VPN for China(中国)

中国运行着全世界规模最大、技术上也最复杂的国家级网络过滤与监控体系。防火长城（GFW，官方名称金盾工程）由公安部和国家互联网信息办公室主管，技术实现分布在三大国有运营商：中国电信、中国联通、中国移动。国际出口带宽集中在少数几个海底光缆登陆点和陆地边境节点，所有流量在进入全球互联网之前都要先经过 GFW 的过滤设施。

按 CNNIC 2024 年的统计，中国有大约 10.8 亿网民，是全球最大的单一国家网民群体。上网以移动端为主，微信、支付宝、抖音、微博和 B 站构成了一套完整的本土生态。对大多数人来说，这套生态已经够用，不需要碰境外平台。这其实是 GFW 最有效的一层设计：每一个被封的境外服务都有质量不差的国内替代品，于是翻墙从日常必需变成了个人选择。

相关的监管框架包括：

- **2000 年《电信条例》**：确立了电信业务（含数据业务）的许可制度。 - **2017 年《网络安全法》**：数据本地化、境外技术安全审查，以及配合国家监管的义务。 - **2017 年工信部关于清理规范互联网网络接入服务市场的通知**：明确要求 VPN 提供方持牌经营，禁止未经批准的跨境信道业务。此后的整顿也导致 VPN 应用从中国区 App Store 下架。 - **2021 年《数据安全法》**：对在华运营的服务追加数据处理义务。 - **2021 年《个人信息保护法》**：框架接近 GDPR，但保留了国家机关访问的例外条款。 - **网信办的各类算法与内容规定**：对国内平台的内容分类和下架义务。

对用户的实际影响：绝大多数西方平台在 GFW 层面被封，包括 Google 全线（搜索、YouTube、Gmail、地图、云端硬盘、相册）、Facebook、Instagram、X、WhatsApp、Signal、Telegram、维基百科（不同时期为全部或部分封锁）、纽约时报、华尔街日报、BBC、彭博、路透等等。在华经营的外企通常走批准的专线（CN2、IPLC、MPLS）或三大运营商的持牌企业 VPN。持牌本身就意味着这些通道运行在国家监管之内。

GFW 的过滤强度不是恒定的。在政治敏感的时间窗口，比如党代会前后、六四周年，它会明显收紧，针对 VPN 端点的主动探测也会同步加强。Reality 这类协议在收紧期依然能握手，但质量会有可测量的下降。

GFW 是一套分层的过滤和检测系统。截至 2026 年 5 月，已被记录的能力包括：

**第一层：DNS 污染。** GFW 会为被封域名注入伪造的 DNS 响应。只要不走 DoH/DoT，无论你查询的是哪个解析器，公共 DNS（1.1.1.1、8.8.8.8、9.9.9.9）的明文 UDP 响应都会被污染。

**第二层：IP 与 SNI 封锁。** 针对已知 VPN、Tor 和翻墙工具端点的硬编码 IP 黑名单。SNI 过滤读取 TLS ClientHello 里未加密的 SNI 字段，对命中的域名直接重置连接。

**第三层：DPI 指纹识别。** 对已知 VPN 协议做模式匹配。截至 2026 年：

- **WireGuard**：握手首包指纹可识别，封锁准确率接近 100%。 - **OpenVPN（TCP 和 UDP）**：通过 opcode 模式和 TLS 握手特征识别，被封。 - **IKEv2 / L2TP**：可识别，被封。 - **不带 Reality 的裸 VLESS**：可识别，被封。 - **Shadowsocks AEAD**：熵分析可以标记出 Shadowsocks 流，被封。 - **Trojan**：TLS 填充模式可识别，被封或严重降速。 - **obfs4、meek、Snowflake**：从被封到严重降速不等。 - **不带 Reality 的多数 VMess / V2Ray TLS 变体**：降速或被封。

**第四层：主动探测。** GFW 观察到一个指向陌生端点的 TLS 握手时，会触发主动探测：重放握手并加入各种扰动，向目标 IP 发送探测流量，看对方的响应模式是否符合 VPN 服务器的特征。探测未通过的端点会被加入黑名单。

**第五层：流量分析指纹。** 对包时序、长度分布和流特征做统计分析。TLS-in-TLS（VPN 的 TLS 握手被套在外层 TLS 握手里）会留下稳定的长度差特征，能被识别出来。

**2026 年还能用的：**

- **带 Vision 流控的 VLESS Reality（xtls-rprx-vision）**：向一个真实的公开站点（Microsoft.com、Apple.com、Cloudflare 等）完成真实的 TLS 1.3 握手，用的是对方真实的证书。因为握手是转发过去的，所以和目标站点完全一致。Vision 流控消除了 TLS-in-TLS 的长度特征。在 DPI 看来，这就是一条通往世界 500 强站点的普通 HTTPS 流量。目前是最主流的可用协议。 - **TUIC**：基于 UDP，模拟 QUIC。对不少用户可用，敏感期会降级。 - **NaiveProxy**：把代理嵌进 Chromium 的 HTTP/2 流里。抗指纹能力强，因为它本身就真的是一个 Chromium 连接。 - **ShadowTLS v3**：把 Shadowsocks 包进一次真实的 TLS 握手。 - **Hysteria 2**：在部分网络可用，另一些网络上表现不佳。

**已经不能用的：** WireGuard、OpenVPN、IKEv2、裸 VLESS、Shadowsocks（2026 年任何变体）、Trojan，以及绝大多数商业品牌所谓的“隐身”或“混淆”模式。那些模式只是把 WireGuard 或 OpenVPN 裹上 TLS 填充，并没有真正向真实主机终结 TLS。

**被封的平台（举例，不完整）：** Google 全部产品、YouTube、Facebook、Instagram、X、WhatsApp、Signal、Telegram、维基百科（时有变化）、Discord、Reddit、Pinterest、Dropbox、OneDrive、iCloud 邮件（时有变化）、纽约时报、华盛顿邮报、华尔街日报、BBC、彭博、路透（时有变化）、世界报、德国之声、境外区 App Store（取决于 Apple ID）、Steam 社区（商店可用，社区页被封或降速）、GitHub（有时降速）。

**应用商店：** 2017 年工信部通知之后，中国区 App Store 下架了 VPN 应用，用中国区 Apple ID 基本下不到。变通办法是用非中国区 Apple ID。Google Play 完全被封，Android 用户只能侧载 APK 或者用 F-Droid。

对中国境内的用户来说，需求就是访问开放互联网：Google、维基百科、境外新闻、境外社交媒体、境外学术资源、境外区应用商店的内容。国内生态（微信、百度、B 站、抖音）质量不低，日常够用。翻墙因此是一个由具体需求驱动的个人选择：查国际资料、看外语新闻、和在国外的家人联系、工作上必须用只有境外才有的服务，或者单纯就是习惯用某些境外工具。

对在华生活或短期停留的外籍人士来说，需求是保持原有工具链不断。在中国做国际业务的人依赖 Google Workspace、国际版 Microsoft 365（不是世纪互联运营的中国版）、Slack、Notion、GitHub，以及境外的银行和支付服务。企业规模的需求可以走批准的专线和持牌企业 VPN；个人和小团队则只能靠个人用途的境外 VPN。

对记者和研究者来说，威胁模型要高得多。已有记录显示，中国对在华工作的外国记者，以及报道敏感题材的国内记者，都存在监控。VPN 只是其中一层，还需要配合硬件纪律、通讯软件的谨慎选择和操作习惯。针对在华西方记者的商业间谍软件，目前没有像在墨西哥或沙特那样被大量记录，但国家层面的能力是存在的。

**给个人用户的实话。** 在中国个人使用 VPN，存在小但不为零的行政处罚风险，以及一个更大的、随不同时期政策松紧而变化的政治环境风险。针对个人用户的起诉很少见；针对商业提供方和销售者的起诉很常见，判决中包含过数年的有期徒刑。购买任何一家境外商业 VPN，无论是 Fexyn、ProtonVPN、Astrill、Mullvad、NordVPN 还是 ExpressVPN，都意味着走进这片灰色地带。我们不会假装不是这样。

Fexyn 以 Fexyn Stealth 的名义提供带 Vision 流控的 VLESS Reality。截至 2026 年 5 月，这一类协议是还能在 GFW 下存活的那一类。多数西方主流 VPN 品牌（NordVPN、ExpressVPN、Surfshark、ProtonVPN、Mullvad）根本不提供 VLESS Reality，它们的“隐身”“混淆”“NoBorders”模式只是把 WireGuard 或 OpenVPN 裹上 TLS 填充，而这种填充的特征 GFW 是能匹配出来的。2023 到 2026 年间，随着 GFW 的 DPI 能力提升，它们在中国的成功率一路下滑。

**竞品对比，说实话。** Fexyn 是一家规模很小的新公司，注册在美国怀俄明州，属于五眼国家。我们目前还没有第三方无日志审计。我们只有 4 台服务器：法兰克福、赫尔辛基、塞浦路斯、阿什本。这个规模对中国用户来说最要命的一点是：我们没有亚洲出口。中国用户走法兰克福，从北京或上海过去，延迟通常在 200 到 280 毫秒之间，具体取决于海缆路由。浏览网页、收发邮件和大部分日常使用没问题；视频通话和游戏就谈不上好。

**在中国这件事上，履历更好的服务商：**

- **Astrill**：在多轮 GFW 升级中保持可用的时间最长，从 2009 年就专做中国市场。比 Fexyn 贵不少（按当前汇率约合每月 30 美元），但如果中国是你的主要使用场景，这个钱值得花。 - **ProtonVPN**：瑞士公司，做过审计，无日志。Stealth 模式在中国大多数时候可用，敏感期会时断时续。有多个亚洲出口。如果你看重瑞士司法辖区，这是个不错的选择。 - **Mullvad**：瑞典公司，做过审计，无日志，账号完全匿名。但它的协议目前在中国基本被封，部分网络可用，部分不行。 - **NordVPN 的混淆服务器**：有时能用，有时不能。服务器规模比 Fexyn 大得多。 - **ExpressVPN**：历史上在中国相当可靠，但 2024 到 2026 年间效果明显下滑，GFW 已经跟上了它那套 TrustedServer 混淆。

**Fexyn 适合谁。** 如果你想要一家规模较小、并且真的提供 VLESS Reality + Vision（而不是“混淆版 WireGuard”这种半吊子方案）的服务商，价格更低（中国用户适用第 2 档，每月 6.49 美元），并且你能接受这些代价（服务器少、没有亚洲出口、五眼辖区、尚未审计），那 Fexyn 是一个实际可选项。如果中国是你的主要使用场景而且预算不是问题，Astrill 的履历更硬。如果审计状态对你是硬指标，ProtonVPN 更有说服力。

**如果你有技术能力。** 大多数有经验的中国用户实际上是自建 VLESS Reality。花每月 5 美元在东京、新加坡或洛杉矶开一台 VPS，跑 XRay-Reality 加 Vision，偷一个像 microsoft.com 这样的站点，你得到的就是和 Fexyn 一样的协议，成本更低，而且没有共享 IP 的连带风险。社区里有成熟的配置文档，可以搜 GitHub 上的 XTLS-Iran-Reality，Android 用 NekoBox，Windows 用 V2RayN。这是性价比最高的路子。商业 VPN（包括我们）适合的是：你不想自己维护服务器，你需要多个节点做故障切换，或者你觉得混在共享服务器里比暴露一个专属 IP 指纹更安全。

从境外付款的话，刷卡和加密货币都可以。从中国境内付款，境外卡的订阅扣款受限，银联也不能稳定处理境外订阅。境内用户建议走 0xProcessing 的加密货币通道。第 2 档定价为每月 6.49 美元，7 天免费试用不需要先付款。

界面支持简体中文。

**在你入境中国之前，或者在你需要它之前，先把 Fexyn 装好。** 截至 2026 年 5 月，fexyn.com 本身没有被 GFW 封锁，但任何一家商业 VPN 网站的封锁状态都可能随时改变，且不会有预告。在收紧期从中国境内下载全新安装包，成功率不高。如果你要去中国，出发前装好。如果你人在中国、现在的翻墙方式还能用，不要等它失效了才去装备用方案。

如果你人已经在中国、手上没有可用的翻墙工具：请一位境外的朋友把安装包发给你（Windows 在 fexyn.com/download/windows，Android 的 APK 也在 fexyn.com 直接下载）。如果你有非中国区的 Apple ID，iOS 版可以从那个区的 App Store 下载；2017 年之后中国区 App Store 不再上架 VPN 应用。

到 fexyn.com/pricing 注册，结账时会根据中国 IP 显示第 2 档价格。从境内付款时，**加密货币**（比特币、TRC-20 或 ERC-20 的 USDT、经 0xProcessing 的 USDC）是稳妥的路径，境外卡在外汇管制下受限。7 天免费试用不需要先付款，正好可以先验证协议在你自己的网络上到底通不通，再决定要不要付钱。

在应用里，**把 Fexyn Stealth 设为默认协议**。在中国这一步没有商量余地。Bolt（WireGuard）和 Secure（OpenVPN）不会通，GFW 在协议层就把它们拦住了。默认出口选法兰克福；塞浦路斯和赫尔辛基也能用，但对华东地区的用户来说延迟通常比法兰克福高。

**在政治敏感的时间窗口**（党代会期间、六四周年前后、重大政治活动期间），要预期到质量下降。GFW 针对 VPN 端点的主动探测在这些时段会加强。Reality 依然能握手，但重连可能变慢，吞吐量也可能下降。这种时候先换个服务器位置，往往比换协议更管用。

**给出差的人：** 出发前装好，落地第一天就在酒店 Wi-Fi 上测一遍，并且准备一个备用方案。长期的商务办公，走批准的企业专线（CN2、IPLC）是监管上最干净的做法。境外个人 VPN 用于个人用途属于灰色地带，而以商业形式提供则是明确禁止的，不要从中国境内的 IP 上架设商业 VPN 端点。