刚撬开龟壳拿到 Oracle 免费 VPS，或者入手了一台低价 VPS，搭好节点、手动选上走 Cloudflare CDN 的线路，就以为真实 IP 安全了？我原本也这么认为，直到我被 GFW 找上门，自己这台 VPS 的 IP 被封🚫
被封之后，我让装在 VPS 上的 Claude 把服务器日志从头翻了一遍😎 结论出乎意料：出卖真实 IP 的，一个是我自己的手机📱，另一个是当初让 Claude 搭的订阅和它给我的链接🤡
一周之内，手机在后台绕过 CDN，直连真实 IP 上百次。每次只有几 KB，并不是在上网，而是代理 App 在自动测延迟，界面上看不出任何异常。
顺着日志往下查，泄露的口子一共三个：
1️⃣ 自动测速组。多数订阅自带「自动选择」分组（AUTO / url-test），App 会定时把组里每个节点都连一遍。即使手动选的是 CDN 节点，只要组里有直连节点，真实 IP 就会被反复访问。
2️⃣ 订阅地址。Claude 给的订阅链接直接挂在 VPS 的真实 IP 上，每次自动更新订阅，都是一次从国内到真实 IP 的直连。
3️⃣ 证书记录。申请 HTTPS 证书时，域名会写入公开的证书透明日志，任何人都能查到域名，再解析出 IP。
IP 暴露之后，墙很快找上门。日志显示，10 月中旬有 283 次异常握手来自国内 151 个不同的 IP，覆盖联通、电信、移动骨干网和腾讯云、阿里云，每个 IP 只尝试一两次便离开，是典型的 GFW 主动探测。十来天后，IP 被封🧱
封锁之后，TCP 完全不通，代理端口和 SSH 都无法连接，但 ping 正常，基于 UDP 的 TUIC、Hysteria2 仍然可用。据说 GFW 封 IP 时常见的做法是只阻断 TCP，UDP 由另一套机制处理，之后同样可能被限速或封锁，不能当作长期方案⚠️
那为什么机场用户很少遇到？机场入口通常是国内中转、专线或 CDN，用户接触不到落地服务器的真实 IP，节点多、IP 换得快，流量也由大量用户分摊。
后来我才想明白💡 Clash Mi、sing-box、FlClash、Karing 这些客户端，很可能都是围绕机场订阅设计的。自动测速、自动更新订阅，默认的前提是有一大批可以互相替换的节点，挑最快的用，坏一个换一个。放到只有一台 VPS 的自建节点上，这些贴心功能恰恰在替你反复暴露真实 IP。
如果你也在自建，现在就可以打开订阅对照三项👀
✅ 是否有自动测速组，且组内包含直连节点
✅ 订阅链接是否直接指向 VPS 的 IP 或域名
✅ 订阅自动更新是否开启
任意一项符合，手机就可能在定期暴露你的真实 IP。
你真的会用代理客户端吗？多数人导入订阅就直接连接，很少碰「覆写」这个功能。覆写的作用是在订阅下载到手机之后，由客户端按你的规则先改一遍再使用，例如把自动测速组改成手动选择、删掉直连真实 IP 的节点。订阅文件本身原封不动，改动只发生在你自己的手机上。
客户端可以先止损🔧 Clash Mi 用覆写把 AUTO 改为手动选择，并关闭节点健康检查，覆写脚本我贴在评论区了；sing-box 官方 App 的配置覆写改不了测速，只能直接编辑配置文件删除 urltest，再关闭自动更新；FlClash、Karing 在配置编辑里修改测速组，关闭自动更新。
但覆写终究只是补丁。换一台手机、换一个客户端，或者漏改一处，真实 IP 照样会暴露。真正的解法在服务端👇 VPS 的订阅分发端只下发 Cloudflare CDN 节点，直连节点一个都不放进订阅；订阅链接本身也经 CDN 分发，不再挂在真实 IP 上。这样客户端从头到尾拿不到真实 IP，测速也好，更新订阅也好，连的都只是 CDN。已经被封的 IP，只能更换🔄
你的自建节点被封过吗？被封之前，有没有发现手机在后台偷偷直连？
#代理 #翻墙 #自建节点 #ClashMi #singbox #Claude #风控 #VPS #GFW #科学上网 #Cloudflare
https://x.com/cc6pazpo/status/2117439058133876918?a=FfrZD06koo20w190xKg&s=35
被封之后，我让装在 VPS 上的 Claude 把服务器日志从头翻了一遍😎 结论出乎意料：出卖真实 IP 的，一个是我自己的手机📱，另一个是当初让 Claude 搭的订阅和它给我的链接🤡
一周之内，手机在后台绕过 CDN，直连真实 IP 上百次。每次只有几 KB，并不是在上网，而是代理 App 在自动测延迟，界面上看不出任何异常。
顺着日志往下查，泄露的口子一共三个：
1️⃣ 自动测速组。多数订阅自带「自动选择」分组（AUTO / url-test），App 会定时把组里每个节点都连一遍。即使手动选的是 CDN 节点，只要组里有直连节点，真实 IP 就会被反复访问。
2️⃣ 订阅地址。Claude 给的订阅链接直接挂在 VPS 的真实 IP 上，每次自动更新订阅，都是一次从国内到真实 IP 的直连。
3️⃣ 证书记录。申请 HTTPS 证书时，域名会写入公开的证书透明日志，任何人都能查到域名，再解析出 IP。
IP 暴露之后，墙很快找上门。日志显示，10 月中旬有 283 次异常握手来自国内 151 个不同的 IP，覆盖联通、电信、移动骨干网和腾讯云、阿里云，每个 IP 只尝试一两次便离开，是典型的 GFW 主动探测。十来天后，IP 被封🧱
封锁之后，TCP 完全不通，代理端口和 SSH 都无法连接，但 ping 正常，基于 UDP 的 TUIC、Hysteria2 仍然可用。据说 GFW 封 IP 时常见的做法是只阻断 TCP，UDP 由另一套机制处理，之后同样可能被限速或封锁，不能当作长期方案⚠️
那为什么机场用户很少遇到？机场入口通常是国内中转、专线或 CDN，用户接触不到落地服务器的真实 IP，节点多、IP 换得快，流量也由大量用户分摊。
后来我才想明白💡 Clash Mi、sing-box、FlClash、Karing 这些客户端，很可能都是围绕机场订阅设计的。自动测速、自动更新订阅，默认的前提是有一大批可以互相替换的节点，挑最快的用，坏一个换一个。放到只有一台 VPS 的自建节点上，这些贴心功能恰恰在替你反复暴露真实 IP。
如果你也在自建，现在就可以打开订阅对照三项👀
✅ 是否有自动测速组，且组内包含直连节点
✅ 订阅链接是否直接指向 VPS 的 IP 或域名
✅ 订阅自动更新是否开启
任意一项符合，手机就可能在定期暴露你的真实 IP。
你真的会用代理客户端吗？多数人导入订阅就直接连接，很少碰「覆写」这个功能。覆写的作用是在订阅下载到手机之后，由客户端按你的规则先改一遍再使用，例如把自动测速组改成手动选择、删掉直连真实 IP 的节点。订阅文件本身原封不动，改动只发生在你自己的手机上。
客户端可以先止损🔧 Clash Mi 用覆写把 AUTO 改为手动选择，并关闭节点健康检查，覆写脚本我贴在评论区了；sing-box 官方 App 的配置覆写改不了测速，只能直接编辑配置文件删除 urltest，再关闭自动更新；FlClash、Karing 在配置编辑里修改测速组，关闭自动更新。
但覆写终究只是补丁。换一台手机、换一个客户端，或者漏改一处，真实 IP 照样会暴露。真正的解法在服务端👇 VPS 的订阅分发端只下发 Cloudflare CDN 节点，直连节点一个都不放进订阅；订阅链接本身也经 CDN 分发，不再挂在真实 IP 上。这样客户端从头到尾拿不到真实 IP，测速也好，更新订阅也好，连的都只是 CDN。已经被封的 IP，只能更换🔄
你的自建节点被封过吗？被封之前，有没有发现手机在后台偷偷直连？
#代理 #翻墙 #自建节点 #ClashMi #singbox #Claude #风控 #VPS #GFW #科学上网 #Cloudflare
https://x.com/cc6pazpo/status/2117439058133876918?a=FfrZD06koo20w190xKg&s=35
Comments
Be the first to add a comment
Log in to comment