VPN 是如何被屏蔽的，以及我们如何应对每一种方式
大多数“如何绕过审查”的页面只描述了一种技术，并暗示它能解决所有问题。事实并非如此——审查者会使用多种不同的技术，而能应对其中一种的 VPN 仍可能倒在另一种面前。本页面将它们分别列出，说明我们的两款引擎各自应对哪些情况，并明确指出哪些情况两者都无法解决。
两款引擎，而不是一款
Unblock Master 配备了两款 VPN 引擎，因为没有哪一款能应对下面列出的所有技术。Faster 运行的是 AmneziaWG——去除了固定指纹的 WireGuard——并且是大多数网络环境的默认选择。Unblocker 运行的是 Reality，它不是伪装 VPN 连接，而是将其替换为与真实网站的真实 TLS 连接。在应用中切换它们只需一键，这很重要，因为正确的引擎取决于你面前的网络实际使用的技术。
有关每种协议单独泄露的信息，请参见 协议对比本页面以另一种方式组织：首先按审查技术排列，然后是我们对每种技术的应对方案。
| 屏蔽技术 | Faster (AmneziaWG) | Unblocker (Reality) |
|---|---|---|
| 协议/握手指纹识别 | 直接解答 | 直接解答 |
| SNI过滤 | 未解答 | 直接解答 |
| TLS指纹识别(JA3/JA4) | 未解答 | 直接解答 |
| 主动探测 | 部分解答 | 直接解答 |
| IP地址封锁 | 未解答 | 未解答 |
| 限速 | 未解答 | 未解答 |
“直接应对”意味着引擎的设计专门针对这种技术。“部分应对”意味着它有所帮助，但仍有残余信号——请阅读条目，而不仅仅是徽章。“未解决”会像其他两种情况一样明确说明；一个页面只说好并不是在衡量任何东西。
协议/握手指纹识别
匹配前几个数据包中的固定字节模式——这种指纹使得普通WireGuard一出现就被轻易封锁。
Faster (AmneziaWG)
直接解答
Unblocker (Reality)
直接解答
更快的(AmneziaWG)专门为消除这种指纹而设计：在握手之前发送垃圾数据包，改变数据包大小的填充，以及将四个固定的报文类型字节替换为双方事先商定的值。这里没有WireGuard的148/92字节握手会被DPI规则捕捉到。Unblocker(Reality)完全避开了这个问题——它不是一个审查者可以模式匹配的UDP握手，而是一个像其他HTTPS请求一样的TLS连接。
AmneziaWG的保护取决于两端对每一个混淆参数达成一致；一个错误而非被拒绝的配置仍然会连接，但会悄悄携带可匹配的模式。我们控制两端，所以这是一个操作风险，而不是用户管理的问题。
条款: deep-packet-inspection · amneziawg · junk-packets · header-magic
SNI过滤
通过读取TLS握手开始时发送的明文站点名称来阻止HTTPS连接，此时加密尚未开始。
Faster (AmneziaWG)
未解答
Unblocker (Reality)
直接解答
Faster根本不使用TLS，因此没有SNI字段可供读取——但这只在检查流量的网络上才重要；一个只允许看起来像普通TCP/443网页浏览的流量的网络，无论如何都不会让AmneziaWG的UDP通过。Unblocker的Reality连接展示了它所模仿的真实网站的TLS握手，包括SNI——所以审查者读取的SNI是掩护站点的名称，而不是我们的。
这就是Unblocker存在的特定情况：当网络过滤TLS元数据而不是UDP协议形状时，这是我们的答案。
条款: sni-filtering · reality · vless
TLS指纹识别(JA3/JA4)
通过TLS连接提供的密码套件、扩展和曲线的确切顺序来识别背后的软件——这是库的一个特征，在加密开始之前发送。
Faster (AmneziaWG)
未解答
Unblocker (Reality)
直接解答
不适用于Faster，因为AmneziaWG根本没有TLS握手可供指纹识别。Reality的整个设计专门针对这种技术：它借用真实站点的真实TLS握手，而不是近似一个，所以审查者收集的JA3/JA4签名与真实访问者的无法区分。
模仿握手正确是必要的，但还不够——参见下面的主动探测和流量形状分析，了解正确的握手本身不包括什么。
条款: tls-fingerprinting · reality
主动探测
审查者连接到您刚刚使用的服务器，并检查它是否像代理一样响应——通过其自身行为而不是您的流量来识别服务器。
Faster (AmneziaWG)
部分解答
Unblocker (Reality)
直接解答
没有正确密钥的探测者无法从Faster服务器获得可识别的特殊回复——但一个只响应这种不寻常模式的服务器，在检查时仍然是一个做了一件不寻常事情的服务器。Unblocker直接针对这种情况构建：一个没有正确密钥的探测者被直接传递到被模仿的真实站点，并获得该站点的真实证书。探测确认了掩护故事而不是暴露任何东西。
对于最严苛的网络——主动探测是常规操作——我们推荐切换到Unblocker引擎，应用程序可以一键切换而不是重新安装。
条款: active-probing · reality
IP地址封锁
丢弃到特定地址的所有流量，不管它携带什么协议——这是一种粗暴的方法，是提供商运营的地址数量与审查者枚举它们的速度之间的纯数字竞赛。
Faster (AmneziaWG)
未解答
Unblocker (Reality)
未解答
我们的引擎不会隐藏服务器地址——我们也不做这样的承诺。我们应对审查的方法是操作层面的，而非协议层面的：在多个国家部署服务器，因此当一个地址被封锁时，用户只需轻点切换国家即可继续使用，而不是应用停止工作。这是韧性，而非逃避，两者不应混淆。
审查者枚举并封锁整个地址范围——而不仅仅是单个服务器——这是两种引擎都无法解决的问题。任何VPN都做不到。
条款: ip-blocking · asn · datacenter-ip
限速
故意降低连接速度而不是完全封锁，直到使用变得痛苦不堪——这比直接封锁更难衡量，也正因为如此，审查者越来越倾向于采用这种方法。
Faster (AmneziaWG)
未解答
Unblocker (Reality)
未解答
无论使用哪种协议，当网络已经识别出流量为加密且无法识别时，我们的引擎无法阻止网络对其进行限速。应用提供的是一种快速判断切换是否有帮助的方法：如果网络是根据协议特征进行限速，从“加速模式”切换到“解锁模式”会完全改变这种特征，这是当连接速度缓慢而非完全断开时唯一值得尝试的方法。
如果两种引擎都被同等限速，网络几乎肯定是根据流量或目标地址进行限速，而不是根据协议，没有VPN引擎能改变这一点。
为什么选择两款引擎而不是一款更好的
上表没有一行显示单一引擎能覆盖所有情况，这并不是我们尚未解决的问题——这是结构性的。Reality 对抗 SNI 过滤、TLS 指纹识别和主动探测的优势在于每个数据包都支付真实 TLS 握手的成本；正是这个成本使其成为备用选择而非默认选择。Faster 更轻便、更快速，恰恰是因为它没有支付这个成本，这也是它对 SNI 或 TLS 指纹识别无能为力的原因。没有哪款引擎是另一款的未完成版本。
这里没有涉及协议级别的 IP 封锁或限速，也没有哪款 VPN 引擎能做到这一点——这些要么通过运营手段（更多服务器、更多国家）解决，要么根本无法解决。声称其他情况是本页面旨在避免的那种事情。