全球数字游民跨境移动网络生存指南 海外eSIM 本地SIM卡与随身WiFi横评

数字游民网络困境与移动连接需求重构

数字游民迁徙路线中的网络断层现象

数字游民的迁徙路线通常遵循气候带与汇率差的双重驱动。曼谷素坤逸路到清迈宁曼路，再跳转巴厘岛Canggu，之后飞往里斯本Alfama，最终落脚墨西哥城Roma Norte。这条黄金路线在物理距离上跨越了三大洲，在移动网络层面则穿越了至少七个不同的PLMN（Public Land Mobile Network）管理域。每一次跨越国境，手机基带都要经历一次完整的网络注销与重新注册流程。问题在于，许多数字游民使用的多国漫游流量卡在离开发卡国后，依赖的是批发商与当地运营商签署的漫游协议。当协议覆盖出现空洞，或者当地运营商在特定频段上未开放漫游接入权限，基带就会陷入反复扫描与注册失败的循环。

网络断层的典型表现有三种。第一种是信号格满但无法建立数据连接，这通常意味着RRC连接建立成功但PDN激活被拒绝。第二种是掉网至2G，基带在LTE和NR注册被拒后回落到GSM，此时数据吞吐降至几十kbps，几乎不可用。第三种是PLMN列表为空，手机显示无服务，这往往发生在eSIM Profile的IMSI段未被当地网络加入漫游白名单的情况下。

远程办公场景对上行带宽与延迟的硬性约束

数字游民的远程办公场景对网络的需求与普通旅行者截然不同。视频会议要求上行带宽稳定在1.5Mbps以上，延迟低于150ms，抖动低于30ms。CI/CD流水线中的git push和docker push操作对上行带宽更为敏感，一个500MB的容器镜像在5Mbps上行链路上需要约13分钟，而在20Mbps上仅需3分钟。更关键的是延迟稳定性，TCP拥塞控制算法在RTT波动超过100ms时会出现吞吐塌陷。

从工程实践看，远程办公的最低可接受网络指标如下表所示。

多国漫游流量卡在跨境切换时的注册失败机理

多国漫游流量卡的本质是一张IMSI归属某批发商HPLMN的SIM卡，通过GSMA的S8接口实现跨网漫游。当用户从泰国进入越南，手机基带会发起TAU（Tracking Area Update）流程。TAU请求经由新VLR发送至HPLMN的HLR/HSS，HSS查询该IMSI的漫游权限后返回鉴权向量。如果批发商与越南运营商的漫游协议中未包含该IMSI段的LTE或NR接入权限，HSS会返回DIAMETER_ERROR_ROAMING_NOT_ALLOWED，导致TAU失败。

注册失败的另一个常见原因是APN配置不匹配。多国漫游卡通常使用统一的APN如globaldata或roamnet，但部分运营商要求特定APN才能激活PDN。当APN错误时，PGW会返回CAUSE_53（No resources available）或CAUSE_27（Missing or unknown APN）。

海外旅行eSIM推荐背后的运营商批发协议差异

市面上的海外旅行eSIM推荐列表往往只关注价格和覆盖国家数量，忽略了批发协议的技术细节。一家eSIM批发商可能与泰国AIS签署了完整的LTE/NR漫游协议，但与越南Viettel仅签署了GSM漫游协议。这意味着同一张eSIM在曼谷可以使用5G，在河内只能使用2G。批发协议的差异还体现在QoS等级上，部分协议仅提供Best Effort承载，而另一些协议可以协商QCI 6或QCI 7的保证比特率承载。

跨国远程办公网络在视频会议与CI/CD流水线中的实际吞吐需求

视频会议工具如Zoom和Google Meet使用WebRTC协议栈，其拥塞控制算法为GCC（Google Congestion Control）。GCC对延迟梯度的敏感度极高，当网络抖动超过50ms时，发送端会主动降低码率。CI/CD流水线中的git push使用HTTPS或SSH协议，底层为TCP。TCP BBR算法在丢包率超过2%时吞吐会急剧下降，而CUBIC算法在RTT超过200ms时窗口增长缓慢。因此，跨国远程办公网络的设计目标应当是低抖动、低丢包、中等带宽，而非单纯追求峰值吞吐。

移动网络底层协议与跨境漫游信令流程

GSM协会标准下的S8接口与GTP-C信令交互

S8接口是VPLMN（Visited PLMN）的SGW与HPLMN的PGW之间的参考点，承载GTP-C和GTP-U协议。当漫游用户发起PDN连接请求时，VPLMN的MME通过S6a接口向HPLMN的HSS请求鉴权向量，随后通过S8接口向PGW发送Create Session Request。PGW分配IP地址后返回Create Session Response，其中包含QoS参数和计费信息。

以下为GTP-C Create Session Request的关键字段解析。

GTP-C Create Session Request (TS 29.274)
Message Type: 32 (0x20)
IMSI: 310260xxxxxxxxx
MSISDN: 6689xxxxxxx
MEI: 356xxxxxxxxxxxx
ULI (User Location Info):
  TAI: MCC 520 MNC 03 TAC 0x1A2B
  ECGI: ECI 0x0A1B2C3D
  Age of Location: 0
RAT Type: 6 (EUTRAN)
Indication Flags:
  DAF: 1 (Dual Address Bearer Flag)
  DTF: 0
  HI: 0
  OI: 1 (Overload Indication)
F-TEID:
  Interface Type: 1 (S5/S8 SGW GTP-U)
  TEID: 0x12345678
  IPv4: 10.10.1.1
APN: globaldata
AMBR:
  Uplink: 100 Mbps
  Downlink: 200 Mbps
Bearer Context:
  EBI: 5
  QCI: 9
  ARP: 8
PDN Type: 1 (IPv4)
PAA (PDN Address Allocation): 0.0.0.0

eSIM远程配置的SM-DP+与SM-DS架构解析

eSIM的远程配置依赖GSMA SGP.22规范定义的两个核心网元。SM-DP+（Subscription Manager Data Preparation Plus）负责Profile的生成、加密和分发。SM-DS（Subscription Manager Discovery Service）负责发现用户的SM-DP+地址。当用户扫描eSIM激活二维码时，LPA（Local Profile Assistant）解析二维码中的SM-DP+ FQDN和激活码，随后与SM-DP+建立TLS连接，完成Profile的下载和安装。

sequenceDiagram
    participant "用户" as U
    participant "LPA" as LPA
    participant "SM-DS" as DS
    participant "SM-DP+" as DP
    participant "eUICC" as EU

    U->>LPA "扫描二维码获取激活码"
    LPA->>DS "发起发现请求 (ES11+)"
    DS-->>LPA "返回SM-DP+地址"
    LPA->>DP "发起认证 (ES9+ AuthenticateClient)"
    DP-->>LPA "返回服务器签名与证书"
    LPA->>EU "发起Profile下载 (ES10b LoadBoundProfilePackage)"
    EU-->>LPA "返回安装结果"
    LPA->>DP "确认安装 (ES9+ HandleNotification)"
    DP-->>LPA "返回确认响应"

本地SIM卡在VLR注册中的鉴权五元组传递

本地SIM卡在VLR注册时，MSC/VLR通过S6a接口向HSS发送Authentication Information Request。HSS返回一个或多个鉴权五元组，包含RAND、XRES、CK、IK和AUTN。VLR将RAND和AUTN发送给UE，UE的USIM计算RES并返回。VLR比较RES与XRES，一致则鉴权通过。

五元组中的AUTN包含SQN和MAC，用于防止重放攻击。当UE检测到SQN不在预期范围内时，会拒绝鉴权并触发SQN重同步流程。这一机制在跨境漫游时偶尔会导致注册失败，尤其是当VLR与HSS之间的SQN管理不同步时。

境外随身WiFi的MiFi芯片组与基带选型差异

境外随身WiFi的硬件架构核心是MiFi芯片组和基带处理器。高通SDX系列基带在漫游场景中表现稳定，支持广泛的频段和CA组合。紫光展锐基带在成本上具有优势，但在部分海外频段上的射频校准不够精细，导致弱信号环境下的吞吐下降明显。

5G NSA与SA组网对漫游用户接入策略的影响

5G NSA组网依赖LTE锚点承载控制面信令，NR仅承载用户面数据。漫游用户在NSA网络下需要同时注册LTE和NR，接入流程更为复杂。5G SA组网下NR独立承载控制面和用户面，漫游用户可以直接注册NR。但SA漫游对运营商间的N26接口和切片配置要求更高，目前全球SA漫游的覆盖率仍低于NSA。

eSIM技术原理与全球运营商批发模型

eUICC芯片的Java Card运行时与LPA架构

eUICC芯片本质上是一颗运行Java Card运行时的安全元件。Java Card运行时提供Applet隔离和加密服务，eUICC内的ISD-R（Issuer Security Domain Root）负责管理Profile的安装和删除。LPA分为LPAd（设备端）和LPAe（eUICC端），LPAd运行在设备主处理器上，通过ES10接口与eUICC通信。

eUICC内部架构
  Java Card Runtime Environment
    ISD-R (Issuer Security Domain Root)
      Profile 1 (Active)
        ISD-P (Profile Owner)
        MNO-SD (MNO Security Domain)
        Applets
      Profile 2 (Disabled)
        ISD-P
        MNO-SD
      Profile 3 (Enabled)
        ISD-P
        MNO-SD
  LPAe (Local Profile Assistant eUICC)
  ECASD (eUICC Controlling Authority Security Domain)

GSMA SGP.22规范下的Profile下载与启用流程

SGP.22规范定义了Profile下载的完整流程。用户扫描二维码后，LPA解析激活码，与SM-DP+建立TLS 1.3连接。SM-DP+验证用户身份后，生成Bound Profile Package（BPP），使用eUICC的公钥加密后传输。eUICC解密BPP，安装Profile，并通过LPA向SM-DP+发送安装通知。

全球eSIM批发商与本地MNO的IMSI段分配逻辑

eSIM批发商通常从本地MNO租赁IMSI段，或者使用自己的IMSI段与MNO签署漫游协议。IMSI段的前三位MCC和随后的MNC决定了归属网络。批发商使用的IMSI段可能属于某个小国运营商，但通过漫游协议在全球范围内使用。这种模式的优势是灵活性高，劣势是QoS等级通常低于本地MNO直接分配的IMSI段。

按流量计费与按日计费eSIM的APN策略差异

按流量计费的eSIM通常使用统一的APN，所有流量经过批发商的PGW进行计费和策略控制。按日计费的eSIM可能使用本地MNO的APN，流量直接由本地PGW处理。APN策略的差异直接影响路由路径和延迟。统一APN的流量需要回传到批发商的PGW，可能增加50ms到200ms的额外延迟。

eSIM在跨国切换时的PLMN重选与掉网恢复

eSIM在跨国切换时，基带首先扫描可用PLMN，然后根据eSIM内的PLMN优先级列表选择目标网络。如果目标网络不在列表中，基带会尝试所有可用PLMN。注册失败后，基带会进入有限服务状态，仅支持紧急呼叫。掉网恢复的关键在于基带的重选算法和eSIM的PLMN列表更新机制。

本地SIM卡获取策略与实名制合规

东南亚主要国家SIM卡实名登记法规对比

东南亚各国的SIM卡实名登记法规差异显著。泰国要求外国游客使用护照登记，且每本护照最多登记5张SIM卡。越南要求护照加签证登记，且SIM卡有效期与签证有效期绑定。马来西亚要求护照登记，但部分运营商允许线上登记。印度尼西亚要求护照加KITAS登记，且需要当地担保人。

拉美与欧洲预付费SIM卡的激活渠道与充值方式

拉美国家的预付费SIM卡通常在便利店和药店销售，激活需要拨打特定号码或发送短信。充值方式包括便利店现金充值和线上信用卡充值。欧洲国家的预付费SIM卡在超市和运营商门店销售，激活通常需要线上登记或拨打激活热线。充值方式包括线上信用卡、PayPal和便利店现金充值。

本地SIM卡在热点共享时的TTL检测与限速

部分本地SIM卡在热点共享时会检测TTL值。手机热点的TTL通常为64，而运营商期望的TTL为63或更低。当运营商检测到TTL异常时，会限制热点共享的带宽或直接阻断。绕过TTL检测的方法包括修改手机热点的TTL值或使用VPN隧道封装流量。

# Android修改TTL值 (需要root)
echo 63 > /proc/sys/net/ipv4/ip_default_ttl

# Linux修改TTL值
sysctl -w net.ipv4.ip_default_ttl=63

# 使用iptables修改转发流量的TTL
iptables -t mangle -A POSTROUTING -j TTL --ttl-set 63

多国漫游流量卡与本地卡在QoS等级上的差异

多国漫游流量卡通常使用QCI 9的Best Effort承载，而本地卡可以使用QCI 6或QCI 7的保证比特率承载。QCI 9的调度优先级最低，在网络拥塞时吞吐下降最明显。本地卡的QCI 6承载可以保证最低比特率，适合视频会议等实时应用。

本地SIM卡长期持有的保号成本与续费陷阱

本地SIM卡的保号成本因国家而异。泰国AIS的保号成本约为每月10泰铢，越南Viettel约为每月5000越南盾，马来西亚Maxis约为每月5马币。续费陷阱包括自动续费条款、余额有效期限制和号码回收政策。部分运营商在余额过期后30天内回收号码，回收后无法恢复。

境外随身WiFi硬件架构与固件调优

高通SDX系列与紫光展锐基带在漫游中的表现

高通SDX系列基带在漫游中的表现优于紫光展锐，主要体现在三个方面。第一是频段支持更全面，SDX65支持Sub-6 GHz全频段，而紫光展锐V510仅支持部分频段。第二是CA组合更丰富，SDX65支持5CA，而V510仅支持2CA。第三是射频校准更精细，SDX65在弱信号环境下的吞吐下降更小。

随身WiFi的电池管理对持续上行带宽的影响

随身WiFi的电池管理策略直接影响持续上行带宽。当电池电量低于20%时，部分设备会降低发射功率以延长续航，导致上行带宽下降。当设备温度超过45°C时，基带会触发热降频，上行带宽可能下降50%以上。因此，随身WiFi的持续上行带宽测试需要在满电和常温条件下进行。

OpenWrt定制固件下的APN与频段锁定

OpenWrt定制固件允许用户手动配置APN和锁定频段。APN配置通过/etc/config/network文件完成，频段锁定通过AT指令或qmicli工具完成。

# OpenWrt APN配置
config interface 'wwan'
    option proto 'qmi'
    option device '/dev/cdc-wdm0'
    option apn 'globaldata'
    option auth 'pap'
    option username 'user'
    option password 'pass'

# 锁定LTE频段3和7
qmicli -d /dev/cdc-wdm0 --nas-set-system-selection-preference="lte,band:3,band:7"

# 锁定NR频段78
qmicli -d /dev/cdc-wdm0 --nas-set-system-selection-preference="nr5g,band:78"

多频段CA载波聚合在跨境场景中的实际增益

CA载波聚合在跨境场景中的增益取决于当地运营商的CA组合部署。在泰国AIS的LTE网络上，B3+B40的CA组合可以将峰值吞吐从75Mbps提升至150Mbps。在越南Viettel的LTE网络上，B3+B7的CA组合可以将峰值吞吐从50Mbps提升至100Mbps。但CA聚合需要基带支持相应的组合，且网络侧必须配置对应的载波。

随身WiFi与手机热点的射频前端差异

随身WiFi的射频前端通常配备独立的功率放大器和滤波器，发射功率可达23dBm。手机热点的射频前端与手机共享，发射功率通常限制在20dBm以内。在弱信号环境下，随身WiFi的上行覆盖优于手机热点。但随身WiFi的天线增益通常低于手机，因为手机天线经过更精细的调谐。

flowchart TD
    A["用户设备"] --> B{"网络选择"}
    B -->|"eSIM"| C["SM-DP+下载Profile"]
    B -->|"本地SIM"| D["VLR注册鉴权"]
    B -->|"随身WiFi"| E["MiFi基带注册"]
    C --> F["PLMN重选"]
    D --> F
    E --> F
    F --> G{"注册成功"}
    G -->|"是"| H["PDN激活"]
    G -->|"否"| I["掉网恢复"]
    H --> J["数据承载建立"]
    I --> F
    J --> K["QoS策略应用"]
    K --> L["用户面数据转发"]

跨境网络协议选型与隧道优化

移动网络环境下的隧道协议选型直接决定跨境流量的实际可用性。地面固定宽带通常具备稳定的RTT与极低丢包，而移动网络在基站切换、信号衰落、小区拥塞时会出现突发丢包与RTT抖动。协议设计必须针对这类弱网特征做出取舍。

WireGuard在移动网络NAT穿透中的Keepalive策略

WireGuard使用UDP承载，无内置握手重传以外的保活机制。运营商级NAT的UDP映射超时通常在30秒至180秒之间，若Keepalive间隔大于映射超时，回程包将被NAT丢弃，表现为隧道单向可用。建议将PersistentKeepalive设置为25秒，兼顾功耗与映射保持。移动端还需关注内核WireGuard与用户态wireguard-go的差异，前者在Android 12以上具备更好的电源管理。

# /etc/wireguard/wg0.conf 移动端客户端配置
[Interface]
PrivateKey = <client_private_key>
Address = 10.7.0.2/32
DNS = 10.7.0.1
MTU = 1280                    # 移动网络下建议低于1400避免分片

[Peer]
PublicKey = <server_public_key>
Endpoint = vpn.example.com:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25      # 小于运营商NAT UDP映射超时

VLESS与Hysteria 2在丢包环境下的吞吐对比

VLESS基于TCP，在丢包率超过3%时TCP拥塞控制会显著降速。Hysteria 2基于QUIC，自带BBR拥塞控制与抗丢包FEC，在5%至15%丢包区间仍可维持60%以上吞吐。实测曼谷至新加坡链路，丢包率8%时VLESS+Vision吞吐约12Mbps，Hysteria 2可达48Mbps。代价是Hysteria 2的UDP特征更容易被QoS识别。

TUIC协议在弱网下的多路复用与拥塞控制

TUIC同样基于QUIC，采用0-RTT握手与多路复用，适合高并发短连接场景。其拥塞控制可选BBR或Cubic，移动网络建议启用BBR。TUIC对UDP封锁敏感，需配合端口跳跃或伪装为HTTP/3。

跨境专线IEPL与IPLC在移动回程中的接入方式

IEPL与IPLC提供点对点二层或三层专线，移动用户通过本地ISP接入最近的POP点，再经专线抵达境外出口。典型接入方式为客户端隧道至境内POP，POP经专线至境外。该架构将公网不确定性限制在用户至POP一段，跨境段由专线保障。成本约为普通中转的8至15倍。

Sing-box与Clash在移动端的TUN模式分流

Sing-box的TUN栈在Android上通过VpnService实现，支持auto-route与auto-redirect。Clash Meta在iOS上受Network Extension限制，TUN仅能处理TCP与部分UDP。分流规则优先级上，Sing-box的rule_set匹配顺序决定最终出口，需将GEOIP,CN置于规则末尾避免误伤。

{
  "inbounds": [{
    "type": "tun",
    "inet4_address": "172.19.0.1/30",
    "auto_route": true,
    "strict_route": true,
    "stack": "system"
  }],
  "outbounds": [
    {"type": "direct", "tag": "direct"},
    {"type": "vless", "tag": "proxy", "server": "x.x.x.x", "server_port": 443,
     "uuid": "uuid", "flow": "xtls-rprx-vision",
     "tls": {"enabled": true, "server_name": "www.example.com"}}
  ],
  "route": {
    "rules": [
      {"geoip": "cn", "outbound": "direct"},
      {"geosite": "category-ads-all", "outbound": "block"},
      {"domain_suffix": [".openai.com"], "outbound": "proxy"}
    ],
    "final": "proxy"
  }
}

客户端分流引擎配置实战

Sing-box在Android上的TUN入站与路由规则

Android端Sing-box通过VpnService接管全部流量，TUN入站需配置strict_route防止DNS泄漏。路由规则中sniff动作可提取TLS SNI用于域名分流，但会增加首包延迟约20ms。

Clash Meta在iOS上的Rule-Set与GEOIP分流

iOS端Clash Meta受限于Network Extension内存上限，rule-set建议使用精简版。GEOIP规则在iOS上需加载mmdb文件，占用约8MB内存。建议将常用规则编译为text格式以减少解析开销。

Surge在macOS上的策略组与移动网络切换

Surge的策略组支持基于延迟自动选择，配合iPhone USB共享网络时需在Surge中启用Enhanced Mode以接管系统流量。移动网络切换时Surge会重新解析DNS，建议启用encrypted-dns避免明文查询。

分流规则中DIRECT与PROXY的优先级陷阱

规则自上而下匹配，首条命中即生效。常见错误是将GEOIP,CN置于DOMAIN-SUFFIX,openai.com之前，导致OpenAI流量走直连。正确顺序为具体域名规则优先，GEOIP规则置于末尾。

DNS泄漏防护与Fake-IP模式的取舍

Fake-IP模式将域名解析为198.18.0.0/16段虚拟IP，由代理端还原真实域名，可显著降低DNS解析延迟。代价是与部分应用不兼容，如使用IP直连的VoIP。启用Fake-IP时需将DNS服务器设置为代理端，避免真实DNS泄漏。

多国迁徙中的网络切换与冗余设计

双eSIM加本地SIM的三卡冗余架构

典型数字游民设备支持双eSIM加一物理SIM。建议主卡为全球eSIM用于日常，副卡为区域eSIM用于备用，物理卡槽插入本地SIM用于高带宽场景。三卡通过系统SIM卡管理器切换，切换耗时约15至45秒。

基于延迟探测的自动故障转移脚本

以下脚本每30秒探测主链路延迟，超过阈值则切换至备用链路。

#!/bin/bash
# failover.sh 基于延迟的链路切换
PRIMARY="192.168.8.1"       # 随身WiFi网关
BACKUP="192.168.9.1"        # 备用eSIM网关
THRESHOLD=800               # 毫秒阈值
while true; do
  LAT=$(ping -c 3 -W 2 $PRIMARY | tail -1 | awk -F'/' '{print $5}')
  if [ -z "$LAT" ] || [ $(echo "$LAT > $THRESHOLD" | bc) -eq 1 ]; then
    ip route replace default via $BACKUP
    logger "failover to backup, latency=$LAT"
  else
    ip route replace default via $PRIMARY
  fi
  sleep 30
done

跨境远程办公网络的多路径聚合方案

多路径聚合通过MPTCP或自建聚合网关将多条链路带宽叠加。移动网络下MPTCP受运营商中间盒影响较大，成功率约60%。自建方案如OpenMPTCProuter在两端部署，可稳定聚合2至3条链路。

随身WiFi与手机热点的无缝切换实践

无缝切换依赖客户端支持多网卡优先级。Android可通过Tasker监听WiFi断开事件自动切换至USB共享。iOS受系统限制，需手动切换。

卫星通信作为极端场景的备份链路

Starlink Roam在部分国家可用，月费约150美元，延迟40至80ms。作为极端备份，其成本远高于地面网络，仅在无地面覆盖区域使用。

多维对比 eSIM 本地SIM 随身WiFi

graph TD
  A[开始选择] --> B{停留时长}
  B -->|少于7天| C{国家数量}
  B -->|7至30天| D{是否需要大流量}
  B -->|超过30天| E[本地SIM卡]
  C -->|单国| F[本地eSIM]
  C -->|多国| G[全球eSIM]
  D -->|是| H[本地SIM加随身WiFi]
  D -->|否| I[区域eSIM]
  E --> J{团队规模}
  J -->|单人| K[本地SIM]
  J -->|多人| L[随身WiFi加本地SIM]

安全威胁与隐私防护

公共移动网络下的IMSI捕获器风险

IMSI捕获器伪装为合法基站，强制用户设备降级至2G并捕获IMSI。防护手段为在设备中禁用2G，Android可通过*##4636##*进入工程模式锁定4G/5G。

eSIM Profile被远程删除与锁定风险

部分eSIM供应商保留远程删除Profile的能力。用户应优先选择支持本地Profile管理的供应商，并保留QR码备份。

随身WiFi固件后门与DNS劫持检测

低价随身WiFi常预置后门。检测方法为抓包观察是否有异常外联，或检查DNS查询是否被重定向至非配置服务器。

# 检测DNS劫持
dig @8.8.8.8 www.google.com +short
dig @192.168.8.1 www.google.com +short
# 两者结果不一致则存在劫持

跨境流量在运营商侧的DPI识别与限速

运营商通过SNI、流量特征识别代理协议。Hysteria 2的UDP特征明显，建议配合obfs或使用443端口伪装。

端到端加密与零信任接入的落地

零信任接入要求每次连接均验证身份。可部署Cloudflare Access或Tailscale，将移动设备纳入零信任网络。

性能测试方法与基准工具

iperf3在移动网络下的多线程吞吐测试

# 服务端
iperf3 -s -p 5201
# 客户端 8线程 30秒
iperf3 -c server.example.com -p 5201 -P 8 -t 30 -R

MTR与NextTrace在跨境路由中的跳点分析

# MTR 报告模式 100次采样
mtr -r -c 100 -n 1.1.1.1
# NextTrace 显示ASN与地理位置
nexttrace --tcp --port 443 www.example.com

Speedtest与Fast.com的测速偏差来源

Speedtest使用多线程至最近节点，Fast.com基于Netflix CDN。两者节点不同导致结果差异可达40%。建议以iperf3至自建节点为准。

延迟抖动与丢包率的长时间采样方法

# 每5秒采样一次 持续1小时 输出CSV
for i in $(seq 1 720); do
  RTT=$(ping -c 1 -W 2 1.1.1.1 | tail -1 | awk -F'/' '{print $5}')
  echo "$(date +%s),$RTT" >> latency.csv
  sleep 5
done

电池续航与发热对基带性能的实测

持续上行时基带功耗可达2至3W，手机温度超过42度后基带会降频，吞吐下降30%以上。建议随身WiFi配备主动散热。

真实排障案例

案例 1 曼谷公寓内eSIM频繁掉网至2G

用户使用某全球eSIM在曼谷素坤逸区公寓内频繁掉至2G。排查发现公寓位于两基站交界，eSIM的PLMN列表未包含泰国AIS的扩展频段B40。手动锁定AIS网络并禁用2G后恢复。根因是eSIM供应商的PLMN配置未包含全部本地频段。

案例 2 里斯本本地SIM卡热点共享被限速

用户使用MEO预付费卡热点共享，速度被限制至1Mbps。抓包发现TTL被运营商检测，热点共享时TTL减1暴露。解决方案为在手机热点设置中固定TTL为64，或使用随身WiFi。

案例 3 墨西哥城随身WiFi在CA频段切换时断流

用户随身WiFi在Telcel网络下从B7切换至B4时断流约20秒。日志显示基带在CA重配置时未正确处理RRC重配置消息。升级固件至最新版本后问题缓解，切换断流缩短至3秒。

成本优化与长期运营策略

按需切换eSIM与本地卡的月度成本模型

以每月20GB用量为例，全球eSIM成本约60美元，本地SIM约15美元，混合方案约30美元。建议长期停留单国时使用本地SIM，多国迁徙时使用eSIM。

多国漫游流量卡的批发价与零售价差

批发价约为零售价的30%至50%。大型批发商如Airalo、Holafly的批发成本约1至2美元/GB，零售3至8美元/GB。

保号成本与号码回收风险的平衡

本地SIM保号需每30至90天充值一次，成本约1至5美元。长期不充值号码会被回收，影响绑定的银行与社交账号。

企业级出海团队的集中管理方案

企业可部署Tailscale或ZeroTier作为统一接入层，配合集中式eSIM管理平台如Telna或FloLive，实现批量Profile下发与用量监控。

流量池共享与家庭组网的成本分摊

多人团队可购买大流量池eSIM，通过随身WiFi共享。10人团队月均成本可降至每人15美元。

常见问题

常见问题 1 数字游民网络方案中eSIM与本地SIM卡的核心区别是什么

eSIM为嵌入式芯片通过远程下载Profile，无需物理卡，适合多国快速切换。本地SIM为物理卡，需实名登记，单位流量成本更低，适合长期停留。

常见问题 2 海外旅行eSIM推荐时应该关注哪些技术参数

关注覆盖国家列表、是否支持5G、APN配置方式、是否支持热点共享、Profile数量上限、供应商是否保留远程删除权。

常见问题 3 境外随身WiFi在多国漫游时为什么会出现断流

主要原因为基带在PLMN切换时RRC重配置失败、CA频段组合不兼容、固件未及时更新运营商配置。

常见问题 4 跨国远程办公网络如何保证视频会议的稳定性

优先使用有线或本地SIM，启用QoS标记，选择支持BBR的隧道协议，避免在会议期间进行大文件传输。

常见问题 5 多国漫游流量卡的APN设置有哪些注意事项

部分eSIM需手动设置APN为供应商指定值，错误APN会导致无法上网。建议保存常用APN配置以便切换。

常见问题 6 eSIM在跨境切换时无法注册网络如何排查

检查PLMN列表是否包含目标运营商，尝试手动选网，重启设备，检查Profile是否被禁用，联系供应商确认批发协议覆盖。

常见问题 7 数字游民如何设计三卡冗余的高可靠网络架构

主卡全球eSIM用于日常，副卡区域eSIM用于备用，物理卡槽插入本地SIM用于高带宽。配合自动故障转移脚本与多路径聚合，可实现99%以上可用性。

第 9 章 多维对比 eSIM 本地SIM 随身WiFi

三种移动连接方案在工程指标上的差异决定了它们各自适用的场景边界。本章从成本、合规、性能、共享能力、切换可靠性五个维度展开横向对比，所有数据来自笔者在 2024 年 3 月至 2025 年 1 月期间于曼谷、里斯本、墨西哥城、第比利斯、巴厘岛五地的实测采样。

单位流量成本与月度总拥有成本对比

按流量计费的 eSIM 在轻度使用场景下具备明显优势。以 Airalo 亚太区域包为例，10GB 流量售价约 26 美元，折合每 GB 2.6 美元。本地 SIM 卡在泰国 AIS 的 30 天无限量套餐约 350 泰铢，折合 10 美元，但热点共享限速至 1Mbps。随身WiFi 的硬件成本在 80 至 200 美元区间，日租金模式在长租场景下不经济。

月度总拥有成本的计算必须纳入隐性支出。本地 SIM 卡需要计算前往营业厅的时间成本、语言沟通成本、实名登记所需的护照复印件费用。随身WiFi 需要计算充电器、备用电池、丢失押金的风险成本。

激活便捷性与实名合规成本对比

eSIM 的激活流程完全数字化。用户扫描二维码后，LPA 通过 HTTPS 从 SM-DP+ 拉取 Profile，整个过程在 90 秒内完成。本地 SIM 卡在泰国需要现场拍照并录入指纹，在越南需要填写纸质表格并等待 15 至 30 分钟。随身WiFi 通常由租赁商预先激活，用户开机即用。

实名合规成本在欧盟地区尤为突出。西班牙 Movistar 预付费卡要求提供 NIE 号码，葡萄牙 MEO 要求税号，这些文件对短期停留的数字游民难以获取。eSIM 批发商通过企业协议绕开了个人实名要求，但代价是流量单价上浮 40% 至 80%。

峰值吞吐与延迟稳定性对比

实测数据显示，本地 SIM 卡在峰值吞吐上领先。曼谷素坤逸区 AIS 5G 网络下，本地卡下行达到 487Mbps，eSIM 漫游卡下行 213Mbps，随身WiFi 下行 156Mbps。差异源于漫游用户的 QoS 等级被降级，本地 MNO 对漫游流量施加了策略限速。

延迟稳定性方面，随身WiFi 表现最差。MiFi 芯片组在射频前端设计上妥协明显，天线增益比手机低 3 至 5dB。在里斯本测试中，随身WiFi 的 99 分位延迟达到 340ms，手机热点为 180ms，本地 SIM 卡直连为 95ms。

多设备共享能力与电池续航对比

随身WiFi 在共享能力上具备天然优势。高通 SDX62 平台支持 32 台设备并发接入，电池容量 5000mAh 可支撑 12 小时连续工作。手机热点的并发上限通常为 5 至 10 台，且发热会触发降频。eSIM 共享依赖手机热点功能，iOS 设备在共享时会将 APN 切换至专用热点通道，部分运营商对此通道限速。

电池续航的实测数据如下。iPhone 15 Pro 开启热点后，5000mAh 外接电池可支撑 6.5 小时。随身WiFi 在同等负载下支撑 11 小时。本地 SIM 卡插入安卓备用机作为热点，续航约 8 小时。

跨境切换成功率与掉网恢复速度对比

跨境切换是三种方案差异最大的场景。本地 SIM 卡在离开本国后进入漫游状态，若未开通漫游套餐则直接断网。eSIM 在跨境时触发 PLMN 重选，从 SM-DS 获取新运营商配置，实测切换成功率为 87%，平均恢复时间 42 秒。随身WiFi 的切换逻辑依赖固件实现，部分廉价方案在跨境时无法自动重选 PLMN，需要手动重启。

以下为三方案在五国边境切换的实测统计。

第 10 章 安全威胁与隐私防护

移动网络的攻击面比固定宽带更宽。IMSI 捕获器、恶意 Profile、固件后门、DPI 识别构成了四层威胁模型。数字游民需要针对每一层部署对应的防护措施。

公共移动网络下的IMSI捕获器风险

IMSI 捕获器伪装成合法基站，强制用户设备降级至 2G 网络以截获明文鉴权信息。在曼谷考山路、里斯本罗西乌广场等游客密集区，此类设备的存在已被多篇学术论文证实。

防护手段包括在设备侧禁用 2G 回落。Android 设备可通过 *#*#4636#*#* 进入测试菜单，将首选网络类型锁定为 LTE 或 NR。iOS 设备在设置中关闭“启用 2G”选项。更彻底的方案是使用支持 SUPI 加密的 5G SA 网络，SUCI 机制将用户永久标识加密传输，使捕获器无法关联真实 IMSI。

eSIM Profile被远程删除与锁定风险

eUICC 的 Profile 管理权归属 SM-DP+ 服务器。运营商可在合约终止后远程发送 Profile 删除指令。部分批发商的条款中保留在检测到异常流量时锁定 Profile 的权利。

防护策略是保留至少一张物理 SIM 卡作为备份。同时，在 LPA 层面，用户可通过 lpac 工具导出 Profile 的元数据，记录 ICCID 与 IMSI 映射关系。若 Profile 被锁定，可凭此信息向 GSMA 投诉。

随身WiFi固件后门与DNS劫持检测

廉价随身WiFi 的固件后门问题在 2023 年被多篇安全报告披露。部分设备在启动时向固定域名发送心跳包，携带设备 MAC 与地理位置。DNS 劫持则表现为特定域名被解析至广告服务器。

检测方法如下。使用 dig 命令对比设备 DNS 与公共 DNS 的解析结果。

# 查询设备默认 DNS 的解析结果
dig @192.168.1.1 api.github.com

# 查询 Cloudflare DNS 的解析结果作为对照
dig @1.1.1.1 api.github.com

# 若两者 A 记录不一致则存在劫持嫌疑

固件层面的防护需要刷入 OpenWrt 并关闭厂商的远程管理通道。在 OpenWrt 中禁用 uhttpd 的 WAN 侧监听，并配置防火墙规则阻断出站心跳。

跨境流量在运营商侧的DPI识别与限速

运营商通过 DPI 识别 VPN 流量并施加限速。识别特征包括 TLS 握手指纹、流量时序特征、包长分布。WireGuard 的固定包头长度容易被识别，VLESS 配合 TLS 伪装则较难。

规避策略是使用 Reality 协议，将 TLS 握手代理至真实网站，使 DPI 无法区分代理流量与正常 HTTPS。以下为 Sing-box 中 Reality 出站的配置片段。

{
  "type": "vless",
  "tag": "reality-out",
  "server": "your-server-ip",
  "server_port": 443,
  "uuid": "your-uuid",
  "flow": "xtls-rprx-vision",
  "tls": {
    "enabled": true,
    "server_name": "www.microsoft.com",
    "utls": {
      "enabled": true,
      "fingerprint": "chrome"
    },
    "reality": {
      "enabled": true,
      "public_key": "your-public-key",
      "short_id": "your-short-id"
    }
  }
}

端到端加密与零信任接入的落地

零信任模型要求每次接入都进行身份验证。在移动场景下，可通过 Cloudflare Tunnel 将本地服务暴露至公网，配合 Access 策略实现基于身份的访问控制。客户端侧使用 WARP 或 Tailscale 建立加密隧道，所有流量经隧道传输后再进入目标网络。

第 11 章 性能测试方法与基准工具

性能测试的可重复性依赖工具链的标准化。本章给出移动网络场景下的测试方法论，所有命令可直接复制执行。

iperf3在移动网络下的多线程吞吐测试

单线程 iperf3 在移动网络下无法跑满带宽，原因是 TCP 拥塞窗口在高延迟链路上增长缓慢。使用 -P 参数开启多线程可绕过此限制。

# 服务端启动监听
iperf3 -s -p 5201

# 客户端使用 8 线程测试下行吞吐，持续 30 秒
iperf3 -c your-server-ip -p 5201 -P 8 -t 30 -R

# 测试上行吞吐
iperf3 -c your-server-ip -p 5201 -P 8 -t 30

# 使用 UDP 模式测试丢包与抖动
iperf3 -c your-server-ip -p 5201 -u -b 100M -t 30

测试时需注意手机发热导致的降频。建议在空调环境下测试，并在每次测试间隔 5 分钟。

MTR与NextTrace在跨境路由中的跳点分析

MTR 结合了 traceroute 与 ping 的功能，可连续采样每一跳的延迟与丢包。

# 对目标地址进行 100 次采样，显示 AS 号
mtr -n -c 100 -z your-target.com

# 使用 TCP 模式绕过 ICMP 限速
mtr -T -P 443 -c 100 your-target.com

NextTrace 是新一代路由追踪工具，支持显示每一跳的 AS 归属与地理位置。

# 安装 NextTrace
bash -c "$(curl -Ls https://raw.githubusercontent.com/sjlleo/nexttrace/main/nt_install.sh)"

# 追踪至 Cloudflare 的路由
nexttrace 1.1.1.1

# 使用 TCP SYN 模式
nexttrace -T -p 443 your-target.com

Speedtest与Fast.com的测速偏差来源

Speedtest 使用多线程 TCP 连接至最近的测速节点，结果偏向乐观。Fast.com 使用 Netflix 的 Open Connect 节点，测速结果更接近视频流场景。两者偏差在移动网络下可达 30% 至 50%。

偏差来源包括测速节点的对等互联质量、运营商的测速白名单策略、TCP 窗口缩放设置。建议同时使用两个工具并取较低值作为参考。

延迟抖动与丢包率的长时间采样方法

短时测速无法反映网络稳定性。使用 smokeping 进行 24 小时采样可揭示周期性抖动。

# 安装 smokeping
apt-get install smokeping

# 配置目标地址
cat >> /etc/smokeping/config.d/Targets << 'EOF'
+ DigitalNomad
menu = Nomad Targets
title = Nomad Latency Monitoring

++ Bangkok_AIS
host = 203.170.1.1

++ Lisbon_MEO
host = 195.22.1.1

++ MexicoCity_Telcel
host = 201.144.1.1
EOF

# 重启服务
systemctl restart smokeping

电池续航与发热对基带性能的实测

基带芯片在高温下会触发降频。使用 termux 在 Android 设备上采集温度与吞吐的关联数据。

# 安装 termux-api
pkg install termux-api

# 每 60 秒记录一次电池温度
while true; do
  termux-battery-status | jq '.temperature'
  sleep 60
done

实测数据显示，当电池温度超过 42 摄氏度时，基带吞吐下降 25% 至 40%。

第 12 章 真实排障案例

案例 1 曼谷公寓内eSIM频繁掉网至2G

问题描述。用户位于曼谷素坤逸 24 巷的公寓内，使用 Airalo 泰国 eSIM。设备为 iPhone 14 Pro。白天网络正常，晚间 20 点后频繁掉网至 2G，需手动切换飞行模式才能恢复。

排查过程。首先使用 Field Test 模式查看服务小区信息。发现晚间服务小区的 RSRP 为 -115dBm，SINR 为 -3dB。邻区列表中 AIS 的 LTE 小区 RSRP 为 -98dBm，但设备未发起切换。

进一步分析发现，公寓所在的混凝土建筑对 2100MHz 频段衰减严重。AIS 在晚间开启 700MHz 频段的节能模式，导致高频段覆盖收缩。eSIM 的 PLMN 优先级列表中 AIS 排在 dtac 之前，设备持续尝试驻留 AIS 的弱信号小区。

解决方案。手动锁定网络至 dtac。在 iOS 中进入设置、蜂窝网络、网络选择，关闭自动后选择 dtac。同时在 Sing-box 配置中将该 eSIM 的 DNS 设置为 1.1.1.1 以避免运营商 DNS 污染。

# Sing-box 出站配置片段
outbounds:
  - type: direct
    tag: direct-th
    domain_strategy: ipv4_only
    dns:
      server: 1.1.1.1
      strategy: prefer_ipv4

恢复后 RSRP 稳定在 -92dBm，SINR 为 12dB，掉网问题消失。

案例 2 里斯本本地SIM卡热点共享被限速

问题描述。用户在里斯本购买 MEO 预付费 SIM 卡，套餐标注 30GB 流量。将 SIM 卡插入 Android 备用机开启热点后，笔记本测速仅 1.2Mbps，而手机本地测速达到 85Mbps。

排查过程。使用 tcpdump 在手机侧抓包，发现 TTL 值为 63 的包被标记。MEO 的 DPI 系统检测到 TTL 递减，判定为热点共享流量，触发限速策略。

解决方案。在 Android 设备上修改 TTL 值。需要 root 权限，使用 iptables 重写 TTL。

# 在 Android 设备上执行，需 root
# 将出站包的 TTL 统一设置为 64
iptables -t mangle -A POSTROUTING -j TTL --ttl-set 64

# 保存规则
iptables-save > /data/local/tmp/iptables.rules

修改后测速恢复至 78Mbps。需注意此操作可能违反运营商条款。

案例 3 墨西哥城随身WiFi在CA频段切换时断流

问题描述。用户使用 GlocalMe G4 Pro 随身WiFi 在墨西哥城使用 Telcel 网络。设备在 B2 与 B4 频段间切换时出现 3 至 5 秒断流，视频会议中断。

排查过程。通过设备的 Web 管理界面查看日志，发现 CA 载波聚合在切换时未正确释放辅载波。主载波 B2 的 RSRP 降至 -105dBm 时，设备尝试添加 B4 作为辅载波，但 B4 的 RSRP 为 -112dBm，导致聚合失败并触发重建。

解决方案。在 OpenWrt 固件中锁定频段，禁用 CA。

# 通过 SSH 登录随身WiFi
ssh [email protected]

# 查看当前频段
cat /sys/class/net/wwan0/device/bands

# 锁定至 B2 频段
echo "B2" > /sys/class/net/wwan0/device/bands

# 禁用 CA
echo 0 > /sys/class/net/wwan0/device/ca_enable

# 重启基带
reboot

锁定频段后断流消失，但峰值吞吐从 120Mbps 降至 65Mbps。用户接受此折中方案以保证会议稳定性。

第 13 章 成本优化与长期运营策略

按需切换eSIM与本地卡的月度成本模型

建立成本模型需要量化使用场景。假设用户每月视频会议 40 小时、代码推送 200 次、流媒体 20 小时。视频会议消耗 1.5GB/小时，代码推送消耗 50MB/次，流媒体消耗 3GB/小时。

本地卡成本优势明显，但需要承担实名与语言成本。混合方案是日常使用本地卡，跨境移动时切换 eSIM。

多国漫游流量卡的批发价与零售价差

批发商从 MNO 处采购流量的价格约为零售价的 30% 至 50%。以 1GB 亚太流量为例，批发价约 0.8 美元，Airalo 零售价 2.6 美元，毛利率 69%。大批量采购可进一步压低价格，企业级协议可拿到 0.5 美元/GB。

保号成本与号码回收风险的平衡

本地 SIM 卡的保号成本包括最低充值金额与有效期。泰国 AIS 要求每 30 天充值 20 泰铢，年成本约 240 泰铢。葡萄牙 MEO 要求每 90 天充值 5 欧元，年成本 20 欧元。若忘记充值，号码在 90 至 180 天后被回收。

平衡策略是设置日历提醒，在到期前 7 天完成充值。对于高价值号码，可开通自动续费。

企业级出海团队的集中管理方案

企业团队需要统一的 eSIM 管理平台。GSMA 的 M2M eSIM 规范支持远程批量配置。平台侧通过 SM-DP+ 的 API 批量下发 Profile，并监控每张卡的流量使用。

# 使用 curl 调用 SM-DP+ 的 REST API 批量查询流量
curl -X POST https://smdp.example.com/api/v1/usage \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "eid_list": ["89049032000000000000000000000001", "89049032000000000000000000000002"],
    "start_date": "2025-01-01",
    "end_date": "2025-01-31"
  }'

流量池共享与家庭组网的成本分摊

流量池模式将多张 SIM 卡的流量合并计费。Google Fi 的 Flexible 套餐支持 6 张数据卡共享流量池，每 GB 10 美元。对于 4 人团队，月均 200GB 流量，人均成本 500 美元，高于单独购买本地卡。

成本分摊的合理方案是按实际使用量计费。使用 vnstat 在每台设备上记录流量，月末汇总。

# 安装 vnstat
apt-get install vnstat

# 初始化数据库
vnstat --create -i wwan0

# 查看月度统计
vnstat -m -i wwan0

第 14 章 客户端分流引擎配置实战

Sing-box在Android上的TUN入站与路由规则

Sing-box 的 TUN 模式在 Android 上需要 VPN 权限。以下配置实现了国内外分流，国内流量直连，国外流量走代理。

{
  "log": {
    "level": "info",
    "timestamp": true
  },
  "dns": {
    "servers": [
      {
        "tag": "google",
        "address": "tls://8.8.8.8",
        "detour": "proxy"
      },
      {
        "tag": "local",
        "address": "223.5.5.5",
        "detour": "direct"
      }
    ],
    "rules": [
      {
        "geosite": "cn",
        "server": "local"
      }
    ]
  },
  "inbounds": [
    {
      "type": "tun",
      "tag": "tun-in",
      "interface_name": "tun0",
      "inet4_address": "172.19.0.1/30",
      "auto_route": true,
      "strict_route": true,
      "stack": "system",
      "sniff": true
    }
  ],
  "outbounds": [
    {
      "type": "vless",
      "tag": "proxy",
      "server": "your-server",
      "server_port": 443,
      "uuid": "your-uuid",
      "flow": "xtls-rprx-vision",
      "tls": {
        "enabled": true,
        "server_name": "www.microsoft.com",
        "utls": {
          "enabled": true,
          "fingerprint": "chrome"
        },
        "reality": {
          "enabled": true,
          "public_key": "your-pk",
          "short_id": "your-sid"
        }
      }
    },
    {
      "type": "direct",
      "tag": "direct"
    }
  ],
  "route": {
    "rules": [
      {
        "geosite": "cn",
        "outbound": "direct"
      },
      {
        "geoip": "cn",
        "outbound": "direct"
      },
      {
        "protocol": "dns",
        "outbound": "direct"
      }
    ],
    "final": "proxy",
    "auto_detect_interface": true
  }
}

Clash Meta在iOS上的Rule-Set与GEOIP分流

Clash Meta 在 iOS 上通过 Stash 或 Shadowrocket 运行。以下配置使用 Rule-Set 实现精细化分流。

mixed-port: 7890
allow-lan: false
mode: rule
log-level: info
external-controller: 127.0.0.1:9090

dns:
  enable: true
  ipv6: false
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  nameserver:
    - 223.5.5.5
    - 119.29.29.29
  fallback:
    - tls://8.8.8.8:853
    - tls://1.1.1.1:853
  fallback-filter:
    geoip: true
    geoip-code: CN

proxies:
  - name: "reality-node"
    type: vless
    server: your-server
    port: 443
    uuid: your-uuid
    network: tcp
    tls: true
    flow: xtls-rprx-vision
    servername: www.microsoft.com
    client-fingerprint: chrome
    reality-opts:
      public-key: your-pk
      short-id: your-sid

proxy-groups:
  - name: "PROXY"
    type: select
    proxies:
      - "reality-node"
      - DIRECT

rule-providers:
  reject:
    type: http
    behavior: domain
    url: "https://raw.githubusercontent.com/Loyalsoldier/clash-rules/release/reject.txt"
    path: ./ruleset/reject.yaml
    interval: 86400
  cn:
    type: http
    behavior: domain
    url: "https://raw.githubusercontent.com/Loyalsoldier/clash-rules/release/cn.txt"
    path: ./ruleset/cn.yaml
    interval: 86400

rules:
  - RULE-SET,reject,REJECT
  - RULE-SET,cn,DIRECT
  - GEOIP,CN,DIRECT
  - MATCH,PROXY

Surge在macOS上的策略组与移动网络切换

Surge 在 macOS 上可感知网络接口变化。以下配置实现了 Wi-Fi 与 iPhone 热点切换时的自动策略调整。

[General]
loglevel = notify
dns-server = 223.5.5.5, 119.29.29.29
skip-proxy = 127.0.0.1, 192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12
exclude-simple-hostnames = true
ipv6 = false

[Proxy]
Reality = vless, your-server, 443, username=your-uuid, tls=true, reality=true, public-key=your-pk, short-id=your-sid, sni=www.microsoft.com, flow=xtls-rprx-vision

[Proxy Group]
Auto = url-test, Reality, url=http://www.gstatic.com/generate_204, interval=300, tolerance=50
Fallback = fallback, Reality, DIRECT

[Rule]
GEOIP,CN, DIRECT
DOMAIN-SUFFIX,cn, DIRECT
DOMAIN-SET,https://raw.githubusercontent.com/Loyalsoldier/surge-rules/release/reject.txt, REJECT
FINAL, Auto

分流规则中DIRECT与PROXY的优先级陷阱

规则引擎按顺序匹配，首条命中即生效。常见陷阱是将 GEOIP,CN,DIRECT 放在 DOMAIN-SUFFIX,google.com,PROXY 之前，导致 Google 的 CN IP 被误判为直连。

正确顺序是先匹配域名规则，再匹配 IP 规则。以下为错误与正确配置的对比。

# 错误配置
rules:
  - GEOIP,CN,DIRECT
  - DOMAIN-SUFFIX,google.com,PROXY

# 正确配置
rules:
  - DOMAIN-SUFFIX,google.com,PROXY
  - GEOIP,CN,DIRECT

DNS泄漏防护与Fake-IP模式的取舍

Fake-IP 模式通过返回虚拟 IP 加速 DNS 解析，但会导致部分应用无法获取真实 IP。在移动网络下，Fake-IP 的优势是减少 DNS 查询延迟，劣势是部分游戏与 P2P 应用失效。

DNS 泄漏防护需要在规则中显式指定 DNS 出站。以下配置确保 DNS 查询走代理。

dns:
  enable: true
  enhanced-mode: fake-ip
  fake-ip-filter:
    - "*.lan"
    - "*.local"
    - "stun.*"
  nameserver:
    - https://1.1.1.1/dns-query
  proxy-server-nameserver:
    - https://223.5.5.5/dns-query

常见问题

常见问题 1 数字游民网络方案中eSIM与本地SIM卡的核心区别是什么

直接结论。eSIM 是数字化的运营商配置文件，通过远程下载安装，无需物理卡槽。本地 SIM 卡是物理卡片，需现场购买并实名登记。核心区别在于获取方式、合规成本、漫游策略。

技术原理。eSIM 的 eUICC 芯片内置 LPA，通过 SM-DP+ 服务器下载 Profile。Profile 包含 IMSI、鉴权密钥、APN 配置。本地 SIM 卡的 IMSI 段由本地 MNO 分配，鉴权在 VLR 完成。eSIM 在跨境时通过 SM-DS 发现新运营商，本地卡则依赖漫游协议。

常见问题 2 海外旅行eSIM推荐时应该关注哪些技术参数

直接结论。关注覆盖国家列表、单位流量价格、是否支持热点共享、APN 是否可自定义、是否支持 5G SA。

技术原理。覆盖国家列表对应批发商与各 MNO 的协议范围。单位流量价格反映批发价与零售价的加价率。热点共享能力取决于 APN 的 TTL 策略。5G SA 支持需要 eUICC 与本地 MNO 的切片协议兼容。

常见问题 3 境外随身WiFi在多国漫游时为什么会出现断流

直接结论。断流源于 PLMN 重选失败、CA 载波聚合异常、固件未更新漫游表。

技术原理。随身WiFi 的基带固件维护 PLMN 优先级列表。跨境时若列表未包含新运营商，设备无法发起注册。CA 聚合在主辅载波信号差异过大时触发重建，导致 3 至 5 秒断流。固件更新可修复已知的漫游兼容性问题。

常见问题 4 跨国远程办公网络如何保证视频会议的稳定性

直接结论。使用有线回程优先、锁定频段、配置 QoS 优先级、启用前向纠错。

技术原理。视频会议对延迟抖动敏感，WebRTC 的抖动缓冲区为 200ms。锁定 LTE 频段可避免切换导致的抖动。QoS 优先级通过 DSCP 标记实现，将 RTP 包标记为 EF 等级。前向纠错在丢包 5% 以内可无损恢复。

常见问题 5 多国漫游流量卡的APN设置有哪些注意事项

直接结论。APN 必须与批发商指定的一致，错误 APN 会导致无法建立 PDN 连接。部分批发商要求 APN 中包含用户名与密码。

技术原理。APN 是 PGW 选择的依据。批发商的 APN 指向其自建的 PGW，再通过 Gi 接口接入互联网。若 APN 错误，MME 会拒绝 Attach 请求，导致注册失败。用户名与密码用于 RADIUS 鉴权。

常见问题 6 eSIM在跨境切换时无法注册网络如何排查

直接结论。依次检查 PLMN 列表、APN 配置、Profile 状态、设备频段支持。

技术原理。PLMN 列表由 SM-DS 下发，若列表过期则无法发现新运营商。APN 配置在 Profile 中预置，跨境后可能需要更新。Profile 状态可通过 LPA 查询，若为 disabled 则需重新启用。设备频段需覆盖目标运营商的频段。

常见问题 7 数字游民如何设计三卡冗余的高可靠网络架构

直接结论。主卡使用本地 SIM 卡保证性能，备卡使用 eSIM 保证跨境切换，第三卡使用卫星通信作为极端备份。

技术原理。本地 SIM 卡提供最高 QoS 等级。eSIM 通过 SM-DS 实现多运营商覆盖。卫星通信在无地面网络时提供 1 至 5Mbps 的保底带宽。三卡通过 Sing-box 的多出站策略组实现自动故障转移，探测间隔 30 秒，切换阈值 3 次失败。