本文将分享一些校园网的白嫖思路（WireGuard / SoftEther VPN Server基于 UDP 53 端口的 VPN 三层白嫖、Socks 5 白嫖+科学上网二合一的四层白嫖），也就是不花一分钱就和一般用户一样使用校园网。

2023/2/23: 更新各平台配置NAT命令和L2TP方法，并根据先前在评论区的答复介绍可以直接放弃的一些不可行的思路

前提条件

下面列出的思路均要求使用一个校园网的服务器作为中转，因此，需要能够在不需要付费、认证后就能上网的网络环境（一般为办公区或实验室网络）下放一个电脑（树莓派也行）；或者有任意学校服务器的使用权。

整体思路就是找个在学校里面地方搭个服务器中转流量

各种思路

基于 UDP 53 端口的 VPN 三层白嫖

原理：UDP 53 是 DNS 协议所用端口，由于门户（Portal）认证为了实现 HTTP 劫持跳转到登录页面，必须使得浏览器能够正常地进行 DNS 解析，因此在不认证、不付费的情况下也会放行 UDP 53 端口的流量。

特点：不需要校园网认证，不需要购买校园网，不需要校园网账号。此外由于 VPN 自带加密，因此可以克服开放 Wi-Fi 网络通信完全不加密的缺陷。

下面所列出的两个思路均是三层（IP）级的 VPN 方法，可以转发所有三层报文，因此支持 ICMP 协议（可以用ping）。

注意：使用 UDP 53 端口需要所在网络没有DNS劫持的问题，如果你所在的网络存在DNS劫持（例如，OpenWRT的DHCP/DNS下的”DNS重定向”功能就是DNS劫持），则该方法会失败。

实现思路1：WireGuard

我特别推荐此方案。WireGuard 是几乎无状态的VPN协议，切换网络零感知，不需要重新连接VPN，对于经常睡眠-唤醒的电脑特别有用。睡眠唤醒后可以立刻上网。此外 WireGuard 在 Linux 和 Windows 操作系统上均是纯内核态的实现，性能极其高。

方法：搭建一个 wireguard 服务端，然后端口监听在 53 上

搭建 Linux 服务端的教程很多，一键包也很多。但若要搭建 Windows 服务端，请一定要阅读我之前的这篇文章。

缺点：搭建确实有些复杂，另外配置文件对于不懂计算机网络的人来说实在是晦涩难懂

实现思路2：SoftEther VPN Server

这是我在实现 WireGuard 方案前所使用的一个方案，此方案比 实现思路1：WireGuard 要差一些，主要体现在有状态、连接耗时长，从睡眠中唤醒后要等大约 30 秒才能可以上网。

优点：比 WireGuard 部署简单。如果不一定必须使用 53 端口的话，客户端不需要安装任何软件即可开始使用（SoftEther VPN Server 同时实现了 L2TP/OpenVPN/SSTP 协议）。

方法：搭建一个 SoftEther VPN Server 服务端，然后如下图所示：

注意一个坑：不要使用 SecureNAT！SoftEther VPN 的 SecureNAT 基于桥接实现，并不是直接使用本机网络做 NAT，这会导致服务端 802.1X 认证对客户端无效，也就是说客户端连上 VPN 后还得再登录一个校园网账号！这个问题我建议的解决方法有二：

1. 关闭 SecureNAT
2. 对于 Linux，使用 TAP 模式，建立一个 TAP 网卡并对这个网卡设置 NAT（命令见下文）
3. 对于 Windows，桥接到虚拟机用来 NAT 上网的网卡，例如 VMWare workstation 用户可以设置桥接到 VMware Network Adapter VMnet8 网卡，Hyper-V 用户见下文

对于Linux，设置Tap网卡的NAT命令如下：假设 eno1np0 为你的物理上网网卡，tap_sevpn 为SoftEther VPN Server虚拟网卡

iptables -I FORWARD -i eno1np0 -j ACCEPT
iptables -I FORWARD -o eno1np0 -j ACCEPT
iptables -I FORWARD -i tap_sevpn -j ACCEPT
iptables -I FORWARD -o tap_sevpn -j ACCEPT
ifconfig tap_sevpn 192.168.235.2/24 # 为SoftEther VPN Server虚拟网卡 配置IP段
iptables -t nat -A POSTROUTING -o eno2np1 -j MASQUERADE

对于 Linux：这样就可以通过NAT上网了，但是你还会发现Softether只是设置了NAT，但不会给用户分配 IP 地址，请继续这样配置：注意按红框操作，注意网关地址和SecureNAT网卡IP地址不同。注意只开DHCP不开虚拟NAT。最后配完再开启securenat

实现思路3：OpenVPN

思路3仍然使用 SoftEther VPN Server（因为官方的服务器软件实在是太难用了），不同的是，我们不是使用 SoftEther 的 VPN over DNS 功能，而是点击上图的 OpenVPN / MS-SSTP 设置 ，把 OpenVPN 端口修改为 53

OpenVPN性能不怎么好，纯用户态实现。

实现思路4：裸 L2TP

裸L2TP性能也很好，毕竟也是内核级实现。思路3仍然使用 SoftEther VPN Server（因为官方的服务器软件实在是太难用了），需要注意，校园网可能不允许 GRE 或 IPSec，导致常规L2TP/IPSec无法使用，因此我推荐使用不加密的裸 L2TP。裸 L2TP 客户端在 Windows 上配置方法如下：

通常来说关掉证书验证、不输入预共享密钥(PSK)、禁用加密的 L2TP/IPSec就是裸L2TP。Android 和 IOS 不支持裸 L2TP。OpenWRT 的 L2TP 默认就是裸 L2TP，不需要特别的操作。

非 UDP 53 端口 VPN 三层白嫖

前提条件：即使没有购买校园网，学校也给你分配了校园网账号，只是登录这个校园网账号并不能上网，但是仍可以连通局域网网段（10.0.0.0/8，172.20.0.0/12, 192.168.0.0/16）内的服务器。（已知卓智-锐捷方案正是如此）

这个方案就是上面所列出的三个方案换个端口。

非 UDP 53 端口四层白嫖

前提条件：即使没有购买校园网，学校也给你分配了校园网账号，只是登录这个校园网账号并不能上网，但是仍可以连通局域网网段（10.0.0.0/8，172.20.0.0/12, 192.168.0.0/16）内的服务器。（已知卓智-锐捷方案正是如此）

优点：白嫖-梯子 二合一，白嫖后就自动科学上网。不像上面的方案，如果服务器本身没有设置 TUN/TAP 级别的全局代理，对于 Android 这种只能同时运行一个 VPN 的操作系统，白嫖就不能科学上网，科学上网就不能白嫖。

缺点：是四层代理，因此不支持 ICMP 协议（不能用ping，ping返回的都是代理软件生成的虚假结果）

裸 Socks5 方法

这种方法简单粗暴，打开你服务器上的代理软件，直接选上 “允许来自局域网的连接” 就行。以 Clash for windows 为例：

然后客户端使用任意支持裸 socks5 代理的软件上网即可（例如 V2rayN）

缺点：与服务器的通信完全明文不加密。

ShadowSocks / V2ray 方法

与搭建一个科学上网服务器的方法完全一样，不再赘述。需要注意的是 V2ray 不支持真正意义上的 UDP。

UDP 53 端口四层白嫖方法

与非 UDP 53 端口四层白嫖具有同样的优点，但是使用 UDP 协议来封装，因此能跑在 53 端口上。

通常使用 KCP 协议来将 TCP 流量封装为 UDP 流量。根据你要封装的协议，有以下实现方法，请点击链接查看：

• 对于 Socks5，使用 KCPTun 程序 封装 Socks5 协议，实现用 UDP 53 端口来跑 Socks5。KCPTun 程序实际上可以封装任何 TCP 应用，但是对于手机端使用体验不好。(Android)
• 对于 V2ray，使用 mKCP 传输方法。 大部分 v2ray 客户端都支持 mKCP 方法。
• 对于 ShadowSocks，使用 KCPtun 插件。 大部分 ShadowSocks 客户端都支持 mKCP 方法(Android)。

不建议的方法

PPTP：PPTP 依赖 GRE 隧道，然而 GRE 协议很可能被封了。以我所在的学校校园网为例，只允许 TCP/UDP/ICMP，其他协议一律无法使用。

IKEv2：依赖 IPSec。可能被封了。

SSTP：虽然SEVPN自带，但是基于 HTTPS+TCP，网速极其堪忧。

GRE/IPIP/VXLAN/MPLS：需要两端都是静态 IP，在校园网白嫖的实际生产环境不可行。