换IP换不掉TCP头：四项默认值跟着你

换 IP 只换得到地址，6 元档和 10 元档的差别不在匿名度，在谁建这条 TCP。目标站收到的永远是一个源地址加一条连接；连接是平台机房发的，还是你本机发的，才是「看起来是否同一台机器」的分界——应用层代理、TUN 网卡、L2TP 拨号，三种接法给出三个答案。

目录点击展开

🔗 快速入口：一站式注册入口（24 家平台自助开通）｜全平台价格中心：先比价再充值｜代理工具中心：SSTap / NekoBox / 老鱼客户端与教程

下面按四步走：网络层到底留下了哪几项 → 三种接法分别归谁 → 抓一个 SYN 怎么自证 → 业务上该改接法还是别折腾。

📌 一句话结论

换 IP 只换源地址，换不掉你写在 TCP 头里的四个默认值：初始 TTL、窗口大小、MSS、时间戳选项。走 SOCKS5 或 TUN 时，目标站那条 TCP 是平台机房建的，这四项统一成机房的系统默认值；走 L2TP 拨号时是你自己电脑建的，几台 Windows 挂在同一个出口上，等于把「多台真实机器」写进同一行记录。多账号优先用应用层代理，一台机器一条线。

出口地址	你买的那条线，换线就换地址
TCP 四参数	谁跟目标站建这条 TCP，就归谁
浏览器指纹	只在本机，代理碰不到
账号行为	只在本机，换什么都不动它

数据来源：站内天行IP、沧海IP 价格表页与三份客户端教程页｜最后更新：2026-11-07

你换掉的是地址，不是那台机器

目标站收到的是一个源地址加一条已经建好的连接。地址可以租，连接却总得有人先发出 SYN——是平台机房那台服务器发的，还是你自己电脑发的，结果写在不同字段里。

图：换 IP 只改最下面一格，上面三格不动——谁建这条 TCP，参数就由谁填。数据来源：站内天行IP、沧海IP 价格表页

目标站能看见的，不止一个 IP

把「平台看到的你」拆成几层，才看得清哪几层是花钱能换的。

层	留下什么	换 IP 之后
应用层（JS 能读）	UA、时区、Canvas、字体、WebGL	不变，跟 IP 无关
加密层（TLS 握手）	ClientHello 的套件与扩展顺序，即 JA3/JA4 指纹	不变，由浏览器版本决定
传输层（TCP 头）	初始 TTL、窗口大小与缩放因子、MSS、时间戳选项	取决于接法，不取决于 IP
网络层	源地址、途经跳数	这是唯一真正被换掉的东西

四层里，只有最下面那层是你付钱买的东西。上面三层全靠你自己这台机器，所以「我换了几十个 IP 还被串起来」从来不是 IP 数量的问题。

TTL 在浏览器里查不到，不代表没人看得见

这是最容易搞混的一点：你在浏览器里查不到自己的 TTL，因为 JavaScript 只能读应用层。但目标站前面若挂着 CDN 或 WAF，它在四层就把这个包收了，TTL、窗口、MSS 全在它手上，再折算成一个风险分传给站点。

所以普通人没法自测「目标站眼里的我长什么样」，只能自测「我发出去的包长什么样」。这两件事的差别，就是下面那个抓包实验要解决的部分。

三种接法，TCP 层分别归谁

同样是「挂个代理」，三种接法在目标站看来是完全不同的两种东西：一种是从机房发来的连接，一种是从你家电脑发出的连接。

应用层代理：目标站跟平台机房握手

你在浏览器插件、指纹浏览器或采集脚本里填 IP、端口、账号密码，客户端做的第一件事是连上平台那台代理服务器，然后说一句「帮我连到 example.com:443」。真正跟目标站完成三次握手的是平台那台机器，你的电脑全程只跟代理服务器有一条连接。

结果很直接：目标站看到的 TCP 参数，是平台服务器操作系统的默认值。多数平台跑的是 Linux，初始 TTL 64、默认窗口与缩放因子、MSS 1460，一套模板服务所有客户。你换十个 IP，只要还在用同一个平台，这套参数一个字都不会变。

TUN 网卡：看着像整机，其实还是中继

SSTap、NekoBox、Clash 的 TUN 模式会在系统里装一块虚拟网卡，所有应用的流量先被灌进这块网卡，应用自己以为在直接发包。但客户端读走这些包之后，仍然按 SOCKS5 转给平台。目标站那条 TCP 还是平台建的。

这一层区别常被误读成「TUN 等于整机代理」。它接管的是本机的路由，不是建连的身份。真正的区别要看下一段。

L2TP 拨号：这次真的是你在握手

系统自带 VPN 或软路由拨 L2TP，本机先用 PPP 建一条链路，把你发出的 IP 包整体封进隧道送到平台，平台解封装后转发出去。包里的 TCP 头是你自己电脑写的，源地址被换成出口 IP，其余字段原样保留。

于是结果反过来了：在同一台电脑上，换用 L2TP 不会让你更「匿名」，反而把你本机的系统特征原样交了出去；而 SOCKS5 把这一层统一成了机房模板。

接法	常见工具	谁跟目标站建 TCP	TCP 四参数来自
应用层代理	浏览器插件、指纹浏览器、脚本、Proxifier	平台机房	机房那台 Linux 的默认值
TUN 虚拟网卡	SSTap、NekoBox、Clash TUN	平台机房	同上
L2TP / PPTP 拨号	系统 VPN、软路由、老鱼整机模式	你自己那台电脑	你本机的系统默认值

这张表解释了两类常见现象：一是同一个平台不同客户之间，TCP 参数完全一致，因为大家共用同一批服务器；二是同一台电脑不管拨几条 L2TP，站到目标站面前的「机器味道」都是同一台。

五分钟自证：抓一个 SYN 就够

不用信任何说法，装个 Wireshark 抓十秒钟包，答案自己就出来了。

先看抓包里有没有那条到目标站的连接

过滤条件写 tcp.flags.syn==1 and tcp.flags.ack==0，然后访问一个没缓存过的 https 站点。

走 SOCKS5 时会看到什么：只有一条 SYN，目标是平台代理服务器的 IP 和端口；没有任何一条直接指向 example.com 的连接。你的电脑到目标站之间，根本没有 TCP 层面的对话。

走 L2TP 时会看到什么：一条 SYN，目标就是 example.com 的 IP，源地址是隧道分配给你的内网地址。这条连接的 TTL、窗口、MSS 都是本机内核填的，等于把自己机器的签名直接寄了出去。

这个差别不是配置细节，是两种不同的网络身份。

四项参数怎么读

参数	常见取值	能说明什么
初始 TTL	Linux / macOS 64，Windows 128，网络设备 255	大致指向操作系统家族
窗口大小与缩放因子	各家默认值不同，同一版本一致	同系统批量部署时高度雷同
MSS	MTU 1500 对应 1460	改过 MTU 会跟着变
TCP 时间戳选项	主流系统默认开启	开与不开本身就是一组特征

读法是横向比，不是纵向猜。拿两台设备的抓包放一起，参数一模一样，说明它们出自同一种系统甚至同一台机器的镜像；差异明显，说明至少是两台不同环境的设备。

为什么同一个 IP，TTL 观察值会不一样

目标站看到的 TTL 不是初值，是初值减掉途经跳数。出口 IP 从天津换到广州，路径变了，跳数就变了，观察值也跟着变几个数字——但初值没变，窗口和 MSS 一个都没变。所以「TTL 变了」经常被误当成「机器换了」，其实换的只是路。

顺手可以验证：tracert -d example.com 数一下跳数，用 128 减跳数、和 64 减跳数，两个结果哪个更接近你实际观察到的值，就说明对端是 Windows 还是类 Unix。

把这个结论用回业务

知道归属之后，选择就变成了一个很朴素的问题：你希望目标站看到一个「机房客户端」，还是一个「家里的电脑」。

多账号：应用层代理，一台机器一条线

做店铺、社媒、游戏账号矩阵，账号画像本来就是「一个人用一台电脑」。这时候出口和 TCP 参数都由平台机房给出，多个账号看起来像同一类客户端在不同地址上活动，这是最省事也最不矛盾的一种形态。

要避开的是一台电脑拨好几条 L2TP 分别给几个账号用：同一个出口下出现多套 TCP 参数，等于自己承认「这是一批机器」。

L2TP 什么时候才是对的

三种情况值得用整机隧道：一是软路由、NAS、电视盒子这类没法填应用层代理的设备；二是业务里有真正的 UDP 流量（联机对战、语音、推流），这层只有隧道接法过得去；三是要给整台设备换出口，不想逐个软件配。

这三种都属于「网络形态需求」，跟防关联无关。别把整机隧道当选型默认值。

三种接法的成本对照

接法	站内对应档位	月卡价（原价）	说明
应用层 SOCKS5	天行IP 长效静态	6 元（15 元）	峰值 100M，单条 SK5，最常用
应用层 SOCKS5（住宅）	天行IP 住宅 J 节点	10 元（15 元）	住宅出身，纯净度更高
应用层 SOCKS5	沧海IP 二区特价静态	4 元（6 元）	峰值 5M，挂机、养号够用
TUN 网卡	上面任意 SK5 档	同上	客户端支持 TUN 即可，不额外收费
L2TP 整机	天行IP 静态 L2TP	10 元（15 元）	峰值 100M 云服务器带宽
L2TP 整机	沧海IP 六区静态 L2TP	10 元（15 元）	软路由直连，峰值 100M

价格取自站内天行IP、沧海IP 两张价格表页，核实于 2026-11-07，调价后以后台实时显示为准。两家都自带 10 次免费测试卡、每月 5000 次切换额度，上面任何一种接法都能先测再买，不需要为了「验证接法」额外付费。

别为这一层花钱的三件事

第一，别买「改 TTL」的工具或服务。SOCKS5 下你根本轮不到改，L2TP 下只改 TTL 会让初值像 Windows、而窗口与 MSS 还停在原样，组合起来更不自然。

第二，别为了换 TCP 参数换平台。同一家平台所有客户共用一批服务器，你换到的只是另一台同款 Linux。

第三，别把这一层当主要判据。多数中小平台的风控重心在浏览器指纹、账号行为和 IP 信誉上，TCP 参数更多出现在大厂反爬与机房流量识别里；它能解释「为什么换了 IP 还像同一台机器」，但不该是你预算的第一顺位。

官方入口与相关页面

这篇没有单独推某一家的档位，涉及的页面按「先装客户端、再比价、最后自测」的顺序列出，照走一遍就够。

要办的事	去哪个页面	能解决什么
电脑上配 TUN 或系统代理	SSTap 下载与配置教程	把 SOCKS5 线路灌进虚拟网卡，观察两种模式的区别
安卓端接管全局流量	NekoBox for Android 使用教程	TUN 模式在手机上的实际表现
横向比价、看免费测试政策	价格中心（24 家）	确认哪家给测试卡、给几次
找客户端与各平台教程	代理工具中心	Windows / 安卓 / iOS / 软路由全平台入口
验出口归属与线路质量	IP综合检测中心	换完线先确认出口落在你要的省份

常见问题

Q1：换了 IP 还是被关联，是 IP 没换干净吗？
A：先别怀疑 IP 数量。同一台机器换十个地址，UA、时区、字体、Canvas、操作节奏一个都没变，平台照样能把十个号串起来。这篇讲的是更靠下的一层，作用是解释「为什么同一台机器看起来永远是同一台机器」，不是让你把所有预算都压在这里。

Q2：SOCKS5 和 L2TP，哪个更不容易被认出来？
A：看你的业务画像。要「一个人一台电脑」，用 SOCKS5 单条线，出口与 TCP 栈都统一，参数最干净；要多设备、整机、UDP，才用 L2TP，并且接受同一出口上会出现多套本机 TCP 特征。

Q3：TTL 能自己改吗？改成 128 是不是更安全？
A：能改，Windows 动注册表里的 DefaultTTL，Linux 动 sysctl，但改了基本没用。SOCKS5 下这条 TCP 不是你建的，改本机没有任何效果；L2TP 下改了初值，窗口缩放、MSS、时间戳选项还是原样，反而凑成一组对不上的参数。

Q4：指纹浏览器能改到这一层吗？
A：改不到。指纹浏览器动的是 JS 能读到的那层——UA、Canvas、WebGL、字体、时区；加密层的 JA3/JA4 少数工具能碰；TCP 头它没有任何入口。所以「指纹浏览器 + 一个共享出口」照样会被串号，缺的从来不是浏览器那一层。

Q5：一台电脑拨两条 L2TP，分给两个账号行不行？
A：技术上可行，按目标网段做分流即可，但两条隧道只能有一条默认路由，配不好就会出现出口乱跳。更省事的做法是第二条线直接用应用层代理填进对应软件，别在整机层叠隧道。

Q6：这件事要额外花钱吗？
A：不用。它不跟档位挂钩，只跟接法挂钩——6 元的长效静态和 10 元的 L2TP，TCP 参数的差别不是价格带来的，是「谁建连接」带来的。真要先验证，拿平台的免费测试卡各跑一次抓包对比，零成本。