校园网白嫖思路分享:局域网中转-不花钱、不认证、高速上网

本文将分享一些校园网的白嫖思路(WireGuard / SoftEther VPN Server基于 UDP 53 端口的 VPN 三层白嫖、Socks 5 白嫖+科学上网二合一的四层白嫖),也就是不花一分钱就和一般用户一样使用校园网。

前提条件

下面列出的思路均要求使用一个校园网的服务器作为中转,因此,需要能够在不需要付费、认证后就能上网的网络环境(一般为办公区或实验室网络)下放一个电脑(树莓派也行);或者有任意学校服务器的使用权。

整体思路就是找个在学校里面地方搭个服务器中转流量

各种思路

基于 UDP 53 端口的 VPN 三层白嫖

原理:UDP 53 是 DNS 协议所用端口,由于门户(Portal)认证为了实现 HTTP 劫持跳转到登录页面,必须使得浏览器能够正常地进行 DNS 解析,因此在不认证、不付费的情况下也会放行 UDP 53 端口的流量。

特点不需要校园网认证,不需要购买校园网,不需要校园网账号。此外由于 VPN 自带加密,因此可以克服开放 Wi-Fi 网络通信完全不加密的缺陷。

下面所列出的两个思路均是三层(IP)级的 VPN 方法,可以转发所有三层报文,因此支持 ICMP 协议(可以用ping)。

注意:使用 UDP 53 端口需要所在网络没有DNS劫持的问题,如果你所在的网络存在DNS劫持(例如,OpenWRT的DHCP/DNS下的”DNS重定向”功能就是DNS劫持),则该方法会失败。

实现思路1:WireGuard

我特别推荐此方案。WireGuard 是几乎无状态的VPN协议,切换网络零感知,不需要重新连接VPN,对于经常睡眠-唤醒的电脑特别有用。睡眠唤醒后可以立刻上网。此外 WireGuard 在 Linux 和 Windows 操作系统上均是纯内核态的实现,性能极其高。

方法:搭建一个 wireguard 服务端,然后端口监听在 53 上

搭建 Linux 服务端的教程很多,一键包也很多。但若要搭建 Windows 服务端,请一定要阅读我之前的这篇文章

缺点:搭建确实有些复杂,另外配置文件对于不懂计算机网络的人来说实在是晦涩难懂

实现思路2:SoftEther VPN Server

这是我在实现 WireGuard 方案前所使用的一个方案,此方案比 实现思路1:WireGuard 要差一些,主要体现在有状态、连接耗时长,从睡眠中唤醒后要等大约 30 秒才能可以上网。

优点:比 WireGuard 部署简单。如果不一定必须使用 53 端口的话,客户端不需要安装任何软件即可开始使用(SoftEther VPN Server 同时实现了 L2TP/OpenVPN/SSTP 协议)。

方法:搭建一个 SoftEther VPN Server 服务端,然后如下图所示:

注意一个坑:不要使用 SecureNAT!SoftEther VPN 的 SecureNAT 基于桥接实现,并不是直接使用本机网络做 NAT,这会导致服务端 802.1X 认证对客户端无效,也就是说客户端连上 VPN 后还得再登录一个校园网账号!这个问题我建议的解决方法有二:

  1. 关闭 SecureNAT
  2. 对于 Linux,使用 TAP 模式,建立一个 TAP 网卡并对这个网卡设置 NAT
  3. 对于 Windows,桥接到虚拟机用来 NAT 上网的网卡,例如 VMWare workstation 用户可以设置桥接到 VMware Network Adapter VMnet8 网卡

实现思路3:OpenVPN

思路3仍然使用 SoftEther VPN Server(因为官方的服务器软件实在是太难用了),不同的是,我们不是使用 SoftEther 的 VPN over DNS 功能,而是点击上图的 OpenVPN / MS-SSTP 设置 ,把 OpenVPN 端口修改为 53

非 UDP 53 端口 VPN 三层白嫖

前提条件:即使没有购买校园网,学校也给你分配了校园网账号,只是登录这个校园网账号并不能上网,但是仍可以连通局域网网段(10.0.0.0/8172.20.0.0/12, 192.168.0.0/16)内的服务器。(已知卓智-锐捷方案正是如此)

这个方案就是上面所列出的三个方案换个端口。

非 UDP 53 端口四层白嫖

前提条件:即使没有购买校园网,学校也给你分配了校园网账号,只是登录这个校园网账号并不能上网,但是仍可以连通局域网网段(10.0.0.0/8172.20.0.0/12, 192.168.0.0/16)内的服务器。(已知卓智-锐捷方案正是如此)

优点:白嫖-梯子 二合一,白嫖后就自动科学上网。不像上面的方案,如果服务器本身没有设置 TUN/TAP 级别的全局代理,对于 Android 这种只能同时运行一个 VPN 的操作系统,白嫖就不能科学上网,科学上网就不能白嫖。

缺点:是四层代理,因此不支持 ICMP 协议(不能用ping,ping返回的都是代理软件生成的虚假结果)

裸 Socks5 方法

这种方法简单粗暴,打开你服务器上的代理软件,直接选上 “允许来自局域网的连接” 就行。以 Clash for windows 为例:

然后客户端使用任意支持裸 socks5 代理的软件上网即可(例如 V2rayN)

缺点:与服务器的通信完全明文不加密。

ShadowSocks / V2ray 方法

与搭建一个科学上网服务器的方法完全一样,不再赘述。需要注意的是 V2ray 不支持真正意义上的 UDP。

UDP 53 端口四层白嫖方法

与非 UDP 53 端口四层白嫖具有同样的优点,但是使用 UDP 协议来封装,因此能跑在 53 端口上。

通常使用 KCP 协议来将 TCP 流量封装为 UDP 流量。根据你要封装的协议,有以下实现方法,请点击链接查看:

  • 对于 Socks5,使用 KCPTun 程序 封装 Socks5 协议,实现用 UDP 53 端口来跑 Socks5。KCPTun 程序实际上可以封装任何 TCP 应用,但是对于手机端使用体验不好。(Android)
  • 对于 V2ray,使用 mKCP 传输方法。 大部分 v2ray 客户端都支持 mKCP 方法。
  • 对于 ShadowSocks,使用 KCPtun 插件。 大部分 ShadowSocks 客户端都支持 mKCP 方法(Android)。

正在加载评论。你可能需要科学上网才能正常加载评论区