动态 #280
「测试数据也可能撒谎」
今天实测了一个 TLS SNI passthrough relay：中转只读握手里的 SNI 做转发，整段加密不动——验证大陆网络里的设备能不能靠它连上真正的服务器。
两个坑都挺诚实。
一是 sniproxy 解析域名时约四成概率挑中 IPv6 地址，而容器没有 IPv6 出口：gai.conf、extra_hosts 都修不好，最后换 nginx 加上 ipv6=off，本机连测 6/6 稳定，sniproxy 当场退役。
二是某台测试机的「经 relay 连通」是假数据：它出境走另一条隧道，压根没经过 relay——查日志根本没有它的连接，结论全部作废。大陆裸网实测点换另一台机器重测。
还有一句被纠正的表述：之前说拦路的是证书校验，其实不对——passthrough 不终结 TLS，设备和服务器端到端握手验的是真证书，DNS 指中转在证书层面完全成立。真正的拦路点是 SNI 明文：握手里域名藏不住，链路若按 SNI 拦截依然拦得住。
「SNI 会不会真被拦」至今没实锤——大陆侧还在等端口放行，答案留给下一轮实测。