升级几年的校园网，升级了个防私接功能

背景

大概在一年前的时候，校园网说是准备升级了，然后我也确实看见了设备的更新和交换机的更换。我也兴奋地办理了校园网，然后发现网速依旧是出色的拉跨，我也不知道他是为了干什么，可能不是给我们学生提高网速的，而是服务于其他人（猜测），算了，也就这样吧。

既然你这么贵，而且不让多设备，而且速度也不快，我装个路由器也没有问题吧（校园网打游戏更稳定，如果宿舍能一直有网，我在外面控制宿舍的设备也会更加轻松），然后在今年八月份的时候，他发了一个通知，说是装备了防私接，第二天开始，当设备列表有新增的时候，就会被封号十分钟，之后大概会每 1-2 小时被封号十分钟。

学校居然开始圈钱了，升级了这么久的校园网，什么体验都没有改善，还升级防私接？你有这心思能不能降低一下校园网费用或者提高校园网网速？？而且你这 B 网和校园卡还是绑定的，这就不说了，而且校园卡这种东西就是看自己需求的，平常也只是学长学姐推销，他们如果佣金是 100，他们还能返 90 给你，你现在倒好，光明正大地在官方推销卡，美名其曰说是防止受骗，你这校园卡的佣金是多高你是一点不提。更不用说一些泛滥的后台校园网账户和其他一些东西了，跟自己说的理由前后矛盾，圈就是圈。暑假还打着澡堂升级的名号变相提高学生消费这些都不值一提。

🤔 思考解决用网问题

1. 办大流量卡（CPE 或者手机热点）

抖动高，不稳定。

2. 继续用校园网，手机开热点

路由器给手机提供 WiFi，手机同时打开流量，然后手机开热点，然后给其他设备连接。有一定作用，也非常实用。但是还是不够理想。

3. 给路由器刷防检测固件

有很多社区都提供了编译好的固件，一般只要根据自己的路由器型号，进行刷机然后输入几个简单的命令即可。容易把机器刷坏，而且我宿舍的路由器是公共产品，可不能当私人机器刷机使用。

4. Mini 电脑 + 软路由（二级路由）

买个 Mini 电脑，装上软路由，然后给路由器提供网络，路由器再给其他设备提供网络。

🛠️ 实施第四个方案

购买篇

购买 Mini 电脑、内存条、硬盘。

收货

收货之后，先给电脑安装内存条和硬盘。然后下载 Rufus：

https://rufus.ie/zh/open in new window

然后去下载 Proxmox VE（这个当作你 Mini 电脑的主系统，选择适合自己 Mini 电脑的架构，我这里是 x86/64）：

https://www.proxmox.com/en/downloadsopen in new window

把镜像下载下来，准备一个 U 盘，备份好 U 盘里面的资料，将镜像烧录到 U 盘。

安装 Proxmox VE

然后将 U 盘插入电脑，启动 Mini 电脑，插上键盘和显示器，物理网口 1（离电源口近的那个）并插上路由器的 LAN 口（给 Mini 电脑提供 IP），反复按键盘的 F12 键（不同型号有不同的按法），会进入 U 盘的引导界面，根据选项选择，进入安装界面，按照提示安装。

第一个会让你选择安装方式，第一个选择是带有 UI 界面的，选择第一个。

到达 Administration Password and Email 的步骤的时候（不是说下一步就是这个，之前的步骤选择默认的就行了），输入设置 root 用户的密码和你的邮箱地址。

之后会到达 Management Network Configuration 步骤：

填写完之后，点击 Next，然后等待安装完成。安装过程会自动进行，完成后系统会提示你重启并移除 U 盘。

访问 PVE

访问 https://你刚才设置的PVE的IP:8006，输入 root 和刚刚设置的密码，登录成功之后，就可以开始使用 PVE 了。

下载 openwrt 镜像

我这里选择的是 x86/64 的 openwrt 镜像，并且选择的是 combined-squashfs.img.gz，当然你也能使用 ext4，只是文件系统不同而已。

https://downloads.openwrt.org/releasesopen in new window

安装 openwrt

上传镜像

解压之前下载的 openwrt-....-combined-squashfs.img.gz 文件，得到 .img 镜像文件。

在 PVE 网页管理界面，点击左侧的 数据中心 -> pve -> local (pve) 存储。选择 ISO 镜像 标签页，点击上传，然后选择你解压好的 .img 文件并上传。

创造网络桥接

我们需要为 OpenWRT 的 WAN 口创建一个独立的虚拟交换机，并桥接到物理网口 2。

1. 在 PVE 界面，点击 pve -> 系统 -> 网络
2. 点击 创建 -> Linux Bridge
3. 名称：vmbr1
4. 桥接端口：填写你的第二个物理网口名称（例如 enp2s0）。你可以通过 ip a 命令在 PVE 的 Shell 中查看网口名称
5. 不要填写 IP 地址和网关
6. 点击创建。创建完成后，点击应用配置使其生效

创建虚拟机

点击右上角的创建虚拟机。

1. 常规设置

2. 操作系统

3. 系统配置：保持默认设置

4. 硬盘配置：删除默认硬盘（直接点击硬盘条目右侧的垃圾桶图标删除它，因为我们稍后会导入镜像）

5. CPU 配置

6. 内存配置

7. 网络配置

8. 完成创建：检查信息无误后，点击完成。

导入镜像

在 PVE 界面左侧找到刚才创建的 100 (openwrt) 虚拟机，但不要启动它。

点击 pve -> >_ Shell 打开命令行终端，执行以下命令将上传的 .img 文件导入为虚拟机关联的虚拟硬盘：

qm importdisk 100 /var/lib/vz/template/iso/openwrt-24.10.2-x86-64-generic-squashfs-combined.img local-lvm

命令执行成功后，返回 PVE 网页界面：

1. 点击 100 (openwrt) 虚拟机 -> 硬件。你会看到一个未使用的磁盘 0
2. 双击这个磁盘，在弹出的窗口中，将总线/设备设置为 SATA，然后点击添加

添加 WAN 口网卡

在硬件页面，点击添加 -> 网络设备：

• 桥接：vmbr1（我们为 WAN 口创建的桥）
• 模型：VirtIO（半虚拟化）
• 点击添加

切换到选项标签页，双击引导顺序。将刚刚添加的 SATA 硬盘（例如 sata0）拖到第一位，并勾选它前面的复选框，然后点击确定。

配置 OpenWRT

启动 OpenWRT 虚拟机。在虚拟机的 >_ 控制台 标签页中，等待系统启动完成，看到命令行提示符后按一下回车。

输入以下命令编辑网络配置文件：

vi /etc/config/network

按 i 键进入编辑模式，找到 config interface 'lan' 部分，修改 option ipaddr 的值为一个新的网段，例如 192.168.5.1：

config interface 'lan'
        option device 'eth0'
        option proto 'static'
        option ipaddr '192.168.5.1'  # 修改这里
        option netmask '255.255.255.0'
        option ip6assign '60'

修改完成后，按 ESC 键，然后输入 :wq 并回车，保存并退出。输入 reboot 重启虚拟机使配置生效。

登录 OpenWRT Web 界面 (LuCI)

将你的操作电脑的 IP 地址手动设置为与 OpenWRT 同网段的静态 IP，例如 192.168.5.100，子网掩码 255.255.255.0。

在浏览器中访问 http://192.168.5.1。（这里改成你设置的就行）

配置网络

• WAN 口：网络 -> 接口。WAN 接口应该是不存在，这边需要你新建一个 WAN 接口，然后设置 PPPOE，输入你的校园网账号密码即可
• LAN 口：LAN 接口的配置我们已经修改过了。确保 DHCP 服务器是开启的，这样连接到你网络里的设备才能自动获取 IP
• 测试：将你的电脑 IP 改回自动获取，然后用网线连接到 Y10 的物理网口 1，看看是否能获取到 192.168.5.x 的 IP 地址，并且能够正常上网

开始设置二级路由

关闭路由器的 PPPOE

关闭 PPPOE 连接，建议设置 DHCP 连接，你要设置静态 IP 也可以，保持相同网段即可，你设置 AP 连接也行（只是我的路由器不支持这个）。

将路由器 WAN 口连接到 Mini 电脑的物理网口 1

连接就行，如果能够使用网络的话，应该是可以了。（虽然没过多久会被封号）

🛡️ 防检测设置

我学校主要是 ttl 检测和 UA 检测。

修改 ttl

直接这样在 /etc/nftables.d/ 下新建文件 12-mangle-ttl-65.nft：

chain mangle_postrouting_ttl64 {
    type filter hook postrouting priority 300; policy accept;
    counter ip ttl set 65
}
chain mangle_prerouting_ttl64 {
    type filter hook prerouting priority 300; policy accept;
    counter ip ttl set 65
}

这样再创建之后，再重启防火墙就行了。

参考文献：https://zhuanlan.zhihu.com/p/676899812open in new window

自定义 UA

直接下载大佬开源的 UA2F 的 ipk 包，然后在 openwrt 的 UI 上传安装就行，好像是 系统/软件 这个路由：

# 启用 UA2F
uci set ua2f.enabled.enabled=1

# 可选的防火墙配置选项
# 是否自动添加防火墙规则
uci set ua2f.firewall.handle_fw=1

# 是否尝试处理 443 端口的流量，通常来说，流经 443 端口的流量是加密的，因此无需处理
uci set ua2f.firewall.handle_tls=1

# 是否处理微信的流量，微信的流量通常是加密的，因此无需处理。这一规则在启用 nftables 时无效
uci set ua2f.firewall.handle_mmtls=1

# 是否处理内网流量，如果你的路由器是在内网中，且你想要处理内网中的流量，那么请启用这一选项
uci set ua2f.firewall.handle_intranet=1

# 使用自定义 User-Agent
uci set ua2f.main.custom_ua="Test UA/1.0"

# 禁用 Conntrack 标记，这会降低性能，但是有助于和其他修改 Connmark 的软件共存
uci set ua2f.main.disable_connmark=1

# 应用配置
uci commit ua2f

# 开机自启
service ua2f enable

# 启动 UA2F
service ua2f start

# 读取日志
logread | grep UA2F

参考文献：https://github.com/Zxilly/UA2Fopen in new window

设置统一的 NTP 服务器

前面两种已经可以防御检测了，但是多对一种行为进行伪装也是不错的。

在 openwrt 的系统中勾选 Provide NTP server。

在 OpenWRT 的 Web 界面，按照以下步骤操作：

1. 进入菜单 网络 (Network) -> 防火墙 (Firewall)
2. 切换到 端口转发 (Port Forwards) 标签页
3. 在页面下方，点击添加 (Add) 按钮，来创建一条新的转发规则

新建端口转发配置信息

填写完毕后，点击添加 (Add)，然后再点击页面右下角的保存并应用 (Save & Apply)。

✅ 总结

这样之后，应该就能成功防检测了。可以愉快地使用校园网了。

参考文献：

• https://www.hetong-re4per.com/posts/multi-device-detection/open in new window
• https://learningman.top/archives/304open in new window