我们平时会说“连接互联网”，听起来像是设备直接进入了一个统一的全球网络。实际上，互联网更接近一张由无数网络拼接起来的巨大交通网：你的家庭路由器连接运营商，运营商再通过骨干网、互联节点和跨境链路，把数据送往目标网站所在的数据中心。

打开一个网页，通常至少会经过三个关键步骤：

在中国大陆网络环境中，访问境外服务还可能同时受到跨境路由、运营商互联、网络过滤和目标平台地区政策的影响。因此，“国内网站很快、海外网站很慢或打不开”不能只归因于服务器距离。

“某个网站打不开”并不只有一种原因。它可能来自 DNS 解析异常、路由不可达、跨境链路拥塞、网络过滤、服务器主动限制地区、账号风控，或者网站本身发生故障。

在中文语境中，“翻墙”通常指通过某种中转、隧道或代理方式，访问当前网络环境下无法直接访问的互联网资源。它描述的是一种访问结果，而不是一个像 HTTP、SOCKS 或 WireGuard 那样有明确规范的协议。

实现这类访问的工具可能完全不同：有人使用传统 VPN，有人使用 SOCKS 或 HTTP 代理，有人使用 Shadowsocks、VLESS、Trojan 等代理协议，也有人通过企业专线、远程办公网关或学校网络访问内部资源。

VPN 是 Virtual Private Network，也就是“虚拟专用网络”。它的典型目标，是在两个设备或两个网络之间建立一条逻辑上的专用通道。企业员工在家连接公司内网、两个办公室异地组网、手机安全接入家庭网络，都属于 VPN 的常见用途。

代理 则更像一位中间转发员。应用不直接向目标网站发送请求，而是先把请求交给代理服务器，再由代理服务器代为连接。HTTP 代理和 SOCKS5 都属于典型代理形式。

现实中的边界并不总是绝对。例如，代理客户端可以通过 TUN 虚拟网卡接管大量系统流量，看起来很像 VPN；一些操作系统也会把所有创建虚拟网络接口的应用统一显示为“VPN”。所以，手机状态栏出现 VPN 图标，不代表底层一定使用传统 VPN 协议。

新手最容易掉进“协议名词堆积”的陷阱。其实第一步不需要记住所有参数，只需要知道它们大致属于哪一类。

1. 1

   客户端读取配置

   获得服务器地址、端口、协议、用户身份和传输参数。

2. 2

   客户端接管指定流量

   可能设置系统代理，也可能创建 TUN 虚拟网卡，还可能只代理某个应用。

3. 3

   连接远端服务器

   客户端按照配置与服务器建立加密通道或代理连接。

4. 4

   服务器访问目标网站

   目标网站看到的网络来源通常是服务器出口 IP，而不是你当前宽带的公网出口。

5. 5

   响应沿原路返回

   服务器把网站响应传回客户端，客户端再交给浏览器或应用显示。

节点速度不是由某一个参数决定的。即使服务器标注“1 Gbps 带宽”，也不代表每个用户都能持续跑满，更不代表从中国到这台服务器的跨境路径质量很好。

加密首先保护的是通信内容。以 TLS 为例，它的目标包括机密性和完整性：旁路观察者不应直接读出受保护的数据，也不应在不被发现的情况下篡改内容。

但网络要把数据送到正确地点，仍然会暴露或产生一些可观察信息，例如连接的源地址和目标地址、端口、连接时间、数据量、包长分布以及通信节奏。不同协议还可能呈现不同握手和流量特征。

USENIX Security 2023 的一项研究显示，完全加密的流量仍可能依据协议指纹、可打印字符比例和比特分布等启发式特征被分类。这说明“看不到正文内容”与“无法判断流量类型”是两件不同的事。

自建并不天然比购买服务“更匿名”，购买服务也不必然“不安全”。真正需要判断的是：你信任谁、谁能够看到哪些数据、设备是否安全、访问的网站是否使用 HTTPS，以及你的账号行为是否与出口地区相匹配。