在中国海外网络稳定使用保姆级教程

一个普通人也能照着做的海外网络接入工程手册：12 类网络模式、36 篇教程、6 种场景策略、主备故障演练、7 天实测与 30 天执行计划。

版本：v3.0 · 2026-10-12 ｜ 作者：AI 酋长 Andy ｜ 在线阅读 ｜ 离线网页阅读 ｜ 方案总览 ｜ 对抗式审核

先说结论

没有一种方法可以保证中国大陆所有地区、设备、运营商、时段、海外服务都稳定可用。 能持续工作的系统依赖可验证的连接质量、适当合规路径、备份与回滚能力。选择方法要先匹配目标、设备和安全边界。

中国大陆对跨境联网、国际专线及相关经营活动存在监管要求。此项目用于帮助读者理解技术与风险、开展获得授权的网络管理；不提供节点、订阅账号、盗版软件、跨境网络经营服务或“合法性保证”。企业跨境传输、商业经营和敏感数据请按适用规定审核。阅读 法规与边界 与 企业接入。

你现在是什么情况？直接从这里开始

12 种技术路线：按用途和责任分类

选择时请看五层：目标应用 → 接入网络 → 协议 → 真实出口 → 客户端路由。 客户端本身不会凭空提供服务；看见国外 IP 也不等于符合某平台的国家资格。

v3.0 新增：从「连得上」到「长期能工作」

推荐的执行顺序： 30 分钟启动 → 选使用画像 → 设定路由与 DNS → 做好真实独立备用 → 用任务度量 → 30 天固化。

五类人应该先看哪一章？

按场景选择「使用配置」

• 低频上网：按需开启，最少权限，故障时恢复普通网络。
• 网页+开发工具：逐个验证浏览器、CLI、IDE、Docker；先解决目标应用再扩大路由范围。
• 手机/iPad 移动办公：Wi-Fi、蜂窝、设备切换和热点分开验收。
• 重要业务操作：登录、支付、客户资料与公开资料分层；账号异常时优先官方恢复。
• 连续生产：独立上游+独立接入介质+离线缓冲，故障时先恢复业务再分析。
• 企业生产与敏感数据：仅通过公司授权、受管理、可审计的网络路径，不以私人接入替代。

新增的实用产物

网络使用策略卡 · 业务网络分层表 · 开发工作流验收表 · 主备故障矩阵 · 路由决策与验证表 · 账号与敏感任务隔离卡 · 网络月度复盘 · 月度成本核算表。

全部 36 章实操教程

24—35：可照做的长期使用策略

20 份可直接填写的实操模板

方案取舍卡 · 七天测量表 · 网络方案观察表 · 来源可信度登记表 · 协议部署验收卡 · 企业接入需求表 · 应急十分钟处置卡 · 安全检查清单 · 故障复盘

补充：旧版 部署记录、方案打分表、应急回滚卡 继续保留。

研究资料和审稿记录

• SOURCES.md — 法律与项目官方文档，逐条可复核。
• RESEARCH_LOG.md — X 检索局限、2026 年 10 月社区反馈矛盾、证据分级。
• AUDIT.md — v2.0 审核；AUDIT_V3.md — v3.0 的 18 项对抗测试、事实限制和复核要求。
• SECURITY.md — 如何提交不含密钥的漏洞报告。

本地生成、检查与发布

python3 tools/validate_repo.py
python3 tools/connection_check.py    # 可选：只测本机网络，不需要服务器密钥
python3 -m pip install -r requirements-build.txt
python3 tools/build_site.py
python3 tools/slo_report.py templates/七天测量表.csv   # 填写测量表后，本地生成分组成功率和 p95

index.html 已预编译为单文件离线阅读页（36 章 + 首页）；用户双击即可使用，查询不会发送到外部服务。所有脚本仅做有限的本机测试/静态校验，不能证明合法性、匿名性或中国大陆实测可用率。

参与贡献

欢迎补充可复现、经脱敏、带具体日期、设备和运营商的经验。不能提交可用订阅、账号、密钥、真实服务器 IP、第三方客户信息，也不能把推广帖伪装为中立实测。参阅 CONTRIBUTING.md。MIT License。作者：AI 酋长 Andy。

作者与可选咨询

微信：AIPMAndy · 个人官网 · GitHub 项目

如果你需要求职、职业发展或 AI 应用方面的咨询，可以添加微信并简单说明当前情况与具体问题。咨询是可选的，不影响免费阅读；不提供节点、订阅、跨境网络经营服务或合法性保证。

00｜先读：法律边界、真实需求与威胁模型

本章结果：你知道“需要访问外部网站”和“有权配置何种跨境联网方案”是两件事，能辨别常见的高风险操作。

1. 先确定你的使用场景

将需求写成一句话，例如：“我需要在自己的电脑上访问某海外学术网站/代码托管平台，传输的是公开资料，不包含客户隐私。”如果涉及公司账号、源代码、财务、个人信息，先问信息安全负责人：是否有经过审批的专线、零信任网关、企业 VPN、海外云桌面或其他合规途径？组织网络政策可能比个人使用的技术选择更严格。

法规事实（请阅读原文）：《中华人民共和国计算机信息网络国际联网管理暂行规定》第六条对国际出入口信道作出规定；工信部 2017 年的通知明确约束未经批准开展跨境 VPN 等经营活动。不能由某篇文章推导出“所有个人使用都合法”或“所有个人使用都违法”的一刀切结论。法律适用取决于行为、地区、主体、用途和当下监管实践；有商业计划时应获得专业法律意见。

• 工信部：国际联网管理暂行规定
• 工信部：清理规范互联网网络接入服务市场通知

2. 这个指南不做的事

不售卖节点、订阅、VPS；不提供他人的登录凭据；不兜售“零风险”网络；不教非法经营或规避组织安全监管。示例 IP 统一用文档保留段 203.0.113.0/24，示例密钥用 REPLACE_ME。不要把本教程里的占位符当作真的可用服务器。

3. 五类威胁，逐一评估

4. 开始前确认

• 先确认网络用途和适用的法规、企业网络政策。
• 明确要连接的设备与系统：Mac Intel/M 芯片、Windows x64/ARM、iOS、Android。
• 明确可接受的费用和恢复时间。
• 备份当前网络设置；知道如何关闭连接和卸载客户端。
• 不在公共仓库或聊天记录里发布真实 IP、SSH 密码、私钥或订阅 URL。

完成凭证：在自己的私有记录里写下用途、设备、负责人（如适用）和可接受的停机时间。过不了这个检查，先暂停部署。

01｜先选方案：不要先买一年套餐

本章结果：知道连接服务与软件的区别，选择一条能力、预算、风险均匹配的路线。

最新版扩展：先读 12 种模式全景图。本章下方三种路径是按管理责任归类，不代表市场只有三种连接方法。

1. 三种常见路径

常见错误：看见“某某客户端教程”，就以为装完 App 能上网。客户端只是遥控器；你还需要服务、授权和可达的网络链路。

2. 给零基础用户的选择顺序

第 1 步：筛掉明显不可信的来源。要求远程控制电脑、索取 Apple ID 密码、关闭系统安全保护、安装未知证书、承诺“永久不封”的服务，先排除。免费服务不是原罪，但必须能回答运营主体、隐私条款、成本来源和客户支持。

第 2 步：先按月评估。自建也从可取消的最小机器开始；不要为未经实测的线路付一年钱。账单还需包含出口流量、税费、备份和域名（如果你的方案真正需要）。

第 3 步：选两种独立失败域。如果主备都在同一家机房、同一商家甚至同一上游网络，那么一处故障可能同时影响两条线路。备用方案最好有不同的服务供应商或网络接入路径，同时确保合法和受控。

第 4 步：定义“够用”。例如你只需要每天 1 小时查资料，就不需要以 4K 视频速度作为选型标准。按实际使用场景确定门槛：连接成功率、可用时段、延迟、售后响应、权限控制。

3. 选择服务器之前先问五个问题

1. 我是否有合法、受许可的使用场景？
2. 操作系统是否在开源工具的官方支持范围？
3. 机器是否可从云控制台重置；是否有快照或恢复入口？
4. 是否支持稳定 SSH，并能在云厂商防火墙中控制入站规则？
5. 维护成本是否比购买适合自身业务的合规服务更合理？

通过标准：至少完成 方案打分表，并给出放弃条件，例如“7 天关键访问成功率低于自设阈值就停用/更换方案”。

下一步：Outline 或 AmneziaVPN；已有配置直接去 电脑 或 手机。

02｜Outline：用官方 Manager 自建，按步骤验收

适用条件：你已确认法律/合同允许；有一台自己管理的空白 Linux VPS，且具备 SSH/云控制台恢复能力。下列步骤基于 Outline 官方部署文档，不同版本界面可能变化。

你需要准备什么

• 一台受控 Linux VPS（系统版本和 CPU 架构以 Outline 官方当前要求为准）；公网连接，云控制台救援入口。
• 管理电脑（Windows/macOS/Linux）；从 getoutline.org 取得 Outline Manager。
• 实际使用设备；从官方地址取得 Outline Client。注意：Manager 管理服务器，Client 连接服务器。
• 独立的 SSH 凭据。建议使用 SSH 密钥及云平台多因素认证；不要把凭据发送到公开聊天机器人、论坛或 Issue。

手把手部署

第 1 步：确认服务器“干净”

在云厂商面板里保存当前系统、端口、账单信息；如果已有网站、数据库或代理服务，先做快照并检查冲突。确认云防火墙的 SSH 入口仅对可信管理地址开放（若网络条件允许），不要为省事直接永久开放所有端口。对服务器 SSH 端口、磁盘空间、时间同步做最小检查。

完成凭证：控制台可以看到运行状态；你能使用 SSH 登录；知道如何重置实例。

第 2 步：在管理电脑安装官方 Manager

前往 https://getoutline.org/，识别 Manager 和 Client 的不同。安装管理器，打开后点击 +。自己有 VPS 时选择 Set up Outline anywhere / 随时随地安装 Outline。需要在 VPS 执行的命令以此刻官方管理器所显示的命令为准；先检查命令会做什么，再通过 SSH 在受控机器操作。不要复制博客里的过期脚本或随机“一键脚本”。

可能失败：系统不支持、Docker 拉取失败、DNS 不可用、云防火墙阻断管理端口、残留服务占用端口。此时先查官方错误提示，别重复重装十次。

第 3 步：创建服务器和第一把密钥

Manager 显示服务端建立成功后，打开服务器详情；点击 + 创建一把 仅用于你的一台设备的访问密钥，按设备命名，例如 my-mac。正式密钥可能是包含服务器地址的 URI，不要贴到 GitHub。可以按 Manager 功能设置适当流量上限。

完成凭证：Manager 显示服务器健康状态（如有）及你创建的访问密钥，且你已安全保存管理入口。

第 4 步：装 Client，导入密钥

从 Outline 官方客户端 下载适合设备的版本。打开 Outline Client → 添加连接/粘贴访问密钥 → 保存 → 连接。iOS 及 Android 应以官方应用商店或 Outline 官方备用下载页面为准。遇到 App Store 地区限制，先查官方支持渠道，不建议越狱或安装可疑企业签名包。

完成凭证：目标网站实际能加载、HTTPS 证书正常，并在不同网络下重复测试。

第 5 步：做撤销演练

新建一把演示密钥，在测试设备导入并确认成功。回到 Manager 删除这把演示密钥，验证它无法再连接。主用密钥不要在演练时误删。这一步证明你有退出和密钥轮换能力。

常见卡点

安全与结束检查

• 每台设备一个独立密钥，方便撤销；退出设备后删除对应密钥。
• 不把完整的 Manager 管理链接、SSH 私钥、Client 密钥放公共地方。
• 持续关注 Outline 官方文档；保持服务端和客户端更新。
• 自建只验证了“当前可用”；还没通过 七天验收，不能称“稳定”。

03｜AmneziaVPN：不用背命令，也能理解自建流程

适用条件：受监管规则/服务条款允许；你有能正常 SSH 访问的自有 Linux VPS。主线参考 Amnezia 官方 Self-hosted 教程。实际连接表现因地区、运营商、服务器和时间而异，不承诺在中国大陆持续可用。

1. 准备与安装

1. 在自己的电脑上从 Amnezia 官方网站/仓库取得 AmneziaVPN 客户端（核对项目发布者，不安装随机 APK）。
2. 先核查 VPS 官方要求、SSH 账号权限、云防火墙和实例救援能力。部署前做可恢复备份。
3. 打开客户端，点击 + 或 Get Started，选择 Self-hosted VPN。
4. 输入自己 VPS 的公网 IP、SSH 端口（默认不一定是 22）、SSH 用户名以及本地持有的密钥/密码。这些凭据仅输入你确认来源可靠的本地官方客户端；不要粘给教程作者。
5. 选择 Automatic（当前官方文档介绍为安装 AmneziaWG）或者在 Manual 中自行选择支持的协议。按客户端界面安装，留意服务端运行状态、端口及协议类型。
6. 部署后通过客户端开启连接；打开日常需要的网站/API，记录实测结果。

官方教程指出安装过程中可能用到随机 UDP 端口，并建议根据网络环境调整；不能把“换某个神奇端口”理解成保证有效。改端口前先确认云防火墙、服务器防火墙、其他服务和当地合规边界。见 官方部署文档。

2. 添加第二台设备

不要把“管理者全权限”凭据发给其他设备或任何陌生人。使用 Amnezia 的 Share → Guest access，选协议和设备，生成单独的访问配置。对于官方 AmneziaWG 客户端，官方说明应导出对应的 AmneziaWG native format .conf；不要把 vpn:// 连接密钥与 .conf 混为一谈。详见 官方分享文档。

逐台导入并连接；避免多设备复用单个原生配置文件。设备失去控制时，通过客户端的用户管理界面撤销对应授权并重新生成。

3. 用一分钟做验收

• 客户端连接能建立。
• 一般 HTTPS 网站可打开，目标工作网站/API 真实可用。
• 改用手机热点后，知道是否仍可工作。
• 关闭连接以后本机能恢复正常上网。
• 第二设备有独立的访问配置；管理权限没有流出。

4. 失败后怎么修

SSH 连接失败：服务器是否运行 → 登录账号和 SSH 端口是否正确 → 云厂商防火墙 → 本地网络是否能访问 SSH。不要盲目暴露 SSH 到全网。

安装失败：按官方支持的 Linux/软件要求核对；检查磁盘、Docker/内核相关依赖、时间、系统更新、端口占用，并只在有快照时重试。

连得上但无法使用：先用 第 07 章排障树 分离本地 DNS、目标网站、VPN 协议、服务器出口问题。不要因为一个网站失败就删除整个系统。

安全原则：任何“一键脚本”都应在读懂来源、权限及回滚方式后运行。业务服务器与个人实验服务器尽量分开。

04｜电脑端：Mac、Windows、Linux 从安装到验收

本章结果：你会找到可信的客户端、选择模式、导入有权使用的连接、定位“浏览器能用，软件不行”的原因。

先认识两个开关

系统代理：让遵循系统代理设置的应用把符合条件的请求交给代理。某些游戏、终端程序、企业 App 或系统服务不一定遵循它。

TUN/设备级 VPN：创建虚拟网络接口，让更多流量可以经指定隧道走。需要更高系统权限，可能影响 DNS、局域网访问、企业 VPN、IPv6 与软件兼容性。它也不能天然保证所有流量都受保护，必须测试。

macOS：首选清晰可回滚的方式

1. 点击苹果菜单 → 关于本机，记下是 Apple 芯片还是 Intel、macOS 版本。
2. 如果走 Outline 方案，用 Outline 官网 提供的客户端；若走 AmneziaVPN，用官方应用。不要随手在网络上安装“同名增强版”。
3. 导入你被授权使用的密钥或配置。第一次连接后，允许系统提示的网络扩展/VPN 权限前确认应用发布者。
4. 打开普通 HTTPS 站点、目标服务、终端工具，分别测试。终端的 curl 可能走系统代理，也可能读取 http_proxy/https_proxy 环境变量；因此要查实际进程的代理设置。
5. 退出客户端并关闭代理，确认不再残留系统代理或 DNS 修改。

自查命令（仅查看状态，不修改系统）：

# 检查 macOS 当前代理（接口名按自己的网络服务替换）
networksetup -listallnetworkservices
scutil --proxy

# DNS 状态摘要
scutil --dns | head -n 35

# 网卡与 IP 信息（输出可能涉及隐私，勿直接公开）
ifconfig | head -n 40

Windows：明确 x64 / ARM64

1. 设置 → 系统 → 系统信息 查看系统架构。
2. 安装官方 Windows 客户端。若使用规则类客户端，可参考 Clash Verge Rev 官方仓库及其 Releases；安装客户端后仍需要自己的授权配置，不能凭软件名称自动联网。
3. 按软件官方说明导入配置、开启系统代理并测试。只有存在应用不服从系统代理等明确需求时，再考虑以管理员权限开启 TUN，并记录原设置。
4. 关闭连接后查看“设置 → 网络和 Internet → 代理”，确认没有留下无法访问的旧代理地址。

只读检查（PowerShell）：

Get-NetIPConfiguration
Get-DnsClientServerAddress
Test-NetConnection example.com -Port 443

Linux：确认桌面与命令行是否走同一条路

Linux 上 GUI 代理、shell 环境变量、容器、systemd 服务可能各走各的。不要只用 Firefox 能否打开网站判断整个 Linux 主机都已经通过隧道。安装软件以维护方文档与发行版官方包管理为准。

# 不显示任何密钥，仅查看是否存在常见代理环境变量（值可能敏感）
printenv | grep -Ei '^(http|https|all|no)_proxy=' | sed -E 's/=.*/=[REDACTED]/I'

# 基础 DNS 解析与 TLS 访问测试
getent hosts example.com
curl -I --max-time 10 https://example.com

一次成功的定义

不能只看软件界面显示“已连接”。至少有三个凭证：目标 HTTPS 站点能加载；切换网络后重复测试；断开时系统网络能正常回退。执行完 第 06 章 的测量再做稳定性判断。

05｜手机与平板：iPhone、iPad、Android

本章结果：不同设备有各自的授权配置，能解释 Wi‑Fi 正常但蜂窝流量失败的情况。

iPhone / iPad

1. 设置 → 通用 → 关于本机，确认 iOS/iPadOS 版本。应用商店可用性可能受 Apple ID 地区、操作系统版本及应用审核政策影响。
2. 从 Outline 官方下载说明获取 Outline Client，或从 Amnezia 官方支持文档找到 AmneziaVPN/AmneziaWG 的合法应用来源。不同应用支持的配置格式不同。
3. 在应用中导入专为这台设备生成的授权连接。系统弹出“允许添加 VPN 配置”时，确认发布者与用途，然后按自身安全政策决定是否允许。
4. 分别在家庭 Wi‑Fi、蜂窝移动网络、手机热点下测试目标 HTTPS 服务，记下可用/不可用状态；如果出于隐私原因不适合测试某些敏感服务，就只用自己有权访问的测试站点。
5. 测试离开 VPN/应用后，是否能恢复普通网络；若与企业 MDM、工作 VPN 冲突，应优先遵循公司管理要求。

遇到“当前地区无法下载”？查看官方提供的其他合法渠道。不要为了这一步让陌生人远程登录 Apple ID、索取验证码，或诱导你安装未知描述文件/企业证书。

Android

1. 设置 → 关于手机，查看 Android 版本与 CPU 架构。
2. 尽量通过官方应用商店或开发者维护的 GitHub Releases 下载；核对项目所有者、签名/哈希以及是否为稳定版。
3. 导入自己的授权连接；授予 VPN 权限前确认开发者与安装包来源。
4. 在不同网络（Wi‑Fi/5G/热点）做相同验收；注意部分手机的省电策略可能关闭后台进程，查官方电池优化指引。
5. 若设备支持“始终开启 VPN”“无 VPN 时阻止连接”，理解这些选项会影响离线和局域网服务。先确保有应急回退方法。

三个典型问题

1. Wi‑Fi 可以，5G 不行。先关掉 Wi‑Fi 只测 5G，再换热点对照。可能是运营商、IPv4/IPv6、UDP 路径或本机 VPN 权限问题；不能仅凭一项测试断定原因。

2. 微信/银行 App 出现异常。暂时退出 VPN，在符合平台和公司要求的网络下使用，再逐项排查分流规则。不要为尝试访问外站而改变支付及实名身份信息。

3. 手机能访问，电脑不能。比对的是同一有效密钥及同一服务端吗？有些配置绑定设备或限制连接数；检查电脑应用、系统代理、网络权限，而非首先重装服务器。

交付证明

在 7 天测量表 建立至少两个设备 + 两种网络的记录。公开问问题时只写设备系统版本、现象和脱敏错误，不发订阅/配置文件全文。

eSIM / 漫游专章

若你在考虑境外旅行 eSIM、实体漫游卡，请在付款前先看 第 17 章，核查机型、运营商和实际出口。

06｜稳定性：别看测速截图，先定义指标

本章结果：能够用七天的证据判断方案是否适合自己，避免“今天打开了 Google 就说永久稳定”。

一、四个维度

1. 连接成功率：按固定采样时间，成功建立连接的次数 / 尝试次数。
2. 目标服务可用率：连接已建立的情况下，真实工作服务按时响应的次数 / 总访问次数。
3. 时延分布：p50（中位数）与 p95（95% 分位数）比一次测速平均值更有参考意义。跨境网络更容易受到高峰拥塞影响。
4. 恢复能力：一次中断从发现到恢复需要几分钟？主用不可用时能否切到备用？DNS/代理有没有残留？

注意口径：请区分“无法连接”“目标网站本身故障”“访问延迟过高”“成功但慢”。样本量太少，只能叫初步记录，不足以推断全年稳定性。

二、一个可以自行修改的验收标准

下面是演示阈值，不代表行业标准或真实实测数据。你可以按工作任务重新设定：

选择测试时段如 09:00、15:00、21:00（北京时间）；这只是固定采样例子，要尽量包含你实际工作时段。每个时段至少测两项你真正需要的功能：例如 GitHub 页面和具体文档/API。不要把不同设备、不同运营商数据混成一个看似漂亮的平均值。

三、第一次连接后照这个顺序验收

1. 基础网络：不开客户端，也能访问正常国内网络吗？不能则先修本地宽带。
2. 客户端：服务端/客户端状态是否连接；设备是否有正确权限？
3. HTTPS：访问目标站点时浏览器没有证书错误，不出现异常重定向。
4. DNS：通过系统工具检查当前解析器与客户端设置一致；单一 DNS 检测网站不能证明所有应用没有 DNS 泄漏。
5. IPv6：记录本地是否启用 IPv6，确认它的路由是否符合你的预期；不要随便关闭全系统 IPv6 作为“万能修复”。
6. 应用层：浏览器、终端、真正使用的 App 分别测试。
7. 切换/回退：关闭客户端后，是否留下不可达的系统代理或 DNS 设置。

四、主备线路该怎么设计

两个节点不等于两条独立备份。如果它们都在同一家供应商、同一个数据中心、同一种接入方式，可能一起失败。主备最好分开供应商/机房/网络路径，且均有合法使用依据。优先采用有明确管理、合同和技术支持的方案。

备份策略只需要回答四句话：“主用是什么？出现什么条件切换？备用是什么？失败后如何退回正常网络？”把它写到 回滚卡，每周演练一次。

完成凭证：至少有 7 天观测表 和一份“通过/不通过 + 原因”的结论。

07｜排障树：网络坏了，按这个顺序查

本章结果：不再遇到问题就立刻换服务器、重装系统或发送含密钥的日志。

第 1 关：断开客户端，本机能否正常上网？

• 不能：检查 Wi‑Fi/网线/蜂窝数据、路由器、运营商；暂停处理 VPN。尝试另一个普通 HTTPS 站点，确认不是单一网站宕机。
• 可以：继续检查客户端。记录故障起始时间、设备、网络，别先改十项设置。

第 2 关：客户端是否已经成功建立连接？

• 未连接：查看输入的是不是受支持的格式、密钥是否过期/撤销、系统 VPN 权限、客户端版本；连接错误日志应先脱敏。
• 显示已连接：继续第 3 关。界面显示已连接并不等于目标网站可用。

第 3 关：同一服务端，在另一台设备/另一种网络是否能用？

注意：上表是优先排查方向，不等同于已经确定原因。

第 4 关：若你维护自己的 VPS，检查什么？

只在有授权的机器上操作。以下是只读检查示例，可先在云控制台确认运行状态：

# 系统状态与资源
uptime
df -h
free -h

# 服务监听的本机端口（输出可能含内网地址，公开前脱敏）
sudo ss -lntup

# 检查防火墙状态（依系统选择其一；只读）
sudo ufw status verbose
sudo nft list ruleset

# 查看近 20 条系统关键消息（可能敏感，不直接公开）
sudo journalctl -p err -n 20 --no-pager

若存在服务端软件异常，依据 对应项目官方文档查进程与日志。不要把 curl | bash 当成所有问题的修复方法，尤其当服务器同时运行生产业务时。

第 5 关：DNS、IPv6、系统代理怎么定位？

• DNS：域名解析不到，但 IP 访问也可能涉及 TLS/SNI、证书与路由；不能单凭“换成某个公共 DNS”判断。诊断时比较系统 DNS、客户端策略与受控测试域名。
• IPv6：部分网络仅有 IPv6 或优先 IPv6，若隧道/分流覆盖不一致，结果会分裂。先记录和核对，之后选择正确、可回退的配置。
• 系统代理：有些应用不遵循系统代理；有些只支持 HTTP(S) 或 SOCKS；终端还可能有环境变量。测试时要说清楚哪一个 App 走了哪一条路径。

第 6 关：什么情况下停止折腾？

连续 30 分钟无法确定根因、且改变配置会影响生产业务时，按回滚卡恢复正常网络；再单独排障。换机器前先看监测数据；如果是服务端被暂停、账单欠费或 SSH 凭据失效，换协议也不会解决问题。

五张截图就够排障（只提供脱敏版）

• 客户端名称与版本、操作系统及 CPU 架构。
• 连接状态及遮住密钥/服务器地址的错误文本。
• 云控制台显示实例运行/停止状态（账号、实例 ID、IP 打码）。
• 在不同网络下的同一目标服务测试结果。
• 执行过的步骤、哪一步开始异常。

完成凭证：填一份 故障复盘表，明确故障被定位在哪一层；证据不够时写“原因未确认”。

按症状快速定位

更细的 8 种故障场景及 5 分钟决策树见 第 21 章。

08｜隐私和安全：比“IP 看起来像外国”更重要

本章结果：你知道谁能看到什么、怎样防止凭据泄露、怎么在设备异常时撤销权限。

先知道谁有机会看到流量

HTTPS 保护端到端内容，但不能覆盖所有追踪与账号风险。网络安全是多个控制叠加，不是一个开关。

十条必须做的动作

1. 客户端只用官网或项目维护者控制的官方 Releases；有校验码时验证安装文件。注意校验值也应从可信来源获取。
2. 云账号与重要网站开启 MFA/通行密钥，不复用密码。
3. SSH 优先密钥认证，最小化管理入口；完成登录密钥迁移并测试成功之前，不贸然关闭密码登录。
4. 每台设备独立连接凭据；离职、丢失或共享结束时立即撤销。
5. 不把订阅 URL、ss://、vpn://、.conf、二维码、私钥、SSH 密码提交到 GitHub、Issue 或 LLM 提示词。
6. 脱敏网络日志：IP、域名、手机号、路径、令牌、Cookie、账号 ID 都可能具有可识别性。
7. 把 VPN 客户端、系统和服务器纳入定期更新；先备份、确认兼容性，再升级生产设备。
8. 有隐私诉求时，理解 DNS、IPv6、WebRTC 与代理分流的区别，按实际应用测试；不依赖单页“检测全绿”。
9. 服务端限制暴露端口；不在实验服务器存放多业务客户敏感数据。
10. 确保一键退出与断开后普通网络恢复；网络恢复不应依赖继续购买某服务。

SSH 安全的具体顺序

• 在 Mac/Linux 本地用 ssh-keygen -t ed25519 -a 64 生成专用的 SSH 密钥，并设置强口令；存入系统密码管理器/硬件保护环境。
• 将公钥授权到服务器适当账号；别把私钥传到 VPS、GitHub 或聊天记录。
• 在新的终端用密钥成功登录后再考虑调整 SSH 认证策略；保持云厂商救援控制台和备用访问渠道。
• 更改 SSH 防火墙规则时先保留已建立的会话、另开终端验证，避免误把自己锁在外面。

发现密钥泄露了怎么办？

先撤销，后清理。立即在管理界面废除相应访问密钥/令牌，检查是否有未知设备、异常账单与访问记录，签发新凭据。已上传的私钥不能靠删除一条聊天或 GitHub commit 就恢复安全；要假设它已被复制。若泄露包含生产系统或个人信息，应按组织事故流程升级处置。

完成凭证：逐条完成 安全检查清单。

09｜花多少钱：小心“首月便宜，次月昂贵”

本章结果：用一个简单公式判断费用，而不是只看 VPS 的标价。

成本拆成五部分

月实际总成本 = 服务器/合规接入月费 + 传出流量超量费用 + 维护投入折算 + 备份线路费用 + 必要税费/汇率损失。

一个演示计算，不代表真实市场报价

假设服务器每月 40 元，额外流量 10 元，备份线路 30 元，维护时间 2 小时按 50 元/小时计：

总成本 = 40 + 10 + 30 + 2 × 50 = 180 元/月。

自行替换参数。价格只是演示；具体按供应商当月账单和条款核验。即使花了钱，也不能买来“永不失效”的保证。

支付与取消的安全边界

• 优先选能查看清晰发票/条款、实名要求与退款办法的服务商。
• 不为“终身永久稳定”提前支付大额费用；保留付款与服务约定。
• 不向陌生人发送账户验证码、加密货币私钥或远程控制授权。
• 若实际使用需企业合规审查，切勿用个人账号绕过公司采购审批。

放弃条件（先写再买）

例子：“若 7 天内主用目标站点可用率不足我自己设定的 95%，或 30 天综合成本超过 250 元，就暂停续费并复查方案。”这是预算管理样例，不是对服务品质的保证。

完成凭证：用 方案评分表 对至少两个可行且合规的选项打分。

10｜七天验收：把“稳定”变成可验证的证据

本章结果：不再凭一天的顺畅体验就付一年钱。

第 1 天：基线。不开客户端测试国内普通 HTTPS 网站、目标公开站点，记录原始网络条件；安装来自官方渠道的客户端，完成回滚演练。保存系统版本与应用版本。

第 2 天：同一设备两种网络。同一时段分别测试家宽和手机热点；记录“连接能否建立”“目标服务是否可用”“耗时”。不要把目标网站自身故障误判成通道故障。

第 3 天：至少两台设备。Mac/Windows 与 iPhone/Android 使用各自授权配置，检查连接数限制、系统代理、TUN/设备 VPN 权限。

第 4 天：高峰和非高峰。按预定时间表重复测量，至少覆盖一个晚间实际使用时段。

第 5 天：安全检查。核对官网来源、MFA、SSH 权限、密钥撤销能力、日志脱敏、更新机制。

第 6 天：主备切换。在不破坏线上服务的前提下，模拟“主用断开”，完成备用连接和恢复操作；记录恢复时间。备用必须属于合法且获得授权的路径。

第 7 天：复盘决策。分别按设备、网络、时段计算可用率；故障分类，列出仍无法解释的异常。按预先设定的阈值判定保留、继续试用、放弃。

最低记录粒度

填写 七天测量表.csv，每次测试一行，字段有日期、时间、设备、网络、方案编号、客户端连接、目标网站响应、页面耗时、错误类别、切换耗时等。不填任何真正的密钥/IP/订阅地址。

计算公式：

连接成功率 = 连接成功次数 / 连接尝试总次数
目标可用率 = 目标服务成功次数 / 目标服务测试次数
恢复时间 = 恢复成功时间 - 首次确认异常时间

不要在连接失败的时候跳过记录；不要把同一时段连续刷新 20 次算成 20 个“独立成功”的证据。若某天漏测，应明确写“缺失”，不填 100%。

七天验收结论模板

我的目标是____；总计有效测量____次，设备____，网络____。连接成功____次，目标可用____次；最长恢复____分钟。失败主要集中于____；对照实验表明____。我将选择____，原因____；未确认风险____。下次复核日期____。

验收标准：形成一份带样本量、记录口径、失败记录和未确认项的报告；不凭一次速度测试确定结论。

11｜技术原理：用大白话解释为什么会出问题

1. 为什么同一个软件，有些人能用、有些人不行？

你的网络请求大致经过：设备 → 客户端及系统路由 → 家宽/移动运营商 → 服务端所在网络 → 目标站点。其中任意一段拥堵、不可达、受策略限制、认证失败，都可能造成问题。客户端名字相同，不等于线路、服务、密钥和本地 DNS 相同。

2. 什么是代理、VPN、隧道、节点和机场？

• 代理：中间转发请求的应用层或网络层机制。HTTP 代理、SOCKS 代理各有应用支持和覆盖边界。
• VPN：通过虚拟网络接口等方式建立受控制的逻辑网络连接；具体的路由与加密取决于实现。
• 隧道：把某种网络流量封装进另一种连接传输的技术统称，不等于天然匿名。
• 节点：行业口语里常指一个服务端入口；它是否由可信实体运营、有没有日志，无法仅从名称得知。
• 机场：中文互联网中对一些订阅服务商的俗称；资质、隐私和安全差异很大，不能把它等同于正规批准的跨境接入服务。

3. DNS 是什么？为什么会出现“能打开 IP，打不开域名”？

DNS 把域名变成 IP，就像查地址簿。但“直接打开 IP”对 HTTPS 网站不一定正常，因为 TLS 证书校验、SNI、虚拟主机仍需要域名。排障应分开验证 DNS 解析、TCP/TLS、HTTP 响应，不把其中之一当成全部。

4. 为什么系统代理有效，终端却不能用？

很多图形 App 读取系统代理；终端程序、容器或后台服务可能分别读取自己的代理环境变量或配置。TUN 可以覆盖更多流量，但也可能改变 DNS、IPv6 和局域网路由。

5. 为什么 IP 属地和设备位置不是一回事？

网站可能综合 IP 位置库、账号历史、GPS/定位权限、浏览器指纹、支付地区和安全风控来判断地区。一个国外出口并不能代表你的设备、身份或帐号真的位于那个国家。不要用伪造身份绕过平台的服务条款。

6. 是不是买住宅 IP 就一定稳定/一定不会封？

不是。稳定性受网络路由、供应商和负载影响；账号的使用资格和风控并非只看 IP。宣称“住宅 IP = 100% 安全”的营销没有足够依据。

7. 为什么不能到处贴订阅链接让别人排障？

不少订阅链接、二维码和配置文件直接包含访问凭据。泄露之后他人可能占用额度、查看部分连接信息，或增加相关服务的滥用风险。排障仅分享脱敏版本与错误类别。

8. 断网如何恢复？

先关闭隧道/客户端，再确认系统代理与 VPN 配置，必要时重新连接原来的 Wi‑Fi；企业设备请使用 IT 官方恢复流程。切记要先保存原设置，无法恢复时找设备管理员。

9. “连接成功”是不是代表所有 App 都安全？

不是。不同 App 的代理、DNS 与路由覆盖可能不同；网站仍可能通过账号和设备信息识别你。需要端到端加密、软件权限管理、MFA 和最小权限。

10. 这个项目多久更新一次？

工具发布频繁。本仓库记录每次核对日期，并把官方文档/发行页作为事实来源。某个截图或按钮名发生变化，请提交 Issue 并附上不含个人信息的变化描述。

12｜进阶：理解 Clash Verge Rev、sing-box、规则与 TUN

本章结果：认识高级客户端的边界，避免“全局”和“规则模式”乱切造成信息泄露或工作中断。

工具不是服务商

• Clash Verge Rev：Windows/macOS/Linux 图形客户端，基于 Mihomo（Clash Meta）生态，软件本身不包含可用节点。安装包以官方 GitHub Releases 为准，核对最新发行版兼容性。
• sing-box：跨平台网络代理工具与配置生态，官方文档持续更新。其 iOS App Store 上架状态可能变化，应以 Apple 平台官方文档实时信息为准。
• Hiddify App：开源多平台客户端，使用前核对支持格式、发布者及对应系统发行包。
• Outline / AmneziaVPN：提供官方图形化管理和客户端体验，配置格式不完全相同，不可随意互换。

有授权配置时，最小安全上手步骤

1. 从项目维护者的 GitHub Releases 取得正式稳定版，核对系统架构，必要时校验官方发布的 SHA256。
2. 导入你有权使用、来源明确的配置（可能是本地文件或一次性授权链接）。未知远程订阅可能变化，内容不能默认可信。
3. 先用软件的“系统代理 + 明确规则”测试一个低风险 HTTPS 页面；不要在不理解权限时直接开启所有增强模式。
4. 打开规则、DNS、IPv6 页面，检查“直连/代理/阻断”的策略是否匹配工作要求；不同软件的按钮名称和格式会更新。
5. 只有在需要覆盖更多应用流量、且理解本地网络受影响范围时，才启用 TUN；测试微信/本地打印机/企业 VPN/局域网资源等是否异常。
6. 保存设置快照，在故障时一键恢复到原先能工作的配置。

规则模式的四个典型坑

不建议做的事

不下载所谓“绿色破解版”、不运行无人审查的远程配置脚本、不安装自签未知证书、不按陌生教程永久关闭杀毒或系统安全功能。客户端越复杂，排障面越广；如果已有更简单的受支持方案可以满足需求，就不必堆协议。

13｜做业务的人：网络连接与商业账号必须分开管理

本章结果：降低因网络切换、共享出口、设备权限和日志泄露带来的业务连续性问题。

1. 三层隔离

网络层：业务用途使用符合公司政策且来源可靠的接入方式，记录维护方与备用方案。避免把关键业务完全押在单个未经实测的个人节点上。

设备层：生产账号与实验客户端尽量不要共享管理员权限；测试新客户端前先做系统备份和安全审查。公司管理设备优先遵守 MDM/IT 政策。

账号层：每个重要账号独立强密码 + MFA/通行密钥 + 恢复码；不要把登录地区伪装当成账号安全手段，避免违反服务商条款。

2. 最低风险配置

• 针对目标业务服务，确认官方对访问地区、支付主体、服务可用性的要求。
• 客户敏感资料、源代码、token/API key 不通过不明服务商转发。
• 测试连接时使用非敏感演示数据，不使用客户生产环境。
• 若运营 X、YouTube、GitHub 等多个账号，账号归属、税务和平台资格独立管理；不能推定拥有海外 IP 就拥有海外付款、变现或账号资格。
• 做内容、直播、远程咨询时留备用网络与离线资料，避免单点故障。

3. 一张事故处理卡

发生意外登录/账号锁定时：先确认是不是官方安全警报；不要点击私信里的解封链接；通过官网更改密码、检查活跃会话、复核 MFA，按平台正式申诉流程处理。若涉及 API token 泄露，先吊销/轮换再排查费用与审计日志。

完成凭证：为你最重要的 3 个业务账号记录“官方恢复入口、MFA 方式、恢复码离线位置、事故联系人”，但不要在此仓库公开真实内容。

企业采购与审批

如果你是以企业主体运营海外业务，进一步阅读 企业跨境办公方案。不要把出口 IP 属性误认为平台账号资格、支付资格或所在国家的合法经营身份。

14｜12 种海外网络接入模式：先看全景，再动手

本章结果：用一张表选出 1 个主用候选、1 个不同失败域的备用候选；不会再把“节点”“VPN”“协议”“客户端”“落地 IP”当成同一个东西。

五层模型：分清你到底买了什么

1. 目标：海外网站、AI API、跨国会议、远程公司内网、匿名浏览或移动漫游。目标不同，合适方案不同。
2. 接入介质：家庭宽带、移动数据、漫游数据、单位专线。解决设备从哪里接入网络。
3. 隧道/代理协议：WireGuard、Shadowsocks、VLESS/REALITY、Hysteria 2、Trojan、OpenVPN 等。协议影响兼容性、性能和检测特征，不等于服务品质。
4. 服务节点与出口：商业 VPN 服务器、第三方订阅、自建 VPS、国外家庭设备、运营商国际出口。决定数据实际经过谁。
5. 客户端和路由：Outline、Amnezia、Clash Verge Rev、v2rayN、sing-box、Tailscale，以及规则/系统代理/TUN。客户端是管理工具，不自动提供可用网络。

12 种路径横向对比

不应混入以上 12 类作为“万能解决方案”的工具：DNS-over-HTTPS（仅处理解析/隐私的一部分）、Smart DNS（不能提供端到端加密代理）、Cloudflare WARP（不提供可指定国家的出口身份）、指纹浏览器（只改变部分浏览器环境）、CDN（给网站加速，不是任意客户端全网访问）、免费公共 SOCKS（无法信任）。

对选择题做一次删减

• 工作含客户/公司数据：优先让 IT/合规批准企业接入；不经批准不要试验第三方代理。
• 旅行/短期、手机为主：先检查设备的 SIM/eSIM 兼容性、运营商漫游协议和真实路由；再评估正规的服务方案。
• 一般浏览，愿意承担服务商风险：商业服务可以小额、短周期验证；拒绝“永久稳定”承诺。
• 技术用户、有 VPS：先按第 02、03 章完成隔离测试，再根据协议专章选择是否扩展。
• 已有海外电脑/远程任务：可以评估远程工作站；它不是对本地所有 App 的网络改造。

交付物：填写 方案取舍卡。

来源：Tailscale 出口节点 · Amnezia 自建 · Hysteria 官方 · Cloudflare WARP 限制。

15｜商业 VPN 与“机场订阅”：挑选、导入、试用、退出

本章结果：能在不购买年费、不泄露账号和密钥的前提下，评估第三方服务是不是适合自己。此处不推荐商家、不发订阅、不收返佣。

先厘清差别

商业 VPN：服务商一般提供自有 App、账号、线路、售后；无需你理解代理格式。第三方订阅/机场：服务商提供订阅链接或配置，常需要另装 Clash/Mihomo、sing-box、v2rayN 等客户端。部分宣传“专线”“IEPL/IPLC”“原生住宅 IP”缺少可核验证明，名字不等于物理拓扑或法律资质。

可以照着执行的 9 步

1. 用途筛选：列出必须用的真实服务（例如学术检索、代码仓库、视频会议），含公司数据则先走批准流程。
2. 主体核验：服务方是否能证明运营主体、隐私政策、客服、退款规则？无法核验就提高风险等级。
3. 最低付费暴露：仅购买必要的短周期方案；虚拟币不可逆付款没有天然保障。
4. 来源核验：软件只从产品官方站点或维护者的 Releases 下载；输入账号前检查域名、签名和系统权限。
5. 检查订阅权限：订阅 URL 常含令牌。不要发给朋友、截图到群、放进 GitHub 或交给陌生“测速网站”。
6. 导入前做备份：导出原规则/代理状态（脱敏、加密保管），先用低风险测试设备连接。
7. 真实工作测试：同一设备，分别在 08:00、14:00、21:00，家庭宽带和移动热点测试应用层成功率；不要只看延迟灯。
8. 风险试验：断开连接，检查系统代理、DNS、VPN 权限是否恢复；测试局域网设备、工作软件有无异常。
9. 设退出条件：可用率低于自定目标、售后不响应、发生证书劫持或未经授权数据采集，即撤回授权并停用。

明确的红旗

• 要求安装根证书、关闭 macOS Gatekeeper/Windows Defender，或提供 Apple ID 验证码。
• 分享给你的应用安装包与官方发布者不同；要求 root/远程桌面权限且无法解释理由。
• 宣称“永不封”“100% 隐身”“支持所有平台永不风控”。
• 冒充官方服务；托管仓库只有推广码、没有可复核部署和更新记录。
• 要你为“检测纯净度”上传真实订阅链接；诱导你购买“专用国籍/IP”以绕过平台资格审核。

拓扑声明怎样验证

“专线”应有可核查的合同与服务说明，测速图不能证明它有运营商专线资源；“住宅 IP”是 IP 属性库标签，不能证明合法来源、独占或平台不会识别异常。多节点也可能属于同一家云服务商和同一个上游。

X/社区经验不能代替本地测试。详见 调研证据台账，以及 网络方案观察表。

16｜VLESS/REALITY、Hysteria 2、Trojan、Shadowsocks：怎么选

本章结果：看懂协议差异，在不瞎装“一键脚本”的情况下完成前置条件核查和小规模验收。

一分钟搞清楚

这是设计特性对照，并非“某协议在国内成功率排名”。任何协议都不能自动赋予合法性、安全性和稳定性。

先做服务器前置检查（只读、安全）

1. 目标机器是你拥有/获授权的测试 VPS，最好为空白实例；有快照和控制台救援。
2. 明确操作系统版本、维护周期、防火墙、安全组、磁盘/带宽额度；分别记录 IPv4、IPv6 是否有可达路由。
3. 检查已有监听端口 sudo ss -lntup，不要抢占生产服务。
4. 检查系统时钟 timedatectl status、TLS 证书到期、域名控制权（若协议部署确需）。
5. 只通过官方项目安装手册选择版本；避免直接执行第三方匿名脚本。
6. 客户端先连测试账号/测试服务，保留回滚信息；再按自己的工作时段采样至少 7 天。

Xray / VLESS / REALITY：按官方文档实施

进入 XTLS/Xray-core → README → Xray-examples / REALITY 官方文档。不要从社交帖子盲抄证书字段、伪装域名、私钥。任何配置教程如果要求 allowInsecure=true 或跳过 TLS 验证，都要先确认版本和安全影响；默认拒绝关闭证书校验。各 GUI 面板常为第三方软件，额外扩大攻击面。

验收节点：客户端服务端版本兼容；TLS 握手成功；目标 HTTPS 真实打开；在 4G/5G 与家宽都测试；断开后恢复原网络；不出现异常新证书。失败就分类，不循环更换配置碰运气。

Hysteria 2：UDP 是关键变量

进入 Hysteria 官方首页 → Server / Client。确认服务端可接收所需 UDP，云服务商网络 ACL 不阻断；证书由可信 CA 正确签发且客户端验证开启。可以按官方教程部署到非生产 VPS，不要将带密码的配置发给任何人。不要因为“QUIC 更快”就推导出所有运营商更稳；UDP 可能受限或拥塞。

不建议给新手的 4 件事

• 未经审核把 3X-UI/其他面板暴露到公网，同时使用弱密码。
• 抄写过时的 VLESS / Trojan 密钥示例到公开仓库。
• 用真正业务账号验证陌生安装脚本。
• 把多种协议堆到同一个 VPS 并宣布获得“冗余”，因为机器和 IP 仍是单点。

输出：填好 协议部署验收卡，不能提供任意一个客观证据的结论标为“未验证”。

17｜境外 SIM、eSIM、国际漫游：有时不用安装 VPN

本章结果：确认设备兼容性、服务范围、套餐成本、真实出口与安全责任，避免买完 eSIM 才发现手机无法安装。

三种容易混淆的产品

• 境外实体 SIM：卡的发行方与漫游协议决定网络能力。卡来自境外不表示在中国大陆必然有可用的漫游数据。
• 旅游 eSIM：一种远程写入 SIM 描述文件的方式。不同服务商使用不同的漫游合作伙伴与数据路由；所谓“能访问海外网站”必须用目标服务实测。
• 大陆手机卡国际漫游：通常是本地卡人在境外使用；不能简单等同于“人在境内、通过境外出口上网”。

按顺序做（先核验，再付款）

1. 确认硬件：设置 → 通用 → 关于本机 获取具体机型与型号；Android 查询厂商官方支持列表。大陆购买的 iPhone 与海外版支持情况、运营商 eSIM 描述文件支持情况可能不同。
2. 确认场景：套餐能否在中国大陆漫入指定运营商？有无公平使用政策（FUP）、限速、热点限制？
3. 确认出口：明确询问服务商“数据出口国家、路由归属、DNS/IPv6、IP 类型”，只把售前答复当假设。
4. 确认费用：按预估工作流量计算总成本，而非只比较每天的标价；注意自动续费和有效期起算时间。
5. 备份网络：保留主号码、短信与 MFA 通道；不要在未经了解的前提下删除原有 eSIM 配置或停用主 SIM。
6. 安装与测试：仅经官方 QR/运营商 App 安装，测试正常数据、热点共享、目标服务、DNS、IPv6 和紧急联系人可用性。
7. 离线应急：保存不含敏感信息的购买凭证与客服联系渠道；流量不足时能迅速切回原运营商。

苹果支持的关键区别

苹果关于中国大陆的 eSIM 机型和运营商限制会持续调整，必须以 Apple 官方支持页面 为准。该页面说的是“中国大陆运营商 eSIM 描述文件”的兼容范围，不应将其直接推断成“某机型绝对无法安装任何境外旅行 eSIM”。不同销售地区机型、硬件限制、激活策略都应核对。

5 个反例

• eSIM 安装成功 ≠ 数据已连接；数据已连接 ≠ 目标站点可达。
• IP 检测显示“香港/美国” ≠ 平台会承认你居住当地。
• 移动漫游可用 ≠ 可以替代多台电脑的固定办公网络。
• 有流量不限量宣传 ≠ 高速流量不限量；注意 FUP 和热点共享条款。
• 国外卡是实体卡 ≠ 合法合规风险为零；仍需核查运营商与所在地要求。

来源：Apple：中国大陆 eSIM 说明、Apple 数据漫游说明。

18｜企业跨境办公：专线、SD-WAN、SASE 与远程桌面

本章结果：能写出一份可供公司 IT / 法务 / 采购评审的跨境接入需求，不把个人 VPS 当成企业跨境专线使用。

企业网络选型从“业务对象”开始

法规原始来源：工信部 2017 年《关于清理规范互联网网络接入服务市场的通知》 对未经批准开展跨境经营活动、国际专线用途等作了要求。此处不将监管文件一句话推导为全部个人或企业场景的法律结论，涉及经营或客户数据须由专业人员核查。

采购前 10 个问题

1. 谁是签约主体？由哪家电信运营商提供跨境资源？能否提供可核查资质？
2. SLA 定义是什么：可用率、修复时限、赔付、排除条款？
3. 业务流量实际经哪些国家/区域？哪些系统可能处理账号、日志和客户数据？
4. 是否有身份认证、设备管理、最小权限、访问审计和应急断开？
5. 员工离职、设备丢失后，权限如何撤销？多长时间生效？
6. 如果线路断开，企业系统是否存在业务连续性预案？
7. 支持哪些操作系统、视频会议、SSH/CI/CD、内网域名和 MDM？
8. 税费、带宽、跨区流量、超额、一次性部署及提前解约费用是什么？
9. 政策变更、服务区域变更谁通知、谁承担迁移？
10. 发生网络安全事故时如何联动？有没有日志保留和通报规则？

远程桌面并非透明 VPN

远程桌面（如部署在公司许可环境中的 VDI 或远端云电脑）是把应用运行在远端，设备传输键鼠/画面。它不自动让本地 App、Mac 提词器、iPhone 客户端走海外出口。还要审计剪贴板、文件传输、远端摄像头、支付和账号登录位置。

交付物：填写 企业跨境接入需求表，未经审批不直接部署在生产机。

19｜Tailscale、WireGuard、ZeroTier、海外家庭出口与云工作站

本章结果：知道“组网”与“所有互联网流量经境外出口”之间的差别，并能在被授权的自有设备上做出口节点实验。

概念分层

• 私有组网：连接自己的手机、Mac、NAS、服务器，使设备彼此可达；默认不一定改变公网出口。
• Exit Node / 出口节点：指定某台被允许的设备转发外网请求；它离线或缺少权限就会失败。
• 远程桌面：人在本地操作远端计算机。本地程序仍在本地网络运行。

Tailscale 出口节点：官方操作路径

1. 确认两台设备均属于你或已获授权，并安装 Tailscale 官方客户端。
2. 在境外且有联网许可的设备上登录同一受控 tailnet，按照官方 Exit Node 文档 广告它可以作为出口节点。
3. 由管理员在管理控制台批准节点及使用权限（自定义 ACL 时注意 autogroup:internet）。
4. 在客户端显式选择该出口节点；如果需要本地打印机/NAS，检查“允许访问局域网”。
5. 访问你有权访问的测试网站，检查公网出口是否符合预期；再测试断开与退出后的网络恢复。
6. 记录海外设备开机、电源、密钥到期、出口 IP、运营商和备份设备。不要把它描述成“中国网络必通”。

官方强调：默认 Tailscale 仅承担组网；使用 Exit Node 需要设备、管理员、客户端分别启用。任何一环缺失时，不能宣称全局出口已生效。

原生 WireGuard / OpenVPN / IKEv2

这些标准 VPN 适合允许的远程接入/内网组网，在受限制网络上是否可达取决于传输特征和网络条件；仅因其“加密强”不能推断抗阻断能力强。先做合法用途、目标端口、路由、MTU、DNS、权限和密钥轮换的验收。

海外住宅宽带出口需要额外谨慎

• “住宅 IP”并不天然可靠：家庭设备可能离线、动态 IP 变更、上行带宽低、电力中断。
• 禁止利用未经他人知情同意的设备作为中继；不要向陌生人购买所谓“他人住宅出口”访问权。
• 家人共用出口时，明确访问控制与日志保留边界，避免设备横向访问。

输出：一张「终端 → 隧道 → 出口 → 目标应用」拓扑图，以及主节点宕机后的恢复方法。

20｜Tor、WARP、Smart DNS、指纹浏览器：哪些能解决，哪些不能

本章结果：面对“免费一键翻墙”“DNS 解锁全网”“指纹浏览器就能变美国用户”等宣传时能识别边界。

把工具放对位置

Tor Browser：按官方指引

1. 从 Tor Project 取得适合自己系统的 Tor Browser，确保安装包可信。
2. 在设置中查找 Connection → Bridges；若所在网络无法直连，参考官方 使用网桥 说明。
3. 使用专门的测试站点确认 Tor 浏览器本身正常工作；不要因此假设其他 App 也走 Tor。
4. 重要账号登录要理解 Tor 出口变化可能触发风控；涉及支付、法律/职业身份时遵守服务条款。

Tor 网桥提供绕过封锁的连接选项，但可用性、吞吐量和服务网站对 Tor 出口的限制不能保证。隐私威胁模型参阅 Tor 官方手册。

WARP 的官方说法

Cloudflare 官方明确指出 WARP 不提供匿名性，也不能用它假装从另一个国家上网。参阅 WARP modes。它适合某些网络安全/隐私场景；不能当成任意地理位置代理。

浏览器与 APP 的网络是两回事

指纹浏览器影响网站通过浏览器可观察的部分参数，不会自动决定操作系统、非浏览器应用、运营商 SIM、真实地理定位或支付身份。为了让平台认为你在某个国家而虚构个人身份信息，存在服务条款和安全风险。

输出：删掉方案表里所有通过名字暗示“万能”的工具，记下该工具解决的是哪一层。

21｜五分钟场景化排障：按现象定位，不盲目换节点

本章结果：故障发生后，5 分钟内把问题归入一个可操作的范围；严重故障先回退。

第零关：不要让诊断造成更大损失

停止在生产设备上反复安装未知软件；不要公开全量日志/订阅密钥。先保存异常时间、网络、操作系统、软件版本和最后一次正常工作时间。

决策树

flowchart TD
 A[打不开目标服务] --> B{关闭连接后普通网站是否正常}
 B -->|否| C[先查本地网络/宽带/路由器]
 B -->|是| D{隧道握手/状态是否成功}
 D -->|否| E[核查凭据/服务端/链路/端口/时钟]
 D -->|是| F{其他设备同一出口能用吗}
 F -->|能| G[本机代理/TUN/DNS/权限/进程]
 F -->|不能| H[服务端负载/上游/目标站/出口信誉]
 G --> I[核查特定APP的路由与分流]
 H --> J[多网络/分时段复验]

8 个场景的优先级

排障卡记录格式

时间：YYYY-MM-DD HH:MM，北京时间。设备：Mac M 系列/macOS 版本。接入：家宽/移动热点（不写住址）。现象：隧道握手成功，但目标 HTTPS 超时。对照实验：关闭 TUN 能恢复普通网络；手机热点与家宽不同。最小变更：只改一个参数。结论等级：已复现/高度怀疑/未确认。回退：如何复原。

完成标准：证据足够定位失败层级，或按回滚卡恢复业务后再查；不必每次都当场修复根因。

22｜7 天稳定性 SLO：从“能用”变成工程验收

本章结果：得到一份可复核的测量表，知道“稳定”是否适合你的业务场景。

定义三个层级

• L0 连接建立：连接/握手成功，并能得到预期路由。
• L1 真实任务：目标服务能够在合理时限内执行，例如完成一次合法的 API 测试、Git 拉取或会议连接。
• L2 业务不中断：主用失败后，切换到备用方案恢复核心任务，并能回退到正常网络。

对所有网络方法一视同仁

在 3 种时段 × 7 天 × 2 种接入网络 记录 42 个测试点。分开统计家庭宽带和手机热点；仅在适用时测试 eSIM/漫游。每次都记录：连接成功、目标应用成功、耗时、DNS/IPv6 状态、出口变化、故障原因、恢复时间。

推荐但非行业标准的个人 SLO 例子

• 核心任务成功率 ≥ 95%，测量分母完整报告，不能删掉失败样本。
• 关键页面响应耗时 p95 ≤ 8 秒；会议/实时控制需要另外制定更严格标准。
• 恢复时间 RTO ≤ 10 分钟；超过立即启动可控应急方案。
• 主备至少应当有不同上游/服务商或接入介质，不能只有同 VPS 两个协议。

把“高峰不稳定”量化

如果下午 16:00—24:00 表现差，必须和非高峰时段分别统计；不能只报告夜间 02:00 的测速。无法取得完整样本时就写 n<42（此处仅是示例规定，最终口径在附录中说明），不得写“全国可用率 99%”。

两次故障演练

1. 主出口不可用演练：人为断开授权的主用连接，记录备用方案上线时间与任务结果。
2. 本机配置回滚演练：关闭 TUN/系统代理，确认微信、银行、内网/NAS、国内服务恢复正常。

失败后的选择

• 失败集中在同一接入网络：优先研究本地运营商/接入路径与 UDP/IPv6 差异。
• 失败集中在同一服务商/服务器：优先审查上游和服务器资源。
• 失败集中在同一目标应用：优先审查应用侧策略和 DNS/账号条件。

所有推断都是待进一步验证的假设，变更一次只动一个因素。填写 42 行的 七天测量表 后，可在项目根目录运行 python3 tools/slo_report.py templates/七天测量表.csv。脚本只统计明确填写 0 或 1 的记录，并按接入网络分组；空白不会被当作成功或失败。完成结果记录在 七天测量表 和 网络方案观察表。

23｜对抗式审核：新手、工程师、安全官、事实核验员四方挑战

本章结果：让指南能够持续被证伪、修正和版本化，而不是靠热词和截图维持“永远稳定”的印象。

对抗角色 1：零基础用户

• 挑战：只有手机、看不懂协议，可以仅靠教程完成一个合法授权配置的安装与撤销吗？
• 失败模式：把“装客户端”误认为“获得节点”；iPhone 不支持 eSIM 却先付费。
• 验收：新手能说清楚账户、服务端、配置、客户端四个对象；能在 10 分钟内找到对应的回滚说明。

对抗角色 2：网络工程师

• 挑战：只测一台 Mac 和一个酒店 Wi-Fi，却声称适合中国全年吗？
• 失败模式：混淆连接成功率与业务成功率；数据缺少运营商、时段、样本量；两条主备共用同一上游。
• 验收：3 时段、2 网络、7 天的样本；至少一轮主备演练；不可实测条目必须标“待验证”。

对抗角色 3：安全审核员

• 挑战：供应商如果作恶，哪里能读到你的数据？安装包会不会植入？订阅链接是否可被第三方盗用？
• 失败模式：禁用 TLS 校验、运行未知一键脚本、上传 .conf、截图泄漏服务器账号、将密码写进公开仓库。
• 验收：凭据分离、最小权限、来源核验、密钥轮换；自动扫描只是第一层，发布前人工复查。

对抗角色 4：合规/事实核验员

• 挑战：是否把非经营性研究与未经许可的跨境经营混为一谈？是否把社区体验当作官方事实？
• 失败模式：未引用法规原文；没有区分套餐宣传、社区经验、实验报告；把第三方推广号的“稳定推荐”当作调研证据。
• 验收：高风险结论给出原始来源、核验日期和适用场景；无来源的评价只记录为假设。

审核总表（2026-10-12）

进一步任务清单：参见仓库根目录 AUDIT.md。审稿人提出任何“百分百稳定”或“官方保底”结论，都应要求最小可复现实验与原始数据。

24｜30 分钟启动：第一次正确使用，到每天稳定工作

适合谁：有授权网络接入方式，但不知道如何在设备上保持长期稳定的人。最终产出：一张网络档案、一份三任务验收记录、一个确实可用的回滚路径。时间是教学节奏，不构成性能保证。

先做决策：你需要哪种网络？

第 0 步（3 分钟）：安全底线

1. 明确个人/企业用途与使用权限；企业设备先看 IT 政策和采购要求（见 18 章）。
2. 从官方开发者/厂商来源安装客户端。记录发布页面和版本；不导入未知证书、不关闭证书校验。
3. 确认你有合法且明确授权的访问凭据；绝不把订阅、服务器私钥、面板地址提交给 GitHub 或 AI。
4. 保存现有工作网络设置截图，确认能关闭客户端、关闭系统代理、恢复原 DNS 和路由。

第 1 步（5 分钟）：建立网络档案

复制 网络使用策略卡，只填写非敏感信息：主方案类型、备用方案类型、设备、用途、负责维护者、付费周期、失败时的默认行为。不要写真实服务器公网 IP、订阅 URL、用户名、Token。

推荐为三个场景分别建立档案：①家庭/办公室 Wi-Fi；②手机热点；③外出公共网络。每个环境单独验收，不互相推断。

第 2 步（7 分钟）：依次验证三件事

1. 基础联网：在不启动额外接入时，先打开一个正常可达的网站，确保设备本身在线。
2. 实际路径：启用已授权的方案后，只访问你有权使用的目标服务，记录页面加载是否成功。必要时核验公开 IP 与 DNS 行为，但出口符合预期 ≠ 全流量安全 ≠ 账号地区资格。
3. 应用级工作流：用一个低风险真实任务做验收。例如 GitHub 读公开仓库、下载官方文档、在获授权的 API 沙盒做一次低额度请求。不要用客户生产凭据做网络测试。

验收时把“成功连接”“网页加载成功”“真正完成任务”分成三列。任一环节失败，就按 33 章故障场景 处理。

第 3 步（5 分钟）：设定分流与异常默认行为

默认从最小必要流量开始；需要更多应用时再扩大范围。常见三种模式：

• 模式 A：按需使用。 国内任务时关闭跨境接入，需要海外服务时再启动；最适合小白和低频使用。
• 模式 B：按目的地分流。 明确的内网、本地业务直连，允许的境外业务走指定出口；一定检查 DNS、IPv6 和应用内代理行为。
• 模式 C：企业全隧道。 按公司安全策略将网络统一经受管理的出口，适合审计需求，不应私自绕过公司安全组件。

特别注意：浏览器扩展代理通常不覆盖系统级应用；系统代理不一定覆盖所有 UDP 流量；TUN 会触及路由、DNS、局域网权限。切换模式前记录设置，切换后重新进行“三件事”测试。

第 4 步（5 分钟）：做真正的备用

关闭主方案，使用独立备用网络做同一低风险任务（不同上游或不同接入介质更有价值）。记录切换所需时间，确认旧网络设置正常恢复。没实际演练过的备用，等于还没有备用。

第 5 步（5 分钟）：制定一天的使用节奏

本章交付判断：不是“绿色已连接”，而是能完成任务、能在失败时改用备用、能安全退回原网络。

25｜六种使用画像：把“默认设置”变成可复用策略

所有画像都是参考策略，不是可以直接粘贴进任何客户端的配置文件。界面名称、支持能力以当前软件及组织政策为准。先完成 24 章 再复制。

画像 A：普通用户——最低复杂度

• 任务：查看文档、通讯、日常海外网站；非连续生产工作。
• 接入：一个来源清楚、经试用验收的授权方案 + 手机独立联网能力。
• 路由：以按需开关为主；尽量不全局常驻，不随意叠加多个 VPN。
• 验收：目标网站是否可打开；关闭后支付、地图、局域网是否正常。
• 恢复：第一步关额外接入、第二步恢复系统代理和 DNS、第三步核对本地网络。
• 避坑：安装了“客户端”并不等于已经取得网络接入服务。

画像 B：内容创作者——重上传与平台账号恢复

• 任务：上传成片、发长文、访问素材、直播或连线。
• 策略：拍摄/剪辑尽量离线；上传、发布、结算分开操作。准备本地素材副本和发布草稿。
• 优先指标：目标平台实测上传成功率、持续上传吞吐、断点续传支持、故障恢复时间，而不是单次下载速度。
• 账号策略：登录设备、恢复邮箱、MFA 保持可恢复；只按真实身份、所在地和平台规则申请资格，不使用虚假的地区声明。
• 备用：预备经过批准的独立连接以及在断网时改日发布的应急方案。
• 反例：“测速很高，所以视频永远不掉线”是错误推断。

画像 C：开发者——网页、终端、容器三套路径

• 任务：Git、官方模型 SDK、包管理器、Docker 镜像、IDE 插件、API 测试。
• 策略：明确浏览器、Shell 进程、IDE 子进程、Docker daemon/容器分别是否经代理；避免“一端成功意味着全部成功”。
• 路由：先用系统代理或经批准的应用内设置解决简单场景；有必要且有授权时再考虑 TUN；保留内网/本地地址正确处理。
• 验收：浏览器打开公开仓库；git ls-remote；包管理器访问公开索引；容器拉取一个公开镜像（视环境授权与资源情况）。
• 恢复：移除临时环境变量、撤销测试配置，验证国内网络与公司内网。
• 可执行操作：见 26 章。

画像 D：移动端重度用户——Wi-Fi 与蜂窝平滑切换

• 任务：手机 App、消息、iPad 协作、热点共享、移动办公。
• 策略：每台设备单独验证；记录 Wi-Fi/蜂窝和热点三种模式，断开/锁屏/切网后复测。
• 路由：先看官方 App 是否支持按需连接；组织托管设备遵守 MDM/Per-App VPN 管理。
• 风险：eSIM 兼容与漫游出口是不同问题；App Store 地区、Apple ID、手机时区并不自动决定网络接入安全或服务资格。
• 操作：见 27 章。

画像 E：小团队——可观测和可交接

• 任务：跨境会议、客户沟通、跨国协作。
• 优先：审批合规/客户数据处理/组织设备管理；业务联系人与网络负责人分开，定义回滚责任人。
• 主备：来自不同故障域的连接，不用同一家服务商的两个账号冒充独立备用。
• 日志：记录故障时间、影响、解决方案；不记录目标 URL 中的 token、Cookie 和生产数据。
• 演练：月度一次断主线路和账号恢复模拟；RTO 根据业务实测设定。

画像 F：隐私敏感 / 高风险工作——先做威胁模型

• 任务：涉及研究、敏感沟通或高价值商业数据。
• 策略：先明确威胁来源、哪些元数据可被看到、服务商权限、终端是否可信；只用组织认可的受管理方案。
• 底线：不宣称 VPN、Tor 或“住宅 IP”能实现不可追踪；设备被恶意软件控制时，改变出口无法保护账号。
• 失败行为：关键任务原则上要求连接不满足安全条件时停止传输（fail closed）；其他低风险任务可选择回退直连（fail open）。分别写明，不能用一个全局开关含糊带过。

选错画像的三个信号

1. 你每天调整十几次规则，且无法说明每次调整解决了什么问题——复杂度超过收益。
2. 你只会看测速，无法验证最重要的三项任务——指标与实际需求脱节。
3. 你在真实业务发生异常时仍直接操作服务器和账户配置——缺少回滚和变更冻结。

用 业务网络分层表 写清楚“哪类应用走哪条经授权的路径、由谁负责、失败该做什么”。

26｜开发者实战：Mac、Windows、终端、IDE 与 Docker

目标：彻底弄清“浏览器能用而 Git/Node/Python/Codex/IDE/Docker 不能用”的原因。以下命令主要用于诊断已授权的企业代理或本机受信任代理；端口为示例，必须替换为你自己在客户端确认的端口，不提供第三方连接凭据。

一、先画清五层

接入网络（Wi-Fi/蜂窝） → 操作系统路由 → DNS → 应用的代理配置 → 目标 HTTPS 服务

• 系统代理：通常影响遵循 OS 代理设置的应用；CLI/守护进程可能不遵循。
• HTTP_PROXY/HTTPS_PROXY：很多命令行工具读取，但不是所有工具都读取；变量值可能被子进程继承。
• TUN/VPN：改变部分或全部 IP 路由，不等同于“每个 DNS 查询已经得到正确处理”。
• Docker：Docker Desktop 与 Linux daemon 的配置地点可能不同。官方明确：Docker Desktop 不读取 daemon.json 中的 daemon 代理配置。Docker 官方
• Git/IDE：IDE 中的 Git/终端也可能有独立设置和环境变量。

二、Mac 安全诊断（不打印订阅信息）

打开终端，先运行：

# 网络服务名称可因电脑而异；先列出再选具体服务
networksetup -listallnetworkservices
# 查看当前系统首选网络下的公开路由（仅诊断）
route -n get default | head -20
# 仅列出是否存在代理环境变量，不显示其值或密钥
( env | cut -d= -f1 | grep -Ei '^(http|https|all|no)_proxy$' ) || true
# 查看 DNS 汇总可能很长，分享日志前人工脱敏
scutil --dns | head -60

然后按顺序：①浏览器加载公开文档；②在终端测试公开目标；③检查 IDE 内置终端；④若必要，检查 Docker。

临时验证（以下为本机示例监听地址；将 7890 改为你的实际合法配置监听端口）：

# 直接检查公开网页，10 秒无响应就停止
curl -I -L --max-time 10 https://example.com
# 仅诊断 HTTP 代理是否可用，不会永久修改系统设置
curl -I -L --max-time 10 --proxy http://127.0.0.1:7890 https://example.com
# 如果使用 Git，测试公共仓库的 HTTPS 元数据
HTTPS_PROXY=http://127.0.0.1:7890 \
 git ls-remote https://github.com/git/git.git HEAD

注意：连接失败时，不要用 curl -k、GIT_SSL_NO_VERIFY=1 或取消 TLS 校验“修复”；这可能隐藏证书中间人、代理错误和服务器身份问题。示例 example.com 测试不证明目标服务在中国大陆可访问。

三、Windows 最小诊断

PowerShell（不要粘贴含密钥的真实输出到公开提问）：

# DNS 状态与 IP 配置
Get-DnsClientServerAddress | Select-Object -First 10
# 只显示变量是否设置；不显示密码和地址
Test-Path Env:HTTPS_PROXY
# 测试 HTTPS DNS/HTTP 请求；只用公开目标
Test-NetConnection example.com -Port 443
curl.exe -I --max-time 10 https://example.com

检查 Windows「设置 → 网络和 Internet → 代理」中的系统代理是否与本机客户端一致。若有企业 VPN/MDM，优先通过 IT 排查而非自行覆盖策略。

四、CLI 的正确处理顺序

1. 只浏览器失败：先查浏览器扩展/代理/PAC；不用立刻动全机设置。
2. 浏览器正常而终端失败：先检查终端变量和工具自己的代理设置，确认在同一个终端会话测试。
3. SSH 失败但 HTTPS Git 成功：SSH 端口/出口与 HTTPS 是不同路径；可按 GitHub 官方指南选择有授权的 HTTPS 方式，不要随意改防火墙。
4. 包管理器失败：先核对官方仓库 URL、证书和锁文件；用临时环境变量诊断，避免污染全局配置。
5. IDE 插件失败：核对插件进程与其网络权限，不假定集成终端代理设置自动覆盖插件。
6. Docker 镜像失败：检查是 Docker Desktop、dockerd，还是容器内应用；三者设置不同。

五、Docker 与容器

• Docker Desktop：到 Desktop 官方设置中配置代理，不要套用 Linux daemon.json 方案。
• Linux Engine：参考 Docker daemon proxy，使用经过批准的代理、按文档重启服务；会影响拉镜像等操作，生产环境需变更窗口。
• 容器内：运行期需要单独设计必要的环境变量和 NO_PROXY；localhost 在容器内通常指容器自身，不等于宿主机。
• 日志：代理 URL 如果包含凭据，不在命令行截图和 issue 中公开；应优先使用组织密钥管理。

六、收工清理与回滚

临时命令如 HTTPS_PROXY=... command 仅影响该命令。若之前在 shell 执行过 export，可在确认不是企业必须配置后运行：

unset HTTP_PROXY HTTPS_PROXY ALL_PROXY http_proxy https_proxy all_proxy

不要无条件删除 NO_PROXY，它可能关系内网服务。若你修改了永久 Git 配置，先执行 git config --global --get-regexp '^http.*proxy' 人工查看并脱敏后确认，再做定点恢复。不得运行陌生人提供的“一键清空全部网络”脚本。

完成标准：至少分别验证浏览器、终端、IDE（如使用）、Docker（如使用）四个执行面；每一个写明成功/失败、记录证据、回滚动作。模板见 开发工作流验收表。

27｜移动端全场景：iPhone / iPad / Android / 热点 / 漫游

本章不承诺某个 App 在中国大陆永久可达。手机、平板、电脑之间，不要把“安装同一个 App”视为等价网络行为。

一、每台设备都做四组测试

关键知识：热点共享出去的设备，其网络路由与手机本机 VPN 不一定相同。不要假定“手机绿色已连接 → Mac 自动经过同一出口”；必须在 Mac 自己检测并配置所需的合法网络路径。

二、Apple 设备：按需连接和企业管理的差别

Apple 官方的 VPN deployment 提到 VPN On Demand 和 Per-App VPN，但后者常涉及 MDM、受管理配置和应用授权；普通用户看到一个 VPN 开关，并不代表具备所有企业级按应用路由功能。

1. 从官方渠道安装有维护记录的 App；阅读 VPN 添加配置权限提示。
2. 先检查是否存在老 VPN 或设备管理描述文件：删除前辨明是否属于学校/公司的托管配置。
3. 在 Wi-Fi 与蜂窝下分别用低风险任务测试；锁屏一段时间后再次执行任务。
4. 若需要自动连接，优先使用厂商官方明确支持的设置，不导入陌生描述文件。
5. 用户想访问局域网设备时，检查本地网络权限与官方“允许局域网”选项；切换后测试打印机和 NAS。
6. 关闭接入时，确认国内支付、通话、地图和单位内网可恢复。

三、eSIM 和海外漫游：分开验证三件事

• 机型兼容：设备实际型号、运营商锁定、iOS/Android 版本、eSIM 管理能力。中国大陆购买的设备不能一概按海外机型说明操作。见 Apple 中国大陆 eSIM 官方说明。
• 漫游机制：境外运营商套餐是否允许在当前地区使用、数据出口落地何处、需要哪些 APN/漫游设置，以运营商条款为准。
• 账单风险：漫游套餐的流量单位、限速、公平使用政策、热点共享限制和到期规则。先进行低量验证，再开始大流量上传。

跨境漫游的用户不应假定自己自动拥有海外账号、收款或内容创作者资格；平台规则与网络出口不同。

四、Android 需要额外检查

• 手机系统是否限制后台运行/电池优化导致连接被回收；各品牌菜单不同，不建议一概永久取消所有安全限制。
• 同时存在企业工作资料与个人资料时，先尊重工作资料的管理员设置。
• 若 App 提供“始终开启 VPN”和“阻止无 VPN 连接”之类安全行为，弄清它们是否会影响通话、支付、消息推送和应急功能，再决定是否启用。
• 与 iPad 一样，切换 Wi-Fi/蜂窝或热点后必须重新验证目标任务。

五、外出工作的三项备份

1. 本地保存工作所需文件、脚本帮助文档、客户会议号码和预约信息（不得留下明文 API 密钥）。
2. 提前准备经验证的第二网络介质，例如蜂窝/宽带的独立组合；不可用时停止敏感任务。
3. 保存 十分钟应急处置卡，避免在赶会议时现场下载陌生软件。

完成标准：Wi-Fi、蜂窝、切换、热点这四类至少完成适用的测试；iPhone 与 iPad 分别验收，绝不靠主观感觉。

28｜主备策略工程化：一条线路失效，工作继续

本章目标：把“我买了两条线路”改造成真正有故障独立性的备份架构，并规定何时切换、谁来切、多久恢复。

1. 区分 7 个故障域

判断备用是否有效：至少回答“如果主服务器完全关机，备用还能工作吗？”以及“如果家庭宽带断线，备用还能工作吗？”前者不成立，备用不具备出口独立性；后者不成立，备用不具备接入独立性。

2. 三套可落地架构

轻量版（普通用户/低频）

• 主用：一个经过 7 天测试的合法授权服务。
• 备用：手机蜂窝上网 + 另一条经过实际任务验证的服务（必要时）。
• 应急：资料离线、待网络恢复时发送。
• 限制：如果备用只是“同服务不同节点”，它只减少单节点失效，不保证服务商级故障恢复。

生产力版（开发者/创作者）

• 主用：常用宽带上满足服务条款的受控接入。
• 备用：不同维护方/不同供应商管理的接入，以及手机热点作为下层独立网络。
• 临时缓冲：源代码本地提交、视频分段导出、文案草稿本地保存。
• 边界：自建 VPS 需要更新、补丁、备份、资源告警；它不必然比可靠的商业服务稳定。

企业版（客户资料/跨境业务）

• 先确定组织政策、采购与数据流合规，采用可管理、可审计的服务。
• 双 WAN 或不同运营商接入；必要时跨可用区/供应商设计专线/管理式 SD-WAN，并向供应商索取明确 SLA。
• 设置运维联系人、变更冻结窗口、合规日志留存期限、分级事故通报。
• 不得把员工私人 VPN 当作生产环境的替代合规路径。

3. 明确切换阈值：三段状态机

以下阈值是可调整的示例团队内部规则，不是行业事实；根据你业务的数据修订。

备用切换 SOP

1. 记录故障时刻、当前接入、目标任务、错误；截屏前打码。
2. 暂停上传、支付、客户操作；确认任务不会重复提交。
3. 关闭主网络代理/隧道，避免多个系统代理互相争用。
4. 启用预先验收的备用路径；在低风险目标先进行确认。
5. 仅在出口符合业务安全与条款要求时恢复关键任务。
6. 主线恢复后先在测试任务验证，不在会议/上传中途切回。
7. 记录 RTO（从故障开始到任务恢复的时间）与 Root Cause（证实/待查分开）。

4. 开机自动切换还是手动切换？

• 个人使用：手动切换往往更可控，可避免意外跨地区登录、DNS 漏配与重试重复提交。先做到可观测、可回滚，再谈自动化。
• 生产系统：自动切换必须有健康检查、抖动抑制（避免两条线来回跳）、状态监测和审计；从不以“单次 ping 成功”作为业务健康。
• Tailscale 等组网技术：其 subnet router/app connector 对重叠路由有故障接管能力，但与任意海外上网路径不同，不能推导所有场景自动恢复。参见 官方 HA 和 路由选择。

5. 四种必须做的演练

• 断主方案：人工断开主连接，核对备用能否完成同一真实任务。
• 断主介质：停止家庭 Wi-Fi，改为蜂窝热点，核对出口/设备是否符合预期。
• 客户端冲突：退出 VPN/代理后，局域网与常用国内 App 能否恢复。
• 供应商失联：无法登录服务商面板/不能收到邮件时，备用的配置和恢复码是否仍可取用。

填写 主备故障矩阵。一次演练成功不能证明未来永久可用，每月重复关键演练，出现大版本更新后复测。

29｜网络路由策略：分流、DNS、IPv6、TUN 与本地设备

范围：解释已授权方案如何制定路由策略和验证结果。具体配置字段必须以所用客户端和版本的官方文档为准，不提供未经测试的通用“神奇配置”。

1. 一张策略表比一万行规则更重要

2. 三种路由模式的实际差异

• 系统 HTTP(S) 代理：由支持系统代理的应用选择使用，未必影响所有进程与 UDP。
• 应用级代理：某浏览器或开发工具独立设置，仅对该应用生效。
• 全隧道/TUN：改变更广泛的网络包路由，适用于需求明确的受控环境；需更谨慎处理内网、DNS、IPv6 与本地广播。

选择规则：需要最少时用最少；先单一应用成功，再扩展；企业设备由 IT 管理。

3. DNS 的五步确认

1. 查目标域名是否拼错，以及域名本身是否解析。
2. 区分操作系统使用的 DNS、客户端的解析设置、浏览器安全 DNS、企业内网 Split DNS。
3. 使用低风险域名测试，不把真实客户域名放到公共查询站提交。
4. 判断问题在 DNS 查询阶段还是已解析后的 HTTPS/TCP/QUIC 建连阶段。
5. 只有在证实某条规则有问题时才改动一处，再复测；不要直接“关闭所有 DNS 安全设置”。

重要事实：Cloudflare 的 Split Tunnels 文档指出，IP 路由分流和 DNS 请求策略可能分别处理。故 DNS 不是“只要分流正确就自动正确”。官方文档

4. IPv6 和本地 LAN 不要忽略

• 检查 IPv4 及 IPv6 访问路径是否符合公司/用户设计，避免只验证 IPv4 就宣布“不会泄漏”。
• 为远端出口关闭 IPv6 并非所有场景的最佳策略；先了解客户端与上游是否完整支持，再按安全要求处理。
• TUN 默认路由变化可能影响 NAS、打印机和设备发现；局域网白名单也会影响暴露面，不能无条件开放所有私有网段。
• 热点客户机、虚拟机、容器分别有路由表，不能假设共享主机隧道。

5. 安全导向的两种异常默认行为

Fail closed（失败阻断）：关键业务不能确定经批准的加密/受控通道时，停止其网络通信；恢复前不重新发送敏感数据。适合企业敏感数据、需要持续 VPN 策略的授权业务。

Fail open（失败回退）：在安全要求允许的情况下，低风险国内网站与离线工作可恢复普通网络，保证基本可用性。不能让敏感任务在断线后意外直连。

这两类行为按应用/任务而不是凭心情选择；在 业务网络分层表 中写下来。

6. 修改规则的最小变更流程

现象 → 提出唯一假设 → 备份旧配置 → 修改一项 → 实测三个关键任务 → 保存结果 → 不满足就回滚

示例：原来 NAS 无法发现。优先确认本机 LAN 直连与客户端本地网络权限；不要为解决 NAS 问题改动全部海外路由规则。若本地网段冲突（公司 LAN 与家用 LAN 重叠），应由网络管理员调整网络规划。

7. 给高级用户的检查单

• 目标域名及子域名处理符合设计，避免过宽通配符。
• DNS 路径已验证，考虑企业内网域名与分流 DNS。
• IPv4 / IPv6 的实际行为有记录。
• HTTP(S)、WebSocket、UDP/QUIC 等应用所需协议在已授权网络下可达。
• 本地服务、NAS、打印机、会议 App 正常。
• 断链时敏感任务的处理方式已明确。
• 规则命中日志仅保留必要最小信息，不记录凭据。

参考 路由决策与验证表。

30｜怎么买最划算：试用、供应商风险、成本模型与退出策略

本项目不提供“机场排名”“最稳服务商排行”或长期可用保证；原因是缺少能覆盖地区、运营商和时段的可复核跨供应商数据。采购目标是符合规则的真实业务可用性 + 可退出成本，而不是最低价格。

1. 采购前问自己 8 个问题

1. 我到底需要哪个真实任务？文档访问、上传、会议、API，还是企业内网？
2. 我的设备和系统是什么？需要多少人、多少同时连接、有没有公司 MDM？
3. 订阅/账号/设备配置由谁保管？丢失后能否恢复和吊销？
4. 有哪些隐私承诺？是否有独立审计？日志保留、投诉和数据出口怎么说明？
5. 取消和退款条款是什么？能否拿到官方票据？
6. 支付后是否要安装陌生证书、远程控制软件、关闭杀毒或提交大量隐私？若是，先停止采购。
7. 公司用途是否合法合规、符合客户协议？
8. 我是否已经拥有有效的独立备用？

2. 采购 3 段式：先最小，再验证，再付长周期

阶段 1：桌面研究：验证服务商公司主体、官网、隐私条款、更新时间、软件发布方、工单渠道、退款政策。供应商宣传不能代替测量。

阶段 2：小额试用：在两种网络、三种常用时段，完成 3 个真实任务并记录成败、p95、异常。若免费试用无法在你的运营商使用，不因“别人说很稳”购买年费。

阶段 3：按需扩容：确认体验、账单、权限与退出方式后，才考虑季度/年付。个人场景可先采用月付降低供应商倒闭或线路变更损失；企业看 SLA、退出条款和数据销毁。

3. 从 TCO 看成本

月均总拥有成本（TCO） = 订阅/服务器费用 + 域名/软件费用 + 运维时间 × 时间价值 + 故障期望损失 + 备份费用。

以下全部是演示假设，不是市场报价：

在这些假设下，看似贵的 B 总成本反而低。但真实选择必须用你的账单和停工数据填写 月度成本核算表，不能把示例理解成“某品牌更稳定”。

4. 评分模型（建议个人默认权重，可调整）

不要把测不到的维度赋 5 分；写 未知，保留决策不确定性。

5. 识别推广内容

X、YouTube、论坛、Telegram、评测站的优惠码和测速截图只能做线索；重复发布、返佣、失去上下文的测速都应降级为营销素材。需要记录发布和测试的确切日期、地点范围、设备、运营商、时段、样本数，不得凭“原生/住宅/独享”几个标签判断安全或地区资格。

6. 退出机制

• 保存合法采购合同、取消入口、已付金额、续费日和联系人。
• 停用后在服务商面板吊销访问密钥，移除旧设备授权和客户端残留系统代理。
• 如果涉及公司数据，核查数据留存与销毁承诺，并按组织流程完成交接。
• 到期前 7 天评估是否续约；任何大版本升级前先保留可回滚的已知配置。

31｜安全分层：重要账号、AI 服务、支付和客户数据

本章既面向个人创作者，也面向工作团队。任何网络出口都不能替你提供合法账号资格、可信终端或稳定身份。网络切换引起的登录提醒是安全机制之一，不应通过伪造住址、证件或身份绕过。

1. 按数据敏感度分四层

使用合法 VPN 也可能面对出口运营方、DNS 提供商、终端恶意软件和目标平台的不同信任边界。HTTPS 通常保护内容传输，但不能把它理解成所有元数据绝对不可见。

2. 账号本身至少做好这些事

• 每个关键平台一个独立强密码，使用可靠密码管理器。
• 优先使用平台支持的 MFA / 通行密钥；恢复码离线保管，至少安排第二种合法恢复路径。
• 不把恢复码、私钥、API Token、支付凭据写入 Git 仓库、模板、截图或 ChatGPT 提示词。
• 定期查看登录活动、第三方 OAuth 授权、SSH keys 和过期 Token。
• 网络异常时不要相信“代理客服”私信提供的解除风控链接，通过平台官方入口处理。

GitHub 官方安全清单 建议唯一密码、2FA、密钥和授权应用核查；其 恢复机制说明 明确恢复方法丢失可能无法找回账号。

3. 多设备与多角色隔离

• 日常工作机：只运行经审查的客户端，避免测试未知安装包。
• 测试环境：新客户端/新规则先在非生产设备或隔离的测试用户中验证；用脱敏样本。
• 企业设备：受组织策略管理；私自修改企业代理可能破坏安全与审计要求。
• 多人共享网络：权限按人分配、最小化、可撤销；不要把一个管理员密钥发到群里。
• 云 VPS：SSH 密钥、最小端口暴露、自动更新策略和备份；退出供应商前注销凭据。

4. 指纹浏览器与“住宅 IP”常见误解

独立浏览器配置文件、不同 Cookie 容器、代理出口、系统时区是不同层次。浏览器指纹工具无法保证真实性、不可追踪性或平台认可的地区资格。不要为避免平台身份校验而伪造居住地、支付主体或使用虚假证件。

账号运营建议：长期维护合规、可恢复的身份资料；变更设备或网络前保存官方 MFA 与恢复渠道，重大业务操作时减少不必要的网络切换。遇到平台限制遵循官方验证/申诉机制。

5. 五类事件响应

使用 账号与敏感任务隔离卡 做定期核查。

32｜稳定性不是感觉：监控面板、SLO、变更管理与月度复盘

一、必须分开统计四类数据

1. 网络层成功：设备在线、授权客户端已建连接、DNS 与出口符合设定。
2. 应用层成功：网页、Git、API 或会议在事先定义的时限内完成核心动作。
3. 业务层成功：用户能交付工作，例如视频上传完成、代码提交完成、会议持续顺畅。
4. 恢复能力：主方案失败后实际多少分钟能恢复任务；以及是否可安全退回国内普通网络。

只测第 1 项会产生“所有图标都是绿的，但没法工作”的假象。

二、设计最小监测计划

7 天观察

每天 3 个时段 × 2 种接入 × 7 天 = 42 个预设观测点（不适用网络可提前标记，不可把缺失填成功）。记录设备、地点粗粒度、接入运营商、出口方案代号、目标任务、成功与否、响应时间、DNS/IPv6 是否异常。别将真实手机号、客户 URL、Token、订阅链接记入表。

每周复核

• 统计每项业务任务的成功样本 / 有效样本，另报告计划样本总数和缺失率。
• 延迟统计 p50/p95 时只对实际取得耗时的同类任务计算；失败样本单独报告，避免幸存者偏差。
• 区分基础 Wi-Fi 问题、上游/服务器问题、应用账号问题和区域服务限制。
• 看切换发生次数、误切次数和业务损失，不能只看成功率。

每月复盘

• 收费/运维工时/工单/停工损失总成本。
• 软件版本、密钥到期、服务商存续、是否需要更新或退出。
• 30 天内真正独立切换是否成功。没有演练证据时报告“尚未验证”。

三、建议 SLO（自行定义的样例，不构成业内通用指标）

样本小时数很少时，不应用“99.9% 年度稳定率”等宣传语。成功率 = 已明确成功的有效样本数 / 明确成功或失败的有效样本数，同时必须展示遗漏率；不同类型任务不要胡乱混算一个平均分。

四、把网络健康映射到业务决策

• 连续下降但仍可用：优先保留已有会话、停止不必要的配置变更，晚些时候做 A/B 复测。
• 连接已断：按 28 章 先恢复业务；故障归因推迟到恢复后。
• 账号安全异常：停止敏感操作，优先官方安全流程。不要通过换 10 条线路试图“刷掉异常”。
• 高成本/低可用性：用 TCO 和任务成功率决定淘汰，而不是看广告评价。

五、变更前后必须比较

任何变更都记录：日期 → 变更前版本/配置摘要 → 唯一改动 → 目标 → 测试网络 → 三任务结果 → 发现异常 → 回滚是否有效。

每次最多改一个主要因素。更换节点、同时改 DNS、升级客户端和切换 TUN 会让失败原因无法辨认。先建立“已知可用配置快照”，再做探索。

使用现有 七天测量表 和 python3 tools/slo_report.py templates/七天测量表.csv；月度报告模板见 网络月度复盘。

33｜10 个可复现故障剧本：看到现象，就照表处理

证据说明：以下是根据网络层次和官方文档构造的操作演练场景，不冒充已验证的个人故事、客户案例或中国大陆现场实测。实际原因需要经过对照实验确认。优先做无破坏诊断，涉及单位设备由 IT 协助。

01｜所有应用都没有网络

先看：关闭额外接入后正常网络是否通。若也不通，优先检查 Wi-Fi、网线、蜂窝信号、网关/欠费，而不是先重装 VPN。若普通网络恢复，但授权连接不能用，再看客户端状态。禁止：反复重置设备、同时变更 DNS 和网络路由。

02｜只有浏览器能打开公开代码仓库，终端失败

初步假设：浏览器用了扩展/系统代理，终端没有继承正确设置。步骤：(1) 用公开目标 curl -I；(2) 仅检查环境变量名是否存在；(3) 仅使用经过验证的本地代理做临时对照；(4) 确认公司策略。详细见 26 章。验收：同个目标在浏览器和 CLI 均成功。回滚：撤销临时 shell 配置。

03｜终端 curl 能用，Docker pull 失败

初步假设：Docker daemon 或 Desktop 的网络设置独立。步骤：确认 Desktop 或 Linux Engine；查看 Docker 官方代理文档；核对镜像源访问权限；不使用来历不明的镜像加速站。验收：受控环境拉取公开小镜像。回滚：恢复原有 daemon/Desktop 设置。来源：Docker 官方。

04｜打开海外网页正常，手机热点的 Mac 失败

初步假设：手机本机 VPN 并不自动覆盖热点客户机。步骤：Mac 独立验证当前出口/路由和真实目标；确保 Mac 的已授权访问配置独立有效。验收：Mac 真实业务成功，不拿手机的截图代替。回滚：关闭 Mac 临时代理，恢复原正常网络。

05｜设备“已连接”，网页依然打不开

可能位置：目标站不可用/账户限制、DNS、路由、TLS、协议与应用区别。步骤：先比较已知正常公开 HTTPS 页面和目标页面；做 DNS 与 HTTPS 阶段区分；查看软件本地诊断并脱敏。禁止：关 TLS 证书校验、跳过证书错误。验收：完成业务任务，不仅是状态灯变绿。

06｜晚上不稳定，白天正常

可能原因（未证实）：本地接入拥塞、上游容量、目标服务峰值、协议特性。步骤：固定同一设备、同一公开任务与相同测试流程，每天三时段持续一周；跨 Wi-Fi/蜂窝与备用上游对比。验收：有分组结果和明确样本量。禁止：凭一次晚间卡顿推定具体封锁原因。

07｜切到 TUN 后 NAS/打印机连不上

可能原因：本地路由、局域网权限、名称解析与网段冲突。步骤：保存现状后暂时撤销新 TUN 设置，对比同一局域网服务；检查 LAN 访问与单位政策。验收：恢复 NAS 且其他关键任务正常。禁止：打开不必要的所有内网访问权限。

08｜海外服务提示地区限制或账号异常

判断：IP 位置只是可能相关因素之一，账号资格、支付主体、手机号、税务或服务条款另有规则。步骤：检查官方服务地区与账户资格要求、查看官方安全通知、使用平台支持的验证/恢复入口。禁止：伪造住所/证件或反复切换可疑出口规避安全机制。验收：账户被正式允许访问，而非仅暂时打开页面。

09｜服务器在线，连接突然失败

初步假设：服务器服务进程、证书/凭据过期、配置更改、安全组、账单、系统资源、上游异常。步骤：先看授权管理面板/云厂商官方状态；只读检查资源、上次变更及期限；如需运维修复，先备份再操作。禁止：把 SSH 密钥、IP、配置截图公开求助。验收：客户端实测任务完成，恢复后记录故障原因或标注“未知”。

10｜两条“备用”一起失效

根因排查：是否同一 Wi-Fi、同 VPS、同服务商控制面、同份配置、同信用卡支付、同一台设备？步骤：逐层画故障域；切换真正独立下层接入；用离线工作流保住数据和交付。验收：实测至少一种备用在主方案彻底关停时仍能工作。详见 28 章。

每次故障都填写“最短复盘”

症状—开始时间—影响任务—试过的唯一变量—证据（已打码）—临时解决—根因（确认/待定）—永久修复—回归测试—责任人。

能复现并排除问题的记录才可以贡献为“真实案例”；未经证实的场景不能写“已解决 XX 运营商封锁”。

34｜从零到长期稳定：30 天执行、验收与退出路线

核心原则：第一周建立最小可用系统，第二周分设备与业务场景验收，第三周验证主备和安全，第四周评估成本并固化操作流程。每一步都有交付物和停止条件。

三类用户的“完成线”

• 入门用户：会选择授权方案、会关闭/恢复网络、会验收两台设备，不会因为一次掉线装来路不明的软件。
• 开发者/创作者：能独立定位浏览器/CLI/容器问题，具有可用的备用及本地离线交付资料。
• 企业团队：接入方式受审批、故障由责任人响应、变更可审计、敏感数据不存在未知路径。

每周复盘五问

1. 这周最重要的任务成功了多少次？多少次失败？有多少缺失记录？
2. 哪条故障发生频率最高？是证据，还是推断？
3. 实际演练备用几次？RTO 最差值多少？
4. 账户/设备/资料有没有暴露在不合适的网络或软件中？
5. 下周只允许改一个主要变量，应先改哪里？

把完整记录保存本地或企业授权存储，公开投稿只提供脱敏统计数据。模板见 网络月度复盘。

35｜反直觉事实与误区：稳定、速度、隐私、账号、合规

本章为读者最容易产生错误预期的 16 个问题。事实标注以相关官方文档为边界，不声明中国大陆的当前可用率。

1. 买 VPS 就等于稳定？ 不。服务器只解决部分控制权，网络上游、软件维护、DNS、协议、目标服务仍可能失败。
2. 同一个 VPS 搭 3 个协议等于有 3 条备用？ 不。同机故障域相同，最多提升软件/协议级多样性。
3. 手机能上网，电脑开热点也能自动经同一代理？ 不确定。热点客户机有独立网络行为，必须另测。
4. VPN 图标显示已连接代表所有 App 都走 VPN？ 不一定。系统代理、TUN、应用自己的网络栈和 Split Tunnels 都可能影响路径。
5. DNS 设置不对会怎样？ 域名无法解析、企业内网域名不可达、请求命中意料外路径。Cloudflare 明确区分路由分流与 DNS 配置：官方。
6. 为什么同网络浏览器成功，Git、Docker 失败？ 因为每个应用/守护进程可有独立代理配置。Docker Desktop 也有不同于 Linux daemon 的设置：官方。
7. 买了“原生住宅 IP”就能通过平台国家资格？ 不能推导。IP 属性不等于真实住址、合法身份、服务条款和支付/税务资格。
8. 把 Mac 时间改为美国时间就“算美国设备”？ 不成立。时间、网络、支付和真实身份是不同维度，虚假信息可能违反规则。
9. Tor 一定更快、更匿名？ 不。Tor 有明确隐私模型和局限，其网桥主要解决可连接性，并非万能速度/匿名保证：官方。
10. Cloudflare WARP 能随便选国家？ 它是特定网络/隐私工具，不能按个人想象充当国家身份服务：官方模式。
11. Tailscale 连接就等于具备海外公共出口？ 不。设备互联和经 exit node 转发公网流量是不同功能，后者需要明确配置并获得权限：官方。
12. eSIM 等于海外网络？ 不确定。设备兼容、运营商合同、数据漫游与出口落地均需分别核验。
13. 关闭证书验证可以解决不能访问吗？ 危险。它可能掩盖中间人或错配，正确方法是检查证书链、时间和受信任网络设置。
14. 升级到最新版永远最稳定？ 不一定。正确方法是测试环境先验收、保留可回滚配置、在合适窗口升级。
15. 只关注延迟就够了？ 不够。完成真实任务的成功率、p95、故障恢复与账号异常更贴近业务价值。
16. 这份教程能保证在中国合法且稳定使用一切海外服务？ 不。适用法律、个人/企业目的、服务条款、具体网络和时段都要独立判断。教程提供选择与核验方法，不提供法律结论或现实线路性能承诺。

贯穿原则：官方文档证明产品设计，复现实测证明特定条件下的表现；匿名营销帖与一次测速都不足以证明普遍稳定。要贡献真实案例，使用 来源登记 并删去敏感信息。