数据跨境安全网关

**防火長城**（英語：**Great Firewall**，常用簡稱：**GFW**），中文也稱**中國國家防火牆**，通常簡稱為**牆**、**防火牆**等，中國國家互聯網信息辦公室稱為**數據跨境安全網關** ，是中華人民共和國政府監視和過濾國際網際網路出口內容的軟硬體系統集合，用於通過技術手段，阻斷不符合中國政府要求的網際網路內容傳輸。

隨著防火長城逐漸為人熟知，「牆」一詞有時也被用作動詞，，「被牆」即指網站內容被防火長城所封鎖。「翻牆」、「掛梯子」也被引申為突破網路審查瀏覽中國大陸境外被封鎖的網站或使用服務的行為。

## 簡介

中國國家防火牆，即防火長城，主要指中華人民共和國政府用於過濾網際網路國際出口上內容的軟硬體系統的集合。 中國政府通常利用防火長城將特定網站或服務阻斷，人為造成連線錯誤。

防火長城不是中國特有的一個專門單位，而是由分散部門的各伺服器和路由器等裝置，加上相關公司的應用程式構成。其作用是監視所有經過中國國家資料跨境安全閘道器的通訊，以干擾、阻斷、封鎖中國政府認為不符合其法律要求的傳輸內容。

### 硬體

據 2010 年的估計，防火長城可能擁有數百台曙光 4000L 伺服器。

## 歷史

方濱興稱此系統起步於 1998 年，然而第一次使用 Great Firewall 這個名字的是白傑明和桑曄所寫的文章《The Great Firewall of China》，文章發表於 1997 年 6 月 1 日，稱當時中國金橋資訊網和中國公用電腦網際網路已經有在封鎖國外新聞網站，這一審查系統開發開始在 1996 年。

防火長城自 2002 年開始自動執行 TCP 重設攻擊和 DNS 劫持。

對 SNI 資訊的檢測是在 2018 年 8 月部署的，在關於加密伺服器名稱指示的 IETF 草案發布剛剛 1 個月後，自 2020 年 7 月下旬起，也開始封鎖加密伺服器名稱指示（ESNI）的 TLS 通信。

## 主要技術

### 域名解析服務快取污染

從 2002 年左右開始，防火長城在國內進行域名伺服器快取污染。

防火長城對所有經過骨幹網國際出口路由的位於 TCP 與 UDP 的 53 埠上的域名查詢請求進行 IDS 檢測，一經發現處於黑名單關鍵詞中相匹配的域名查詢請求，防火長城作為中間裝置會向查詢者返回虛假結果，比真的回覆更早到達。由於通常的域名查詢沒有任何認證機制，而且域名查詢通常基於的 UDP 協定是無連接不可靠的協定，查詢者無法驗證返回結果的正確性，而 TCP 協定則可以使用 TCP 連接重設來中斷連接來阻止獲得返回結果。

截至 2020 年，存取大部分被牆網站時，均會解析到特定的非中國 IP 位址，如 美國 Facebook 公司、愛爾蘭 Facebook 分公司、荷蘭 北省阿姆斯特丹 UTC+1 資料中心、美國 德克薩斯州達拉斯市 SoftLayer 科技公司等的 IP，這些 IP 位址通常已經被封鎖，如果沒有被封鎖則使用者可能看到瀏覽器的無效 TLS 憑證之警告。

#### 污染事件

* 2010 年 3 月，一名智利域名註冊商的技術人員發現向位於中國的根伺服器查詢 facebook.com、youtube.com 和 twitter.com 等域名時的回覆不正常。中國根伺服器運營商 Netnod 於是暫時切斷了其與網際網路的連接。安全專家認為這與 Netnod 無關，而是中國政府修改某處網路時造成的。
* 2014 年 1 月 21 日下午三點半，中國網際網路頂級域名解析不正常，出錯網站解析到的 IP 是 65.49.2.178，這個 IP 位於美國加利福尼亞州費利蒙市 Hurricane Electric 公司，被 Dynamic Internet Technology（即自由門的開發公司）租用於翻牆軟體連接節點。研究人員認為這是因為防火長城的工作人員操作失誤。
* 2015 年 1 月 2 日起，污染方式升級，不再是解析到固定的無效位址（例如環回位址，全零位址等），而是隨機地指向境外的非保留 IP 位址。剛開始只是對 YouTube 影片域名（\*.googlevideo.com）進行處理，之後逐漸擴大到大多數被污染的域名。這導致了境外伺服器遭受來自中國的 DDoS 攻擊，部分網站因此封鎖中國 IP。

### IP 位址或傳輸層埠封鎖

對攔截行為觀察發現，在早期技術實現中，會使用存取控制列表（ACL）技術來封鎖特定的 IP 位址，由此延伸可以封鎖傳輸層協定（TCP 或 UDP）的特定目的埠的網路流量。不過由於大量的 ACL 匹配會導致網路效能不佳。現在主要是採用了效率更高的路由擴散技術封鎖特定 IP 位址，也就是通過將需要攔截的 IP 位址組態為空路由、黑洞裝置或特別組態的自治域網路上，然後通過動態路由協定將相應組態路由擴散到公眾網際網路網路中，從將條件匹配攔截行為轉為路由器的常規轉發行為，從而提高攔截效率。多見於自主擁有大量 IP 位址段的需要審查的企業中，例如 Facebook，Google，Telegram，Twitter 等。

> 在大規模自治域的出入口路由器上新接入一個起控管作用的子網路或者 AS 域，將要受控的網路位址組態在這個子網路或者 AS 域內的路由器中，這樣利用**動態路由協定的網路拓撲自動辨識特性**，在出入口路由器上將生成受控網路位址的路由資訊，將自治域內部網路對這些受控網路位址的存取轉入到這個控管子網路或者 AS 域的網路中，從而實現對受控網路位址的流量控制 。
> 
> 

#### 針對 TCP 和 UDP 連接的封鎖

2011 年 3 月，防火長城曾經對 Google 部分伺服器的 IP 位址實施自動封鎖（按時間段）某些埠，按時段對 www.google.com（使用者登入所有 Google 服務時需此域名加密驗證）和 mail.google.com 的幾十個 IP 位址的 443 埠實施自動封鎖，具體是每 10 或 15 分鐘可以連通，接著斷開，10 或 15 分鐘後再連通，再斷開，如此迴圈，使中國大陸使用者和 Google 主機之間的連接出現間歇性中斷，使其各項加密服務出現問題。Google 指責中國這樣的封鎖手法，因為 Gmail 並非被完全阻斷，營造出 Google 服務「不穩定」的假象，表面看起來好像問題出自 Google 本身。

2014 年 5 月 27 日起，Gmail 網頁版的 80 和 443 埠被封鎖。2014 年 12 月 26 日起，Gmail 客戶端所用的 IMAP/SMTP/POP3 埠也被封鎖。

目前防火長城會通過限制 QoS 優先級的方式干擾向境外的 UDP 連接，如網站使用 HTTP/3（QUIC）協定時。

### TCP 連接重設

TCP 重設是傳輸控制協定（TCP）的一種訊息，用於重設連接。一般來說，例如伺服器端在沒有客戶端請求的埠或者其它連接資訊不符時，系統的 TCP 協定堆疊就會給客戶端回覆一個 RESET 通知訊息，可見 RESET 功能本來用於應對例如伺服器意外重新啟動等情況。防火長城切斷 TCP 連接的技術實際上就是比連接雙方更快地傳送連接重設訊息，使連接雙方認為對方終止了連接而自行關閉連接。

一般這種攻擊方法需要結合相應的檢測方式來實施，請看深度包檢測。

### 深度包檢測

深度報文檢測（Deep packet inspection, DPI）是一種於應用層對網路上傳遞的資料進行偵測與處理的技術，被廣泛用於入侵檢測、流量分析及數據挖掘。就字面意思考慮，所謂「深度」是相對於普通的報文檢測而言的 —— 相較普通的報文檢測，DPI 可對報文內容和協定特徵進行檢測。

在中國大陸，DPI 一度被 ISP 用於追蹤使用者行為以改善其廣告推播業務的精準性，而最近則被開放網路促進會視為防火長城城賴以檢測關鍵詞及嗅探加密流量的重要技術之一。基於必要的硬體設施、適宜的檢測模型（關鍵字過濾）及相應的模式匹配演算法，防火長城能夠精確且快速地從實時網路環境中判別出有悖於預期標準的可疑流量，並對此及時作出審查者所期望的應對措施。

被認為在防火長城部署了的深度包檢測包括：

* HTTP 協定的傳輸內容是未經過加密的，中間裝置可以竊聽。防火長城對 HTTP 回覆的檢測在 2008 年末終止，對 HTTP 請求的 Host 欄位的檢測仍然存在。
* 早期 TLS 版本中，伺服器握手回應，包括**站點憑證**，是未被加密的，所以可以用於辨識出存取站點。自 TLS 1.3 開始，ServerHello 之後的握手資訊，包括站點憑證，也會被加密後傳輸，一般可以認為能防止對憑證資訊的檢測。
* 伺服器名稱指示（SNI）是 TLS 的一個擴充協定，該協定下，在握手過程開始時客戶端告訴它正在連接的伺服器要連接的主機名稱 。由於 SNI 資訊並未加密，審查者可以辨識出使用者存取的網站域名。

### TLS 站點憑證中間人攻擊

2013 年 1 月 26 日，有中國大陸的使用者在存取 GitHub 時發現憑證無效，經檢查發現，GitHub 的憑證變為了一自簽署的 X.509 憑證，生成時間為 2013 年 1 月 25 日，有效期一年，故有人推測 GitHub 疑似遭到了中間人攻擊。 GreatFire 和研究人員認為攻擊是由中國政府策劃的。

自 2014 年 8 月 28 日起，原先可以通過 IPv6 直連 Google 的中國教育網（CERNET）內試圖通過 https 連接 \*.google.com.\* 等網頁時，可能收到 SSL 憑證錯誤的提示，其中以連接 www.google.com.hk 幾乎是每次連接均收到攻擊，而其它連接例如 ipv6.google.com 和 accounts.google.com 也有受到攻擊的報告，但攻擊發生的機率相對較低。偽造的 SSL 憑證顯示其為 google.com，頒發機構即為其本身，與真正的憑證不同，顯示 Google 在中國教育網上受到中間人攻擊（MITM attack）。

2015 年 1 月 17 日，Outlook 遭到了中間人攻擊。19 日，GreatFire 撰文稱懷疑此攻擊是由國家互聯網信息辦公室（網信辦）發起的；22 日，網信辦對此文作出了回應，稱「Greatfire.org 是境外反華組織創辦的反華網站」，「這一無端臆測，純屬境外反華勢力的造謠和污衊」。

### 其他

#### 對破網軟體的反制

因為有防火長城的存在，大量境外網站無法在中國大陸境內正常存取，於是大陸網友開始逐步使用各類破網軟體突破防火長城的封鎖。針對網上各類突破防火長城的破網軟體，防火長城也在技術上做了應對措施以減弱破網軟體的穿透能力。通常的做法是利用上文介紹的各種封鎖技術以各種途徑打擊破網軟體，最大限度限制破網軟體的穿透和傳播。

2015 年 1 月，部分國外 VPN 服務在中國大陸無法正常使用，包括 L2TP/IPSec 和 PPTP 協定。

##### 被動檢測

自 2021 年 11 月初以來，防火長城部署了一種類似白名單的檢測方法：應用規則來豁免那些不太可能是完全加密的流量；然後它阻止其餘未被豁免的流量。由於翻牆軟體的流量多是完全加密的，這種方法十分有效，僅會誤傷大約 0.6% 的非翻牆網際網路流量。

##### 主動探測

Tor 專案的研究人員發現防火長城會對各種基於 TLS 加密技術的連接進行刺探，刺探的類型有兩種：

* 「垃圾二進位探針」，即用隨機的二進位資料測試對應埠，任何從中國大陸境內存取境外的 443 埠的 SSL 連接都會在幾乎即時觸發探測。
* 針對 Tor，中國的一個 Tor 客戶端與美國的網橋中繼建立連接後，每 15 分鐘網橋中繼都可以收到來自中國 IP 的探測，其會遵循 Tor 協定傳送一些訊息，用於確認是否為 Tor 網橋。

除 Tor 之外，防火長城也會對 Shadowsocks、SoftEther VPN、AppSpot 伺服器發起探測。

#### 間歇性封鎖國際出口

從 2011 年 5 月 6 日起，中國大陸境內很多網際網路公司以及高校、學院、科研單位的對外網路連接都出現問題，包括中國科學院。有分析指斷網可能是因為防火長城已經具有了探測和分析大量加密流量並對使用者 IP 位址執行封鎖的能力，而各大機構的出口被封也在其中。具體表現為：當使用者使用了破網（翻牆）軟體後，其所在的公共網路 IP 位址會被臨時封鎖，所有的國際網站都無法存取，包括 MSN、iTunes Store 等，而存取國內網站卻正常，但如果使用境外的 DNS 解析域名則將會由於 DNS 伺服器被封鎖導致無法解析任何域名，國內網站也會無法打開。也有分析指，此舉是中國當局在測試逐步切斷大部分人存取國際網站的措施，以試探使用者反應並最終達到推行網路「白名單」制，也就是凡沒有在名單上的企業或團體其網路域名將不能解析，一般使用者也無法存取。而中共黨機關報《人民日報》旗下的《環球時報》英文版則引述方濱興指，一些 ISP 必須為自己的使用者支付國際流量費用，因此這些公司「有動機」去阻礙使用者存取國外網站。一位不願留名的工信部官員說，使用者碰到這些情況應先檢查自己和網站的技術問題。

#### 對電子郵件通訊的攔截

正常情況下，郵件伺服器之間傳輸郵件或者資料不會進行加密，故防火長城能輕易過濾進出境內外的大部分郵件，當發現關鍵字後會通過偽造 RST 封包阻斷連接。而因為這通常都發生在資料傳輸中間，所以會干擾到內容。也有網友根據防火長城會過濾進出境郵件的特性，尋找到防火長城部署的位置。

2014 年 12 月 26 日，有很多中國大陸網友反映說一度無法通過客戶端登入到 Gmail。在此之前，國內一些使用者可以通過 IMAP、SMTP 和 POP3 接收、下載郵件；據路透社報導 Google 旗下的 Gmail 業務已經被當局封鎖。12 月 30 日，Gmail 的郵件伺服器已在中國大陸境內恢復部分功能。但 Gmail 網頁版至今仍被封鎖。

## 參與建設

* 中國工程院院士、北京郵電大學前校長方濱興是防火長城關鍵部分的首要設計師，被稱為中國國家防火牆之父。
* 美國作家伊森・葛特曼說，思科系統和一些其他通信裝置供應商向中華人民共和國政府提供了具有流量監視和過濾功能的網際網路裝置，用來封堵網站和追蹤網上一些活躍的民運人士。2006 年 2 月，美國國會為此召開聽證會，向思科、微軟、雅虎、Google 四家公司提出質詢。美國中國資訊中心的亨利・吳（Henry Wu，China Information Center）指責，思科不斷主動地與中國中央及各省國家安全部門聯絡，向其提供最新技術，包括警車間的即時通訊和指揮系統、以及聲音辨識技術和指紋鑑別技術。記者 Sarah Lai Stirland 在 Wired News 發表了一篇文章，並公布了一份泄漏的思科機密 PPT 文件。該文件詳細描述了思科和中國政府在金盾工程上具有商業性質的合作。她還在文章中指責，思科在市場行銷中將這些技術明確劃分為「鎮壓工具（A Tool of Repression）」。思科的辯護者聲稱，實際上，在中國大陸現行的內容過濾系統中，路由器只是作為底層執行裝置對人為指定的目的位址進行封鎖，這是任何一台商用路由器都必須提供的基本功能，思科並沒有向中國政府提供特別開發和客製化的網際網路裝置。。
* 奇虎 360 公司已經加入中國 GFW 防火長城計劃，並早在在 2005 年的時候，奇虎 360 就已經特派兩位高管齊向東、石曉虹加入研究搜尋引擎安全管理系統，助力該專案的實行。奇虎 360 方面拒絕透露其在 GFW 防火長城計劃中承擔的任務與角色，但從目前獲得的一份資料來看，該專案落實在北京三際無限網絡科技有限公司，主要完成人里除了方濱興在列，奇虎 360 的高管齊向東與石曉虹也名列其中。

## 相關報導

2007 年，人民網轉載了題為「百度日本站被 GFW 封鎖 疑與色情內容有關」的文章，是官方最早先提到此系統的報導之一。2011 年 2 月 17 日有記者在外交部新聞發布會上問及網際網路封鎖等問題，發言人的回答是：

> 眾所周知，中國的網際網路發展迅速，網友人數增長很快，已超過 4 億。中國政府鼓勵和支援網際網路發展，依法保障公民言論自由，包括網上言論自由。同時，中國對網際網路依法進行管理，這符合國際慣例。我們願同各國就網際網路相關問題加強溝通和交流，共同推進網際網路的良性發展，但反對任何國家藉口網際網路自由等問題干涉中國內政。
> 
> 

次日，方濱興在接受《環球時報》英文版採訪時被問及防火長城是如何運作的，他拒絕回答，說 「It's confidential.」（這是機密）

## 評價

防火長城對網路內容的審查是否沒有限制和不違反言論自由，一直是受爭議的話題，官方說辭也相當籠統。

2007 年有報告認為，防火長城其實是一種圓形監獄式的全面監視，以達到自我審查的目的。

北京大學和史丹佛大學兩名經濟學家在 2018 年的研究認為，中國大學生對於獲取未經審查的政治敏感資訊漠不關心。

2021 年 11 月，中國國家互聯網信息辦公室發布的《網路資料安全管理條例（徵求意見稿）》指出**數據跨境安全網關**是指「阻斷存取境外反動網站和有害資訊、防止來自境外的網路攻擊、管控跨境網路資料傳輸、防範偵查打擊跨境網路犯罪的重要安全基礎設施。」。

## 相關事件

## 參見

## 注釋

## 參考文獻

### 參照

### 來源

## 外部連結

* Great Firewall Report （頁面存檔備份，存於網際網路檔案館）