很多人第一次遇到这种情况，会从设备上找原因：是不是浏览器坏了？是不是路由器配置错了？是不是手机系统不兼容？但当不同设备、不同软件和不同接入方式都出现相似结果时，真正的问题通常已经不在设备本身。

原因很简单：这些设备虽然看起来不同，最后却都接入了中国大陆的互联网体系。家庭宽带经过固定网络运营商，手机流量经过移动通信运营商，国内云服务器经过云厂商和上游骨干网。它们最终访问境外网络时，都要经过大陆的跨境网络出口和相应的管理、过滤与监测系统。

所以，换手机只是换了“乘客”，切换 Wi-Fi 只是换了“上车地点”，但大家最后仍然要经过同一套出境道路和检查机制。只要目标服务在这条路径上被阻断，换设备通常不会改变结果。

“墙”并不是你家路由器里的一项设置，也不是某一台放在海底光缆旁边的巨大服务器。它更接近一套分布在运营商、骨干网络和跨境出口上的网络管理与过滤系统。

这套系统在民间通常被称为 Great Firewall，简称 GFW，中文常叫“防火长城”或“网络防火墙”。它会根据域名、IP 地址、协议特征、连接行为等信息，对特定跨境通信进行识别、干预或阻断。学术测量已经记录到 DNS 注入、TCP 重置、IP 阻断、流量识别和主动探测等多种机制。

这并不代表中国大陆与世界互联网完全断开。国际贸易、跨国企业、软件更新、学术通信和大量普通境外网站仍然需要跨境连接。更准确的说法是：跨境互联网是连通的，但并非所有目标和所有通信方式都可以自由直达。

“墙”这个比喻之所以流行，是因为普通用户的感受很像面前有一道看不见的障碍：国内网站可以正常打开，某些境外网站却像不存在一样，超时、重置、解析到错误地址，或者始终无法建立连接。

很多人把“打不开”理解成运营商保存了一张网站黑名单，然后简单地拒绝访问。现实要复杂得多。同一个网站可能同时受到多种技术影响，而且这些方式还会不断变化。

“翻墙”不是一个正式技术名词，而是中文互联网中的形象说法。

当中国大陆用户直接访问某个境外服务时，请求会沿着普通网络路径走向目标。如果这条路径上的 DNS、IP、域名或连接被过滤，请求就无法继续。普通用户看不到中间发生了什么，只看到网页打不开，于是便把这种看不见的阻隔称为“一堵墙”。

如果用户不再直接连接目标网站，而是先连接一台自己能够到达的境外服务器，再让这台服务器代为访问目标网站，原来的访问路径就被改变了。请求没有沿着原路直接撞向被阻断的目标，而是先到达一个可连接的中转点，再从中转点进入国际互联网。

从结果上看，原本无法直接访问的服务现在可以访问了，人们便说自己“翻过了墙”。但从技术上讲，并没有真的翻越一堵物理墙，而是借助代理、隧道或专用网络改变了通信路径和互联网出口。

可以把代理服务器想象成一位住在境外、能够正常访问国际网站的朋友。

你自己打不开 YouTube，于是先把“帮我打开这个视频”的请求交给这位朋友。朋友所在的网络可以访问 YouTube，他便替你打开页面、取得数据，再把结果传回来。整个过程中，YouTube 直接看到的是朋友的网络地址，而不是你家宽带的出口地址。

这就是“代理”的直观含义：它代理你完成访问。在真实网络中，代理不是人工帮你复制网页，而是一台运行代理程序的服务器，以毫秒级速度自动转发大量数据。

1. 1

   客户端接管请求

   手机或电脑上的客户端发现这条流量需要代理，于是没有让应用直接连接目标网站。

2. 2

   请求被封装并发送到节点

   客户端按照协议，把流量发送给香港、日本、新加坡、美国或其他地区的服务器。

3. 3

   服务器访问目标网站

   境外服务器使用自己的国际网络出口连接 Google、YouTube 或其他目标服务。

4. 4

   响应沿原路返回

   网站把内容交给服务器，服务器再把数据传回客户端，最终显示在浏览器或应用中。

如果客户端与代理服务器之间使用了加密协议，沿途网络通常不能直接读取其中的网页正文和具体请求内容，但仍然能够看到你正在连接某个服务器、连接持续多久、传输了多少数据，以及部分流量特征。

香港离中国大陆近，网络延迟通常比欧美地区低，而且香港采用与中国大陆不同的电信和互联网接入体系。许多在大陆普通网络中无法直接访问的国际网站，在香港网络中通常可以直接访问。因此，用香港服务器做例子非常容易理解：

但这里要纠正三种过度简化的说法。

同样的中转逻辑也可以发生在日本、新加坡、韩国、美国、英国或其他地区。香港只是距离近、容易理解的一种选择，并不是“翻墙”必须经过的地方。

澳门和台湾地区的互联网接入环境也不同于中国大陆，但每个地区都有自己的法规、平台政策和网络质量。讨论技术原理时，最稳妥的说法不是“那里没有任何监管”，而是它们没有采用与中国大陆完全相同的跨境网络过滤体系。

这是中文互联网中最常见的混用。

VPN 是 Virtual Private Network，也就是“虚拟专用网络”。传统 VPN 的设计目的，是在设备和另一个网络之间建立一条加密隧道。例如，员工在家连接公司内网，或者把两个办公室连接成一个私有网络。

代理 更强调“代为转发”。应用把请求交给代理服务器，代理服务器再访问目标。HTTP 代理、SOCKS5、Shadowsocks、VMess、VLESS、Trojan 等通常更接近代理体系。

为什么手机上很多代理客户端仍然显示“VPN”图标？因为 iOS 和 Android 通常通过系统提供的 VPN 或虚拟网络接口，让客户端接管其他应用的流量。状态栏显示的是系统接口类型，不一定说明底层使用的是传统 VPN 协议。

理解了“境外中转”以后，下面这些词就不再神秘了。它们只是整条链路中不同位置的零件。

下一篇要安装的 3x-ui，就是帮助普通用户更直观地管理“服务器端”这一部分。它把原本需要手动编辑配置文件的操作放进网页面板中，让用户能够创建节点、复制分享链接和生成二维码。

代理改变了路径，但没有让互联网的其他问题消失。一次连接要同时经过本地网络、大陆到境外的链路、中转服务器、服务器到目标网站的链路，以及目标平台自己的风控系统。任何一段出问题，都可能表现为“节点不能用”。

安全方面也要避免两个极端：代理既不是“毫无安全性”，也不是“开启后彻底匿名”。正常 HTTPS 可以保护你与目标网站之间的网页正文，但代理服务商仍可能知道你的来源 IP、连接时间、流量大小和访问目标的部分元数据。网站账号、Cookie、浏览器指纹和支付信息也不会因为更换出口 IP 自动消失。