现象
作为【机场入口】的国内服务器 IP，可以稳定地触发封海外，而其他民用用途的国内 IP 很少触发。
GFW 封海外非常灵敏，据测试，一个新的 IP 触发封海外最快只需几分钟。
触发后，此 IP 的【国际出方向】流量会被丢弃，而入境方向通常正常。 （所以 GFW 的封海外不能海外 D）

原理/猜想
机场常用的协议 SS/SSR/VMess/Trojan 等已无法更新，目前均可被识别。
国内流量存在比 GFW 更广泛、更深度的分析，分析结果经常被用于秋后算账。
国内很多路由器都有下拉黑名单 IP 的机制，极端情况下可以实现实时的「封海外」和「省墙」。（2024 年 4 月开始已在新疆应验，不是实时，更像是人工操作）
国内运营商存在【DPI 和 DNS 日志】，国内用户访问一个 IP/域名 之后，就会引来网信办和安全公司的多种扫描器/爬虫。（中国特色的网络空间测绘）
微信 / QQ 等国内软件有监控，如果您的类人用户将订阅发到上面，就会被捕获引来爬虫。（实际上也不只针对机场，什么东西他们都会看一下，看情况处理）
越来越多的证据显示，与前几年相比，现在的“有关部门”越来越喜欢（或者说依赖）用 买订阅 的法来获取机场入口 IP。

nekohasekai：utls 就是一坨，出了这么多次可识别问题，完全就是 naive 的纯下位！

设备取证阶段：
查获嫌疑人手机、电脑后，重点搜索助记词（seed phrase）、私钥、钱包地址。
使用专业取证软件扫描微信聊天记录、备忘录、笔记、图片（包括截图、隐藏文件）等，寻找任何与钱包相关的信息。
链上追踪：
如果拿不到私钥，就通过区块链分析工具追踪资金流向（on-chain analysis）。
向币安、OKX、HTX等主流交易所发出协查函，调取 KYC 实名信息、IP 登录记录、提现地址等。
资产处置：
确认涉案后，可将加密货币转移到警方控制的钱包，或直接要求交易所冻结账户并扣押资产。

· host：目标域名或 IP（默认 x.com）
· -p：目标端口（默认 443）
· -m：最大 TTL（默认 128）
· -t：超时时间（秒）
· -r：每跳重试次数
· --no-location：不查询地理位置

· 正常路由器：TTL: IP [国家 地区 城市]
· 无响应：TTL: *
· 检测到 RST 阻断：会打印阻断 IP 及位置，并提示“Suspected GFW exit IP”。
· 目标 SYN-ACK 到达：表示未被阻断。