防火长城

title: 简介.
content: 一般情况下,中国国家防火墙,即防火长城,主要指中国政府用于过滤互联网国际出口上内容的软硬件系统的集合。例如中国政府将查获的特定网点阻断,造成大家所熟知的连线错误现象,因此防火墙不是中国特有的一个专门单位,是由分散部门的各服务器和路由器等设备,加上相关公司的应用程序所构成,是一个军民合作的大型资讯管制系统,世界其他一些国家也存在网络审查,不过其审查对象、规模、执行主体等均与中国的审查机制有着相当大的不同(参见:互联网审查),例如仅止于金融洗钱、国际诈骗等犯罪行为,或者仅审查儿童色情相关。而防火长城的作用是监控所有经过国际网关的通讯,对认为不符合中共官方要求的传输内容,进行干扰、阻断、屏蔽。由于中国网络审查广泛,中国国内含有「不合适」内容的网站,会受到政府直接的行政干预,被要求自我审查、自我监管,乃至关闭,故防火长城主要作用在于分析和过滤中国境外网络的资讯互相存取。中国工程院院士、北京邮电大学前校长方滨兴是防火长城关键部分的首要设计师,被称为中国国家防火墙之父。  然而,防火长城对网络内容的审查是否没有限制和不违反言论自由,一直是受争议的话题,官方说辞也相当笼统。有报告认为,防火长城其实是一种圆形监狱式的全面监控,以达到自我审查的目的。而中共当局一直没有正式对外承认防火长城的存在,如当有记者在外交部新闻发布会上问及互联网封锁等问题的时候,发言人的答案基本都是「中国政府鼓励和支持互联网发展,依法保障公民言论自由,包括网上言论自由。同时,中国对互联网依法进行管理,这符合国际惯例。」方滨兴曾在访谈中被问及防火长城是如何运作的时候,他指这是「国家机密」。不过2015年1月与官方有密切关联的《环球时报》则发布报道曾公开宣扬其存在。  在中国大陆民众内部,由于内部蓬勃的因特网企业,墙的存在感也逐渐被忽略,经过18个月的调查研究后,北京大学和斯坦福大学两名经济学家在2018年得出了结论,中国大学生对于获取未经审查的政治敏感信息漠不关心。他们给北京两所大学的近1000名学生提供了能够绕过审查的免费工具,但发现近半数学生并没有使用它。在那些使用了的学生中,几乎没人花时间浏览遭到屏蔽的外国新闻网站。  中国还有一套公开在公安部辖下的网络安全项目——金盾工程,其主要功能是处理中国公安管理的业务,涉外饭店管理,出入境管理,治安管理等,所以金盾工程和防火长城的关系一直没有明确的认定。
title: 主要技术.
title: 域名解析服务缓存污染.
content: 防火长城对所有经过骨干出口路由的位于TCP与UDP的53端口上的域名查询请求进行IDS检测,一经发现处于黑名单关键词中相匹配的域名查询请求,防火长城作为中间设备会向查询者返回虚假结果。由于通常的域名查询没有任何认证机制,而且域名查询通常基于的UDP协议是无连接不可靠的协议,查询者无法验证返回结果的正确性,而TCP协议则可以使用TCP连接重置来中断连接来阻止获得返回结果。DNSSEC技术为DNS解析服务提供了解析数据验证机制,理论上可以有效抵御劫持。此外,DNSCrypt、DoT、DoH等方法通过将DNS请求封装于安全连接内,以保护DNS请求中的数据不被中间传输设备篡改。  从2002年左右开始,防火长城在国内进行域名服务器缓存污染。作为DNS系统的组成部分,全球一共有13组根域名服务器(Root Server)。2010年中国大陆有F、I、J这3个根域DNS镜像,但曾因为多次DNS污染外国网络,威胁互联网安全和自由,北京的I根域服务器曾被断开与国际互联网的连接。目前已恢复服务。  这种DNS污染的方式曾经向中国大陆以外的用户造成影响。2010年3月,当美国和智利的用户试图访问热门社交网站如facebook.com和youtube.com还有twitter.com等域名,他们的域名查询请求转交给中国控制的DNS根镜像服务器处理,由于这些网站在中国被封锁,结果用户收到了错误的DNS解析信息,这意味着防火长城的DNS污染已影响国际互联网。2010年4月8日,中国大陆一个小型ISP的错误路由数据,经过中国电信的二次传播,扩散到了整个国际互联网,波及到了AT&T、Level3、德国电信、Qwest和西班牙电信等多个国家的大型ISP。  2012年11月9日下午3点半开始,防火长城对Google的泛域名*.google.com进行了大面积的污染,所有以.google.com结尾的域名均遭到污染而解析错误不能正常访问,其中甚至包括不存在的域名,而Google为各国定制的域名也遭到不同程度的污染(因为Google通过使用CNAME记录来平衡访问的流量,CNAME记录大多亦为.google.com结尾),但Google拥有的其它域名如.googleusercontent.com等则不受影响。有网友推测Google被大面积阻碍连接是因为中共正在召开的十八大。  2014年1月21日下午三点半,中国网站的.com、.net、.org域名解析不正常,网站被错误地解析至65.49.2.178,该IP位于美国北卡罗来纳州的Dynamic Internet Technology,即自由门的开发公司。据推测,可能是操作失误造成的事故。  2015年1月2日起,污染方式升级,不再是解析到固定的无效IP,而是随机地指向境外的有效IP。刚开始只是对YouTube影片域名(*.googlevideo.com)进行处理,之后逐渐扩大到大多数被污染的域名。这导致了境外服务器遭受来自中国的DDoS攻击,部分网站因此屏蔽中国IP。
title: IP地址或传输层端口封锁.
content: 对拦截行为观察发现,在早期技术实现中,会使用访问控制列表(ACL)技术来封锁特定的IP地址,由此延伸可以封锁传输层协议(TCP或UDP)的特定目的端口的网络流量。不过由于大量的ACL匹配会导致网络性能不佳。现在主要是采用了效率更高的路由扩散技术封锁特定IP地址,也就是通过将需要拦截的IP地址配置为空路由或者黑洞设备上,然后通过动态路由协议将相应配置路由扩散到公众互联网网络中,从将条件匹配拦截行为转为路由器的常规转发行为,从而提高拦截效率。多见于自主拥有大量IP地址段的需要审查的企业中。
title: 针对TCP和UDP连接的封锁.
content: 2011年3月,防火长城曾经对Google部分服务器的IP地址实施自动封锁(按时间段)某些端口,按时段对www.google.com(用户登录所有Google服务时需此域名加密验证)和mail.google.com的几十个IP地址的443端口实施自动封锁,具体是每10或15分钟可以连通,接着断开,10或15分钟后再连通,再断开,如此循环,使中国大陆用户和Google主机之间的连接出现间歇性中断,使其各项加密服务出现问题。Google指责中国这样的封锁手法高明,因为Gmail并非被完全阻断,营造出Google服务“不稳定”的假象,表面看上去好像问题出自Google本身。  2014年5月27日起,几乎所有Google服务的80和443端口被封锁。2014年12月26日起,Google数段IP被路由扩散封锁,直接导致Gmail客户端所用的IMAP/SMTP/POP3端口也被封锁。
title: TCP连接重置.
content: TCP重置是TCP的一种消息,用于重置连接。一般来说,例如服务器端在没有客户端请求的端口或者其它连接信息不符时,系统的TCP协议栈就会给客户端回复一个RESET通知消息,可见RESET功能本来用于应对例如服务器意外重启等情况。防火长城切断TCP连接的技术实际上就是比连接双方更快地发送连接重置消息,使连接双方认为对方终止了连接而自行关闭连接。有关技术已被申请为发明专利。  一般这种攻击方法需要结合相应的检测方式来实施,例如HTTP传输是未经过加密的,因此可以关键字过滤系统对传输网页的URL和内容进行检测。2012年10月下旬起,由于Google搜索链接跳转使用的是HTTP,部分用户在点击搜索结果链接跳转时一直被卡住,一直卡了6分钟之后客户端发送RST重置,然后页面一片空白。  为了避免检测,提出了多种协议加密的方法。  早期TLS版本中,服务器握手响应,包括站点证书,是未被加密的,所以可以用于识别出访问站点。自TLS 1.3开始,ServerHello之后的握手信息,包括站点证书,也会被加密后传输,一般可以认为能防止对证书信息的检测。  服务器名称指示(SNI)是TLS的一个扩展协议,该协议下,在握手过程开始时客户端告诉它正在连接的服务器要连接的主机名称。由于SNI信息并非加密的,允许审查者区分出“真实”和“虚假”的服务或者识别出使用者访问的网站域名。作为TLS的标准扩展实现,TLS 1.3将通过支持加密SNI以解决这个问题。Mozilla的Firefox在测试版中提供ESNI的草案性实现支持。
title: 其他.
title: 对破网软件的反制.
content: 因为有防火长城的存在,大量境外网站无法在中国大陆境内正常访问,于是大陆网民开始逐步使用各类翻墙软件突破防火长城的封锁。针对网上各类突破防火长城的翻墙软件,防火长城也在技术上做了应对措施以减弱翻墙软件的穿透能力。通常的做法是利用上文介绍的各种封锁技术以各种途径打击翻墙软件,最大限度限制翻墙软件的穿透和传播。  同时根据中国大陆网民反映,防火长城现已有能力对基于PPTP和L2TP协议的VPN连接进行监控和封锁,这使得大陆网民突破防火长城的封锁变得更加困难。2015年1月起,部分国外VPN服务在中国大陆无法正常使用,这些VPN使用的是L2TP/IPSec和PPTP协议。
title: 对破网软件加密流量的探测.
content: 防火长城通过提取加密流量数据包,分析其特征,即可对破网软件中的加密流量进行精准识别,并可进一步进行阻断;有研究表明防火长城可基于卷积神经网络对Shadowsocks流量进行探测。
title: 对Tor的刺探.
content: Tor项目的研究人员则发现防火长城会对各种基于TLS加密技术的连接进行刺探,刺探的类型有两种:
title: 间歇性完全封锁.
title: 间歇性封锁国际出口.
content: 从2011年5月6日起,中国大陆境内很多互联网公司以及高校、学院、科研单位的对外网络连接都出现问题,包括中国科学院。有分析指断网可能是因为防火长城已经具有了探测和分析大量加密流量并对用户IP地址执行封锁的能力,而各大机构的出口被封也在其中。具体表现为:当用户使用了破网(翻墙)软件后,其所在的公共网络IP地址会被临时封锁,所有的国际网站都无法访问,包括MSN、iTunes Store等,而访问国内网站却正常,但如果使用境外的DNS解析域名则将会由于DNS服务器被封锁导致无法解析任何域名,国内网站也会无法打开。也有分析指,此举是中国当局在测试逐步切断大部分人访问国际网站的措施,以试探用户反应并最终达到推行网络「白名单」制,也就是凡没有在名单上的企业或团体其网络域名将不能解析,一般用户也无法访问。而中共党机关报《人民日报》旗下的《环球时报》英文版则引述方滨兴指,一些ISP必须为自己的用户支付国际流量费用,因此这些公司「有动机」去阻碍用户访问国外网站。一位不愿留名的工信部官员说,用户碰到这些情况应先检查自己和网站的技术问题。
title: 深度包检测.
content: 深度封包检测(英语:Deep packet inspection, DPI)是一种于应用层对网络上传递的资料进行侦测与处理的技术,被广泛用于入侵检测、流量分析及数据挖掘。就字面意思考虑,所谓「深度」是相对于普通的报文检测而言的——相较普通的报文检测,DPI可对报文内容和协议特征进行检测。  在中国大陆,DPI一度被ISP用于追踪用户行为以改善其广告推送业务的精准性,而最近则被国外视为防火长城城赖以检测关键词及嗅探加密流量的重要技术之一。基于必要的硬件设施、适宜的检测模型及相应的模式匹配算法,防火长城能够精确且快速地从实时网络环境中判别出有悖于预期标准的可疑流量,并对此及时作出审查者所期望的应对措施。  华为公司曾被媒体指责涉及向伊朗第一家全国性无限宽带服务供应商MobinNet提供包含DPI技术的「合法拦截解决方案」,以帮助伊朗政府开展网络审查工作,但华为否认这一说法。
title: 针对IPv6协议的审查.
content: IPv6(互联网通信协议第6版)是被指定为IPv4继任者的下一代互联网协议版本。  方滨兴在他的讲话《五个层面解读国家信息安全保障体系》中曾经说道:「比如说Web 2.0概念出现后,甚至包括病毒等等这些问题就比较容易扩散,再比如说IPv6出来之后,入侵检测就没有意义了,因为协议都看不懂还检测什么。」  自2014年8月28日起,原先可以通过IPv6直连Google的中国教育网(CERNET)内试图通过https连接*.google.com.*等网页时,可能收到SSL证书错误的提示,其中以连接https://www.google.com.hk/几乎是每次连接均收到攻击,而其它连接例如https://ipv6.google.com/和https://accounts.google.com/也有受到攻击的报告,但攻击发生的几率相对较低。伪造的SSL证书显示其为google.com,颁发机构即为其本身,与真正的证书不同,显示谷歌在中国教育网上受到中间人攻击(MITM attack)。
title: 对电子邮件通讯的拦截.
content: 正常情况下,邮件服务器之间传输邮件或者数据不会进行加密,故防火长城能轻易过滤进出境内外的大部分邮件,当发现关键字后会通过伪造RST封包阻断连接。而因为这通常都发生在数据传输中间,所以会干扰到内容。也有网友根据防火长城会过滤进出境邮件的特性,寻找到防火长城部署的位置。  2014年12月26日,有很多中国大陆网民反映说一度无法通过客户端登录到Gmail。在此之前,国内一些用户可以通过IMAP、SMTP和POP3接收、下载邮件;据路透社报道谷歌旗下的Gmail业务已经被当局封锁。12月30日,Gmail的邮件服务器功能已在中国大陆境内恢复部分功能。但Gmail网页版至今仍被屏蔽。
title: 网络攻击.
content: 中华人民共和国从2015年3月开始,使用一种被称为“大炮”的网络攻击攻击方案,对可能涉及违反审查要求的特定网站,进行分布式阻断服务攻击(DDoS)。  其中2015年3月针对Github的攻击,通过包括劫持常见的网站工具脚本植入攻击代码、一些常见浏览器漏洞等方法,持续五天对Github网站进行攻击,导致网站全球访问速度缓慢。中国政府否认有关指责。
title: 硬件.
content: 据2010年的估计,防火长城可能拥有数百台曙光4000L服务器。

Summary: 防火长城(英语:Great Firewall,常用简称:英语:GFW,中文也称中国国家防火墙,中国大陆民众俗称墙、网络长城、功夫网等等),是对中华人民共和国政府在其互联网边界审查系统(包括相关行政审查系统)的统称。此系统起步于1998年,其英文名称得自于2002年5月17日英语:Charles R. Smith所写的一篇关于中国网络审查的文章《英语:The Great Firewall of China》,取与英语:Great Wall(长城)相谐的效果,简写为英语:Great Firewall,缩写英语:GFW。随着使用的拓广,中文「墙」和英文「英语:GFW」有时也被用作动词,中国网友所说的「被墙」即指网站内容被防火长城所屏蔽或者指服务器的通讯被封阻,「翻墙」也被引申为突破网络审查浏览中国大陆境外被屏蔽的网站或使用服务的行为。