|
cSB免费翻墙网
搜索用百度，邮箱有163/QQ，社交有微博/人人，购物用淘宝/京东，即时聊天用微信——各种互联网服务，墙内应有尽有。对大部分网民来说，翻墙成了越来越不必要的需求。而剩下的一小拨执着于翻墙的用户，以及全世界致力于研究“墙”的学者，他们见证了“墙”的升级，与之斗智斗勇，也从一些滑稽的表象，捕捉到“墙”发展的各种蛛丝马迹。cSB免费翻墙网
因“墙”不同的工作原理，越来越多的翻墙工具被开发出来。对“翻墙”这个行当来说，这是个百花齐放的时代。cSB免费翻墙网
解析邮件cSB免费翻墙网
2011年初，Gmail大规模延迟，这可能是生活在中国的很多“良民”第一次看到墙的影子。他们并不是Twitter、Facebook的忠实用户，对自由世界的“危险信息”也并不感兴趣，只是日常收发邮件，竟也撞墙。实测显示，Gmail与大陆服务商之间的邮件有不同程度的延迟，少则几个小时，多则几个星期。人们纷纷猜测，“墙”已经进化到开始解析邮件。cSB免费翻墙网
“墙”开始尝试解析墙内外邮件，终因负载太高，造成大规模延迟。制图：金秋枫cSB免费翻墙网
敏感词触发RST，偶尔需要“向内翻墙”cSB免费翻墙网
这几年，我在香港求学，当时因为研究需要，我要下载大陆某公司的中文词库，奇怪的是，无论使用何种工具，进度条总是停在70%的地方。后来分析发现，每次下载到这个位置的时候，系统就会收到一个“RST”包──“RST”是“Reset”（重置）的意思。这是一种特殊的数据包，当计算机收到这种包的时候，会重置一条网络链接。这个特点被“墙”广泛用来掐掉“不和谐”的网络链接。好比A和B正在打电话，“墙”想要掐断电话，和以前粗暴地摔电话机不同，“墙”对A说：“B挂你电话了”，同时又对B说，“A挂你电话了”，不明真相的两人就真的自己把电话挂掉了。敏感词触发RST，这种“墙”的工作机制，如今已是衆所周知。而这种监控与阻断是双向的，出入都可能撞墙。有时候在墙内需要翻出来，有时候在墙外需要翻进去。cSB免费翻墙网
通过“RST”欺骗通信双方，以阻断链接。制图：金秋枫cSB免费翻墙网
走出国门的DNS污染cSB免费翻墙网
DNS（Domain Name Service）即“域名解析服务”，功能好比是互联网上的电话簿。早期，仅通过IP来封锁服务的话，“墙”需要查看每个数据包，判断是否放行。但使用“DNS污染”技术，相当于直接给用户一个错误的“电话号码”，从源头就遏制了“不良通信”。值得注意的是，“DNS污染”这种强力武器，不仅能有效封锁国内网民对敏感内容的访问，还会连带影响其他国家。2012年，世界顶级网络通讯会议SigComm上，出现一篇匿名论文。论文发现，中国发动的“DNS污染”已经超越了国界。在测试了全球4万多个域名解析服务器后，他们发现其中26.41%的服务器受到了这种污染的影响，覆盖109个国家。cSB免费翻墙网
DNS污染。制图：金秋枫cSB免费翻墙网
近500个实体“哨所”cSB免费翻墙网
2012年，一组来自Michigan大学的研究者，对“墙”的位置进行了探测。他们发现，就像真实的长城并非连绵不断的，防火墙也并不是密不透风地“堵”在我们的“网络”上，而是一组散落各处的“哨所”，只有当发现威胁的时候，它们才用“RST”或“DNS污染”这样的方式进行干扰。截止2012年底，研究者总共探测到了近500个这样的“哨所”，在中国南方，部署数量头三位的省份为：广东（84个）、福建（29个）、湖南（28个）。cSB免费翻墙网
小插曲是，研究者把探测“哨所”的工具在GitHub（世界最大的开源代码托管服务）上开源发布后，引起了激烈的争论。一些人认为，此举会激怒“墙”的管理者，导致GitHub被封锁，影响墙内程序员学习交流，所以应该删除这样的代码仓库，“保持技术社区的纯粹”。另一些人，则认为翻墙是程序员的基本技能，表示不受影响，所以力挺该项目，并极力反对技术社区加入“自我审查”的行列。cSB免费翻墙网
深度数据包检测cSB免费翻墙网
2012年底，“墙”的总设计师、北京邮电大学时任校长方滨兴的研究团队曾发表论文“网络流量分类，研究进展与展望”，文章提到了多种使用机器学习进行“深度数据包检测”（Deep Packet Inspection，DPI）的技术。随后几年，这些先进的技术逐渐在“墙”上部署开来。cSB免费翻墙网
要理解“深度数据包检测”的威力，我们可以把数据包想像成一封信。“浅度”的数据包检测，就好像是看看信封上的发件人和收件人，即决定是否放行。这给“跳板法”留下可乘之机：我们先将信送到中间站（如虚拟主机VPS），再转发到目的地，就绕过检查了。“深度”的数据包检测，可以理解成对信件内容的探查──相比起暴力打开信封，这种基于机器学习的技术更具有艺术性。它并不实际解读数据包的内容，而是搜集周边信息，对数据流进行“肖像刻划”（Profiling）。举个例子，你用Google搜索时，网络上只会有文本和少量图片经过，数据量很小，并且是突发的；但用YouTube看视频时，就会有持续一段时间的大量数据流过。“墙”的监控也是基于这样的抽象指标，比如它监控到到间歇而细小的流量，便推断你不太可能是在用YouTube。将诸如此类的可参考指标放在一起，就组成当前数据流的一副“肖像”。把这个“肖像”与数据库里面已经存放的巨量“翻墙流量肖像”和“非翻墙流量肖像”做个比对，就可以相应归类了。如所有的机器学习算法一样，这种归类会误杀一些非翻墙流量，也会错放一些翻墙流量。但日积月累，“墙”观察的样本越多，准确率也就越高。cSB免费翻墙网
浅度与深度数据包检测。制图：金秋枫cSB免费翻墙网
2015年深圳：“墙”的疯狂进化cSB免费翻墙网
新时代的墙，像是手术刀，精准迅速，直击命门。cSB免费翻墙网
在深圳小住半年，我深刻感受到“数字围剿”的压力。随着2014年底，Gmail全面被封禁，墙进化迅速、部署增强，还配合行政措施打击翻墙势力。深度包检测的大规模部署、DNS污染的扩大、转守为攻的国家防火墙策略、ISP的深度合作——“墙”俨然是正规军，而翻墙的社区只能打一场场的游击战，越打越疲惫。cSB免费翻墙网
首先，是香港的学校专用VPN开始不好使了。据传，几种主流的VPN协议已经被“墙”破解，手段十分细腻：有时候连上VPN，可以使用Google搜索和Google Drive办公，但一旦链接YouTube或者Facebook，网络链接就立马被掐掉了。cSB免费翻墙网
紧接着，一系列政策出台：境外VPN需要备案。像Astrill等常用的商业VPN服务，迅速被封。cSB免费翻墙网
同时，“DNS污染”的范围与频度都扩大了。为了抵御“DNS污染”，我曾一度使用“DNSCrypt”——这个开源项目会加密客户端和服务器之间的通信内容，不被墙查探到。然而好景不常在，很快，“墙”将已知的DNSCrypt的服务器IP计入黑名单，这样连访问DNSCrypt的服务器也是需要“翻墙”了……有段时间，我依赖SSH+DNSCrypt翻墙。但这套组合拳，最终打在墙上只是手疼，而墙还是泰然自若。cSB免费翻墙网
更有甚者，一些二级ISP（不自建主干网，但提供社区宽带接入到主干网服务的ISP）参与了合作，封禁“非常用”的DNS地址。家庭宽带用户，只能选择ISP默认分配的DNS，或者一些“广为人知”的DNS服务器，如Google多年前提供的8.8.8.8（该服务器的IP地址）就是其中之一。“4个8”曾经是大陆网民用来抵御“DNS污染”的缓冲剂，但它使用普通DNS协议，很容易被攻击。社区很快发现，“墙”会选择性地污染8.8.8.8返回的结果。cSB免费翻墙网
“DNS污染”、“RST攻击”、“深度数据包检测”——“防火长城”的一套立体防御体系已经建成。从左到右，精准度逐渐加大，防御成本也逐渐加大。这个时候，不管使用什么VPN，最常见的现象是，翻墙几分钟后，网络延迟加大，进而链接被阻断，导致日常工作都不能正常进行。cSB免费翻墙网
“进攻是最好的防守”——2015年3月，国家防火墙突然转守为攻。这是一种与“防火长城”（Great Fire Wall，GFW）部署在一起的设备，网友戏称其为“大加农炮”（Great Cannon，GC）。经过3月初的一系列测试，“大炮”从3月中旬开始发动疯狂攻击，其首轮攻击的重点目标之一是GitHub上“greatfire”这个代码仓库。“greatfire”上集结了大量的翻墙工具与资讯，俨然一个巨大的“翻墙军火库”。“大炮”攻击目标的原理简单而有效：它会劫持跨越中国边境的流量，注入恶意脚本，向指定目标发动“DDoS攻击”。cSB免费翻墙网
DDoScSB免费翻墙网
DDoS（Distributed Denial of Service，分布式拒绝服务），是一种通过巨大流量导致目标服务器不堪重负而下线的攻击手法。DDoS是一系列方法的统称，他们使用不同的技术，“大炮”所使用的流量劫持并注入恶意脚本的技术是一种比较新的形式。衡量一场DDoS攻击的能量，可以使用“峰值速率”。如2014年6月，香港的公民投票网站“PopVote”受到超过“300Gbps”的攻击，连提供网络支持服务的Google和Amazon都抵挡不住，宣布退出，最终服务商靠着全球网络服务业者联手，才维持“占中”公民投票持续进行。2015年7月，支持加密功能的即时通信软件Telegram受到超过“200Gbps”的攻击，受影响区域很快从东南亚蔓延到全球，导致大量用户无法通信。要知道100Gbps的流量有多大，可以想像同时在线点播两万部高清（720p）视频。也可以参考的一个数据，据CNNIC报告显示，截至2014年底，中国大陆的所有国际出口带宽总和为4100Gbps。
2/3 首页 上一页 1 2 3 下一页 尾页
|
