3 楼和 20 楼正确。你路由的网关实际上是 wan 口的地址，改掉之后所有数据你都发不到互联网了。按 20 楼的方法操作就行了，不过有些路由器的 dhcp 默认自己是网关不能修改。

@DCounter 深信服专门干这个的

@nielinjie 不能做到不被发觉。在客户端安装深信服自己的证书，不安装的话会提示连接不安全，安装了之后不会提示，但是可以从已安装的证书里面找到深信服的。另外有规则可以设置不安装不给上网。

深信服、网康等等很多设备都可以做到，一般是部署在主交换和网关之间，对网络流量进行嗅探，其已经对国内主要网站按内容分门别类，根据设置好的规则自动生成报告。重点：1 、可以进行 ssl 中间人攻击，识别 ssl 加密内容； 2 、可以通过客户端安装插件监控 qq 聊天记录； 3 、收发的邮件、所有文件都有记录。综上，建议用自己的手机流量摸鱼。

@BadAngel 好吧，以前上学的时候会在宿舍里给电脑配个局域网 ip 联机打游戏就觉得很 nb 了，现在发现了解的越多越不懂，越来越迷茫

@standin000 对，我理解的旁路应该是指从主路由端口镜像出来的一路审计服务器或者 gfw 这样的，以监听和审计为主，不转发数据的，即使 down 了数据也不会断。

@PbCopy111 对，是个单独的网关，它转发的是所以翻墙的流量而非所有流量，不需要翻墙的机器可以直接把网关设置成主路由。另外所有的流量最后还是从你的主路由走的，所以你钱没白花😂

@BadAngel 这么说我更看不懂了，冲突域是 hub 时代的了，二层交换机下面应该一个端口一条网线自己就是一个冲突域了，交换机网口那边是没有 mac 的，网卡上有一个，一个冲突域里面怎么来的多个 mac 呢（不考虑上古 hub 的情况了）？

@whileFalse 你说的我明白啊，就是你本地运行 surge 为其它客户端提供服务，有两种模式，一是把本地代理的端口暴露出去，其它客户端通过设置其为代理的方式翻墙，这种方式还可以把端口映射出去，让远程的客户端使用，但是对于不能设置代理的应用如 uwp 应用无法使用，另一种方式是网关模式，局域网内的客户端设置网关为你运行 surge 的机器，实现全局翻墙（ surge 采用全局模式的情况下）。我不明白的是，这俩哪个叫路由翻墙和代理翻墙，为什么这么叫，谁定的名字，从名字上看路由翻墙指明的是通过路由这个设备翻墙，区别于客户端自行翻墙，代理翻墙则指的是通过代理服务器这种技术手段翻墙，区别于 iplc/iepl/atm 等手段翻墙，这两个放在一起我当然分不清楚。

@jiangzhuo 软路由这个词是相对硬路由来的，硬路由指设计之初就是用来做路由器的这些硬件，通常采用 mips 架构，有硬件的网络加速。而软路由，则通常是 x86 架构的 linux 计算机，通过多网卡，安装专门的系统如 openwrt 、ros 等实现路由器的功能。

@kindjeff 从你的描述看不明白你的网络拓扑，首先你光猫拨号的话说明光猫是路由模式，实际上光猫才是你的边界路由，后面你的主路由和 linux pc 是桥接的还是做了二次 nat 你没说明白。

@iloveayu 这个名字好，我觉得合适。

@ysc3839 我觉得不对，ip 数据包就是在网络层上传输的，到了数据链路层就已经变成帧了，同理到了物理层就是电流。后面一句话更不对了，二层交换机，没有 arp 它怎么工作呢。

@whileFalse 所以你说的路由翻墙和代理翻墙的区别到底是啥呢？一个部署在了充当网关的 linux 计算机上，为客户端提供透明代理，另一个是部署在客户端本机上，提供本地代理？不都是基于代理的翻墙么。

@ysc3839 https://en.wikipedia.org/wiki/Address_Resolution_Protocol 看下英文版，明确说了在第二层的，arp 协议里面除了 ip 是第三层，mac 、帧的封装、传输、arp 的广播、泛洪等等都是工作在第二层的。

@whileFalse 你说的无感翻墙就是透明代理，深信服路由模式就没有网关了，自己充当路由 /网关。

@ysc3839 不会吧，arp 我记得很清楚就是 data-link 层的啊，难道时代变了？

@Illusionary 我记得单臂路由就是一个口，设置成 trunk 模式，在里面绑定子接口，用来解决二层交换环境下不同 vlan 之间不能通信的问题，但是跟这个不一样。