Ttykuu

  「GFW」重定向至此。關於与此名称相似的其他条目，詳見「GFW (消歧义)」。

  提示：本条目的主题不是金盾工程或從用戶端管制網路的綠壩·花季護航。

中华人民共和国
中华人民共和国政府与政治 系列条目
中国共产党 党章 集体领导制、民主集中制 第五代中央领导集体 全国代表大会 （十九大） 中央委员会 （十九届） 总书记：习近平 中央政治局 常务委员会 中央书记处 中央直属机构 中央纪律检查委员会 书记：赵乐际 中央军事委员会 主席：习近平 副主席：许其亮、张又侠 地方组织：地方各级代表大会、地方委员会、党委书记 基层组织：总支部委员会、支部委员会、党组、第一书记 军队委员会 纪律检查机关、纪律处分条例 中央巡视制度、地方巡察制度 党徽、党旗、党报、党刊 共青团、少先队
政府
国家宪政体制 宪法 宪法解释、违宪审查 宪法宣誓、宪法修正 法律 （列表） 基本法律、普通法律 行政法规、部门规章 地方性法规、自治条例、单行条例 香港法例、澳门法律
国家权力机关 全国人民代表大会 （十三届、代表） 主席团 常务委员会（十三届、组成人员） 委员长：栗战书 副委员长、秘书长、委员 委员长会议 各专门委员会 国家元首 国家主席：习近平 国家副主席：王岐山 地方各级人民代表大会 （组织法） 人大选举法、监督法 全国人大组织法、议事规则
国家行政机关 中央人民政府 （第十三届国务院） 总理：李克强（历届内阁） 副总理：韩正、孙春兰 胡春华、刘鹤 国务委员 秘书长 （办公厅） 全体会议 （第十三届）／组成人员 常务会议 （第十三届） 中央军事委员会 主席：习近平 副主席：许其亮、张又侠 地方各级人民政府（领导人） 行政区划、机构编制 （列表） 一国两制、民族区域自治制度、基层群众自治制度 基层选举制度、公务员制度 基本国策、五年规划 政府工作报告
国家监察机关 国家监察委员会 主任：杨晓渡 副主任：刘金国、杨晓超、 李书磊、徐令义、肖培、 陈小江 地方各级监察委员会
国家司法机关 最高人民法院 院长：周强 最高人民检察院 检察长：张军 最高人民法院审判委员会 最高人民检察院检察委员会 地方各级人民法院 地方各级人民检察院
政治
統一戰線·港澳台政策 中国共产党领导的多党合作和政治协商制度 中国人民政治协商会议 全国委员会（第十三届、常务委员会） 主席：汪洋 副主席、秘书长、常委 地方委员会 政党 中国共产党 （中央统战部） 民主党派、无党派人士 香港政党、澳门政党 人民團體 和平统一、一国两制、高度自治 中央對臺工作領導小組、中央港澳工作协调小组 国务院台湾事务办公室、国务院港澳事务办公室 海峡两岸关系协会、香港中联办、澳门中联办 香港司法体制、澳门司法体制
外交·国安 中央国家安全委员会 主席：习近平 副主席：李克强、栗战书 中央外事工作委员会 主任：习近平 副主任：李克强 中央外事办 主任：杨洁篪 外交部 （发言人、驻外机构） 外长：王毅 商务部 中共中央对外联络部 全国人大外事委、全国政协外事委 独立自主的和平外交政策、和平共处五项原则 互利共赢的开放战略、新型國際關係 和平发展道路、和谐世界 大国外交、周边外交 习近平外事访问列表 李克强外交访问列表 国家安全部 公安部国内安全保卫局
地图 政治主题
查 论 编

防火长城^[1]（英语：Great Firewall，常用简称：GFW，中文也称中国国家防火墙^[2]，中国大陆民众俗称墙、防火墙、功夫网^[3]等等），是对中华人民共和国政府在其互联网边界审查系统（包括相关行政审查系统）的统称。此系统起步于1998年^[4]，其英文名称得自于2002年5月17日Charles R. Smith所写的一篇关于中国网络审查的文章《The Great Firewall of China》^[5]，取與Great Wall（长城）相谐的效果，简写为Great Firewall，缩写GFW^[6]。隨着使用的拓广，中文「墙」和英文「GFW」有时也被用作动词，网友所說的「被墙」即指网站内容被防火长城所屏蔽或者指服务器的通讯被封阻，「翻墙」也被引申为突破网络审查浏览境内外被屏蔽的网站或使用服务的行为。

简介

被认为是防火长城主要设计者的方滨兴

一般情况下，防火長城主要指中国政府监控和过滤互联网国际出口上内容的软硬件系统的集合。例如監視系統就曾與美商合作，構建類似美國的稜鏡计划的深度偵查機制，但中國政府並進一步設定將查獲的特定網點阻斷等，造成大家所熟知的連線錯誤現象，因此防火牆不是中國特有的一個專門單位，是由分散部門的各服务器和路由器等设备，加上相关公司的应用程序所构成，是一個跨軍民合作的大型資訊管制系統，實際上就如大多數國家也會建立網路監管一樣。不過其他政府的管理僅止於金融洗錢、國際詐騙等犯罪行為，與中國的審查機制有著相當大的不同。防火長城的作用主要是监控国际网关上的通讯，对认为不符合中共官方要求的传输内容，进行干扰、阻断、屏蔽。由於中國網絡審查廣泛，中國國內含有「不合適」内容的網站，會受到政府直接的行政干預，被要求自我审查、自我监管，乃至關閉，故防火長城主要作用在於分析和過濾中國境外網絡的資訊互相存取。中國工程院院士、北京郵電大學前校長方滨兴是防火长城关键部分的首要设计师^[2][4][7][8]。

然而，防火长城对网络内容的审查是否没有限制和不违反言论自由，一直是受争议的话题，官方說辭也相當籠統。有报告认为，防火长城其实是一种圆形监狱式的全面监控，以达到自我审查的目的^[9]。而中共當局一直沒有正式對外承認防火長城的存在^{[來源請求]}，如当有记者在外交部新闻发布会上问及互联网封锁等问题的时候，发言人的答案基本都是「中国政府鼓励和支持互联网发展，依法保障公民言论自由，包括网上言论自由。同时，中国对互联网依法进行管理，这符合国际惯例。」方滨兴曾在访问中被问及防火长城是如何运作的时候，他指这是「国家机密」。不過2015年1月與官方有密切關聯的《环球时报》则发布报道曾公开宣扬其存在。^[10]

在中國大陸民眾內部，由於內部蓬勃的互聯網企業，牆的存在感也逐漸被忽略，經過18個月的調查研究後，北京大學和史丹佛大學兩名經濟學家在2018年得出了結論，中國大學生對於獲取未經審查的政治敏感信息漠不關心。他們給北京兩所大學的近1000名學生提供了能夠繞過審查的免費工具，但發現近半數學生並沒有使用它。在那些使用了的學生中，幾乎沒人花時間瀏覽遭到屏蔽的外國新聞網站。^[11]

中國还有一套公开在公安部辖下的网络安全项目——金盾工程，其主要功能是处理中国公安管理的业务，涉外饭店管理，出入境管理，治安管理等，所以金盾工程和防火长城的关系一直没有明确的认定。

主要技术

域名解析服务缓存污染

防火长城對所有经过骨干出口路由的在UDP的53端口上的域名查询会被IDS检测，一經發現與黑名單關鍵詞相匹配的域名查詢請求，防火长城會馬上伪装成目标域名的解析服务器给查询者返回虚假结果。由于通常的域名查询没有任何认证机制，而且域名查詢通常基于的UDP協議是无连接不可靠的协议，查询者只能接受最先到达的虚假查询结果，并丢弃之后的正确查询结果。用户若改用TCP在53端口上进行DNS查询，虽然不会被防火长城污染，但可能会遭遇连接重置，导致无法获得目标网站的IP地址。

DNSSEC技术为DNS解析服务提供了解析数据验证机制，理论上可以有效抵御劫持。此外，DNSCrypt、DoT、DoH等负载于安全连接的DNS访问也能保护DNS的访问数据不被中间传输设备篡改。

全球一共有13组根域名服务器（Root Server），2010年中国大陆有F、I、J這3个根域DNS镜像^[12]，但曾因为多次DNS污染外国网络，威胁互联网安全和自由，北京的I根域服务器曾被断开与国际互联网的连接。^[13][14]目前已恢复服务。^[15]

从2002年左右开始，中国大陆的网络审查机关开始采用域名服务器缓存污染技术，防止了一般民众访问被过滤的网站。对于含有多个IP地址或经常变更IP地址逃避封锁的域名，防火长城通常会使用此方法进行封锁，具体方法是当用户从境内向境内DNS服务器提交域名请求时，DNS服务器要查询根域名服务器，此过程会受防火长城污染。而用户不做任何保护措施直接查询境外DNS时，会受防火长城污染。当用户从境外查询境内服务器（不一定是有效DNS服务器），结果也会被污染。

2010年3月，当美国和智利的用户试图访问热门社交网站如facebook.com和youtube.com还有twitter.com等域名，他们的域名查询请求转交给中国控制的DNS根镜像服务器处理，由于这些网站在中国被封锁，结果用户收到了错误的DNS解析信息，这意味着防火长城的DNS污染已影响国际互联网。^[16]

2010年4月8日，中国大陆一个小型ISP的错误路由数据，经过中国电信的二次传播，扩散到了整个国际互联网，波及到了AT&T、Level3、德国电信、Qwest（英语：Qwest）和西班牙电信等多个国家的大型ISP。^[17]

2012年11月9日下午3点半开始，防火长城对Google的泛域名*.google.com进行了大面积的污染，所有以.google.com结尾的域名均遭到污染而解析错误不能正常访问，其中甚至包括不存在的域名，而Google为各国定制的域名也遭到不同程度的污染（因为Google通过使用CNAME记录来平衡访问的流量，CNAME记录大多亦为.google.com结尾），但Google拥有的其它域名如.googleusercontent.com等则不受影响。有网友推测Google被大面积阻碍连接是因为中共正在召开的十八大。^[18]

2014年1月21日下午三点半，中国网站的.com,.net,.org域名解析不正常，网站被错误地解析至65.49.2.178，该IP位于美国北卡罗来纳州的Dynamic Internet Technology，即自由门的开发公司。据推测，可能是操作失误造成的事故。^[19][20]

2015年1月2日起，污染方式升级，不再是解析到固定的无效IP，而是随机地指向境外的有效IP。刚开始只是对YouTube影片域名（*.googlevideo.com）进行处理，之后逐渐扩大到大多数被污染的域名。^[21]这导致了境外服务器遭受来自中国的DDoS攻击，部分网站因此屏蔽中国IP。^[22]

IP地址或传输层端口封锁

针对TCP和UDP连接的封锁

在早期技术实现中，会使用访问控制列表（ACL）技术来封锁特定的IP地址，由此延伸可以封锁传输层协议（TCP或UDP）的特定目的端口的网络流量。不过由于大量的ACL匹配会导致网络性能不佳，现在主要是采用了效率更高的路由扩散技术封锁特定IP地址。正常的情况下，静态路由是由管理员根据网络拓扑或是基于其它目的而给出的一条路由，所以这条路由最起码是要正确的，这样可以引导路由器把数据包转发到正确的目的地。而防火长城的路由扩散技术中使用的静态路由其实是一条错误的路由，而且是有意配置错误的，其目的就是为了把本来是发往某个IP地址的数据包统统引导到一个“黑洞服务器”上，而不是把它们转发到正确目的地。这个黑洞服务器上可以什么也不做，这样数据包就被无声无息地丢掉了。更多地，可以在服务器上对这些数据包进行分析和统计，获取更多的信息，甚至可以做一个虚假的回应。这些错误静态路由信息会把相应的IP数据包引导到黑洞服务器上，通过动态路由协议的路由重分发功能，这些错误的路由信息可以发布到整个网络。这样对于路由器来讲现在只是在根据这条路由条目做一个常规数据包转发动作，无需再进行ACL匹配，与以前的老方法相比，大大提高了数据包的转发效率。

2011年3月，防火长城曾经对Google部分服务器的IP地址实施自动封锁（按时间段）某些端口，按时段对www.google.com（用户登录所有Google服务时需此域名加密验证）和mail.google.com的几十个IP地址的443端口实施自动封锁，具体是每10或15分钟可以连通，接着断开，10或15分钟后再连通，再断开，如此循环，使中国大陆用户和Google主机之间的连接出现间歇性中断，使其各项加密服务出现问题。^[23]Google指中国这样的封锁手法高明，因为Gmail并非被完全阻断，营造出Google服务“不稳定”的假象，表面看上去好像问题出自Google本身。^[24][25]

2014年5月27日起，几乎所有Google服務的80和443端口被封鎖。^[26]2014年12月26日起，Google数段IP被路由扩散封锁，直接导致GMAIL客戶端所用的IMAP/SMTP/POP3端口也被封鎖。^[27][28]

一般情况下，防火长城对于中国大陆境外的「非法」网站会采取独立IP封锁技术，然而部分「非法」网站使用的是由虚拟主机服务提供商提供的多域名、单（同）IP的主机托管服务，这就会造成了封禁某个IP地址，就会造成所有使用该服务提供商服务的其他使用相同IP地址服务器的网站用户一同遭殃，就算是「内容健康、政治无关」的网站，也不能幸免。其中的内容可能并无不當之處，但也不能在中国大陆正常访问。所以基于路由封锁的方法现在主要用于针对自主拥有大量连续地址段的特定网络服务商，例如Google、Twitter、Facebook等；对于内容分发网络（CDN）的地址段可能不会采用这种地址封锁的方法，以避免误封；基于ACL策略可能会在当地的互联网服务商（ISP）中使用，同时用于控制过度往网络发送数据包的控制。

针对UDP连接的干扰

针对Google的部分域名，在保证IP未被路由扩散技术封锁的情况下，使用HTTP/3(QUIC传输协议）的UDP连接可以有效避开防火长城的审查。但从2019年3月起，出现针对UDP的连接干扰。（错误提示：ERR_QUIC_PROTOCOL_ERROR），目前防火长城仍然无法对UDP连接进行针对性阻拦，但防火长城可以干扰其连接，使得目前所有利用 UDP 翻墙的手段都可能会受到干扰，特别是在针对 QUIC 方面会阻断 UDP 443 端口的连接。^[29]

TCP连接重置

Firefox的「連線被重置」錯誤訊息。当碰触到GFW設定的关键词后（如使用Google等境外搜索引擎），即可能马上出现這種畫面。

TCP重置是TCP的一种消息，用于重置连接。一般来说，例如服务器端在没有客户端请求的端口或者其它连接信息不符时，系统的TCP协议栈就会给客户端回复一个RESET通知消息，可见RESET功能本来用于应对例如服务器意外重启等情况。

防火长城切断TCP连接的技术实际上就是比连接双方更快地发送连接重置消息，使连接双方认为对方终止了连接而自行关闭连接，其效率被认为比单纯的数据包丢弃更有效，因为后者会令连接双方认为连接超时而不断重试建立连接。

有关技术已被申请为发明专利。

本发明提供了一种阻断TCP连接的方法和装置；方法包括：保存各TCP连接的连接信息；所述TCP连接的连接信息包括该TCP协议连接的：客户端信息、服务端信息、请求方向TCP等待序列号和应答方向TCP等待序列号；抓取TCP封包，找到该TCP封包所属TCP连接的连接信息，根据所抓取的TCP封包更新该连接信息中的请求方向TCP等待序列号和应答方向TCP等待序列号；如果所抓取的TCP封包为需要阻断的TCP封包，则根据更新后的、该TCP封包所属TCP连接的连接信息生成RST封包，并发送给该TCP连接的客户端和服务端。本发明可以进行准确而持续的阻断，从而能在大流量环境下的高效阻断非法TCP连接。^[30]

外部视频链接

Observations in mainland China (Chinese)，YouTube

2012年谷歌搜索中国大陆之体验（中文版），优酷网

一般这种攻击方法需要结合相应的检测方式来实施。

针对HTTP协议的关键字阻断

2002年左右开始，中国大陆研发了一套关键字过滤系统。這個系統能够从出口网关收集分析信息，过滤、嗅探指定的关键字。普通的关键词如果出现在HTTP请求数据包的標頭（如“Host: www.youtube.com”）时，则会马上伪装成对方向连接两端的计算机发送RST封包（Reset）干扰两者间正常的TCP连接，进而使请求的内容无法继续查看。如果防火长城在数据流中发现了特殊的内文关键词（如「falun」等）时，其也会试图打断当前的连接，从而有时会出现网页开启一部分后突然停止的情况。在任何阻断发生后，一般在随后的90秒内同一IP地址均无法浏览对应IP地址相同端口上的内容。

2010年3月23日，Google宣布关闭中国服务器（Google.cn）的网页搜索服务，改由Google香港域名Google.com.hk提供后，由于其服务器位于大陆境外必须经过防火长城，所以防火长城对其进行了极其严格的关键词审查。一些常见的中共高官的姓氏，如“胡”、“吴”、“温”、“贾”、“李”、“习”、“贺”、“周”、“毛”、“江”、“令”，及常见姓氏“王”、“刘”、“彭”等简体中文单字，当局实行一刀切政策全部封锁，即“学习”、“温泉”、“李白”、“圆周率”也无法搜索，使Google在中国大陆境内频繁出现无法访问或搜索中断的问题。2011年4月，防火长城开始逐步干扰Google.com.hk的搜索服务。2012年10月下旬起，防火长城使用更巧妙方式干扰Google搜索，部分用户在点击搜索结果链接跳转时一直被卡住，一直卡了6分钟之后客户端发送RST重置，然后页面一片空白。原因是链接跳转使用的是HTTP，用HTTPS跳转无影响。^[31]

这种阻断可以双向工作。在中华人民共和国境外访问位于境内的网站时，如果在数据包头部出现部分关键字，连接也可能会被阻断。两者的关键词列表并不完全相同，比如在境外使用知网搜索“法轮功”连接会被阻断，并且90秒无法访问，搜索“六四”则不会，在中华人民共和国境内访问境外网站时两者都会被阻断。

由于HTTPS采取加密传输，关键词阻断无法对网页传输造成影响。但由于身份认证证书信息是明文传输，因此阻断仍然是有可能的。

后来Google等网站开始采用HTTPS传输数据，针对HTTP协议的关键字阻断对相当一部分网站已经失去作用。

针对TLS的SNI阻断

虽然TLS能保证全程内容加密而且发现连接被干扰时警告并中断，但是对于SNI信息仍然是未加密的，仍可以被识别出访问域名。从2018年8月24日开始，开始出现基于SNI的检测机制，维基百科部分项目、日本亚马逊等启用https服务的网站同样被封锁。^[32]

针对TLS的证书传输检测

由于TLS在握手期间，服务器传输站点证书时同样也是明文传输的，防火长城可以对证书的信息进行检测，从而是否需要被拦截的站点而中断TCP连接。

自2017年9月19日起，防火长城开始启用CA证书检测，若经过防火长城时，一旦探测到相关域名如：Google，Facebook，Youtube，Twitter，WhatsApp的CA证书，对应IP通信会被拦截切断。若使用SNI服务器IP反向代理部分域名也会被拦截（网站会提示ERR_CONNECTION_CLOSED 意外终止了连接），但并不是全部IP都会被拦截，可用IP极少。拦截只针对经过出口路由上。^{[來源請求]}

对eD2k协议的连接干扰

从2011年开始，防火长城开始对所有境外eD2k服务器进行审查。当境内用户使用eD2k协议例如eMule使用模糊协议连接境外服务器时会被无条件阻断，迫使eMule使用普通方式连接境外服务器；同时防火长城对所有普通eD2k连接进行关键字审查，若发现传输内容含有关键字，则马上切断用户与境外服务器的连接，此举阻止了用户获取来源和散布共享文件信息，从而阻碍使用eD2k协议软件的正常工作。^[33][34]

其他

对破网软件的反制

因为防火长城的存在，大量境外网站无法在中国大陆境内正常访问，于是大陆网民开始逐步使用各类翻墙软件突破防火长城的封锁。针对网上各类突破防火长城的翻墙软件，防火长城也在技术上做了应对措施以减弱翻墙软件的穿透能力。通常的做法是利用上文介绍的各种封锁技术以各种途径打击翻墙软件，最大限度限制翻墙软件的穿透和传播。

同时根据中国大陆网民反映，防火长城现已有能力对基于PPTP和L2TP协议的VPN连接进行监控和封锁，这使得大陆网民突破防火长城的封锁变得更加困难。2015年1月起，部分国外VPN服务在中国大陆无法正常使用，这些VPN使用的是L2TP/IPSec和PPTP协议。^[35]

针对Tor的刺探

Tor项目的研究人员则发现防火长城会对各种基于TLS加密技术的连接进行刺探^[36]，刺探的类型有两种：

• “垃圾二进制探针”，即用随机的二进制数据刺探加密连接，任何从中国大陆境内访问境外的443端口的连接都会在几乎实时的情况下被刺探^[37]，目的是在用户建立加密连接前嗅探出他们可能所使用的反审查工具，暗示近线路速率深度包检测技术让防火长城具备了过滤端口的能力。


• 针对Tor，当中国的一个Tor客户端与境外的网桥中继建立连接时，探针会以15分钟周期尝试与Tor进行SSL协商和重协商，但目的不是建立TCP连接。

间歇性完全封锁

间歇性封锁国际出口

从2011年5月6日起，中国大陆境内很多互联网公司以及高校、学院、科研单位的对外网络连接都出现问题，包括中国科学院。有分析指断网可能是因为防火长城已经具有了探测和分析大量加密流量并对用户IP地址执行封锁的能力，而各大机构的出口被封也在其中。具体表现为：当用户使用了破网（翻墙）软件后，其所在的公共网络IP地址会被临时封锁，所有的国际网站都无法访问，包括MSN、iTunes Store等，而访问国内网站却正常，但如果使用境外的DNS解析域名则将会由于DNS服务器被封锁导致无法解析任何域名，国内网站也会无法打开^[38]。也有分析指，此举是中国当局在测试逐步切断大部分人访问国际网站的措施，以试探用户反应并最终达到推行网络「白名单」制，也就是凡没有在名单上的企业或团体其网络域名将不能解析，一般用户也无法访问^[39]。而中共党机关报《人民日报》旗下的《环球时报》英文版则引述方滨兴指，一些ISP必须为自己的用户支付国际流量费用，因此这些公司「有动机」去阻碍用户访问国外网站。一位工信部官员说，用户碰到这些情况应先检查自己和网站的技术问题。^[40][41]

境内骨干路由器间歇性阻断

2012年10月下旬，Google位于北京的服务器被国家级骨干路由器长时间干扰连接，包括中国大陆境内用户在内访问时返回“连接超时”错误，造成大量基于Hosts技术利用Google北京服务器作为反向代理访问Google服务的用户和软件无法正常使用，例如GoAgent。测试指出数据包经过部分国家级骨干路由器时被选择性丢弃，造成与服务器连接的丢包率飙升，甚至有部分用户反映被完全阻断与服务器之间的连接。

深度包檢測

深度封包檢測（Deep packet inspection,DPI）是一種於應用層對網路上傳遞的資料進行偵測與處理的技術，被廣泛用於入侵檢測、流量分析及數據挖掘。就字面意思考慮，所謂「深度」是相對於普通的報文檢測而言的——相較普通的报文检测，DPI可對报文内容和协议特征进行检测。

在中國大陸，DPI一度被ISP用於追踪用戶行為以改善其廣告推送業務的精準性，而最近則被國外視為防火長城城賴以檢測關鍵詞及嗅探加密流量的重要技術之一^[42]。基於必要的硬件設施、適宜的檢測模型及相應的模式匹配算法，防火長城能夠精確且快速地從實時網絡環境中判別出有悖於預期標準的可疑流量，並對此及時作出審查者所期望的應對措施。

華為公司曾被媒體指責涉及向伊朗政府提供DPI所依賴的硬件支持以幫助後者開展網絡審查工作^[43]。

针对IPv6协议的审查

IPv6（互联网通信协议第6版）是被指定为IPv4继任者的下一代互联网协议版本。在IPv4网络，当时的网络设计者认为在网络协议栈的底层并不重要，安全性的责任在应用层。但是即使应用层数据本身是加密的，携带它的IP数据仍会泄漏给其他参与处理的进程和系统，造成IP数据包容易受到诸如信息包探测（如防火长城的关键字阻断）、IP欺骗、连接截获等手段的会话劫持攻击。虽然用于网络层加密与认证的IPsec协议可以应用于IPv4中，以保护IPv4网络层数据的安全，但IPsec只是作为IPv4的一个可选项，没有任何强制性措施用以保证IPsec在IPv4中的实施。因为防火长城是挂载在国家级骨干路由器的旁路设备，而网络数据传输必须知道数据包来源地与数据包的目的地才能完成路由转发，故在IPv4协议时代实施的针对IP地址封锁技术和特定IP地址端口封锁技术依然对IPv6有效。

方滨兴在他的讲话《五个层面解读国家信息安全保障体系》中曾经说道：「比如说Web 2.0概念出现后，甚至包括病毒等等这些问题就比较容易扩散，再比如说IPv6出来之后，入侵检测就没有意义了，因为协议都看不懂还检测什么。」^[44]

自2014年8月28日起，原先可以通过IPv6直连Google的中国教育网（CERNET）内试图通过https连接*.google.com.*等网页时，可能收到SSL证书错误的提示，其中以连接https://www.google.com.hk/几乎是每次连接均收到攻击，而其它连接例如https://ipv6.google.com/和https://accounts.google.com/也有受到攻击的报告，但攻击发生的機率相对较低。伪造的SSL证书显示其为google.com，颁发机构即为其本身，与真正的google证书不同，顯示谷歌在中国教育网上受到中间人攻击（MITM attack）。^[45][46]

现阶段防火长城已经具备干扰IPv6隧道的能力^[47]，因为IPv6隧道在用户到远程IPv6服务器之间的隧道是建立在IPv4协议上的，因为数据传输分片的问题或者端点未进行IPSec保护的时候很有可能暴露自己正在传输的数据，让防火长城有可乘之机干扰切断连接。另外因为防火长城实行DNS污染，通过域名来访问IPv6服务器时可能也会因错误解析而无法访问。

对电子邮件通讯的拦截

正常情况下，邮件服务器之间传输邮件或者数据不会进行加密，故防火长城能轻易过滤进出境内外的大部分邮件，当发现关键字后会通过伪造RST封包阻断连接。而因为这通常都发生在数据传输中间，所以会干扰到内容。也有網友根據防火长城會過濾進出境郵件的特性，尋找到防火长城部署的位置。^[48]

2007年7月17日，大量使用中国国内邮件服务商的用户与国外通信出现了退信、丢信等普遍现象^[49]，症状为：

• 中国国内邮箱给国外域发信收到退信，退信提示「Remote host said: 551 User not local; please try <forward-path>」


• 中国国内邮箱用户给国外域发信，对方收到邮件时内容均为「aaazzzaaazzzaaazzzaaazzzaaazzz」。


• 中国国内邮箱给国外域发信收到退信，退信提示「Connected to *.*.*.* but connection died.（#4.4.2）」


• 国外域给中国国内邮箱发信时收到退信，退信提示「Remote host said: 551 User not local; please try <forward-path>」


• 国外域给中国国内邮箱发信后，中国国内邮箱用户收到的邮件内容均为「aaazzzaaazzzaaazzzaaazzzaaazzz」。

对此，新浪的解释是「近期互联网国际线路出口不稳定，国内多数大型邮件服务提供商均受到影响，在此期间您与国外域名通信可能会出现退信、丢信等现象。为此，新浪VIP邮箱正在采取措施，力争尽快妥善解决该问题。」而万网客户服务中心的解释是「关于近期国内互联网国际出口存在未知的技术问题导致国内用户与国外通信可能会出现退信、丢信等普遍现象，万网公司高度重视，一直积极和国家相关机构汇报沟通，并组织了精良的技术力量努力寻找解决方案。」^[50]

2014年12月26日，有很多中国大陆网民反映说一度无法通过客户端登录到Gmail。在此之前，国内一些用户可以通过IMAP、SMTP和POP3接收、下载邮件；据路透社报道谷歌旗下的Gmail业务已经被当局封锁。^[51]12月30日，Gmail已在中国大陆境内恢复部分功能。^[52][53]但Gmail网页版仍被屏蔽。

網路攻擊

中華人民共和國从2015年3月开始，使用一种被称为“大炮”的網路攻擊攻击方案，对可能涉及违反审查要求的特定网站，进行分散式阻斷服務攻擊（DDoS）。^[54][55][56]

其中2015年3月针对Github的攻击，通过包括劫持常见的网站工具脚本植入攻击代码、一些常见浏览器漏洞等方法，持续五天对Github网站进行攻击，导致网站全球访问速度缓慢。^[57]中国政府对此否认有关。^[58][59]

硬件

典型意义下GFW的线路拓扑

据2010年的估计，防火长城可能拥有数百台曙光4000L服务器^[60]。

• 防火长城（北京）使用曙光4000L机群，操作系统为Red Hat系列（从7.2到7.3到AS 4），周边软件见曙光4000L一般配置


• 防火长城实验室（哈尔滨工业大学）使用曙光服务器，Red Hat操作系统


• 防火长城（上海）使用Beowulf集群。GFW是曙光4000L的主要需求来源、研究发起者、客户、股东、共同开发者。2007年防火长城集群规模进一步扩大，北京增至360节点，上海增至128节点，哈尔滨增至64节点，共计552节点。机群间星型千兆互联。计划节点数上千。


• 有多方证据表明防火长城（广州）存在，但其使用的服务器和系统不确定。^[61][62]


• 有理由相信防火长城（北京）拥有16套曙光4000L，每套384节点，其中24个服务和数据库节点，360个计算节点。每套价格约两千万到三千万，占005工程经费的主要部分。有3套（将）用于虚拟计算环境实验床，计千余节点。13套用于骨干网络过滤。总计6144节点，12288CPU，12288GB内存，峰值计算速度48万亿次^{[來源請求]}。

2 GHz CPU的主机Linux操作系统下可达到600Kbps以上的捕包率。通过骨干网实验，配置16个数据流总线即可以线速处理八路OC48（一路OC48約2.5Gbps）接口网络数据。曙光4000L单结点的接入能力为每秒65万数据包，整个系统能够满足32Gbps的实时数据流的并发接入要求。有理由相信GFW的总吞吐量为512Gbps甚至更高（北京）。

相关事件

此章节可能过于冗长。請將不重要細節移除；若仍太長，可將重要細節分割為新頁面。 (2019年2月)

针对网络封锁的诉讼

由于按照中华人民共和国有关法律，民事诉讼的被告必须有直接利害关系，而行政诉讼只能针对具体行政行为进行诉讼，目前在有关网络封锁的诉讼中，被告多为电信运营商，没有直接针对防火长城或相关行政主管部门的诉讼。

北京奥运会

据法新社报道，中国政府曾讨论是否在北京奥运会期间放宽防火長城的屏蔽范围^[63]。在奥运前夕，曾一度被限制访问的Blogger、《中国时报》、《明报》等网站陆续被解除封锁，中文维基、BBC中文网和大赦国际网站等网站在8月1日亦被证实解封^[64]，但部分被禁网站仍然未被解禁，包括“法轮功”网站、“西藏流亡政府”网站以及和“六四事件”相关的网站^[65]。《齐鲁晚报》报道，有外国媒体指责中国政府违背先前全面开放互联网的承诺，奥组委发言人孙伟德表示，奥运期间将提供媒体“充分”的网络使用权，但外国记者上网不会完全不受限制。根据中国的法律，不得通过互联网传播违反法律的信息，如宣扬法轮功，以危害国家利益。希望媒体尊重中国「有关法律法规」。但文中没有解释为何众多与法轮功完全无关的新闻机构、博客、社交和视频网站也无法访问。^[66]国际奥委会新闻委员会主席高斯帕也表示，国际奥委会一些官员和中国当局已經达成协议，同意中国封锁一些被认为是敏感的、與奥运无关的网站^[67]。

奥运会结束数月后，中国政府对海外新闻网站的封锁又重新开始。至2008年12月，重新被封锁的网站包括德国之声、BBC、美国之音、法广、澳广、加拿大广播电台等新闻机构的中文网站。此外，根据總部在美国的非盈利维权组织“自由之家”16日发布的新闻稿，这次遭中国政府封闭的还有一些被视为敏感的网站，包括无国界记者、《亚洲周刊》和《明报》等。中华人民共和国外交部发言人刘建超表示，中国总体上是采取对外开放的政策，但是中国和其他国家一样，对于网站还是要依法做必要的管理，某些网站确实存在违反中国法律的事情^[68]。有评论认为，当局此次收紧舆论控制是为了防止经济危机进一步转化为社会与政治危机^[69]。

对谷歌的封锁

对维基百科的封锁

2013年对代码托管网站GitHub的审查和封锁

2013年1月20日，中国大陆政府的防火长城利用域名污染和关键词过滤等手段屏蔽GitHub。但是，由于屏蔽引发了社会的强烈反应，最终解除了对GitHub的屏蔽。

2014年中国网络异常事件

2014年1月21日下午中国发生大范围网络故障。由于中国通用顶级域域名解析出现异常，许多网站域名被解析到了完全没有反应的IP地址 65.49.2.178。

亞太經合組織（APEC）會議

2014年11月，由北京主辦的亞太經合組織（APEC）會議的新聞中心，提供的網絡服務不過濾任何網站，記者可自由登入Facebook、Twitter、Google、英國廣播公司等外國網站，是當局首次在大型國際活動期間全面開放互聯網。^[70]外交部發言人華春瑩在例行記者會上表示：「中國互聯網是開放的，我們將依法進行管理。如我們承諾過的，有關部門將為峰會圓滿舉行竭盡全力。媒體中心設施齊全，是專門為高標準提供相關服務而建造，包括互聯網服務」。^[71]

世界互联网大会

2014年11月，在浙江乌镇举办的第一届世界互联网大会期间，中國電信提供了专用无线网络“iWifi-Wuzhen”，使用该无线网络的嘉宾、记者以至普通游客们都可以正常使用Facebook、Twitter、美国之音、德国之声、自由亚洲电台、BBC中文網等被防火長城封锁的网站。而登记使用“iWifi-Wuzhen”专用无线网络，用户必须在登入页面使用本人的手机号码注册，获取验证码后才可以使用。至于使用普通手机3G、4G数据网络的用户，即使身在乌镇，则仍然受制于防火长城的管制，無法直接使用被封鎖的網站。^[72]

2015年11月第二届世界互联网大会期间，大会组织者向与会者提供了一套特殊的用户名和密码，用此用户名和密码登陆专用无线网络后，同样可以自由浏览境外网站，但如果直接使用当地的互联网络，依然无法浏览这些网站^[73]。

2015年加剧封锁

自2014年底起，中國官方在網路封鎖戰中逐漸佔據上風，大批VPN服務商相繼遭到封鎖^[74]，更有甚者提議立法限制VPN服務於大陸網路的註冊使用^[75]，此舉致使民怨沸騰並遭到社會言論指責。《南华早报》报道，在纪念中国人民抗日战争暨世界反法西斯战争胜利70周年大会前夕，多个被用于绕过互联网限制的服务遭到关闭或干扰。^[76]

除技术手段外，中国官方通过一系列线下措施，使一些翻墙工具的开发者迫于压力放弃开发，例如2015年1月4日，翻墙软件“枫叶香蕉”开发者许东疑因在网上发布翻墙技术及香港占中消息，被北京西城区警方带走，他的电脑U盘、手机等均被警方取走。警方指控他涉嫌寻衅滋事罪刑拘，关押在北京市第一看守所。同年1月30日获准取保释放。^[77]。2015年8月下旬，Shadowsocks的作者迫于警方压力^[78]删除了自己的项目^[79][80]，GoAgent的作者则自行将项目删除^[81]。

被美国列为贸易壁垒

美国贸易代表办公室在2016年4月发布的年度特別301報告中称，中国对互联网的审查过滤对外国企业是个严重的贸易障碍。报告中指出，中国在过去一年加紧了对网站的屏蔽，全球25家用户流量最多的网站中有八家被中国屏蔽。

据美联社报道，依赖互联网进行销售、结算以及其它功能的外国和国内企业纷纷抱怨“防火墙”阻碍了公司的运营，以导致部分跨国公司损失严重。

美国商会一月份的调查显示，接受调查的公司中有将近百分之八十的公司表示，他们受到了中国网络屏蔽所带来的“消极影响”。有超过半数的受访企业表示他们在使用网络工具或搜索信息时被屏蔽。很多中国网民也抱怨“防火墙”阻碍了他们与客户或商业伙伴交流以及學生申请海外院校。一些人通过使用虚拟私人网络（VPN）绕开“防火墙”的屏蔽，但现在这些虚拟私人网络也开始遭到北京当局屏蔽，后来在2015年12月前后，GFW突然屏蔽了全部出自国外（不包括ikev2在内）的所有不受控制的VPN连接。

那份年度报告还指出，中国对很多境外网站的屏蔽都显得很武断，有些和社会稳定或国家安全没有关系的网站也被屏蔽，比如美国一家大型家居装饰网站，里面的内容看上去一点都不敏感，但这种却是典型的有可能被防火墙屏蔽的网站。^[82]

为此，中国外交部发言人洪磊主持例行记者会，声称：中国互联网蓬勃发展，为各国企业提供了广阔发展空间。中国吸引外资的政策不会变，保护在华外企各方面合法权益的政策不会变，为外企在中国创造良好经营环境的政策也不会变。我们希望各国尊重其他国家自主选择的互联网发展道路、管理模式、公共政策以及参与国际互联网治理的权利。^[83]

Steam社区网站被屏蔽

Steam是世界最大的PC数字游戏平台，其社区网站被用于讨论和分享游戏经验。Steam在中国也有着庞大的用户群，根据Steam Spy2017年底的报告，Steam的中国区玩家已经突破3000万^[84]，其不受中国监管的社群被认为带来了监管方面的挑战^[85][86]。Steam自2015年開啓人民幣結算以來，曾多次因部分網民在社區發表違反中國法律的内容而遭到屏蔽，在Valve配合刪除相關違規言論並封禁違規用戶后均解除了屏蔽。但自2017年12月16日起，Steam除了商店，其他功能（社區、市場、庫存、創意工坊）均被屏蔽，方法是DNS污染和SNI RST^[87]，該屏蔽至今仍未解除，玩家需要不斷修改hosts或使用加速器等工具才能訪問，但中國大陸部分地區的用戶即使是修改hosts或使用了加速器，在訪問社區的時候仍然會提示“您所在的地區不支持”，原因未知。

因提供翻墙服务而获刑

近年来已有多人因提供翻墙工具和服务而遭到公安机关逮捕，受到处罚甚至被起诉获刑。例如：

• 2016年8月24日东莞居民邓杰威遭公安机关逮捕，并被东莞市人民检察院以犯提供侵入、非法控制计算机信息系统程序、工具罪向东莞市第一人民法院提起公诉，一审判处有期徒刑九个月。判决书中写道："经鉴定，被告人邓杰威的ShadowsocksR-dotnet4.0.exe软件可以访问国内（大陆地区）IP不能访问的外国网站。……被告人邓杰威的作案时间长，影响范围广，其犯罪情节不属轻微，社会危害性较大。”^[88][89]


• 2017年9月，在南京某网络企业从事软件开发工作的赵某，因向他人出售翻墙服务，被南京浦口警方根据《中华人民共和国网络安全法》的有关规定处以行政拘留3天、没收违法所得共计1,080元的处罚。^[90][91]


• 2017年10月，无锡新吴警方拘捕包某等3名翻墻软件"云梯VPN"制售團隊成員，並將“云梯VPN”所有服务器连接切断^[92]


• 2013年至2017年6月期间，吴向洋在网上搭建VPN服务器并提供会员账号和登陆软件，该软件登录后可以浏览境外网站，另外吴向洋还把一些VPN会员账号密码写到硬件路由器上，使得修改过的路由器能够直接登录VPN，实现能够收听境外网站音视频节目的功能。之后吴向洋利用“淘宝网”开设网店，以及在互联网开设“凡狗VPN”网站等方式，向一般用户出租或销售VPN软件、VPN路由器硬件，交易数千次，经营额达792638元,获利约50余万元。2017年10月，广西壮族自治区平南县检察院以涉嫌非法经营罪批准逮捕犯罪嫌疑人吴向洋并移送审查起诉^[93],最終吳向洋因非法经营罪被法院判决有期徒刑五年六个月,并处罚金人民币五十万元^[94]。


• 2016年夏天起，河南网民刘冰洋开始提供基于Shadowsocks的翻墙服务。2017年3月30日被河南省新野县公安局逮捕。“截至案发，被告人刘冰洋共购买、搭建境外代理服务器55个，发展客户共计4091个，非法获利342635元（其中，美元汇率按6.90元、港币汇率按0.89元折算）”。2017年12月28日，刘冰洋被河南省新野县人民法院一审以提供侵入、非法控制计算机信息系统的程序、工具罪判处有期徒刑三年，缓刑五年，罚金100000元，并没收300000元。^[95]


• 2018年，岳阳人王某、孙某、欧阳某在网上销售能提供翻墙服务的名为“粒子云加速器”的VPN软件。同年4月，销售软件行为被岳阳县公安局网技大队发现。同年5月，岳阳警方在岳阳市区抓捕王某、孙某和欧阳某三人并将其行政拘留。截至被捕时，三人共向26人次销售了VPN软件，获利近千元^[96]。


• 在某证券管理公司从事软件开发工作的戴某，自2016年4月起，创建网站，并在网站上出售VPN翻墙软件的账户。同时租用中国境外服务商的多台服务器，向所出售的账户提供可以访问中国IP不能访问的外国网站服务。戴某于2017年10月10日被抓获，截至2017年10月案发，戴某共计向数百人次提供VPN服务。在法院审理期间，戴某退还盈利所得人民币1万元。2018年10月，上海市宝山区人民法院宣判戴某提供侵入、非法控制计算机信息系统程序、工具罪一案，判处有期徒刑三年，缓刑三年，并处罚金人民币一万元^[97]。


• 钟祥市人刘小康在Shadowsocks基础上自主开发，自2017年1月起以名为“天眼通”的网站向网民提供翻墙服务。同年10月13日，刘小康被刑事拘留，11月15日被逮捕。判决书写到，被告人刘小康非法获利2662280.26元。湖北省咸宁市咸安区人民法院于2019年1月29日判决刘小康有期徒刑三年，缓刑四年，并处罚金500000元，没收全部违法所得。^[98]

因翻墙而受到处罚

除提供翻墙工具和服务以外，翻墙行为本身也有可能会招致惩罚。例如2019年1月4日，广东韶关市公安局发布信息指控当地市民朱某“擅自建立、使用非法定信道进行国际联网”，对其处以警告并罚款1000元。另外一份印有重庆市荣昌区公安局公章的《被传唤人家属通知书》显示了对重庆网民黄某的处罚。^[99]

参考文献

引用

来源

外部链接

维基新闻相关報導：
中国大陆外用户访问国内带有敏感词的网页可能会被重置连接

• 
  （英文） Chinese bloggers run the gauntlet of forced registration, censorship
  


• 
  （英文） Website Test behind the Great Firewall of China, WebSitePulse


• 
  （简体中文） GreatFire.org
  


• 
  （简体中文） 入侵防御系统的评测和问题
  


• 
  （简体中文） 阅后即焚：“GFW”（又名GFW的前世今生）——匿名作者


• 
  （简体中文） 深入理解GFW：内部结构
  


• 
  田路. “网上长城”攻防战. 凤凰周刊, 腾讯新闻. "vingietang" (责任编辑). 2010年12月22日 [2018年4月16日] （中文（中国大陆）‎）. 
  

参见

中华人民共和国网络审查

• 中华人民共和国审查词汇列表


• 中华人民共和国被封锁网站列表


• 中国大陆封锁维基媒体事件


• 大炮

突破网络审查（俗称“翻墙”、“破网”、“科学上网”、“番茄”）

• 代理服务器


• VPN


• hosts文件

相关主张与设施

• 網路主權


• 和谐社会


• 國家區域網路


• 国际离岸云计算数据特别管理区


• 第五權


• 
  禁止网络盗版法案（SOPA，美國提出類似機制的法案）


• 蜻蜓計畫

相关人物

• 方滨兴