CDN线路与流媒体

• Netflix（网飞/奈飞）：全球订阅制流媒体平台，因国内政策未在大陆运营，须科学上网访问。
• 观看两条件：能解锁的节点 + 会员账号，缺一不可。
• 地区片库差异：影片版权按地区售卖，节点IP归属地决定你能看哪个区的片。
• 原生IP是伪概念：住宅IP/原生IP/广播IP在实际网络中并不存在这个概念；纯净IP才是本质——IP被连坐拉黑，原生IP也看不了。

实战要点：机场用户直接问客服「是否支持解锁奈飞」；自建节点找纯净IP或用DNS解锁（廉价）；合租约20元/月、5车位独立记录；节点突然不能解锁≠你的问题，可能是整个IP段被连坐拉黑。

• CDN（内容分发网络）：把内容缓存到分布各处的服务器，用户经DNS拿到就近CDN的IP，CDN没缓存就逐级回源——两大作用：绕过拥堵链路（加速）+ 缓存静态资源。
• 代理只用加速功能：代理跑的是加密数据，不可能命中缓存，内容分发是建站用的。
• CDN=减速器三大原因：国内CDN要备案实名→此路不通；套国外CDN回本地仍走同一条拥堵国际瓶颈；免费CF被翻墙用户用烂，IP段被防火墙重点关照劣化。
• BBR拥塞控制：谷歌开发的算法，盯住延迟变化——延迟不涨说明有人退出就升档提速，延迟涨说明排队拥堵就保持/回落；cubic用户降速时BBR能抢占让出的带宽。

实战要点：套CDN铁律：ws传输+80/443端口（CDN只转发http系协议）；节点「地址」填优选IP、「伪装域名」填绑定域名，缺一不可；验证生效：访问「域名+ws路径」返回bad request；BBR三行命令切换，内核≥4.9自带。

• 传统优选四宗罪：要建专用测速地址 → TCP PING端口不严谨（ping通≠能用）→ 手动替换IP耗时 → 半天筛不出几个。
• 真连接延迟测试：v2rayN拿着节点真实访问目标网站，通了说明节点一定可用——比只测端口开放严谨得多。
• 一个节点套多家CDN：同一节点绑不同域名，分别套CF/CloudFront/Gcore，一个变三个。
• 自定义模式：提供商选「自定义」后可粘任意IP/IP段，自动去重生成节点链接。

实战要点：前置条件：节点已套CDN且节点地址是域名；选对CDN提供商（套哪家选哪家，选错全灭）；获取量建议≤5000（Gcore IP池小）；纯前端不收集信息，有隐私顾虑可扒源码本地用。

• CF半残现状：DNS/CDN/流量全免费 → 用户太多 → 被GFW重点关照 → 刚优选的IP秒墙、worker域名也被墙。
• Gcore：邮箱+密码注册，免费计划每月1T流量+10亿次请求，门槛极低。必须开启websocket回源。
• cname解析：不用把NS迁到Gcore，在CF面板加一条cname指向Gcore别名、取消代理（灰云）即可。
• 两段TLS取舍：CDN→源服务器在国外，中间无防火墙，套TLS只增延迟不建议；电脑→CDN建议套TLS。

实战要点：节点必须ws传输；Gcore创建CDN→自定义回源端口=节点端口→CF加cname（灰云）；生效检查：CDN面板active + 访问「域名/ws路径」返回bad request；套TLS：面板SSL开关等10-30分钟→节点改443+TLS。

• CloudFront（CFT）：亚马逊云的CDN服务，注册要信用卡（门槛高），每月免费1T流量+1000万次HTTP/HTTPS请求+200万次函数调用。
• 自建测速地址：优选IP要下载文件测速，消耗CDN流量；CF流量无限所以可共享，CFT只有1T/月，必须自建自用、别分享。
• 测速分配配置：源域填测速域名、协议「匹配查看器」、关自动压缩、缓存切第二项；IP段要剔除中国段（套中国CDN要备案用不了）。
• 套TLS零门槛：直接443+tls免申请证书（CFT自动配好）。

实战要点：建两个分配（测速+节点），源域填域名、协议「匹配查看器」、关压缩切缓存；优选参数：-t 1只测一次、-url指定套CFT的测速地址；删除分配要先禁用再删除才是完整删除；账单控制面板可看用量，实测零扣费。

• 原生IP：伪概念，可能被DNS解锁冒充；要看商家是否写明保证解锁，否则IP被拉黑可能不给换。
• 二级代理（前置代理）：本机→不解锁节点→（分流奈飞流量）→解锁节点→奈飞。用xray改三处模板实现。
• WARP：CF的免费VPN，切socks代理模式（40000端口）当解锁出口，唯一免费解锁方案；不能手选地区/刷IP。
• DNS劫持解锁：DNS服务器骗你把奈飞域名指向解锁机，解锁机反代转发给真奈飞——节点零配置「像原生解锁一样」。

实战要点：检测先行：用nf解锁检测脚本确认VPS能否看（403=连自制剧都看不了）；二级代理改模板三处（socks入口+route分流+out插入解锁节点），保存后重启面板；WARP先切socks模式再连接否则VPS失联；DNS解锁注意IPv6优先导致403。

• 为什么奈飞「能连但看不了」：防火墙没拦奈飞，是奈飞自己不向中国大陆提供服务——所以DNS层面就能解决，无需翻墙。
• SNI反向代理：本质是带判断的端口转发——根据明文SNI决定是否帮你转发，是reality的「前身」。
• Acrylic（亚克力）：让Windows提供DNS服务的工具，安装→改配置→改hosts→重启，本机DNS填127.0.0.1。
• 公共SNI反代服务器：网上近3万条，挑IP口诀——出现某类页面90%可用、加https://提示「不受支持的协议」95%可用。

实战要点：Acrylic装服务→改上游DNS为路由器IP→hosts粘IP模板→保存重启；每次改hosts清DNS缓存+重启浏览器；红线：绝不反代被墙网站（SNI明文秒墙IP）；x-ui解锁：改xray模板两处IP为反代IP→保存重启面板。

• 反代CF的IP ≠ CF官方IP：正常优选IP碰不到它们，但速度远超CF自家IP，因为走的是别人搭的中转线路。
• fofa：网络空间测绘搜索引擎，按语法（CF服务器+端口+HTTP头+地区）批量搜特征IP，免费导出2000+条。
• 双重反代（套娃）：你的数据→中转IP服务器→CF节点→你的源服务器，像俄罗斯套娃一层包一层。
• reality变中转机的原理：reality收到非reality数据会转发给dest目标；若dest是套CF的网站，你的机器就成了公共反代CF IP。

实战要点：准备两个节点（80端口ws + 443+TLS）；fofa语法要素：CF服务器+端口+HTTP头含forbidden+地区代码；按地区选反代IP（节点在哪个地区就优选哪个）；reality防白嫖：dest别设套CF网站，用「域名+特定路径」验证换掉。

• 反代CF中转IP：不在CF官方IP列表里，通过端口转发或SNI代理把请求转给CF节点——正常优选碰不到它们。
• 获取方式：扫IP段（nmap/ob2/自写脚本）+公开项目下载合并；先用ob2二次筛选剔除失效IP再优选，命中率高。
• ob2二次筛选：openbullet2导入反代IP列表+脚本跑一遍，hits里就是能用的IP，去重导出后喂给优选工具。
• 透视链路：浏览器访问验证页面，用页面参数看穿「哪个IP在访问CF节点」和「连的是CF哪个地区节点」。

实战要点：下载公开项目合并IP为ip.txt；ob2二次筛选→hits导出→优选工具-f指定文件；-tll设延迟下限过滤失效IP（先跑一轮看分布再定阈值）；-dn指定测下载数量；查IP背景用归属地+ASN查询确认运营商。

• 落地IP：你通过节点访问网站时对方看到的出口IP；跨境电商一个账号配一个落地IP才能防风控。
• IPv6前缀长度：商家分配的前缀可能是48/56/64/96/112，小于128就能自己扩充；/64最常见，后缀随机组合数量庞大≈「无限IP」。
• 免费IPv6隧道：VPS没有公网IPv6时，去隧道网站注册创建隧道，白得一个/64前缀；实测新加坡/日本隧道还能解锁奈飞非自制剧。
• 多入口单出口：本地有公网IPv6时，被墙了就换VPS任意另一个IPv6当入口——被墙一个换一个，无限续命。

实战要点：netplan写yaml→netplan apply永久生效（手动ip a加重启即丢）；网页工具粘IPv6+前缀+数量一键生成shell命令；先确认目标网站支持IPv6（谷歌/YouTube/亚马逊支持，推特/TikTok不支持）；CN2 GIA好线路别为隧道入口降级成普通线路。