防火长城

簡介

一般情況下，中國國家防火牆，即防火長城，主要指中國政府用於過濾網際網路國際出口上內容的軟硬體系統的集合。例如中國政府將查獲的特定網點阻斷，造成大家所熟知的連線錯誤現象，因此防火牆不是中國特有的一個專門單位，是由分散部門的各伺服器和路由器等裝置，加上相關公司的應用程式所構成，是一個跨軍民合作的大型資訊管制系統，世界其他一些國家也存在網路審查，不過其審查物件、規模、執行主體等均與中國的審查機制有著相當大的不同(參見：網際網路審查)，例如僅止於金融洗錢、國際詐騙等犯罪行為，或者僅審查兒童色情相關。而防火長城的作用是監控所有經過國際閘道器的通訊，對認為不符合中共官方要求的傳輸內容，進行干擾、阻斷、封鎖。由於中國網路審查廣泛，中國國內含有「不合適」內容的網站，會受到政府直接的行政干預，被要求自我審查、自我監管，乃至關閉，故防火長城主要作用在於分析和過濾中國境外網路的資訊互相存取。中國工程院院士、北京郵電大學前校長方濱興是防火長城關鍵部分的首要設計師，被稱為中國國家防火牆之父。
然而，防火長城對網路內容的審查是否沒有限制和不違反言論自由，一直是受爭議的話題，官方說辭也相當籠統。有報告認為，防火長城其實是一種圓形監獄式的全面監控，以達到自我審查的目的。而中共當局一直沒有正式對外承認防火長城的存在，如當有記者在外交部新聞發布會上問及網際網路封鎖等問題的時候，發言人的答案基本都是「中國政府鼓勵和支持互聯網發展，依法保障公民言論自由，包括網上言論自由。同時，中國對互聯網依法進行管理，這符合國際慣例。」方濱興曾在訪問中被問及防火長城是如何運作的時候，他指這是「國家機密」。不過2015年1月與官方有密切關聯的《環球時報》則發布報導曾公開宣揚其存在。
在中國大陸民眾內部，由於內部蓬勃的網際網路企業，牆的存在感也逐漸被忽略，經過18個月的調查研究後，北京大學和斯坦福大學兩名經濟學家在2018年得出了結論，中國大學生對於獲取未經審查的政治敏感資訊漠不關心。他們給北京兩所大學的近1000名學生提供了能夠繞過審查的免費工具，但發現近半數學生並沒有使用它。在那些使用了的學生中，幾乎沒人花時間瀏覽遭到封鎖的外國新聞網站。
中國還有一套公開在公安部轄下的網路安全專案——金盾工程，其主要功能是處理中國公安管理的業務，涉外飯店管理，出入境管理，治安管理等，所以金盾工程和防火長城的關係一直沒有明確的認定。

域名解析服務快取污染

防火長城對所有經過骨幹出口路由的在UDP的53埠上的域名查詢會被IDS檢測，一經發現與黑名單關鍵詞相匹配的域名查詢請求，防火長城會馬上偽裝成目標域名的解析伺服器給查詢者返回虛假結果。由於通常的域名查詢沒有任何認證機制，而且域名查詢通常基於的UDP協定是無連接不可靠的協定，查詢者只能接受最先到達的虛假查詢結果，並丟棄之後的正確查詢結果。用戶若改用TCP在53埠上進行DNS查詢，雖然不會被防火長城污染，但可能會遭遇連接重設，導致無法獲得目標網站的IP位址。
DNSSEC技術為DNS解析服務提供了解析資料驗證機制，理論上可以有效抵禦劫持。此外，DNSCrypt、DoT、DoH等負載於安全連接的DNS存取也能保護DNS的存取資料不被中間傳輸裝置篡改。
全球一共有13組根域名伺服器（Root Server），2010年中國大陸有F、I、J這3個根域DNS鏡像，但曾因為多次DNS污染外國網路，威脅網際網路安全和自由，北京的I根域伺服器曾被斷開與網際網路的連接。目前已恢復服務。
從2002年左右開始，中國大陸的網路審查機關開始採用域名伺服器快取污染技術，防止了一般民眾存取被過濾的網站。對於含有多個IP位址或經常變更IP位址逃避封鎖的域名，防火長城通常會使用此方法進行封鎖，具體方法是當用戶從境內向境內DNS伺服器提交域名請求時，DNS伺服器要查詢根域名伺服器，此過程會受防火長城污染。而用戶不做任何保護措施直接查詢境外DNS時，會受防火長城污染。當用戶從境外查詢境內伺服器（不一定是有效DNS伺服器），結果也會被污染。
2010年3月，當美國和智利的用戶試圖存取熱門社群網站如facebook.com和youtube.com還有twitter.com等域名，他們的域名查詢請求轉交給中國控制的DNS根鏡像伺服器處理，由於這些網站在中國被封鎖，結果用戶收到了錯誤的DNS解析資訊，這意味著防火長城的DNS污染已影響網際網路。
2010年4月8日，中國大陸一個小型ISP的錯誤路由資料，經過中國電信的二次傳播，擴散到了整個網際網路，波及到了AT&T、Level3、德國電信、Qwest和西班牙電信等多個國家的大型ISP。
2012年11月9日下午3點半開始，防火長城對Google的泛域名*.google.com進行了大規模的污染，所有以.google.com結尾的域名均遭到污染而解析錯誤不能正常存取，其中甚至包括不存在的域名，而Google為各國客製化的域名也遭到不同程度的污染（因為Google通過使用CNAME記錄來平衡存取的流量，CNAME記錄大多亦為.google.com結尾），但Google擁有的其它域名如.googleusercontent.com等則不受影響。有網友推測Google被大規模阻礙連接是因為中共正在召開的十八大。
2014年1月21日下午三點半，中國網站的.com,.net,.org域名解析不正常，網站被錯誤地解析至65.49.2.178，該IP位於美國北卡羅來納州的Dynamic Internet Technology，即自由門的開發公司。據推測，可能是操作失誤造成的事故。
2015年1月2日起，污染方式升級，不再是解析到固定的無效IP，而是隨機地指向境外的有效IP。剛開始只是對YouTube影片域名（*.googlevideo.com）進行處理，之後逐漸擴大到大多數被污染的域名。這導致了境外伺服器遭受來自中國的DDoS攻擊，部分網站因此封鎖中國IP。
目前大部分網站污染方式已恢復為解析到固定的無效IP，但小部分網站和新疆地區存取Google時仍會污染至有效IP（如Google中國大陸境內的伺服器IP）。

針對TCP和UDP連接的封鎖

在早期技術實現中，會使用存取控制列表（ACL）技術來封鎖特定的IP位址，由此延伸可以封鎖傳輸層協定（TCP或UDP）的特定目的埠的網路流量。不過由於大量的ACL匹配會導致網路效能不佳，現在主要是採用了效率更高的路由擴散技術封鎖特定IP位址。正常的情況下，靜態路由是由管理員根據網路拓撲或是基於其它目的而提供的一條路由，所以這條路由最起碼是要正確的，這樣可以啟動路由器把封包轉發到正確的目的地。而防火長城的路由擴散技術中使用的靜態路由其實是一條錯誤的路由，而且是有意組態錯誤的，其目的就是為了把本來是發往某個IP位址的封包統統啟動到一個「黑洞伺服器」上，而不是把它們轉發到正確目的地。這個黑洞伺服器上可以什麼也不做，這樣封包就被無聲無息地丟掉了。更多地，可以在伺服器上對這些封包進行分析和統計，取得更多的資訊，甚至可以做一個虛假的回應。這些錯誤靜態路由資訊會把相應的IP封包啟動到黑洞伺服器上，通過動態路由協定的路由重分發功能，這些錯誤的路由資訊可以發布到整個網路。這樣對於路由器來講現在只是在根據這條路由條目做一個常規封包轉發動作，無需再進行ACL匹配，與以前的老方法相比，大大提高了封包的轉發效率。
2011年3月，防火長城曾經對Google部分伺服器的IP位址實施自動封鎖（按時間段）某些埠，按時段對www.google.com（用戶登入所有Google服務時需此域名加密驗證）和mail.google.com的幾十個IP位址的443埠實施自動封鎖，具體是每10或15分鐘可以連通，接著斷開，10或15分鐘後再連通，再斷開，如此迴圈，使中國大陸用戶和Google主機之間的連接出現間歇性中斷，使其各項加密服務出現問題。Google指中國這樣的封鎖手法高明，因為Gmail並非被完全阻斷，營造出Google服務「不穩定」的假象，表面看起來好像問題出自Google本身。
2014年5月27日起，幾乎所有Google服務的80和443埠被封鎖。2014年12月26日起，Google數段IP被路由擴散封鎖，直接導致GMAIL客戶端所用的IMAP/SMTP/POP3埠也被封鎖。
一般情況下，防火長城對於中國大陸境外的「非法」網站會採取獨立IP封鎖技術，然而部分「非法」網站使用的是由虛擬主機服務供應商提供的多域名、單（同）IP的主機代管服務，這就會造成了封禁某個IP位址，就會造成所有使用該服務供應商服務的其他使用相同IP位址伺服器的網站用戶一同遭殃，就算是「內容健康、政治無關」的網站，也不能倖免。其中的內容可能並無不當之處，但也不能在中國大陸正常存取。所以基於路由封鎖的方法現在主要用於針對自主擁有大量連續位址段的特定網路服務商，例如Google、Twitter、Facebook等；對於內容傳遞網路（CDN）的位址段可能不會採用這種位址封鎖的方法，以避免誤封；基於ACL策略可能會在當地的網際網路服務商（ISP）中使用，同時用於控制過度往網路傳送封包的控制。

針對UDP連接的干擾

針對使用UDP連接的網站，在保證IP未被路由擴散技術封鎖的情況下，使用HTTP/3（QUIC傳輸協定）的UDP連接可以有效避開防火長城的審查。但從2019年3月起，出現針對UDP的連接干擾。（錯誤提示：ERR_QUIC_PROTOCOL_ERROR），目前防火長城仍然無法對UDP連接進行針對性阻攔，但防火長城可以干擾其連接，使得目前所有利用 UDP 翻牆的手段都可能會受到干擾，特別是在針對 QUIC 方面會阻斷 UDP 443 埠的連接。

針對HTTP協定的關鍵字阻斷

2002年左右開始，中國大陸研發了一套關鍵字過濾系統。這個系統能夠從出口閘道器收集分析資訊，過濾、嗅探指定的關鍵字。普通的關鍵詞如果出現在HTTP請求封包的標頭（如「Host: www.youtube.com」）時，則會馬上偽裝成對方向連接兩端的電腦傳送RST封包（Reset）干擾兩者間正常的TCP連接，進而使請求的內容無法繼續檢視。如果防火長城在資料流中發現了特殊的內文關鍵詞（如「falun」等）時，其也會試圖打斷目前的連接，從而有時會出現網頁開啟一部分後突然停止的情況。在任何阻斷發生後，一般在隨後的90秒內同一IP位址均無法瀏覽對應IP位址相同埠上的內容。
2010年3月23日，Google宣布關閉中國伺服器（Google.cn）的網頁搜尋服務，改由Google香港域名Google.com.hk提供後，由於其伺服器位於大陸境外必須經過防火長城，所以防火長城對其進行了極其嚴格的關鍵詞審查。一些常見的中共高官的姓氏，如「胡」、「吴」、「温」、「贾」、「李」、「习」、「贺」、「周」、「毛」、「江」、「令」，及常見姓氏「王」、「刘」、「彭」等簡體中文單字，當局實行一刀切政策全部封鎖，即「学习」、「溫泉」、「李白」、「圓周率」也無法搜尋，使Google在中國大陸境內頻繁出現無法存取或搜尋中斷的問題。2011年4月，防火長城開始逐步干擾Google.com.hk的搜尋服務。2012年10月下旬起，防火長城使用更巧妙方式干擾Google搜尋，部分用戶在點擊搜尋結果連結跳轉時一直被卡住，一直卡了6分鐘之後用戶端傳送RST重設，然後頁面一片空白。原因是連結跳轉使用的是HTTP，用HTTPS跳轉無影響。
這種阻斷可以雙向工作。在中華人民共和國境外存取位於境內的網站時，如果在封包頭部出現部分關鍵字，連接也可能會被阻斷。兩者的關鍵詞列表並不完全相同，比如在境外使用知網搜尋「法輪功」連接會被阻斷，並且90秒無法存取，搜尋「六四」則不會，在中華人民共和國境內存取境外網站時兩者都會被阻斷。
由於HTTPS採取加密傳輸，關鍵詞阻斷無法對網頁傳輸造成影響。但由於身分認證憑證資訊是明文傳輸，因此阻斷仍然是有可能的。
後來Google等網站開始採用HTTPS傳輸資料，針對HTTP協定的關鍵字阻斷對相當一部分網站已經失去作用。

針對TLS的憑證傳輸檢測

由於TLS在握手期間，伺服器傳輸站點憑證時同樣也是明文傳輸的，防火長城可以對憑證的資訊進行檢測，從而是否需要被攔截的站點而中斷TCP連接。
自2017年9月19日起，防火長城開始啟用CA憑證檢測，若經過防火長城時，一旦探測到相關域名如：Google，Facebook，Youtube，Twitter，WhatsApp的CA憑證，對應IP通訊會被攔截切斷。若使用SNI伺服器IP反向代理部分域名也會被攔截（網站會提示ERR_CONNECTION_CLOSED 意外終止了連接），但並不是全部IP都會被攔截，可用IP極少。攔截只針對經過出口路由上。
從TLS 1.3開始，ServerHello之後的握手資訊，包括站點憑證，也會被加密後傳輸，一般可以認為能防止對憑證資訊的檢測。

針對TLS的SNI阻斷

雖然TLS能保證全程內容加密而且發現連接被干擾時警告並中斷，但是對於SNI資訊仍然是未加密的，仍可以被辨識出存取域名。從2018年8月24日開始，開始出現基於SNI的檢測機制，維基百科部分專案、日本亞馬遜等啟用https服務的網站同樣被封鎖。

對eD2k協定的連接干擾

從2011年開始，防火長城開始對所有境外eD2k伺服器進行審查。當境內用戶使用eD2k協定例如eMule使用模糊協定連接境外伺服器時會被無條件阻斷，迫使eMule使用普通方式連接境外伺服器；同時防火長城對所有普通eD2k連接進行關鍵字審查，若發現傳輸內容含有關鍵字，則馬上切斷用戶與境外伺服器的連接，此舉阻止了用戶取得來源和散布共用檔案資訊，從而阻礙使用eD2k協定軟體的正常工作。

對破網軟體的反制

因為有防火長城的存在，大量境外網站無法在中國大陸境內正常存取，於是大陸網友開始逐步使用各類破網軟體突破防火長城的封鎖。針對網上各類突破防火長城的破網軟體，防火長城也在技術上做了應對措施以減弱破網軟體的穿透能力。通常的做法是利用上文介紹的各種封鎖技術以各種途徑打擊破網軟體，最大限度限制破網軟體的穿透和傳播。
同時根據中國大陸網友反映，防火長城現已有能力對基於PPTP和L2TP協定的VPN連接進行監控和封鎖，這使得大陸網友突破防火長城的封鎖變得更加困難。2015年1月起，部分國外VPN服務在中國大陸無法正常使用，這些VPN使用的是L2TP/IPSec和PPTP協定。

對破網軟體加密流量的探測

防火長城通過提取加密流量封包，分析其特徵，即可對破網軟體中的加密流量進行精準辨識，並可進一步進行封鎖；有研究表明防火長城可基於卷積神經網路對Shadowsocks流量進行探測。但上述方法適用範圍較小，且隨機加入防火長城無法辨識的混淆資料理論上即可逃過審查。

間歇性封鎖國際出口

從2011年5月6日起，中國大陸境內很多網際網路公司以及高校、學院、科研單位的對外網路連接都出現問題，包括中國科學院。有分析指斷網可能是因為防火長城已經具有了探測和分析大量加密流量並對用戶IP位址執行封鎖的能力，而各大機構的出口被封也在其中。具體表現為：當用戶使用了破網（翻牆）軟體後，其所在的公共網路IP位址會被臨時封鎖，所有的國際網站都無法存取，包括MSN、iTunes Store等，而存取國內網站卻正常，但如果使用境外的DNS解析域名則將會由於DNS伺服器被封鎖導致無法解析任何域名，國內網站也會無法開啟。也有分析指，此舉是中國當局在測試逐步切斷大部分人存取國際網站的措施，以試探用戶反應並最終達到推行網路「白名單」制，也就是凡沒有在名單上的企業或團體其網路域名將不能解析，一般用戶也無法存取。而中共黨機關報《人民日報》旗下的《環球時報》英文版則引述方濱興指，一些ISP必須為自己的用戶支付國際流量費用，因此這些公司「有動機」去阻礙用戶存取國外網站。一位工信部官員說，用戶碰到這些情況應先檢查自己和網站的技術問題。

境內骨幹路由器間歇性阻斷

2012年10月下旬，Google位於北京的伺服器被國家級骨幹路由器長時間干擾連接，包括中國大陸境內用戶在內存取時返回「連接逾時」錯誤，造成大量基於Hosts技術利用Google北京伺服器作為反向代理存取Google服務的用戶和軟體無法正常使用，例如GoAgent。測試指出封包經過部分國家級骨幹路由器時被選擇性丟棄，造成與伺服器連接的丟包率飆升，甚至有部分用戶反映被完全阻斷與伺服器之間的連接。

深度包檢測

深度封包檢測（Deep packet inspection,DPI）是一種於應用層對網路上傳遞的資料進行偵測與處理的技術，被廣泛用於入侵檢測、流量分析及資料挖掘。就字面意思考慮，所謂「深度」是相對於普通的報文檢測而言的——相較普通的報文檢測，DPI可對報文內容和協定特徵進行檢測。
在中國大陸，DPI一度被ISP用於追蹤用戶行為以改善其廣告推播業務的精準性，而最近則被國外視為防火長城城賴以檢測關鍵詞及嗅探加密流量的重要技術之一。基於必要的硬體設施、適宜的檢測模型及相應的模式匹配演算法，防火長城能夠精確且快速地從實時網路環境中判別出有悖於預期標準的可疑流量，並對此及時作出審查者所期望的應對措施。
華為公司曾被媒體指責涉及向伊朗政府提供DPI所依賴的硬體支援以幫助後者開展網路審查工作。

針對IPv6協定的審查

IPv6（網際網路通訊協定第6版）是被指定為IPv4繼任者的下一代網際網路協定版本。在IPv4網路，當時的網路設計者認為在網路協定堆疊的底層並不重要，安全性的責任在應用層。但是即使應用層資料本身是加密的，攜帶它的IP資料仍會泄漏給其他參與處理的行程和系統，造成IP封包容易受到諸如資訊包探測（如防火長城的關鍵字阻斷）、IP欺騙、連接截獲等手段的連線劫持攻擊。雖然用於網路層加密與認證的IPsec協定可以應用於IPv4中，以保護IPv4網路層資料的安全，但IPsec只是作為IPv4的一個可選項，沒有任何強制性措施用以保證IPsec在IPv4中的實施。因為防火長城是掛載在國家級骨幹路由器的旁路裝置，而網路資料傳輸必須知道封包來源地與封包的目的地才能完成路由轉發，故在IPv4協定時代實施的針對IP位址封鎖技術和特定IP位址埠封鎖技術依然對IPv6有效。
方濱興在他的演講《五個層面解讀國家信息安全保障體系》中曾經說道：「比如說Web 2.0概念出現後，甚至包括病毒等等這些問題就比較容易擴散，再比如說IPv6出來之後，入侵檢測就沒有意義了，因為協定都看不懂還檢測什麼。」
自2014年8月28日起，原先可以通過IPv6直連Google的中國教育網（CERNET）內試圖通過https連接*.google.com.*等網頁時，可能收到SSL憑證錯誤的提示，其中以連接https://www.google.com.hk/幾乎是每次連接均收到攻擊，而其它連接例如https://ipv6.google.com/和https://accounts.google.com/也有受到攻擊的報告，但攻擊發生的機率相對較低。偽造的SSL憑證顯示其為google.com，頒發機構即為其本身，與真正的google憑證不同，顯示Google在中國教育網上受到中間人攻擊（MITM attack）。
現階段防火長城已經具備干擾IPv6隧道的能力，因為IPv6隧道在用戶到遠端IPv6伺服器之間的隧道是建立在IPv4協定上的，因為資料傳輸分片的問題或者端點未進行IPSec保護的時候很有可能暴露自己正在傳輸的資料，讓防火長城有可乘之機干擾切斷連接。另外因為防火長城實行DNS污染，通過域名來存取IPv6伺服器時可能也會因錯誤解析而無法存取。
IPv6大規模在國內普及後，防火長城隨即跟進了其在IPv4上使用的封鎖技術，使得使用IPv6繞過防火長城審查的難度大大增加。

網路攻擊

中華人民共和國從2015年3月開始，使用一種被稱為「大炮」的網路攻擊攻擊方案，對可能涉及違反審查要求的特定網站，進行分散式阻斷服務攻擊（DDoS）。
其中2015年3月針對Github的攻擊，通過包括劫持常見的網站工具指令碼植入攻擊程式碼、一些常見瀏覽器漏洞等方法，持續五天對Github網站進行攻擊，導致網站全球存取速度緩慢。中國政府否認有關指責。