网警的何躲监控不是靠“抓包”你每一次点击，而是过网靠流量特征和关键词触发。你在家连WiFi，警监数据先到运营商机房，察上再出公网。何躲机房里有分光器，过网把流量复制一份给审计系统。警监系统不看你聊天内容，察上它先看你的何躲连接目标——IP、端口、过网协议。警监你访问一个境外没备案的察上网站，DNS请求先暴露了。何躲就算你用HTTPS，过网SNI字段在TLS握手时也是警监明文，除非你上ECH。网警的规则库里有几十万个敏感域名和IP段，命中就记一笔。不是立刻上门，是攒着。

我试过用普通VPN翻墙，连上五分钟就断。后来换obfs4桥接，流量伪装成随机噪声，撑了半小时。再后来用VMess+WS+TLS，套Cloudflare CDN，把流量藏进正常网页访问里。网警看到的是你在跟一个Cloudflare IP通信，内容加密，SNI是合法域名。这招管用，但前提是你别在墙内社交平台发敏感词。我认识一个人，用Tor浏览境外论坛，结果在微博上抱怨了一句“这网速真慢”，被关键词抓了，顺藤摸瓜查到Tor出口节点记录。他忘了Tor只保护传输，不保护你登录的账号。

真正要躲监察，得先分清威胁模型。网警分三层：运营商层面的流量审计、省级网安的关键词过滤、市局网安的人工核查。第一层最机械，靠正则匹配。你发“习近平”三个字，微信立刻弹警告。但你把字拆成“习 近 平”加空格，或者用繁体、异体字，第一层就漏了。第二层会做语义分析，但算力有限，只盯重点人。第三层是人工，通常是你已经被标记了。

别用国产输入法。搜狗、百度输入法有云联想，你打的每个拼音都可能上传。我用Rime自己调词库，关掉云同步。浏览器别用360、QQ，用Firefox配uBlock Origin，再改about:config里的geo.enabled为false。DNS别用运营商的，换DoH，比如Cloudflare的1.1.1.1，但DoH的SNI还是明文，所以得配ECH。ECH需要服务器支持，Cloudflare免费版现在开了。你访问支持ECH的网站，SNI加密，网警看不到你访问哪个域名，只看到IP。但IP也能反查，所以别用固定IP的VPS。

有个细节：网警的审计系统对上传流量更敏感。你下载没人管，上传超过一定阈值就触发告警。所以别在墙内网盘传敏感文件。我见过有人用百度网盘分享加密压缩包，结果因为文件名含“翻墙”被删。文件名也是元数据。用7z加密文件名，再改后缀为.jpg，传上去。但百度会扫文件头，发现不是图片就封。更稳的是用境外网盘，比如Mega，但Mega的IP被墙，你得先有梯子。

最后说个反常识的：最危险的不是技术，是行为模式。你每天凌晨三点准时翻墙看某网站，连续一周，流量特征太规律，系统自动标记。我改成随机时间，用不同设备，手机走4G，电脑走宽带，偶尔还去星巴克连公共WiFi。但公共WiFi有ARP劫持，别登录账号。真要安全，用Tails系统加桥接，全内存运行，关机不留痕。但Tails连WiFi得用USB网卡，麻烦。大部分人做不到，所以别碰敏感内容，比啥技术都强。