要点
DPI 可用的信号
DPI 可以检查开放标头、数据包长度、方向、间隔、持续时间和目标地址。有些系统添加信誉列表或主动探测。加密隐藏有效负载内容，但保留元数据。运营商规则和阈值不同，因此同一流量可能会在一个网络上通过，而在另一个网络上失败。
WireGuard 不针对混淆。 AmneziaWG 添加了 H1 - H4 范围、S1 - S4 前缀、I1 - I5 签名和垃圾数据包。 VLESS Reality 通过 Xray 和 uTLS 创建不同的外部模式。两者都会更改选定的功能，同时服务器地址和会话行为仍然可见。
在检查早期阶段之前，请勿将故障分配给 DPI。 DNS 故障会阻止客户端进行传输过滤。关闭的服务器防火墙会创建与阻止的端口相同的超时。
将连接分为多个阶段
首先通过系统 DNS 和独立解析器进行端点解析。接下来检查路线和流量可达性。第三阶段是协议握手。第四部分包括隧道内的隧道地址、路由、NAT 和 DNS。第五个测试用户应用程序。
AmneziaWG 服务器应记录来自已知对等密钥的有效握手。 Xray 服务器应接受 VLESS 和 REALITY 参数。没有服务器观察点指向网络、端点、端口或本地防火墙。身份验证错误指向配置文件数据、时间或软件兼容性。
握手后，请求 IP 文字，然后请求域。该顺序将路由与名称解析分开。测试更大的响应，因为 MTU 故障和丢失可能会节省短请求。
运行受控双网络测试
使用一台设备、一份配置文件和一台服务器。测试 Wi-Fi，然后测试移动数据，无需更新软件或编辑参数。记录时间、访问网络地址、客户端版本、握手状态、连接时间和首次成功请求。
在一个网络上运行的配置文件可以降低服务器出现故障的可能性，但它并不能证明 DPI。 DNS、IPv6、NAT、MTU 和路由可能不同。重复使用 IP 文字以及记录的仅 IPv4 检查（如果产品支持）。记录每一个变化。
更改UDP端口可以测试端口策略，但服务器和客户端必须一起更改。 AWG 3.1 场必须保持一致。删除新字段会破坏实验并可能创建无效的配置文件。
解读常见症状
立即解析器错误通常表明配置文件格式或客户端兼容性。 AmneziaVPN 5.0.1.5 之前的版本不支持 AWG 3.1。握手超时包括关闭的端口、错误的端点、防火墙、过滤或停止的服务器。
一次完整的握手，无需浏览调用AllowedIP、转发、NAT 和 DNS 检查。传输停滞时有效的小请求表明 MTU、丢失或路径 MTU 发现。定期丢弃可以与移动切换、NAT 到期或地址更改保持一致。
对于无阻塞报告，请命名完整堆栈。 REALITY 目标、serverName、shortId、密钥、时钟和 Xray 版本都会影响身份验证。服务器日志应该显示请求是否在任何人将其标记为审查之前到达。
发布可重复的证据
有用的报告提供日期、广泛区域、运营商、访问类型、设备、操作系统、客户端版本和完整的协议栈。它将成功定义为握手、DNS 应答、HTTP 请求和持续传输。失败记录命名阶段并清理错误。
切勿发布 UUID、私钥、导入链接、二维码或私人面板地址。编辑屏幕截图。报告一系列而不是最佳尝试。后来的网络策略变化限制了报告的时间范围；它不会重写观察结果。
“[测试日期] 在 X 运营商上完成的五次握手”具有可重复的边界。 “无法被阻止”则不然。这种区别可以提高信任度并帮助工程师比较报告。
安全响应命令和来源
来自官方来源的更新。对于 AWG 3.1，发布新的配置文件并使用 AmneziaVPN 5.0.1.5 或更高版本。检查设备时间、端点、订阅、唯一设备配置和服务器运行状况。然后运行分阶段测试。
如果一个网络出现故障，请向支持人员发送经过清理的时间表和票证标识符。避免激进的端口扫描，这可能违反网络规则并污染证据。保留备用传输以供恢复。
权威参考资料包括 和 这些来源解释了组件的行为，而不是特定运营商的当前政策。
继续阅读