科学上网完全指南：协议、线路、客户端与排错（2026 版）-CatTzi

很多人对”科学上网”的理解停留在”买个机场、导入订阅、点连接”这三步，一旦某天连不上，就只能到处问人。这篇文章把整条链路拆开讲：从干扰手段到协议差异，从客户端选型到分流规则，最后给出 8 类常见故障的排查顺序。看完你应该能自己判断”慢在哪、断在哪”。

一、先搞清楚对面在干什么

网络层的干扰不是单一手段，而是分层组合的。理解这一点，才能理解为什么”换协议”有时有用、有时没用。

DNS 污染：对特定域名返回错误解析结果。应对方式是 DoH/DoT 或本地 hosts 兜底。
IP 阻断：对已知服务器 IP 直接丢包。换 IP、用中转、或用 CDN 落地可以绕开，但 CDN 方案本身有特征。
SNI 过滤：TLS 握手中的明文 SNI 字段暴露了你要访问的域名。ESNI/ECH 尚未普及，所以主流做法是”让 SNI 看起来正常”。
TLS 指纹识别：不同客户端握手时的 ClientHello 特征不同。伪装成 Chrome 的指纹（uTLS）是近几年最关键的一环。
流量行为分析：长连接、固定包长、上下行比例异常，都会被统计特征识别。

所以”能不能用”往往不取决于加密强度，而取决于流量长得像不像正常 HTTPS。

二、协议怎么选

协议	伪装能力	性能	适用场景
Shadowsocks / SS2022	中（无 TLS 外观）	高	内网、低延迟、已有稳定落地
Trojan	高（真 TLS）	高	有域名和证书，走 443
VLESS + Reality	很高（借用真实站点证书）	高	不需要自己买域名，当前主流
Hysteria2	中高（QUIC）	极高（弱网尤佳）	丢包严重的移动网络
TUIC	中高	高	QUIC 备选
WireGuard	低（UDP 特征明显）	极高	自建内网、跨境办公专线

结论很简单：没有域名就用 Reality，有域名就用 Trojan 或 VLESS+TLS，网络烂就上 Hysteria2。WireGuard 不适合直接对抗干扰，但作为二层组网非常香。

三、客户端：别在 UI 上浪费时间

Windows：Mihomo Party / Clash Verge Rev（内核都是 Mihomo），或 NekoRay。别用年代久远的 CFW。
macOS：Mihomo Party、Stash、Surge（付费但分流最强）。
iOS：Shadowrocket（买断）、Stash、Loon。国区已下架，需要外区 Apple ID。
Android：FlClash、v2rayNG、NekoBox。
路由器：OpenWrt 上 OpenClash 或 PassWall，全屋设备免配置。

客户端本身不影响速度，真正影响体验的是内核版本和分流规则。同一个订阅，Mihomo 1.18 和 1.19 的握手表现可能完全不同。

四、自建的最小可行方案

VPS 选购只看三件事：回程线路（CN2 GIA / 9929 / CMIN2 优于普通 BGP）、带宽与流量、是否被墙过。便宜机房晚高峰掉到 200KB/s 是常态。

部署顺序：系统装 Debian 12 → 开 BBR → 装 sing-box 或 Xray → 配 Reality（借用一个大站的 SNI，比如 www.microsoft.com）→ 生成订阅链接 → 客户端导入。

# 开 BBR（Debian/Ubuntu）
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p
sysctl net.ipv4.tcp_congestion_control   # 应输出 bbr

Reality 的关键参数是 dest（伪装目标）和 serverNames（允许的 SNI），两者要匹配，且目标站必须支持 TLS 1.3 与 HTTP/2。

五、分流与 DNS：体验差距的主要来源

大部分人觉得”慢”，其实不是带宽不够，而是国内流量也走了代理。分流规则做对，体感提升比换线路明显得多。

fake-ip 模式：DNS 立即返回假 IP，避免解析阻塞，但要注意部分应用不兼容。
geosite / geoip 规则：国内域名直连、国外走代理，规则集每周更新。
DNS 分离：国内域名用国内 DoH 解析，国外域名走代理侧解析，避免污染。
进程级分流：把下载器、网盘客户端单独走直连，别让它们占满代理带宽。

六、8 类故障的排查顺序

现象	最可能的原因	先查什么
能连上但打不开网页	DNS 没走代理 / MTU 不对	换 DNS、把 MTU 降到 1400
时通时断，几秒就掉	TLS 握手被识别	换 Reality、开 uTLS 指纹
延迟低但下载慢	线路拥塞 / 单线程限速	多线程测速、换中转
只有 UDP 不通	服务端未开 UDP 转发	检查防火墙与内核参数
iOS 上无法连接	证书或时间不同步	校时、重装描述文件
晚高峰必卡	回程线路被挤爆	换 CN2/9929 落地
订阅更新失败	订阅域名被污染	改用 IP 直连或本地文件
全设备都断	落地 IP 被封	换 IP、上中转