海南 VPN 的第一條規則就一句：所有準備都要在你入境之前做完。海南是中國大陸的一部分，三亞和海口的網路跟北京、上海一樣過濾境外連線。服務商網站和應用商店裡的相關頁面在當地網路上通常打不開，你落地以後再想裝客戶端、找訂閱連結，多半來不及。第二條規則是別隻準備一種協議 (裝置和伺服器的對話規則)：WireGuard 和 OpenVPN 的流量特徵太好認，你經常會連不上；把隧道偽裝成普通 HTTPS 的 VLESS + Reality 更穩，但誰也不能保證。第三條是留一條不依賴 VPN 的退路，也就是國際漫遊。
這篇按時間順序寫：出發前、落地時、連不上時，最後是法律層面的事實。全文不推薦具體機場，只講怎麼判斷、怎麼操作。
| 出發前 | |
|---|---|
| 裝好客戶端 | 落地後裝不了 |
| 配兩個協議 | 一個不行換另一個 |
| 測 IP、WebRTC、IPv6 | 確認沒洩露 |
| 訂閱連結存到備忘錄 | 離線也能取 |
| 保留漫遊 | 最後的退路 |
出發前：裝、配、測
裝。 在家就把客戶端裝好、登入好。你用機場的，就匯入訂閱連結並更新一次，確認節點列表拉得下來；你用商業 VPN 的，就登入帳號，把配置匯出一份存到備忘錄和雲端硬碟各一處。iPhone 使用者注意 Apple ID 的地區：中國區商店沒有這類應用，落地後改地區需要另一個國家的支付方式。
配。 至少給自己留兩套：主用 VLESS + Reality，備用 WireGuard 或者另一個國家的 VLESS 節點。離海南最近的節點在香港、新加坡、日本，延遲最低，但過濾對不同地址的態度未必一樣，所以你手裡多留兩三個選擇。協議原理見VLESS 與 Reality：為什麼它比傳統 VPN 更難被識別。
測。 連上後開啟我的 IP 是什麼，地址和國家應該變成節點的；跑WebRTC 洩露檢測和IPv6 洩露檢測，不應出現真實地址；斷開、切換到備用協議、再測一遍；最後在 Wi‑Fi 和行動數據之間切換，確認客戶端能自動恢復。在家過不了的，到了島上一定過不了。DNS 那一環怎麼堵見DNS 洩露是什麼意思。
| 出發前三件事 | 說明 |
|---|---|
| 裝 | 在還能訪問應用商店時裝好 |
| 配 | 至少配兩種協議 |
| 測 | 在家先連通一次 |
記住一句：你落地之後再想裝，往往就裝不上了。
為什麼「連不上」是常態
中國的國際出口不只是封地址，它分析流量本身：握手階段前幾個包的大小和順序、特徵欄位、連線行為。WireGuard 和 OpenVPN 的特徵明顯，於是連線要麼建立不起來，要麼幾分鐘後被掐斷，客戶端只顯示「連線中」。VLESS + Reality 在出口看來是一條到真實域名的 TLS 會話，沒有形式上的理由去中斷它，所以穩得多。這不是隱身，也不是保證：過濾會學習，各地區表現也不一樣，節假日和大型活動期間通常收緊。
| 為什麼連不上是常態 | 原因 |
|---|---|
| 固定的伺服器地址 | 會被收錄 |
| 明顯的協議形態 | 會被識別 |
| 晚上比早上更難 | 負載和策略都在變 |
落地後：按順序排查
- 先確認普通網路通暢：用本地卡或酒店 Wi‑Fi 開啟任意一個大陸網站。
- 連主用協議，等一分鐘。新網路裡的第一次連線有時建立得慢。
- 換協議，再換節點，換到另一個國家。
- 在 Wi‑Fi 和行動數據之間切換，兩者的過濾強度可能不同。
- 關掉 Kill Switch，確認普通網路回來了。Kill Switch 在家是保護，在這裡可能表現為「整個網路沒了」。
- 開幾分鐘國際漫遊，報平安、更新訂閱、下載新配置。
別在機場出口耗一小時。先入住，晚上在酒店再試，不同網路、不同時段的表現不一樣。
Kill Switch 和「始終開啟」要不要開
在家建議開，隧道斷開時流量不會退回明網。在海南頭一兩天建議先關，等確認連線穩定後再開。Android 的「始終開啟的 VPN」和「阻止未使用 VPN 的連線」同理，前者可以開，後者等穩定再說；iPhone 的「按需連線」在隧道建立不起來時會反覆重試並影響普通網路，第一次測試前先關掉。
| 落地後排查順序 | 步驟 |
|---|---|
| 一 | 裝置時間設為自動 |
| 二 | 換節點 |
| 三 | 換協議 |
| 四 | 從 Wi-Fi 換成行動數據 |
| 五 | 隔一小時再試 |
什麼都連不上的時候
有些日子確實什麼都連不上，這不一定是你的配置問題。這時可用的是：國際漫遊或境外 eSIM，它們的流量從境外電信業者出到公網，過濾不經過它們；本地能用的應用照常，微信、支付寶、Apple 地圖、iMessage、滴滴、Trip.com 都不受影響。漫遊、eSIM 和本地卡的對比見去中國大陸旅遊：eSIM 漫遊、本地卡加 VPN，還是酒店 Wi‑Fi。
海南有沒有例外
海南在試點「環球暢聯」，據《南華早報》報道，面向在海南註冊運營的企業員工，需要三大電信業者的 5G 套餐，審批最長五個月，不面向遊客。個別國際酒店宣稱住客可訪問境外服務，到店核實，不要依賴。對旅客而言，海南的網路就是大陸的網路。
| 這篇是什麼、不是什麼 | 判斷 |
|---|---|
| 對技術現象的說明 | 是 |
| 法律意見 | 不是 |
| 規定會變、各地表述不同 | 是 |
涉及後果的事情，請以當前官方文字為準。
法律層面需要知道的事實
在中國大陸，國際聯網須使用國家公用電信網提供的國際出入口通道，個人使用未經批准的渠道屬於違反相關規定，實踐中的處理以行政處罰為主，公開報道的案例多涉及經營和傳播行為。酒店和機場不會檢查手機裡裝了什麼，但使用與否由你自己判斷並承擔責任。本文是技術說明，不構成法律意見，也不鼓勵任何違反當地法律的行為。更多討論在翻牆安全嗎、會被發現嗎。
404 VPN 提供 VLESS + Reality 和 WireGuard，客戶端 DNS 在隧道內解析、帶 Kill Switch，節點包括香港、新加坡、日本和泰國，應用目前覆蓋 Android 和 macOS，其餘平臺開發中（見下載頁）。免費套餐每天 2 GB，夠在出發前完成所有測試。我們不承諾從中國大陸任何網路都能連上。開始使用請到首頁。
不確定哪種方式適合自己時，把行程寫出來再問。
幫我選出行期間的上網方式。
行程天數：（幾天）。城市：（哪些）。
手機：（型號；是否支援 eSIM）。
我需要用的：（地圖和通訊 / 社交應用 /
視訊通話 / 帶電腦辦公）。
是否需要本地號碼用於支付和打車：（需要 / 不需要）。
針對我的情況比較各種方式，說明每種方式下我的
流量從哪裡出境。
不要編造價格；不確定的就說不知道。
也不要教我規避當地規定。