VPN大事件
不翻车编辑部 · 更新于
这一期有视频版：YouTube 上看《VPN大事件》第 1 期。
第一期不按一周统计，把 2026 年到 10 月初和翻墙有关、有出处的事集中讲一遍，从下一期起每周只讲新的。每条后面标了来源等级：A 是官方原文，B 是署名媒体报道，C 是研究机构，D 是社区帖子。D 级的内容只当线索，文中会写明“未证实”。
本周头条：哈工程 20 名学生用校园网翻墙，全部警告处分
哈尔滨工程大学数学科学学院学生工作办公室的通报落款 9 月 20 日：7 名本科生、13 名研究生在 9 月 18 日至 19 日“使用个人校园网账号通过 VPN 等非正规渠道访问境外网络”，“被网络安全监测系统记录留存”。通报写的理由是违反国际联网管理规定和学校管理规定；因为都是首次违规，没有发现传播有害信息或非法获利，学院给予警告处分。通报还写着，线索是“经上级部门反馈”。（B，自由亚洲电台 2026-09-29 报道并刊出通报原图）
网上另有一种说法：20 人是被一名同学举报的，原因是保研排名；也有人说是考研。这只有聊天截图和受访网民的说法，报道本身也写明没有证实，通报原文没有提到举报。（D，未证实）
政策与执法：今年被罚的个人
中国数字时代 3 月 18 日整理了湖北两份行政处罚决定书，出处是湖北公安执法公开平台。（B）
| 地点 | 行为 | 处罚 |
|---|---|---|
| 鄂州梁子湖区 | 3 月 8 日在家用荣耀手机通过 Clash 联网，使用 TikTok 和 X | 警告、罚款 200 元，责令停止联网，决定日期 3 月 11 日 |
| 孝感孝南区 | 1 月 28 日上午用翻墙软件访问境外网站；报道称新华派出所出动十余名警力，决定书原话“成功捣毁” | 警告、罚款 500 元 |
两份决定书引用的都是《计算机信息网络国际联网管理暂行规定》。第六条要求国际联网必须使用国家公用电信网提供的国际出入口信道，任何单位和个人不得自行建立或者使用其他信道；第十四条规定可以并处 15000 元以下罚款。（A，网信办官网）
卖的人是另一回事。四川开江法院 2025 年 4 月公布的典型案例：江某 2010 年 11 月到 2023 年 7 月租境外服务器搭 VPN 卖会员，注册充值会员 122703 个，判决认定获利 27040432.20 元，判有期徒刑 4 年 6 个月、罚金 50 万元；从他那里拿货转卖的曹某判 2 年 6 个月、缓刑 3 年。罪名是提供侵入、非法控制计算机信息系统程序、工具罪，二审维持原判。（A，达州长安网 2025-04-16）
网络犯罪防治法草案
公安部 1 月 31 日就《网络犯罪防治法（征求意见稿）》公开征求意见（A，人民网），5 月这部法被列入国务院 2026 年度立法工作计划“预备提请全国人大常委会审议”（A，司法部官网）。截至 10 月 10 日没有查到审议的消息，它还没有通过。
草案第四十四条第三款：
任何个人和组织不得违反国家有关规定，制作、销售、提供相关设备、软件、工具、线路、服务，为他人获取、传播第一款被依法阻断的信息提供技术支持或者帮助。
第五十八条是罚则：违反第十四条、第十五条、第十七条第三款和第四十四条第三款，“制作、销售、提供、使用”相关设备、软件、工具、服务的，没收，处违法所得一倍以上十倍以下罚款；没有违法所得或者违法所得不足五万元的，处五十万元以下罚款；情节严重的，并处十五日以下拘留。
罚则里有“使用”，第四十四条第三款里没有。第五十八条同时适用好几条，“使用”具体对应哪种行为，草案没有单独写明。我们只引原文，不做解读；正式文本出来再更新。
封锁与检测
据自由亚洲电台 4 月 9 日报道，网上流传一份江苏苏州的告知函，称 4 月 1 日起开展“违规跨境访问”专项整治，发现即断端口；陕西也有企业收到类似通知。（B 级报道，文件本身未经官方确认）报道点名的只有这两个省，不能理解为全国统一行动。
英国电话卡 giffgaff：英国通信行业媒体 ISPreview 8 月报道，7 月底起一批长期在英国以外漫游的用户收到停号邮件，受影响的大多在中国，预付话费不退。（B）更早在 3 月 20 日，中国数字时代发现淘宝、闲鱼搜不到这张卡。（B）
更新踩坑：v2rayN 更新后节点全连不上
Xray 证书漏洞争议
10 月 2 日，net4people 论坛有人发帖，标题是 Xray-core 隐瞒证书校验漏洞半年。发帖人自称漏洞报告者，说 2 月 6 日私下报告，开发者当天修复，但提交说明写的是“simplify the code”（简化代码），新版说明里也没提。（D，未证实）
Xray 官方安全公告 GHSA-5wf9-h793-w73c 发布于 7 月 10 日，评级 Low（低危）：v26.1.13 起，用 pinnedPeerCertSha256 固定证书、又没填 ServerName 时，Hysteria2 和 gRPC 两种传输不检查证书域名，拿到受信任机构签发证书的攻击者可以做中间人；v26.7.11 修复。（A）用机场订阅、没手动配证书固定的人基本不受影响，客户端更新到最新版即可。
allowInsecure（跳过证书验证）被移除
Xray 从 v26.2.6（2026 年 2 月）开始移除 allowInsecure，8 月 1 日彻底停用。节点配置里还开着“跳过证书验证”、又没设置证书指纹的，新内核会直接报错，无法启动：
The feature "allowInsecure" has been removed and migrated to "pinnedPeerCertSha256".v2rayN 9 月 30 日的正式版 7.25.4，更新说明第一行链的就是这件事的说明。（A，v2rayN discussions #9460）作者给的办法：
- 服务器证书本来就正常：节点设置里把“跳过证书验证”关掉，保存重连。
- 用订阅：找服务商要不带
insecure=1/allowInsecure=true的新订阅。 - 自己搭节点：改用证书指纹，把服务器证书的 SHA-256 指纹填进
pinnedPeerCertSha256。VLESS、VMess、Trojan 这类走 TCP 的节点，在电脑上运行（Windows 用 Git Bash 或 WSL）：
openssl s_client -connect 你的服务器IP:端口 -servername 你的SNI域名 </dev/null 2>/dev/null \
| openssl x509 -fingerprint -sha256 -noout输出里 SHA256 Fingerprint= 后面那串就是指纹。Hysteria2 走 UDP，这条命令用不了，要在服务器上对证书文件运行 openssl x509 -fingerprint -sha256 -noout -in cert.pem。
本站动态
- 3x-ui 自建节点系列：面板安装、面板配置、安卓 v2rayNG、iPhone Clash Mi、Mac Clash Verge Rev
- Xray 一升级 sing-box 就断网：REALITY 之争前因后果
- VPN黑名单第 1 期：橘猫、龙虾
来源
| # | 内容 | 来源 | 等级 |
|---|---|---|---|
| 1 | 哈工程通报 | 自由亚洲电台 2026-09-29 | B |
| 2 | 湖北两份处罚决定书 | 中国数字时代 2026-03-18 | B |
| 3 | 国际联网管理暂行规定 | 网信办官网 | A |
| 4 | 开江法院典型案例 | 达州长安网 2025-04-16 | A |
| 5 | 网络犯罪防治法征求意见 | 人民网 2026-01-31 | A |
| 6 | 国务院 2026 年度立法工作计划 | 司法部 2026-05-11 | A |
| 7 | 草案全文 | 征求意见稿 PDF | A |
| 8 | 跨境访问专项整治 | 自由亚洲电台 2026-04-09 | B（文件未证实） |
| 9 | giffgaff 停号 | ISPreview 2026-08、中国数字时代周报第 261 期 | B |
| 10 | Xray 漏洞争议帖 | net4people/bbs #672 | D |
| 11 | Xray 安全公告 | GHSA-5wf9-h793-w73c | A |
| 12 | allowInsecure 移除说明 | v2rayN discussions #9460、v2rayN 7.25.4 | A |