这套东西在验证什么

域名在境内打不开，可能是四种完全不同的原因。它们的表象很像，但处置方式南辕北辙：

单点测量说明不了任何问题——「连不上」既可能是被墙，也可能是网络抖动、源站故障、 本地 DNS 有问题。所以每一层都做成对的实验：其它条件完全相同，只换一个变量， 看结果是否分叉。

同一个 IP、同一个端口、同一时刻，只有 SNI 不同。对照组能通说明 IP 是活的、 链路是通的、源站在跑；那么实验组失败就只可能是因为「这个域名」—— 即 SNI 关键字阻断。这个结论是排除法得来的，不是猜的。

向一个不运行 DNS 服务的地址发查询，本该石沉大海。真实域名却收到了应答， 说明有中间设备在抢答。对照组用来排除「本地网络有透明 DNS 劫持」—— 企业网、酒店、部分家宽都会劫持所有 DNS 流量，那种情况下对照组同样会收到应答， 此项判定就失效并自动降级到 TCP:53 / DoH 取真值。

封锁策略是按省份 + 运营商下发的，不是全国一刀切。单节点探测的结论只对那个节点成立。 下面是实测数据里的真实一幕：

还有一个节点是必需的：境外对照节点。境内节点无法区分 「IP 被封」和「源站自己挂了」——两者表现完全一样。有境外节点对比才能定性： 境外通 = IP 被封（换 IP 有效）；境外也不通 = 源站故障（换 IP 没用，去修服务器）。

说清楚它不能做什么，比夸大它能做什么更有用：