你打开一个网页，防止转了三秒，屏蔽白屏。网页再刷，请加显示“无法访问此网站”。防止不是屏蔽断网，不是网页服务器宕机——是中间某一道网关把你的请求掐了。这种事越来越常见，请加尤其在公司内网、防止校园网、屏蔽某些地区的网页宽带环境下。网页本身没死，请加死的防止是你到它之间的那条路。

我上个月帮朋友处理过一例。屏蔽他在一家中型企业做市场，网页需要查一组海外竞品的公开定价数据。公司网络能打开Google首页，但点进具体产品页就超时。IT部门说“没有做限制”，可traceroute显示数据包在出口网关那一跳全部丢包。后来换手机热点，秒开。问题不在网站，在网关的策略表里。

屏蔽的手段比大多数人想的要粗糙。DNS污染算一种——你请求example.com，返回一个假IP，浏览器连过去自然打不开。还有IP封锁、SNI检测、关键词过滤。对普通用户来说，结果都一样：页面出不来。你没法改网关的规则，但可以换一条它管不着的路。

最直接的办法是加密DNS。传统DNS请求是明文的，网关看得一清二楚，想污染就污染。换成DoH（DNS over HTTPS）或DoT（DNS over TLS），查询过程被包在TLS里，中间设备看不到你在查什么域名。Firefox和Chrome都内置了DoH选项，在设置里搜“DNS over HTTPS”就能开。Cloudflare的1.1.1.1和Google的8.8.8.8都支持。开了之后，很多“网站打不开”的问题会直接消失——因为域名解析对了，IP就是真的。

如果DNS加密不管用，说明封锁发生在IP层或SNI层。这时候需要代理。不是那种复杂的自建方案，普通用户用现成的工具就行。比如SwitchyOmega配合一个靠谱的代理服务，或者直接用带混淆功能的客户端。关键是选对协议。传统的HTTP代理和SOCKS5在网关眼里几乎是裸奔，特征太明显。现在能用的是VLESS、Trojan、Hysteria这类，流量看起来像正常的HTTPS，网关很难区分。

有个细节值得注意：很多屏蔽不是针对整个网站，而是针对特定路径或关键词。比如维基百科，首页能开，某些条目打不开。这种情况下，换DNS没用，因为IP是通的，是内容触发了过滤。代理能解决，因为流量加密后网关看不到你在请求什么路径。但代理本身也可能被识别——如果代理服务器的IP被列入了黑名单，连都连不上。所以选代理时，IP的新鲜度比带宽重要。

还有一种情况是浏览器层面的屏蔽。某些国产浏览器会内置“安全网址库”，你访问的域名不在白名单里就直接拦截，连网络请求都不发。这种最好办：换浏览器。Firefox、Chrome、Edge都行，别用那些带“安全防护”的国产套壳。

我自己的习惯是：日常浏览用Firefox加DoH，遇到打不开的页面先看DNS解析结果，不对就切代理。代理分两个配置文件——一个走直连，一个走全局，用SwitchyOmega一键切换。这套组合用了两年，90%的屏蔽场景能绕过。剩下的10%是深度包检测加IP封锁，那就得换服务器，没有一劳永逸的办法。

说到底，屏蔽和反屏蔽是猫鼠游戏。网关在升级，工具也在升级。普通用户不需要懂底层原理，但至少要知道：网页打不开不一定是网站挂了，可能是中间有人不想让你看。知道这一点，你就会去找另一条路，而不是对着白屏发呆。