China VPN Guide

技术与隐私

协议原理、GFW 封锁机制、DNS 泄漏与隐私保护知识。

  • 技术与隐私

    NPTv6：前缀调整如何保持校验和

    解释实验性的 NPTv6 如何把内部 IPv6 前缀换成外部前缀。长度不同时，较短一侧用 0 补齐，再在地址另一个 16 位上做补码调整，使传输层不必改头去修校验和。它不映射端口。

  • 技术与隐私

    协议 41：配置隧道如何封装 IPv6

    解释配置隧道如何把整份 IPv6 包放进 IPv4，协议号写 41，以及静态 MTU 为何应当取 1280。解封装前必须核对入口的 IPv4 源地址。这份封装本身不加密载荷。

  • 技术与隐私

    TCP 用户超时：没有确认时何时放弃

    解释 TCP 用户超时是未确认数据最多留多久，到期就放弃连接，以及种类 28 的选项如何把这个时限建议给对端。G 位决定单位是秒还是分钟。它不改写重传超时。

  • 技术与隐私

    Geneve：选项长度写在哪

    解释 Geneve 固定头是 8 字节，选项总长以 4 字节为单位写在 Opt Len。版本不是 0 时，隧道端点必须丢掉。目的端口默认 6081，且两端不得对调。这份头本身不加密。

  • 技术与隐私

    唯一本地地址：全局 ID 如何取出

    解释 fc00::/7 里 L 位为 1 时，前缀如何落在 fd00::/8，以及 40 位全局 ID 为何不得顺序分配。默认范围是全局的，可路由性限于站点和明确约定。登记表把全球可达标成 False。

  • 技术与隐私

    TCP 校验和：全零仍要核验

    解释 TCP 校验和盖住伪首部、TCP 头和数据，以及全 0 为什么不能读成没算。发送方必须生成，接收方必须核验。算出 0 要不要改成全 1，这份规范没有另写。这不是对某一隧道实现的测量。

  • 技术与隐私

    IPv6 临时地址：前缀上如何轮换

    解释主机如何为路由器通告里 A 位置位的前缀生成临时地址。默认首选寿命是 1 天，有效寿命是 2 天。地址弃用时必须再生成一个；若这次通告把首选寿命写成 0，则不得因此再生成。

  • 技术与隐私

    TCP 零窗口：窗口为零时如何探测

    解释接收窗口为 0 时，发送方为何仍要探测。探测必须被支持。第一次应当等过当前的重传超时，此后间隔应当指数加长。只要对端继续确认，连接就必须保持打开。这和 TCP 保活不是同一只钟。

  • 技术与隐私

    UDP 校验和：何时可以为零

    解释 UDP 校验和盖住哪些字段，以及发出全 0 在 IPv4 和 IPv6 里各表示什么。IPv6 默认要把算出的 0 改成 FFFF，并丢掉收到的 0。只有隧道为特定端口打开零校验和模式，才进入另一套规则。

  • 技术与隐私

    PPPoE：发现阶段如何得到会话号

    解释 PPPoE 如何用四步发现得到会话号，以及会话阶段的以太类型为何换成 0x8864。没有更大载荷标签时，PPP 载荷不得大于 1492。这不是对某一家宽带的测量。

  • 技术与隐私

    TCP 重传超时：没有确认时等多久

    解释 TCP 在没有确认时如何计算重传超时。尚未测到往返时应当从 1 秒起，也可以更长。握手若因 SYN 超时重传过，数据阶段必须把超时重新初始化为 3 秒。

  • 技术与隐私

    VXLAN：VNI 写在哪一层头里

    解释 VXLAN 的 24 位网络标识写在哪 8 个字节里，以及外层 UDP 目的端口为何默认是 4789。这份封装不加密内层帧。现行文本仍是 RFC 7348，取代它的草案尚未成为 RFC。

  • 技术与隐私

    DHCPv6：地址和前缀从哪一次交换来

    解释 DHCPv6 如何用征求、通告、请求和应答取得地址或前缀，以及 T1、T2 各在何时再去联系服务器。客户机把报文发往 ff02::1:2。隧道接口上的地址不一定来自这次交换。

  • 技术与隐私

    邻居发现与 ARP：链路地址从哪来

    解释 IPv6 邻居请求如何取得下一跳的链路地址，以及以太网上的 ARP 请求、探测和宣布各填哪一个地址。跳数不是 255 的邻居报文必须丢掉。某一隧道实现会不会在虚拟链路上发送它们，本文没有测量。

  • 技术与隐私

    TCP 快速打开：数据为何写进 SYN

    解释 TCP 快速打开为何把数据放进 SYN，以及服务器发的饼干如何绑定当时的源地址。规范要求实现不得默认打开。饼干对不上时，服务器丢掉 SYN 里的数据，握手仍可继续。

  • 技术与隐私

    DHCP 租约：地址和网关从哪来

    解释 DHCPv4 如何用发现、提供、请求和确认把地址交出去，以及 T1、T2 和租期结束各触发哪一次续租。选项里的路由器和解析器只描述这一次应答。隧道接口上的地址不一定来自这份协议。

  • 技术与隐私

    IP-in-IP 与 GRE：多出来哪一层头

    解释 IP-in-IP 与 GRE 差在有没有单独的封装头，以及外层协议号和内层生存时间各在哪一步变化。两种封装本身都不加密载荷。GRE 的 Key 只标识流量，不做认证。

  • 技术与隐私

    TCP 的 TIME-WAIT：旧四元组何时放开

    解释 TCP 的 TIME-WAIT 为何在主动关闭后仍占着一对套接字，规范里的等待如何取值，以及旧的 FIN 为何会重新计时。UDP 外层没有这个状态。封装也不会清掉内层 TCP 的等待。

  • 技术与隐私

    IP 分片：谁拆开、在哪重组

    解释 IPv4 与 IPv6 如何把装不下的数据报拆成片，以及接收方凭标识和偏移拼回去。只有 IPv4 且 DF 为 0 时，路径上的路由器才可以再拆。封装之后，外层和内层都可能被拆。

  • 技术与隐私

    IPsec 传输模式与隧道模式

    解释 IPsec 传输模式与隧道模式差在保护到哪一截、外层地址属于谁。安全网关转发别人的包时要用隧道模式，另有两类例外。模式不决定哪些包进入安全关联。

  • 技术与隐私

    多路径 TCP：一条连接上的多条子流

    解释多路径 TCP 如何让一个应用套接字同时使用多条 TCP 子流。子流仍是普通 TCP，选项 Kind 30 里的子类型用来协商和编号。全隧道会把这些子流收进通往同一节点的外层封装。

  • 技术与隐私

    DNS 截断位：应答何时改走 TCP

    解释 DNS 报文头的 TC 位何时表示应答没装完，以及客户端为何不该把截断结果当完整答案。没有 EDNS 时 UDP 载荷上限是 512 字节。隧道封装本身不设置这一位。

  • 技术与隐私

    出口 NAPT：内层源地址何时被改写

    解释 NAPT 如何把多个内层地址和传输标识映射到对外地址。网站看到的源地址是这一步之后的结果。它和本机如何选源地址、运营商级 NAT、出口信誉不在同一层。

  • 技术与隐私

    IPv6 路由器通告：默认路由从哪来

    解释 IPv6 路由器通告如何在一条链路上提供默认路由器和前缀，以及无状态配置如何用前缀拼出地址。跳数不是 255 的通告会被丢掉。隧道接口不继承物理链路上已经收到的通告。

  • 技术与隐私

    Libreswan 是什么：pluto 与 IPsec

    说明 Libreswan 是 IKE 实现，守护进程叫 pluto，数据包由内核 IPsec 处理。文中并列首页、历史页和 v5.4.1 对起始年份与 GPL 用词的不同写法。

  • 技术与隐私

    NetBird 是什么：WireGuard 覆盖网络

    说明 NetBird 在 WireGuard 上加管理、信令和中继，而不是另写一种隧道协议。文中核对 v0.80.0 的 BSD 与 AGPL 分工、2022 年改名，以及文档里的直连与中继。

  • 技术与隐私

    ZeroTier 是什么：VL1 与虚拟以太网

    说明 ZeroTier 用自有的 VL1 与 VL2 模拟以太网，而不是 IPsec 或 WireGuard。文中按标签 1.16.2 写明节点代码为 MPL-2.0，控制器在 nonfree/ 下为 source-available。

  • 技术与隐私

    Headscale 是什么：自托管控制服务器

    说明 Headscale 是 Tailscale 控制服务器的自托管实现，数据面仍是客户端上的 WireGuard。文中核对三条款 BSD 许可证、维护者署名，以及 v0.29.4 功能清单里勾上和勾掉的项目。

  • 技术与隐私

    OpenConnect 与 ocserv：谁做客户端

    说明 OpenConnect 是多协议 SSL VPN 客户端，ocserv 是它的服务端。文中核对 LGPL 与 GPL 的写法、2009 与 2013 两个起点，以及协议草案为何仍不是 RFC。

  • 技术与隐私

    Xray 是什么：代理平台而不是 VPN

    说明 Xray-core 是代理平台：MPL 2.0、从 v2ray-core 的哪一次提交分出，以及 2026-10-11 文档索引里的入站、出站与传输名字。文中分开 Latest 与预发布标签，不写配置。

  • 技术与隐私

    Nebula 是什么：基于证书的覆盖网络

    说明 Nebula 是 Slack 于 2019 年开源的覆盖网络，而不是代理。文中核对 MIT 许可证、lighthouse 与证书模型，以及 v1.11.2 源码里的 Noise IX 与默认 cipher 字符串。

  • 技术与隐私

    sing-box 是什么项目：许可、维护与协议面

    说明 sing-box 作为通用代理平台的项目身份：谁在维护、许可证如何写成、v1.14.3 文档列出哪些入口与协议，以及它和 VPN 守护进程的分工。架构管线见站内已有专文。

  • 技术与隐私

    strongSwan 是什么：IKE 与 IPsec 实现

    从 About 页、LICENSE 和现行文档整理 strongSwan：它是用户态 IKE 守护进程，在 Linux 上默认把 ESP 交给内核 IPsec。文中写明 2004 与 2005 两种起始年份，以及 GPL 表述不一致之处。

  • 技术与隐私

    路径 MTU 探包：用确认试出包长

    解释分组层如何用探包是否得到确认，试出路径上能通过的包长。经典做法依赖 ICMP 包太大。隧道入口若没有把这条差错交回，内层发送方就看不到缩小提示。

  • 技术与隐私

    TCP SACK：丢了哪一段如何告知

    解释选择性确认如何在累积确认号之外，用数据块报告已经排队的不连续字节。选项要在 SYN 里允许。隧道可以让乱序更明显，但不负责打开这个选项。

  • 技术与隐私

    TLS 会话票据与 0-RTT：少一轮的代价

    解释 TLS 1.3 如何用会话票据恢复连接，以及 0-RTT 为何能在首包里带上早期数据。少掉的是应用握手的一轮。协议不向客户端保证这段数据的前向保密，重放限制也不在 VPN 的报文窗口里。

  • 技术与隐私

    DNS 搜索列表：短名字如何被补全

    解释搜索列表如何把相对名字补成完整查询，以及点的个数如何决定先查原名。VPN 下发的域名后缀有时只用来选择解析器。补全发生在本机，隧道不改写已经发出的查询名。

  • 技术与隐私

    Nagle 与延迟确认：小包为何互相等

    解释 Nagle 如何在仍有数据未确认时攒下不足一个满段的新数据，以及延迟确认为何可以再等一段时间。两条规则都在 TCP 端点上。隧道把往返拉长，不负责打开它们。

  • 技术与隐私

    源地址选择：多地址时先用哪一个

    解释 RFC 6724 如何在已经选好出接口之后，为 IPv6 目的地址挑一个源地址。VPN 先改路由，从而改出接口。网站看到的公网地址还要看出口有没有再做地址转换。

  • 技术与隐私

    查询名最小化：权威服务器看见哪一段

    解释查询名最小化如何让递归解析器向尚未负责该名字的权威服务器少送标签。客户端交给解析器的仍是完整名字。VPN 换的是这一问发给谁，不代替那台解析器是否把名字截短，也不改写查询本身。

  • 技术与隐私

    TCP 时间戳：往返测量与序号回绕

    解释 TCP 时间戳如何用发送方自己的时钟取样往返，以及 PAWS 如何丢掉序号回绕后的旧段。两端的钟不必对齐。加密隧道不改写内层选项，测到的往返包含隧道中的时间，也包含出隧道之后的路径。

  • 技术与隐私

    TCP 窗口缩放：16 位窗口如何放大

    解释 TCP 窗口缩放如何在握手时约定位移，把 16 位窗口字段还原成更大的接收窗口。两边都没带上选项时，接收窗口停在 65535 字节。长往返因此会先碰到窗口除以往返这道上限。缩放不改变拥塞窗口。

  • 技术与隐私

    差分服务标记：隧道会保留 DSCP 吗

    解释 DSCP 是 IP 头里的六位逐跳标记，不是带宽预留。统一模型在拆包时把外层码点抄回内层，管道模型则保留内层原值。加密隧道的中间路由器只能看见外层。外层被改写时，这一段不会按内层的语音或批量标记排队。

  • 技术与隐私

    等价多路径：隧道流量如何被散列

    解释等价多路径如何在多条代价相同的下一跳之间按报文头散列。一次远程接入会话若只有一个外层五元组，中间路由器会把整条隧道送上其中一条。这和任播按路由度量选落点不是同一件事。按包轮询则会打乱顺序。

  • 技术与隐私

    显式拥塞通知：隧道如何对待 ECN

    解释 ECN 如何用 IP 头里的两位标记拥塞，而不是先丢包。正常模式的隧道把这两位抄到外层，拆包时再把外层的 CE 合回内层。外层被清成 Not-ECT 时，隧道这一段的拥塞只剩丢包和排队。

  • 技术与隐私

    DNS 缓存与 VPN：旧答案何时还在用

    解释 DNS 缓存如何按 TTL 保留已经拿到的解析结果，以及系统、浏览器和递归解析器为何各有一份。切换 VPN 只改变下一次查询问谁，TTL 到期前仍可能继续使用旧地址、负缓存，或按当时出口选出的 CDN 地址。

  • 技术与隐私

    VPN 里 Ping 与路由跟踪各看哪一段

    解释 ICMP 回显和路由跟踪的 TTL 探测各看到路径的哪一段。流量进隧道后，跟踪第三方地址通常从出口往后数；到 VPN 服务器自己的地址则多半仍走物理网卡。Ping 通只说明这种探测包有去有回，不表示网页路径健康。

  • 技术与隐私

    VPN 与证书吊销：OCSP 和 CRL 各查什么

    解释 CRL 与 OCSP 如何说明一张证书在到期前是否已被吊销，装订响应为何让客户端不必另连应答器。VPN 会改变客户端自己发出的查询从哪条路径出去，但隧道图标既不等于已经完成吊销检查，也分不清 good 和没查到。

  • 技术与隐私

    DNSSEC 与 VPN：签名校验为何失败

    解释 DNSSEC 如何用数字签名证明解析应答未被改写，以及它与 DoH、DoT 的加密传输各管一层。连上 VPN 后校验失败，常见是解析器开始验证、签名时间对不上或应答被截断，隧道图标本身不会给域名补上签名。

  • 技术与隐私

    NAT64 与 DNS64：纯 IPv6 到达 IPv4

    解释 DNS64 如何在没有可用 AAAA 时合成嵌着 IPv4 的地址，以及 NAT64 如何把发往该前缀的 IPv6 包译成 IPv4。VPN 只接管其中一族时，合成地址和真实 A 记录会走不同的下一跳。本文只讲机制。

  • 技术与隐私

    TCP MSS 钳制和 MTU 有何不同

    解释 TCP 最大段长度如何在握手时通告单段载荷上限，以及钳制为何改写握手报文里的这个数值。它和接口 MTU、路径 MTU 是三个数。钳制只影响之后新建的 TCP，既不测量整条路径，也不约束 UDP。

  • 技术与隐私

    任播是什么：同一 IP 为何出现在多地

    解释任播如何把同一个 IP 从多处宣告出去，路由按拓扑距离选一个落点。连上 VPN 后，解析器和部分网站的路径终点会随出口改变，这和地理库里的城市标签不是同一套数据。

  • 技术与隐私

    系统时间不准时 VPN 为何握手失败

    解释证书有效期如何用本机 UTC 时间判断，以及时钟偏差为何让依赖证书的 VPN 握手失败。并说明时区显示错误、WireGuard 的单调时间戳和密钥轮换断线各自对应的现象。

  • 技术与隐私

    VPN 双栈竞速：Happy Eyeballs 先连谁

    解释 RFC 8305 如何错开 IPv6 与 IPv4 的连接尝试。只接管一条栈的 VPN 下，页面最终走哪一侧，取决于这次竞速有没有在延迟内连上，而不是隧道图标是否已连接。

  • 技术与隐私

    VPN 重放保护是什么：序列号窗口

    解释 VPN 如何用递增的报文编号和接收窗口丢掉重复或过旧的数据包，对比 IPsec、WireGuard 与 OpenVPN 的做法，以及它与前向保密、密钥轮换和链路乱序之间的差别。

  • 技术与隐私

    EDNS Client Subnet 如何影响 CDN

    解释 EDNS 客户端子网如何让递归解析器把截短后的地址前缀交给权威服务器，以及在 VPN 下 CDN 按哪一段网络选点，取决于哪台解析器在附加该前缀，而不是只看隧道是否已连接。

  • 技术与隐私

    VPN 连上后为何找不到局域网设备

    解释组播 DNS 与服务发现为何通常跨不过三层 VPN。连上隧道后打印机、投屏或 NAS 消失时，应分开看组播是否仍在本地链路、局域网单播是否被送进隧道，以及系统有没有排除本地网络。

  • 技术与隐私

    VPN 密钥轮换是什么：重协商为何会断线

    解释长时间运行的 VPN 隧道如何按时间或流量定期更换会话密钥，对比 IKEv2、WireGuard 与 OpenVPN 的重协商方式，说明它与前向保密的关系，以及隧道运行一段时间后在重协商时刻断线的常见原因。

  • 技术与隐私

    基于策略与基于路由的 VPN 有何区别

    解释 IPsec 中基于策略的 VPN（按流量选择器与 SPD 决定加密）与基于路由的 VPN（按路由表把流量送进隧道接口）的工作方式，对比两者在多网段、动态路由与互通上的差异，并给出排障时的判断思路。

  • 技术与隐私

    VPN 分离 DNS 是什么：按域名选解析器

    解释分离 DNS（Split DNS）与水平分割 DNS（Split-horizon DNS）的区别，说明 VPN 连接后系统如何按域名后缀选择公司内网解析器或公共解析器，以及它与全局隧道、分流隧道和浏览器 DoH 叠加时的常见问题。

  • 技术与隐私

    VPN 与拥塞控制：CUBIC、BBR 和隧道

    解释 TCP 拥塞控制（CUBIC、BBR）如何根据丢包和延迟调整发送速度，加密隧道带来的额外 RTT、封装开销、嵌套重传与 ACK 延迟为何会放大这些机制的副作用，以及为何 VPN 单连接速度常低于测速带宽。

  • 技术与隐私

    VPN 预共享密钥与证书认证的区别

    解释 VPN 隧道建立时预共享密钥（PSK）与证书认证分别如何证明身份，对比两者在密钥泄露、离线破解、设备吊销和运维成本上的差异，并说明 IPsec、OpenVPN、WireGuard 各自采用的认证方式。

  • 技术与隐私

    TUN 与 TAP 虚拟网卡：三层与二层的区别

    解释 TUN 与 TAP 两类虚拟网卡分别工作在三层（IP 包）和二层（以太网帧）的差异，说明应用和系统各自能看到什么、哪些 VPN 协议与平台只支持 TUN，以及它们与全局代理、局域网桥接的关系。

  • 技术与隐私

    VPN 换不了浏览器指纹：它管什么不管什么

    解释 VPN 只改变网络出口 IP，而浏览器指纹由 User-Agent、屏幕参数、字体、Canvas 与 WebGL 渲染结果等设备特征组成，说明网站如何在 IP 变化后仍识别同一客户端，以及 VPN 覆盖与不覆盖的隐私范围。

  • 技术与隐私

    站点到站点 VPN 与远程接入 VPN 的区别

    解释站点到站点 VPN 与远程接入 VPN 在隧道端点、路由方式、认证对象和适用场景上的差异，说明分支机构互联与员工在外访问内网各该用哪种架构，以及两者如何在同一网络中并存。

  • 技术与隐私

    缓冲区膨胀：为何 VPN 测速快却体感卡

    解释缓冲区膨胀（bufferbloat）如何在链路满载时制造排队延迟，为何 VPN 测速带宽正常而通话、游戏和网页却变卡，并说明空闲与负载延迟的对比方法和 AQM 队列管理的基本概念。

  • 技术与隐私

    L2TP/IPsec 是什么：与新协议的定位差异

    解释 L2TP/IPsec 的协议栈组成：L2TP 负责承载 PPP、IPsec 负责加密，梳理它的标准化历史、端口与封装开销，并对比 IKEv2 与 WireGuard 在握手、移动切换和系统支持上的定位差异，以及它为何多用于兼容旧设备。

  • 技术与隐私

    HTTP 代理与 VPN 有何不同

    对比 HTTP/HTTPS 正向代理与 VPN 在工作层级、流量覆盖范围、DNS 解析位置与可见信息上的差异，解释 CONNECT 方法、系统代理与 PAC 的作用，并说明哪些应用会绕过代理、何时更适合用哪一种。

  • 技术与隐私

    CGNAT 是什么：为何别人连不进你的设备

    解释运营商级 NAT（CGNAT）的原理与常见地址段，说明它为何让家庭路由器上的端口映射失效、让自建 VPN 服务端无法从外网连入，并给出判断自己是否处于 CGNAT 之后的方法和排障方向。

  • 技术与隐私

    VPN 与 SSH 隧道有何不同

    对比 VPN 与 SSH 隧道在工作层级、流量覆盖范围、加密层与传输方式上的差异，说明本地转发、动态转发与整机隧道各自适合的运维和排障场景，并梳理把两者混为一谈时的常见误解。

  • 技术与隐私

    VPN 首次连接慢与吞吐量：别混为一谈

    解释 VPN 首次连接为何会慢：握手往返、密钥交换、DNS 冷缓存与路由建立各占多少时间，以及它与稳定传输时的吞吐量是两个指标，并说明如何公平地读测速结果、避免用一次体感评判节点。

  • 技术与隐私

    VPN 出口 IP 定位为何不准：地理库原理

    解释网站如何用 IP 地理位置数据库推断访问者所在国家和城市，为什么连上 VPN 后不同检测页显示的位置互相矛盾或与节点名称不符，以及这些数据的更新方式、精度上限和阅读方法。

  • 技术与隐私

    VPN 端口转发是什么：用途与安全取舍

    解释商业 VPN 里的端口转发指什么、为什么默认连接无法接收外部主动发起的入站连接，常见的自建服务与点对点用途，以及许多服务商不提供或已取消该功能的原因和安全取舍。

  • 技术与隐私

    VPN 与 HTTPS 各加密哪一层

    说明 VPN 隧道与 HTTPS 各自加密哪一层，对比本地网络、节点与网站分别能看见的目的地址、域名和网页正文，并说明两层同时开启时信任边界如何划分，避免把两层当成同一个开关。

  • 技术与隐私

    WireGuard AllowedIPs 是什么

    解释 WireGuard 的 AllowedIPs 是按前缀选择对端的加密密钥路由，而不是通用防火墙访问控制，并说明它与默认路由、分流的关系，以及把前缀当成网站黑白名单等常见误读。

  • 技术与隐私

    共享出口 IP 与信誉：为何更易触发验证

    说明商业 VPN 多人共用同一出口地址时，目标网站为何更容易出现验证码、风控或登录异常；并解释 IP 信誉、数据中心 ASN 与住宅和机房地址的差别，以及这和无日志、DNS 泄漏不是同一问题。

  • 技术与隐私

    VPN 与 HTTP/3（QUIC）如何互相影响

    说明 VPN 隧道与 HTTP/3（QUIC）分属两层：内层 UDP 如何再被封装进 UDP 或 TCP、设备与节点的握手为何不能代替浏览器与网站的握手，以及丢包和 MTU 如何导致回退。本文只讲原理，不写配置步骤。

  • 技术与隐私

    VPN 流量混淆是什么

    解释 VPN 流量混淆通常在改变哪些可观察特征、厂商说法分别对应什么、一份「已混淆」最多能证明哪类事实，以及它为什么不能保证无法被识别或不会被阻断。

  • 技术与隐私

    双重 VPN / 多跳是什么

    解释双重 VPN（多跳）如何改变「谁看见什么」的信任边界，对照单跳在延迟与故障面上的代价，并说明何时多跳才真正改变威胁模型——而非多花一层订阅费。

  • 技术与隐私

    IKEv2 与 WireGuard 怎么比

    从握手、移动切换（含 MOBIKE 概念）与数据平面对比 IKEv2/IPsec 与 WireGuard，说明两者在移动系统里常见的出场方式，并给出读客户端协议选项时的核对清单。

  • 技术与隐私

    AES-GCM 与 ChaCha20：VPN 对称加密怎么比

    解释 VPN 数据平面常见的 AES-GCM 与 ChaCha20-Poly1305 各自做什么，对比硬件加速、移动端耗电与套件协商，并说明读客户端或审计摘要时该核对哪些密码学表述。

  • 技术与隐私

    VPN NAT 穿越与打洞：概念怎么读

    解释家庭与运营商 NAT 为何挡住入站连接，对照 NAT 类型、打洞与中继在 VPN 场景里各自解决什么，并说明读客户端「NAT」「UDP 保活」选项时如何避免与 Kill Switch 混为一谈。

  • 技术与隐私

    VPN 前向保密（PFS）是什么

    解释前向保密（Perfect Forward Secrecy）如何用短期会话密钥限制长期私钥泄露的影响，对比有无 PFS 的风险窗口，并说明读客户端与审计摘要时该核对哪些握手与密钥轮换表述。

  • 技术与隐私

    WireGuard 与 OpenVPN 有什么不同

    从协议模型、加密与密钥、性能开销、配置复杂度与排障线索对比 WireGuard 和 OpenVPN，帮助理解客户端里两种常见隧道选项，而不是替你选定某一品牌。

  • 技术与隐私

    VPN「无日志」是什么意思？能证明吗

    解释无日志（no-logs）政策通常承诺不记录什么、仍可能保留什么，以及独立审计、管辖权与技术架构如何影响可信度，便于把营销用语读成可核对的范围。

  • 技术与隐私

    sing-box 是什么？通用代理平台的架构与能力边界

    从 inbound、route、outbound 和独立 DNS 子系统出发，解释 sing-box 如何把 TUN、多协议出口和规则路由做成一个核心，并对比 Clash/Mihomo 与 Xray 的定位差异。

  • 技术与隐私

    NaiveProxy 协议科普：为什么“像 Chrome”比“像 HTTPS”更难识别

    从 Chromium 网络栈复用、应用层前置、HTTP/2 CONNECT 与长度填充出发，解释 NaiveProxy 如何对抗 TLS 指纹、主动探测与流量分类，并说明其适用边界与代价。

  • 技术与隐私

    TUN 全局代理是什么？原理、实现与常见误解

    从虚拟网卡、路由表和协议栈层面解释 TUN 全局代理如何接管系统流量，并对比系统代理、TAP、增强型栈，以及 DNS、IPv6、MTU 等实际部署中的关键细节。