最近使用 vless+xhttp+reality，网址用的苹果的， 1 年多被墙了。这是咋被发现的？技术探讨下

目前改成这样就好像没事了

github 有个仓库，开源，证明 reality 不安全

有可能是出口不行，跟你这个没关系。
我用电信，广电试了同一台机子，电信的可以，广电不行

@diudiuu #3 我试过了，移动电信联通广电都访问不了了

@diudiuu #3 应该就是被墙了，香港 vps 就能连过去

1. www.apple.com 是苹果管网，你的意思是你每天从早到晚盯着管网刷十几个 G 的流量？
2. 你的意思是苹果买了台 ASN 归属 DMIT （假设）的 IP 端来做服务？

@lynn1su #1 这是啥部署工具

@aerAzLNE #6 苹果官网都用 1 年了，就最近突然墙的，会不会苹果搞的

@ApIEfuse #7 这是本地的工具

GFW：你是说你一个月刷苹果官网 200G 流量？还是固定 IP ？

@lynn1su #8 那苹果可太闲了……你自己 wireshark 抓个包，把包丢给 gpt 试试就知道了……

会不会还开了其他端口被扫到呢？比如 ssh

@lynn1su #8 管网 -> 官网，新换了个键盘没用习惯

你说你一天到晚访问一个假冒的自签名的苹果官网, 还是固定 IP 的?

这个 IP 段还在重点监控名单, 还不是知名的 CDN IP 段?

可能还跑在一个高位端口上?

最近偷 Apple 域名都会出问题，换别家吧。最好是没有被墙的小众网站。不要用大厂家的

傲盾了解下？现在国内机房为什么能做中转的少，真当扫不到啊

别那么多连接和流量，不是协议被检测到了，是最近比较严，直接检测异常就给你封几天，我朋友他们做外贸的就是容易被封，我的服务器让他们用，不到两天就被封了，我自己用了三年了都没事，不过过几天又都放出来了

https://www.aodun.com.cn/static/copy/vpn.pdf

DMIT 相同协议，走了几个 TB 的流量都没问题。晚高峰轻松 1Gbps

之前开没开流控？还有是哪家机器？
另外，“这是咋被发现的？” ，我个人感觉主流协议里应该没有绝对安全的，只是看管得紧不紧😂

@llwy1412b #15 刚换了香港的小网站的域名，我先试试

@dingawm #20 有的，一直开的

@son012 #17 就我一个人用也没啥连接数把

@lynn1su #21 你美国的机器换个非本国的小网站就算了，还换 hk 的？

@aerAzLNE #24 那我再换个日本的把。这应该没事了把

域名的问题，说了很多遍了，不要用微软 apple

我的 RN 能 ping 不能用，之前是正常的 看起来是被牵连针对了

@x86 兄弟，猜猜看傲盾怎么回复的😁

偷证书是哪里的黑科技，真的不是民科吗。

@momo1999 #29 啊？ reality 发明都好多好多年了啊

@ndxxx #28 你直接问上盾的机房就行

以后趋势就是各种套 tls 协议了，反倒是现在的热门协议用的人多，被检测的速度越来越快
在用域名 icook.tw:443 ，做菜的网站，看视频的话流量多一点比较正常

特定时期机房 IP 和 CDN 都是重灾区，和什么协议没关系
热门协议+机房 IP+固定时间段连接，一封一个准

@ndxxx 后续

@lnbiuc #26 大佬，用谁的域名比较安全呀

naiveproxy 给你解忧

深度包检测某些小同志似乎是第一次听？当个宝🤡

我在装了傲盾的 oneman 国内机房继续过境做中转。 顺便一提 vless+tls 自建不要用来做中转隧道即可，但 vless 的玩法太多。

@ndxxx 别真让他训练识别出来了啊 😆

别用大厂域名了，上个月用微软也经常断，换了其他的就好了。

自用节点推荐自有域名+标准 443 端口，tcp443 要用来搭其他服务的话，就用 udp 协议。
热门协议+热门机房+热门域名，不封你疯谁呢～

@shidianxia #40 自有域名要备案吗？

@lynn1su 不要备案，只要是能申请出真实 SSL 证书的域名就行。

@evemoo #32 选他的视频播放域名？证书符合吗

我偷微软的，稳定运行 1 年多从来没被打，ai 搓出来的部署脚本，定期会更新最新的 xray 内核；本地用的是 v2rayN ；
前几天微软证书更新换成了 cloudflare 的，但我还是不放心，等更新修复我要继续偷微软。

bing 还存活中..

正常用户流量都摊到几十甚至几百个域名上，懒点推荐隐身窗口开几个国内直播直连 7x24 小时静音加防挂机检测挂着，别开广告过滤，把可疑流量盖过去

经典苹果域名

@ndxxx 这个这么牛逼的嘛？

记得苹果和另外一个是微软？的域名早之前就被 xray 项目警告容易被检测不要用，那时我就换了个冷门域名了。

热门机器线路要么自有域名最保险，要偷的话就偷一些小众域名，苹果这个应该是用的人太多了，已经慢慢被摸索出比较准确的特征，所以敢开始封了

op 机器是哪家的？我也想自建了。

我也是 dmit+vless+reality 被封了，申请换了 IP ，还没启用，直接 ping.pe 检测，中国大陆就是被封的，所以我估计大概率是机房的 ip 批量被封，和你用什么协议没什么关系

@JohnTinker 我这就是封单个 ip

@momo1999 偷证书本质上是通过合法的第三方证书来拿到最终的密钥，这样你接下来的流量加密都是通过这个密钥进行的。

不是说 anytls 更先进吗？为什么不更换过来

@JohnTinker 但是直接 ping 是可以 ping 通的 这怎么解释呢

@Berin > 不是说 anytls 更先进吗

据我了解，AnyTLS 是用来解决 TLS-in-TLS 特征的流控方案，应该和 XHTTP 或 Vision 对标。Vision 是对开头的几个短包做填充，AnyTLS 稍微灵活点，XHTTP 是直接包装成标准 HTTPS 的上传/下载请求。

这层上面还有防主动探测方案（如 REALITY ）和 数据包方案（如 VLESS ），三层相互独立。所以理论上可以有 VLESS + AnyTLS ，也可以有 VLESS + XHTTP + REALITY ，也可以有 VLESS + Vision + REALITY 。所以并不存在「用不用 AnyTLS 」的问题。

目前社区报告来看，没有明显说明 AnyTLS 、XHTTP 或 Vision 谁优谁劣、谁更「先进」。

> reality 用的 www.apple.com

网上大部分教程好像自己都没搞明白这里应该填什么。www.apple.com 只是个示例域名，结果各种博客教程就直接让读者抄上去了……

更合理的做法是：选择和你同网段且有信誉的网站作为伪装域名。反正方法挺多的，我是去 shodan.io 搜了同网段托管 443 接口服务的正规 HTTPS 网站。

选择那种有媒体内容的网站，可能大流量特征上会不明显一些。

别的大公司网段基本上都是零散的，但是 apple 有整个 A：17.0.0.0/8 ，这么容易被发现的特征

@w568w 但是仔细看当前的主流机场全部更换成 anytls ，是不是说明该协议是当前最先进的模型呢？当然，我是外行，只是主观上感觉大机场这么更换应该是有目的的。前阵子好像就是在 V2EX 上看到一个帖子说是不是 anytls 有什么过人之处。

很简单，你是国外 ip ，流量大，设备多

@Berin 搜了一下，看到了这个： https://www.v2ex.com/t/1214944

技术上来说可能主要是比 Vision 灵活可控一些，理论上来说特征更少。和 XHTTP 相比则完全不是一种伪装方案，很难对比可检测性。

感觉 AnyTLS 用得多的主要原因可能是：之前用的人很少，防火墙没做针对性检测……

@w568w 这个现在看来已经破案了，是内鬼。各家都开始抓内鬼了

@w568w 两种都用过，实测都一样的，没因为填写 apple 封过

@w568w 感谢科普，那我也得做好准备了，现在自建 vps 搭建的 anytls 。也准备搞个 vless 备用。但没办法共用 443 端口，很烦躁

@Berin

主流机场转 anytls 是因为 anytls 能兼容 3 大主流核心 mihomo ，singbox 和 人傻（花钱）多的 surge 。

singbox 和 surge 作者和 vless/reality 作者有私人恩怨，所以不想支持，仅此而已。

没有证据表明 anytls 比正确配置的 reality + vless 有更强的抗封锁能力。快连表示换 anytls 有什么用呢

AnyTLS 就是屎，填充都只有下行，多路复用还不如不开，拉完了。

Reality 常见问题：

1. 不用 443 端口
2. 不偷附近 IP 端或自己的网站
3. 使用 HTTP 面板直连

使用这个扫描附近的网站：

https://github.com/XTLS/RealiTLScanner

至于 Reality 被识别的… 各家 CDN 也是 Reality 节点吗，纯小丑。

@w568w 一提到反审查社区就想笑，AnyTLS 那个抄的 Vision Seed 马上出正式版了。这个随机填充的想法两年前就有了，PR 也有了，就等着 GFW 反应过来再上。到现在 GFW 没上检测，反 RPRX 的小丑拿 LLM 生成一个检测器就开始跳了，AnyTLS 作者还因此踩一脚 VLESS 。

@Berin 可以 Fallback, 但是留 VLESS 就够了

这么看还是 hy2 稳，不过个人流量不高，每月不超 10G

用 xray 出问题，教主和教众都会声讨你自己没配置对，还有脸怪协议？至于 vless 那么多乱七八糟的特性，会不会造成更明显的特征，你别管。

@ProphetN 用 sing-box, surge 出问题，教主和教众都会声讨你自己没配置对，还有脸怪协议？至于那么多乱七八糟的特性，会不会造成更明显的特征，你别管。

@3ad0f4 #71 客户端和服务端是一回事？别的协议都是大道至简，地址端口密钥，只有 vless 跟叠草莓塔似的。

国内大厂域名反而不合理吧，有什么服务国内大厂会用自己境外的节点给你提供服务嘞？

一般国内访问这些域名响应的都是境内的节点，冒出来的境外节点是不是反而突出。。。

现在 2 种说法一就是偷 ip 附近的网站做混淆 二就是偷国外大的但是别找 apple 那种做混淆

各有千秋

@3ad0f4 #71 咱们 vless 用了一堆乱七八糟的特性，终于达成了或许不弱于 anyTLS 的效果，真是太厉害了！老刘在咱们 vless 神教里更是看不上眼，至于 snell v5 最近被墙洞和 mihomo 逆向，那就装看不见！

多搞几个入站节点，每个配置不同的伪装域名，经常换一下，别盯着一个网站偷。

一个动态网页的域名，跑大流量就很奇怪，都怎么想的

onedrive 啊, 网盘站点, 流浪高 应该很合理

你的服务端没有注意到有这条告警吗：
[Warning] infra/conf: REALITY: Choosing apple, icloud, etc. as the target may get your IP blocked by the GFW
都提示你 www.apple.com 不安全了，你还用。

流量大的会被检测，用 onedrive.com 或者其他网盘网址行不行？

自己搭建的，hbo max ，网飞这些似乎很容易就识别为 vpn 了哇，楼主是自己搭建的，可以看流媒体么，我用 3x ui 搭建的，不能看流媒体

@kelvin_fly #81 能看的

www.apple.com 有国内的 cdn ，你为什么跑到国外去访问，选域名第一点就是不要有国内的 cdn ，music.apple.com 也是

@rammiah 那推荐哪个域名呢？

我的 vless+xhttp+reality 也被阻断了，现在用油管甬哥推荐的 vmess-ws （ Argo ）

@lynn1su #35 扫一些中国 500 强企业的，有海外业务的，找业务系统或某个资源文件的域名，不要直接用官网的

@lynn1su #35 再加一条，不要用互联网企业的域名

@ndxxx 谁直接装死？另外，员工上班用 Naiveproxy 玩游戏、使用通讯软件怎么了？难道不可以吗？

@bclerdx 幽默感兄弟，幽默感😅

@ndxxx 不是幽默，公司难道就没有其他人使用 代理协议科学吗？如果是只许州官放火不许百姓点灯，那么现在在做的所有人都是在犯罪，给境外递刀子嘛！！！

https://us.v2ex.com/t/1223266 看看这个 把 RealityChecker 丢给 ai 教你在 vps 安装测试，或者让 ai 给你一些 Reality 域名你丢进去测试 找个全绿不热门推荐高的

@ndxxx 而且你所不知道的，我前公司的小 IT ，给我们项目部分同事上国外的 CRM 业务系统慢的电脑安装 ss 呢，安装的时候都是偷偷摸摸的给需要的同事安装，生怕别的同事知道这件不公平待遇的事情呢。

@lynn1su #9 眼拙，我竟然这都没认出来

@bclerdx 细节「前公司」😁

hysteria2 试试

用小众域名、自己的域名，只要 GFW 没上白名单制就不会有问题。
用大厂域名怕不是觉得特征不够明显想手动多加一点，毕竟哪有大厂会用固定 IP+小众 ASN 归属的网段

一直在用 hysteria2 ，我这里 reality 平均 20% 丢包，用 hysteria2 就很流畅

@ndxxx 反正已经离职了，不怕说出来了。

@ndxxx #34 离谱，这是研发人员充当客服嘛 x

我直接套服务器所在地国家移民局官网，签证申请网站

或者政府网站