内容摘要：页面刷了三遍，进度条卡在四分之一处，然后浏览器弹出一行白底黑字：连接被重置。这不是网线松了，也不是路由器过热。我 ping 了一下网关，延迟 2ms，丢包率 0%。局域网通得很好，问题出在墙外面。 这

页面刷了三遍，连接进度条卡在四分之一处，被重不开然后浏览器弹出一行白底黑字：连接被重置。置打这不是网页网线松了，也不是连接路由器过热。我 ping 了一下网关，被重不开延迟 2ms，置打丢包率 0%。网页局域网通得很好，连接问题出在墙外面。被重不开

这种情况我遇到过太多次。置打第一次是网页 2018 年查一个 Python 库的官方文档，域名是连接 readthedocs.io，页面加载到一半直接断流。被重不开当时以为是置打站点挂了，换了手机热点，还是一样。后来用 curl 加 verbose 参数看握手过程，TCP 三次握手正常完成，TLS 也协商成功，但客户端刚发出 HTTP GET 请求，对面还没回包，连接就被一个 RST 包强行掐断。RST 是谁发的？抓包看源 IP，不是目标服务器，是中间某台设备。

这就是典型的连接重置。它不是 DNS 污染，DNS 污染会让你解析到一个假 IP，根本连不上；也不是 IP 封锁，IP 封锁是 SYN 包发出去石沉大海，连握手都完不成。连接重置发生在握手之后、数据传输之前，精准得很。防火墙识别出你访问的域名或 URL 里有关键词，直接伪造一个 TCP RST 包，同时发给客户端和服务器，两边都以为对方不想聊了。

我做过一个对比测试。同一个服务器 IP，上面挂了两个网站，一个正常，一个敏感。访问正常站点，全程无干扰。访问敏感站点，只要 SNI 里带了那个域名，RST 立刻就到。后来我把域名换成 IP 直连，加上 Host 头，照样被重置。这说明检测不只靠 SNI，HTTP 明文头里的 Host 字段也在审查范围内。HTTPS 加密了正文，但 SNI 和证书域名是明文的，逃不掉。

有人会问，那用 VPN 或者代理不就行了？理论上可以，但代理协议本身也有特征。OpenVPN 的握手包有固定模式，Shadowsocks 的流量没有明显特征，但流量时序分析照样能识别。我自己的经验是，纯 SS 裸奔用久了会被限速，套一层 obfs 或者用 v2ray 的 ws+tls，存活时间明显更长。这不是玄学，是流量指纹的博弈。

普通用户遇到连接被重置，第一反应是清缓存、换浏览器、重启路由器。这些操作基本没用。问题不在你这边，在中间链路。你能做的只有换一条路走。换 DNS 解决不了 RST，因为 RST 发生在 TCP 层，DNS 是更早的环节。换 IP 有时管用，如果封锁是针对单个 IP 的话，但大多数时候封锁是针对域名和关键词的，换 IP 没用。

我观察到一个细节：连接重置的触发有延迟。不是每次访问都立刻断，有时候能加载出半个页面，图片加载到一半才断。说明检测设备不是串接在链路里的，而是旁路镜像流量，分析后再发 RST。旁路设备有处理延迟，所以你能看到部分内容。这个延迟通常在几百毫秒到两秒之间，取决于检测设备的负载。

还有一点，RST 包有时候只发给客户端，不发给服务器。这种情况下服务器以为连接还在，会继续发数据，但客户端已经关了 socket，服务器发来的数据全部被内核丢弃，最后服务器超时断开。从服务器日志看，就是客户端异常断连。这种单向 RST 更难排查，因为抓包位置不同，看到的现象完全不一样。

说到底，连接被重置是网络审查的一种实现方式，技术上不复杂，但很有效。它不破坏路由，不干扰 DNS，只在 TCP 层做手脚，成本低，部署快。对抗手段也在进化，从最早的明文代理到现在的全加密隧道，本质上是猫鼠游戏。普通用户不需要懂这些，但如果你经常遇到打不开网页的情况，至少知道问题出在哪一段，不用再折腾自己的路由器了。