云图 on 小甲哥の垃圾工厂

机场/梯子推荐

Fri, 07 Aug 2026 09:24:13 +0800

💡非常时期，不存在绝对稳定的机场，不同地区不同运营商都会存在差别，建议先月付测试，找到自己合适的再考虑年付。目前唯一稳定的方案是 CCN(po0/rfc) 自建节点，但是费用很高，后面单独出个教程。

分类推荐，每种就推荐两三个，供有不同需求的人参考。

是否支持订阅链接，意味着是否能够使用 Surge/Stash/Egern/ShadowRocket 等三方客户端。

💡极简总结（优惠码适时更新，请关注：）：

🔥	个人需求	机场名称	机场特点	订阅链接	传送门	优惠码
🔥	精悍稳定，高性价比	云图机场	金融级专线传输，高规格跨境专线与优质节点拓扑，晚高峰期依然低延迟、零丢包。价格适中，性价比之王。	✅	🚀直达	88折：yt88
🔥	小众稳定，值得一试	寰宇云	专业海外运营，八年行业经验，一流的技术，一流的服务。换了东家之后，稳定性提升很大	✅	🚀直达	85 折：HY888
🔥	尝鲜偶用，预算较低	一元机场	一个月不到 1 块钱，老牌廉价机场，推荐作为备用防失联	✅	🚀直达	-
🔥	重度依赖，长期稳定	TAG	全球 250+ 节点、99+ 流媒体解锁，覆盖地区最广的机场，虽贵但好用	✅	🚀直达	9 折：Christmas

当前强烈推荐云图机场机场，基于 AnyTLS 协议，，稳定不炸，性价比之王！同时支持订阅链接和自研客户端。

特别推荐
- 🔥云图机场 —— 金融级专线，性价比之王
- 🔥寰宇云机场 —— AnyTLS 协议，高性价比
轻度使用，入门尝鲜
中度使用，聊天上网
- 🔥星岛梦 —— 高性价比新机场
- 🔥光速云 —— 中转优化
重度使用，稳定可靠
- 🔥TAG —— 机场中的排头兵
- 🔥Nexitally —— 老牌机场佩奇家、奶昔
最后

特别推荐

个人认为非常好用且性价比贼高的机场。

🔥云图机场 —— 金融级专线，性价比之王

🚀 点我起飞，前往官网协议 AnyTLS

✓支持订阅链接，可在小火箭等第三方客户端使用
✓提供专属客户端

云图官方主打“金融级专线”，并针对国内三网进行线路优化。相比普通公网线路，更注重晚高峰时段的延迟、速度和连接稳定性。节点支持 ChatGPT、Netflix、TikTok 等常用服务，部分地区还提供原生 IP。

同时提供一次性套餐和周期套餐，节点统一按 1 倍倍率计费，堪称性价比之王。主要流媒体和 AI 都已解锁。

在当前多数机场封端（不支持订阅链接，仅支持指定客户端）的情况下，云图依然支持订阅链接，可在 ShadowRocket 小火箭、Surge、Quanx 等任意三分客户端中使用，有着一线机场的眼界和服务水平，Telegram 群客服答复及时。

另外，这里有必要简单介绍下 AnyTLS。Reality 协议目前依然是行业标杆，拥有出色的稳定性。而新出现的 AnyTLS 可以说是 Reality 进化版，由 sing-box 团队开发并维护。AnyTLS 通过可自定义的 TLS Padding 机制增强流量的隐蔽性，检测难度更高，稳定性更强，同时保持良好的性能表现和广泛的兼容性。

云图机场，带你一键穿云，揽尽天下。

🌟 核心优势 ⚡️ 金融级专线｜全线高规格专线传输，三网优化，高峰期依然极速稳定
🟢 流媒体解锁｜完美解锁 ChatGPT、Netflix、TikTok 等主流服务及冷门原生 IP
🟢 透明高性价比｜节点倍率统一 1 倍，绝无高倍扣费陷阱
🟢 贴心售后保障｜支持多设备同时在线，工单 24 小时内快速响应服务

测速如下：

流媒体解锁：

🔥寰宇云机场 —— AnyTLS 协议，高性价比

🚀 点我起飞，前往官网协议 AnyTLS

✓支持订阅链接，可在小火箭等第三方客户端使用
✓提供专属客户端

换东家之后，稳定性提升很多。基于 AnyTLS 协议搭建，专业海外运营，八年行业经验，一流的技术，一流的服务。

提供一次性套餐和周期套餐，堪称性价比之王。主要流媒体和 AI 都已解锁。

⚡️ 极速稳定，拒绝卡顿：采用优质跨境路由与精选高速节点，直连+专线，晚高峰依然坚挺。测速拉满，带给您秒开网页、畅享 4K/8K 高清视频的极致体验。
🌍 全球覆盖，随心切换：节点广泛覆盖香港、日本、新加坡、美国、台湾等核心地区。真正实现“寰球”互联，打破地域限制，世界触手可及。
🔓 原生流媒体 & AI 完美解锁：轻松解锁 Netflix、Disney+、HBO Max、Spotify 等主流流媒体限制，同时完美支持 ChatGPT、Midjourney 等前沿 AI 工具的稳定访问。
🛡 安全匿名，隐私无忧：采用最新强加密协议，全方位保护您的网络数据与个人隐私。无日志记录，让您安心在互联网上自由冲浪。
📱 全平台兼容，极简上手：完美适配 iOS、Android、Windows、macOS 及各类软路由。全面兼容主流客户端（如 Clash、Shadowrocket、Surge、v2rayN 等），提供一键导入订阅，小白也能轻松连接。

Youtube 测速如下：

测速如下：

流媒体解锁：

AI 解锁：

轻度使用，入门尝鲜

预算低，舍不得在这方面大支出
体验翻墙
备用机场防失联
海淘、谷歌
偶尔看看 Youtube 等视频
Telegram 聊天
基本没有速度和时延要求

🔥一元机场 —— 廉价的不死神话

🚀 点我起飞，前往官网协议 VLESS

✓支持订阅链接，可在小火箭等第三方客户端使用
✓提供专属客户端

特点：好几年了，竟然还活着，廉价的不死神话，流量高，速度还行，但是不太稳定。

有点小名气的低价机场，主打的就是一个价格低。晚高峰会有点卡，稳定性也不算高，不过 12CNY/Year、20CNY/2Year 的价格要什么自行车，主要是速度也还行，解锁 Netflix 和 Disney+，美国节点解锁 ChatGPT。

注意: 传家宝套餐由原来每月 500G，变成每月 50G 了，此时可以优先考虑[三分机场](#三分机场 —— 一天3分钱)了~~

他家就买这个传家宝套餐就行了。至于俩稍微贵点的高流量套餐，可以拿来当二道贩子，封装个 APP 卖钱😜。

节点以香港、日本、美国、新加坡为主，偶尔会出现土耳其等特别的节点。

🔥全球云 —— IPLC/IEPL 专线

🚀 点我起飞，前往官网协议 VLESS

!无法直接订阅地址，可以联系客服获取订阅地址
✓提供专属客户端

特点：全球云是一家专注提供出海专线加速与流媒体解锁服务的网络加速品牌。采用企业级 IPLC / IEPL 专线，并结合智能负载均衡与三网入口优化，尽量保障国内用户连接海外节点的速度与稳定性，晚高峰也有更好的表现。

专线落地 + 高速解锁原生机房线路，稳定低延迟节点通常标示可解锁 Netflix / Disney+ / TikTok / ChatGPT 等（以节点标注为准）
全球布局 + 多地区节点覆盖香港、日本、新加坡、美国、英国、德国、法国、韩国、马来西亚、泰国、越南、菲律宾、土耳其等 60+ 节点，独立 IP 资源，带宽 3Gbps+，高峰冗余策略（参考 500Mbps 级别冗余）
多平台支持 + 多设备同时用支持 Shadowrocket / Clash / V2Ray / Trojan 等主流客户端生态（以订阅 / 配置为准）适配 iOS / Android / Windows / macOS / 路由器同一账号可多端使用，适合家庭与多设备用户（以套餐规则为准）
售后与维护支持提交工单与在线客服，响应快海外团队持续维护节点网络，优化稳定性与抗干扰能力

测速如下：

🔥极连云机场 —— 三网手搓 BGP

🚀 点我起飞，前往官网协议 VLESS

✕不支持订阅链接，无法使用小火箭等第三方客户端
✓提供专属客户端

特点：广州电信 / 深圳移动 / 深圳联通三线接入（手搓 BGP）+IEPL 专线！！！新增 96 元 / 年每月 60G 流量套餐，适合轻度用户（配合 8 折码更优惠）

专线机场，由新加坡老牌运营团队操刀，线路配置上已经初具高端机场的雏形，三线接入给到了不同网络环境的优化，所有节点均标示可解锁流媒体（如 Netflix、Disney+、TikTok、ChatGPT 等）满足影音+办公双场景解锁，支持 Gemini 的节点也进行了标注，后续会持续优化节点解锁。背靠大厂资源专业性在线，保证线路稳定，八折优惠码已经附上。

测速如下：

中度使用，聊天上网

预算有限，愿意适当的为科学上网付费
时不时看看 Youtube、Netflix、Disney+ 等流媒体
Telegram 聊天，偶尔看看视频
速度和时延不是特别敏感

🔥星岛梦 —— 高性价比新机场

开业最大优惠，新老用户、新开续费均可。长期有效。

🚀 点我起飞，前往官网 🛰️ 备用入口 🛰️ 备用入口协议 VLESS

✕不支持订阅链接，无法使用小火箭等第三方客户端
✓提供专属客户端

特点：新兴 IEPL 专线机场，专注于稳定流媒体验与跨境业务场景，高性价比机场，晚高峰速度稳定！

IEPL 专线机场，基于高品质线路与 Trojan 等主流协议打造，专注于稳定流媒体验与跨境业务场景。全线支持解锁各大流媒体平台（如 Netflix、Disney+、YouTube 等），解锁 ChatGPT、Gemini 等 AI 服务，支持 TikTok 跨区，适合跨境电商、店群、直播运营、远程办公等高要求用户使用。

套餐无倍率、不限速、不限制设备数量（合理使用前提），支持支付宝、USDT 多种付款方式。

除港、台、日、美、新五大常规节点外，星岛梦还提供东南亚多国、韩国及多家欧美国家节点覆盖，价格亲民，月付低至 16 元起，还支持 1T 大流量永久不限时套餐，是专线圈中少见的高性价比选择。售后方面由多人客服团队轮流值班，配合海外技术团队长期维护，可视需求提供小火箭下载账号、TG 代注册等增值服务。

测速如下：

🔥光速云 —— 中转优化

🚀 点我起飞，前往官网协议 VLESS

✕不支持订阅链接，无法使用小火箭等第三方客户端
✓提供专属客户端

特点：定价实惠便宜机场梯子工具，月付17元110G，极具性价比，最低可至0.15元/GB。全部节点线路采用隧道中转优化及高速专线，可选择全球节点，提供最优质线路。

节点数量完善至 60+ 独立 IP，带宽 2GB 以上，高峰期冗余 500M。海外技术团队运营安全稳定不会跑路优质机场。原生 IP 所有套餐均支持 Netflix、TVB、TikTok 等国外流媒体解锁。支持提交工单、在线客服，响应快速，教程网站与软件完善；常用地区：香港|台湾|日本|新加坡|马来西亚|美国|韩国|越南|菲律宾|泰国|德国|法国|英国

测速如下：

重度使用，稳定可靠

不在乎价格
Netflix、Disney+ 等流媒体重度依赖
长期看不能直连的 Emby 公益服
Telegram 上看视频
办公强依赖
追求稳定性
高速和低时延要求

🔥TAG —— 机场中的排头兵

🚀 点我起飞，前往官网协议 Shadowsocks

✓支持订阅链接，可在小火箭等第三方客户端使用
✓提供专属客户端

特点：比较贵，节点覆盖面广，速度较快，稳定。有游戏专用节点，游戏加速效果不错。

特别提醒：该机场禁用了 22 端口，这点对开发者不太友好，尤其影响 Git SSH，如果你是开发者则慎重购买。

全球 250+ 节点、99+ 流媒体解锁，线路是全 BGP-IEPL 广港 + BGP-IEPL 沪日中转，全球 90+ 国家地区节点，地区覆盖范围是最广的，什么奇奇怪怪的国家地区都有，就连南极、美国星链也有。想象以下，发帖回帖，地区显示南极😁！

同样的 Netflix、Disney+ 等流媒体，该解锁的都解锁了，ChatGPT 也是。

他家有一个特别套餐，154CNY/Year，总共 200G 流量，用作备用防失联特别好，或者需要一些罕见地区的时候。

其他套餐价格如下：

电信测速，可以参考下。

🔥Nexitally —— 老牌机场佩奇家、奶昔

🚀 点我起飞，前往官网 🛰️ 备用入口协议 AnyTLS / SS(日落) / Trojan(日落)

✓支持订阅链接，可在小火箭等第三方客户端使用
✓提供专属客户端

特点：昂贵，稳定，流量还行，速度快，晚高峰也稳定有速度。出问题的时候，也是自己把自己折腾挂了。

2026年6月将全面切换到 AnyTLS 协议。

官网打不开的话先挂个别的代理。

毒药推荐中的第一名，佩奇家中转线路的高端机场，稳定性和速度都非常错，价格高昂，但是对于追求稳定性的用户也还能接受。

这也是我个人主要使用的，已经使用三年了，目前应该是第四年。

Netflix、Disney+ 等流媒体，该解锁的都解锁了，ChatGPT 也是可以正常用的。

有自己的傻瓜客户端，可以登录后一键连接。

套餐情况：

Smart Access：每月 500G 流量，价格受汇率影响，约为 117CNY/Month，约 594CNY/Year，约 1102CNY/Year
Smart Access Air：每月 200G 流量，价格是 Smart Access 的一半多点，但是限量提供，能不能买到看缘分，买到后可以一直续费

毒药的电信测速，可以参考下。

最后

对于刚接触科学上网的朋友，建议先买个廉价的梯子体验个把月，确认自己是否有科学上网的需求、以及科学上网的依赖度有多大，如果确实有需求再考虑换高价稳定的梯子。

对于海淘的朋友，如果只看看商品不亲自购买，一元机场、三分机场这种完全够用，别信海淘群里那种倒卖的，说不定卖给你的就是这种。

AdGuardHome + mosdns + openclash 打造自由的家庭/办公室网络

Sat, 25 Nov 2023 20:32:18 +0800

🔥🔥🔥：稳定好用的机场/梯子 TAG 全球250+节点、99+流媒体解锁，更多参考机场推荐

👉 首先推广下自己编译的 OpenWrt 旁路由极简版，专为旁路由而制作。 👍👍👍

编译脚本以及个人修改的组件依赖全开源，Github Actions 在线编译，安全可靠无后门。
基于 lede 源码
默认配置 DHCPv6 Client 接口 lan6。
默认配置好了 AdGuardHome 、 mosdns 和 openclash （或 ssrp ）的搭配运行配置。
openclash 预置 clash_meta 内核。
mosdns 使用了自己的修改版，支持 MMDB GeoIP 匹配。

版本	说明	下载地址
x86	包含 ssrp 和 openclash，详细说明	下载
x86 openclash 专版	仅包含 openclash，注意此固件默认不劫持 53 端口，详细说明	下载
r2s	包含 ssrp 和 openclash，详细说明	下载
n1	包含 ssrp 和 openclash，详细说明	下载

注意，旁路由固件默认未开启DHCP，旁路由固件默认未开启DHCP，旁路由固件默认未开启DHCP！

所以，如果不在控制台修改IP，请修改电脑的IP访问，然后可以在网页修改。

前言

CN网络的阻断方式主要有两个部分：

GFW 阻断
DNS 污染

GFW 阻断就是我们常说的被墙了，即使是DNS没有被污染，也无法访问到。

DNS 污染即让你访问网站时，无法获得域名对应的IP地址，从而导致无法访问到网站。DNS 污染在移动宽带中尤为典型，即使自定义了DNS 服务器，也会被拦截污染。

要实现科学上网，必须同时解决GFW 阻断和DNS 污染，并且两者配合以提高网络访问体验。

代理中的DNS知识，可以参考 Sukka 的这篇文章《浅谈在代理环境中的 DNS 解析行为》

路由器科学上网和终端科学上网的区别

路由器上配置透明代理，和在终端PC上直接通过客户端，最主要的区别是 DNS 解析。

PC终端上

通常有以下几个步骤

启动客户端
选择全局/规则模式
配置系统代理（一般客户端自动配置），把科学上网客户端作为系统代理的上游代理服务器

第3步里的配置系统代理，通常有http和sock5两种。

此时，打开浏览器访问一个网站：

当使用http代理时，浏览器不会在本地进行 DNS 解析，请求的域名会作为 http 报文的一部分直接发给代理服务器（科学上网客户端），DNS 完全在代理服务器（科学上网客户端）上处理。

当使用sock5代理时，sock5支持UDP，DNS 解析会封装在sock5之中，发给代理服务器（科学上网客户端）处理，浏览器拿到 IP 地址后，在发起连接。

路由器上配置透明代理

此时，科学上网客户端运行在路由器上，PC 终端是看不见代理的，所以叫透明代理。PC 终端上，请求的发起的流程照旧，先进行 DNS 解析，拿到 IP 后再发起请求。

在这种情况下，对于路由器上运行的科学上网客户端来说，域名和 IP 是两个请求，有的会内置 Mapping 机制（例如 Clash），用来还原 IP 到域名。

这种情况下，优惠DNS配置就相对比较重要了，否则针对部署的CDN的网站不能做到最优访问。

正文开始：配置 & DNS 优化

本文主要考虑的是自由的局域网环境，所以只介绍路由器上科学上网配置。

首先分析下要实现的目标：

双栈网络
- 国内网络使用 IPV4 & IPV6 双栈
- 科学上网仅使用 IPV4
国内外分流
DNS分流
- 国内域名由国内 DNS 服务器解析
- 国外域名经过代理由国外 DNS 服务器

国内外和应用分流

这个没啥好多说的，按文档配置规则就行。也可参考文末给出的示例配置。

DNS 优化目标

广告过滤：使用 AdGuardHome
DNS分流：使用 mosdns
- 其中，境外网站屏蔽 IPV6 应答
如果使用 openclash，DNS 必须经过 clash 内核，以使 DNS 完成 IP <–> Domain 的 mapping

PS: mosdns 使用 alecthw 修改版，支持 MMDB GeoIP 匹配

多级 DNS 级联

flowchart LR
A[AdGuardHome, Port 53, no cache] -- 主要 --> B[openclash, Port 7874]
B --> C[mosdns, Port 5335]
A -- 备用\n防止 openclash 为运行时网络无法访问 --> C

配置过程如下：

修改了 dnsmasq 的默认端口号，用 AdGuardHome 监听53端口作为默认的DNS解析。
AdGuardHome 可以监控的各个终端的 DNS 请求，并使用广告过滤和管控功能。
openclash 作为 AdGuardHome 的上游。
mosdns 作为 AdGuardHome 的上游备用服务器。
openclash 中本地 DNS 劫持设置为停用，当 openclash 运行时，openclash 作为 AdGuardHome 的上游主要服务器生效。
openclash 复写设置中，启用自定义上游 DNS 服务器，并指定 mosdns 为唯一上游。

如此一来，最终的 DNS 请求由 mosdns 发出，请求会经过 openclash 分流，按请求的 DNS 服务器直连或走代理。DNS 请求整个流程如下：

flowchart TB
A((电脑/手机\n浏览器)) -- DNS 请求 --> B[路由器\nAdGuardHome]
B --> C[路由器\nopenclash DNS]
C --> D[路由器\nmosdns]
D --> E[路由器\nopenclash Proxy Client]
E -- 国外 DNS 服务器\n屏蔽ipv6应答 --> F[服务器\nProxy Server]
E -- 国内 DNS 服务器 --> N(Internet)
F --> N

如此，便实现了

AdGuardHome 的管控和广告过滤
mosdns 分流 DNS，并屏蔽非中国大陆 IP 的 IPV6 应答
DNS 经过 clash 内核，迎合其 mapping 机制

配置示例

👍 再次提醒，文章开始处的固件，所有配置已内置哦！

dnsmasq

AdGuardHome

openclash

注意删除默认的DNS配置，仅保留这一个即可。

mosdns

使用自定义配置，由于使用了 mmdb geoip 匹配，mosdns 必须使用 alecthw 修改版。

PS: 以下配置中的 cn-white.txt，来自项目 chnlist，我编译的固件已内置并设置自动更新，其他固件需要手动下载。

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137


# 白名单模式
# 白名单 或 境外查询IP是geoip:CN，走国内

log:
 level: info
 file: "/tmp/mosdns.log"

plugins:
 # mmdb
 - tag: country
 type: mmdb
 args:
 file: "/etc/mosdns/rule/Country.mmdb"

 # cn ip
 - tag: whitelist
 type: domain_set
 args:
 files:
 - "/etc/mosdns/rule/cn-white.txt"

 # 广告域名列表 geosite:category-ads-all
 - tag: geosite_ads
 type: domain_set
 args:
 files:
 - "/etc/mosdns/rule/reject-list.txt"

 # hosts
 - tag: hosts
 type: hosts
 args:
 entries:
 - "localhost 127.0.0.1"

 # 缓存
 - tag: cache
 type: cache
 args:
 size: 20480
 lazy_cache_ttl: 86400
 dump_file: "/etc/mosdns/cache.dump"
 dump_interval: 1800

 # 查询境外DNS
 - tag: forward_global
 type: forward
 args:
 concurrent: 3
 upstreams:
 - tag: Google_dot
 addr: "tls://8.8.4.4"
 enable_pipeline: true
 - tag: Quad9_dot
 addr: "tls://9.9.9.9"
 enable_pipeline: true
 - tag: Cloudflare_dot
 addr: "tls://1.0.0.1"
 enable_pipeline: true
 - tag: OpenDNS_dot
 addr: "tls://208.67.222.222"
 enable_pipeline: true

 # 查询国内DNS
 - tag: forward_china
 type: forward
 args:
 concurrent: 2
 upstreams:
 - tag: Ali_dot
 addr: "tls://223.5.5.5"
 enable_pipeline: true
 - tag: DNSPod_dot
 addr: "tls://120.53.53.53"
 enable_pipeline: true

 # 境外解析，优先IPV4
 - tag: global_sequence
 type: sequence
 args:
 - matches: qname $whitelist
 exec: return
 - exec: prefer_ipv4
 - exec: $forward_global
 - matches: resp_ip_mmdb $country CN
 exec: drop_resp

 # 国内解析，不设置过滤，作为fallback
 - tag: china_sequence
 type: sequence
 args:
 - exec: $forward_china

 # 屏蔽解析
 - tag: reject_sequence
 type: sequence
 args:
 - matches: qname $geosite_ads
 exec: reject 3
 - matches: qtype 12
 exec: reject 3
 # - matches: qtype 65
 # exec: reject 3

 # 如果 primary 抛出错误，或返回但没有应答，或在 threshold 毫秒内无响应，则执行 secondary。
 # 所以在 primary 中不能用 rejcet，reject 也是应答
 # Fallback
 - tag: fallback
 type: fallback
 args:
 primary: global_sequence
 secondary: china_sequence
 threshold: 150
 always_standby: true

 - tag: main_sequence
 type: sequence
 args:
 - exec: $reject_sequence

 - exec: $hosts
 - matches: has_resp
 exec: accept

 - exec: $cache
 - matches: has_resp
 exec: accept

 - exec: $fallback
 - matches: has_resp
 exec: ttl 10-600

 - tag: udp_server
 type: udp_server
 args:
 entry: main_sequence
 listen: 0.0.0.0:5335

防火墙，劫持 53 端口（可选）

防止客户端自定义 DNS 服务器，从而绕过管控，可以在防火墙自定义规则配置劫持 53 端口 UDP 和 UDP。

但是，如果客户端配置加密 DNS 就没法劫持。如果要限制，对于 DoT 和 DoQ 可以屏蔽 853 端口禁用，但是 DoH 就完全没办法。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


# 同时支持 iptables 和 ip6tables
dns_redirect() {
 cmd="-t nat -A PREROUTING -p $1 --dport 53 -j REDIRECT --to-ports 53"
 chk=$(echo $cmd | sed -e 's/-A/-C/g')

 echo $cmd
 echo $chk

 $2 $chk
 ret=$?
 if [ "$ret" -ne 0 ]; then
 $2 $cmd
 fi
}

dns_redirect udp iptables
dns_redirect tcp iptables
[ -n "$(command -v ip6tables)" ] && dns_redirect udp ip6tables
[ -n "$(command -v ip6tables)" ] && dns_redirect tcp ip6tables

作为主路由时使用的特别说明

主路由 DHCP 服务器

DHCP 服务器设置中的 DNS 服务器，务必设置成旁路由，不要设置公共 DNS。

主路由 IPv6

不通告 IPv6 DNS 服务器，DNS 解析全部走 IPv4。
通告 DNS 服务器为路由器自己，即路由器的链路本地地址。

作为旁路由时使用的特别说明

旁路由 DHCP 服务器

一般情况下建议禁用旁路由 DHCP 服务器，在主路由配置 DHCP 服务器，把网关设置成旁路由，或者通过静态分配指定不同客户端指向不同网关。

DHCP 服务器设置中的 DNS 服务器，务必设置成旁路由，不要设置公共 DNS。

旁路由 IPv6

主路由上请勿通告 IPv6 DNS 服务器（这里指 IPv6 地址的 DNS 服务器，如 2400:3200::1）。通过 IPv4 地址的 DNS 服务器解析域名，一样可以拿到 AAAA 记录，所以没必要开启 IPv6 地址的 DNS 服务器，开启反而会增加配置难度，影响 DNS 分流，并可能造成 DNS 泄露。

如下查询示例，可以看到，通过 IPv4 DNS 服务器可以获得 IPv6 地址。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


$ nslookup www.iqiyi.com 223.5.5.5
Server: 223.5.5.5
Address: 223.5.5.5#53

Non-authoritative answer:
www.iqiyi.com canonical name = ipv6-static.dns.iqiyi.com.
Name: ipv6-static.dns.iqiyi.com
Address: 101.227.12.45
Name: ipv6-static.dns.iqiyi.com
Address: 101.227.12.41
Name: ipv6-static.dns.iqiyi.com
Address: 240e:e1:a400:1c::22
Name: ipv6-static.dns.iqiyi.com
Address: 240e:e1:a400:1c::21

Openwrt、iKuai、RouterOS 都是支持不通告 IPv6 DNS 的。如果你的主路由不支持，IPv6 DNS 可以填个无效地址，如 ::1。

手把手教你科学上网 —— 手机篇（sing-box）

Thu, 06 Aug 2026 10:16:19 +0800

手机科学上网需要些什么

一部手机（废话）
机场/梯子，术语叫代理、VPN，推荐购买云图机场
客户端软件，文中使用 sing-box

打个比喻，客户端软件是车，机场/梯子是路，两个都有了才能跑。

说在前面

机场/梯子肯定是要花钱买的！这里给你推荐，但不售卖。
Apple iOS 端安装需要外区账号，如果你没本事注册，就花几块钱买，后面会推荐购买平台。

具体步骤

不讲原理，只说怎么用。原理可以去参考本博客其他文章。

1. 购买机场/梯子

推荐购买：云图机场

其他机场可能需要订阅转换才能在 sing-box 上使用。

以下内容是以云图机场为例，具体步骤大同小异。

注册后，选择商店购买，不同套餐一般都是流量不一样，按需购买。购买时间越长一般优惠越大，切合自己需求和经济能力购买。还有一次性流量不显示套餐，比较适合偶尔翻墙的人。

购买完成后，回到仪表盘，点击一键订阅，再点击复制订阅地址，保留好这个地址备用，一会儿再回来复制也行。

2. 安装客户端软件

本文推荐使用的是 sing-box，简单好用。

安卓可以直接下载安装，iOS 需要外区账号。

Android 安装

Github 官方下载地址：https://github.com/SagerNet/sing-box/releases

请选择 SFA-{版本号}-universal.apk 下载，因为不是从商店安装的，手机可能会提示风险，一直允许就行。

如果下载太慢，可以使用如下下载加速网站，右键复制链接后，贴到输入框里点击下载。

Github 下载加速：https://mirror.ghproxy.com/

iOS 安装

由于 iOS 的封闭性，软件只能从 APP Store 安装，然而由于某些不可说的原因，国区商店是没有的，所以只能换非国区下载。

准备苹果外区账号

如果你有外区账号，可以跳过本节。

如果你没有外区账号，自行注册外区账号比较复杂，推荐花￥6.6 直接购买一个，地区推荐选择美国。

苹果外区账号购买：https://www.bigplayers.com/shop/detail?id=77&inviteCode=A9245220

用外区账号登录 APP Store，务必按下图操作，否则有导致手机被锁的风险：

一定不要使用购买的账号登录 iCloud ！！！ 一定不要使用购买的账号登录 iCloud ！！！ 一定不要使用购买的账号登录 iCloud ！！！

设置-->头像-->媒体购买与订阅
点击媒体购买与订阅选择退出登录
再点击一次击媒体购买与订阅选择不是xxx，输入账号登录

安装 sing-box

回到 APP Store，直接搜索 sing-box 安装即可。

注意看下 Logo 和开发商，别下错了。

3. 使用 sing-box

iOS 和 Android 的界面有稍许差别。

Android

最下面选择 Profiles，点击右下角添加图标，选择 Create Manually。然后 Type 选择 Remote，Name 可以任意填，URL 填入前面购买获取的订阅地址，最后点击 Create。

回到 Dashboard，选择刚刚创建的 Profile，点击右下角的三角启动。

首次启动会提示添加 VPN，按提示允许即可。第一次启动时间较长，耐心等待一会儿，直到出现下面第二张图的界面即可使用了。

启动后默认是规则模式（Rule，国内外自动分流，可以一直开着不关闭）。节点是自动选择，也可按需手动选择。

iOS

iOS 需要先点击 Install Network Extension 添加 VPN 到系统，如下图。

最下面选择 Profiles，点击 Create。然后 Type 选择 Remote，Name 可以任意填，URL 填入前面购买获取的订阅地址，最后点击 Create。

第一次启动时间较长，耐心等待一会儿，直到出现下面第二章图的界面即可使用了。

启动后默认是规则模式（Rule，国内外自动分流，可以一直开着不关闭）。节点是自动选择，也可按需手动选择。

接下来可以干什么

至此，Google、Youtube、Telegram 等等你都可以访问了，总之，自由了！

最后

有时候因为特殊原因，机场会刷新订阅地址，如果发现无法使用或者更新不了订阅，请到机场仪表盘重新复制新地址。

👉: 看境外流媒体（Netflix、Disney+ 等）的详细教程

境外流媒体观看简单指南

Sun, 19 May 2024 11:21:12 +0800

🔥🔥🔥：稳定好用的机场/梯子 TAG 全球250+节点、99+流媒体解锁，更多参考机场推荐

Nextflix, Disney+ 和 Prime Vedio 是有中文字幕的，推荐在新加坡区观看，账号本身不分区，科学上网节点选择新加坡即可。

网络环境

国外的大部分流媒体厂商，基本都禁止了大陆 IP，并且会检测 VPN。所以，一个能解锁流媒体的 VPN 是必备条件。

目前大部分机场，基本都解锁了 Nextflix，其他的流媒体不是都解锁，购买时请注意下说明。机场推荐。

手机科学上网教程可以参考：手把手教你科学上网 —— 手机篇（sing-box）

路由器科学上网教程可以参考：AGuardHome + mosdns + openclash 打造自由的家庭/办公室网络

账号

Nextflix 已经清退了大部分低价区用户，包括土区也无法使用了，在高价区自己订阅不划算，建议直接购买合租账号。

这里推荐一个本人使用快四年的一个合租平台：奈飞小铺

都是平台作为号主的自营车，稳定可靠，9 折优惠码: letsfuckgfw

客户端

网页观看也是可以的，直截了当。

iOS

iOS 是需要外区账号的，获取外区账号可以参考：手把手教你科学上网/准备外区账号。

使用外区账号下载对应客户端，用购买的合租账号登录即可。

友情提醒，千万别用购买的账号登录 iCloud，否则有手机被锁的风险！

安卓

1. Google Play 商店安装

推荐方式，先安装谷歌框架和 Google Play，然后在 Play 商店中安装。

各个品牌手机安装谷歌框架，在 B 站都有教程，自己去搜下。

2. APK 安装

YouTube 和 Nextflix APK 安装后打开软件，可能还会提示需要谷歌框架。

下载 APK 可以使用 APKPure、APKMirror 等。

电视端

Apple TV

同 iOS 手机端一样，需要外区账号，且激活设备时必须使用外区账号，否则没有 APP Store。因此，如果要使用 Apple TV，建议注册一个自己的外区账号。

Apple TV 无法安装国内视频平台软件。

当然，决定买 Apple TV 的时候，所有的问题应该都考虑到了。

安卓盒子

国产盒子看 Youtube 可以安装 SmartTube。

国产电视盒子由于没有 Netflix 认证，即使安装了也看不了高清。

所以建议直接购买境外版的电视盒子，通过 APK 安装国内视频平台软件，可以用得比较舒适。

盒子的选择上推荐：

Nvidia Shield TV: 有点贵，但是国内使用体验很好，虽然好几年没有出新，但是性能仍然过剩
Chromecast GoogleTV
小米盒子国际版
FireTV

这些开机需要通过谷歌账号激活，注册谷歌账号还是很容易的，但是此时还没进入系统不能安装软件，需要路由器能够科学上网才能正常激活。实在搞不定，购买的时候可以让店家帮忙激活，到手换成自己账号即可。

Vxlan 是否能让 GFW 放松一点？Vxlan 搭建科学上网实验

Fri, 01 Dec 2023 22:09:55 +0800

🔥🔥🔥：稳定好用的机场/梯子 TAG 全球250+节点、99+流媒体解锁，更多参考机场推荐

VXLAN（Virtual eXtensible Local Area Network，虚拟扩展局域网），是由 IETF 定义的 NVO3（Network Virtualization over Layer 3）标准技术之一，是对传统 VLAN 协议的一种扩展。VXLAN 的特点是将 L2 的以太帧封装到 UDP 报文（即 L2 over L4）中，并在 L3 网络中传输。

VXLAN 本质上是一种隧道技术，在源网络设备与目的网络设备之间的 IP 网络上，建立一条逻辑隧道，将用户侧报文经过特定的封装后通过这条隧道转发。

关于 VXLAN，这里不展开讲，只需要知道两点：

它是一种隧道技术
它在公有云中被广泛应用

更深入的了解，可以参考什么是 VXLAN。

既然是隧道，就可以用它来整活儿。由于被公有云广泛应用，猜测 GFW 对它的审查应该有所放松。记得曾经在某公司云服务的一场会议上，听其高管讲，共有云的跨国流量里，80% 的流量都是非法业务。

既如此，如果用 VXLAN 来科学上网，效果会不会不错？

1
2
3


先说结论吧：
- 直接把 VXLAN 作为隧道翻墙是不可行的，经测试，由于 VXLAN 并不加密，GFW 的审查应该是会剥离 VXLAN 头部直接审查内部报文。
- 所以，即使经过了 VXLAN 隧道，把 VPS 作为网关，访问情况和国内直接访问一致。

网络规划

整体思路就是旁路由的思路，直接上图：

划重点：

VXLAN 是要双向配置的，所以本地和远端都必须是公网IP。
本地使用 RouterOS 7，当时起个 Liunx 也可以，用 ROS 主要是为了方便配置策略路由来分流。

开始配置

以下涉及到公网的 IP 的，使用 x 替换了一部分，复制命令时请自行替换。

这里是新拉起了一个 Linode VPS 作为远端服务器，系统使用的是 Ubuntu 22.04。

VPS 准备工作

1. 禁用防火墙

既然是实验，先禁用防火墙，避免其可能的影响。

1
2


systemctl stop ufw.service
systemctl disable ufw.service

2. 开启转发

1

vim /etc/sysctl.conf

取消以下两行的注释

1
2


net.ipv4.ip_forward=1
net.ipv6.conf.all.forwarding=1

再执行

1

sysctl -p

RouterOS 准备工作

RouterOS 的配置就不截 winbox 配置界面的图了，命令行和界面基本都能对上，直接贴命令行了。

1. IP服务的安全策略先加上，避免被爆破，导致控制台疯狂输出登录失败日志

1
2
3
4
5
6
7
8


/ip service set telnet address=10.0.0.0/8,172.16.0.0/12,192.168.0.0/16
/ip service set ftp address=10.0.0.0/8,172.16.0.0/12,192.168.0.0/16
/ip service set www address=10.0.0.0/8,172.16.0.0/12,192.168.0.0/16
/ip service set ssh address=10.0.0.0/8,172.16.0.0/12,192.168.0.0/16
/ip service set www-ssl address=10.0.0.0/8,172.16.0.0/12,192.168.0.0/16
/ip service set api address=10.0.0.0/8,172.16.0.0/12,192.168.0.0/16
/ip service set winbox address=10.0.0.0/8,172.16.0.0/12,192.168.0.0/16
/ip service set api-ssl address=10.0.0.0/8,172.16.0.0/12,192.168.0.0/16

2. 配置上网，这里是 PPPOE 拨号

修改下接口名字

1
2


/interface ethernet set [ find default-name=ether1 ] name=ether1-wan
/interface ethernet set [ find default-name=ether2 ] name=ether2-lan

配置 PPPOE

1

/interface pppoe-client add interface=ether2-wan name=pppoe-wan user=<user> password=<password>

配置 DNS

1

/ip dns set allow-remote-requests=yes servers=223.5.5.5,114.114.114.114

配置检查

本地 ROS ping VPS

1
2
3
4
5
6


[root@rostest] > ping 172.233.142.x
 SEQ HOST SIZE TTL TIME STATUS
 0 172.233.142.x 56 47 184ms440us
 1 172.233.142.x 56 47 184ms340us
 2 172.233.142.x 56 47 184ms235us
 sent=3 received=3 packet-loss=0% min-rtt=184ms235us avg-rtt=184ms338us max-rtt=184ms440u

可以看到网络是通的。

VPS ping 本地 ROS 的公网 IP

1
2
3
4
5
6
7
8
9


root@localhost:~# ping 121.229.x.x
PING 121.229.x.x (121.229.x.x) 56(84) bytes of data.
64 bytes from 121.229.x.x: icmp_seq=1 ttl=40 time=186 ms
64 bytes from 121.229.x.x: icmp_seq=2 ttl=40 time=186 ms
64 bytes from 121.229.x.x: icmp_seq=3 ttl=40 time=186 ms

--- 121.229.x.x ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2002ms
rtt min/avg/max/mdev = 185.582/185.879/186.073/0.213 ms

可以看到网络是通的。

VXLAN: VPS 配置

以下分别为命令行和 netplan 的配置。

命令行

1
2
3
4
5
6
7
8


ip link add vxlan0 type vxlan \
 id 3000 \
 remote 121.229.x.x \
 dstport 4789 \
 local 172.233.142.x \
 dev eth0
ip link set vxlan0 up
ip addr add 192.168.99.2/24 dev vxlan0

查看 vxlan0 接口

1
2
3
4
5
6
7
8
9


root@localhost:~# ifconfig
vxlan0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1450
 inet 192.168.99.2 netmask 255.255.255.0 broadcast 0.0.0.0
 inet6 fe80::ec90:6ff:fe88:372d prefixlen 64 scopeid 0x20<link>
 ether ee:90:06:88:37:2d txqueuelen 1000 (Ethernet)
 RX packets 0 bytes 0 (0.0 B)
 RX errors 0 dropped 0 overruns 0 frame 0
 TX packets 8 bytes 544 (544.0 B)
 TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0

查看路由表，多了下面的内容，所有目的地址是 192.168.99.0/24 网络包要通过 vxlan0 转发：

1
2


root@localhost:~# ip route show
192.168.99.0/24 dev vxlan0 proto kernel scope link src 192.168.99.2

查看 fdb。这个表项的意思是，默认的 VTEP 对端地址为 121.229.x.x。换句话说，原始报文经过 vxlan0 后会被内核添加上 VXLAN 头部，而外部 UDP 头的目的 IP 地址会被冠上 121.229.x.x。

1
2


root@localhost:~# bridge fdb show
00:00:00:00:00:00 dev vxlan0 dst 121.229.x.x via eth0 self permanent

netplan 配置文件

命令行配置重启后会失效，放到 netplan 里配置持久化。

/etc/netplan/99-vxlan-config.yaml

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


network:
 version: 2
 tunnels:
 vxlan0:
 mode: vxlan
 local: 172.233.142.x
 remote: 121.229.x.x
 id: 3000
 port: 4789
 addresses:
 - 192.168.99.2/24

VXLAN: 本地 ROS 配置

先创建 VXLAN，然后再把 VXLAN 接口和 LAN 口桥接。

创建 VXLAN

1
2


/interface vxlan add name=vxlan0 port=4789 vni=3000
/interface vxlan vteps add interface=vxlan0 remote-ip=172.233.142.x

桥接 vxlan0 和 ether2-lan

1
2
3


/interface bridge add name=br-lan
/interface bridge port add bridge=br-lan interface=ether2-lan
/interface bridge port add bridge=br-lan interface=vxlan0

br-lan 配置 IP

1

/ip address add address=192.168.99.1/24 interface=br-lan network=192.168.99.0

这里配置的 IP 和 VPS 上给 vxlan0 接口配置的 IP 是相同网段的。

测试 VXLAN 隧道

在 VPS 上 ping ROS 的 br-lan 接口的 IP

1
2
3
4
5
6
7
8
9


root@localhost:~# ping 192.168.99.1
PING 192.168.99.1 (192.168.99.1) 56(84) bytes of data.
64 bytes from 192.168.99.1: icmp_seq=1 ttl=64 time=144 ms
64 bytes from 192.168.99.1: icmp_seq=2 ttl=64 time=144 ms
64 bytes from 192.168.99.1: icmp_seq=3 ttl=64 time=144 ms

--- 192.168.99.1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2003ms
rtt min/avg/max/mdev = 144.359/144.400/144.446/0.035 ms

在 ROS 上 ping VPS 的 vxlan0 接口的 IP

1
2
3
4
5
6


[root@rostest] > ping 192.168.99.2
 SEQ HOST SIZE TTL TIME STATUS
 0 192.168.99.2 56 64 144ms271us
 1 192.168.99.2 56 64 144ms647us
 2 192.168.99.2 56 64 144ms309us
 sent=3 received=3 packet-loss=0% min-rtt=144ms271us g-rtt=144ms409us max-rtt=144ms647us

可以看到，VXLAN 已经互通了。

在 VPS 上再查看一下 fdb，可以看到，本地网络的一些 MAC 地址已经学习过来了，摘取了部分：

1
2
3
4


00:00:00:00:00:00 dev vxlan0 dst 121.229.x.x self permanent
ac:82:26:xx:xx:xx dev vxlan0 dst 121.229.x.x self
26:99:ac:xx:xx:xx dev vxlan0 dst 121.229.x.x self
98:3f:60:xx:xx:xx dev vxlan0 dst 121.229.x.x self

在 VPS 上配置 snat

源地址 NAT 不多说了，不明白的自己查。

1
2
3
4
5
6


iptables -t nat \
 -A POSTROUTING \
 -s 192.168.99.0/24 \
 -o eth0 \
 -j SNAT \
 --to-source 172.233.142.x

配置完查看下，确保配置成功

1
2
3
4


root@localhost:~# iptables -nL -t nat
Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
SNAT all -- 192.168.99.0/24 0.0.0.0/0 to:172.233.142.x

PC 上网测试

把本地电脑的网络配置成：

地址: 192.168.99.200
掩码: 255.255.255.0
网关: 192.168.99.2
DNS: 8.8.8.8

在 VPS 上 ping 一下 192.168.99.200

1
2
3
4
5
6
7
8
9


root@localhost:~# ping 192.168.99.200
PING 192.168.99.200 (192.168.99.200) 56(84) bytes of data.
64 bytes from 192.168.99.200: icmp_seq=1 ttl=128 time=145 ms
64 bytes from 192.168.99.200: icmp_seq=2 ttl=128 time=144 ms
64 bytes from 192.168.99.200: icmp_seq=3 ttl=128 time=143 ms

--- 192.168.99.200 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 1998ms
rtt min/avg/max/mdev = 143.159/144.091/144.858/0.703 ms

可以看到，VPS 和本地 PC 已经连通，并且还是相同网段的二层域。

打开浏览器，打开 https://ip.skk.moe/ 测试下。

从图中可知，IP 地址已经是 VPS 的公网IP，但是访问阻断情况和国内直接访问一致，并且还额外导致百度无法访问。

再次测试，例如 Apple 等未被 GFW 封锁的网站都是可以正常访问的。

由此可见：由于 VXLAN 并不加密，GFW 的审查应该是会剥离 VXLAN 头部直接审查内部报文，所以访问阻断的结果和国内一致。

结论

GFW 对 VXLAN 并不会放松审查，但是猜测：VXLAN 报文中含有被阻断的域名、IP，并不会直接导致 GFW 封锁 VPS 的 IP。
由第1点，或许可以采用 VXLAN 报文作为外层包装，从而达到保护 VPS IP 的目的。毕竟各大机场基本都是通过国内公有云中转，而中转流量很大一部分应该跑在 VXLAN 之上。
VXLAN 对性能的损失非常小，但由于 VXLAN 的配置需要双向公网 IP，没有公网 IP 的情况下，使用起来有两个思路：
1. 作为外层包装协议，并不实际创建 VXLAN 隧道；
2. 使用国内公有云中转，国内外 VPS 直接配置 VXLAN 隧道；