前言
因为做外贸，科学上网是我每天离不开的工具。从 2019 年第一次折腾到现在，协议换了好几代，GFW 也在不断升级。这篇文章用大白话讲讲我这几年的代理演进之路，以及最终落地的方案。
GFW 在干什么
GFW（Great Firewall）不是一堵墙，而是一套流量检测系统。它主要做三件事：
- DNS 污染：你访问
google.com，它给你返回一个假 IP - IP 封锁：检测到特定 IP 的流量，直接丢掉
- 深度包检测（DPI）：分析数据包内容，识别出代理协议的特征，然后阻断
所以代理的核心思路就两条：加密（让 GFW 看不懂内容）和伪装（让流量看起来像普通上网）。
协议演进
第一阶段：SSH 隧道
最早的方法，在本地和 VPS 之间建立一条 SSH 加密通道，所有流量从通道走。优点是简单，一条命令搞定。缺点是 SSH 协议特征太明显，GFW 一抓一个准，现在已经基本不可用了。
第二阶段：Shadowsocks
2015 年前后最流行的方案。把 Socks5 协议拆成客户端和服务端，用 AES 等加密算法对数据加密。GFW 虽然不知道你在传什么，但能识别出 Shadowsocks 的流量特征。后来加了混淆插件（如 v2ray-plugin），把流量伪装成 HTTP 或 WebSocket，延长了生命周期。
第三阶段：V2Ray / Trojan
Shadowsocks 之后的主流方案。V2Ray 支持多种传输协议，最常用的是 WebSocket + TLS，把代理流量伪装成 HTTPS 网页访问。GFW 看到的是正常的 TLS 加密流量，无法区分是看网页还是用代理。Trojan 思路类似，但更轻量。
第四阶段：VLESS + Reality
这是我现在主力使用的方案。VLESS 是 V2Ray 的轻量版，去掉了一层加密（由 TLS 负责）。Reality 是 Xray 核心的绝活：它让代理流量「借壳」一个真实的网站（比如 Microsoft 或 Cloudflare 的 CDN），GFW 看到的是你在访问这些大站，完全无法识别。
简单说：以前是「把东西藏好不让看到」，现在是「假装自己在干别的事」。
第五阶段：Hysteria2
基于 QUIC（HTTP/3）协议，走 UDP 传输。在丢包严重的网络环境下表现极好，速度比 TCP 协议快很多。适合移动网络或跨国连接质量差的场景。我现在作为备用方案使用。
我的代理演进史
2019 年：V2Ray + WebSocket + TLS
最初在 Oracle Japan VPS 上用一键脚本搭建 V2Ray，配合 Nginx 反代，走 WebSocket + TLS。当时觉得挺稳的，用了一年多。
2021 年：Trojan
换到 Trojan，配置更简单，性能也更好。但后来 Trojan 的流量特征也被识别了，速度开始下降。
2023 年：VLESS + Reality
Xray 核心推出 Reality 技术后，第一时间迁移过去。效果立竿见影，速度稳定，从未被干扰。到现在一直是主力方案。
2024 年：s-ui 面板管理
之前每次改配置都要 SSH 上服务器手动改，烦了。换成了 s-ui（deposist/s-ui-x v1.5.5）面板，Web 界面管理节点，多协议、多端口、流量统计一目了然。现在我有 3 个节点：
| 节点 | 位置 | 协议 |
|---|---|---|
| jp.sgq.xxx | 日本 | VLESS+Reality / Hysteria2 |
| jp2.sgq.xxx | 日本 | VLESS+Reality / Hysteria2 |
| us.sgq.xxx | 美国 | VLESS+Reality / Hysteria2 |
当前方案：OpenClash + 多节点负载
客户端用的是 OpenClash（Mihomo Meta 核心），跑在 J1900 软路由的 iStoreOS 上。配置了多节点自动切换和故障转移，家里所有设备自动走代理，不需要每台设备单独配置。
线路选择
协议再好，线路不行也白搭。我的经验：
- CN2 GIA：电信顶级线路，独立回国链路，晚高峰不堵，价格也最贵
- 软银 / IIJ：日本方向的好线路，延迟低，性价比高
- IPLC / IEPL：国际私有专线，流量不经过 GFW，延迟低且稳定
我的 Oracle Japan VPS 走的是 NTT 线路，晚高峰偶尔拥堵，但配合 Hysteria2 的 UDP 加速，体验还不错。
给新手的建议
- 不要自己折腾 VPS 搭建了：除非你想学习，否则买现成的机场更省心。自建需要维护服务器、处理 IP 被封、续费域名，时间成本不低
- 优先选支持 CN2 GIA 或 IEPL 线路的服务商：线路比协议更重要
- 路由器端代理比客户端方便：OpenWrt / iStoreOS 装 OpenClash，全家设备一次搞定
- 至少两个节点做备用：一个节点被封了，自动切换到另一个，不影响使用
写在最后
科学上网的技术一直在变，但核心逻辑没变：加密、伪装、选好线路。从 SSH 隧道到 VLESS+Reality，从手动配置到 s-ui 面板管理，从单节点到多节点负载均衡，每一步升级都带来了更稳定的体验。
工具只是工具，稳定可靠才是目的。