我有一个新的想法：
先设置好策略路由，对打上标记的数据包走vpn。
再写一个linux的内核模块，然后监听所有到80端口的syn请求，凡是1秒内没有收到syn-ack数据包的都认为是被防火墙block 的连接，针对这个连接，伪造一个syn-ack给客户端，让浏览器以为连接到服务器成功。再伪造一个syn给web服务器，给这个syn包打上标记，让他走vpn出去。
这样就搭了个桥，双方都会认为连接成功了，再把以后后续的数据包都打上标记，全部都走vpn出去。
最后再把这个ip加入列表内，以后凡是这个IP都走vpn。
感觉这个办法应该可行，不再需要考虑什么域名，只要是被block的站全部都可以自动连通。
但缺点第一次连接可能会是速度较慢，因为需要等1秒后再启用这个机制。