内容摘要：去年秋天，我在一台老旧的ThinkPad上折腾了整整一个下午，就为了访问一个被运营商屏蔽掉的学术数据库。浏览器反复显示“连接超时”，ping 目标域名返回的是 127.0.0.1——典型的 DNS 污

去年秋天，何强我在一台老旧的制访站ThinkPad上折腾了整整一个下午，就为了访问一个被运营商屏蔽掉的问网学术数据库。浏览器反复显示“连接超时”，何强ping 目标域名返回的制访站是 127.0.0.1——典型的 DNS 污染。这不是问网我第一次遇到这种情况，也不会是何强最后一次。强制访问一个被限制的制访站网站，本质上是问网在和网络中间的那些设备斗智斗勇。

先搞清楚你面对的何强是什么。屏蔽手段大致分几类：DNS 污染、制访站IP 封锁、问网SNI 检测、何强深度包检测（DPI）。制访站不同手段对应不同绕法。问网DNS 污染最好办——域名解析被投毒了，你手动指定一个干净的 DNS 服务器就行。Windows 下打开网络适配器设置，把 DNS 改成 1.1.1.1 或者 8.8.8.8，很多时候立刻见效。Mac 和 Linux 同理，改 /etc/resolv.conf 或者网络偏好设置。但这个方法有个前提：封锁方只做了 DNS 层面的干扰，没有进一步封 IP。

如果 IP 也被封了，那就得换思路。代理服务器是最直接的办法。HTTP 代理、SOCKS5 代理，浏览器和系统层面都能配。Firefox 在这方面比 Chrome 灵活得多，about:config 里 network.proxy 那一组参数随便调。但公开代理池里的免费节点，十个有九个不能用，剩下那个速度慢得像拨号上网。付费的 SOCKS5 代理质量参差不齐，我买过三次，只有一次撑过了两个月。

更可靠的是加密隧道。SSH 动态转发算是最轻量的方案：ssh -D 1080 user@your-server，然后浏览器挂上 SOCKS5 代理指向本地 1080 端口。前提是你得有一台墙外的服务器。VPS 月付几美元，自己搭。OpenVPN 和 WireGuard 更彻底，整个系统流量都走隧道，但配置稍微麻烦点，而且特征明显，容易被识别和阻断。

Shadowsocks 和 V2Ray 这类工具之所以流行，是因为它们把流量伪装成正常的 HTTPS 流量。Shadowsocks 的 AEAD 加密让 DPI 很难区分它和普通网页浏览。V2Ray 的 VMess 协议更灵活，支持 WebSocket + TLS + CDN 多层嵌套，隐蔽性更强。我自己的方案是 V2Ray + Nginx 伪装站 + Cloudflare CDN，跑了快两年，只在敏感时期断过几次。配置过程不算友好，JSON 配置文件写错一个逗号就起不来，但一旦跑通，稳定性远超那些一键脚本。

Tor 是另一条路。它设计上就是为了抗审查，流量经过三层中继，出口节点随机。问题是速度慢，而且出口节点 IP 经常被目标网站拉黑——你访问过去，对面看到的是“已知 Tor 出口”，直接给你弹验证码或者 403。桥接节点（obfs4、meek）能绕过部分封锁，但配置门槛不低。我用 Tor 访问维基百科还行，看视频基本没戏。

还有个容易被忽略的点：SNI 检测。TLS 握手时，客户端会明文发送你要访问的域名（SNI 字段）。中间设备看到敏感 SNI 就直接掐断连接。解决办法是 ESNI（加密 SNI）或者域前置（Domain Fronting）。ESNI 需要服务器和客户端同时支持，Cloudflare 一度支持后来又撤了。域前置则是把 SNI 设成一个无害的域名，实际 Host 头指向目标——CDN 厂商现在基本都封堵了这个漏洞。

说点实际的。如果你只是想临时访问某个被 DNS 污染的站点，改 hosts 文件最快。把域名和真实 IP 写进去，绕过 DNS 解析。真实 IP 怎么找？ping 一下域名从境外服务器，或者用 DNS 历史记录查询工具。这招对小型封锁有效，对 IP 封锁无效。

长期稳定访问，自建代理是唯一靠谱的路。别用那些来路不明的免费机场，你的流量经过别人的服务器，等于把密码和 cookie 拱手让人。买个便宜 VPS，装个 Shadowsocks-libev 或者 Xray，花半小时配置，比什么都强。我见过太多人为了省几美元，最后账号被盗、数据泄露，得不偿失。

最后说一句：技术手段能绕过封锁，但改变不了封锁存在的事实。你每换一个协议，对面也在升级检测手段。这是一场没有终点的猫鼠游戏。保持信息更新，别指望一套方案用一辈子。