成223.5.5.5或者1.1.1.1。有些学校只做了DNS层面的域名过滤，改完DNS就绕过去了。当然，如果防火墙做了IP层阻断，改DNS也没用。我试过在机房把DNS改成8.8.8.8，结果连百度都打不开了——学校把外网DNS的53端口给封了。

用DoH也能绕。Firefox里设置DNS over HTTPS，指向https://dns.google/dns-query。这样DNS查询走443端口，和普通HTTPS流量混在一起，防火墙很难区分。但前提是你的浏览器能连上dns.google。如果连这个域名都被SNI阻断了，那就死循环了。

最省事的其实是找学校网络中心的人聊聊。我大学室友就在网络中心做助管，他告诉我，学校买的那套过滤系统规则库半年没更新了，很多新域名根本没收录。他还说，领导其实不太管学生看什么，只要别下载盗版电影把带宽占满就行。所以有时候你访问不了某个站，可能只是那台老防火墙的内存满了，重启一下就好。

说这些不是鼓励你违反校规。学校做URL过滤，初衷是防病毒、防钓鱼、防带宽滥用。你非要看被禁的内容，风险自己担。但如果你只是想在机房查个技术文档，结果GitHub被误杀了，那上面这些方法可以试试。我当年就是为了下个Python库，折腾了一下午。

最后提醒一句：别在机房电脑上装任何代理软件。学校通常装了还原卡和监控agent，你装的东西重启就没了，但日志会留下来。真要搞，用自己的手机热点，别连校园网。