11 分钟

更新于: 2026年9月12日

封锁最严的国家里的 VPN：伊朗、中国、俄罗斯

三套过滤系统由不同的人在不同年代建成，却得出了同一个结论：封地址没有用，必须识别协议本身。于是到 2026 年，三个国家里失效的是同一批方案——OpenVPN、L2TP、原生 WireGuard、基础配置的 Shadowsocks；而活下来的是同一类协议：与普通 HTTPS 无法区分的那一类。下面讲清楚三套系统的差别、各自还能穿过什么，以及任何 VPN 都做不到的边界在哪里。

三套系统放在一张表里

| | 中国 | 伊朗 | 俄罗斯 | |---|---|---|---| | 名称 | 防火长城（GFW） | TIC 过滤、"国家信息网络" | ТСПУ | | 主要手段 | 对服务器主动探测 | 机器学习流量分析、破坏加密协商 | 协议特征分析 | | 伪造重置包 | 是，伪造 TCP RST | 是 | 是 | | 篡改 DNS 应答 | 是 | 是 | 是 | | 模式 | 黑名单加部分白名单 | 正在转向白名单 | 黑名单加特征识别 | | 全网断网 | 无，只做定点封锁 | 有，全国范围 | 区域性移动网络限制 | | 使用 VPN 的法律状态 | 使用未入刑，提供服务受监管 | 未经许可的使用已被置于法律之外 | 使用不受处罚，广告受处罚 |

什么是主动探测，它为何改变了规则

这是中国这套系统里最被低估的部分。过滤设备不只是听你的流量，它会自己去连接你的服务器，看它怎么回答。

机制是这样的：系统注意到一个握手方式异常的连接，记下这个地址，过一段时间自己向它发出一个探测请求。如果服务器的回答像一台 VPN 服务器，这个地址就进黑名单。普通用户看不到这个过程，只会发现昨天还能用的服务器今天不出声了。

由此引出一件加密本身解决不了的事：服务器必须能像模像样地回答陌生人的探测。 Reality 协议正是为此设计的——它借用一个真实的、访问量很大的网站的 TLS 证书完成握手，面对探测请求时，返回的内容和那个网站会返回的完全一样。探测系统无从下手。详细说明见什么是 Reality 和 VLESS。

伊朗的思路：不封锁，而是弄坏

由 TIC 运营的伊朗过滤设施在 2026 年的做法不同。它不去关闭地址，而是干预加密通道的建立本身：连接在形式上建立起来，认证也通过了，然后通道悄无声息地停止传输数据。

对用户来说这比明着封锁更糟。应用显示"已连接"，没有报错，但也没有网——于是人花一个小时去检查本来就正常的设置。

这套模式还有两点不同：

转向白名单。 明确许可的才放行，其余默认关闭。这比只封锁列举项的黑名单严格得多。
全国性断网。 2026 年 1 月 8 日，伊朗全国切断互联网：网络使用量下降约 97%，通信部长承认这每天给经济造成 3570 万美元损失。全面断网期间没有任何 VPN 能工作——没有可供承载的通道。

另外需要知道：在伊朗，未经许可使用 VPN 已被置于法律之外。这不是技术细节而是法律事实，它改变了犯错的代价。

俄罗斯的特点

俄罗斯由装在运营商网络上、受集中管理的 ТСПУ 设备负责过滤。与另外两套系统的区别在于它更年轻、演进更快：协议被逐个切断，而且不同节点的配置并不一致，于是用不同运营商的邻居看到的情况可能完全不同。

法律框架：使用本身不受处罚，但对宣传规避手段和蓄意搜索极端主义材料设有责任。

三个国家里都失效的

截至 2026 年，这些会被稳定切断：

OpenVPN —— 首包特征明显，在中国大陆几乎完全不通；
L2TP/IPsec 与 PPTP —— 识别起来毫无难度；
原生 WireGuard —— 包长与结构固定；
基础配置的 Shadowsocks —— 首字节的熵值特征明显；
未做混淆的 QUIC 方案 —— 中国正是因为基于 QUIC 的 VPN 而对 QUIC 大面积限速，Hysteria2 也在其中。

它们的共同点是都有自己的特征。一旦协议有了可辨认的笔迹，进入过滤规则只是时间问题。

还能穿过去的

只剩一类：根本不像 VPN 的那一类。

带 Reality 伪装的 VLESS —— 按运营者和研究者的观察，这是最能持续穿过中国过滤的协议。两个特性同时起作用：流量与普通 HTTPS 会话无法区分，并且服务器能正确应对主动探测，因为它是以所借用证书的那个真实网站的身份回答的。

AmneziaWG —— 改变了包结构的 WireGuard。配置更简单，伪装更弱。

带数据的对比见 Hysteria2、TUIC 与 AmneziaWG。

任何 VPN 都做不到的事

在你为任何东西付钱之前，值得知道这条诚实的边界：

全面断网。 网络被关掉时没有东西可以承载。2026 年 1 月的伊朗就是这种情况。
切断国际链路。 境内网络还在运转，但没有任何路径通向外部，VPN 撞上的是"没有路由"。
可用性的保证。 没有任何服务能承诺明天在中国或伊朗还能用：这是双方都在持续更新的竞赛。凡是"保证在中国可用"的说法都是营销。
免于你自己行为的后果。 登录过的账号、浏览器指纹、应用权限都还在：VPN 能让你匿名吗。

实际该怎么做

准备两条路。 一个主用协议、一个备用，地址不同。基础设施不会同时全部失效。
提前装好应用。 过滤严格的国家连应用商店也受限，需要客户端的那一刻往往已经下不到了。
选就近的节点。 伊朗选土耳其，中国选新加坡。距离对延迟的影响大于其他任何因素。
确认隧道真的接管了流量，而不只是显示一个绿色图标：五分钟五项检测。

为什么 BessyConnect 适合这种环境

本服务采用带 Reality 伪装的 VLESS —— 正是在上述国家能扛过过滤的那一类协议，因为它没有自己的特征，并且能正确应对主动探测。最近的节点：面向中东方向是土耳其，面向亚洲方向是新加坡；欧洲方向有芬兰、波兰、德国和荷兰。服务器超过一百台，某个地址受限时切换只需一秒。苹果设备上的断网保护会在连接中断时停止流量，而不是让它明文发出去——在有过滤的国家，这不是抽象概念。

趁还能访问时下载：

iPhone、iPad、Mac、Apple TV 和 Apple Watch —— App Store
Android —— Google Play
Android TV 与电视盒子 —— Google Play

我们不承诺的部分：没有人能保证在中国或伊朗一定可用，我们也不能。我们用的是存活记录最好的协议，并保有备用节点——在这场竞赛里，能诚实承诺的只有这些。

分国家的详细说明：中国的 VPN 与伊朗的 VPN。

常见问题

哪个国家的封锁最严？ 综合手段来看是伊朗：流量分析、转向白名单，再加上全国断网的实践。中国的系统更老练，在协议识别上更精确。

2026 年在中国什么协议能用？ 带 Reality 伪装的 VLESS。OpenVPN、L2TP 和 SSTP 在中国大陆几乎不通，基于 QUIC 的方案则被大面积限速。

为什么 VPN 显示"已连接"却没有网？ 这是伊朗手法的典型表现：连接建立了，但数据传输在加密协商阶段被破坏。换服务器和换协议通常比改设置更有效。

全面断网时 VPN 有用吗？ 没有。网络被关闭或国际链路被切断时，没有可承载的通道。

在这些国家使用 VPN合法吗？ 各国不同。伊朗把未经许可的使用置于法律之外；俄罗斯不处罚使用本身，但处罚为规避手段做广告；中国主要监管的是提供服务。请以你所在司法辖区的现行规定为准。

登录