上周三下午，我照常走进学校第三机房，机房准备查一下算法课要用的电脑动态规划资料。双击桌面上的网页Chrome图标，地址栏输入zhihu.com，被封回车。学校页面没加载出来，机房底部弹出一行灰色小字：“已阻止此网站，电脑因为该网站被管理员阻止。网页” 我愣了一下，被封又试了试B站、学校CSDN，机房全是电脑一样的提示。换Edge，网页一样。被封换Firefox——机房压根没装。隔壁座位的同学探过头来：“别试了，上周就封了，所有外网学习类网站全挂。”

这不是第一次了。大一刚入学那会儿，机房电脑还能正常访问百度、知网。后来不知哪天起，学校网络中心悄悄部署了一套叫“上网行为管理”的设备——具体型号我没查到，但从拦截页面的样式看，大概率是深信服或锐捷的AC系列。这类设备的工作原理并不复杂：所有出站流量先经过它的过滤引擎，管理员在后台配置URL黑名单或关键词规则，命中就返回一个HTTP 302重定向到警告页。我试着用命令行ping zhihu.com，通的，延迟12ms。说明网络层没断，只是应用层被劫持了。

真正让我觉得离谱的是拦截范围。我做了个简单测试，用Python写了个socket连接，向几个常见域名发HEAD请求：

结果：百度返回200，QQ邮箱返回200，其余全是302。302的Location头指向http://10.10.10.1/block.html——内网地址。也就是说，只有被加入白名单的域名能通，其他一律重定向。白名单里有什么？百度、学校官网、知网、超星。没了。连Python官方文档docs.python.org都封，而我们的编程课要求用Python做实验。

我去找机房管理员老周聊了聊。老周五十多岁，管了十几年机房，人挺实在。他叼着烟（没点，机房禁烟）说：“不是我要封的，上面网络中心统一推的策略。说是有学生用机房电脑打游戏、看视频，影响教学。后来干脆一刀切，只留几个学习网站。” 我问那Python文档怎么办，他摊手：“你跟我说没用，我又没权限改。你要真需要，自己带笔记本连手机热点。”

一刀切的逻辑很省事，但代价是真实的学习需求被掐断了。我认识的一个学弟，做机器学习项目要查pytorch.org的API文档，机房打不开，只能用手机流量看，屏幕小得眼睛疼。另一个同学参加CTF比赛，需要访问github.com下载工具，机房封了，最后跑到图书馆用个人电脑。机房本应是提供计算资源的场所，现在反而成了信息孤岛。

更讽刺的是，这种封禁几乎拦不住真正想“摸鱼”的人。我亲眼见过有人用机房电脑玩4399小游戏——那个域名居然在白名单里，可能是管理员觉得“小游戏不算游戏”？还有人用远程桌面连自己宿舍的电脑，流量走的是RDP协议，AC设备默认不拦截加密隧道。真正被挡住的，是那些老老实实查资料、看文档的学生。

我试过几种绕过方法。改DNS？没用，AC设备工作在透明网桥模式，DNS请求也被劫持。用DoH？机房浏览器不支持。挂代理？学校封了所有常见代理端口，而且机房电脑装的是还原卡，重启就恢复，没法装客户端。唯一可行的办法是走IPv6——有些AC设备只过滤IPv4流量。我查了一下，ipv6.google.com居然能通。但IPv6资源有限，大部分学习网站还没全面支持。

说到底，机房封网这件事，反映的是管理思维和技术现实之间的脱节。管理者想要“可控”，但技术手段粗暴，把婴儿和洗澡水一起倒掉。学生想要“可用”，但缺乏话语权，只能自己想办法。老周私下跟我说，他其实理解我们，但“上面有上面的考虑”。什么考虑？他没说。我猜是怕担责任——万一有人用机房电脑发了不当言论，追责下来，管理员第一个倒霉。封掉最省心。

上周五，我在机房用IPv6访问了Python文档，把需要的部分打印出来。旁边一个不认识的男生凑过来问：“你怎么打开的？” 我告诉他方法。他试了试，成功了，说了句“牛逼”。那一刻我觉得，技术本身没有立场，但用技术的人有。封网的人大概没想过，他们封掉的不只是几个网页，还有学生探索的可能性。

走出机房的时候，天已经黑了。走廊里贴着“营造绿色网络环境”的标语。我盯着那几个字看了几秒，没说话。