办公室的何绕火墙网管老张最近很头疼。他管着三百多台电脑，过防每天都能在后台看到有人试图访问被屏蔽的何绕火墙网站。那些红色的过防拦截记录密密麻麻，像心电图一样跳动。何绕火墙老张说，过防真正想绕过防火墙的何绕火墙人，从来不是过防为了看视频——他们是在找资料，找工具，何绕火墙找那些被误伤的过防正常服务。

防火墙的何绕火墙本质是规则匹配。它检查每一个数据包的过防头信息，就像小区保安看每个访客的何绕火墙身份证。但身份证可以伪造，过防数据包的何绕火墙头信息同样能改。我见过一个程序员，他把所有请求都伪装成HTTPS流量，端口443，加密协议。防火墙只看到一片白花花的密文，根本不知道里面装的是什么。这不是什么高深技术，Python写个脚本就能做到，核心就一句话：让流量长得像被允许的样子。

更常见的办法是借道。国内访问不了的资源，转一圈从海外服务器中转。原理简单得像绕路回家——正门堵了，你走侧门，侧门也堵了，那就翻墙。但翻墙需要梯子，梯子得有人搭。我认识一个做跨境贸易的朋友，他的公司服务器在洛杉矶，国内员工访问内部系统全靠一条加密隧道。那条隧道平时走的是业务数据，偶尔也帮他下载几篇学术论文。防火墙不是傻子，它会检测频繁连接的可疑IP，所以聪明的做法是把隧道流量混在正常业务里，别太显眼。

还有一种思路，干脆不碰网络层。有些网站把内容放进了邮件订阅，每天定时推送到你的邮箱。防火墙拦得住网页，拦不住邮件协议。我见过一个做外贸的，天天需要看某个被屏蔽的海外行业报告，他就订阅了那个网站的newsletter，每天早晨八点准时收到PDF。这算绕过吗？当然算。但你能说这是攻击吗？他只是换了个接收渠道而已。

说这些不是教你去翻墙。防火墙存在的理由很复杂——有些是法律要求，有些是商业保护，有些纯粹是网络管理员怕麻烦。但你要明白，任何规则都有边界，而边界附近总有人在做技术博弈。老张告诉我，他其实能识别大部分绕过手段，但他选择睁一只眼闭一只眼。只要不是恶意攻击，不搞病毒木马，偶尔有人"借道"查个资料，他就当没看见。他说了句挺实在的话："防火墙挡的是坏人，不是挡所有跟我不一样的人。"

技术从来都是双刃剑。今天你能用代理服务器访问一个国外教程站，明天就有人用同样的方法传播恶意软件。关键在于使用者的目的，而不是工具本身。我最后问老张，如果真想彻底绕过防火墙，最有效的办法是什么？他笑了，指了指自己桌上的那台没联网的旧电脑："把网线拔了，去图书馆。那里没人拦你。"