Google ONE VPN 折腾记录

[outtime]

看到一篇帖子，看到里面的好处，直接动心。加之看到 2TB Google One 订阅在土区可以做到每个月只需12.62¥便心动不如行动买了一个月尝尝鲜（踩踩坑）

本篇绝大多数信息来源都是帖子里面的。

先说结论，就我的网络环境下，只成功了一台设备，暂时不清楚是什么原因造成的。

连接条件

如果你需要连接到 GoogleVPN ，经过我的测试，你需要满足如下条件：

• 成为 Google One 2TB 计划的会员
• 只能在 Android ，iOS ，iPadOS ，Windows 以及 MacOS 上使用
• 你需要拥有如下地区的节点：

奥地利 澳大利亚 比利时 加拿大 丹麦 芬兰 法国 德国 冰岛 爱尔兰 意大利 日本 墨西哥 荷兰 挪威 韩国 西班牙 瑞典 瑞士 台湾 英国 美国

• 你需要一个能完成透明代理的设备，比如软路由，或者clash for magisk

也就是说，你大概率无法在只有一台有权控制的网络设备的网络环境下使用。

但也有例外，比如 Root 以及越狱后的设备，具体方案我没了解过。

需要代理的地址

我暂时只确定了一条规则*.cloud.cupronickel.goog，实测让这一条走规则可以让可以连接的设备正常连接。

连接后的效果

我使用运行Android13的 Pixel4 成功连接上了，效果如图：

• 速度还可以，但是因为我已知我设备到软路由的性能一般，所以给不了准确的数据，根据帖子里面是说限速100Mbps。
• 延迟挺不错的，基本视频一点就开，而且支持 UDP 代理，能加速游戏，不过安卓上我没想到啥游戏测试（非常想在电脑上试试鹅鸭杀）
• 连接成功后，规则改直连，断开所有连接，换流量，切换 Wi-Fi 都还是能保持连接，没点问题。
• IP 挺不错的，能在 Netflix 首页直接进注册（像我之前到 IP 就会报错误），据说是能拿来注册 Google Voice
• v6 和 v4 双栈

参与测试的环境

注：均为全局

设备	上网方式	地区	连接状态
Pixel4	软路由	日本 AWS （套了 Warp ）	✅
Pixel4	软路由	美国 Socks5	❌
Pixel4	HTTP Proxy	日本 AWS （套了 Warp ）	❌
Mac	Clash	日本 AWS （套了 Warp ）	❌
Mac	软路由	日本 AWS （套了 Warp ）	❌
Windows	软路由	日本 AWS （套了 Warp ）	❌
Azure Windows	直连	日本 Azure	❌
Azure Windows	直连	美国 Azure	❌
iPhone	软路由	日本 AWS （套了 Warp ）	❌

为了进一步测试，本来想试试安卓虚拟机的，但是没找到在哪里配置网络（ Android Studio ）

从结果来看，不知道是我运气不好还是怎么，死活只有一台成功。

Azure 日本

Azure 美国

所有连接不上的表现都是持续在连接中和正在重试之间循环，说明已经过了 IP 检测了。

待解决的问题

我大概猜测就是目标节点被墙的问题，但是我最不明白的就是，同样的网络环境，就是只有安卓能连上。

我在原贴里面也看到有一些评论说卡在正在连接，但是也有不少网友成功连上了。

我是长沙联通，希望有条件的 V 友可以试试测试。

（顺便发车出来，美国家庭组，Google One 2TB 计划，因为我主力用苹果所以不怎么需要这些空间，还剩4位，加入之前请先搜索谷歌家庭组的相关限制，我的主页有 TG ）

用模块改机型的测试

Google One VPN 是免费提供给 Pixel7 系列的用户的，帖子里面提到了一个模块，装了试一下：

不行，但是我在帖子里面看到在用 7P 的用户也遇到了这个问题，所以不太清楚是不是存在可行性...

最后的最后

如果能探索出高连接成功率的办法，我觉得这个方案是极好的，价格不贵，IP 又好，还不限流量。

缺点就是连接起来麻烦。

只需要一个垃圾节点拿来连 Google One VPN 即可。

已验证，一开始是因为我 clash 里面禁用了 quic(禁用 443/udp 流量)，并且目标代理服务器的 ip 被规则匹配为直连，经测试，将目标 ip 设定规则可正常连接到目标代理服务器。
暂时不清楚为什么只有安卓设备上分配的端口不是 443 ，期待大佬研究一下

这篇内容的后续已发布至我的博客： https://outti.me/use_google_one_vpn
大部分操作需要你有对应软件的一些基本了解

[MuaXD]

我这边速度太慢了🤣

[Jimmyisme]

没太懂。是用 clash 再套一层 one vpn 吗？

[huiyifyj]

想起之前的 Atlas VPN ，看到 tg 频道的分享，用土区 play 订阅还没几天，然后就被墙了。
这玩意啊，VPN 就当附属价值去用，完全冲这去买寄了就没法咯。

[ohmyself]

连上后能断开代理节点使用？

[outtime]

@Jimmyisme 不是，clash 只负责骗过检测地区的部分，后续代理是直连的。

@huiyifyj 主要是这个我感觉不是墙的问题，莫名其妙的。其实最大的价值还是冲着 ip 去的，看有没有机会支持 Linux 客户端搞一搞，搞个机器做转发。

[outtime]

@ohmyself 是的，是直接连接的

[ohiu]

最终落地 ip 是根据第一层代理节点决定的吗

[outtime]

@ohiu 是的

[a342191555]

只有一台未 root 的安卓也可以搞，大概流程如下：

1.clash 挂一个支持的国家，例如美国，日本，台湾等。只用代理模式，不要用全局模式。如果有必要的话，覆写监听的 http 端口(假设为监听的 http 端口为 8888)

2.关闭 wifi ，在数据卡的设置里，设置一个新的 APN ，miui 允许自由设置，其它系统自行寻找，把 APN 的代理服务器里面设置为 127.0.0.1,8888

3.直接用 Google one VPN 连接成功，成功后打开 wifi 和关闭 clash 均能保持连接状态

4.如果关闭了 clash ，APN 的设置将会使下次 Google one 将无法再在数据流量模式下连接

如果第 3 步无法连接，排查思路：

1.提示不在特定的国家或地区：APN 设置是否生效？可以访问任意网站检查代理是否继续工作

2.一直卡在正在连接：IP 比较黑，换一个试试

[a342191555]

iPhone 理论上也该如此，我尝试了以下步骤，但失败了

1. 在国内服务器上用 v2ray 搭建一个 http 代理，代理的出口连接到日本

2. 通过 Apple Configurator 设置一个描述文件，APN 指定代理服务器到第一步的那个服务器。导入并应用描述文件到 iPhone

3. 我检查过第二步的描述文件，是正常工作的。但是打开 Google one 后，仍在卡在正在连接

[outtime]

@a342191555 谢谢，这个场景就仅适用于流量？不过这个 ip 比较黑，应该是目标谷歌的 ip 比较黑？但是我的测试情况是实际上并没有墙

[outtime]

@a342191555 iPhone 上你有成功的例子吗？任何方法

[a342191555]

Windows 和 macOS 的情况与 iOS 类似，即使路由器上开全局模式，即使同样的配置在 Android 下正常使用，也依然一直卡在正在连接

即使全局模式使用的服务器本身，是 Windows ，并且可以无障碍的连接到 Google one VPN


一个不成熟的推断，也许是，这 3 个平台的客户端会通过 tcp/udp 以外的协议，比如 icmp ，来判断连接是否有效，而这些不会被 ss 或者 clash 代理


但是通过 wireshark 抓包，也没有看出问题所在。


下一步可以尝试的方向：路由器上用 VPN 协议，连接到受支持地区，然后再给相应内网设备提供代理

[a342191555]

@outtime 11# 我只是说安卓使用这个方法无法连接。其他平台卡正在连接的猜测见 13#

12# 成功过一次，是通过 macOS 的 surge 做旁路由，之后再也无法成功连接了

也许，最终你能够实现：在本地 ping 通 Google ，也就能无障碍连接到 Google one 了…

[kimigaooo]

azure jp windows 为啥也不能连接呢？已经是没有墙的环境了呀

[estk]

我也土耳其 Google One ，买的是 200G 空间，还没用完，一开始 100G ，不够了再升一级
之前以为土区没送 VPN 就一直没升级 2T

[outtime]

@a342191555 但是我有在 azure 上试着直接连接卡在正在连接，非常奇怪。卡在正在连接但是此时系统会显示已经连接上了 vpn ，你说的判断连接有效性我感觉如果单纯是这样的话那其实卡在正在连接的时候也应该能正常用 vpn

[outtime]

@estk 土区是不送，需要使用 ios 平台订阅，谷歌账号要锁区

[outtime]

@kimigaooo 就是很疑惑的地方，也许是我脸黑

[daveh]

差一个 Linux 客户端。

[outtime]

@daveh 确实，有 linux 直接拿来做落地

[docx]

不知道用的什么协议，能像 warp 那样就好了

[a342191555]

@outtime azure 是什么国家的，我感觉它不显示连接成功就用不了。

[s1e42NxZVE484pwH]

ios 也是死活连不上

[learningman]

和 warp 有啥本质差别吗

[outtime]

@learningman 应该没有，或者说是连接方式上有区别，warp 是走的 wg ，这个好像是自家的协议？我不太清楚。然后就是落地 ip 现在很好，可以注册 Google voice ，看 nf 也没问题

[outtime]

@a342191555 抓包看了一下，连接成功的，udp 包有来有回，卡在正在连接的就纯发。但是很快发现一个不同点，安卓的目的端口是 2153 ，ios 上是 443 ，怀疑被运营商给掐了

[iamlithromatic]

麻烦问一下改 p7 的机型用的什么模块

[outtime]

@iamlithromatic https://github.com/CN-Scars/A-Magisk-module-that-can-change-model-to-Google-Pixel-7-Pro

#27 使用 nc 测试，确实是在国内 443/udp 直接掐掉了，暂时不知道为什么安卓分到的是 2153

[sobercentury]

@outtime 用已经连接上 GoogleVPN 的安卓手机开 Vpn 热点给 win 和 iPad ，win 和 iPad 就都能连接成功了，获取到的 IP 地址跟安卓 GoogleVPN 的 IP 地址类似。尝试的其他方法都无法使 iPad 和 win 成功连接。

[jonathon523]

台湾 /日本 /美国连接成功
只留了台湾的截图
用的 cfm 面具模块，aws 日本 /台湾 /Oracle 美国直连都可以连接成功
<img>https://img.cestlavie.moe/file/d1338fc9fccb128d269e9.png</img>

[churchmice]

*.cloud.cupronickel.goog 加进路由器翻墙列表之后是可以连接上了

[outtime]

@jonathon523
@churchmice 两位是安卓设备吗？

[churchmice]

@outtime 安卓

[a342191555]

@outtime #27 可是 udp 443 应该也能被路由器上的代理转发呀

[outtime]

@a342191555 我这里应该是被写进规则里面了，默认没走代理。

@churchmice 好吧，我有空再搞台安卓测试一下，我感觉安卓都不是分配的 443 端口

[jonathon523]

@outtime 我是 pixel3 ，很奇怪的是用流量可以连上，但是 WiFi 不行

[wclebb]

我是听说可以用 Docker 搭建转 VPN 协议，这样把 Google VPN 转到这个 Docker 后，即可转其它协议来穿隧道。
我也想知道怎么做。

[HusaYn]

最近大家都在折腾这个啊，确实手里的 android 设备都能连接，北京联通用台湾节点能跑到 400mbps+，但 iOS Mac windows 都卡在正在连接，等大佬的解决方案

[outtime]

@HusaYn iOS 和 Mac 分配的端口是 443 ，怀疑是被掐了，需要让 443 的 udp 流量走代理。

[Aaron325]

有 ipv6 吗

[outtime]

@Aaron325 有
@HusaYn 你台湾落地是哪里？我落地台北，连接告诉我所在地不可用
@wclebb 我猜思路从安卓 docker 入手？

[AldingtonDavid]

做落地得有流媒体解锁才好用，能直连用的人多了也迟早入墙

[outtime]

@AldingtonDavid 能解锁，能起到 warp 的作用

[xiaobai332]

路由代理下，pixelbook 可以正常连接，但是 pixel7 遇到了一样的问题

[HusaYn]

@outtime 中华电信台北落地，可能是 google 检查了 ip 吧

[outtime]

@HusaYn 是的，我测试了一下，因为我连过去还套了一层代理，目标代理服务器确实会检查连接过来的 ip

[Spo]

安卓，和题主不同，
使用了 HTTP 代理，落地 aws jp ，没套 warp ，一次就可连接。使用 cfa 也可以连接。WiFi/蜂窝均可
这个上网方式可能没有影响

[Enyokid]

情况基本与题主一样，软路由下面安卓和 windows ，安卓直接连没什么问题，windows 一直卡正在连接，试了无网。而且我看了 log 都是一样走 cloud.cupronickel.goog:443 验证，windows 就是不行玄学问题。另外我落地是东京，但连上后获取的是一直是美区的 ip ，从没有获取过同是东京或台湾的 ip ，有没有遇到这种情况的。

[hoky]

Android 连上 17 个小时没掉线，iPhone 死活连不上。郁闷。

[outtime]

@Enyokid 对，我也遇到了落地日本但是拿的是美国的，可能是因为落地是广播的？
@hoky 除了安卓都需要对 443/udp 做代理

[hoky]

有意思的 Android 直接用数据网络连不上，但是用 WiFi 连上后切换到数据网络还能用。

[outtime]

@hoky 是的，一般的，被动情况下切换网络是不会使客户端关闭 vpn 的连接，系统会自动尝试重连而不再经过所在地检测。

[Fueldebu]

我经过反复测试确认了
1：连接 VPN 时候会通过 TCP 连接 xxx.cloud.cupronickel.goog ，来实现 ip 检测
2：ip 检测完成后会通过 UDP 连接服务器，来达成 VPN 连接。

VPN 服务器是可以直接 ping 通的，目前确认没被墙
在安卓上，通过 ip 检测后，会连接 2153 端口 ，可以通过直连进行 VPN 连接
但在 IOS ，PC 上，通过 ip 检测后，会连接 443 端口，这时候可以看到链路会不停上载信息，但永远接受不到下载信息，VPN 客户端的体现就是卡在**“连接中”**。此时 VPN 通道虽然建立了，但因为接受不到信息，所以会通过不停上载和重新对接的方法来尝试连接。

目前看来原因就是 QUIC 问题，443 端口 UDP 流量返回不到客户端，所以 VPN 会不停上传信息、尝试重连
估计是 UDP 被运营商掐掉了

解决方法：openclash 里面注意关闭掉“关闭 QUIC/阻止 443 端口 UDP 流量”这个功能，同时也要打开 UDP 转发
把.cloud.cupronickel.goog 放到代理列表（过 IP 检测）
VPN 连接地址放到代理列表（ VPN 连接走代理）

**但这个解决方法也有问题：像安卓走的 2153 端口，完全没有问题，可以直接带到户外使用**
**而且让 VPN 连接走代理，VPN 速度就得取决于节点的质量和速度，不再是直接过墙，可用性低了一大截**
**其实目前来看只要能让 IOS ，PC 这几个客户端不要分配 443 端口走，理论上可以像安卓一样好用**
**本人之前试出过无 UDP 代理和禁用 quic 的环境下正常连接 ios 和 pc 的 VPN ，但当时没有做记录，现在正在复现，探索方法**

[Fueldebu]

我个人比较疑惑的一点是，谷歌这个 vpn 如果是为了保护隐私的话，就算是为了隐蔽，在建立连接的时候不可能死死盯住 443 一个端口薅，毕竟安卓就开的 2153 。我搜索了英文的一些资料后也确认，OneVPN 的前身 Fi VPN 就会给 2153 端口和 19302 端口等，甚至还有人说每次重连都会随机分配，搞得他找不到怎么给 VPN 开对应端口。
（链接地址： https://www.reddit.com/r/ProjectFi/comments/a1t17i/google_fi_vpn_and_firewall/）
之前一个月我都用的很正常，不管是哪个平台（路由统一设置禁止 quic ，禁止 443 端口 UDP ，不开 UDP 转发）。
但就春节开始 IOS 上就遇到了卡连接问题，如果说是墙又抬高了，或者运营商突然开始封锁 443 都不怎么说得过去。
我个人感觉是谷歌最近又在搞什么幺蛾子，改变了连接方式

[itsjoke]

@a342191555 Android 的这种方式连接实际上流量是走的蜂窝，即使后面打开了 Wifi 也不会走 Wifi 。
但在 Wifi 下连接的话要通过修改 Wifi 添加代理来进行，又略微麻烦了一点。

[dabai128]

我用旁路由 ipad 指定旁路由网关 开 vpn 成功连上 然后我去调 openclash 直连 发现 ipad 的 vpn 虽然没断开但是已经没网络了 *.cloud.cupronickel.goog 也添加这域名到 clash 规则里 quic 没禁 udp 转发开了

[Fueldebu]

@dabai128 正常，ipad 和 pc 连 vpn 服务器是 443 端口的 udp 流量。看后台可以看到那条链路非常容易断线，表现就是一直上传却得不到下载回应。或者下载只有几 B ，明显丢包。安卓 2153 端口就没有这个问题。

[chelseahogan]

openwrt clash 自动分流，我这边 iPhone11 跟 Pixel 都非常稳，但电脑连不上

[dabai128]

@Fueldebu 我安卓连的时候看 openclash 日志显示的是
prod.zinc.cloud.cupronickel.goog:443

prod.brass.cloud.cupronickel.goog:443

这两个域名 我看 ipad 也是走这两个

[Fueldebu]

@dabai128

[Fueldebu]

@dabai128 这两个是 ip 检测地址，端口 443 ，走的 tcp 流量。全部的 ip 检测都走这个。vpn 连接服务器是走的 udp ，安卓 2153 ，其他平台 443

[dabai128]

@Fueldebu 看来是挺可惜的 pc 能用作用会非常大

[dabai128]

或者发邮件问下软件作者看看可以改成连接 443 之外端口

[Fueldebu]

@dabai128 谷歌 one 应该算高贵用户，可以直接找客服（不是反馈，反馈会石沉大海），直接发邮件吧，客服必须回复 Google one 会员

[Fueldebu]

@chelseahogan 请问 iphone11 非常稳是指可以随时连上也不会断线吗？（比如楼下说的，虽然 ipad 连接着但实际上网络已经断了）

[maclee]

mac 上 surge 的网关模式下，内网设备始终在反复重新连接，iPhone 、Android 都无法使用 google one vpn：（

[dabai128]

@maclee 安卓可以的 你用的节点是符合区域的吗

[Yopcxx]

@maclee 我也不行 估计是因为 surge 那种模式会劫持 dns 使用安卓设备代理应用+vpn 热点应用的热点共享可以连接成功，就是需要 Root

[linzh]

折腾了半天...可以肯定的是安卓端的实现和其他端有区别（可能就是前面说的端口的区别），安卓用代理能稳定连接，win 和 iOS 死活不行，难顶哦...

[yangchakbass]

iOS 死活连接不上，使用的 surge 网关

[snoopy4444cn]

收藏备用

[fg9r56BWkG10X9F5]

把这个域名加入代理试试 p.g-tun.com

[maclee]

@dabai128 节点符合，同一个节点梅林路由器端作为网关就可以，surge 就不可以

[maclee]

@Yopcxx 折腾了一晚上，还是不行：（

[chelseahogan]

@Fueldebu 稳定上网，没有断过

[dabai128]

插个眼 哪位大佬 pc 可以连上了 @ 我下

[zeep]

@sobercentury 可以稍微指点一下如何开 VPN 热点给 iPad 吗？

[dhzidjushsudjf]

好🐔8️⃣麻烦，直接在 AWS EC2 Windows 实例上运行 Google One VPN 客户端再开个 Wg Server for Windows 或 tuic-server 给其他设备连就行了。
可最大限度发挥 Google One VPN 性能，并可用 surge 、shadowrocket 等客户端连接以配置规则。
https://media.discordapp.net/attachments/939789936654180376/1072197738374111293/IMG_0357.png
https://media.discordapp.net/attachments/939789936654180376/1072197201905848432/IMG_0356.png

[sobercentury]

@zeep 有个 app 叫 vpn 热点，好像需要 root 。没有 root 用其他方法也能实现，具体搜索看看吧

[iutopia]

@outtime #5 ，那还是要走 clash 的节点啊，clash 的节点速度如果不够的话速度也会降下来。

[outtime]

@dhzidjushsudjf 谢谢，现在就是这么想搞的，但是开 windows 机器成本对我说高了点哈哈哈，所以一直在提 linux 版本。

[outtime]

@dhzidjushsudjf 谢谢你的评论，这我才想起去看 aws 原来是提供 Windows 机型的😂
已经配置好服务端了，大大滴好用！

[steveny5997]

@dhzidjushsudjf 谢谢，照您的方法成功了，晚上回家试试联通的网络怎么样

[licong]

@dhzidjushsudjf 这个实例是永久免费的吗？

[dabai128]

@licong aws 就没有永久免费给你玩 就算有都给薅烂了 这位应该是买号 要不就是正价付账单

[wukongswk]

@outtime 我的账号是家庭共享的方案。目前苹果机已安装 google one ，但是福利中找不到 vpn

[wukongswk]

@jonathon523 像素 3 [google one] app 的 vpn 是在福利直接显示的吗

[outtime]

@wukongswk 一些地区不支持。是直接在 app 显示的。

[jonathon523]

@wukongswk 买了 Google one 才有的

[wukongswk]

@outtime 恩恩

[wukongswk]

@jonathon523 了解

[simmon]

@outtime aws 这个要怎么架

[neptuno]

@outtime 大家 aws win 买的是 8 美元那一档吗？

[azure2023us]

@Fueldebu 过程写的很详细。大概是这样的。

block udp 443 不是运营商干的，是 gfw 干的。一个很好的例子就是在自己的软路由上部署 wg server ，然后用手机蜂窝去连接，你会发现可以正常连接。

Udp 443 在墙内不会被 block

按照这个趋势，andriod 的 2153 udp 迟早要 block

综上，google one vpn

[azure2023us]

采用的底层协议跟 cf 的 warp 类似，都是基于 wg qiuc 协议。只要某个特定的端口流量足够大，墙很快就能识别到。

[azure2023us]

Google one vpn 做的一个 cf 的 warp 比较好的地方是，加了源 ip 地址检测和账号登陆机制，防止被滥用。很多人都是用 vps 节点 套 wrap 去解锁 nf ，google one vpn 估计也看到了这一点。

没有 linux 版也是基于上述考虑。

正所谓，墙有多高，道就有多长。前面也提到了，部署一台 win vps 全局代理，跑 ss 。配置上略显麻烦。

[azure2023us]

现在只希望机场场主能手下留情，不要撸的太狠。

[outtime]

@azure2023us 对于机场主这个事情我觉得可能暂时不用太担心，一个是因为这个不像 warp ，有一定的账号购买和管理成本，第二个一个连接的速度压根不够几个人分，这样拿来当机场的成本会很大。

[zeep]

@dhzidjushsudjf 都看不懂，难度对普通人有点高，可惜了