Jirajine

@0o0O0o0O0o 只能算是一种 mitigation 吧。https 要比 web of trust 可靠多了。前者需要 compromise debian 的服务器（只有少数核心开发者能访问），后者只要 compromise 任意一个维护者的 gpg key 就能绕过验证，这种模式对社区发展是很不利的。

@CakewthinSUm 你自己抓包，找连接的域名，找到之后加到 dns 污染的列表里。如果微信还会自己绕过 dns 污染，那就把解析的 ip 黑洞路由，不需要其他软件。sni 阻断以前有个 iptables strings 模块可以干，nftables 不自带这功能了。性能够的话可以自己用 nfqueue 在用户态撸一个 c 程序，大小估计也就几十到几百 kb 吧。

@pauluswanggang 你看这更新时间也能知道，肯定不受官方支持了。
你只能寄希望于 nouveau 能够驱动你的卡，并且支持 wayland 等现代特性。不然你只能跑一些为老硬件设计的桌面环境，运气好的话或许不会卡，但和现代的 linux 桌面体验天差地别。

@busterian 有没有可能，垃圾的是开个任务管理器就能上 100%CPU 的系统。
n100 这玩意一发布，才发现各种 xx pi arm 的板子是真的垃圾，又贵性能又烂。

非常老的 nvidia 显卡还是别折腾了，你可能连官方驱动都用不了，只能自己编译 EOL 的老版本驱动，并期望能够兼容新版的内核和图形栈。

@0o0O0o0O0o 如果仓库元数据带签名的话，那是没办法只保留一些有漏洞包的，不过确实可以整个暂停安全补丁仓库的同步。不过 Debian 这种要求安全补丁仓库使用官方源的做法，对几乎不能正常访问互联网的地区用户就很糟糕了。把元数据和实际数据分离，元数据只能从官方服务器获取，实际数据可以从任意渠道 trustless 地获取更合适一点。

你先搞清楚是分配了一个子网长度为/56 的单个地址，还是分配了一个/56 的段。

@CakewthinSUm
@Puteulanus
dns 污染不行，那就上 SNI 阻断，在不行 ip 黑洞路由。在国内多年上网的，这不用别人教吧。

这种实现要么是它内置了一个准确的屏蔽列表，微信得知某个地址被屏蔽后就自己隐藏了；要么是微信支持某种 canary domain 类的机制能够尊重网络管理员的配置。