外观
直接结论：免费梯子由客户端软件、服务器与出口、协议实现、运营成本四层组成，通常只有第一层真的不要钱。判断一条免费方案，先看谁承担服务器成本，再看条款允许什么，最后才看速度。截至 2026-10-24，本站合格免费资源收录数为 0。
免费梯子这个词在中文语境里覆盖了四种不同的东西，应用层代理客户端、虚拟网卡模式的隧道工具、商业 VPN 的免费套餐、机场发放的试用订阅。它们在用户眼里长得差不多，成本结构却完全不同。应用层代理的软件可以完全开源免费，服务器和带宽仍然按 GB 和 Mbps 计费。商业 VPN 的免费档用限速和流量上限换取获客。试用订阅把成本记在市场费用里，到期就停。公益节点靠志愿者和捐赠维持，规模一涨就撑不住。
所以判断一条免费方案的顺序是固定的。先确认服务器由谁出钱，能维持多久。再确认条款允许哪些用途，是否要求绑定手机号、支付方式或社交账号。接着确认协议与传输在你的网络里能不能跑通，UDP 是否被限制，TLS 握手是否被干扰。最后才轮到速度，因为速度是前四项都成立之后才有意义的指标。跳过前三步直接测速，得到的数字通常只能说明某一个小时里某一条线路的状态。
本站对这个专题的边界写得比较硬。第一，不发布具体免费节点，不提供订阅链接，不写按天更新的可用清单。第二，合格免费资源收录数为 0，审核日期 2026-10-24，下次复核 2026-11-07，这个数字是本站的收录状态，不构成对全网资源的判决。第三，涉及价格一律标注测算假设，公式公开，代入自己的数字就能复算。第四，不提供规避当地法律、规避实名制或规避计费的操作步骤。
读者可以把这个页面当成一张判断表。它说明免费的成本以什么形式出现，性能数字在什么口径下才可比，协议在什么网络条件下会失效，以及什么条件下应该停止使用免费方案。页面里的所有区间值都是示例或测算，没有一条来自本站对具体服务的实测。
第一次接触代理工具，分不清客户端、协议和订阅的人。手里预算有限，想知道 0 元方案能撑住哪些场景的人。已经用过几个免费来源，被频繁失效和速度波动折腾过，想弄明白原因的人。需要为团队或家庭写一份选型说明，得把风险、成本和验收条件写清楚的人。
这四类读者的共同点是，愿意花二十分钟理解机制，而不是花二十分钟收集链接。免费方案的寿命通常以周计，链接会过期，机制不会。理解了握手、路由、DNS 和计费口径之后，换任何一个客户端或服务，判断方法都能复用。
想直接拿到一份今天能用的节点列表的人，这一页帮不上忙。想要“跑满千兆”的操作步骤的人，也会失望，因为跨境链路的瓶颈很少在客户端设置里。打算用它规避所在地法律或实名要求的人，这里没有这类内容，也不打算写。
哪一个机场最好，今天哪个节点能用，某家服务的真实速度是多少，这些需要针对具体服务做可复核的核验，本站在没有证据时保持零结果。免费额度能不能满足 4K 视频，这个问题的答案取决于码率、线路和时段，页面给的是估算方法。免费方案是否匿名，答案是否定的，第 9 节会解释代理改变了什么、没有改变什么。
这一页回答的是另一类问题。一条免费方案的成本落在谁身上，协议为什么会在某些网络里失效，参数表里的数字该怎么读，什么条件下继续用免费是理性的，什么条件下应该换成付费或者干脆不用。这些问题不依赖某家服务的当下状态，答案可以放很久。
这一节把页面里反复出现的名词固定下来。后面所有的判断都建立在这张关系图上，换客户端、换协议、换供给方，图的结构不变。
| 实体 | 在链路里的位置 | 决定什么 | 可核验的信息 |
|---|---|---|---|
| 用户设备 | 链条起点 | 系统代理设置、路由表、应用联网权限 | 系统版本、网卡与路由配置 |
| 图形客户端 | 用户直接操作的一层 | 订阅管理、规则编辑、启动与日志展示 | 官方仓库 Release、界面版本号 |
| 代理内核 | 真正收发流量的一层 | 协议实现、路由判定、DNS 处理方式 | 内核版本号、启动日志 |
| 协议 | 两端约定的封装格式 | 头部开销、认证方式、能否伪装成常见流量 | 公开规范或项目文档 |
| 订阅与配置 | 客户端读取的输入 | 节点列表、规则集、更新频率 | 订阅响应格式、最近更新时间 |
| 入口服务器 | 接受客户端连接的一端 | 监听端口、证书、单连接带宽上限 | 证书链、TLS 握手结果 |
| 出口 IP | 目标站点看到的来源地址 | 地区、ASN、IP 信誉、风控标签 | IP 归属查询、ASN 记录 |
| 供给方 | 出钱和维护的一方 | 额度、条款、生命周期长短 | 官方页面、条款原文、主体信息 |
| 计费与配额系统 | 服务端后台 | 流量倍率、重置周期、超限后的动作 | 用户面板读数、条款约定 |
| 递归 DNS | 解析路径上的中间层 | 解析结果、是否泄漏、是否被污染 | 解析日志、DoH 或 DoT 端点 |
| 目标服务 | 链条终点 | 地区限制、风控强度、可用码率 | 返回状态码、错误页面文案 |
供给方（谁出钱、谁维护、能撑多久）
│ 发放订阅或配置
v
用户设备 ──系统代理或 TUN──> 图形客户端 ──本地回环──> 代理内核
│ 按协议封装
v
入口服务器 ──> 出口 IP
│
v
目标服务（地区与风控）
递归 DNS ──┬── 直连解析（可能被污染）
├── 走代理解析（结果取决于出口）
└── DoH / DoT（取决于客户端是否支持）十一类实体里，需要持续付钱的只有三类，入口服务器与出口带宽、出口 IP 的获取成本、以及运营方投入的维护时间。客户端、内核、协议文档和规则集都可以零成本复制，复制得越多，边际成本越接近零。免费方案能成立，通常是因为有人把服务器成本转移到了别处，或者用别的东西换走了它，例如注意力、注册量、支付信息、设备权限，或者干脆是超售之后的排队。
订阅是整张图里唯一可变的输入。节点列表变了、规则集变了、订阅域名解析不出来了，表现都是“连不上”，但原因完全不同。先看订阅最近一次更新时间和返回内容，再看内核日志里的握手结果，然后才看出口 IP 是否还在原地区。跳过前两步直接换节点，多数时候只是把同一个故障换了个入口。
| 层次 | 能否零成本 | 谁维护 | 失效时的表现 |
|---|---|---|---|
| 客户端软件 | 能，开源项目可自由复制 | 开源社区或单个维护者 | 启动失败、界面报错、内核版本不匹配 |
| 服务端与带宽 | 不能，按流量和峰值计费 | 供给方 | 全部节点同时超时、速度整体下降 |
| 协议 | 能，规范公开 | 协议作者与实现者 | 特定网络下握手被重置，换网络恢复 |
| 运营 | 不能，需要人和时间 | 供给方 | 条款变更、节点下线、客服失联 |
日常讨论里最常见的错误，是把“软件免费”直接推到“服务免费”，再把“服务免费”推到“可以长期免费用”。这三步每一步都需要额外证据，缺一步结论就不成立。
VMess 的认证依赖客户端与服务端的时间差，部分公开实现把时间容差控制在约九十秒，具体以所用内核版本的文档为准。系统时间漂移会让握手直接失败。TLS 证书有生效与过期时间，设备时间错到证书有效期之外，浏览器和客户端都会拒绝连接。排查“昨天还能用今天不能用”时，先看一眼系统时间，比换三个节点更快。
讨论速度之前先统一口径。同样写“延迟 80 毫秒”，可能是 ICMP 探测的 P50，可能是 TCP 握手的单次采样，也可能是代理客户端内置探测的均值，三者不可直接比较。下表列出这个专题会用到的参数、单位、口径与数据性质，取值区间只用于说明量级，不代表任何服务的实际表现。
| 参数 | 单位 | 口径定义 | 示例区间 | 主要影响因素 | 数据性质 |
|---|---|---|---|---|---|
| 往返时延 RTT | ms | 探测包发出到收到回应，取 P50 | 30 至 350 | 物理距离、跨境拥塞、无线干扰 | 示例 |
| 抖动 | ms | 相邻两次 RTT 差值绝对值的平均 | 2 至 60 | 链路排队、共享出口争用 | 示例 |
| 丢包率 | % | 固定窗口内未收到回应的探测比例 | 0 至 15 | 拥塞、限速、MTU 不匹配 | 示例 |
| 单流吞吐 | Mbps | 单条 TCP 连接持续 10 秒的平均值 | 5 至 200 | 窗口大小、RTT、丢包 | 示例 |
| 多流吞吐 | Mbps | 4 至 8 条连接并行的合计值 | 20 至 800 | 本地带宽、出口共享比例 | 示例 |
| 首字节时间 | ms | 请求发出到收到首个响应字节 | 80 至 1200 | 握手次数、DNS 耗时、TLS 终止位置 | 示例 |
| 连接建立耗时 | ms | TCP 握手加 TLS 1.3 握手 | 40 至 600 | RTT、是否使用 0-RTT 恢复 | 示例 |
| 路径 MTU | 字节 | 不分片可通过的最大包长 | 1280 至 1500 | 接入方式、隧道封装层数 | 规范值 |
| 封装开销 | 字节/包 | 隧道与协议头部占用的字节数 | 16 至 80 | 协议头部结构、是否双层封装 | 规范值 |
| 开销占比 | % | 封装开销除以包长 | 1.1 至 5.7 | 包长分布、小包业务占比 | 测算 |
| 流量倍率 | 倍 | 计费流量除以实际载荷 | 1.0 至 3.0 | 计费规则、上下行是否合计 | 条款值 |
| 单位流量成本 | 元/GB | 周期费用除以周期计费流量 | 0.05 至 2.00 | 套餐档位、有效期、倍率 | 测算 |
| 可用率 | % | 成功完成握手的尝试次数占比 | 90 至 99.9 | 封锁强度、超售比例、维护窗口 | 示例 |
| UDP 可用性 | 定性 | QUIC 类协议能否完成建连 | 可通、限速、不通 | 运营商策略、NAT 类型 | 定性 |
| 并发设备数 | 台 | 同一时刻在线的出口 IP 数 | 1 至 5 | 套餐条款、风控策略 | 条款值 |
| DNS 解析耗时 | ms | 冷缓存下的一次递归解析 | 5 至 300 | 递归服务器位置、是否走代理 | 示例 |
一条线路在十分钟里 RTT 从 60 毫秒跳到 400 毫秒，平均值可能仍然是 120 毫秒，体验却已经坏掉。描述稳定性至少给三个数，P50、P95 和最大值，再补一句采样次数与时间段。只有一个数字的记录，无法判断它是运气好还是线路好。
单流吞吐回答“一个下载任务能跑多快”，多流吞吐回答“这条线路总共能塞进多少”。网页浏览由几十个小请求组成，接近多流场景，视频播放通常由单流或少量长连接承载。用多流数字承诺单流体验，是宣传材料里最常见的口径偷换。
一个完整的性能记录至少包含五项，探测方式、采样次数、采样时段、客户端与内核版本、本地接入带宽。缺任何一项，数字都无法复现。本站的核验流程要求把这几项写进同一条记录，方法见资源检测的测试方法。
自己跑出来的叫实测，需要有原始日志。按公式推出来的叫测算，必须写出假设。从条款里抄下来的叫条款值，要注明条款版本。为了说明量级而给的叫示例，不能拿来当结论。这个页面里出现的区间值，全部属于后三档。
单位换算也容易出错。1 Mbps 等于 0.125 MB/s，100 Mbps 的理论上限是 12.5 MB/s。流量一侧，100 GB 的十进制容量约等于 93.1 GiB，套餐写 GB 而客户端显示 GiB 时，差出来的 7% 经常被误认为“偷跑流量”。
决策树的每个节点只问一个能用区间或是否回答的问题，避免“看情况”这种无法执行的判断。分支顺序按后果从重到轻排列，先处理会造成实际损失的用途，再处理预算，最后处理流量。
起点
│
├─ 第 1 层 这条连接是否会承载账号、支付或工作交付
│ │
│ ├─ 会
│ │ └─ 第 2 层 每月预算能否达到 10 元
│ │ ├─ 能
│ │ │ └─ 第 3 层 同时在线设备数
│ │ │ ├─ 1 至 2 台 → 结论 A 小流量月付，先买一个月验收
│ │ │ └─ 3 台以上 → 结论 B 先核并发条款，再按设备数折算成本
│ │ └─ 不能 → 结论 C 缩小免费方案的用途，敏感操作改用直连或放弃
│ │
│ └─ 不会
│ └─ 第 2 层 每月可支配预算
│ ├─ 0 元
│ │ └─ 第 3 层 能否接受随时中断
│ │ ├─ 能
│ │ │ └─ 第 4 层 月流量需求
│ │ │ ├─ 小于 20 GB → 结论 D 开源客户端加临时来源，接受失效
│ │ │ └─ 20 GB 以上 → 结论 E 零预算不够用，转一次性流量包
│ │ └─ 不能 → 结论 F 低预算月付，用现金换稳定性
│ ├─ 1 至 10 元
│ │ └─ 第 3 层 月流量需求
│ │ ├─ 小于 50 GB → 结论 G 一次性流量包，按 GB 单价比较
│ │ └─ 50 GB 以上 → 结论 H 先核流量倍率，再决定月付档位
│ └─ 11 至 30 元
│ └─ 第 3 层 预计使用时长
│ ├─ 少于 3 个月 → 结论 I 月付，不锁长期
│ └─ 12 个月以上 → 结论 J 年付前先核退款与退出条件账号、支付和工作交付对中断最敏感，一次失败登录可能触发风控，一次断线可能丢掉会议。这类用途要用现金换可用率，预算下限放在 10 元附近，先买一个月做验收，不直接上年付。设备数超过两台时，条款里的并发限制会改变单位成本，三台设备共用一个单设备套餐，实际成本按三倍算。
零预算方案能覆盖的是低流量、可中断、不敏感的浏览需求。二十 GB 这个分界来自码率估算，一小时 1080p 视频在 5 Mbps 码率下约消耗 2.25 GB，每天一小时、一个月就是 67 GB，远超免费额度。把免费方案当主力，通常在第二周就会遇到额度耗尽或限速。
一次性流量包按 GB 计价，适合低频和临时需求。月付套餐通常有倍率和限速条款，标称 100 GB 在 2 倍倍率下只能用 50 GB。看到“大流量”先找倍率，找不到倍率就按最坏情况估算。
假设读者每天用两小时网页与视频，家里三台设备，偶尔登录网银。第一层判定落在“会”，因为网银属于账号类用途。第二层问预算，能拿出 10 元，进入设备分支。第三层看到三台设备，走结论 B，先核并发条款。若条款只允许一台，实际成本按三份计算，每月 30 元，这时再回到第二层，判断这个数字是否可以接受。整条路径不涉及任何服务名称，只用了用途、预算、设备数三个可回答的问题。
同一个人如果把网银从代理里拿出来，第一层就变成“不会”，路径改走零预算分支，结论 D 或 E。用途拆分之后，同一个人的不同流量可以走不同方案，这也是分流规则存在的意义。
需要固定出口 IP 的业务、需要 UDP 端到端连通的应用、以及需要长期稳定上传的场景，这三类需求不适合用免费或低价方案起步，应该先明确技术要求再谈价格。
客户端的开关只能改变本机流量的走向，能不能连上、快不快、会不会被识别，取决于四个东西，传输层用 TCP 还是 UDP，加密层用什么样的握手，域名在哪里解析，以及每个包要背多少额外字节。这一节按数据实际经过的顺序拆开。
一次网页请求要先变成代理协议能识别的目标地址，再装进传输层连接，最后从出口发出去。四段路径各有自己的失败方式，混在一起排查会浪费很多时间。
应用 图形客户端 代理内核 入口服务器 目标站点
│ 请求 │ │ │ │
│─────────────>│ 本地 SOCKS5 │ │ │
│ │───────────────>│ │ │
│ │ │ TCP SYN │ │
│ │ │────────────────>│ │
│ │ │ SYN + ACK │ │
│ │ │<────────────────│ │
│ │ │ TLS ClientHello│ │
│ │ │────────────────>│ │
│ │ │ ServerHello │ │
│ │ │ Certificate │ │
│ │ │ Finished │ │
│ │ │<────────────────│ │
│ │ │ 协议头加目标域 │ │
│ │ │────────────────>│ TCP 连接 │
│ │ │ │───────────────>│本地这一段走回环地址，不经过物理网卡，耗时通常在毫秒以内。跨境这一段要走完 TCP 握手和 TLS 握手，两个往返打底。出口到目标站点这一段的质量由供给方的线路决定，用户看不到也改不了。
TCP 提供有序字节流，丢一个包就等重传，后面的数据一起排队，这个现象叫队头阻塞。它的好处是兼容性最好，几乎所有网络都放行 443 端口的 TCP。TLS 1.3 在 TCP 之上还要一个往返，完整建立连接需要两个往返才能发第一个字节。
UDP 不保证顺序也不重传，丢包由上层自己处理。运营商对 UDP 的态度更谨慎，原因很实际，UDP 没有连接状态，难以计费也难以识别，部分网络会对大流量 UDP 限速，甚至直接丢弃。基于 UDP 的代理协议因此有一个共同前提，你的网络得允许 UDP 出去。这个前提不成立时，协议再好也连不上。
TLS 1.3 把证书和大部分握手字段加密，被动观察者只能看到目标 IP、端口、数据包大小和时间。它没有加密的是 ClientHello 里的 SNI 字段，除非部署了 Encrypted Client Hello。这意味着中间人仍然能知道你访问的域名，只是看不到内容。握手本身的特征，例如支持的加密套件顺序、扩展顺序，会形成可识别的指纹，客户端指纹与真实浏览器不一致时，可能被单独标记。
QUIC 跑在 UDP 之上，把可靠性、拥塞控制和加密都放进用户态实现。它给每条流独立编号，一条流丢包只阻塞这一条流，网页里图片和脚本不会互相拖累。连接建立与 TLS 1.3 合并，恢复会话时可以 0-RTT 发送数据。
一条 QUIC 连接（一条 UDP 五元组）
├── 流 1 网页文档 ── 丢包只影响本流
├── 流 2 样式与脚本 ── 独立重传
├── 流 3 图片 ── 在拥塞窗口内独立调度
└── 控制流 握手、密钥更新、连接迁移
0-RTT 恢复的成本：早期数据可被重放，服务端要自行限制可重放的操作
UDP 被限速或封锁时，整条连接一起不可用Hysteria2 走的就是这条路，并且允许客户端指定带宽，用接近固定的发送速率替代慢启动。它在高丢包链路上往往比 TCP 类协议表现好，代价是对 UDP 的依赖更强，在限制 UDP 的网络里会直接失效。TUIC 同样基于 QUIC，差别主要在多路复用策略与拥塞控制实现。两者都不适合作为唯一方案。
REALITY 解决的是证书与域名这两个成本项。传统 TLS 伪装需要自己准备域名和证书，域名被标记后整条线路失效。REALITY 让服务端在握手时借用某个真实站点的证书链，客户端用预置公钥验证服务端确实持有对应私钥，验证不通过就当作普通访问。主动探测的流量会被转发到那个真实站点，探测者拿到的是真实站点的响应。
它的前提条件不少，目标站点要支持 TLS 1.3，服务端要能稳定访问该站点，客户端与服务端的参数必须完全一致。目标站点的 TLS 配置发生变化，或者网络对该站点的访问被干扰，线路就会出问题。
域名解析发生在连接建立之前，谁解析、在哪里解析，决定了出口站点看到的是哪个地区的解析结果。明文 DNS 走 53 端口，内容可被观察和篡改。加密 DNS 走 DoH 或 DoT，能防篡改，但如果解析请求从本地直接发出，仍然暴露了你查询的域名。
浏览器请求某域名
│
v
系统 DNS 设置 ──> 递归解析器 ──┬── 无缓存，逐级查询权威服务器
│ └── 有缓存，直接返回（可能过期或已被污染）
v
代理客户端的 DNS 策略
├── fake-ip 先返回虚拟地址，按域名分流，再决定在哪里解析
├── redir-host 先解析后匹配规则，解析请求可能已经泄漏
└── DoH / DoT 加密到指定解析器，仍需确认走直连还是走代理把协议放在同一张表里看，差异集中在四件事，跑在哪种传输上，靠什么认证，能不能伪装成普通流量，每个包要背多少额外字节。
| 协议 | 传输 | 加密与认证 | 伪装方式 | 每包额外开销 | 对 UDP 的依赖 |
|---|---|---|---|---|---|
| Shadowsocks | TCP 与 UDP | AEAD，预共享密钥 | 无内建伪装，可挂插件 | 约 16 至 48 字节 | 可选，UDP 转发需放行 |
| VMess | TCP 及多种传输 | 自建加密加时间校验 | 可套 TLS 或 WebSocket | 头部较重，数十字节 | 取决于所选传输 |
| VLESS | TCP、WebSocket、gRPC | 自身不加密，交给外层 TLS | TLS 或 REALITY | 头部最轻，约 20 字节 | 取决于所选传输 |
| Trojan | TCP | TLS 加密码认证 | 借用真实 HTTPS 站点回落 | TLS 记录开销 | 不需要 |
| Hysteria2 | UDP，基于 QUIC | QUIC 自带的 TLS 1.3 | 可伪装成 HTTP/3 服务 | QUIC 头加认证标签 | 强依赖 |
| TUIC | UDP，基于 QUIC | QUIC 加令牌认证 | 有限，主要靠端口混淆 | QUIC 头加认证标签 | 强依赖 |
| WireGuard | UDP | Noise_IK 握手 | 无伪装，流量特征明显 | 约 60 至 80 字节 | 本身就是 UDP |
这张表解释了一个常见现象。同一个网络里，Trojan 能连而 Hysteria2 连不上，原因往往不在服务端配置，而在 UDP 被限制。反过来，在高丢包的链路上，QUIC 类协议的表现可能明显好于 TCP 类，因为重传和拥塞控制都在用户态，不必等内核的参数慢慢调整。
以太网的标准 MTU 是 1500 字节，PPPoE 拨号会降到 1492。隧道要在原始包外面再加一层头，WireGuard 在 IPv4 上的额外开销约 60 字节，IPv6 上约 80 字节，所以常见做法是把隧道内 MTU 调到 1420 附近。MTU 设置偏大时，大包被丢弃而小包正常，表现为网页能打开、图片加载一半、SSH 卡住。路径 MTU 发现依赖 ICMP 差错报文，ICMP 被过滤的网络里这个过程会静默失败，只能手动调小 MTU 试探。
QUIC 要求单个数据报至少能承载 1200 字节，低于这个值握手就可能失败。这也是部分网络里 QUIC 类协议时好时坏的原因之一。
SOCKS5 由 RFC 1928 定义，握手包含版本协商、认证方法选择、请求与应答四步，目标地址可以是 IPv4、域名或 IPv6。HTTP CONNECT 更简单，一行请求加一行响应。代理协议自己的头部才是长期开销，Shadowsocks 的 AEAD 方案在每个数据块上加长度字段和认证标签，按 1400 字节的块计算，开销约 1.3%。VMess 的头部包含版本、用户 ID、时间戳和校验，比 VLESS 重。VLESS 只保留版本、用户 ID 和长度，把加密完全交给外层 TLS。
把 TCP/IP 头 40 字节、TLS 记录头 5 字节、认证标签 16 字节加在一起，一个 1440 字节的载荷实际要发约 1500 字节，开销接近 4%。这个比例在下载大文件时可以忽略，在大量小包的业务里会明显放大。
免费方案的成本不会消失，只会换一种形式出现。把它写成公式，才能和付费方案放在同一张桌子上比较。下面四个式子覆盖了大部分场景，变量都可以替换成自己的数字。
单位流量成本 C = P / Q
有效单位成本 C' = P / (Q × a)
年化月均成本 M = P年 / 12
总拥有成本 TCO = P + H × r + R × c + D / n变量含义如下。P 是一个计费周期的费用，单位元。Q 是该周期内的计费流量，单位 GB。a 是可用率，取值 0 到 1。H 是每月用于排障的小时数。r 是本人的时间价值，单位元每小时。R 是每月因重试而额外消耗的流量，单位 GB。c 是单位流量成本。D 是设备或路由器的一次性支出，n 是摊销月数。
| 假设项 | 取值 | 取值理由 | 敏感性 |
|---|---|---|---|
| 时间价值 r | 30 元/小时 | 便于换算的中间值，读者应替换为自己的时薪 | 高 |
| 每月失效次数 | 6 次 | 免费来源的常见量级，不是实测 | 高 |
| 单次排障时长 | 15 分钟 | 换节点、查订阅、重启客户端的合计耗时 | 中 |
| 月流量需求 | 60 GB | 约等于每天 2 GB 的网页与视频混合使用 | 中 |
| 可用率 a | 0.9 | 示例值，用于演示公式 | 高 |
| 年付实际使用月数 | 7 个月 | 用于测算提前停用的情形 | 中 |
假设某套餐 10 元每月、计费流量 100 GB，则 C 等于 10 除以 100，为 0.10 元每 GB。若当月实际只用了 30 GB，分母变小，有效成本变成 0.33 元每 GB，是标称值的 3.3 倍。若套餐还有 2 倍流量倍率，100 GB 标称只对应 50 GB 实际载荷，C 变成 0.20 元每 GB。三个数字来自同一个套餐，差别只在口径。公式里乘可用率的那一项，作用与换成分母相同，都是把标称值折成真正能用的量。
假设年付 108 元，折算月均 9 元，看起来比 12 元月付便宜。用到第 7 个月停用，实际支出 108 元，摊到 7 个月是 15.43 元每月，比月付方案按 7 个月支付的 84 元多出 24 元。年付的折扣要用“预计使用月数”去除，用 12 去除只在用满时成立。
假设每月失效 6 次，每次 15 分钟，时间价值 30 元每小时，时间成本为 6 乘以 0.25 再乘以 30，等于 45 元。重试额外消耗 2 GB，按 0.10 元每 GB 计为 0.2 元。两项相加，TCO 为 45.2 元每月。这笔钱不会出现在账单上，但它确实被花掉了。
把免费方案的隐性成本与一个月付方案对比，可以算出一个时间价值临界点。免费方案每月固定消耗 1.5 小时，月付方案假设 10 元。令 1.5 乘以 r 小于 10 减 0.2，得到 r 小于 6.53 元每小时。时间价值高于这个数，付费方案在经济上更划算。这个结论依赖假设表里的六个数字，任何一个变化都要重算。
低频、可中断、不涉及账号与支付的需求，免费方案的隐性成本很低，因为失效时你并不着急。把免费方案当备用线路也属于这一类，主线路正常时，它一年也用不上几次。反过来，把免费方案放在工作流的关键路径上，隐性成本会随中断后果放大，公式里的 H 和 r 同时上升。
设备数会改变分母。单设备套餐用在三台设备上，要么违反条款，要么需要买三份，单位成本按三倍计算。路由器共享能减少份数，代价是多一层 NAT 和一次额外配置。
核验要交付的是一份别人能照着复做的记录，漂亮的数字排在后面。下面五项是记录的最小集合，缺一项就无法复核。
时间要写到分钟并标注时区，例如 2026-10-24 21:40（Asia/Shanghai）。单次采样没有意义，至少要在两个独立时点各测一轮，间隔不少于六小时，并且覆盖一个高峰时段和一个低谷时段。只测凌晨三点的结果，不能代表晚上八点的体验。
本地接入方式与带宽、设备型号、系统版本、客户端版本、内核版本、DNS 设置、是否启用 TUN，这些都会改变结果。同一节点在系统代理与 TUN 模式下可能表现不同，在有线与无线下也可能差一倍。环境不写清楚，复现就无从谈起。
速率统一用 Mbps，并在括号里给出换算后的 MB/s。流量统一注明 GB 还是 GiB，注明是否上下行合计。延迟给 P50 与 P95，不给单一均值。采样次数写在数字旁边，三次采样和三百次采样的可信度不一样。
延迟类指标建议连续采样三十次以上，取 P50 与 P95，丢弃前三次作为预热。吞吐类指标至少跑三轮，每轮十秒，轮间间隔三十秒，报告三轮的中位数而不是最好的一轮。可用性用尝试次数做分母，二十次尝试成功十八次，成功率为 90%，样本太小的时候不要写成百分比，直接写 18/20。丢包测试要覆盖大小两种包，小包能过而大包丢，通常指向 MTU 而不是拥塞。
可引用的证据包括官方页面快照、条款原文、订阅响应的格式与更新时间、脱敏后的握手日志、出口 IP 的归属查询结果。截图要带系统时间。日志要删掉自己的用户 ID、密码与完整订阅地址，这些信息一旦公开就等于把账号送人。
| 检查项 | 通过条件 | 证据形式 | 不通过时怎么处理 |
|---|---|---|---|
| 来源可追溯 | 官方页面或公开仓库可以直接访问 | 带时间的页面快照 | 记为不可核验，不进入候选 |
| 条款可核对 | 额度、有效期、设备数在同一页面出现 | 条款原文 | 缺项即视为不满足 |
| 握手可完成 | 两个不同时段都能完成 TLS 握手 | 客户端日志 | 记录失败时段与错误类型 |
| 出口一致 | 出口 IP 的归属地区与宣称一致 | ASN 与地区查询结果 | 标注不一致，不写成可用 |
| DNS 不泄漏 | 解析请求不出现在本地运营商侧 | 解析路径测试结果 | 标注泄漏点与方向 |
| 额度可复算 | 面板读数与公式计算结果一致 | 面板截图加计算过程 | 记录差额与可能原因 |
| 无强制敏感权限 | 不索取通讯录、短信、无障碍等权限 | 权限清单 | 记录并要求书面说明 |
| 结论可引用 | 条款允许引用核验结论 | 授权条款段落 | 只写方法，不写服务名称 |
完整的测试环境定义、采样次数与记录字段，见资源检测的测试方法。本站的收录审核沿用同一套字段，区别只是审核对象从节点换成了服务。
谁能看到你的流量，能看到其中的哪些部分，看到之后能做什么。把这三个问题答完，才知道哪些操作可以放在免费方案上，哪些必须拿开。
| 对手 | 能看到什么 | 免费方案下的暴露面 | 可行的降低手段 |
|---|---|---|---|
| 代理运营方 | SNI、目标域名、连接时间、流量体积，终止 TLS 时还包括明文 | 常无隐私政策，条款对日志含糊 | 不在其上登录敏感账号 |
| 本地网络与运营商 | 连接元数据、UDP 特征、流量大小与时间分布 | 共享网络里更明显 | 使用前确认网络归属与条款 |
| 恶意客户端 | 全部流量、剪贴板、通知、文件访问权限 | 第三方打包的安装包 | 只从官方仓库下载并核对签名 |
| 账号体系 | 邮箱、手机号、支付信息、设备指纹 | 免费注册门槛低，常要求社交账号 | 使用隔离邮箱与独立支付方式 |
| 供应链 | 安装包、更新通道、依赖库 | 假官网与二次打包站 | 校验哈希与代码签名 |
它改变了目标站点看到的来源 IP，改变了流量的出口地区，加密了从你的设备到入口服务器这一段。它没有改变的是，你正在使用代理这一事实，你的浏览器指纹，你的登录状态，你的支付信息，以及你在目标站点上的行为轨迹。把这些当成被隐藏了，是最常见的误判。
移动端客户端申请的 VPN 权限，等价于把设备上所有应用的流量交给它处理。桌面端的 TUN 模式需要管理员权限，安装后会常驻一个虚拟网卡和一条路由规则。这些权限本身是功能必需的，问题在于谁来用。一个只从官方仓库下载、有公开源码、更新记录连续的项目，与一个从第三方站点下的安装包，拿到的权限一模一样，可信度差很远。授予权限之前先确认签名和哈希，授予之后定期看一眼更新日志里有没有新增权限。
任何声称绝对匿名的免费方案都不值得信任。日志可以记录，时间相关性可以分析，流量体积可以比对，账号行为可以把多个身份连起来。代理提高的是旁观者获取内容的成本，降低不了运营方对你行为的可见度。对匿名性有真实需求的人，需要的是另外一整套方案，超出了这一页的范围。
不同司法辖区对代理工具、加密通信与跨境数据流动的规定不一样，同一个工具在两地可能一个是普通软件，另一个受许可管理。使用前自行确认当地法律、服务条款与可接受使用政策。本站不提供规避执法、规避实名制或规避计费的操作指导，也不评价具体国家的执法尺度。
在进入分类之前，先把资源状态说清楚。本站的合格免费资源收录数为零，审核日期 2026-10-24，下次复核 2026-11-07。下面的组件展示的是收录台账，不是推荐列表。
VERIFIED RESOURCE LEDGER
审核日期 2026-10-24 · 下次复核 2026-11-07
本周期没有收集到同时满足五项发布标准的公开资源。限时活动、邀请码、已失效节点和需要付费才能解锁的“免费”方案，都不会被写成可领取额度。收录数量因此保持为零。
这是内容收录状态，不是对全网免费资源的可用性判决。零结果意味着本站不发布无法复核的条目，不代表互联网上不存在相关服务。
八个二级分类按“先判断，再操作，最后退出”的顺序排列。每个分类下面有两个内容集群，集群里的题目是写作与核验队列，尚未发布成页面。下面每段的集群名称都指向本页末尾的蓝图区块，点开就能看到该集群的题目清单。
这一层回答“我拿到的东西到底是什么”。定义、来源与常见误区拆开代理、VPN、机场与试用的区别，免费与付费的能力差异把带宽、节点、并发、日志与支持五项拆成可比较的维度。两个集群都不涉及具体服务，适合作为起点。
软件是唯一可以真正零成本复制的一层。客户端生态地图解释内核与图形客户端的分工，平台安装与依赖处理 Windows、Android、iOS、macOS 与 Linux 的安装来源和权限差异。这一层的风险主要来自下载渠道，与服务器无关。
免费资源按供给方分成个人、社区、公司与公益四类。免费服务分类给出分类标准与可持续性判断，服务条款与滥用风险处理额度判定、账号连带与条款变更。这一层最容易出现“看起来免费，实际要付出账号或支付信息”的情况。
协议决定了同一条线路在不同网络里的命运。代理协议族逐个解释 Shadowsocks、VMess、VLESS、Trojan、Hysteria2、TUIC 与 WireGuard 的定位，传输层与伪装处理 TLS、QUIC、REALITY、WebSocket 与 TCP/UDP 的工程差异。理解这一层之后，换客户端的成本会明显下降。
这一层把“快”拆成可测量的量。性能指标口径定义 RTT、抖动、丢包与吞吐的测法，瓶颈定位按本地网络、出口带宽、跨境链路与协议开销逐层排查。没有口径的数字不能比较，这是整页反复强调的一条。
威胁模型回答谁能看到什么，软件供应链回答安装包有没有被换过。两层合起来覆盖了免费方案的主要风险面，前者关于服务，后者关于软件。
收录审核协议给出五项标准与证据链结构，零结果与失效处理解释为什么没有合格资源时保持零结果。这一层是本站的工作方法，也是读者可以照做的流程。
预算与需求决策把用量、设备数与稳定性要求换成预算档位，迁移与退出处理订阅备份、客户端切换、退款窗口与数据清理。走到这一步，说明已经接受“免费有边界”这个前提。
TOPIC CLUSTER MAP
按搜索意图拆成 8 个二级分类、16 个三级内容集群，共 120 个规划选题。每个题目都要能独立回答一个具体问题，不能用换关键词的方式复制。
选题是编辑路线图，不是已经发布的页面。未完成独立核验与写作的题目不会生成可点击链接，避免空页面、重复内容和虚假覆盖。已发布的长文在各专题页首屏与页尾单独列出。
弄清免费梯子是什么、免费资源从哪里来
区分代理、VPN、机场与免费试用，建立可验证的概念边界。
从带宽、节点、并发、日志与支持五个维度比较，不把免费当无限资源。
寻找可信的免费软件，而不是来历不明的安装包
Mihomo、Xray、sing-box 等内核与图形客户端的关系。
Windows、Android、iOS、macOS 的安装来源、权限与兼容性。
分辨公益节点、限时试用、社区分享与商业引流
按供给方、额度、条款和可持续性拆分免费资源。
免费额度的使用条件、风控触发与账号连带风险。
理解为什么协议会失效、被限速或表现不同
Shadowsocks、VMess、VLESS、Trojan、Hysteria2 的定位与代价。
TLS、QUIC、REALITY、WebSocket 与 TCP/UDP 的工程差异。
用可复现的方法判断一条线路好不好
RTT、抖动、丢包、单线程与多线程吞吐的测量差异。
本地网络、出口带宽、跨境链路、协议开销与高峰拥塞。
识别免费方案可能带来的数据与设备风险
日志、DNS、IP 泄漏、账户关联与恶意运营方。
官方仓库、签名、哈希、权限与更新通道的核验。
用公开证据判断免费资源是否值得收录
核验时间、条款、额度、证据链与复现条件。
没有合格资源时如何诚实呈现，而不是虚构额度。
在预算、流量、设备与风险之间做取舍
按使用时长、流量、设备数和可接受风险建立筛选顺序。
订阅备份、客户端迁移、退款窗口与数据清理。
这个专题解决概念与判断，具体操作分散在其他专题。下面的路径按你手上的问题分流，不需要按顺序读完。
| 专题 | 什么时候过去 | 带什么问题 |
|---|---|---|
| 免费机场 | 想找具体免费资源，或想弄清零结果的判定过程 | 现在有没有同时满足五项标准的条目 |
| 免费试用 | 手上已经有一个试用机会 | 这点额度够不够完成一次验收 |
| 便宜梯子 | 已决定付费，预算在 20 元以内 | 单位流量成本怎么算才不吃亏 |
| 机场推荐 | 在几个付费服务之间筛选 | 硬门槛应该怎么定 |
| 免费代理软件 | 卡在安装、权限或 TUN 模式 | 我这个系统该用哪个客户端 |
| 资源检测 | 想自己测一条线路 | 怎么记录才算可复现 |
| 新手帮助 | 第一次配置，术语都看不懂 | 从哪一步开始不出错 |
下面四篇指南可以配合这一页读。免费梯子与免费机场的区别补上概念分界，开源客户端从哪下载解决软件来源，免费节点为什么频繁失效解释失效机制，免费代理软件安全吗处理安装包与权限。四篇的定位是概念与操作，不承担节点分发。
如果只有一个小时，建议顺序是先读上面第一篇，再看资源检测的方法，最后回到本页的成本模型算一遍自己的数字。这个顺序能避免先装软件再找节点、装完发现协议不通的循环。
日常语境里经常混用，技术上分属两类。VPN 建立虚拟网卡，接管系统里几乎所有流量，权限更高，行为更接近一条私有网络。代理客户端通常只接管应用层的 HTTP 与 SOCKS 流量，或者通过 TUN 模拟出类似效果，但规则、分流和 DNS 处理都在用户态完成。免费 VPN 的“免费”多来自商业套餐的限速档，免费代理的“免费”多来自开源软件加临时服务器。判断时看它要不要安装网络扩展或虚拟网卡，以及流量是否被强制全量接管。
开源只覆盖软件这一层。代码公开意味着转发逻辑可以被审查，安装包可以被复现，但它说明不了服务器由谁控制、日志保留多久、出口会不会被替换。一个完全开源的内核，配上一个来路不明的订阅，流量照样会经过别人的机器。判断顺序是先看订阅来源，再看条款，最后才看客户端版本。把软件可信与服务可信分开判断，是这一页最重要的一个区分。
常见原因有四种。服务器被滥用后 IP 进入目标站点的风控名单，运营方换 IP 或直接下线。协议特征被识别，同一批地址被批量阻断。订阅里的域名过期或解析被污染，客户端拉不到新配置。供给方本身是限时活动，到期就关。表现都是“连不上”，处理方式完全不同，所以排查要看握手日志，而不是反复换节点。日志里停在 TCP 连接阶段，问题在地址与端口。停在 ClientHello 之后，问题多半在协议特征或服务端配置。连上了但打不开网页，问题在 DNS 或出口。
看网络环境与需求，不看名气。需要兼容性最好、配置最简单，Shadowsocks 的 AEAD 方案足够。需要较强的抗主动探测，VLESS 配合 TLS 或 REALITY 更合适。VMess 的头部更重，时间校验严格，老客户端兼容性好，新部署的动力不大。Trojan 依赖真实域名与证书，回落行为自然，成本是自己维护域名。四者都能用，差别在维护成本与被识别概率。
它基于 QUIC，拥塞控制可以按客户端声明的带宽运行，不必从很小的窗口慢慢爬升。在高丢包、高延迟的链路上，这种策略能明显减少等待。代价是对 UDP 的强依赖，网络限制 UDP 时它直接不可用，同一条线路换成 TCP 类协议反而能连上。声明的带宽填得比真实链路高，会持续触发重传，表现是速度不稳而不是更快，这个参数应当按实测的可用带宽填，留两成余量。快与可用是两个指标，先保证可用。
不能。ping 走 ICMP，很多网络对 ICMP 的优先级与 TCP 不同，甚至直接不回应，测出来的数字与真实转发路径关系不大。即便 RTT 很低，丢包和抖动仍可能让视频卡顿。判断线路至少要三个数，TCP 握手延迟、丢包率、单流吞吐，再补一个高峰时段的采样。如果只能测一个数，测 TCP 握手时间的 P95，它比任何均值都更接近“点开网页要等多久”。
系统代理只对读取系统代理设置的应用生效，很多客户端、游戏和命令行工具不读这个设置，流量会绕过代理。TUN 模式创建虚拟网卡并修改路由表，接管范围接近全量，代价是需要更高权限，配置错误时容易造成断网。两者同时开启时，路由表里更具体的条目优先，实际行为取决于客户端实现。日常浏览用系统代理就够，需要覆盖所有应用时再用 TUN，并且准备好回滚办法。
会，常见于三种情形。客户端崩溃或退出时系统代理设置没有恢复，流量直接走本地出口。分流规则把某些域名判成直连，而这些域名恰好会回传你的地址。WebRTC 或本地网络发现类接口绕过了代理。判断方法是断开代理后对比出口地址，再在代理开启时检查同样的接口，两次结果不一致就说明存在泄漏路径。还有一种不那么明显的情况，DNS 请求从本地运营商发出，出口 IP 显示在境外，解析记录却留在了本地，这类泄漏不会改变出口地址，但会把访问意图暴露出去。
先判断这笔信息是否必要。需要手机号接收验证码的试用，通常会把号码与账号绑定，后续风控、找回和营销都依赖它。要求绑定支付方式的试用，可能在小额验证后自动续费。给之前确认三件事，取消路径是否写明、扣费触发条件是否写明、账号注销后数据保留多久。三件事有任何一件含糊，就不值得为一次试用交出这些信息。
能不能用取决于出口 IP 的信誉与地区，不取决于客户端。流媒体平台会检测数据中心 IP 段，免费方案共享出口，被判定为代理的概率更高。AI 服务还会额外检查注册地区、支付方式与登录环境。换客户端不会改变出口 IP，也不会改变目标站点看到的地址归属，所以换软件解决不了这一类问题。免费方案通常不承诺这些能力，实际可用性也随时变化。把这类需求放在免费方案上，失败率会很高。
四个信号。它开始承载账号、支付或工作交付。每月排障时间超过一小时。你需要固定出口或稳定上传。你无法确认服务器由谁控制。出现任意两个，就应该把关键流量迁移到可控方案，免费方案退回备用位置。迁移时保留旧配置两周，确认新方案在高峰时段也能用，再删掉不再需要的订阅。继续用的理由通常只剩“还没出事”，这不构成评估。
按测算假设，10 元每月对应 100 GB 计费流量时，单位成本是 0.10 元每 GB。若存在 2 倍倍率，实际载荷减半，单位成本翻倍。这个预算能覆盖轻度到中度的网页与视频使用，覆盖不了长期大流量下载，也买不到专线级别的稳定性。具体能买到什么，要拿假设表里的六个变量去算，不能看宣传页上的形容词。
页面里的协议行为与字段结构来自公开规范与开源项目文档，参数区间属于示例或测算，不来自对具体服务的实测。
| 来源 | 用途 | 链接 |
|---|---|---|
| RFC 1928 | SOCKS5 握手流程与地址格式 | rfc-editor.org/rfc/rfc1928 |
| RFC 8446 | TLS 1.3 握手、0-RTT 与恢复 | rfc-editor.org/rfc/rfc8446 |
| RFC 9000 | QUIC 传输、流与连接迁移 | rfc-editor.org/rfc/rfc9000 |
| RFC 9114 | HTTP/3 的帧与连接管理 | rfc-editor.org/rfc/rfc9114 |
| WireGuard 协议说明 | 握手方式与封装开销 | wireguard.com/protocol |
| Xray-core | VLESS、REALITY 的实现与文档 | github.com/XTLS/Xray-core |
| sing-box | 多协议内核与 DNS 策略 | github.com/SagerNet/sing-box |
| Mihomo | 规则分流与 TUN 实现 | github.com/MetaCubeX/mihomo |
| Hysteria | QUIC 传输与带宽指定 | github.com/apernet/hysteria |
| Shadowsocks 规范 | AEAD 加密与 SIP 文档 | github.com/shadowsocks/shadowsocks-org |
| Cloudflare Learning | 递归解析与 DNS 基础 | cloudflare.com/learning/dns |
| 日期 | 变更 | 说明 |
|---|---|---|
| 2026-10-24 | 初版发布 | 建立 16 个集群的选题蓝图、参数口径与成本模型 |
| 2026-10-24 | 资源状态 | 合格免费资源收录数为 0，下次复核 2026-11-07 |
| 2026-10-24 | 结构校准 | 补齐协议图、决策树与验收表，统一单位与数据性质标注 |
先确认软件来源，再看懂测试口径，最后理解零结果的判定过程。三步走完，再决定要不要为连接付费。