访问一个网站，电脑先连到 VPS，再由 VPS 去连接目标服务器。后一段连接快不快，和 DNS 返回了哪个 IP 有关系。

所以，走海外节点的域名，应该围绕那个节点做近地查询，再从候选地址里找出节点访问更快的 IP。东京 VPS 出口，要优化的是东京到目标网站这一段。

在 VPS 上查询，也在 VPS 上测速

同一个域名可以返回多个 IP。国内 DNS 给出的候选地址，东京 VPS 连过去可能要绕远。前半段线路再快，也会被后半段拖慢。

我的日本节点上已经有 DNS 服务，本地通过分组把部分域名交给它查询。

这里最容易配错的地方，是 DNS 在海外查了，IP 却在家里的路由器上测速。

业务连接最后由 VPS 发起，本地测到的是家里到目标 IP 的表现。因此，要在 VPS 上部署具备地址优选能力的 DNS，由它查询、测速并返回结果，本地前端负责转发对应域名的查询。

如果本地也用 SmartDNS，要关闭这部分转发域名的本地测速，避免把节点选好的地址再按家庭网络筛一遍。

验收时，检查应用是否使用了节点 DNS 选出的 IP，再比较实际访问速度。

严查时，远程 DNS 也走代理

IP 阻断也会影响 DNS。日本节点本机能正常解析，经可用代理可以完成 DoT 查询，但从家里直连，多个 TCP 端口都超时。

依赖它的域名分组因此开始解析失败。海外节点上的 DNS 还在运行，本地却无法把请求送过去，前面做的优化也就用不上了。

在严查的时候，访问远程 DNS 也通过可用代理，会更稳妥。SmartDNS 本身提供 Proxy 设置，可以给代理起一个名字，再让指定上游使用它。SmartDNS 代理配置

我家的海外 DNS 分组配在 SmartDNS 中，可以直接给日本上游指定代理。

具体配置交给 Codex，说明要让哪些域名使用哪个 VPS 的 DNS、远程查询通过哪个可用代理，保留其他分组。完成后确认这些域名能正常解析，并由相应的 VPS 出口访问。

其中一台换过 IP，恢复了连接，过几天又不行了。继续换当然也是个办法，但搬瓦工换一次要 11 刀，DMIT 对能 ping 通的机器，不提供免费更换 IP 的选项，我没法跟 GFW 打消耗战。

阻断策略还没弄清楚，我先尝试用 CDN 自救。目前看，效果还不错。

能 ping 通，TCP 却连不上

这轮遇到的阻断有个特点：ICMP 没被拦，VPS 可以正常 ping 通，但 TCP 握手无法完成。SSH 连不上，REALITY 也连不上。拿到 tcp.ping.pe 测，大陆方向的连接同样失败。

这就比直接 ping 不通更容易让人误判。机器还活着，服务也可能正常，只看 ping 会以为网络没问题，接着去查端口、配置和代理软件。

先用 CDN 把入口换掉

我原来愿意直连 VPS，是因为选好的机房在自己的网络上速度和稳定性都不错。这次给它加了一条 CDN 备用入口。

直连时，电脑直接连接 VPS 的 IP；套上 CDN 后，电脑先连接 CDN 边缘，由 CDN 回到海外源站。

我新增的链路用 VLESS + TLS + XHTTP，支持经过 CDN。部署时保留原来的 REALITY 服务，两种入口可以切换使用。

四个入口都确认到达东京出口，实际上传和下载也都完成了。

推荐一下 Vultr，这家海外服务商虽然月费不菲，但 VPS 可以按小时收费，如果IP不通，随时可以开新机，直到找到合适的那台。东京和大阪的ntt线路白天还算稳定，延迟低，带宽够。如果套上CDN，速度可以接受。Vultr直达

这些事，现在可以让 Codex 协助做

比如这次的任务，可以这样交代：

这台 VPS 能 ping 通，但大陆方向 SSH 和代理端口的 TCP 握手失败。帮我排查，并在保留原有 REALITY 服务的基础上，增加 XHTTP/CDN 入口。完成后确认实际出口和上传下载都正常。

迁移 VPS 也类似。把旧机器上的服务、数据、域名和目标机器告诉它，让它协助迁移，在切换前确认新机器上的服务可用。

服务器上的排查和搬迁，已经不用每一步都自己敲命令了。

所以，如果你已经举起道德大棒，准备大杀四方，大可不必看下去，给自己添堵。我写文章图个自己痛快，读文章的人没必要没苦硬吃。

我个人的感受先放在前面。原本看剧对那尔那茜的演技嗤之以鼻，不太喜欢这个辨识度高，演技普通的妹子。事件发酵之后，根据公开信息做了些背景调查，我反而越来越同情她。

在我看来，她是普通人在制度夹缝中挣扎的代表，根本不是什么特权阶级占用公共资源。对她的批判是典型的底层互害。

先说高考移民，作为北京人，这部分我一直很有表达欲。

北京从来不是高考移民的来源地。道理太简单了，北京高考用的是北京卷，整体难度比全国卷低。而且，北京本地的大学不能说多如牛毛，数量绝对全国第一。北京是名副其实的高考洼地，能留在北京高考绝对是孩子的第一选择。内蒙高考用的是全国卷，学校又少。以那尔那茜449的文化课分数，如果能在北京高考，保不齐能进中戏，还去什么上戏委培。

当然，我也不认可北京人考清北很容易，这同样是扯淡。北京2025年参加高考的考生人数是7万9，想要靠上清北，至少要排到全市600名以内。不到1%的录取率。

看起来北京高考入学容易，其实是因为北京的学校多。而且，北京人孩子整体素质高，眼界广。全国人民都知道北京海淀的父母鸡娃出名，怎么一到高考就认为北京孩子比不过外地学生？明显是悖论。

我自己毕业于北理工，第一批985，国防七子。上大一的时候，确实有外地同学瞧不上北京同学。然而，大学四年下来，北京同学的成绩并不差。高考只是一次筛选人才的测试，并不能全面评判一个人的具体学习能力。

对此有质疑的人可以跟踪查看清北毕业的状元郎们，看看他们在之后人生中取得的平均待遇。

说回高考，北京的录取率放在高考大省，比如河南，河北，山东，实在高太多了。但学籍是跟着户口走的，北京户口更是天下第一难。和北京类似的高考洼地还有吗？

有，比如西藏，新疆，海南。那边教育资源显著弱于内地，少数民族在学习时又有现实困难。既然去不了北京，不妨向那些省份活动。所以才有高考移民这种事。

所以，高考移民指的不是从北京去外地，而是从录取率超低的人口大省去偏远地区。

如此说来，那尔那茜算高考移民吗？没有十年脑血栓，得不出肯定的结论。

她之所以回去，是制度的困境。她没有北京户口。这点在后来的政府声明里写得很清楚。

然后，很重要的一点，她爹算权贵吗？特权阶层？

根据我在网络上找到的资料。那尔那茜的爸爸叫塞纳，曾经是央视的制片人。然而这个制片人只是央视企聘，也就是外包员工，不是台聘的正式员工。所以他搞不定北京户口。

塞纳在央视的供职之路也颇多坎坷。做过制片人，同僚竞争之后被迫赋闲，最后是以一名普通记者的身份从央视退休。

你说他有没有能量？可能也有一点。毕竟在央视上班，在外界看起来，外包和正式员工都差不多。但你说有多大能量，以我在北京生活的经验，还没有超出普通人的范畴。谁还没几个朋友，走走路子呢？用北京话说，这都不算路子野的。

路子野的我举个例子，酒驾在北京能按住，真算你厉害。

像塞纳这种家庭，常年在北京生活，但又没有北京户口，孩子对老家一无所知。临到高考，只有两个选择，要么出国，要么回老家。

我过去的同事就有类似困境，他后来在苹果负责教育行业，有一阵子号称认识不少校长。我问他儿子高考能解决，他苦笑，解决不了。最终他儿子上了私立，大学送出国。

网上有人说，回老家不就得了，既然户口在老家，何必学籍造假。

说得容易，两口子都在北京打拼，如何能放一个未成年的孩子孤身回老家？按规矩要在老家中学读两年，才能获得学籍。回老家陪读两年，对一个北漂双职工家庭，是多大的冲击？

即使回去，孩子也面临是否适应老家生活，能否融入学校氛围。高考压力这么大，孩子崩了怎么办？

将心比心，但凡有办法，会有父母能够洁身自好，硬是舍弃当下，回老家陪孩子念书吗？打嘴炮没有成本，正所谓严以律人，宽以待己。我尤其鄙视自己做不到，要求别人做圣人的人。

学籍造假，在当时不是什么特权阶级才能干的事。以塞纳央视上班的交际人脉，做到应该不难。

还是那句话，特权根本不是网上小屁孩能够想象的东西。真有特权的人，想骂你都不知道骂谁。

至于去内蒙上委培班，走那尔那茜妈妈的老路子，一点都不新鲜。委培班办了12届，公告里写了，每个班都有25个人。上戏也不是特意在内蒙设置179的低分。文化课确实能够提升素质，但也是一种规则，学习的前提是服从。艺术生是童子功，少数民族的孩子又崇尚自由，文化课学不好是普遍现象。

一件事外行人看起来像阴谋，实际制度涉及到的人方方面面，想要从中曲解取利，何其难。别人的闺女又不走这条路，谁会担着追责的风险开绿灯。盈亏比太低。

委培之后的事，更不用说。委培就是个培训协议，有违约条款。公告里写明白，解除委培协议本身没有不合理的地方。

所以，我确实觉得，那尔那茜以35岁高龄出现在公众面前，实在算不上什么阶层碾压。学籍造假确实有毛病，但说她妨碍高考公平，纯粹是夸张。她恰恰是在现有高考制度下挣扎的少数人。

北京借读的学生，在2022年之后不必再回老家考试，而是可以在北京参加高考，只是卷子和原籍的一样。那尔那茜08年参加高考，没赶上解放。

一个制度不可能考虑到所有情况，必然有人受限于制度，人生收到影响。就以北京户口为例，多少人泪洒京城。

与其泪洒不如找方法。塞纳最终还是搞到了北京户口，把女儿随迁到了北京。我个人猜测，还是央视帮了忙。

即便如此，那尔那茜过去30多年人生，也谈不上和特权有什么交集。至于上戏的助教职位，挪威留学，以她的家庭人脉，不难做到，也谈不上什么富贵起点。

我不知道有多少人看过黄磊的话剧综艺，做演艺这行并不意味着大富大贵。很多演员一辈子不被大众所知，无非在一个不稳定的职业里讨生活。用一些网上观点来评判，不过一个戏子。戏子还需要特权才能做？你见过特权做戏子？

我个人非常讨厌网络流行的道德纯化，一出事，一批人跳出来做网络判官，个个道德标准比圣人还圣洁。但我毫不怀疑，现实中的利益摆在他们面前，他们中的绝大多数都会立刻接受。

所谓批判，不过是羡慕嫉妒恨，自己没占到便宜便一肚子气。能被这些人批判的那尔那茜，说到底，还是没有任何光环的普通人。

REALITY 适合做直连的起点

VLESS + REALITY 这套组合里，VLESS 负责代理通信，REALITY 负责传输安全与伪装。它能把未通过认证的连接转给目标网站，让外部探测看到真实网站的响应，自己不用另外购买域名、申请证书。

REALITY 和经常一起出现的 Vision 分工不同。REALITY 处理外层握手与伪装，Vision 则对内部 TLS 握手等流量特征做处理，并减少重复加密的开销。

Hysteria 2 主要解决弱网传输

Hysteria 2 基于 QUIC，通过 UDP 承载通信。它值得尝试的场景是：连接能建立，但延迟高、丢包多，TCP 下载速度迟迟上不去。

这里要看的是自己的网络能否顺畅传 UDP。UDP 被限速或丢弃时，换成 Hysteria 2 很难改善体验；UDP 通畅时，它的拥塞控制才有发挥空间。

还有一个容易误解的地方：带宽参数填得更大，不等于速度更快。Hysteria 的 Brutal 拥塞控制会按设定的速率发送，超过线路承受能力会增加拥塞、浪费流量。部署时让 AI 按实际带宽配置，再比较真实下载和长连接表现，比照抄一个大数字有用。

IP 被阻断，要换访问路径

这段时间几台海外 VPS 的 IP 接连失联，机器能 ping 通，TCP 握手却无法完成。SSH 和 REALITY 一起连不上，继续调整代理参数解决不了入口不通的问题。

我目前尝试的办法是保留 REALITY 直连，再加一条 VLESS + TLS + XHTTP，经 CDN 回源的入口。电脑先连接 CDN 边缘，再由 CDN 连接海外 VPS，实际访问路径变了。目前效果还不错，具体过程写在这篇自救记录里。

XHTTP 是传输方式，可以配合 TLS 穿过支持相应传输模式的 CDN。它不是在原来的 REALITY 连接前面直接加一个 CDN 开关，需要单独部署入口。

备用方案也要看它能避开什么故障。同一个 IP 上再开几个依赖直连 TCP 的端口，遇到该 IP 的 TCP 阻断时仍会一起失效。换节点或增加 CDN 路径，才给切换留下了余地。

其他协议，按已有条件取舍

Trojan 用真实的 TLS 连接承载代理流量，通常需要域名和证书。手上已有可用的 Trojan，继续使用即可；它的价值是部署思路直接、客户端支持成熟。

NaiveProxy 的特点是复用 Chromium 网络栈，配合填充等机制，让通信行为更接近浏览器。愿意维护对应服务端和客户端时，可以把它作为另一种伪装思路；无需为了凑齐协议清单再部署一套。

VMess 已经能满足需求的，也不必只为协议名字更新而迁移。真正值得更换的理由，是连接、速度或维护出了具体问题。

sing-box 和 Xray-core 怎么选

主要用 REALITY 直连，或准备加 XHTTP + CDN 入口，可以优先选 Xray-core。REALITY 和 XHTTP 都出自 Xray 项目，相关功能的更新和配置资料也集中在这里。

希望把 REALITY、Hysteria 2、DNS 和分流规则放在同一套配置里管理，可以选 sing-box。对新手来说，先选适合自己手机、电脑的客户端，再让 AI 按客户端支持的方案完成部署，日常使用会省心一些。

好在我很懒，在博客上没写过几篇文章。既然找不回来那十几篇文章，索性算了。

Ghost 的功能更强大，缺点是没有我喜欢的主题。我很不耐烦一定要在页面上镶嵌图片。也许这次不得不更新一下想法，用 midjourney 解决这个问题。