TCP 系统伪装（对抗 TCP/IP 指纹识别）

为什么只看 IP 地址已经不够

现代防护系统（Cloudflare、DataDome、Akamai、Kasada）早已不止检查 IP 地址和 HTTP 头。从第一次 TCP 握手开始，它们同样会分析传输层。

如果您的防关联浏览器声称运行 Windows 11，而您的网络数据包带着 Linux 内核的签名，这种不一致立刻就会暴露。TCP 系统伪装正是在初始数据包这一层重写网络协议栈的特征，让网络层与您的浏览配置说法一致，从而消除这一落差。

一个 TCP SYN 包会泄露什么（p0f 原理）

被动式操作系统识别（由 p0f 工具推广开来）基于一个简单事实：每一类操作系统实现 TCP/IP 协议栈时，采用的默认值都不相同。

从您的设备发出第一个 TCP SYN 包起，远端观察者就能读到：

• 初始 TTL（Time To Live）：Windows 为 128，Linux、Android 和 macOS 为 64。
• 初始窗口大小（Window Size）：各操作系统有各自的取值与缩放系数。
• TCP 选项的排列顺序：MSS（Maximum Segment Size）、SACK Permitted、Timestamps、NOP 与 Window Scale 出现的精确次序。
• DF 标志（Don't Fragment）的状态：是否置位，因系统而异。

这项分析以被动方式在几微秒内完成，不需要执行任何 JavaScript，甚至发生在 TLS 协商和 HTTP 请求开始之前。

普通代理为何会制造身份冲突

绝大多数代理服务器和移动网关运行在 Linux 或 Android 上。

当您通过一个普通代理，启动一个模拟 Windows 桌面的配置时：

1. 您的浏览器发出的 User-Agent 声称是 Windows 10 或 11。
2. 网站收到的，是远端代理设备（一台 Linux 机器或一部 Android 手机）建立的 TCP 连接。
3. 服务器看到的是 TTL 为 64、带有 Linux 特有 TCP 选项的连接，而一台 Windows 电脑本应发出 TTL 128 和另一种选项序列。

对检测引擎而言，应用层与网络层之间的这种分歧，是自动化或使用代理的强烈信号。系统伪装介入的正是这一环：它拦截发出的 TCP SYN 包，修改其标志位，让它呈现出您浏览器所声称的那个操作系统的确切形态。

FRProxy 提供的设置

系统伪装直接运行在承载您独享 4G/5G 移动线路的硬件上。您本地无需安装任何第三方软件或网络驱动。

可在客户中心或通过 API（POST /api/v1/spoof）进行控制：

• 可选指纹：Windows、macOS、Linux、Android 和 iOS。
• 默认行为：关闭（放行调制解调器的原生指纹）。
• 可用范围：在我们基于手机及兼容硬件的独享 4G/5G 代理套餐上启用。

在独享线路上，您的设置会立即对经由您 HTTP 或 SOCKS5 端口的全部流量生效。

购买前有一点需要知道：设置生效在来源上，而不是在代理上。因此，共用同一来源的两个代理也会共用指纹，以最后一次设置为准。在独享线路上不存在这个问题：线上只有您一个人。

技术现实：IPv4 与 IPv6 的差别

关于网络的物理限制，我们保持务实：

• 在 IPv4 下（CGNAT 与 DPI 的影响）：部分移动运营商和中间路由器使用深度包检测（DPI）设备，会在传输途中重写或重排 TCP 选项，以优化蜂窝带宽。这种规范化可能改变已注入指纹的一部分。这是共享 IPv4 路由的结构性制约，对整个行业都成立。
• 在 IPv6 下（直接路由）：不存在 CGNAT。数据包端到端传输，网络选项不会被中途改动。被伪装的 TCP 指纹会原封不动地抵达远端服务器。

如何检查自己的 TCP 指纹

在开始敏感会话之前，检查整条网络链路是否自洽：

1. 打开已配置该代理的浏览器。
2. 访问被动分析工具，例如 browserleaks.com/ip 或 iphey.com。
3. 查看 TCP/IP Fingerprint 或 OS (p0f) 一栏：检测到的操作系统应与您防关联配置中模拟的一致。

FAQ

系统伪装能让我完全无法被检测吗？

不能，也不该有人向您作此承诺。它消除的是一个具体的技术异常：您的 TCP 网络签名与浏览器所声称的操作系统之间的分歧。反欺诈过滤器权衡的是一整束线索：IP 信誉、Canvas 与 WebGL 指纹、时区是否自洽、DNS/WebRTC 泄漏，以及点击行为。系统伪装去掉了一个关键的告警信号，但它替代不了良好的上网习惯。

为什么开启伪装后，测试有时仍显示 Android？

我们的代理运行在真实的手机和移动调制解调器上：Android 就是底层的原生硬件指纹。如果您选择了 Windows，测试却显示 Android，说明这项修改没能挺过移动运营商的 IPv4 传输（TCP 选项被无线网络规范化了）。请把测试切换到我们的 IPv6 出口：那里没有运营商 CGNAT，数据包不会被重写，伪装后的指纹会原样抵达。

---

另见： 什么是移动代理？ · WebRTC 与 DNS 泄漏 · 隔离您的不同用途