免认证上网 - 深澜校园网(mycc)

绕过原理#

深澜（Srun）等校园网认证系统在未登录的情况下，默认会拦截大部分网络请求，但为了维持基础网络通信和 IP 分配，通常会白名单放行部分特定的端口或协议。

本次绕过的核心就是利用了这些天然的”后门”：

UDP 53 端口：这是 DNS 协议使用的端口。认证前设备需要解析域名（如认证页地址），因此网关必须放行 UDP 53，可借此建立 DNS 隧道或将其作为代理监听端口。
UDP 67 / 68 端口：这是 DHCP 协议使用的端口。网关为了让设备在认证前能够顺利获取到局域网 IP，必须放行这两个 UDP 端口的数据包。
Protocol 58 (ICMPv6) / IPv6 流量：部分高校早期的计费系统只针对 IPv4 进行了严格的审计与拦截，而对 IPv6 流量（或 ICMPv6 协议的 58 号类型）处于完全放行的状态。

思路： 在拥有一台公网服务器（VPS）的前提下，将代理服务（如 WireGuard 等）的监听端口设置为 UDP 53 / 67 / 68，或者直接利用 IPv6 建立加密隧道，从而实现免认证上网。

流量绕过原理图#

graph LR A["💻 你的设备\n（未认证）"] -->|"UDP 53/67/68\n伪装成 DNS/DHCP"| B subgraph campus ["🏫 校园网"] B["深澜认证网关\n✅ 白名单放行\nUDP 53 / 67 / 68"] end B -->|"加密隧道穿透"| C subgraph vps ["☁️ 公网 VPS"] C["WireGuard 服务端\n监听 UDP 67"] end C --> D["🌐 互联网"] style campus fill:#fef9c3,stroke:#ca8a04 style vps fill:#dbeafe,stroke:#2563eb style A fill:#f0fdf4,stroke:#16a34a style D fill:#f0fdf4,stroke:#16a34a

准备工作#

1. 准备一台合适的 VPS#

系统推荐：Ubuntu 22.04 LTS，长期支持版本，软件源稳定、社区资料丰富，一键脚本兼容性最好。

端口要求（关键）： 选购或配置 VPS 时，需确保服务商不屏蔽以下 UDP 端口，否则绕过方案将无法生效：

端口	协议	用途
53	UDP	DNS，校园网认证前通常放行
67	UDP	DHCP Server，认证前必须放行
68	UDP	DHCP Client，认证前必须放行

注意： 部分云厂商会在平台层屏蔽 UDP 53（防 DNS 放大攻击）或 67/68（防 DHCP 欺骗）。建议选择不对 UDP 端口做限制的服务商，购买前可通过工单咨询确认，或购买后用 nc -u 等工具验证端口可达性。如需 IPv6 绕过，还需确认该 VPS 支持原生 IPv6。

2. 代理软件#

推荐使用 WireGuard，原生 UDP 协议，性能好、延迟低、配置简单。

3. 校园网测试环境#

在未登录校园网的状态下，测试 VPS 对应端口是否可达：

1
# 将 YOUR_VPS_IP 替换为实际 IP
2
nc -vzu YOUR_VPS_IP 53
3
nc -vzu YOUR_VPS_IP 67
4
nc -vzu YOUR_VPS_IP 68

配置步骤参考#

整体配置流程#

flowchart TD A([开始]) --> B["购买 VPS\nUbuntu 22.04 LTS"] B --> C["校园网未登录状态下\n测试端口可达性\nnc -vzu VPS_IP 67"] C --> D{端口可达?} D -->|否| E["更换服务商\n或工单申请开放端口"] E --> C D -->|是| F["SSH 登录 VPS\n运行 WireGuard 一键脚本"] F --> G["设置监听端口为\nUDP 53 / 67 / 68"] G --> H["云控制台安全组\n放行对应 UDP 端口"] H --> I["ufw 放行端口\nufw allow 67/udp"] I --> J["下载客户端配置\n.conf 文件或扫码"] J --> K["导入 WireGuard 客户端\n检查 Endpoint 字段"] K --> L["连接校园网 WiFi\n保持未登录状态"] L --> M["激活 WireGuard 隧道"] M --> N([免认证上网 🎉]) style A fill:#86efac,stroke:#16a34a style N fill:#86efac,stroke:#16a34a style D fill:#fde68a,stroke:#d97706 style E fill:#fecaca,stroke:#dc2626

方法一：基于 DHCP / DNS 端口 (UDP 53/67/68) 绕过#

以 WireGuard 为例（原生基于 UDP，更加轻量快速）：

SSH 登录 VPS（Ubuntu 22.04），使用一键脚本搭建 WireGuard 服务端：
Terminal window
```
1
curl -O https://raw.githubusercontent.com/angristan/wireguard-install/master/wireguard-install.sh
2
chmod +x wireguard-install.sh
3
./wireguard-install.sh
```
或使用带 Web UI 的 wg-easy（适合不熟悉命令行的用户）。
安装配置时，将监听端口（Listen Port）自定义为 53、67 或 68。WireGuard 默认仅使用 UDP 协议，无需额外选择。
在云服务商控制台（安全组 / 防火墙）中放行对应的 UDP 端口，Ubuntu 本身的 ufw 防火墙也需放行：
Terminal window
```
1
ufw allow 53/udp
2
ufw allow 67/udp
3
ufw allow 68/udp
4
ufw reload
```
将生成的客户端配置文件（通常为 .conf）下载到本地（手机端可直接扫描脚本生成的二维码导入）。导入后检查 Endpoint 字段，确保形如：
```
1
Endpoint = 你的VPS_IP:67
```
连接校园网 WiFi（保持未登录状态），打开本地 WireGuard 客户端，激活该节点连接，即可实现免认证上网。

注意事项#

⚠️ 免责声明： 本文仅作网络安全与技术原理的交流、学习记录。滥用校园网漏洞进行大流量下载可能引起学校网管中心的注意，并面临被封禁设备 MAC 地址或校园网账号的风险，请合理、合规使用网络。