防火长城

定义

防火长城是对中国政府在其管辖互联网内部建立的各类网络审查与过滤设施的统称，既包括技术性的流量监测与阻断系统，也包括与之配套的行政审查手段^[3]。严格意义上的防火长城指部署在国际出入口上的软硬件设备，用于自动分析、过滤和阻断境内与境外之间的信息互访^[1]。

由于中国境内含有不合规内容的网站通常会先受到行政干预，被要求自我审查、自我监管乃至关闭，防火长城的主要作用体现在对跨境网络信息的分析与过滤上^[1]。一般讨论中，“墙”被用作动词，“被墙”即指某网站或域名被该系统屏蔽^[4]。

原理

域名系统污染是应用最广的手段之一。域名解析请求多以无连接的 UDP 协议在 53 端口发出，本身缺乏认证机制；当请求中的域名命中过滤名单时，系统会抢先返回一个虚假的解析结果，查询方通常只接受最先到达的应答，因而得不到真实 IP 地址^[5]。域名若使用多个 IP 或频繁更换 IP 以规避封锁，往往会被这种方式处理^[5]。

IP 封锁作用于更粗略的层面，通过访问控制列表、边界网关协议劫持或黑洞路由等手段，使数据包无法抵达真实服务器，而是被丢弃或引向错误目的地^[2]。

深度包检测针对传输内容本身。对未加密的 HTTP 连接，设备会检查正文，一旦发现敏感词便注入 TCP 重置报文中断连接；对 HTTPS 连接，虽然内容是加密的，但握手阶段的服务器名称指示(SNI)部分长期未加密，系统据此即可判断目标站点并实施重置^[2]。这类阻断的特点是用 ping 或 traceroute 检测时路径显示正常，浏览器却提示连接被重置^[2]。

还有一类手段是主动探测：先在上行流量中识别特定协议特征，再回连疑似服务端口加以确认，确认后予以封锁。研究者在 2011 年观察到，私有网桥在被使用后几分钟内即遭阻断，过程分为流量指纹识别与后续扫描两个阶段^[6]。

发展历程

防火长城的建设一般追溯至 1998 年前后，与公安信息化工程同期推进。1998 年 9 月，公安部决定建设“金盾工程”，即全国公安工作信息化工程；该工程包括全国公共信息网络安全监控中心的建设，具备网络监控与过滤职能^[7]。

1999 年前后，针对境外网站的黑名单式封堵与网页关键字过滤开始出现，早期重点涉及信息类网站^[8]。2002 年左右，域名服务器缓存污染技术被采用，借助路由器入侵检测系统实施域名劫持^[5]。

2002 年的一篇同名文章使“The Great Firewall of China”成为通行称呼，该文由 Charles R. Smith 撰写，取与“长城”谐音的效果^[9]。此后，审查与规避技术形成持续的对抗：2008 年起出现针对特定匿名网络站点的深度包检测与重置；2009 年扩展为对公开中继节点的 IP 封锁；2011 年起加入主动探测^[6]。

2021 年 3 月起，屏蔽措施进一步升级，对加密 DNS 服务的握手信息实施连接重置或丢包处理^[10]。

应用

防火长城的直接作用是限制境内用户访问部分境外站点。科普类资料举例称，被限制的内容包括色情网站、境外新闻站点以及部分社交平台，用户需借助代理或加密隧道才能访问^[11]。

与之相对，突破网络审查的技术也发展起来。加密使审查设备无法判断传输内容，代理与隧道则把流量转向境外服务器中转，虚拟专用网和 SSH 是其中较常见的两类方案^[8]。2010 年前后出现的“西厢计划”则不做代理，而是通过注入特定报文干扰审查设备的连接状态判断，从协议层规避关键词检测^[12]。

局限

技术层面的限制首先来自协议自身的演进。DNS 污染依赖查询结果无认证这一缺陷，而 DNSSEC 为解析数据提供了验证机制，可有效抵御此类劫持^[5]。对等网络与加密隧道也不易从内容上识别，例如流量经多个节点中继并加密后，内容审查便难以奏效^[8]。

另一类限制来自经济与业务需求。银行、跨国企业与外贸单位之间的数据传输需要安全通道，若一律切断加密连接，正常商业通信也将无法进行，因此实际上难以完全封禁所有代理与隧道^[8]。

审查与规避之间存在长期的迭代关系。有研究指出，针对特定协议的识别方法一旦公开，规避方往往很快找到对应手段，双方的对抗表现为不断升级的循环，难以出现一劳永逸的结果^[13]。此外，部分基于注入的规避方案对无状态封锁无效，且依赖链路两端遵守 RFC 规范^[12]。

参见

• 金盾工程 —— 与防火长城关系密切的公安信息化工程，包含全国公共信息网络安全监控中心的建设。

• 深度包检测 —— 防火长城识别与阻断流量的核心技术之一。

• 域名污染 —— 通过返回虚假解析结果实现封锁的手段。

• TCP重置攻击 —— 以伪造复位报文中断连接的阻断方式。

• 突破网络审查 —— 针对各类审查封锁技术发展出的规避方法。

• 边界网关协议 —— IP 封锁中劫持路由所涉及的协议。