报错排查 与疑难解答

机场是提供网络代理（科学上网）节点订阅服务的平台。你购买套餐后获得一条订阅链接，导入 Clash、Shadowrocket 等客户端就能使用它提供的海外节点。因为早期常用客户端的图标是纸飞机，这类服务就被戏称为「机场」。

订阅链接是机场发给你的一串唯一 URL 地址。客户端通过请求这个链接，可以自动下载并更新机场后台配置的所有最新节点服务器信息。

机场在境内租用一台高带宽的服务器（如广州、上海），把你的流量先收集起来，再通过这台境内服务器加密转发到境外落地节点。比你的电脑直接连境外（直连）更稳定、速度更快。

它是机场租用的真正“企业级跨境专线”，流量不经过防火墙（GFW），直接走内网光缆出国。特点是延迟极低、极其稳定，就算大敏感时期也绝对不会断网，但价格很贵。

指流量最终流出的海外服务器。比如你访问谷歌，谷歌看到的 IP 地址就是这个落地节点的 IP（如中国香港、日本、美国等）。

该 IP 的注册地与实际机房所在地一致。通常只有这种 IP 才能完美解锁 Netflix、Disney+ 或 ChatGPT 等对风控要求极高的海外服务。

指某个海外节点的 IP 因为长期被大量中国大陆用户使用，被谷歌（Google）的大数据判定为“实际使用者在中国”，导致你用它看 YouTube 时会自动弹出中国大陆的广告，或者 Google 搜索默认变成简体中文。

机场为了调节成本设置的规则。比如一个节点的流量倍率是 10x，意味着你用这个节点下载 1GB 文件，机场后台会扣除你 10GB 的套餐额度；如果是 0.1x，下载 10GB 只扣 1GB。

机场为了自我保护，在服务器端设置的拦截规则。通常会屏蔽 BT 下载、政治极端言论网站、国内涉诈骗/金融风控网站以及特定版权投诉网站。

专门用来解析机场订阅链接并执行流量转发的软件。本身不带网络流量，常见的有 Clash、Shadowrocket、Sing-box、v2rayNG、Surge 等。

大概率是本地系统代理没开，或者系统时间不同步。请检查电脑/手机的时间是否精确到秒，TLS 加密协议对时间差非常敏感，相差超过 1 分钟就会握手失败。

微信有内置缓存且部分流量走特定端口。浏览器打不开是因为 Clash 劫持了系统 DNS 但解析失败，可在软件设置中尝试关闭并重新开启“系统代理（System Proxy）”或切换为 TUN 模式。

目标服务器拒绝了连接。可能是该节点刚好宕机了，或者是你的订阅长期未更新，该节点的端口在机场后台已经发生变更。

TUN 模式会在系统层虚拟出一张网卡，强制接管整台电脑的所有流量。当你发现某些游戏、UWP 应用或终端命令行不走代理时，开启 TUN 模式可以解决 99% 的流量漏过问题。

说明下载的订阅文件格式损坏。通常是因为你的套餐过期/流量用尽，机场服务器返回了提示无流量的网页源码（HTML），客户端无法将其识别为 YAML/JSON 配置。

杀毒软件的“网络防护”或“恶意流量拦截”功能误杀了代理软件的虚拟网卡驱动或本地回环端口（如 7890）。需要将代理软件的整个文件夹加入杀毒软件的白名单。

系统权限冲突。需要在 Mac 的“系统设置 -> 网络 -> VPN 与过滤器”中，删掉旧的代理配置残余，并给当前代理软件重新授予“添加代理配置”的权限。

因为代理软件接管了外部入站流量的回程路由，导致回程流量走到了机场节点。需要在分流规则中加入你本地的 DDNS 域名或内网 IP 段，设置为 Direct（直连）。

代表连接被主动取消。通常是你在网页还没加载完时切换了节点，或者浏览器发起了并发请求，其中较慢的连接被软件内核自动中止了，属于正常现象。

TUN 模式所需的虚拟网卡驱动被系统阻止。请右键以管理员身份运行客户端，或者去 Wintun 官网手动下载该驱动文件放入软件对应的内核目录中。

OpenAI 对机房 IP 的风控极严。这个报错说明该节点的 IP 被 OpenAI 列入了黑名单。请尝试清除浏览器 Cookie，开启无痕模式，并切换到机场标注有“解锁 OpenAI/ChatGPT”的专用原生节点。

Netflix 封锁了商业机房的 IP 段。非解锁节点只能看 Netflix 自制剧，无法看到锁区剧集。解决办法是让机场主更换节点 IP，或切换到专门的流媒体解锁节点。

TikTok 不仅检测 IP，还会强制检测你手机里 SIM 卡的国家代码（MCC）。中国大陆的 SIM 卡（460）会被直接拒绝。你需要拔出 SIM 卡，或者在手机客户端使用特定脚本（如 Quantumult X/Loon 的重写规则）来伪装运营商信息。

这叫 IP 广播污染。这个 IP 以前可能被用在越南机房，最近被买下并广播到了台湾，但 Google 的地理位置数据库还没更新，需要等待 Google 自动修正。

普通机场节点针对的是网页和视频的 TCP 流量，而游戏联机大量使用 UDP 流量。很多机场为了省带宽会关闭 UDP 转发，或者其路由没有经过游戏优化。玩游戏建议使用专业的“游戏加速器”，而不是普通网页机场。

很多交易所（如币安、Coinbase）严禁美国或某些敏感地区 IP 访问。如果你把节点设为了全局美国，或者节点在中途漂移到了受限制地区，就会触发交易所的风控自动锁仓。

你的分流规则失效了，导致音乐 App 认为你是一个海外用户，由于版权保护（限大陆地区播放），歌曲自动变灰。需要确保分流规则中 NetEase 或 Tencent 走 Direct（直连）。

部分网站（如部分特殊论坛或成人网站）根据当地合规要求，对中国香港本地的 IP 进行了主动屏蔽，更换为日本或新加坡节点即可访问。

公司的企业网防火墙（如深信服、网康等）开启了深度包检测（DPI），封锁了机场节点所使用的非标准端口，或者直接通过行为审计阻断了可疑的加密流量。

校园网采用了 DNS 劫持技术。你的客户端虽然测到了服务器 IP 的通畅度，但发出的域名请求在校园网网关处被强制解析到了错误的地址。需要在客户端配置中开启“远程 DNS 解析（Remote DNS）”。

这是由于运营商的“国际出口带宽”在高峰期发生严重拥堵。直连流量优先级低，会被无差别丢包。建议在高峰期使用机场的“中转节点”或“专线节点”，它们有专用的国内带宽保证。

广电和长城宽带属于二级、三级运营商，它们自身没有独立的国际出口网关，所有出国流量都要向电信或联通借道，且内部存在多层 NAT 转发，对加密流量极不友好。

高铁移动基站切换极快，且在高速移动下基站信号本就存在多普勒效应。由于网络频繁微断开，代理客户端的 TCP 握手会不断重置。此时使用基于 UDP 协议（如 Hysteria 2、TUIC）的节点稳定性会大幅提升。

不是。机场的发布站和官网域名属于敏感网站，经常会被国内运营商定向封锁（墙掉）。机场通常会提供备用发布页、Telegram 频道或者永久免翻墙域名，你需要通过这些渠道获取最新的官网地址。

绝大多数是因为“套餐内流量”已经提前用尽。机场套餐通常包含“时间”和“流量”两个维度，任何一个用完都会导致订阅失效。请登录官网检查你的账户剩余可用流量。

很多用户在转账时忽略了“区块链网络手续费（Gas Fee）”。如果你从交易所提币，交易所扣除了 1-2 USDT 的手续费，导致最终到达机场收款地址的金额少于订单标价，系统就无法自动回调激活。需要联系机场客服手动补单。

触发了机场的防滥用审计规则。最常见的原因是：① 你把订阅链接分享给了太多人，导致同时在线的公网 IP 数超标；② 你在挂着节点时开启了迅雷、比特彗星等 BT 软件下载版权文件，导致服务器收到海外版权组织投诉。

这个功能会彻底作废你当前的订阅 URL，并生成一条全新的。当你的订阅链接不小心泄露给别人、或者你的流量被他人盗刷时，点击重置可以立刻切断所有未授权设备的连接。

大概率是因为机场的“订阅转换/分发域名”被国内防火墙拦截了（被墙）。你可以尝试在官网复制“纯文本节点列表”，或者使用机场提供的备用免翻墙订阅域名进行导入。

周期套餐的流量会在每个月的固定日期（如每月1号或你购买的那天）自动清零并重置；而一次性流量包没有时间限制，直到你把里面的流量彻底用完为止，通常用来作为临时备用。

机场使用的线上支付通道通常是第三方“发卡平台”或海外“易支付”切片通道，这类通道的收款账户由于流水异常极易被国内风控。遇到这种情况只能等待机场更换支付通道，或者改用数字货币支付。

部分机场在服务器端开启了“区域防火墙（GeoIP 拦截）”，禁止除中国大陆以外的 IP 访问官网和节点，以规避海外法律风控。如果你人在海外需要使用，需向机场管理层申请白名单。

全局模式下，你电脑的所有流量（包括访问百度、淘宝）都会绕道海外节点，会导致国内网站变慢、消耗机场流量；规则模式下，软件会自动判断，国内网站直接连接（Direct），国外敏感网站才走节点（Proxy）。日常使用强烈推荐规则模式。

指当你开启代理后，你访问海外网站的域名请求，依然发送给了你本地国内运营商的 DNS 服务器（如 114.114.114.114）。这会导致运营商能够精准记录你访问了哪些敏感网站，且容易引发域名被强行劫持。

可以在配置文件的 rules: 模块最上方，手动添加一条直连规则。格式为：- PROCESS-NAME,游戏进程名.exe,DIRECT 或者是 - DOMAIN-SUFFIX,域名尾缀,DIRECT。

它们是代理客户端用来识别流量去向的“地图”。GeoIP 记录了全球 IP 的地理位置归属，GeoSite 记录了各大网站的域名分类。定期更新它们，客户端才能精准判断哪些流量该走直连，哪些该走代理。

因为分流规则不完善，客户端把本地回环流量也发送给了海外节点，海外节点显然无法访问你本地的电脑。需要在客户端的“Bypass 列表（跳过代理）”中加入 localhost 和 127.0.0.1。

部分 App 会在后台同时发起多个域名的网络请求。如果某些边缘域名没有被规则库收录，被判定走了海外节点，淘宝系统就会检测到你的账号在一秒内同时在中国和海外登录，从而触发风控。

指将流量通过多个代理服务器进行多次跳转。例如：你的电脑 -> 机场中转机 -> 机场落地机 -> 自建隐私机 -> 最终目标网站。通常用来实现极致的身份隐藏，但延迟会极高。

某些海外服务器或机场的入口没有配置好 UDP 转发能力。当你强制开启 UDP 后，浏览器尝试通过 QUIC 协议（基于 UDP）加载网页，流量在服务器端被丢弃，导致网页死锁。

苹果 iOS 系统的底层网络隔离机制决定了，热点共享出去的流量默认绕过 VPN 虚拟网卡。如果想让电脑共享代理，必须在小火箭的设置中开启“启用代理共享（Allow LAN）”，并在电脑的网络代理设置里手动填写手机的局域网 IP 和端口。

可以在电视上下载安装专为电视遥控器优化的客户端，如 Clash for Android（可以使用电视版 UI 界面）或 v2rayNG。通过 U 盘将 APK 安装包导入电视，再通过扫描电脑/手机上的订阅二维码完成配置。

国内的物联网（IoT）设备对网络环境极其敏感，且不具备应对海外网络波动的能力。如果软路由的分流规则不小心让这些智能家居的请求走了海外节点，它们就会因为延迟过高或 IP 异常被服务器拒绝登录。必须在软路由后台将智能家居的 MAC 地址设为“强制直连”。

很多安卓模拟器默认采用“桥接网络”模式，它在局域网内拥有独立于电脑的虚拟 IP，从而绕过了电脑客户端的系统代理。解决办法是：在电脑代理软件中开启 TUN 模式，或者在模拟器内部单独安装一个 v2rayNG 导入订阅。

视频会议对实时性（延迟和丢包率）要求极高。如果你的规则让国内会议软件的流量绕道了海外节点，网络链路拉长了几千公里，就会引发灾难性的卡顿。必须确保会议软件的域名或进程在白名单中直连。

因为普通的网页机场节点不支持完全锥形 NAT（Full Cone NAT）转发，或者客户端没有开启 UDP 端口全锥形映射。如果是为了联机游戏，建议使用原生支持游戏联机加速的专业节点，并在软件中开启 Full Cone 选项。

AEAD（Authenticated Encryption with Associated Data）不仅对数据本身进行加密，还对数据进行认证，以防止被篡改。传统的如AES-CFB容易受到重放攻击和主动探测，而AEAD（如AES-256-GCM、ChaCha20-Poly1305）在解密前会验证数据完整性，有效抵御主动探测攻击，提高了防封锁能力。

AlterID最初用于在一个主ID下派生多个替代ID，从而让每次连接看起来像不同的用户，以此对抗基于流量特征和连接模式的审查。但在VMessAEAD普及后，这种多ID机制的防御收益变得极小，反而增加了CPU计算开销和内存占用，因此被V2Ray官方推荐弃用，推荐将AlterID设置为0，纯依赖AEAD的安全性。

Shadowsocks旨在将流量加密成随机的无特征数据，试图“不被识别”。而Trojan的设计理念是“模仿”，它通过将自身伪装成标准HTTPS流量（TLS 1.2/1.3），在外部看来与访问普通网页无异。如果有非Trojan协议的探测请求，Trojan会将其直接转发给后端的真实Web服务器，以此完美融入互联网的背景流量中。

Hysteria基于QUIC协议（UDP），并采用了自定义的拥塞控制算法（如Brutal）。传统的TCP协议在遇到丢包时会认为是网络拥堵并大幅降低发送窗口（减速），而在国际跨海链路中，丢包往往是常态而非拥堵导致。Hysteria无视丢包，强制按照用户设定的带宽以UDP暴力发包，从而在劣质网络下依然“跑满”带宽。

Hysteria 2完全重写了底层，采用了全新的协议设计。它放弃了对标准QUIC库的过度依赖，采用了更精简的自定义UDP协议，大幅降低了CPU占用和延迟；引入了更安全的密码学握手；内置了端口跳跃（Port Hopping）以对抗UDP QoS和端口封锁；并且简化了配置，不再需要手动调优繁琐的带宽参数。

TUIC的设计更偏向于“标准”与“架构优雅”，它基于标准QUIC协议，并充分利用了QUIC的0-RTT握手和多路复用特性，专注于降低延迟，适合游戏和网页秒开。而Hysteria更偏向于“暴力提速”，利用激进的拥塞控制算法在恶劣网络下抢占带宽。因此，TUIC更适合线路质量尚可但需要低延迟的场景，Hysteria适合线路丢包严重、需要高吞吐量的场景。

VLESS是一个无状态的轻量级协议。它去除了VMess中复杂的加密和时间戳验证机制（依赖客户端与服务端时间一致），不再自带加密功能，而是将加密任务完全交给下层的TLS或XTLS等安全通道。这使得VLESS的性能开销极低，转发效率更高。

Reality通过拦截并修改TLS Client Hello中的SNI，将目标指向一个知名网站（如微软、苹果），同时在服务端通过特定算法动态生成与目标网站匹配的临时公钥。它并不真正拥有该域名的私钥，但在TLS握手阶段，GFW看到的完全是客户端在与真实的知名网站建立连接。这样既省去了购买域名和申请证书的麻烦，又因为伪装成高权重域名而难以被封锁。

传统的TLS代理会在客户端加密一次，外层TLS再加密一次。XTLS Vision（Direct模式）能够在检测到内层流量也是TLS时（例如用户访问HTTPS网站），在握手完成后直接“拼接”内外层的数据流，也就是直接转发内层的TLS加密数据，省去了代理协议层面的二次加密和解密过程。这极大地降低了路由器的CPU开销并提高了极限吞吐量。

旧版SS即使使用了AEAD，也存在防重放攻击的窗口有限以及无法完全抵御包长度分析的问题。SS-2022引入了基于会话的加密和极其严格的防重放机制，同时要求服务端对时间进行严格校验（类似VMess），并增强了对UDP流量的安全性设计，彻底堵死了重放攻击和主动探测的漏洞，使其具备了抗量子级别前向安全的潜力。

Mux通过在一个TCP连接中复用多个数据流，旨在减少TCP握手带来的延迟。但是，在跨国高延迟和高丢包的网络环境下，由于TCP具有队头阻塞（Head-of-line blocking）的特性，只要底层这个唯一的TCP连接丢了一个包，所有复用在这个TCP上的数据流都必须等待重传。因此在网络状况差时，开启Mux反而会导致所有网页卡顿，速度断崖式下跌。

普通的TLS伪装（如WebSocket+TLS）由于其流量特征逐渐被防火墙深度学习，特别是如果伪装的域名是一个生僻的小域名，很容易触发审查的主动探测和封锁。而Reality可以伪装成高频知名域名，或者纯TCP加密（如SS）只要做得足够随机无特征，在当前的封锁策略下，往往比劣质的TLS伪装存活率更高。

许多运营商会对长时间占用单一UDP端口的大流量进行限速（QoS）甚至阻断。Hysteria 2的端口跳跃功能允许客户端与服务端在通信过程中不断、无缝地更换目标UDP端口，将一大股流量分散到多个随机端口上，使得运营商的流量整形设备难以将其识别为一个持续的高带宽数据流，从而绕过UDP QoS限制。

优点是WebSocket是标准Web协议，可以通过CDN（如Cloudflare）进行中转，即使服务器IP被墙，只要CDN的IP能访问就能救活节点；并且可以和正常的Web服务共用443端口（利用Nginx分流）。缺点是WebSocket的封装开销非常大，且HTTP头臃肿，导致传输效率极低，延迟高，不适合做游戏或对响应要求极高的代理。

gRPC基于HTTP/2协议，原生支持多路复用和双向流媒体传输，且采用Protobuf进行序列化，头部压缩效率高，协议开销比WebSocket小得多。它在保持了与WebSocket一样可以通过CDN中转和配合Nginx分流的优点的同时，提供了更低的延迟和更高的并发吞吐量。

SSR的混淆机制主要依赖于修改数据包头部，伪装成HTTP或TLS流量。这种伪装是“静态的”和“表象的”，并没有真正遵循HTTP或TLS协议的交互逻辑，面对如今具备深度包检测（DPI）和机器学习能力的防火墙，这种机械的特征修改极易被识别为异常流量，从而导致IP被精准封锁。

入站（Inbound）负责接收来自客户端（如浏览器或其他软件）的数据，定义了本地监听的端口和协议（如SOCKS5、HTTP）。出站（Outbound）负责将处理后的数据发送出去，定义了目标服务器的地址、端口以及使用的代理协议（如Vmess、Shadowsocks）。Xray就是在这两端之间进行路由分发和协议转换的核心引擎。

Trojan-Go使用Go语言完全重写了C++版的Trojan，在保持兼容性的基础上，增加了多路复用（Mux）、WebSocket支持、CDN中转能力、路由分流（类似于V2Ray的路由规则）以及更好的跨平台支持。它弥补了原版Trojan功能单一、无法利用CDN的缺点，使其成为了一个功能更全面的代理核心。

绝大多数多人在线竞技游戏（如CS:GO、Apex）的实时通信依赖于UDP协议。如果代理工具不支持UDP转发，或者转发后的NAT类型是Strict（严格），会导致游戏内无法建立P2P连接、语音失效或匹配不到玩家。优秀的代理协议需要能完美转发UDP包，并维持Full Cone NAT（完全圆锥型NAT）以保证最佳联机体验。

XTLS-Vision在握手阶段会对TLS Client Hello的特征进行严格检查，并在通信过程中加入随机填充（Padding）和长度混淆。如果有探测器尝试发送非法的或者重放的数据包，服务端会以特定的方式静默丢弃或伪造正常的网络超时响应，使探测器无法通过服务端的反馈来判断该端口是否运行了代理服务。

Dest是目标伪装网站的地址，ServerNames是客户端发送的SNI。如果两者不匹配，或者ServerNames不在目标网站证书所允许的域名列表中，防火墙在拦截探测时会发现“挂羊头卖狗肉”的行为，即客户端请求的域名与服务端返回的证书域名不符，这将直接暴露代理行为并导致节点被封锁。

前向保密意味着每次会话都会生成一组唯一的临时密钥。即使未来代理服务器的长效私钥被破解或泄露，攻击者也无法解密过去截获并保存的历史通信数据。TLS 1.3默认强制使用前向保密（如ECDHE），这极大地提升了代理流量在面对国家级监听时的安全性。

传统的TCP代理在手机从Wi-Fi切换到蜂窝数据（如5G）时，由于本地IP发生变化，TCP连接会断开重连，导致代理短时间失效。QUIC协议使用连接ID（Connection ID）而不是IP+端口来识别连接，因此无论客户端的IP如何变化（如切换网络），基于QUIC的协议（如Hysteria, TUIC）都能无缝保持连接不断开。

CDN中转相当于在用户和目标服务器之间增加了一个“代理的代理”。数据包首先发送到CDN的边缘节点，再由CDN通过其骨干网转发给源站。多了一次甚至多次路由跳跃和处理开销，必然导致物理延迟上升。同时，免费CDN节点往往有并发和带宽限制，在高峰期会受到网络拥堵影响，导致整体速度下降。

旁路由并非物理上“旁置”，而是逻辑上的单臂路由。它连接在主路由的局域网口（LAN）上，只有LAN口工作。主路由负责拨号和DHCP分配，而旁路由的作用是作为网关，截获局域网内需要代理的设备的流量，进行处理（如科学上网、去广告）后再交由主路由发往互联网，不影响主路由的稳定工作。

旁路由无法上网通常是因为缺少NAT伪装。解决方法是在OpenWrt的“防火墙 - 自定义规则”中添加一条iptables规则：iptables -t nat -I POSTROUTING -o eth0 -j MASQUERADE。这条规则的作用是将旁路由处理后的数据包源地址修改为旁路由的IP，确保数据包能顺利被主路由接收并返回。

透明代理通过在网关路由器上使用防火墙规则（如iptables或nftables），将局域网内设备的TCP/UDP流量在设备无感知的情况下，强行重定向（Redirect）或透明代理（Tproxy）到本地的代理核心（如Xray、Clash）。客户端设备无需配置任何代理软件或环境变量，连上Wi-Fi即可科学上网。

OpenClash基于Clash核心，分流逻辑主要由Clash的YAML配置文件（如Rule Providers）在应用层控制，灵活性极高，支持复杂的逻辑判断。而PassWall主要依赖路由器底层的iptables、ipset或nftables配合dnsmasq/SmartDNS，在网络层和传输层进行IP和端口的分流，性能开销小但规则配置不如Clash直观复杂。

Redirect只能处理TCP流量，通过修改目标端口将数据转发给代理，会丢失数据的原始目标IP（需通过特定方式还原），且不支持UDP。TProxy（透明代理技术）工作在更底层的mangle表，不仅支持TCP，还能完美劫持UDP流量，并且不改变数据包的任何头部信息，是目前实现全双工透明代理（尤其是游戏UDP转发）的最佳方案。

这是因为如果不进行DNS分流，国内域名的解析请求可能会被发送到被污染的海外DNS，或者发送到国内DNS但返回了被抢答的错误IP。如果代理插件没有正确配置“国内域名用国内DNS直连，国外域名用国外DNS走代理解析”，就会导致DNS解析混乱，从而影响国内网站的访问速度和连通性。

当设备发起域名解析时，Fake-IP模式不会去真正查询该域名的真实公网IP，而是瞬间返回一个虚假的局域网IP（如198.18.x.x）给设备。设备拿着虚假IP发起TCP连接被路由器截获，路由器再通过Clash的代理通道让远端服务器去解析真实IP并请求数据。这省去了一次本地DNS查询的等待时间，使得网页实现了“秒开”。

dnsmasq是OpenWrt默认的DNS和DHCP服务器。在没有Clash等高级代理核心时（如使用PassWall），dnsmasq配合ipset被广泛用于分流：它根据配置文件，将国内域名的查询发给ISP，将国外域名发给无污染DNS，并将解析出的海外IP地址动态添加到底层的ipset集合中，防火墙再根据ipset名单将对应流量导入代理隧道。

家庭网络中并非所有设备都需要走代理。例如，智能电视看国内视频如果经过代理内核处理，即使是国内直连节点，也会增加路由器CPU负担。通过MAC地址控制，可以让手机、电脑走透明代理，而智能家居、电视机的流量直接通过底层网关绕过代理插件，提高整体网络性能和稳定性。

这是因为旁路由架构下，数据包经历了两次NAT（旁路由一次MASQUERADE，主路由一次NAT拨号），多重NAT会破坏UDP的端口映射规则，导致游戏主机的P2P通信失败。解决这个问题通常需要取消旁路由的NAT伪装规则（前提是主路由支持静态路由表配置，将返回流量指向旁路由IP）。

SmartDNS的主要功能是并发向多个上游DNS服务器发起查询，并测速返回响应最快的IP，以获得最佳的CDN解析结果。它不是科学上网的必需品，如果配置不当，很容易与OpenClash的DNS模块（如Fake-IP）产生冲突，导致解析死循环或网页打不开。新手通常不建议在代理环境下混用SmartDNS。

AES-NI是CPU内置的硬件加密指令集。大部分传统的代理协议（如Shadowsocks, Vmess的AES-128-GCM）都依赖AES算法。拥有AES-NI指令集的CPU（如Intel J4125、N100）可以以极低的CPU占用率处理千兆级别的加密流量，而没有该指令集的ARM芯片在处理高带宽时会因为CPU满载而导致网速遇到瓶颈。

策略路由突破了基于目标IP的传统路由表，允许根据源IP、源端口、协议类型等制定更灵活的转发规则。在软路由中，例如规定特定设备的IP固定走一条VPN隧道出海，而其他设备走普通WAN口；或者在多条宽带叠加时，根据不同应用指定走电信或联通线路。

断流常见原因包括：1. 机场节点不稳定或遭到临时封锁；2. DNS解析混乱，上游DNS服务器限速或无响应；3. Clash等内核内存溢出或崩溃重启；4. 软路由底层固件（如某些定制版OpenWrt）的网络驱动Bug，导致以太网接口频繁掉线。

Chnroute包含了中国大陆所有分配到的IP地址段。将其配置在路由器防火墙中，可以实现最基本的“绕过局域网和大陆IP”分流。即所有目标IP在中国大陆内的流量都不经过代理客户端，直接走本地运营商网络，确保访问国内服务的速度和版权限制不受影响。

许多代理节点不支持IPv6。如果局域网设备开启了IPv6并获取了公网IPv6地址，当它请求某些双栈网站（如Google）时，可能会优先走本地IPv6直连，从而绕过IPv4的透明代理规则，导致访问失败或真实IP暴露。防范方法是在OpenWrt中关闭IPv6的DHCP分配，或在代理插件中丢弃IPv6查询（Drop IPv6）。

在NAS上运行一个支持macvlan网络模式的Docker容器（如OpenWrt容器或Clash内核容器）。Macvlan允许容器获得一个与NAS处于同一网段的独立IP。将家里的设备的网关和DNS手动设置为该容器的IP，即可让容器作为旁路由接管和处理该设备的网络流量。

iKuai和ROS通常作为主路由，负责极其稳定的宽带拨号、流控（QoS）和多线负载均衡；而OpenWrt则作为虚拟机中的旁路由，专门运行各种科学上网和去广告插件。两者结合，既保证了家庭核心网络的绝对稳定，又享受了OpenWrt丰富的插件生态。

Rule Providers允许Clash从远端URL动态下载和更新规则列表（如广告域名列表、Apple服务域名列表）。相比于将成千上万条规则写死在本地配置文件中，Rule Providers大大减小了配置文件的体积，且可以设定定时自动更新，确保分流规则时刻保持最新状态。

如果防火墙iptables规则配置错误，把代理软件本身发出的（用于连接海外服务器的）流量又重新重定向（Redirect）回代理软件的监听端口，就会形成无限循环。数据包在路由器内部死循环，瞬间耗尽CPU和内存资源，导致整个网络崩溃。必须通过配置白名单（如排除代理软件运行的用户或特定标记的包）来打破回环。

AdGuard Home是一个强大的局域网去广告和DNS管理工具。在标准的软路由拓扑中，它通常位于最前端（接管局域网所有设备的53端口），负责过滤广告域名。过滤后正常的域名请求，再转发给后端的OpenClash或PassWall进行国内外分流解析，从而实现去广告与科学上网的共存。

Tun模式会在系统底层创建一个虚拟网卡（Tun设备）。它通过修改系统路由表，将所有流量直接引入这张虚拟网卡交由Clash处理，无需依赖复杂的iptables/nftables防火墙规则。这使得Tun模式跨平台兼容性极强（支持Windows, macOS, Linux），部署极其简单，且天然支持TCP和UDP的全流量接管。

科学上网节点的连通性测试（通常是PING或HTTP探测）具有局限性。节点可能表现出极低的延迟和正常的HTTP响应，但其实已经被防火墙阻断了实际应用流量。如果测速机制不够智能，负载均衡会错误地将流量分配给“假死”的节点，导致用户体验不仅没有提升，反而频繁断网。

如果光猫负责拨号和路由（光猫路由模式），光猫就掌握了网络的最高控制权，软路由只能作为下级设备。光猫由于硬件性能孱弱且封闭，无法进行端口映射、NAT类型优化、自定义DHCP网关等高级操作。改为光猫桥接让软路由拨号，才能让软路由真正接管家庭网络，释放全部功能。

Surge 的 Module 是一种可以动态启用或停用的配置片段。与直接写死在主配置（Profile）中的规则不同，模块可以包含通用规则、重写（Rewrite）、脚本（Script）和 MITM 证书。它的最大优势在于解耦，用户无需频繁修改主配置文件，即可通过开关模块来实现例如去广告、特定应用解锁或功能增强，极大地提升了配置的灵活性和可维护性。

在 Quantumult X 中，MITM 用于解密 HTTPS 流量。首先需要在设备上安装并信任 Quantumult X 生成的 CA 证书，并开启 MITM 开关。随后，在配置文件中添加目标应用域名的主机名（Hostname）。结合 Rewrite 或 Script 功能，可以拦截应用向服务器发送的验证请求，或修改服务器返回的响应数据（如将 is_vip: false 改为 true），从而实现应用内高级功能的本地解锁。

Sing-box 的配置以高度结构化的 JSON 呈现，核心架构主要包含四个部分：inbounds（入站规则，定义如何接收本地流量，如 SOCKS、HTTP 或 TUN）、outbounds（出站规则，定义流量如何发往外部服务器，包括节点协议和直连/拦截）、route（路由规则，根据域名、IP、协议等条件将入站流量分配到指定的出站规则）、以及 dns（DNS 解析模块，处理域名查询防污染并与路由配合）。

Reality 协议摒弃了传统 TLS 需要真实域名和服务器证书的限制。它通过在客户端和服务器之间动态模拟一个白名单内的高信誉网站（如微软或苹果的官网）的 TLS 握手过程，直接使用目标网站的证书向防火墙出示。这不仅省去了购买域名和申请证书的繁琐步骤，还有效抵御了主动探测和 TLS 握手特征识别，大大降低了节点被封锁的概率。

Surge 的脚本功能允许用户使用 JavaScript 在特定阶段介入网络请求。主要类型包括：cron (定时任务，如自动签到或更新规则)、http-request (在请求发出前修改 Header 或 Body)、http-response (在响应返回给客户端前修改内容) 和 network-changed (网络环境切换时自动执行操作)。这为高级用户提供了近乎无限的定制能力，如去广告、请求重定向或动态参数计算。

url 302 或 url 307 属于重定向规则，当请求匹配特定 URL 时，Quantumult X 会返回一个 HTTP 状态码（302 临时重定向或 307 内部重定向），将请求引导至另一个自定义的 URL，常用于解除地区限制或跳转到镜像站点。而 url reject 则是直接丢弃该请求，常用于拦截广告请求或隐私追踪器，阻止其耗费带宽或泄露数据。

系统代理主要依赖操作系统或浏览器的 HTTP/SOCKS 代理设置，只能接管遵循这些设置的应用程序流量，部分应用（如命令行工具或某些游戏）可能会绕过。TUN 模式则是在操作系统层面创建一个虚拟网卡，通过路由表将所有三层（网络层）流量强制引导至该虚拟网卡。因此，TUN 模式能实现真正的“全局代理”，接管设备上所有应用的 TCP 和 UDP 流量。

GEOSITE 匹配基于预编译的域名数据库（通常来源于 v2ray/domain-list-community），它会在 DNS 解析前拦截请求的域名，如果域名存在于指定类别（如 google），则匹配相应规则。GEOIP 匹配则是基于 IP 地址段数据库，只有当目标域名解析为 IP，或直接使用 IP 请求时，系统才会判断该 IP 是否属于特定国家或区域（如 CN）。为了防止 DNS 泄露和精准分流，Clash Meta 通常结合使用这两者。

server 用于指定默认的传统 UDP/TCP DNS 服务器，处理大部分解析请求；local 通常指向运营商分配的本地 DNS 或路由器的网关，用于解析局域网内的设备或优化直连国内网站的 CDN 节点分配；encrypted 则指代 DoH (DNS over HTTPS) 或 DoT (DNS over TLS)，用于防止 DNS 查询在传输过程中被窃听或篡改，确保隐私和绕过 DNS 污染。

混淆 (obfuscation, obfs) 的目的是将代理流量伪装成正常的网络流量（如 HTTP 或 TLS）。在防火墙看来，混淆后的流量不再具有特定的代理协议特征（如 Shadowsocks 的固定数据包结构），而像是在访问普通的网页。这可以有效防止防火墙基于深度包检测 (DPI) 识别出代理行为，从而减少连接被重置或 IP 被封锁的风险。

rule_set 允许用户将大量域名、IP 甚至完整规则打包成独立的外部文件（可以是本地文件或远程 URL）。在 Sing-box 的 route 部分，用户只需引用这个 rule_set 的标签，而无需将成千上万行规则写入主配置文件。这极大地简化了配置文件的体积，且可以利用 Sing-box 内置的自动更新机制，保持规则库（如去广告列表、防路由泄漏列表）的实时性。

Clash Meta 支持多种策略组类型：select (手动选择)、url-test (基于指定 URL 测试延迟，自动选择延迟最低的可用节点)、fallback (按列表顺序，当靠前的节点不可用时自动切换到下一个可用节点)、以及 load-balance (负载均衡，通过随机或哈希算法将不同请求分配到多个节点，以增加吞吐量，但可能导致 IP 频繁变动)。

Surge Dashboard 提供实时的网络连接和请求监控。它不仅显示每个连接的来源应用、目标域名、使用策略、延迟和吞吐量，还可以展开查看完整的 HTTP 请求和响应头（Header）及内容（Body）。配合 MITM，开发者或高级用户可以轻松排查应用的网络行为、定位广告域名或调试 API，功能几乎媲美专业的桌面抓包工具（如 Charles）。

为了防止本地 DNS 泄露，可以在 Quantumult X 的配置中设置强行代理域名的 DNS 解析过程。通过在配置文件中的 [dns_exclusion] 或针对特定节点的设定，确保目标域名不在本地进行解析，而是直接将域名请求打包发送至远端代理服务器，由远端服务器负责解析，这样本地 ISP 既无法看到访问的域名，也无法进行 DNS 污染。

Sing-box 使用 Go 语言编写并进行了深度优化，其内存占用显著低于传统的 V2ray-core 和 Xray-core。此外，它原生集成了 TUN 模式，免除了配置外部透明代理的复杂性。更重要的是，Sing-box 拥有更加现代且严格的 JSON 配置架构，对新协议（如 Hysteria2, TUIC, ShadowTLS）的支持非常迅速，是目前全平台性能最佳的代理内核之一。

当应用程序（如部分游戏或基于底层 IP 的应用）不发送域名，只发送纯 IP 请求时，传统的基于域名的路由分流会失效。sniffer 能够深入解析出站流量的初始数据包（如 TLS Client Hello 或 HTTP Host），从中提取出真实的域名（SNI）。有了提取出的域名，Clash 就能再次匹配路由规则进行精确分流，从而解决由于纯 IP 请求导致的分流错误。

在局域网中，可以将安装了 Surge 的 Mac 开启“系统代理”和“网关”模式，并记录其局域网 IP 地址。然后，进入家中的主路由器后台，将 DHCP 服务中分配的默认网关 (Gateway) 和 DNS 服务器地址指向该 Mac 的 IP。这样，局域网内所有设备（包括电视、游戏机）的网络流量都会先经过 Surge 处理，实现全屋免客户端科学上网。

BoxJS 本质上是一个运行在 Quantumult X 中的数据管理环境（通过 Rewrite 将特定域名重定向到本地界面）。它允许用户通过一个图形化网页界面来配置和管理各种 JavaScript 脚本（如签到脚本、面板脚本）的变量和参数，而不需要去直接修改代码或配置文件。这种可视化管理极大降低了高级脚本的使用门槛。

虽然 Sing-box 拥有独立的配置体系，但其内核自带了一个 clash_api。这意味着用户可以启动 Sing-box 的同时也开启一个类似于 Clash 的控制端口（Restful API）。如此一来，用户可以使用众多第三方基于 Clash API 开发的图形化面板（如 Yacd 或 Metacubexd）来管理和监控 Sing-box 的节点和流量策略，降低了没有原生 GUI 带来的使用难度。

Fake-IP 模式下，Clash 会立即向客户端返回一个虚拟 IP（如 198.18.0.1），从而省去本地等待真实 DNS 解析的时间。但是，某些应用（如 STUN 协议、PT 下载、局域网设备发现）严格依赖真实 IP 才能正常工作。dns.fake-ip-filter 允许用户设定一个白名单域名列表，对列表内的域名不返回 Fake-IP，而是进行真实解析，从而避免这类应用的连接故障。

iOS 系统在内存紧张或长时间锁屏时，可能会主动关闭后台的 VPN 进程以节省电量。开启 Surge 的 "Always On" 功能并配合相关设置，能最大程度向系统声明该进程的关键性，确保其在后台常驻。这对于需要持续接收推送通知（如 Telegram、WhatsApp）或运行后台定时脚本的用户至关重要。

server_local 用于手动添加单个节点，配置保存在本地文件中，适合自建节点或偶尔测试。server_remote 则是节点订阅链接，支持定期自动从远端服务器拉取节点列表，且支持通过 img-url 增加图标，以及 update-interval 设置更新频率。通过结合正则过滤规则，用户可以从复杂的机场订阅中筛选出所需的特定节点。

Hysteria2 基于修改版 QUIC 协议，通过自定义拥塞控制算法来抢占带宽。在 Sing-box 出站配置中，只需将协议类型设置为 hysteria2，填入服务器地址和端口，并设置认证密码（password）和混淆（obfs，如 salamander 混淆）。在丢包率高或被限速的运营商网络中，Hysteria2 往往能爆发出远超 TCP 协议的惊人吞吐量。

传统的将成百上千条 rule 逐行写入配置文件，会导致 Clash 启动缓慢且占用内存高。rule-providers 允许从本地或网络加载规则列表，并在内存中构建高效的 Radix 树（前缀树）或哈希表。这不仅极大地加快了流量匹配和查找的速度，还支持定时的静默更新，不影响主程序的运行。

TikTok 风控系统对 IP 地址的变动极其敏感。如果频繁更换 IP 或使用多人共享的动态 IP，系统会判定该账号处于异常环境，极易触发限流、零播放甚至封号。静态独享 IP 确保了网络环境的一致性和纯净度，让系统认为账号是一个真实的、固定区域的普通用户，这是稳定养号和积累权重的先决条件。

住宅 ISP IP 是由当地互联网服务提供商（如 Comcast、AT&T）分配给真实家庭宽带用户的 IP 地址。数据中心 IP 则是云服务商（如 AWS、阿里云）分配给服务器的 IP。两者的核心区别在于“信任度”（ASN 属性）：住宅 IP 在目标网站的数据库中被标记为真实用户，极难被封锁；而机房 IP 则具有强烈的商业或代理属性，容易遭遇验证码、限流或直接被拒绝访问。

跨境电商平台拥有顶级的反欺诈系统（如 Sift），它们维护着庞大的 IP 信誉库。机房 IP 的 ASN (自治系统编号) 明显属于云服务商，通常不会有真实消费者使用这类 IP 进行购物。当平台检测到使用机房 IP 进行注册或关键操作时，会将其视为高风险的爬虫、多开账号或欺诈行为，从而触发风控直接封禁（秒封）。

原生 IP 是指 IP 注册的所在地（Whois 信息）、运营商位置以及实际物理机房位置完全一致的 IP。例如，一个 IP 注册在美国，归属于美国本地运营商，且服务器也位于美国机房。与之相对的是“广播 IP”，例如服务器在日本，但 IP 归属地被广播宣告为美国。原生 IP 的地理信息更纯正，能够解锁那些对地理位置校验极其严格的流媒体或电商服务。

浏览器指纹包括 User-Agent、屏幕分辨率、Canvas 渲染信息、WebRTC、字体、时区和语言等。即便使用不同的代理 IP，如果浏览器指纹相同，平台依然能判定多个账号属于同一人。指纹浏览器通过在内核层面修改和隔离这些参数，为每个账号生成完全独立、不可重复的虚拟浏览器环境，从而在物理层面彻底切断账号间的关联。

伪装度检测主要对比用户的多维数据是否一致。核心关注点包括：1) IP 所在国家与系统设置（语言、时区）是否匹配；2) WebRTC 是否存在真实的本地 IP 泄露；3) DNS 所在的区域是否与代理 IP 区域一致；4) 是否使用了可能暴露真实身份的系统代理；5) 甚至包括硬件设备的 GPS 定位。只有这些参数高度统一，伪装度才能达到理想水平。

相比静态独享 IP，动态住宅 IP 按流量计费且 IP 池巨大，每次请求或固定时间都会更换 IP。它不适合店铺的日常稳定运营，但极度适合需要大规模爬虫的场景，例如：批量抓取竞品价格数据、刷单测评、批量注册基础账号、或是进行大规模的 SEO 排名点击测试。因为其 IP 不断变动且均为真实家庭宽带，能完美绕过目标网站的反爬虫限制。

WebRTC 是浏览器用于实现实时音视频通信的技术。然而，它的一大安全隐患是能够绕过常规代理，直接向目标网站暴露你的真实局域网 IP 甚至真实的公网 IP。防范方法包括：在使用常规浏览器时安装 WebRTC 禁用插件；使用指纹浏览器时开启 WebRTC 代理替换功能；或者在全局路由器层面进行流量劫持和强制代理。

IP 纯净度，即 IP 欺诈分数，是第三方安全机构（如 Scamalytics, IPQualityScore）根据 IP 过去发送垃圾邮件、参与僵尸网络或存在欺诈行为的记录给出的评分。分数越高代表 IP 越“脏”。跨境卖家在启用新 IP 前，应使用这些工具检测其分数，如果被标记为高风险，则即使是住宅 IP 也会导致店铺封禁。

TikTok 的客户端（特别是移动端）会搜集设备的硬件标识（如 IMEI、MAC 地址）和应用列表。如果一台手机频繁切换不同国家 IP 登录多个账号，算法会轻易识别这是营销操作。因此，最安全的方案是“一机（独立干净的二手手机或指纹环境）一号（单一账号）一 IP（静态独享当地 IP）”，实现物理和网络双重隔离，从根本上杜绝风控。

双ISP (Dual ISP) IP 指的是不仅 IP 类型被识别为 ISP（住宅），且其 ASN 服务商也被权威数据库认定为大型民用宽带提供商（如 AT&T, Verizon）。某些云服务商会通过手段将机房 IP 注册为 ISP，但其底层 ASN 仍暴露了云服务器的身份（即单 ISP）。双 ISP 提供最高级别的信任背书，对于运营 Etsy 等极其严苛的平台有着极高的生存率。

机场订阅的 IP 处于高度共享状态，且存在大量的审计和阻断，随时有跑路或被墙的风险，这对于依赖稳定网络与海外客户沟通的外贸企业是不可接受的。IPLC (国际私有租用线路) 属于物理层面的跨境内网专线，不经过公共防火墙审查，具有极低的延迟、零丢包率和极高的稳定性，能确保企业级视频会议和关键数据传输万无一失。

广告平台对异常流量非常敏感。如果使用劣质的机房 IP 或变动频繁的代理 IP 登录广告后台进行投放，平台会怀疑你的支付手段（防盗刷），并直接封禁 Business Manager (BM) 账号或限制账户消费限额。使用与公司注册地或个人账单地址一致的高质量静态住宅 IP，能有效避免此类风控，确保广告活动的连续性。

远远不够。除了 IP 和浏览器指纹，深层次的关联因素还包括：注册资料（公司法人、地址重复）、支付信息（相同的信用卡、收款账户）、操作习惯（如固定时间批量上下架）、甚至上传的图片 MD5 值和相似的商品描述文案。真正的防关联是一个系统工程，涉及网络、硬件、资料和操作行为的全面隔离。

对于直播带货，最重要的指标是“上行带宽的稳定性和低延迟”。视频推流需要极大的上行吞吐量（通常需稳定在 5Mbps-10Mbps 以上），一旦发生丢包或抖动，海外观众就会看到画面卡顿或音画不同步，导致观众流失。因此，TikTok 直播通常必须采用跨境专线（如 IPLC），普通宽带绕路代理根本无法满足。

VPS 自建独享节点的优点是成本较低、配置灵活且带宽大，但缺点是 IP 几乎 100% 属于数据中心机房（极易触发电商平台风控），且需要自行维护代理协议，随时面临 IP 被封锁的风险。购买真正的静态住宅 IP 代理成本高昂，且带宽往往受限，但其极高的 IP 信任度和防封能力是 VPS 无法比拟的，专为高价值电商运营而生。

HTTP 代理明文传输数据，极不安全；HTTPS 代理增加了 TLS 加密，保护了数据在传输过程中的隐私；SOCKS5 代理工作在更底层（会话层），支持 TCP 和 UDP，性能好但本身通常无加密（除非在隧道内运行）。在跨境业务中，为了避免运营商层面的流量劫持，推荐在底层隧道（如 Clash, V2ray）加密传输后，再在本地映射出 SOCKS5 供指纹浏览器调用。

WhatsApp 母公司 Meta 的风控机制极严。如果在短时间内，一个账号的登录 IP 在多个国家频繁跳变，或者使用的 IP 段已被拉黑（大量的灰产使用该 IP 发送垃圾信息），系统会立刻触发异常判定并封号。此外，如果不通过稳定的代理进行全局接管，设备时不时直连国内网络失败，也会被风控系统记录为高风险网络行为。

DNS 污染是防火墙通过伪造错误 IP 阻止你访问目标网站（如导致无法打开 Facebook）；而 DNS 泄露是指你的真实域名查询请求绕过了代理，被本地 ISP 获取。对于跨境电商，如果目标平台的风控系统通过检测发现你的流量虽然来自美国 IP，但 DNS 解析却是由中国电信完成的，这就构成了强烈的“特征冲突”，极易导致账号被关联或降权。

紫鸟等店铺管理浏览器内置了海量的云端静态 IP 和防关联指纹环境。它的核心逻辑是为卖家提供一站式的“固定环境”服务。卖家无需自行搭建繁琐的节点或配置底层代理，系统自动分配固定地区的纯净 IP 并绑定特定店铺。员工只需登录工具，就能在云端安全访问各个店铺，防止员工操作失误导致的本地网络泄露和店铺关联。

IPv6 的地址池近乎无限，理论上可以为每个账号分配绝对独享且廉价的 IP，极大地提升防风控能力。但局限在于，目前全球许多基础网络运营商、云服务商以及部分电商平台对 IPv6 的支持并不完善，存在兼容性问题。同时，基于 IPv6 的高纯净度住宅 IP 代理生态尚未完全成熟，主流依然依赖 IPv4 住宅 IP。

200 播放量通常意味着账号进入了低权重池。网络层面需排查：1) IP 节点是否为共享机房 IP，导致账号被判定为营销号；2) IP 的地理位置是否频繁变动导致定位标签混乱；3) 设备是否关闭了国内 SIM 卡或未清理干净缓存，导致定位泄露；4) Whoer.net 的伪装度是否未达 100%。必须确保网络环境绝对干净稳定后，再进行内容质量的优化。

如果外贸人在目标市场（如美国）有亲戚朋友协助，在其家庭宽带中放置一台部署了代理服务端（如 Wireguard 或 Xray）的软路由，就能获得最顶级、最真实的住宅 IP。这种方式完全零污染，其信任度远高于任何市面上售卖的“商业住宅代理”（后者仍有被用于灰产的可能）。这是针对高净值店铺的最硬核的防封手段。

零信任架构要求“不信任任何内部或外部网络”。在跨境企业中，员工必须通过企业内部部署的统一安全网关（如 Cloudflare Zero Trust 或自建的加密隧道），进行严格的身份验证后，才能获取特定区域的代理 IP 权限和访问店铺后台。这既防止了员工私自操作导致环境泄露，又通过统一的高质量出口 IP 保障了公司核心资产的安全。 十、 自建节点、安全隐私与内幕（153-200组）

X-UI是一款支持多协议的图形化代理面板。它支持Vmess、Vless、Trojan、Shadowsocks等多种协议，并且可以在一个面板中管理多个用户的流量、限制端口和到期时间。它受欢迎的原因在于其轻量化、极简的Web界面、一键安装脚本以及对XTLS等新技术的快速跟进，让小白也能轻松管理和搭建复杂的代理节点。

这是目前防封锁效果最好、延迟较低的组合之一。Reality技术免去了传统TLS配置中购买域名和申请证书的繁琐步骤，通过直接“借用”别人的合法TLS证书和域名（如微软、苹果等大厂域名）进行伪装。这不仅降低了被墙探测特征的概率，还省去了域名被墙的风险，同时XTLS提供了优异的性能。

表现通常是节点IP能ping通，但代理软件无法连接，或者直接访问伪装域名显示连接重置。如果是DNS污染，可以尝试更换节点的IP或域名；如果是SNI阻断，墙识别了TLS握手时的SNI信息，此时最有效的解决办法是更换未被阻断的伪装域名，或直接升级到Reality协议抛弃真实域名的使用。

排查时可通过站长工具或本地多地ping测试IP是否存活。如果IP正常但特定端口（如443）不通，通常是端口封锁，此时在面板中修改一个新的随机端口即可恢复。如果是TCP阻断（TCP不通但UDP通），可以使用Cloudflare CDN进行代理转发，或者将VPS更换至提供动态IP解封的服务商。

Cloudflare的免费CDN节点在全球分布不均，针对中国大陆的免费路由通常较差，甚至会绕路欧美。虽然CDN能隐藏真实IP并挽救被墙的VPS，但由于经过了Cloudflare的节点中转，增加了物理跳数和延迟，导致直连速度大幅下降。晚高峰时段由于CDN节点拥堵，速度变慢的情况会更加明显。

优选IP是指通过本地运行测速脚本，扫描出当前网络环境下连接Cloudflare边缘节点延迟最低、丢包最少的IP。将这些测得的优质IP（或优选域名）填入代理客户端的“地址”栏，而伪装域名/SNI保持不变。这样流量会直接发送到速度最快的CF节点，从而大幅提升连接速度和稳定性。

BBR（Bottleneck Bandwidth and Round-trip propagation time）是Google开发的一种TCP拥塞控制算法。传统TCP在遇到网络轻微丢包时会大幅降低发送速度，而BBR通过实时计算带宽和延迟来调整发送窗口，即使在丢包率较高的跨国网络中，也能保持较高的吞吐量。开启BBR通常能显著提升科学上网的加载速度和看视频的流畅度。

这些是各大运营商的高端优质线路。CN2 GIA是电信的精品网，出海不拥堵，延迟低且稳定；AS9929（联通A网）是联通的优质跨境专线，带宽相对充足，被称为“联通版GIA”；CMIN2（AS58807）则是移动最新推出的精品出海网络。使用这些线路的VPS建站或建节点，晚高峰速度均远胜普通骨干网。

流媒体平台会封锁数据中心（VPS）的IP段，只允许当地住宅或原生IP观看。如果VPS的IP被识别为机房IP，就会只能看自制剧或被拒绝访问。自建节点要实现解锁，通常需要配置DNS解锁服务（如使用Warp）或通过链式代理（链式转发），将流量转发到一台具有干净原生IP的低配置VPS或家庭宽带上。

首先不要使用默认的54321等端口，应改为高位随机端口；其次必须更改默认的admin账号和密码，使用强密码；第三，可以在面板设置中修改面板的URL根路径（添加一段复杂的字符串），这样即使别人扫描到了端口，不知道正确的URL路径也无法看到登录界面；最后，可以通过防火墙（如UFW）限制仅特定IP可以访问面板端口。

Nginx负责接收443端口的所有HTTP/HTTPS请求。如果是普通的网页访问，Nginx会返回一个正常的伪装网页，应对主动探测；如果是带着特定路径（Path）的WebSocket代理请求，Nginx会将其内部转发到后端的X-UI或V2ray监听端口。这完美隐藏了代理特征，使流量看起来就像是正常的网站HTTPS访问。

大部分VPS服务商在统计流量时，既计算流入（上传到VPS的流量），也计算流出（VPS下载的流量）。当你看视频时，视频数据先下载到VPS（算一次流量），再由VPS发送到你的手机（算第二次流量）。因此，1GB的视频实际会消耗VPS大约2GB的流量配额。在购买限制流量的VPS时必须考虑到这一点。

如果服务商支持，最直接的办法是付费或免费更换IP（如搬瓦工、Vultr等）。如果不想换IP，可以购买一台便宜的未被墙的国内或香港轻量云服务器，通过隧道（如Gost、Iptables）进行国内中转。此外，也可以使用IPv6（如果本地宽带支持且墙没有封锁该IPv6），部分墙对IPv6的封锁力度相对较小。

IPLC（国际私有租用线路）和IEPL（国际以太网专线）是物理层面不经过防火墙（GFW）的跨境内网专线。它们延迟极低、无视封锁。真正的专线成本极其高昂（按Mbps计费，非常贵），普通用户很难买得起独享带宽。目前市面上个人能买到的所谓“专线VPS”通常是NAT（共享IP和端口）合租形式的转发服务商。

目标网站必须是支持TLS 1.3和H2的网站，且最好是没有配置复杂的CDN或防火墙防御的域名。推荐使用与VPS所在同一地区的大厂域名（如苹果、微软、亚马逊的某些子域名）。绝对不能选择在中国大陆已被墙的域名，也不能选择使用Cloudflare等CDN强制拦截未知SNI的域名，否则握手会失败。

诸如Vmess、ShadowsocksAEAD、Trojan以及各种TLS协议对时间校验非常严格。如果VPS服务器的系统时间与你本地设备的时间相差超过1分钟（有时是90秒），加密通信的防重放攻击机制就会将其判定为非法连接。解决办法是使用NTP服务同步VPS和本地设备的时间，确保时区和时间完全一致。

原生IP（本土IP）是指该IP的注册国家/地区与VPS物理机房所在的国家/地区一致，这种IP在流媒体解锁和本地业务注册中非常有优势。广播IP（非原生IP）则是指IP地址本来注册在A国，但通过BGP广播技术宣告到了B国的机房使用。虽然物理上在B国，但很多IP数据库依然认为它在A国，导致无法解锁B国流媒体。

利在于环境隔离、部署极其方便，一条docker-compose命令即可拉起所有服务，升级和迁移也非常轻松，不会弄脏VPS的主系统环境。弊端在于会略微增加系统开销和内存占用，且对于新手来说，如果Docker网络的端口映射和IPv6配置不熟悉，排查网络不通的问题时会比直接安装更加困难。

SS-2022是Shadowsocks协议的重大升级版本。相比传统SS，它引入了完全基于AEAD的新加密机制，彻底修复了之前的重放攻击漏洞和主动探测风险。此外，它支持单端口多用户，大幅提升了抗封锁能力。虽然安全性极高，但由于协议较新，目前支持的客户端和面板还不如老版本广泛。

很多VPS服务商（尤其是版权严格的欧美机房）严禁滥用BT/PT下载盗版资源。为了防止代理用户或自己误操作触发BT下载导致VPS被封（收到DMCA投诉），必须在X-UI面板或V2ray配置文件中的路由（Routing）设置里，明确添加拦截规则，将所有BT、BitTorrent、Tracker相关的流量直接阻断（Block）。

Hysteria2基于自定义的QUIC（UDP）协议，它采用激进的拥塞控制算法，会非常霸道地抢占网络带宽，即使在极差的网络环境下也能“暴力”拉满速度。缺点是很多地区的运营商（如长城宽带、部分地区的电信）会对大流量持续UDP进行QoS限速甚至直接阻断。此外，过于激进的抢带宽行为被称为“不讲武德”，可能影响同一母机上其他用户的体验。

DNS泄露是指你在使用代理时，解析国外域名的DNS请求没有通过代理隧道发给国外的DNS服务器，而是直接发给了本地运营商的DNS。这会让ISP知道你访问了什么网站，并可能返回被污染的IP。要防止泄露，必须在客户端（如Clash、V2rayN）中配置远端DNS解析，或开启Tun虚拟网卡模式接管所有DNS请求。

个人购买海外VPS自用（不提供给他人，不盈利）通常处于灰色地带，技术上GFW只会封锁你的IP，极少有人因纯自建自用被追究法律责任。但如果在国内云服务商（如阿里云国内机房）搭建中转，则必须进行域名备案，否则无法通过80/443端口，且国内机房有实名制和严格的流量审计，极易被查水表，强烈不建议在国内机房建代理出口。

可以安装如探针工具（如ServerStatus、哪吒探针）来实时监控CPU、内存和网络流量。如果是简单的需求，直接在Linux终端使用`vnstat`命令即可统计每日和每月的网卡流量。此外，主流的VPS控制台也都提供流量图表。合理设置报警阈值，避免因超流量被扣取高额费用或停机。

机场跑路是指服务商突然关闭网站、停止服务并卷款消失。常见前兆包括：频繁搞极其夸张的促销活动（如年付1折、“传家宝”套餐）、突然取消月付仅支持年付、客服长时间不回复或官方TG群被禁言、节点大面积超时几天不修、域名频繁更换且不发公告。一旦发现这些迹象，切勿再续费。

DDoS攻击在机场行业极其普遍。防御手段主要包括：将官网套上Cloudflare的高级版进行流量清洗；节点端使用高防IP或采用Anycast（任播）技术分散攻击流量；采用动态IP架构，遭受攻击时迅速废弃并更换节点IP；隐藏后端服务器的真实IP，所有流量通过跳板机（如便宜的NAT机器）转发，避免主服务器瘫痪。

TG是匿名且无法追回资金的平台。常见骗局有：伪造知名机场的官方客服主动私聊你，让你转账；假冒“担保交易”机器人的连环骗局；售卖低价“永久机场”或“传家宝VPS”，收款后直接拉黑；以及发送带有木马的破解版翻墙软件（如所谓的高级版Clash），窃取你的电脑密码和加密货币钱包。

审计规则（Audit）是机场主在服务端设置的防火墙规则。他们限制访问BT下载、大流量测速节点、或者暗网论坛，主要是为了防止机场的VPS收到DMCA版权投诉而被机房封停，或者防止带宽被少数人恶意占用。此外，部分机场为了自保，会屏蔽一些极端政治网站或诈骗网站，以降低被网警针对的风险。

“晶哥喝茶”是网友对被警察传唤询问的戏称。普通网民仅仅因为浏览墙外新闻或娱乐内容，被专门定位抓捕的概率极低。真实被查的原因通常是：在墙外发表了激进的实名言论；翻墙从事跨境赌博、诈骗；使用国内实名支付工具购买了已被重点盯上的非法软件；或者下载了涉暴恐、严重违禁的内容触发了本地反诈监控。

存在一定隐患。国内支付工具是严格实名制的。正规机场通常会使用第四方易支付平台或发卡网来隔离资金流，你的账单上显示的通常是“购买虚拟商品”。但如果该机场主被抓，警方面通过第四方支付平台的流水，是可以反查到所有付款人的真实身份的。不过一般来说，警方只抓盈利的机场主，很少去追究成千上万的普通买家。

最佳方式是使用加密货币（如USDT、Monero门罗币）。主流加密货币的转账无需实名验证，完全切断了资金流向与现实身份的直接联系。虽然USDT（TRC20）在区块链上是公开透明的，但只要你的钱包地址没有与国内交易所的实名账户绑定，且机场支持Crypto支付，就能实现最大程度的购买匿名化。

天下没有免费的午餐。许多免费VPN不仅会在软件里植入大量恶意弹窗广告，更危险的是它们会收集并出售你的浏览记录、设备特征甚至账号密码（因为很多免费VPN不加密或者证书有问题）。更有甚者，部分所谓“老王VPN”等免费应用被广泛怀疑有蜜罐嫌疑，专门用于收集翻墙用户的特征日志上交。

蜜罐机场是指由有关部门或恶意机构暗中设立或接管的代理服务，目的是监控用户的上网行为、收集敏感言论者的身份信息。避免方法：不要使用那些完全免费且宣称“永远不收费”的未知机场；警惕需要在网站强制绑定国内手机号才能注册的机场；多在信誉良好的测速频道或论坛参考历史评价。

是的。真正的专线机场（如IPLC/IEPL）其跨境流量不经过GFW进行出入境审查，而是直接通过物理专线传输到海外，然后再接入国际互联网。由于不过墙，GFW根本无法探测和封锁其协议特征。因此，在每年“敏感时期”普通公网机场大规模瘫痪时，专线机场往往能保持不受影响。

如果你在个人电脑上使用了正规的代理软件（如Clash开启了全局或系统代理），流量是加密传输到代理服务器的，公司的深信服等上网行为管理设备只能看到你在与海外某个IP进行大量加密数据交换，但无法解密看到具体的网页内容。但如果公司强制你在电脑上安装了根证书，那所有的HTTPS内容都能被解密监控。

这通常是因为DNS泄露，或者你访问了未加密的HTTP网站。此外，即使内容被加密，防火墙和运营商通过SNI（服务器名称指示）依然能知道你访问的目标域名。更常见的是，你可能下载了国家反诈中心App，或者你的设备连接了小区/企业部署的流量嗅探设备，触发了本地的关键字报警策略。

绝大多数情况下这笔钱是无法追回的。切勿轻信TG群里所谓“内部人员帮忙退款”的谎言，这通常是二次诈骗。唯一能做的是立即停止使用该机场的客户端（防止其下发恶意配置文件），并在其他安全的渠道购买新的代理。权当交了学费，以后尽量选择月付或季付。

订阅链接等同于你的账号密码。任何人拿到这个链接，都可以导入到他们的软件中无限制地使用你的流量套餐。一旦泄露，你的流量会被迅速耗尽，甚至可能因为多人异地同时连接触发机场的防滥用风控机制，导致你的账号被永久封禁。发现泄露后，应立即登录机场官网，点击“重置订阅链接”按钮。

很多测速频道背后有利益相关（所谓的“AFF推广返利”）。测速图可以通过在极佳的网络环境、深夜非高峰期进行测试来造假，或者机场主会专门给测速机器所在的IP提供VIP优先通道（QoS提速）。因此，测速图只能作为参考，不能代表你所在地区、你所用运营商在晚高峰的真实体验。

使用+86手机号意味着实名注册。当你在境外平台发表言论或加入某些群组时，你的账号在数据库中与国内的真实身份是强绑定的。某些平台可能存在API漏洞或内鬼，导致手机号被反查。此外，国内运营商可以拦截验证码短信，甚至在某些极端情况下，配合调查直接重置你的账号密码。

目前公认安全性最高的是基于Reality协议的XTLS，以及Shadowsocks-2022。它们不仅实现了全加密，而且其流量特征完全模拟了正常的HTTPS随机流量，几乎无法通过传统的包长度、熵值分析被识别。同时，不使用真实域名的Reality完美避开了主动探测和SNI阻断。

许多国产软件拥有后台扫描和上报机制。迅雷不仅会在后台偷偷P2P上传耗尽带宽，还可能泄露你的代理IP；360杀毒和浏览器可能会将你访问的网址或节点IP上传到云端沙箱进行分析，这等同于主动向监控系统举报该节点的IP。强烈建议使用纯净版系统或在虚拟机中运行这些国产软件。

链式代理是指将多个节点串联起来。比如流量先发到国内的A节点，再由A节点发到国外的B节点。对于ISP而言，只看到你连接了国内的A；对于海外网站而言，只看到请求来自B。这不仅能有效隐藏用户的真实IP（即使B节点被黑客攻破），还能通过优质的国内入口（A）改善跨国网络的连通性。

大多不安全。很多定制版客户端是基于老旧的开源软件套壳修改的，不仅有潜在的漏洞，还可能被机场主植入后门用于锁定主页、弹窗广告甚至监控剪贴板内容。最安全的做法永远是下载官方开源的原版客户端（如Clash Verge Rev、v2rayN、Shadowrocket），然后通过订阅链接手动导入节点。

危险信号包括：频繁收到不知名设备或异地IP的登录提醒；发现自己莫名其妙加入了并没有主动关注的垃圾广告群；或者手机号突然收到大量海外验证码轰炸。此时应立即在TG设置中开启两步验证（2FA），并在“设备”选项中强制注销所有不认识的活跃会话，必要时更换绑定的海外虚拟手机号。

黑心机场主跑路后，往往会将整个用户数据库打包出售给其他黑灰产团队。这意味着你的注册邮箱、密码明文（部分机场加密形同虚设）甚至充值记录都会泄露。黑客会使用这些数据进行“撞库攻击”，尝试登录你的其他重要账号。因此，注册机场绝对不能使用与主力邮箱相同的密码，推荐使用临时邮箱或专用随机密码。

往往是因为代理软件的“路由规则（分流）”没有配置好。如果开启了“全局代理”，你访问国内微信或百度的流量会先绕道海外节点再折返回国内，延迟极高。正确的做法是使用PAC模式或Clash的“Rule（规则）”模式，让国内流量直连，国外流量走代理，这样互不干扰。

第一，永远只用月付购买机场，坚决抵制任何长期套餐诱惑；第二，使用随机生成的强密码注册，坚决避免所有平台使用同一个密码，并且邮箱和节点客户端只用官方原版；第三，管住自己的嘴，在墙外“只看不发”，不参与任何激进政治讨论，不接触暗网黄赌毒，保持低调即可保平安。

商业 VPN 通常是「一个 App 打包一切」：服务器、客户端、协议都由一家公司提供。机场是分离的——服务商只给节点和一条订阅链接，客户端由你自己选（Clash、Shadowrocket、v2rayN 等）。机场的可配置性更强，能按域名或应用做规则分流；代价是上手门槛更高。协议上也不同：VPN 多用 OpenVPN、WireGuard，机场多用 Shadowsocks、Trojan、VLESS 这类为对抗流量识别设计的方案。

日常语境里基本可以互换。「梯子」是泛称，「机场」特指提供节点订阅的平台。这个叫法源于早期常用客户端的图标是纸飞机，一个节点也被称作一次「航班」。「科学上网工具」「魔法上网」是同类的委婉说法。

按顺序：① 订阅格式能否被你的客户端读懂（读不懂等于不能用，与速度无关）；② 是否支持月付（先花最少的钱试，别为年付折扣锁一年）；③ 流量、限速、设备数是否写在套餐页上；④ 最后才看速度。前三项购买前都能确认，速度只能自己测。

不是。一百个拥挤的公网节点，体验可能不如五个稳定的专线节点。数量的价值在容灾和地区覆盖——某节点被封时有替代，以及你需要的地区都有。判断应看地区覆盖是否满足需求，以及晚高峰时有多少节点仍可用。

倍率是流量的计费系数。倍率 1 表示用 1GB 扣 1GB；倍率 3 表示用 1GB 扣 3GB。高倍率通常出现在成本更高的节点上（如专线、原生 IP 落地）。看套餐时务必确认哪些节点是高倍率，否则流量会比预期消耗得快得多。

周期套餐通常按订单日每月重置，具体以商家规则为准（有的按自然月）。用完后一般可以购买流量包续上，或等下个重置日。如果你的用量不规律，一次性的不限时流量包可能比包月更合适——流量不作废。

一定程度的波动是正常的。21:00–23:00 是国际出口最拥堵的时段，公网线路要与大量用户争抢带宽，因此白天与晚上的差距可能很明显。IPLC/IEPL 专线绕开了公网出口，晚高峰波动通常更小，但成本高得多。如果晚高峰完全不可用，才是需要考虑更换的信号。

先区分是「延迟测试超时」还是「实际连不上」。前者常见于机场屏蔽了客户端默认的测试地址，换一个测试 URL 即可。后者按顺序排查：系统代理是否开启、订阅是否过期、本地时间是否准确（偏差超过 90 秒会导致部分协议握手失败）、以及是否被本地防火墙或安全软件拦截。

优先月付。机场行业的经营周期普遍不长，年付折扣通常覆盖不了资金锁定一年的风险敞口。折扣本质上是你用风险换来的价格。建议先月付试满一个月，确认晚高峰表现稳定后，再考虑是否延长周期。

看用量是否规律。包月的单位流量价格明显更低，但流量按月清零。按量计费或不限时流量包单价高，换来的是不必按月续费、流量不作废。每天固定使用选包月；出差备用、偶尔应急选按量。

官方提供的限时或限量试用与「免费公共节点」是两回事。前者是商家的获客手段，用的是正式服务的节点，风险与付费套餐相当。后者来路不明，运营成本可能通过广告、限速或记录流量数据收回。试用期间建议不要登录重要账号或涉及支付。

主要有三类：一是超售，用户数远超带宽承载，表现为晚高峰严重卡顿；二是线路标称与实际不符（标专线实为公网中转）；三是经营不稳定，低价可能是获客后难以持续的信号。低价本身不是问题，关键是搞清楚便宜在哪里——是限速、限流量、高倍率，还是线路降级。

按用途选：香港与日本物理距离近，延迟最低，适合游戏、语音通话和日常浏览；新加坡延迟略高但线路通常较稳定，适合长时间下载；美国延迟最高（普遍 150ms 以上），但 AI 服务与部分流媒体的内容库最全。流媒体则要看内容归属地——想看某国的内容就得连该国节点。

服务停止运营是这个行业的结构性风险，无法完全避免，只能分散。实际做法是：优先月付、保留第二家备用、导出当前可用的节点配置作离线备份。这样单一来源失效时，损失控制在一个月的费用与一次迁移的时间内。

不一定。更常见的原因是订阅域名被封锁、节点批量更换、或客户端缓存了旧配置。先把订阅链接直接粘到浏览器打开：能下载到配置说明服务仍在，问题在客户端；打不开则需要进一步确认是域名不可达还是站点本身停止。

不建议。多数机场限制同时在线设备数，共享容易触发风控导致封号；订阅链接一旦外泄，他人可无限使用你的流量；更重要的是，共享方能看到你的使用情况。费用分摊省下的钱，通常抵不过这些风险。

取决于落地 IP 的属性和平台当时的风控策略，不取决于机场的宣传。住宅 IP 通常比机房 IP 更容易通过检测，但没有任何 IP 类型可以保证长期有效——平台策略持续调整，今天能用不代表下个月还能用。任何「永久全解锁」的说法都不可信，建议购买前用开源脚本自行检测。

多数可以，但稳定性差异很大。AI 平台对机房 IP 的风控通常比流媒体更严格，可能表现为频繁的人机验证或直接拒绝访问。选择时优先确认落地是否为原生住宅 IP，并注意频繁切换节点本身也可能触发验证。

看时间成本和用量。自建的月支出可以很低，节点完全独享、不与他人争抢带宽；代价是搭建、维护、协议更新和 IP 被封后的迁移全归你。机场把这些成本摊进了订阅费。用量小又不想折腾选机场；有技术能力且长期高强度使用，自建的单位成本更低。

部分机场以此控制订阅外泄，属于合理的运营策略。但这意味着客服本身成了产品的一部分——首次配置、订阅重置、换设备都要走这条路。如果遇到这种情况，建议付款前先发一条咨询测试响应速度，这比任何测速数据都更能预测日后的体验。

专线指服务商向运营商租用的跨境物理线路（IPLC / IEPL），流量走独享通道，不与公网用户争抢国际出口。优点是晚高峰的丢包与抖动通常明显更小；代价是按带宽计费、成本高，所以专线机场普遍更贵。要验证商家的专线标称是否属实，可以用 BestTrace 或 mtr 跑一次路由追踪。

中转指流量先发到国内的入口服务器，再由它转发到海外落地机。入口通常做了多线优化（BGP），能为不同运营商的用户选择较优路径。成本远低于专线，日常使用多数够用，但骨干网极端拥堵时仍会受公网状况牵连。

直连指客户端直接连接海外服务器，中间不经过国内中转。链路最短、结构最简单，成本也最低。缺点是完全依赖公网国际出口的状况，晚高峰波动通常最明显，且更容易受到干扰。

没有绝对优劣，取决于预算和用途。对延迟和稳定性要求高（游戏、语音、直播、商务）选专线；日常浏览、看视频，优质中转的性价比明显更高。实际判断建议先买最低档月付，用路由追踪确认线路结构，再在晚高峰实测三天。

区别在国内这一段。直连是你的设备直接连海外服务器；中转是先到国内入口服务器，由它优化路由后再出境。中转通常能改善国内段的路由质量，尤其对移动、联通用户；直连则少一跳、结构更简单。哪个更快取决于你的宽带线路，需自己实测。

因为成本结构不同。IPLC / IEPL 是运营商按带宽包月计费的产品，服务商买多少带宽就付多少钱，且这个成本不随用户数摊薄——用户越多，每人分到的带宽越少。公网中转则可以超售。所以看到标称专线却价格极低的套餐，值得追问是否全节点走专线、是否限速限流量。

原生 IP 指由节点所在地当地运营商分配的 IP，归属地与服务器物理位置一致。相对的是「广播 IP」——从其它地区路由过来的 IP，归属地与服务器位置不符。流媒体和 AI 平台通常更信任原生 IP，但这不是保证，平台的判断依据还包括 IP 类型、历史行为等多个维度。

住宅 IP 指运营商分配给普通家庭宽带的 IP，与数据中心（机房）IP 相对。因为它看起来像真实居民在上网，流媒体和 AI 平台的风控通常较宽松。成本明显高于机房 IP，所以提供住宅 IP 的套餐通常价格更高或流量倍率更大。

静态 IP 长期固定不变，动态 IP 会定期或每次连接时变化。静态 IP 对需要 IP 白名单的场景（企业系统、部分 API）是必需的；动态 IP 则在单个 IP 被平台标记时能自动换掉，但频繁变化也可能触发风控要求重新验证。多数机场使用动态或共享 IP，需要静态 IP 通常要单独购买。

流媒体平台按 IP 判断你所在的地区并识别代理。能否解锁取决于三点：IP 归属地是否为该内容的可用区、IP 是住宅还是机房类型、以及该 IP 是否已被平台标记。同一家机场内不同节点的 IP 来源不同，所以解锁情况差异很大，通常只有部分节点可用。

AI 平台对机房 IP 的风控通常比流媒体更严格，且部分服务限制特定国家或地区。表现可能是频繁的人机验证、要求手机验证，或直接拒绝访问。另外频繁切换节点本身也会触发风控——选定一个可用节点后尽量固定使用。

取决于具体节点，不取决于机场的宣传。Disney+ 各区内容库不同，你需要连接对应地区且未被标记的节点。任何「全解锁」的说法都只代表某个时间点——平台风控策略持续调整。建议购买前用开源脚本自行检测，或先买最低档月付验证。

绝大多数机场都能访问 YouTube，这是门槛最低的需求。真正的差别在于能否流畅播放 4K 甚至 8K，那取决于晚高峰的可用带宽而非能否连通。另外 YouTube Premium 的可用性与账号注册地相关，与节点地区未必一致。

可以，但比看视频要求更高。TikTok 对 IP 与设备环境的风控较严，机房 IP 容易被限流或触发验证。如果只是浏览，多数节点够用；如果要做内容运营或多账号，通常需要住宅原生 IP，且要注意同一 IP 下的账号数量。

多数可以，但稳定性因节点而异。这类 AI 服务对 IP 类型敏感，机房 IP 更容易遇到验证或拒绝。另外部分服务对可用地区有限制，需要选对应地区的节点。建议先用小额套餐实测你实际要用的那个服务，不要依赖宣传清单。

指一次性购买固定流量、用完为止、不设有效期的套餐，与按月订阅相对。单位流量价格通常明显高于包月，换来的是不必按月续费、流量不作废。适合用量不规律、出差备用或低频使用的人。

看用量是否规律。每天固定使用，包月的单位流量价格低得多；一个月只用几次，包月的流量会大量作废，不限时包反而更划算。也可以两者结合：主力用包月，另买一个小额不限时包作为备用。

适合所有人，尤其是新用户。月付是这个行业最有效的风险控制手段——机场经营周期普遍不长，月付把单次损失控制在一个月的费用内。建议无论最终选哪家，都先月付试满一个月，确认晚高峰表现稳定后再考虑更长周期。

从单价看划算，从风险看未必。折扣本质上是你用「资金锁定更长时间」换来的。判断标准是：这家你已经用满至少一个月、晚高峰表现稳定、且官方沟通渠道正常更新。满足这些再考虑季付，年付则建议只给已经用了很久的服务。

优先月付。年付折扣通常在 3 到 5 折之间，看起来很划算，但如果服务在第四个月停止运营，你实际支付的单月成本反而更高。稳妥的做法是：月付试用 → 满意后季付 → 长期稳定后再考虑年付。

倍率是流量的计费系数。倍率 1 表示消耗 1GB 扣除 1GB；倍率 2 表示消耗 1GB 扣除 2GB。高倍率通常出现在成本更高的节点上（专线、住宅 IP 落地）。计算实际可用量时要按你常用节点的倍率折算——150GB 套餐全程走倍率 3 的节点，实际只有 50GB。

通常有三个选择：购买额外流量包续上、升级到更高档套餐、或等待下个流量重置日。重置规则各家不同，多数按订单日每月重置，也有按自然月的，购买前值得确认。如果经常在月中用完，说明套餐档位选低了。

每月用量在 50GB 以内的话，优先看两类：低价档月付套餐，或一次性不限时流量包。后者对用量不规律的人更友好——不会因为某个月没怎么用就白付钱。不建议为了「更划算」买大流量套餐，用不完的流量多数会作废。

每月数百 GB 以上的用量，重点看三项：套餐的流量单价、是否限速、以及常用节点的倍率。倍率对大流量用户的影响被放大——倍率 2 意味着实际成本翻倍。另外要确认是否限制并发连接数，重度下载与多设备同时使用容易触及这个限制。

指服务商停止运营、卷走预付款项。这个行业进入门槛低、经营周期普遍不长，服务停止是结构性风险而非个别现象。降低损失的实际做法是：优先月付、保留第二家备用、导出当前可用的节点配置作离线备份。

没有可靠的预测方法，只能观察一些相关信号：突然出现远低于常规水平的长期套餐促销、公告与状态页长时间停更、客服响应变慢、支付方式频繁变更。这些在正常经营中也可能出现，应当作提高警惕的提示而非结论。更实际的做法是自己核实运营状态：查域名注册信息、做站点探活、看公开渠道的更新节奏。

先分清是域名被封锁还是站点停止。分别用国内网络和代理网络访问：只有国内打不开，多半是域名被墙，找官方的备用域名即可；两边都打不开，才需要考虑站点本身的问题。多数机场会在 Telegram 频道或邮件里公告备用域名，购买后建议先保存这些渠道。

按官方公告的新域名重新登录即可，订阅链接通常也会随之变更，需要在客户端里更新。这是这个行业的常态——域名被封后更换是正常运营行为，不等于服务出了问题。建议提前关注官方的公告渠道，避免在换域名时以为服务停了。

主域名被封锁时的入口。多数机场会准备多个域名轮换使用，并通过 Telegram 频道、邮件或客户端内公告发布。购买后建议第一时间保存这些渠道——等到主站打不开再找，往往找不到可信的来源，反而容易进到钓鱼站点。

常见渠道有三个：用户中心的站内公告、官方 Telegram 频道、以及注册邮箱收到的邮件。节点变更、域名更换、维护通知通常都从这些渠道发出。购买后建议至少订阅其中两个，避免单一渠道失效时错过重要通知。

先确认渠道是否正确——部分机场只在用户中心内提供在线客服，站外渠道可能是仿冒的。如果官方渠道长时间无响应，配合官网可访问性、公告更新情况一起判断。单一渠道无响应通常是工作时间问题，多个渠道同时且持续无响应才值得担心。

先判断是账号被封还是节点被封。节点被封表现为部分节点不可用，更新订阅通常就能拿到替换节点，属于常态。账号被封则需要联系客服，常见原因包括超出设备数限制、共享账号、或触发了服务条款。购买前了解清楚设备数限制能避免多数此类问题。

价格本身不决定可靠性，关键是搞清楚便宜在哪里。常见的降本方式有：限速、限流量、高倍率、公网中转替代专线、机房 IP 替代住宅 IP。这些都是正当的取舍，只要明示就没问题。需要警惕的是价格明显低于成本线又宣称全专线全解锁的——那通常意味着某项标称不实，或经营难以持续。

把价格换算成可比单位：每 GB 多少钱，并按你常用节点的倍率折算。然后看这个价格买到的是什么线路、什么 IP 类型、有没有限速。同价位下线路等级更高的更划算，但前提是标称属实——用路由追踪验证过再下结论。

通常来自三处：官方的活动公告、导航或评测站点的合作码、以及节日促销。使用方式是在结算页的优惠码栏填入。需要注意有些折扣是经推广链接自动生效的，不需要手动填码——两者通常不能叠加，实际以结算页显示的金额为准。

官方发布的活动本身没有问题，低价首月是常见的获客手段，也符合「用最小成本试错」的原则。需要确认三件事：优惠仅限首个周期还是长期有效、到期后按什么价格续费、以及是否自动扣款。问清楚再买即可。

按优先级：① 订阅能否被你的客户端读取；② 你实际要用的服务能否访问（不要泛泛测「能不能翻墙」）；③ 晚高峰 21:00 到 23:00 的表现，至少覆盖两三个晚上；④ 客服响应速度。峰值速度反而最不重要——决定续不续费的是稳定性。

四件事：订阅格式与你的客户端是否匹配、是否支持月付、流量与限速与设备数是否写在套餐页上、以及常用节点的倍率是多少。这四项在购买前都能通过看套餐页或问客服确认。速度无法事先确认，只能自己测。

指汇总多家机场信息的站点，通常提供价格对比、线路说明和优惠码。需要知道的是：这类站点绝大多数通过推广链接获得佣金，包括本站在内。这不必然导致内容不可信，但意味着它们不是无利益立场的第三方，看结论时应留意依据是否可核实。

要看排序依据是否公开且可验证。如果只给出名次而不说明凭什么排，那个顺序通常反映的是佣金高低而非服务质量。可信的榜单会说明每项数据的来源、哪些是厂商自述、哪些经过核实。看到「实测」二字时，可以留意有没有给出测试时间、工具和环境——没有这些，结果无法复现，也就无法验证。

应当默认带着怀疑读。这个领域的评测绝大多数带推广链接，包括本站。判断方法有几个：是否区分了「厂商说法」与「作者结论」、是否承认有无法核实的部分、测速数据是否给出了可复现的条件（时间、工具、本地带宽）、以及是否只说优点。全是好话的评测，参考价值有限。

平台本身不决定可信度，取决于内容形态。知乎与 Reddit 上的个人使用反馈有参考价值，但要留意软文和刷量；GitHub 仓库看起来技术感强，但批量生成的推广仓库同样大量存在——可以看仓库的提交历史、star 来源和内容是否雷同。任何平台上，能给出可复现依据的内容才值得采信。

稳定性。单次跑分再高，如果晚高峰频繁卡顿或掉线，日常体验依然很差。速度只要达到你的使用需求就够了——看 4K 视频约需 25Mbps 稳定带宽，远低于多数机场的标称峰值。判断稳定性需要连续观察数日，这也是建议先月付试用的原因。

先看线路是否满足需求，再在满足需求的范围内比价格。线路类型决定了能力上限——需要低延迟就得看专线，日常浏览优质中转即可。确定了线路档次之后，把价格换算成每 GB 单价并按倍率折算，才是有意义的比较。

常见的有几类：标称专线实为公网中转、宣传全解锁但仅部分节点可用、低价档限速或高倍率但不明示、设备数限制写在不显眼处、以及年付折扣诱导长期锁定。这些多数可以在购买前通过看套餐页和问客服确认，剩下的靠最低档月付实测。

三个最常见：① 导入订阅后忘了打开客户端的系统代理开关，以为服务有问题；② 订阅格式与客户端不匹配导致节点不显示，误以为是速度问题；③ 为年付折扣一次锁定一年，遇到服务停运时损失最大。前两个是配置问题，第三个是决策问题。