海南 VPN 的第一条规则就一句：所有准备都要在你入境之前做完。
海南是中国大陆的一部分，三亚和海口的网络跟北京、上海一样过滤境外连接。服务商网站和应用商店里的相关页面在当地网络上通常打不开，你落地以后再想装客户端、找订阅链接，多半来不及。第二条规则是别只准备一种协议 (设备和服务器的对话规则)：WireGuard 和 OpenVPN 的流量特征太好认，你经常会连不上；把隧道伪装成普通 HTTPS 的 VLESS + Reality 更稳，但谁也不能保证。第三条是留一条不依赖 VPN 的退路，也就是国际漫游。
这篇按时间顺序写：出发前、落地时、连不上时，最后是法律层面的事实。全文不推荐具体机场，只讲怎么判断、怎么操作。
| 出发前 | |
|---|---|
| 装好客户端 | 落地后装不了 |
| 配两个协议 | 一个不行换另一个 |
| 测 IP、WebRTC、IPv6 | 确认没泄露 |
| 订阅链接存到备忘录 | 离线也能取 |
| 保留漫游 | 最后的退路 |
出发前：装、配、测
装。 在家就把客户端装好、登录好。你用机场的，就导入订阅链接并更新一次，确认节点列表拉得下来；你用商业 VPN 的，就登录账号，把配置导出一份存到备忘录和云盘各一处。iPhone 用户注意 Apple ID 的地区：中国区商店没有这类应用，落地后改地区需要另一个国家的支付方式。
配。 至少给自己留两套：主用 VLESS + Reality，备用 WireGuard 或者另一个国家的 VLESS 节点。离海南最近的节点在香港、新加坡、日本，延迟最低，但过滤对不同地址的态度未必一样，所以你手里多留两三个选择。协议原理见VLESS 与 Reality：为什么它比传统 VPN 更难被识别。
测。 连上后打开我的 IP 是什么，地址和国家应该变成节点的；跑WebRTC 泄露检测和IPv6 泄露检测，不应出现真实地址；断开、切换到备用协议、再测一遍；最后在 Wi‑Fi 和移动数据之间切换，确认客户端能自动恢复。在家过不了的，到了岛上一定过不了。DNS 那一环怎么堵见DNS 泄露是什么意思。
| 出发前三件事 | 说明 |
|---|---|
| 装 | 在还能访问应用商店时装好 |
| 配 | 至少配两种协议 |
| 测 | 在家先连通一次 |
记住一句：你落地之后再想装，往往就装不上了。
为什么「连不上」是常态
中国的国际出口不只是封地址，它分析流量本身：握手阶段前几个包的大小和顺序、特征字段、连接行为。WireGuard 和 OpenVPN 的特征明显，于是连接要么建立不起来，要么几分钟后被掐断，客户端只显示「连接中」。VLESS + Reality 在出口看来是一条到真实域名的 TLS 会话，没有形式上的理由去中断它，所以稳得多。这不是隐身，也不是保证：过滤会学习，各地区表现也不一样，节假日和大型活动期间通常收紧。
| 为什么连不上是常态 | 原因 |
|---|---|
| 固定的服务器地址 | 会被收录 |
| 明显的协议形态 | 会被识别 |
| 晚上比早上更难 | 负载和策略都在变 |
落地后：按顺序排查
- 先确认普通网络通畅：用本地卡或酒店 Wi‑Fi 打开任意一个大陆网站。
- 连主用协议，等一分钟。新网络里的第一次连接有时建立得慢。
- 换协议，再换节点，换到另一个国家。
- 在 Wi‑Fi 和移动数据之间切换，两者的过滤强度可能不同。
- 关掉 Kill Switch，确认普通网络回来了。Kill Switch 在家是保护，在这里可能表现为「整个网络没了」。
- 开几分钟国际漫游，报平安、更新订阅、下载新配置。
别在机场出口耗一小时。先入住，晚上在酒店再试，不同网络、不同时段的表现不一样。
Kill Switch 和「始终开启」要不要开
在家建议开，隧道断开时流量不会退回明网。在海南头一两天建议先关，等确认连接稳定后再开。Android 的「始终开启的 VPN」和「阻止未使用 VPN 的连接」同理，前者可以开，后者等稳定再说；iPhone 的「按需连接」在隧道建立不起来时会反复重试并影响普通网络，第一次测试前先关掉。
| 落地后排查顺序 | 步骤 |
|---|---|
| 一 | 设备时间设为自动 |
| 二 | 换节点 |
| 三 | 换协议 |
| 四 | 从 Wi-Fi 换成移动数据 |
| 五 | 隔一小时再试 |
什么都连不上的时候
有些日子确实什么都连不上，这不一定是你的配置问题。这时可用的是：国际漫游或境外 eSIM，它们的流量从境外运营商出到公网，过滤不经过它们；本地能用的应用照常，微信、支付宝、Apple 地图、iMessage、滴滴、Trip.com 都不受影响。漫游、eSIM 和本地卡的对比见去中国大陆旅游：eSIM 漫游、本地卡加 VPN，还是酒店 Wi‑Fi。
海南有没有例外
海南在试点「环球畅联」，据《南华早报》报道，面向在海南注册运营的企业员工，需要三大运营商的 5G 套餐，审批最长五个月，不面向游客。个别国际酒店宣称住客可访问境外服务，到店核实，不要依赖。对旅客而言，海南的网络就是大陆的网络。
| 这篇是什么、不是什么 | 判断 |
|---|---|
| 对技术现象的说明 | 是 |
| 法律意见 | 不是 |
| 规定会变、各地表述不同 | 是 |
涉及后果的事情，请以当前官方文本为准。
法律层面需要知道的事实
在中国大陆，国际联网须使用国家公用电信网提供的国际出入口信道，个人使用未经批准的渠道属于违反相关规定，实践中的处理以行政处罚为主，公开报道的案例多涉及经营和传播行为。酒店和机场不会检查手机里装了什么，但使用与否由你自己判断并承担责任。本文是技术说明，不构成法律意见，也不鼓励任何违反当地法律的行为。更多讨论在翻墙安全吗、会被发现吗。
404 VPN 的主力协议是 VLESS + Reality，客户端 DNS 在隧道内解析，Android 应用带 Kill Switch，节点包括香港和日本，应用目前覆盖 Android 和 macOS，其余平台开发中（见下载页）。我们也提供 WireGuard 配置，但它在中国大陆同样会被拦截；在海南要留备用，请选另一个地区的 VLESS 节点。免费套餐每天 2 GB，够在出发前完成所有测试。我们不承诺从中国大陆任何网络都能连上。开始使用请到首页。
不确定哪种方式适合自己时，把行程写出来再问。
帮我选出行期间的上网方式。
行程天数：（几天）。城市：（哪些）。
手机：（型号；是否支持 eSIM）。
我需要用的：（地图和通讯 / 社交应用 /
视频通话 / 带电脑办公）。
是否需要本地号码用于支付和打车：（需要 / 不需要）。
针对我的情况比较各种方式，说明每种方式下我的
流量从哪里出境。
不要编造价格；不确定的就说不知道。
也不要教我规避当地规定。