curl 已经有 HTTP 状态码、浏览器却停在握手，有时是两份 ClientHello 不一样大，不是账号先被封。2026-11-07 的 RFC 10024 把 X25519MLKEM768 的客户端份额写成 1216 字节。这不是整份问候，也不是路径 MTU。大包怎么查，见 VPN 的 MTU。
OpenAI、Anthropic 和 Google 都没有把中国大陆写成这些消费级产品的无条件服务地。从名单外访问或向名单外提供访问，可能违反条款，账号可能被限制或停用。本文不写伪造证件、购买或借用账号、手机号和支付卡，也不把关闭后量子交换写成默认步骤。
1216 字节指的是哪一段
一个可单独引用的定义句：X25519MLKEM768 的客户端 key_exchange 是 1184 字节的 ML-KEM-768 封装密钥，再接 32 字节的 X25519 临时份额，合起来 1216 字节。
RFC 10024 第 4.1 节就是这句。它同时写了另外两组：SecP256r1MLKEM768 的客户端份额是 1249 字节，SecP384r1MLKEM1024 是 1665 字节。第 7.1 节把 X25519MLKEM768 登记为 TLS Supported Groups 的 4588（0x11EC），Recommended 为 Y。第 7.4 节把实验用的 X25519Kyber768Draft00（25497）标成被这份 RFC 淘汰。页眉年份是 2026。当天打开的信息页没有给出单独的出版月份，本文因此不写月份。
这 1216 字节还不包含随机数、密码套件、服务器名和其他扩展。本文 2026-11-07 没有抓取浏览器发出的 ClientHello，因此不给「整份问候是多少字节」这个数。
Chrome 的两篇说明，以及本机没有测到的部分
Chromium 博客（2023-08-10）写：使用当时的 X25519Kyber768 会给 TLS ClientHello 增加超过一千字节；多数实现承受得住，少数中间盒因为把报文长度写死而失败。它把企业策略 PostQuantumKeyAgreementEnabled 写成从 Chrome 116 起的临时措施，并要求管理员去修设备，而不是把策略留在关闭。
Google 在线安全博客（2024-09-13）写：ML-KEM 与先前的 Kyber 不兼容；Chrome 131 把混合密钥交换的码点从 0x6399 换成 0x11EC，并预测这一份混合份额；同一策略同时管 Kyber 和 ML-KEM；Chrome 不再同时提供两份后量子预测，理由之一是后量子份额太大。脚注写 Canary、Dev 和 Beta 可能早于 131 看到变化。
2026-11-07 没有安装 Chrome，不能把 2024 年的「将在 131 中预测」写成「今天的稳定版仍在发送」。策略页打开后没有得到可用正文，所以不转述它现在的默认值。码点 0x11EC 与 RFC 10024 的 4588 是同一个数。
本机是 curl 8.5.0（Release-Date: 2023-12-06，软件包安全修订 8.5.0-2ubuntu10.16）和 OpenSSL 3.0.13（30 Jan 2024）。openssl list -kem-algorithms 里没有 ML-KEM；openssl list -key-exchange-algorithms 里有 X25519。因此这条 curl 的握手不是 1216 字节那一份额。当天它访问 https://chatgpt.com/ 得到 HTTP 200，https://claude.ai/ 得到带 cf-mitigated: challenge 的 403，https://gemini.google.com/ 得到 HTTP 200。这些状态只说明小客户端到达了主机。怎样读 http_code 为 000，见 AI 站点的 TLS 停在哪一步。
隧道把路径再收窄一截
份额已经接近常见以太网 MTU 的量级，整份问候只会更大。隧道还要再包一层。两件事叠在一起时，小握手能过、大握手被丢，看起来像「只有网页版 AI 坏了」。
WireGuard for Windows 的 netquirk 文档 在 2026-11-07 的 master 上写：配置里没有 MTU 时，服务把 WireGuard 接口的 MTU 设成默认路由那块网卡的 MTU 再少 80。当天没有记下这条文件的提交号，也没有在 Windows 上核对。这 80 是文档里的差值，不是本文测出的路径 MTU，也不能用来证明 1216 字节装得下。
家庭宽带上的 PPPoE 还会先占掉一截，见 PPPoE。TCP 载荷上限和 MTU 不是同一个数，见 TCP MSS 钳制。
要分开的是两种失败，不要合成一种修法：
| 现象 | 更像什么 | 下一步 |
|---|---|---|
| 小请求通，大页面卡住，ICMP「需要分片」也看不到 | 路径 MTU 黑洞 | 按 MTU 一文对照，不要先关后量子 |
| 中间盒把握手长度写死，问候跨了它的上限就重置 | 2023 年博客写的那类设备 | 修设备；关闭混合份额只是该文里的临时企业措施 |
| 浏览器和 curl 以同一种方式超时 | 还看不出份额大小的差别 | 按 现象排查 查 DNS 和传输 |
| 已经有 HTTP 状态码，正文是国家或地区 | 名单或质询 | 停止改 MTU |
关小接口 MTU 或做 MSS 钳制，解决的是包在路径上装不下。它不会把 1216 字节的份额变短。中间盒若要求整份问候落在一个它写死的上限里，钳制之后问候仍可能超过那个上限。Google 2023 年的文章把关闭策略写成临时措施，并要求修设备。长期关掉，失去的是那篇文章要加上的混合保护。本文不给出关闭步骤。
回复已经开始出现、然后停住，是长连接，不是这份份额。见 ChatGPT 网页停住。
名单仍看得到达之后的访问
握手完成并出现地区英文时，份额大小就不再是原因。2026-11-07：
- ChatGPT Supported Countries 页眉 “Updated: 16 days ago”。看到 Taiwan，没有看到 China、Hong Kong、Macau。名单外访问或提供访问，账号可能被封锁或暂停。
- Anthropic Supported Regions 生效日写着 Nov 12, 2026，晚于核对日。看到 Taiwan，没有看到中国大陆、香港、澳门。页眉的日期不能用来推断生效日之前是否已经执行。
- Gemini 网页 有 “Mainland China (Workspace only)”、Hong Kong、Macau 和 Taiwan。API 名单当天没有重开。
公开文件里的法律范围
2026-11-07 打开的《关于清理规范互联网网络接入服务市场的通知》（工信部信管函〔2017〕32号，通知页）写明：未经电信主管部门批准，不得自行建立或租用专线（含虚拟专用网络 VPN）等其他信道开展跨境经营活动。同日打开的 答记者问 写明，规范对象是无国际通信业务经营资质、私自开展跨境电信业务经营的企业或个人；企业因办公自用，向依法设置国际通信出入口局的经营者租用，不在该条针对的范围内。本文不判断某种个人使用是否违法，也不写规避执法的做法。
一次握手失败留下的记录
留下五样东西：失败时有没有 HTTP 状态码、对照用的是不是带 ML-KEM 的客户端、接口 MTU 是配置里写的还是客户端自己减过、页面是重置还是地区英文、有没有改过后量子策略。没有抓包时，不要写「问候已经超过 1500」。本机 OpenSSL 3.0.13 的结果不能拿去代表 Chrome。