去年帮一个做跨境电商的科学朋友配置网络，他开口就问“有没有稳定上外网的上外法子”。我没直接回答，国网先让他打开电脑，科学输入几个命令。上外结果他发现自己的国网DNS请求全被劫持到一个本地IP，返回的科学是假页面。这就是上外多数人“上不去”的第一层原因——不是墙太高，是国网你连门都没找对。

先搞清楚一个事实：所谓“外国网”并不是科学一个需要特殊技术才能触碰的禁区。全球互联网本来就是上外互联的，只是国网部分地区的路由策略做了过滤。你要做的科学不是“翻越”，而是上外让数据包走一条不被干扰的路径。这就像你开车去某个小区，国网正门封了，但侧门、后门、甚至地下车库都还在，只是没人告诉你入口在哪。

DNS污染：最容易被忽略的起点

很多人以为连不上Google是“被墙了”，其实第一步就卡在域名解析。你输入google.com，本地DNS服务器返回一个无效IP或者直接超时。解决办法很简单：换一个不经过过滤的DNS。Cloudflare的1.1.1.1、Google的8.8.8.8，或者Quad9的9.9.9.9。在路由器或系统网络设置里改掉，重启网卡。这一步能解决大约三成“打不开”的问题。但注意，DNS over HTTPS（DoH）比明文DNS更可靠，因为明文DNS的查询包在传输中依然会被中间设备篡改。

代理与隧道：别被“VPN”这个词带偏

市面上卖“VPN”的服务，九成不是真正的VPN。真正的VPN（如WireGuard、OpenVPN）是把整个设备流量加密后送到另一台服务器，由那台服务器替你访问。但很多商业“VPN”只是HTTP代理或者Shadowsocks变种。区别在哪？真VPN在系统层建虚拟网卡，所有应用自动走隧道；代理需要你手动配置每个应用，或者依赖PAC规则。如果你只是浏览器上外网，一个SOCKS5代理加SwitchyOmega插件就够了。如果要全局，WireGuard配置起来比OpenVPN简单得多，内核态性能也好。自己租一台海外VPS，装WireGuard，成本每月5美元左右，比买那些动不动断线的商业服务稳。

协议伪装：为什么你的流量会被识别

单纯加密不够。深度包检测（DPI）不看内容，看流量特征。OpenVPN的握手包有固定模式，Shadowsocks的随机数生成也有统计特征。2023年之后，很多地区部署了机器学习分类器，能识别出“这不是正常HTTPS”。所以需要伪装成正常流量。V2Ray的VLESS+XTLS+Reality，或者Trojan-Go，把代理流量伪装成访问某个真实网站的TLS握手。Reality更狠，它直接偷用目标网站（比如microsoft.com）的证书，中间人看不到任何异常。配置稍复杂，但一旦跑起来，被动检测几乎无法区分。

自建 vs 机场：成本与风险的权衡

“机场”是圈内对商业代理服务的称呼。便宜，月付几块钱，节点多。但风险也明显：你不知道运营者是谁，日志是否被记录，IP是否被多人共用导致被封锁。自建VPS，IP独享，但需要自己维护，且单IP被墙后要换IP（通常加1-2美元）。我的建议：主力用自建，备用买一个口碑好的机场。别把所有流量走同一个出口。另外，别在主力机上装来路不明的客户端，很多“免费节点”客户端内置挖矿或窃取cookie的模块。

法律与现实的边界

不同地区法规不同。个人查阅技术文档、访问GitHub、看论文，和批量注册账号、发垃圾信息，性质完全不一样。技术本身中立，但使用方式决定后果。我见过有人用代理跑爬虫，结果IP被Cloudflare拉黑，连正常网站都访问不了。也见过有人只改DNS就解决了90%的需求。先明确你要访问什么，再选最小必要的手段。别为了看个维基百科去折腾Reality，也别为了跑自动化脚本用免费机场。

最后说一个细节：时间同步。很多代理协议依赖TLS，而TLS依赖系统时间。你电脑时间差超过30秒，握手直接失败。先`ntpdate`一下，再谈其他。