问：WebSocket + TLS + CDN 到底是个什么组合？
答：这是科学上网领域流传多年的"经典三件套"。一句话概括：WebSocket 负责伪装，TLS 负责加密，CDN 负责中转和藏身。三者叠在一起，你的代理流量看起来就像在正常访问一个网站。
问：每一件具体干了什么？
答：WebSocket 是一种基于 HTTP 的双向通信协议，你的代理数据被包在"正常的网页访问"里传输，特征不明显；TLS 就是 HTTPS 的那个加密，没有它，中间人一眼看穿你在传什么；CDN（内容分发网络）是套在前面的"马甲"——你的流量先到 CDN 节点（比如 Cloudflare），再由 CDN 回源到你的真实服务器，真实 IP 藏在 CDN 后面。
问：这三种配置方式差在哪？看这个表：
| 方案 | 伪装能力 | 隐藏真实 IP | 速度 | 配置难度 |
|---|---|---|---|---|
| 直连（裸奔） | 无 | 否 | 最快 | 最低 |
| WS + TLS | 中（像正常网站访问） | 否 | 快 | 中等 |
| WS + TLS + CDN | 高（流量先到 CDN） | 是 | 中等（多一跳） | 较高 |
问：套 CDN 有什么好处？
答：两个核心好处：一是藏 IP，服务器真实 IP 不暴露，被针对性封锁的概率大降；二是蹭大厂的信誉，你的流量目的地是 Cloudflare 这类大 CDN 的 IP，看起来人畜无害。代价是多了一跳中转，延迟和速度会打点折扣。
问：套 CDN 最容易踩的坑有哪些？
答：三个经典坑。第一，回源 Host 配错：CDN 回源时带的 Host 头必须和你服务器上配置的一致，对不上就 404 或者回源失败；第二，SNI 和证书：TLS 握手时的 SNI 要和 CDN 上的域名匹配，证书链不完整会导致握手失败；第三，CDN 缓存了不该缓存的东西：记得给代理路径关掉缓存，不然 CDN 把动态流量当静态文件缓存，轻则异常，重则泄露。
问：域名怎么选？
答：三条经验。第一，用你自己的域名，别用服务商送的免费二级域名——后者被滥用的多，更容易被连带；第二，域名最好有点"正常网站"的样子，注册时间越长越好，新注册的裸域名反而显眼；第三，一个域名别挂太多东西，代理、博客、图床全挤在一起，出事一锅端。
问：CDN 厂商有讲究吗？
答：有。选大厂（Cloudflare 这类），IP 段干净、信誉好，你的流量混在海量正常流量里才不显眼。小众 CDN 的 IP 段如果被重点关照，你套了等于没套。另外注意免费套餐的流量限制，超了要么降速要么收费，提前看清条款。
问：WebSocket 的路径（path）怎么选？
答：path 是 WS 地址里域名后面的那段（比如 /abc123）。讲究两点：第一，别用默认的 / 或 /ws 这种一眼假的路径，自定义一串随机字符；第二，path 和服务端配置必须一致，大小写敏感，复制粘贴别手打。一个冷知识：CDN 回源时也会带上这段 path，所以服务端和 CDN 两边的配置要对得上，排错时先查这里。
问：2025 年还推荐这个组合吗？
答：分情况。如果你追求极致速度，Hysteria2 这类新协议更快；但如果你要的是"稳"和"藏"，WS+TLS+CDN 依然是性价比最高的选择之一，尤其是配合一个靠谱的域名。它和 Trojan 的思路一脉相承：把代理流量伪装成正常 HTTPS 流量。
问：新手从哪开始？
答：先搞懂 gRPC 和 WebSocket 这类传输方式的区别，再动手搭。记住顺序：先把 WS+TLS 跑通，确认能用，再套 CDN，一步一步来，别三件套一起上，出问题都不知道哪一环坏了。
一句话总结：这个组合没有魔法，它只是把"藏"这件事做到了极致。理解每一件的作用，配错了也知道去哪查，这才是这篇真正想教你的。最后给新手的排错口诀： 连不上先看 path 对没对，再看证书和 SNI 匹不匹配，最后查 CDN 回源通不通——八成问题死在这三步里，不用上来就重装。记住顺序，省一半时间。 排错最怕眉毛胡子一把抓，按口诀一步步来，每一步都有明确的是非判断，定位又快又准。