过年回个老家，服务器 ip 被墙了

[wdv2ly]

香港服务器，用 vless+ws 伪装成普通 https 过墙，深圳打工一直在用非常稳定，不管是住处电信宽带还是联通和电信手机网络，高峰期延迟稳定 50ms 以内，体验非常爽。



过年回老家河南，第二天发现 443 端口直接被封了，所有正常网页也打不开了。交叉对比发现是老家的移动宽带封的。彼时其它端口还能访问，于是切换成了其它端口的 ss ，想着临时用几天。



结果过了两天，这个端口也不行了，再一看完蛋了，不管哪个网络环境哪个端口统统连不上。返深也不行了。线上全球 ping 了一下彻底死心，除了港台和国外，国内全部节点都是红的。



最后无奈套了个 cf 的壳，算是抢救了一把，现在延迟变成了 300ms ，肉眼可见的卡顿感，体验很不爽。



只能感慨一下，我大河南局域网建设工作遥遥领先啊

综合大家的讨论，总结了一下：

1. vless原理上应该是安全的，特征就是普通https流量，应该没有被识别出来；
2. 河南移动墙中墙，对未知的境外https流量，直接封443端口；
3. 我的问题是，443被封后，我抱着侥幸心理（因为之前也时不时偶尔用一下，感觉临时用用还算安全）切到了非常用端口的ss协议，导致被识别而封了ip；

后续研究下#7和#9提到的reality，以后ss是彻底不敢用了。

[yzqn]

我也遇到到了，一番搜索后发现荷兰是墙中墙，无语了

[hdp5252]

河南移动墙中墙，挂 cf 的域名都打不开，本来没有封。
可是你改用了 ss ，彻底被识别了，不封你封谁

[YGHMXFAL]

这不很正常,河南/福建/江苏这仨省接近白名单了

[slowmist]

🀄️🀄️🀄️

[mertas]

我瞎猜，会不会用的人变少了，所以更加精准了

[bigshawn]

我也遇到类似的，浙江用了 1 年多好好的 hy2 洛杉矶节点，年前去“湖建”厦门玩，第二天端口就被封了。

[huyudong1991]

vless reality 保平安

[ysxb1145]

河南移动因为宁陵那个事变成了墙中墙 plus ，想改变就搬家，福建也是白名单，江苏 DNS 劫持，不要去这几个地方买房子

[tiezlk443]

reality 吧，ws 流量一大就嘎，不走 cdn 还是 1reality 最好

[kiritoyui]

我这机场跑路，oracle 搞了一个 ss2022 ，用了快一个月了，奇迹啊

[abccccabc]

河南是一个农业大省，你不搞农业搞这高科技玩意，怎么会允许呢？

[TellMeWHY]

感觉是官方的爬虫给检测出来了，现在国内访问任何 URL 必有爬虫摸过去检测流量或内容
用 IP 白名单挡一下吧，家宽的 IP 段就那么几个，多维护几次就好了
如果带 CF 套套的话，CF 免费版也支持 3 条 URL 防火墙规则和 IP 白名单
注册 1 美元以下的年抛域名，即使被封换一个域名成本也低

[d4fg4]

ss2022

[yianing]

ws+tls 都是我两年前就弃用的了

[wdv2ly]

@hdp5252 哎，也是我大意了，以为只是移动自己封的端口，想着凑合几天就好，没想到升级到被封 ip

河南移动看起来真的会墙中墙，以后回老家拉宽带不会考虑移动了。

[HeyWeGo]

ss 必

[isnullstring]

@TellMeWHY #12 +1 ，墙很早就这个功能
正常的 HTTP 请求到服务器之前会有特殊的检测包发到服务器，如果没有 HTTP 异常那就是假的 web

[MacsedProtoss]

ss 一定跪的
你的 vless+ws+tls 的不一定要卡在 443 啊 你为啥其他端口用 ss 而不是其他端口用 vless+ws+tls 呢？

[by]

洼中洼是这样的

[AlexRoot]

ss 裸跑，作为备用方案，不敢大流量使用。因为感觉一旦大流量就容易被 ban 。

[234ygg]

搞那么复杂其实完全没用，墙和运营商早就合作用各位家里的光猫的分布式算力去探测你 vps 了

[humbass]

ws 走亚马逊 CDN ，那叫一个爽。

[RoccoShi]

ss 有流量一般都是秒封 IP, 其他 vmess 之类的被检测到了一般都只封个端口

[wdv2ly]

@MacsedProtoss 因为非 443 端口就是最大的特征啊。这套就是为了伪装成普通的 https 请求，改端口就暴露了。

[wdv2ly]

@isnullstring 没懂。就算他主动探测，它的 http 请求也能正常返回一个网页，那它怎么知道这个是假的 web 呢？

[MacsedProtoss]

@wdv2ly 事实不完全是这样的
实际上现在体感有一个 IP-端口二元组的基于流量的拦截 就算你是 443 流量过大也会封锁二元组一段时间
而且本来现在的 tls 只要设置得当能给到外面的 metadata 是很少的 本来也不一定能判断 443 端口的流量是否是 https 同理 你觉得对于识别翻墙来说是其他端口跑非 https 流量的特征明显 还是其他端口跑 https 的特征明显？

[wu67]

考虑 vmess zero 加密 + tls. 个人怀疑 vless+tls 有其他的特征.

[huihuilang]

深圳 50ms 延迟也高了，能压到 10 左右。
换专线吧，一劳永逸。虽然贵了点

[LanhuaMa]

河南人，都是神，磨灭不破的传闻

[TellMeWHY]

我觉得用 443 端口没错
可以先用 NGINX 反代 v2ray 的 WS 为一个子目录路径（譬如 https://x.x.x.x/v2ray 这样子，只将该路径加 IP 白名单)
正常的根目录放一个博客之类的网站，域名和端口平时就有正常的 https 流量了，GFW 主动探测域名和 IP 也不怕
由于 HTTPS 加密，GFW 无法直接检测完整 URL 路径，再加上白名单，应该会保险一点吧

[kome]

我直接套的 CF CDN, 用 CF 的 WAF 添加了两条规则, 只放行了一个路径, 根目录以及其他目录全部拒绝访问. 自己直接就 SNI+IP 访问.

[wdv2ly]

@TellMeWHY #30 我现在就是这么部署的（除了加 ip 白名单）。从我的经历，我怀疑它没有检测出特征，但是移动的骚操作可能是不知名境外 ip 的 https 流量直接封端口，这种就完全没办法了。

[zhouweiluan]

所以我都用机场代理链到自己的落地 IP ，没有后顾之忧了，而且机场线路优化的也好。

[Avafly]

一直在用 naive, 没啥问题.

[hronro]

切 SS 导致 IP 被封？和 SS 应该没啥关系吧，我一直用 SS ，也没遇到什么问题。网上流传的 SS 被精准识别，应该都是谣言。

[a9k1n9]

河南 sni 阻断很严重，目前只有备案域名+正规服务器或者 reality 能解。

[dufldylan1]

ipv6 ？

[wdv2ly]

@dufldylan1 v4

@hronro 不好说。反正过程就是 vless 被移动封端口，切 ss 后 2 天就被封 ip 了。至于有没有关联自行理解。

[NAVYFIELD]

@ysxb1145 #8 据说都是在测试，测试稳定后会推向全国，你往哪搬？不光是梯子问题，你网站没备案，服务器 ip 在境外，也大概率被干掉

[NAVYFIELD]

@a9k1n9 #36 你在河南用的是移动吗？

[565656]

湖北都能直接访问 v2

[ysxb1145]

@NAVYFIELD 地方官员为了表忠心罢了，要么就是懒政，哪来的官方消息推全国？人家浙爷的移动怎么就全国唯一一个没有墙中墙呢

[wtdd]

众所周知，移动本来就墙中墙啊，地区之前微调肯定有，但区别远没有运营商之间区别明显，
出门老实用电信联通，移动手机还好，宽带就更多一层墙，都是极低端用户也没人会反抗的。

[zhangsimon]

我也是回老家后发现 clash 用不了了
测速节点都有速度，但就上不了外面网站
现在从老家返城了，怎么还连不了？求教怎么办😰

[zhangsimon]

@wdv2ly 小白求教下怎么恢复访问😭 俺也是回了趟老家，发现都用不了了，用的 clash X 客户端。该怎么操作😰

[wdv2ly]

@zhangsimon #44 先找个聚合 ping 网站看一下机器还能不能访问，如果都不能访问，就是 ip 被墙了。这种没办法，只能换 ip ，或者套一个 cf 挽救一下。如果不是 ip 被墙，就换个端口试试。

[zhangsimon]

@wdv2ly 服务不是我自己搭建😭 别人给我的是一个托管配置文件 url ，我以往都是只需在 clash X 里添加配置文件的 url ，然后选择合适的节点九能科学上网了。所以不清楚你说的 ping 和换 ip 怎么操作😭


我看配置文件的更新时间停留在了 1 月 28 日
今天临时开了一个全局 VPN ，试着重新添加一下托管的配置文件，发现却只会提示：下载失败☹️

我直接用浏览器访问那个 url ，能 download 一个 ymal 文件
我试着把文件放入到 clashX 的配置文件夹后
设置配置里倒是出现了今天下载的文件名
不过切换过去时会报错，该怎办😭
https://imgfans.com/_v1bEi
[img]https://imgfans.com/_v1bEi[/img]

[wdv2ly]

@zhangsimon #47 那个托管配置 url 应该是订阅链接，需要转换成 clash 配置才能用，直接下载可能不行。 你这个看起来是用的机场吧，如果是付费的，直接找维护方帮你解决就行了。

[zhangsimon]

@wdv2ly 嗯，url 是个订阅链接。很早之前一个好心人给我的🫣 现在找不到他了 😭