@superrichman #1 话是这么说，但微信 Linux 如果有像 Windows 一样的全功能支持的话：
1. 跑 Linux 虚拟机更轻量，图形性能（ qemu/kvm 下）更是远胜 Windows ；
2. Linux 的内核/硬件接口更简单直白，像是伪造硬件信息、机器码更简单直接（除非微信 Linux 版需要内核模块）。
3. 服务器上开一个 Linux vm/容器里运行微信来同步/备份数据开销不会太大。

ente.io
跨全平台、全平台开源、端到端加密、可自建，提供 iCloud/Google photos 除需要服务扫描你照片以外的全部功能，但是价格要贵一点。

@chesha1 #41 你先解释一下为什么 Ubuntu ，及其他小众 Linux 发行版在内的镜像，都有大量用户做种，包括国内和其他地区。

@rev1si0n #46 还是那句话，取决于你到底要识别什么，贴吧应该是有单独子域名的，其他页面也有可能会引用独特域名的资源。

@rev1si0n #41 能否识别取决于你要识别的到底是什么。如果只是站点域名，那有明文 sni 和 dns ，不用自己识别。以百度首页为例，百度首页的返回 body 大小应该是固定的，引用的其他资源应该也是固定大小的，根据这个特征可以大概判断访问的是百度首页还是其他页面。

看了代码，sing box 的代码质量和 clash 不是一个级别的，没有隐式默认直连、没有 dns 泄漏，无论软件行为还是官方的配置模板都没有发现缺陷，能根据包名直接写规则并且实现很可靠。
clash 这东西但凡看过它的代码都不会去用。

@liuhan907 #31 可信终端指的是基于 trusted computing/attestation ，一个没有权限经过签名的系统除非你 exploit 了不然就是密码学意义上的无法绕过。

@liuhan907 #25 其实是能的，把过滤放到可信终端进行，不可信终端不可联网就行了，可以在密码学意义上保证其无法绕过。
只是没有必要，显然现在的 GFW 工作的很符合它的预期。

能说说你的目的是什么吗？看主贴感觉像 GFW 的工作人员。

@liuhan907 #18 加密仅仅只是加密，一些其他信息，比如时序特征是单纯加密无法掩盖的。比如你用过 n 层加密代理发布消息，攻击者就可能通过你消息发布的时间、字数来定位到发送消息的人，一些专注安全的 IM 会自动加 padding ；再比如主流浏览器的建立 tls 连接时发送的握手包非常固定，当这个包被另一个 tls 隧道传输时，可以很容易识别出特征来，也就是 tls in tls 识别。

@ouqihang #6 分流没有做好，最理想的分流是物理分流，用一台单独的 iPhone 装国产软件。
其次是应用分流，可以用个 work profile 并单独控制网络出口。
最次是目的地址分流，也就是 dns/ip 这些，不准确不可靠。

@jdjingdian #6 现在还能用 iPhone 装国产养蛊，还能用自由软件。这东西要是 ppt 还好，要是真的整出来政策要求迁移，不用它的资格都没有了。

@czfy
bt 死不是因为没有“共享精神”，而是因为版权。pt 活也不是因为“理想国度”，而是因为版权方很难打击和维权。
你去下个 Ubuntu 镜像看看 bt 死没死，有没有人做种？
同理带有激励机制的 p2p 共享网络没人用也是同样的原因，因为不抗版权打击，DMCA 一抓一个准。PT 是一个很糟糕的协议，但在 piracy 上确无比适用。

edge 也响应政策内置审查？
如果是真的话，那就有点出乎预料了，Mozilla 中国的那个本地化的 Firefox 可能也难幸免。

你说的这些都能实现，不过用 manjaro 没什么意义，该有的维护一点不会比 Arch 少。

一直在用 https://smallstep.com/docs/step-ca/ 自建 ca ，足够现代也足够易用。