俄罗斯打断你 Xray 服务器的三种方式，其中只有一种是封锁
每隔几周就会来同样一张工单：某位客户的 VPS 本来从俄罗斯能用，某天忽然不行了，现在从莫斯科看这个地址像是死的，而从其他任何地方它都回应得好好的。结论仿佛自己就写好了：DPI 认出了 VLESS，服务器进了名单，IP 烧了。
有时候确实就是这样。但更多时候，它是另外两件事之一——从客户的椅子上看起来完全一样，修法却完全不同。
这一点很重要，因为通常的建议——“把传输换成 gRPC”——是以一种很难反驳的方式对了一半。它确实有用，而其中的道理值得弄准确。它只是对那个真正会让你丢掉地址的故障没有帮助，而很多人恰恰抓住它，而不去做那件真正管用的事。
下面是真正在发生的事，按造成的损害排序。
1. 扫描：你的服务器回应了探测，而回应出卖了它
这才是真正会让你丢掉整个 IP 的那一种。
2026 年 5 月，有人把一个俄式 VPN 扫描器对准自己的服务器跑了一遍，并公开了报告。这是关于这个话题最有用的一份材料，因为它展示的是推理过程，而不只是结论。 7
这个扫描器并不只盯着 443。它以 500 个线程扫遍 1 到 65535 的完整端口范围，并对任何有回应的端口抛出几种不同的探测：一个 HTTP GET、一个 CONNECT、一个带故意无效 SNI 的 TLS ClientHello，以及原始二进制数据。然后它比较这些回应。
一台真正的 Web 服务器对不同的垃圾输入会作出不同反应，而一个带静态 fallback 的代理不会。在被测服务器上，端口 2096 对每一种探测都返回了完全相同的 41 个字节，逐字节一致，开头是状态行 HTTP/0.0 307 Temporary Redirect。没有任何真正的 nginx、Apache 或 Caddy 会发出 HTTP/0.0 这个版本号。单这一条回应就近乎供认。
报告还叠加了另外几条较软的线索：
- 没有
Server:头。 所有主流 Web 服务器都会设置它。它的缺席说明这是“自定义处理程序”，而不是“网站”。 - 一张总有效期只有六天的证书。 公共 CA 签发的是 30 到 90 天。任何短于大约两周的，都说明是手工搓的，也就意味着测试台，也就意味着代理。
扫描器给这台主机打了 48 分（满分 100），并给出 OBVIOUSLY-VPN 的结论。用报告自己的话说，后果是累积的异常越过了 TSPU 的阈值，于是“该 IP 被加入信誉列表，后续流量会被丢弃或限速，直到特征发生改变”。
这就是人们说“IP 被封了”时所指的那个机制。它是真实的，作用在地址层面，而触发它的是你的服务器被搭话时说了什么，而不是你在隧道里跑什么协议。
2. 突发：五十毫秒内的三次握手
第二种机制属于行为层面，和探测毫无关系。
一个提给 Xray-core 的讨论描述了 TSPU 如何读取 TLS ClientHello，并依据服务器所在子网与自治系统、SNI 以及浏览器指纹为其打分。来自可疑地址段的 Chrome、Safari 和 iOS 指纹会被扣住；Firefox、Android、OkHttp 和 Edge 则放行。 3
真正触发它的是强度。在大约 20 到 50 毫秒之内向同一主机发起三条或更多并发 TLS 连接，会把它们全部冻结约 120 秒。如果客户端在冻结期间通过轮换指纹来应对，这个时间会变成 600 秒。
这就是为什么用浏览器经隧道打开一个页面，比一次单独下载糟糕得多。现代浏览器按设计就会一次扇出六条连接，而那正是检测器在找的形状。
3. 计数器：你的第十五千字节
第三种更粗暴，而且以它自己的标准来说相当优雅。审查系统盯着一条通往境外服务器的 TLS 连接，一旦返回的数据超过大约 15 到 20 KB 就把它冻住——后来被更精确地定为双向各约 25 个数据包。
记录这一点的那个讨论开于 2025 年 6 月 27 日，它明确指出这不是协议匹配：“这跟它是不是‘合法的’ HTTPS 流量，或者有没有人在模仿它，都没有关系。” 2
这就是那种“能用几秒钟然后就死掉”的反馈。一次握手加上两三个小请求装得进这个额度，而一个带图片的页面装不进。
用一个测试把它们区分开
这三种看起来一样，是因为审查系统冻结连接而不是重置连接。没有 RST，没有 ICMP——握手就是完不成，客户端一直干等到超时，而这和一条被黑洞掉的路由毫无分别。
请从受影响的网络，用 HTTP 从同一个地址取一点小而简单的东西。
- 纯 HTTP 能用，TLS 不行——机制 2 或 3。地址本身没事。在 2025 年 11 月一份关于某俄罗斯 ISP 封锁 REALITY 的报告里，报告者正是这样检查的，并发现同一 IP 上的网站依然能打开。 4
- 完全没有任何回应——机制 1。你在信誉列表上，唯一有用的办法是换一个新地址。
这两分钟花得值，因为如果问题是机制 2 或 3，换服务器只能给你买来大约十五千字节的喘息，然后新地址就会表现得一模一样。人们会把这读成“新 IP 瞬间就被烧了”。其实什么都没被烧，只是那个额度又被花掉了一次。
gRPC 真正管用的地方，以及不管用的地方
运营者不断反馈说，在纯 TCP 几天就被识别出来的连接上，gRPC 能撑好几周。这不是民间传说，也不是运气，而是机制 2，其中的道理是机械的。
gRPC 跑在 HTTP/2 之上，而 Xray 的文档明确说明了这带来了什么：“gRPC（HTTP/2）内建多路复用。使用 gRPC 和 HTTP/2 时不建议启用 mux.cool。” 5
多路复用意味着许多流共用一条 TCP 连接，因而也共用一次 TLS 握手。突发检测器找的是五十毫秒内向同一主机发起的三次及以上握手。浏览器在纯 TCP 上扇出六条连接，产生的正是那个形状；而同一个浏览器在 gRPC 上产生的是一次握手，里面装着六条 HTTP/2 流。已经没有突发可供检测了。
所以如果你换到了 gRPC 而问题消失了，原因就在这里，别让任何人把你劝回去。
它做不到的是回应探测。同一个页面也警告说“gRPC 服务存在被主动探测的风险”，并建议在前面放一个按路径前缀分流的反向代理。裸跑在 443 上的 gRPC 照样会回应扫描器，而把地址送上信誉列表的正是机制 1。多路复用对此毫无帮助。
也值得知道这件事的走向：gRPC 传输已被弃用，文档现在的说法是“建议改用 XHTTP。” 5 这是一条迁移提示，而不是把一个正在正常工作的东西拆掉的理由。XHTTP 于 2024 年 12 月推出，通过 XMUX 以同样的方式做多路复用，并补上了 gRPC 所缺的部分——头部填充，以及上行与下行的拆分，使下行走在独立的 GET 请求上，这顺带也绕开了某些 CDN 对 gRPC 施加的限制。相比 WebSocket，它避免了那个显眼的 http/1.1 ALPN。 6
请规划这次迁移，但不要着急。
把它们叠起来，它们不是互斥选项
这些争论底下的错误，是把它当成一次单选——REALITY 还是 gRPC，这个传输还是那个。三种机制彼此独立，因此防御也彼此独立，而且它们是可以叠加的：
| 层 | 它回应的是什么 | 你该用什么 |
|---|---|---|
| 握手 | ClientHello 打分 | REALITY、一张真证书、一个合理的 SNI |
| 探测 | 端口扫描 | 前面放一个真正的 nginx，并把 fallback 指向它 |
| 连接 | 突发检测器 | 一个多路复用的传输：现在用 gRPC，之后用 XHTTP |
一台在 nginx 后面、跑在多路复用传输之上的 REALITY 服务器，同时回应了这三层。而只用其中一项的服务器，只回应了一层。
在前面放一个真正的 nginx，并把 fallback 指向它。 这是价值最高的一项改动，也是报告本身的第一条建议：跑一个真正的 nginx，配一份像样的错误页映射，并把 Xray 的 fallback 指向它，这样任何不是有效握手的东西，收到的都是来自真正 Web 服务器软件的真正 HTTP。 7 这会干掉 HTTP/0.0 那行状态行，恢复 Server: 头，并让回应像网站那样随请求而变化。请在上面真的放一个站点。nginx 默认的欢迎页胜过一个静态 307，而一个真实站点又胜过这两者。
用一张真证书。 Let's Encrypt 加自动续期。一张六天的自签证书本身就是线索，而去掉它不花一分钱。
注意 SNI。 借用微软、苹果或谷歌会招来注意；有报告称，高流量的国内主机作为借用目标要稳定得多。封锁是选择性的而不是通配的，一个位于干净地址上的新子域往往能过。 8
注意指纹，但不要只注意指纹。 有报告称，在 Chrome 被扣住的运营商上，把 uTLS 从 Chrome 换成 Firefox 能恢复连通。 8 但打分同样会权衡子网和自治系统，所以一个完美的指纹落在一个评分很差的地址段上，依然是一条糟糕的连接。
用一个多路复用的传输，并且让它真的去复用。 gRPC 或 XHTTP，把 mux.cool 关掉——文档明确说不建议在 HTTP/2 之上启用它。如果你把 gRPC 放在 nginx 后面，那就是带路径前缀的 grpc_pass，一次部署同时拿到探测防御和突发防御。
别让机器上的其他东西开口。 扫描器会扫遍全部 65535 个端口，每一个有回应的服务都是又一次累积异常的机会。把 SSH 从 22 挪到一个高端口，并用防火墙只放行已知地址。
保留第二个位置。 不是在同一个地址段里留一个备用地址来轮换，而是真正的另一个地方。当故障是区域性的，有用的是另一条路径，而不是同一条路径上的另一个号码。
而且要预期它会继续变动
俄罗斯联邦通信监督局在 2025 年底利用 TSPU 封锁了 VLESS，而多数开发者在几天之内就推出了新的配置作为回应。 1 这就是这件事如今的节奏，而它背后的预算还在增长：TSPU 的容量计划到 2030 年提升两倍半，达到每秒 954 太比特，耗资约 1.86 亿美元——按该部门自己的算法，这足以分析整个俄网的全部流量而且还有富余。
上面这些建议没有一条是永久的。有两件事是可以推而广之的。
他们抓你，不是因为你在隧道里跑了什么，而是因为你看起来像一台“为隧道而存在”的机器——从它回应什么、它怎么连接、它发送多少来看。任何让服务器看起来像一台恰好还承载了其他流量的普通 Web 服务器的做法，都在为你争取时间。
而且，没有任何单一设置能当作答案。检测是分层的，所以防御也必须分层。如果有人告诉你某一个传输就能解决这件事，请问他：它解决的是三种机制中的哪一种。
资料来源
- Russia's internet censorship in 2026: VPN crackdowns, mobile shutdowns, Telegram blocks and the state messenger Max，Zona Media，2026 年 4 月 7 日
- [Russia] Censor has a new method of blocking，net4people/bbs，开于 2025 年 6 月 27 日
- Russia blocks 2026，XTLS/Xray-core，2026 年
- TCP + Reality gets blocked，XTLS/Xray-core，2025 年 11 月 23 日
- gRPC transport，Project X 文档
- XHTTP，XTLS/Xray-core，2024 年 12 月
- How Bye Bye VPN Works in Russia，MHSanaei/3x-ui，2026 年 5 月 6 日
- Bypassing Russian GFW，XTLS/Xray-core