你要站在你老大的位置考虑这件事情，手下的一个员工被其他组安排任务，员工傻不拉几来问我要不要做，如果我说不做，变成我得罪人，我的最佳说辞是“在完成我布置任务后，有时间就帮其他部门”，然后领导看到自己员工拿我部门工资帮其他组干活，心理可能会不舒服的。

你的最佳策略是：其他部门的人找你干活，你可以参与前期讨论，但是一定是不能接活的，要求对方找自己的直属领导派任务给自己，而且分阶段都要让对方找自己领导派任务。领导找你说这件事情的时候，还要看领导脸色，如果领导不积极，你要去拒绝不要让领导难做人。

以前上海电信是可以申请到公网 IP 的。现在申请不到了吗？

看错了，ipv6 dns 不行

华为无线路由器支持，局域网（ wifi 和有线）都能获取到 Internet ipv6

接#43 ，使用 ios 内置的 vpn 协议时，切换手机 4G5G 网络/wifi ，vpn 会断开。必须先连 wifi 再开启 vpn ，中间有一个时间差。公共 wifi 信号波动，手机可能会短暂切到 4G/5G 再切回 wifi ，vpn 就断了。

开启“按需连接”就是为了避免 vpn 异常断开被 wifi 窃听。

@sikong31 #42 vpn server （ IKEv2 ）会告诉 ios 哪些网段走 vpn ，如果开启“按需连接”，访问 vpn 网段会自动连接 vpn 。当 vpn server 接管所有流量（ 0.0.0.0/0 ）时，开启“按需连接”可防止 wifi 窃听数据。

“ 从国内发起并建立跟美国的 TCP 连接，下载（ us->cn ）速度很慢（ 50KB ），上传（ cn->us ）速度还可以（ 7MB ）” 远程服务器开启 bbr 试试

“从美国发起的网络请求（比如 http ）无法到达国内电信家庭网络里的主机，TCP 和 UDP 都不 work ，仅测过 ipv6 ，BTW ，可以 ping 通” 你用手机 4G/5G 网络测试一下是否也这样，如果国内 ip 也这样，大概率是你的宽带路由器防火墙的问题

最简单的方式：前置 nginx 开启双向证书认证 mtls

@liuidetmks #3 没有 1 个合法 CA 会做任意域名的签署用于监听，这是被明令禁止的。浏览器有一个证书透明度检查，能实时发现这种违规行为，如果被发现这种违规，商业 CA 会在几周内被吊销掉，结束他的商业生命。这是操作都是私有 CA 证书导入设备后才能实现的。

如果你担心酒店 wifi/公司 wifi 有监听，可以部署一个私有 vpn server ，然后测试：
(1) 手机开启 vpn 后：切换手机 5G 和 wifi 后 vpn 不会断开；
(2) 手机开启 vpn 后，关闭 vpn server：vpn 不会断开并维持无法上网状态；再切换手机 5G 和 wifi ，vpn 仍然不断开并维持无法上网状态；开启 vpn server 后网络恢复正常。

以上测试完成后，你的 vpn 就是一个有效的抵御 wifi 监听的方式。在连入公共 wifi 前开启 vpn 即可。

iphone 里的 vpn 设置有“按需连接”，启用后能接管所有流量加密传输所有数据，避免 wifi 监听。

android/iphone 开启 wireguard 也有这个功能，所有流量都必须走 wireguard 通道，wifi 是无法监听通讯的。

@gpt5 #6 我把家里所有的 LoT 设备都接到 guest wifi ，就是不放心 LoT 安全性。guest wifi 是内网隔离的，LoT 只能连网关，连不上 guest 网络上的其他设备，防止渗透。

@jocover #18 nas 上建一个带密码的 vhdx 文件，写 2 个脚本：在本地计算机自动挂接 nas 上的 vhdx 、断开 nas 上的 vhdx ，即安全又方便。

接#19 ， 如果 fnos 的 https 服务能校验 sni ，并直接挂断"无 sni/sni 不正确"的连接，黑客也不可能这么肆无忌惮的随意攻击。

家庭/小公司的公网 ip 开放服务，有几个安全技巧推荐：

(1) 屏蔽无 sni 的 tls( https)连接。黑客盲扫是不知道你域名(sni)的，这条简单规则直接防 99.9%的黑客盲扫攻击。推荐前置 nginx ，配置 stream 模块的 map $ssl_preread_server_name ，并且不设 default 项，如果黑客发起无 sni 链接，nginx 会直接挂断 tcp 。(有个坑：如果设置不对，黑客发起无 sni 的 tls 请求后，服务器会发送证书，证书里有域名；服务器要直接挂断 tcp 不能返回证书)

(2) 对于管理平台等私有 https 网站，启用双向证书认证 mtls 。浏览器导入客户端证书后，使用起来超方便。windows 、mac 、ios 、android 浏览器都支持客户端证书认证的。推荐前置 nginx 或者 stunnel ，没有客户端证书，根本到不了后端服务。

(3) ssh over tls 。通常 ssh 仅密钥登录/关闭密码登录后是足够安全的，如果希望混淆 ssh ，或者进一步提升安全性，可以前置 nginx ，对 ssh 进行 tls 包裹。在.ssh/config 里配置 ProxyCommand 参数后，ssh 操作和原来基本一样。

(4) 公网只暴露 ssh 、tls(屏蔽"无 sni"连接)、vpn ，其他端口一律不要暴露。

抛砖引玉~~~

@xyz3210 #5 你需要一个新加坡或者香港的线路。

关于招行信用卡网络问题，其实很好解决的：你到 trip.com 上查找“美国 esim”关键词，然后看 esim 资料里 apn 是 cmlink 或者 mobile.three.com.hk 的 esim 套餐，都是香港 ip 访问很快的，总量 10GB/30 天只要 6 刀左右

周一开始,好像是电信到美国的线路有问题,移动/联通到美国的线路好像还行. 你 ping 移动/联通的 ip 试试