内容摘要：学校网络出口那台深信服AC，型号我记不清了，但登录页面的蓝色logo我闭着眼都能画出来。三年前我读高二，晚自习偷偷用教室电脑查资料，输入"python 爬虫教程"，页面直接跳转到"您访问的网站已被禁止

学校网络出口那台深信服AC，绕过型号我记不清了，学校但登录页面的过滤蓝色logo我闭着眼都能画出来。三年前我读高二，绕过晚自习偷偷用教室电脑查资料，学校输入"python 爬虫教程"，过滤页面直接跳转到"您访问的绕过网站已被禁止"。那一刻我意识到，学校真正要绕过的过滤不是那台机器，是绕过它背后那套关键词库和IP黑名单。

最原始的学校办法是换DNS。学校默认走内部DNS服务器，过滤所有解析请求先过一遍过滤规则。绕过把电脑的学校DNS改成8.8.8.8或114.114.114.114，部分域名就能解析到真实IP。过滤但这个方法在大多数学校已经失效——出口路由器做了DNS劫持，你发往外部的53端口查询会被强制重定向回校内服务器。我试过用nslookup指定外部DNS查一个被墙的域名，返回的IP是10.x.x.x，内网地址，明摆着糊弄你。

后来我用DoH（DNS over HTTPS）。Firefox里开启"基于HTTPS的DNS"，选Cloudflare的https://cloudflare-dns.com/dns-query。DNS查询被封装在443端口的HTTPS流量里，过滤设备看不到明文域名，只能看到你连了Cloudflare。这招管用了大概两个月，直到学校封了Cloudflare的IP段。封IP段这事挺蠢的，因为Cloudflare的IP和大量正常网站共用，一封就是一片站点打不开，网管后来自己又解了。

真正稳定的方案是加密代理。Shadowsocks、V2Ray、Trojan这些，原理不复杂：本地客户端把流量加密，伪装成普通HTTPS流量发到校外服务器，服务器解密后再替你访问目标网站。学校设备看到的是你和一台陌生服务器之间持续不断的TLS连接，内容全是乱码。我用的Trojan，因为它直接复用443端口，流量特征和正常HTTPS几乎一样。配置写在JSON文件里，sni字段填一个常见域名比如www.microsoft.com，SNI伪装。有次网管在全校广播里说"发现部分同学使用非法信道访问外网"，我知道他在说我，但他抓不到——除非他做中间人证书替换，那需要把根证书装到每台学生电脑上，技术上可行，操作上没人愿意干。

手机端更简单。4G/5G流量走运营商，学校管不着。但教室里信号差，连WiFi又回到过滤体系。我的做法是手机开热点，电脑连热点，流量走蜂窝数据。代价是流量费，一个月额外花三十多块。后来发现学校WiFi的认证系统有个漏洞：认证成功后MAC地址会加入白名单，持续几小时。我把电脑MAC改成已认证手机的MAC，直接免认证上网。这招用了半个学期，直到认证系统升级成802.1X。

说这些不是鼓励谁去违反校规。我自己的判断是：学校过滤的初衷是防止访问色情、赌博、暴力内容，这没问题。但实际执行中，关键词库过于宽泛，连GitHub、Stack Overflow、MDN都被误伤。我查一个fetch的用法，页面被拦，理由是"检测到代理相关关键词"。这就不是保护，是阻碍学习。绕过它，对我而言是拿回本该有的信息获取权。

技术层面最后说一句：没有一劳永逸的方案。网管也在学习，今天能用的方法明天可能就失效。保持信息更新，比记住某个具体工具更重要。我现在的做法是同时维护两套方案，一套DoH加SNI伪装，一套备用Trojan节点，放在境外VPS上，月付五美元。VPS的IP被封了就换一个，整个过程不超过十分钟。

那台深信服AC还在机房里嗡嗡响。我毕业那天特意路过看了一眼，屏幕上的拦截日志还在滚动。它拦它的，我走我的。