中国远程桌面：能在防火长城（GFW）后工作的工具

从中国境内尝试连接远程机器而看到各种工具接连失败，是个熟悉且令人恼火的问题。本指南解释了连接为何中断、哪些方法能在防火长城（GFW）后工作，以及可立即使用的实用配置与测试步骤。

防火长城如何干扰远程桌面流量

防火长城不是单一设备，而是在各提供商网络中部署的一系列过滤技术：DNS 操纵、IP 屏蔽、TCP 重置注入、用于 TLS 指纹和 SNI 的深度包检测（DPI），以及针对性的限速。远程桌面协议受影响主要有三方面原因：

• 主机和 SNI 屏蔽：许多远程服务依赖已知主机名。如果该主机名被屏蔽，即便 TCP 被允许，暴露 SNI 的 TLS 握手也可能被中断。
• DPI 与指纹识别：具有明显 TLS 指纹、ALPN 或流量模式的协议可能被识别并主动重置。一些厂商使用的自定义协议会被 DPI 设备学习并指纹化。
• 路由与 IP 屏蔽：归属于某些服务的 IP 段有时会被黑洞或静默丢弃；单一区域或中继可能无法到达，即便厂商的其他区域可用。

实际上这意味着：在其他地方能可靠连接的产品（AnyDesk、TeamViewer、或通过 VPN 的 RDP）在中国境内仍可能失败。可靠的模式是能回退到通过常见端口并使用标准 TLS 可达的中继，或将流量放在 CDN 与多区域基础设施之后。

哪些远程桌面方案可行（及其权衡）

• 托管中继 / 厂商托管基础设施（推荐）：厂商在多区域运行中继并使用 TCP/443 的标准 TLS，使中国境内客户端能访问。这是最可靠且运维负担最低的做法，因为你避免了自建服务器、证书续期或应对路由问题。Tenvo 提供 Windows、macOS 和 Linux 的原生客户端、处于公测的浏览器客户端，默认使用多区域托管中继。定价：Free $0 / Lite $2.99/mo / Pro $7.99/mo ——对于没有严格合规要求的用户，托管中继是 Tenvo 的默认推荐。
• 大型厂商的商业中继（AnyDesk、TeamViewer）：这些通常具有优秀的覆盖和工程能力来应对 GFW 的细节。它们可能表现良好，但延迟和可用性随区域而异，且厂商的定价/许可也很重要。如果需要逐项功能对比，请参阅商业对比文章。
• 在中国境内或邻近地区自建中继：在中国内地或香港部署自有中继可避免跨境封禁，但会产生运维成本：若在中国内地需办理 ICP 备案、区域性值班、补丁管理、证书管理、多区域故障切换与 SLA。仅当你有书面要求（数据驻留、合规或隔离网络）时自建才是正确选择。关于如何以及会出现哪些故障，请参见 自建远程桌面：原因、方法与故障。
• VPN 与代理：在境外终止的正确配置的 VPN 可以让 RDP 或 VNC 可用，但 VPN 本身也会被 DPI 检测。许多标准 VPN 协议有已知指纹，除非进行混淆否则可能被屏蔽（而混淆是猫捉老鼠的过程）。还要考虑 VPN 相对于托管中继的管理开销与用户摩擦。
• SSH 隧道 / SOCKS 代理：如果能可靠访问跳板主机，对技术用户有效。SSH 的端口转发在上游被屏蔽或主机 IP 被过滤时非常脆弱。关于避免繁琐的 NAT/端口规则与端口转发问题，请阅读 无需端口转发的远程桌面详解。
• WebRTC/基于浏览器的工具：浏览器客户端有时能绕过检查，因为它们复用浏览器的 TLS 堆栈和 CDNs，但 WebRTC 需要可用的 STUN/TURN 基础设施。TURN 服务器变成中继，必须可达——如果 TURN 的主机名被屏蔽，问题仍然存在。

总结：务实的默认选项是使用在常见端口上采用标准 TLS 的多区域托管中继，并具有足够的地域多样性以避免单点故障。自建仅适用于合规或无法使用第三方基础设施的网络。

实用的网络配置与测试步骤

先假设存在数据包丢弃与主动重置。按步骤排查：

• 1) 验证名称解析：在中国境内测试你将使用的厂商主机名的 DNS。DNS 污染常见——如果中国的解析与可信的外部解析器返回不同结果，则表明存在问题。
• 2) 测试 443 端口的 TCP 可达性：curl -v --max-time 10 https://HOSTNAME/ 或进行 TCP 连接测试。许多中继使用 443 来混淆为网页流量；如果 443 被屏蔽，你需要一个在其他允许端口可达的中继或提供区域特定端点的托管厂商。
• 3) 检查 TLS 握手：像 openssl s_client 这样的工具可以查看服务器证书和 SNI 行为。如果 SNI 主机名被屏蔽，你可能会看到即时的 TCP 重置或 TLS 失败。
• 4) 测量延迟与丢包：traceroute 和 ping 能提供快速信号，但一些 GFW 行为会注入 RST 而不是丢弃 ICMP。分时段多次测试——限速通常与时间有关。
• 5) 测试回退模式：优秀的客户端会先尝试直接 P2P，然后回退到中继。验证从中国境内中继模式是否可用并测量其延迟。如果中继在中继处终止 TLS，请将中继运营者视为能观察会话（见下一节的安全部分）。

Example commands (run from a machine inside China):

# DNS check
nslookup relay.vendor.example

# TCP connect to TLS port
timeout 10 bash -c 'echo >/dev/tcp/relay.vendor.example/443' && echo OK || echo FAIL

# TLS handshake details
openssl s_client -connect relay.vendor.example:443 -servername relay.vendor.example -showcerts

# Latency
ping -c 10 relay.vendor.example

# Traceroute
traceroute relay.vendor.example

对于 Tenvo，请使用客户端默认提供的多区域托管中继端点；它们尝试在 TCP/443 上使用标准 TLS 并包含回退。托管中继减少了你需要自行管理的网络配置，并避免了 GFW 对单一区域或自定义协议栈触发的许多误报。

安全与威胁模型：中继能看到什么与看不到什么

明确你的信任边界：当建立直接点对点连接时，会话流量仅在双方端点之间传输，并由双方协商的 TLS 保护。当流量回退到由厂商托管的中继时，TLS 在中继处终止；这意味着中继运营者可以观察到会话内容或元数据。除非厂商在文档中说明其密码学设计仅把密钥保存在端点，否则不要假设中继是“零知识”的。关于诚实的威胁模型讨论，请参见 远程桌面安全：你需要知道的事项。

在实际运维上，这对敏感数据和受监管工作负载很重要。如果你的安全或合规策略禁止第三方中继查看会话内容，你必须在允许的司法辖区内自建并控制中继。否则，托管中继通常在运维上是更优的权衡：更少补丁、没有证书续期的麻烦，以及多区域故障切换。

何时应考虑在中国境内自建

在中国境内部署自建中继或网关代价高且脆弱，除非是必要。典型的合理理由包括：

• 法律或合同上的数据驻留要求明文禁止将第三方基础设施置于中国境外。
• 网络隔离，机器只能从封闭的中国网络内路由访问。
• 公司策略要求所有会话元数据保留在本地。

如果上述之一适用，请为完整的运维投入做计划：至少在不同可用区运行两个中继以实现故障切换，自动化证书签发与续期（如果你的提供商支持，ACME 可行），监控 TLS 与路由变化，并安排专门处理中国网络事件的值班。关于自建堆栈会出现的真实故障及如何运维，请参见 自建远程桌面：原因、方法与故障。

两个实用部署提示：

• ICP 与本地提供商：在中国内地部署通常需要 ICP 备案与本地提供商支持。香港和新加坡可避免 ICP，但引入跨境跳数可能被过滤——在承诺之前请从你的用户网络中测量真实可达性。
• 多区域回退：单一内地中继是单点故障。至少设计一个区域外的中继以提供弹性；这使得自建的总体成本由于额外的冗余与维护工作而接近托管解决方案的成本。

故障排查清单与最终建议

• 如果连接失败：检查 DNS、TCP/443 可达性、TLS SNI 暴露，并尝试备用区域或中继主机名。许多失败是由 SNI 或主机名屏蔽引起的。
• 按运营商和城市测量差异：GFW 的行为因提供商与地区而异——在深圳可用的端点在北京可能被屏蔽。
• 除非受限否则优先托管中继：托管中继需要付费但能降低修复时间和值班负担。Tenvo 的托管中继是默认推荐——客户端可用于 macOS、Windows、Linux，浏览器客户端处于公测。Tenvo 定价：Free $0 / Lite $2.99/mo / Pro $7.99/mo。
• 记录你的威胁模型：如果你不能信任第三方中继查看会话元数据，请规划并预算自建中国中继集群；否则接受托管中继在较低运维负担下的权衡。
• 记录与监控：捕获失败连接的跟踪（tcpdump、openssl 输出）并记录时间戳。将故障与已知的区域性事件或政策变化相关联。

如果你想要最小的保险措施：先尝试一家具有多区域覆盖的托管中继厂商。它很可能能为中国的大多数用户提供可靠的远程访问，且运维开销远低于自建。如果这仍不满足你的策略需求，请按自建路径执行并确定明确的运维与冗余。有关更详细的诊断流程与设置脚本，请参阅我们的快速上手 如何在 60 秒内设置远程访问，以及关于避免端口转发问题的说明 无需端口转发的远程桌面详解。如果需按覆盖与价格评估厂商，我们的比较文章（包括 RustDesk vs AnyDesk 2026：以及第三种选择）能帮助你权衡利弊。

准备好试用一个带有多区域端点和简单客户端的托管中继？下载 Tenvo 并在你支持的网络中测试连通性：下载 Tenvo。