校园网 / 公司网络能不能用机场：UDP、端口、DPI 限制怎么判断，协议怎么选，哪些事不要在公司设备上做
校园网和公司网络对代理的限制比家庭宽带严格得多：封 UDP、只放行 80 / 443、深度包检测识别代理特征、强制门户认证、公司设备装有监控。本文说明这些限制的表现与判断方法、哪类协议更容易通过、客户端怎么设置，以及明确不该做的事和手机热点等备用方案。
这两类网络和家庭宽带的区别
家庭宽带只有运营商一层管控。校园网和公司网络在此之上还有自己的网络管理设备——出口防火墙、行为管理、认证网关——这些设备的默认策略往往是「只放行必要的」，而不是「只拦截有害的」。所以同一个机场在家能用、到了学校或公司不能用，几乎都是这一层在起作用，不是机场坏了。
先说清一件事：本文讨论的是技术上的限制和判断方法。公司网络和设备归公司管，有明确使用规定的要遵守；校园网也有自己的管理规范。技术上能绕过不等于应该绕过。
常见限制及其表现
| 限制类型 | 表现 | 判断方法 |
|---|---|---|
| 封 UDP | Hysteria2 / TUIC / WireGuard 全部超时，TCP 协议正常 | 同机场 TCP 节点能通 |
| 端口白名单（只放 80 / 443 等） | 非 443 端口全超时，443 端口正常 | 对比不同端口节点 |
| DPI 识别代理特征 | 无 TLS 的 SS / VMess 连接几秒后被切断，TLS 类正常 | 对比协议 |
| SNI 黑名单 | 特定域名的 TLS 握手被阻断，节点服务器域名命中 | 换节点或机场提供的备用域名 |
| 强制门户认证 | 不登录认证页任何流量都不通，包括代理 | 先用浏览器完成认证 |
| 流量限速 / 限额 | 能连但速度极低，或每天固定时间断网 | 直连测速对比 |
| 网关级 DNS 劫持 | 节点域名解析失败或解析到内网地址 | 客户端换 DoH |
| 阻断已知代理 IP 段 | 某些节点永远不通，换机场就好 | 多家机场对比 |
| 公司设备的终端管理 | 装不了软件、或装了被自动卸载 | 设备策略 |
多数校园网同时存在前两三项；公司网络还可能叠加后面几项。
怎么判断自己遇到的是哪种
按顺序做三个对比，几分钟就能定位：
- 先确认认证已完成。校园网和很多公司 Wi-Fi 需要先在浏览器里登录门户。没登录之前所有流量都被劫持到认证页，机场客户端当然连不上。打开一个 http 网站看会不会跳到认证页。
- TCP 对 UDP。同一机场里挑一个 Trojan / VLESS + TLS 节点和一个 Hysteria2 / TUIC 节点，各测一次。TCP 通、UDP 不通，就是封 UDP。
- 443 对非 443。都是 TCP 类节点，挑一个 443 端口的和一个高位端口的。只有 443 通，就是端口白名单。
- 有 TLS 对无 TLS。都是 443 端口，挑一个 Trojan 和一个纯 Shadowsocks。只有 TLS 类能用，或者 SS 连上几秒就断，就是 DPI。
对比结果直接决定你能用什么节点。各协议的特征差异见代理协议详解。
协议怎么选
在限制严格的网络里，优先级大致是：
- VLESS + Reality / VLESS + TLS（443）：流量看起来是到某个真实网站的 HTTPS，特征最弱。
- Trojan（443）：同样伪装成 HTTPS，被动探测时回应真实网页。
- Shadowsocks + TLS 插件 / 2022 版本：有混淆，比裸 SS 好得多。
- VMess + WebSocket + TLS（443，套 CDN）：经过 CDN 后目标 IP 是 CDN 的，很难按 IP 段封；延迟稍高。
- Hysteria2 / TUIC：UDP 不被限时速度最好，但在封 UDP 的网络里直接放弃。
- 裸 Shadowsocks / 裸 VMess：在 DPI 环境下容易被识别干扰，只作最后选项。
客户端设置上：关掉节点的 UDP 转发（避免 QUIC 流量被丢导致网页卡住，浏览器会回退到 TCP）；DNS 改成 DoH 走代理，避免网关劫持；不开 Fake-IP 范围过宽的 TUN 配置，校园网里一些内网服务（教务系统、选课、打印）要能直连。
机场方面，挑协议多、端口多、有 443 端口 TLS 节点、有 CDN 中转的，换节点的余地大。选机场时的考虑点见怎么选机场和学生机场推荐。
不要在公司设备上做的事
这一节不是法律意见，是实际后果层面的提醒：
- 不要在公司配发的电脑、手机上安装代理客户端。公司设备通常装有终端管理和安全软件，安装记录、网络连接记录都是可见的。很多公司的 IT 规定明确禁止未经批准的代理或 VPN 软件，违反的后果从警告到解除劳动合同都有过。
- 不要把公司网络的认证凭据填到代理客户端或第三方工具里。
- 不要用代理访问公司禁止的内容，或绕过公司的数据防泄漏策略传文件。代理只是改变出口，不会让这些行为变得合规。
- 工作需要访问境外资源（查文档、用 GitHub、用 AI 工具），先问 IT 或主管有没有合规渠道：很多公司有自己的国际专线、白名单或审批流程。
- 自己的手机用自己的流量不受公司网络策略约束，但在工位上也要注意公司对手机使用的规定。
校园网的情况宽松一些，但同样要遵守学校的网络使用规范。学生用机场更多是出于学习、科研、使用 AI 工具的需要，这些场景一般没有问题；大流量下载、P2P、长时间占用带宽容易触发校园网的限制策略，影响自己也影响同宿舍的人。
备用方案
手机热点
最直接。手机走运营商网络，不受校园网 / 公司网络的任何限制。电脑连手机热点后，用电脑自己的客户端，或者让电脑走手机客户端的局域网共享。注意：
- 流量按运营商套餐计费，视频和大文件会很快耗尽；
- 运营商网络也有自己的限制（部分地区限 UDP、限非常用端口），所以在手机上先确认哪类节点通；
- 热点下延迟比校园网高一些，但对网页、AI 工具、视频会议影响不大。
移动网络下的问题另有一篇专门说明。
多入口机场
有的机场提供多个入口（不同运营商、不同端口、CDN 入口），哪个通用哪个。有 IEPL 专线的机场，入口通常是国内 IP，在部分网络里更不容易被按 IP 段封。见 IEPL / IPLC / BGP 中转。
换一个时间或位置
部分校园网白天和晚上策略不同（晚上限速或断网），教学区和宿舍区策略不同，图书馆的 Wi-Fi 和宿舍有线策略不同。换个地方测一下，有时结论完全不同。
用公司或学校的正规出口
高校大多有国际出口或 IPv6 出口，部分境外学术资源直接可访问；公司则可能有专线。这是最稳的办法，只是覆盖范围有限。
典型场景速查
| 场景 | 推荐做法 |
|---|---|
| 宿舍有线，只有 443 通 | 固定用 Trojan / VLESS + TLS 443 节点，关 UDP |
| 教学楼 Wi-Fi 封 UDP | 不用 Hysteria2 / TUIC，用 TCP 协议 |
| 公司 Wi-Fi，个人手机 | 用自己流量，不碰公司网络 |
| 公司电脑 | 不装客户端，走合规渠道 |
| 全部不通 | 手机热点 |
相关
常见问题
校园网里机场一个节点都连不上，是机场被封了吗？
更可能是校园网只放行了少数端口或限制了 UDP。换 443 端口、TLS 类 TCP 协议的节点测试，能通就是端口 / 协议限制，不是机场的问题。
什么协议在严格网络里最容易通过？
伪装成正常 HTTPS 的 TLS 类 TCP 协议：Trojan、VLESS + TLS / Reality、Shadowsocks + TLS 插件，走 443 端口。Hysteria2、TUIC 这类 UDP 协议在限 UDP 的网络里几乎不可用。
公司电脑能装机场客户端吗？
不建议。公司设备通常有管理策略和监控，安装代理软件可能违反公司规定，被发现有实际后果。需要访问境外资源应走公司的合规渠道。
学校宿舍网络用机场会被发现吗？
校园网管理方能看到流量去向和特征，是否去追究取决于学校政策。遵守校园网使用规定，不要在校园网做大流量下载或违规内容。
实在连不上有什么备用办法？
手机开热点给电脑用，走运营商网络，绕开校园网 / 公司网络的限制。注意流量消耗，并确认手机运营商下节点能通。
本文为信息整理与个人经验，不构成购买建议。机场政策与软件界面可能变化，以官方为准。发现过期内容请 联系纠错。