不过墙没有封 IP 的风险。搭代理的时候注意一是要 DD ，二是不要搞出超大境外流量出来，大概是 50-100T 的数量级。

@huangya 而且由于执行这些发包操作的实际上是内核，你贴中的猜测意味着内核出了问题，我觉得这个可能性不大。正常情况下如果更换了一个网络设备出现了问题，那么这个网络设备和原来一定有什么不一样的地方。找到这个不一样的地方就行了。

@huangya
"在该连接上的所有被 TCP 发送的 IP 数据报都将被设置 DF"，OK ，是我记错了。
最好做一下交叉测试，确定问题是谁的。比如在旧路由器上抓包，看它为什么能正常访问。再到其他设备上抓包，看看发包情况和机顶盒有什么不同。

@AlphaTauriHonda 我的情况没有屏蔽端口，是给你的 DOH 域名发 RST 。不开 DOH 服务了过几天这个域名会放出来。

TCP 的包过大还真少见，我觉得更像是机顶盒网卡的 MTU 没设置对。这个问题在其他设备上能复现么？
另外根据我的记忆你的理解是不正确的。路由中间件认为包过大解决方案是自己分包，而不是通知对端发小包。对端的发包大小就是由网卡的 MTU 决定。

不要用 dns-query ，这就是最好的办法。另外如果在墙外使用这个路径域名会被墙。

@cxtrinityy 直接搞个反代就行了，不开放任何对外权限，只开放一个内网服务器，允许访问的策略在这个服务器上做。这种简单的手段就完全绕不过去了。

顺便问个问题，不想用 vim 有什么办法远程修改文件么？ winscp 修改文件基于来回拷贝，这的确是个问题。

你的理解基本是正确的，这和 iMessage 比第三方即时通信软件危险是一个道理。更准确的说法是低权限一定不会比高权限更危险。

我预言，会有一大帮人过来告诉你，这不是苹果的问题，这是你的问题😂

你这是在哪儿做透明代理呢？透明代理大都做在路由器上或是旁路由上，一般不会在这上面跑 docker 啊。而且这种冲突一般是有解的，就是可能需要你把 iptables 吃透了。

呃，你这个问题要有办法绕过，国内应用早就群魔乱舞了……

实在没法重装可以试试去一台正常的机子下把所有 /usr 下的权限遍历一遍记录下来，再到故障机上恢复相同权限。然后特殊文件和没被处理的文件手动处理。如果你自己的数据没用到复杂的权限管理，我觉得值得一试，也算是没有办法的办法吧。