公司或学校的网络管理员封了大部分端口、只开放80和443——这种情况下很多代理协议连不上。本文讲清企业网络环境下的代理穿透策略，包括常见的限制手段和对应的绕过方法。
企业/校园网常见限制方式
防火墙白名单：只开放80（HTTP）和443（HTTPS）两个端口，其他全部关闭。SOCKS5代理通常用高端口（1080/8080/10800），直接被防火墙拦掉。DPI深度包检测：防火墙不只是看端口，还分析流量特征。SOCKS5的握手数据包会被识别为非HTTP流量而拦截。DNS劫持：内网DNS屏蔽了代理平台的域名。
策略一：用HTTP代理走443端口
防火墙几乎不可能封443端口（HTTPS要用）。选一个提供443端口HTTP代理的平台（天行IP多数节点支持，邀请码 blsj，月付6元起）→配到浏览器或客户端里。代理平台如果能自定义端口是最好的——把你的节点端口改成443绕过防火墙。
策略二：用CONNECT隧道模拟正常HTTPS流量
HTTP代理的CONNECT方法可以伪装成正常的HTTPS请求——防火墙看到的是”访问某个正常HTTPS网站的443端口”，实际内容是代理隧道。前提是代理平台支持CONNECT方法（大部分商业代理都支持）。
策略三：WebSocket代理——在80/443上跑
WebSocket先通过标准HTTP 80端口建立连接，然后升级成持久化的WebSocket通道——防火墙看起来就是一个普通的HTTP请求。在这条WebSocket隧道上跑SOCKS5代理流量。需要代理平台支持或自己用V2Ray/Shadowsocks在VPS上搭一个WebSocket代理。
策略四：DNS over HTTPS绕过DNS劫持
如果代理平台的域名被内网DNS屏蔽了，浏览器里启用DoH（DNS over HTTPS）：Chrome设置→隐私与安全→安全→使用安全DNS→Cloudflare或Google。DNS查询通过HTTPS加密，内网DNS看不到你在查什么域名。
合规提醒
上面说的都是技术层面的可行性。实际使用时注意：公司的IT政策是否允许使用代理、是否允许私自搭建隧道、是否涉及数据安全和保密义务。尊重网络管理规则。
常见问题
HTTP代理在443端口为什么有的环境能通有的不能？
如果防火墙做了DPI检测，发现443端口上跑的不是标准TLS握手（而是HTTP明文）→直接拦截。你需要HTTPS代理（TLS加密的代理连接）而非HTTP代理。
公司有没有日志记录你访问了什么？
HTTP代理如果是明文的：公司防火墙/代理服务器能看到域名（通过DNS或SNI）。HTTPS代理或VPN：加密隧道，公司只能看到你连了一台服务器，不知道你具体访问了什么。
移动热点的代理限制和公司WiFi一样吗？
手机4G/5G热点没有防火墙限制——你连自己手机的热点，代理随便用任何端口。公司WiFi才有限制。
