防火长城

防火长城對所有经过骨干出口路由的位于TCP与UDP的53端口上的域名查询请求进行IDS检测，一經發現处于黑名單關鍵詞中相匹配的域名查詢請求，防火长城作为中间设备會向查询者返回虚假结果。由于通常的域名查询没有任何认证机制，而且域名查詢通常基于的UDP協議是无连接不可靠的协议，查询者无法验证返回结果的正确性，而TCP协议则可以使用TCP连接重置来中断连接来阻止获得返回结果。DNSSEC技术为DNS解析服务提供了解析数据验证机制，理论上可以有效抵御劫持。此外，DNSCrypt、DoT、DoH等方法通过将DNS请求封装于安全连接内，以保护DNS请求中的数据不被中间传输设备篡改。

从2002年左右开始，防火长城在国内进行域名服务器缓存污染。作为DNS系统的组成部分，全球一共有13组根域名服务器（Root Server）。2010年中国大陆有F、I、J這3个根域DNS镜像[13]，但曾因为多次DNS污染外国网络，威胁互联网安全和自由，北京的I根域服务器曾被断开与国际互联网的连接。[14][15]目前已恢复服务。[16]

这种DNS污染的方式曾经向中国大陆以外的用户造成影响。2010年3月，当美国和智利的用户试图访问热门社交网站如facebook.com和youtube.com还有twitter.com等域名，他们的域名查询请求转交给中国控制的DNS根镜像服务器处理，由于这些网站在中国被封锁，结果用户收到了错误的DNS解析信息，这意味着防火长城的DNS污染已影响国际互联网。[17]2010年4月8日，中国大陆一个小型ISP的错误路由数据，经过中国电信的二次传播，扩散到了整个国际互联网，波及到了AT&T、Level3、德国电信、Qwest和西班牙电信等多个国家的大型ISP。[18]

2012年11月9日下午3点半开始，防火长城对Google的泛域名*.google.com进行了的污染，所有以.google.com结尾的域名均遭到污染而解析错误不能正常访问，其中甚至包括不存在的域名，而Google为各国定制的域名也遭到不同程度的污染（因为Google通过使用CNAME记录来平衡访问的流量，CNAME记录大多亦为.google.com结尾），但Google拥有的其它域名如.googleusercontent.com等则不受影响。有网友推测Google被阻碍连接是因为中共正在召开的十八大。[19]

2014年1月21日下午三点半，中国网站的.com、.net、.org域名解析不正常，网站被错误地解析至65.49.2.178，该IP位于美国北卡罗来纳州的Dynamic Internet Technology，即自由门的开发公司。据推测，可能是操作失误造成的事故。[20][21]

2015年1月2日起，污染方式升级，不再是解析到固定的无效IP，而是随机地指向境外的有效IP。刚开始只是对YouTube影片域名（*.googlevideo.com）进行处理，之后逐渐扩大到大多数被污染的域名。[22]这导致了境外服务器遭受来自中国的DDoS攻击，部分网站因此屏蔽中国IP。[23]

对拦截行为观察发现，在早期技术实现中，会使用访问控制列表（ACL）技术来封锁特定的IP地址，由此延伸可以封锁传输层协议（TCP或UDP）的特定目的端口的网络流量。不过由于大量的ACL匹配会导致网络性能不佳。现在主要是采用了效率更高的路由扩散技术封锁特定IP地址，也就是通过将需要拦截的IP地址配置为空路由或者黑洞设备上，然后通过动态路由协议将相应配置路由扩散到公众互联网网络中，从将条件匹配拦截行为转为路由器的常规转发行为，从而提高拦截效率。多见于自主拥有大量IP地址段的需要审查的企业中。

2011年3月，防火长城曾经对Google部分服务器的IP地址实施自动封锁（按时间段）某些端口，按时段对www.google.com（用户登录所有Google服务时需此域名加密验证）和mail.google.com的几十个IP地址的443端口实施自动封锁，具体是每10或15分钟可以连通，接着断开，10或15分钟后再连通，再断开，如此循环，使中国大陆用户和Google主机之间的连接出现间歇性中断，使其各项加密服务出现问题。[24]Google指责中国这样的封锁手法高明，因为Gmail并非被完全阻断，营造出Google服务“不稳定”的假象，表面好像问题出自Google本身。[25][26]

2014年5月27日起，几乎所有Google服務的80和443端口被封鎖。[27]2014年12月26日起，Google数段IP被路由扩散封锁，直接导致Gmail客戶端所用的IMAP/SMTP/POP3端口也被封鎖。[28][29]

Firefox的「連線被」錯誤訊息。当碰触到GFW設定的关键词后（如使用Google等境外搜索引擎），即可能马上出现這種畫面。

TCP重置是TCP的一种消息，用于重置连接。一般来说，例如服务器端在没有客户端请求的端口或者其它连接信息不符时，系统的TCP协议栈就会给客户端回复一个RESET通知消息，可见RESET功能本来用于应对例如服务器意外重启等情况。防火长城切断TCP连接的技术实际上就是比连接双方更快地发送连接重置消息，使连接双方认为对方终止了连接而自行关闭连接。有关技术已被申请为发明专利。

本发明提供了一种阻断TCP连接的方法和装置；方法包括：保存各TCP连接的连接信息；所述TCP连接的连接信息包括该TCP协议连接的：客户端信息、服务端信息、请求方向TCP等待序列号和应答方向TCP等待序列号；抓取TCP封包，找到该TCP封包所属TCP连接的连接信息，根据所抓取的TCP封包更新该连接信息中的请求方向TCP等待序列号和应答方向TCP等待序列号；如果所抓取的TCP封包为需要阻断的TCP封包，则根据更新后的、该TCP封包所属TCP连接的连接信息生成RST封包，并发送给该TCP连接的客户端和服务端。本发明可以进行准确而持续的阻断，从而能在大流量环境下的高效阻断非法TCP连接。[30]

一般这种攻击方法需要结合相应的检测方式来实施，例如HTTP传输是未经过加密的，因此可以关键字过滤系统对传输网页的URL和内容进行检测。2012年10月下旬起，由于Google搜索链接跳转使用的是HTTP，部分用户在点击搜索结果链接跳转时一直被卡住，一直卡了6分钟之后客户端发送RST重置，然后页面一片空白。[31]

为了避免检测，提出了多种协议加密的方法。

早期TLS版本中，服务器握手响应，包括站点证书，是未被加密的，所以可以用于识别出访问站点。自TLS 1.3开始，ServerHello之后的握手信息，包括站点证书，也会被加密后传输，一般可以认为能防止对证书信息的检测。[32][33]

服务器名称指示（SNI）是TLS的一个扩展协议，该协议下，在握手过程开始时客户端告诉它正在连接的服务器要连接的主机名称。由于SNI信息并非加密的，允许审查者区分出“真实”和“虚假”的服务或者识别出使用者访问的网站域名。作为TLS的标准扩展实现，TLS 1.3将通过支持ESNI以解决这个问题。[34]Mozilla的Firefox在测试版中提供ESNI的草案性实现支持。[35][36]但至2020年8月时，GFW会尝试阻断使用ESNI的TLS 1.3通信（通过短时间丢包导致连接超时），而普通的SNI的TLS通信则不会被影响。[37]

因为有防火长城的存在，大量境外网站无法在中国大陆境内正常访问，于是大陆网民开始逐步使用各类软件突破防火长城的封锁。针对网上各类突破防火长城的软件，防火长城也在技术上做了应对措施以减弱软件的穿透能力。通常的做法是利用上文介绍的各种封锁技术以各种途径打击软件，最大限度限制软件的穿透和传播。

同时根据中国大陆网民反映，防火长城现已有能力对基于PPTP和L2TP协议的VPN连接进行监控和封锁，这使得大陆网民突破防火长城的封锁变得更加困难。2015年1月起，部分国外VPN服务在中国大陆无法正常使用，这些VPN使用的是L2TP/IPSec和PPTP协议。[38]

防火长城通过提取加密流量数据包，分析其特征，即可对破网软件中的加密流量进行精准识别，并可进一步进行阻断；[39][40]有研究表明防火长城可基于卷积神经网络对Shadowsocks流量进行探测。[41]

Tor项目的研究人员则发现防火长城会对各种基于TLS加密技术的连接进行刺探[42]，刺探的类型有两种：

• “垃圾二进制探针”，即用随机的二进制数据刺探加密连接，任何从中国大陆境内访问境外的443端口的连接都会在几乎实时的情况下被刺探[43]，目的是在用户建立加密连接前嗅探出他们可能所使用的反审查工具，暗示近线路速率深度包检测技术让防火长城具备了过滤端口的能力。
• 针对Tor，当中国的一个Tor客户端与境外的网桥中继建立连接时，探针会以15分钟周期尝试与Tor进行SSL协商和重协商，但目的不是建立TCP连接。

从2011年5月6日起，中国大陆境内很多互联网公司以及高校、学院、科研单位的对外网络连接都出现问题，包括中国科学院。有分析指断网可能是因为防火长城已经具有了探测和分析大量加密流量并对用户IP地址执行封锁的能力，而各大机构的出口被封也在其中。具体表现为：当用户使用了破网（翻墙）软件后，其所在的公共网络IP地址会被临时封锁，所有的国际网站都无法访问，包括MSN、iTunes Store等，而访问国内网站却正常，但如果使用境外的DNS解析域名则将会由于DNS服务器被封锁导致无法解析任何域名，国内网站也会无法打开[44]。也有分析指，此举是中国当局在测试逐步切断大部分人访问国际网站的措施，以试探用户反应并最终达到推行网络「白名单」制，也就是凡没有在名单上的企业或团体其网络域名将不能解析，一般用户也无法访问[45]。而中共党机关报《人民日报》旗下的《环球时报》英文版则引述方滨兴指，一些ISP必须为自己的用户支付国际流量费用，因此这些公司「有动机」去阻碍用户访问国外网站。一位不愿留名的工信部官员说，用户碰到这些情况应先检查自己和网站的技术问题。[46][47]

深度封包檢測（, DPI）是一種於應用層對網路上傳遞的資料進行偵測與處理的技術，被廣泛用於入侵檢測、流量分析及數據挖掘。就字面意思考慮，所謂「深度」是相對於普通的報文檢測而言的——相較普通的报文检测，DPI可對报文内容和协议特征进行检测。

在中國大陸，DPI一度被ISP用於追踪用戶行為以改善其廣告推送業務的精準性，而最近則被國外視為防火長城城賴以檢測關鍵詞及嗅探加密流量的重要技術之一[48]。基於必要的硬件設施、適宜的檢測模型及相應的模式匹配算法，防火長城能夠精確且快速地從實時網絡環境中判別出有悖於預期標準的可疑流量，並對此及時作出審查者所期望的應對措施。

華為公司曾被媒體指責涉及向伊朗第一家全國性無限寬帶服務供應商MobinNet提供包含DPI技术的「合法攔截解決方案」，以幫助伊朗政府開展網絡審查工作[49]，但华为否认这一说法[50]。

IPv6（互联网通信协议第6版）是被指定为IPv4继任者的下一代互联网协议版本。

方滨兴在他的《五个层面解读国家信息安全保障体系》中曾经说道：「比如说Web 2.0概念出现后，甚至包括病毒等等这些问题就比较容易扩散，再比如说IPv6出来之后，入侵检测就没有意义了，因为协议都看不懂还检测什么。」[51]

自2014年8月28日起，原先可以通过IPv6直连Google的中国教育网（CERNET）内试图通过https连接*.google.com.*等网页时，可能收到SSL证书错误的提示，其中以连接https://www.google.com.hk/几乎是每次连接均收到攻击，而其它连接例如https://ipv6.google.com/和https://accounts.google.com/也有受到攻击的报告，但攻击发生的機率相对较低。伪造的SSL证书显示其为google.com，颁发机构即为其本身，与真正的证书不同，顯示谷歌在中国教育网上受到中间人攻击（MITM attack）。[52][53]

正常情况下，邮件服务器之间传输邮件或者数据不会进行加密，故防火长城能轻易过滤进出境内外的大部分邮件，当发现关键字后会通过伪造RST封包阻断连接。而因为这通常都发生在数据传输中间，所以会干扰到内容。也有網友根據防火长城會過濾進出境郵件的特性，尋找到防火长城部署的位置。[54]

2014年12月26日，有很多中国大陆网民反映说一度无法通过客户端登录到Gmail。在此之前，国内一些用户可以通过IMAP、SMTP和POP3接收、下载邮件；据路透社报道谷歌旗下的Gmail业务已经被当局封锁。[55]12月30日，Gmail的邮件服务器功能已在中国大陆境内恢复部分功能。[56][57]但Gmail网页版至今仍被屏蔽。

中華人民共和國从2015年3月开始，使用一种被称为“大炮”的網路攻擊攻击方案，对可能涉及违反审查要求的特定网站，进行分散式阻斷服務攻擊（DDoS）。[58][59][60]

其中2015年3月针对Github的攻击，通过包括劫持常见的网站工具脚本植入攻击代码、一些常见浏览器漏洞等方法，持续五天对Github网站进行攻击，导致网站全球访问速度缓慢。[61]中国政府否认有关指责。[62] [63]