您当前的位置：首页 > 网络翻墙技巧

GFW封锁方式以及翻墙手段汇总

时间：2016-02-17 来源：作者：条评论

Ung免费翻墙网

GFW 的封锁方法

国内 DNS 服务器的缓存污染
发往国外的 DNS 解析请求的拦截或篡改
IP 黑名单
端口封锁，针对 OpenVPN，SSH，shadowsocks 等，有用到 DPI，多次换端口后封 IP
关键字封锁，利用深度包检测（DPI），是主要方法。可用全站 https 应对，不过 GFW 因为无法识别 https，所以会针对所有 https 连接进行随机的中断

Ung免费翻墙网

关于 GFW 的更多技术细节可以参见本文的参考链接Ung免费翻墙网

GFW 的设备

大量硬件设备来自 CiscoUng免费翻墙网

入侵检测设备，在北京、上海、广州搭在总交换中心上做旁路监听
动态路由设备，放在 ISP 处

翻墙方式

hosts，只能翻部分被 DNS 投毒的网站，而且随着 Google IP 被封禁得越来越多，已经很难翻了
第三方 DNS，作用同 hosts，有风险，可能被再劫持
HTTP 代理，主要风险是明文传输（试过在海外 VPS 直接搭 HTTP 代理，用来上百度没问题，一打开 Google 马上被封）
HTTPS 代理，比起 HTTP 代理，有了一层 SSL 加密，安全许多，但 SSL 其实并不适合用于翻墙，它并不是专用于混淆的协议，shadowsocks 作者 clowwindy 有一篇文章详细阐述了这个观点
Tor，P2P 方式，安全性高。但 GFW 会钓鱼，伪造成 Tor 客户端进入 Tor 网络（obfsproxy 可以应对）。本身网络传输速度不快，不好用
Latern 基本同上，就个人使用体验来说，速度太慢
GoAgent，基于 GAE，不过 Google IP 被封得差不多了，所以基本不可用
GoProxy，GoAgent 的继任者，用于自己部署在 VPS 上
SSH，虽然传输安全，但握手阶段特征太明显，会被监控流量和连接数，所以基本只能用一小会儿，一般需要数小时重连一次。2012 年 GFW 加入 DPI 功能之后被封锁得更为严重了，一旦有 HTTP 流量传输就会被墙
VPN，工作在数据链路层，流量特征非常明显，出于商业上的考虑（大量在华跨国公司需要用到）所以才还能存活。但是自建的话，L2TP/PP2P/OpenVPN 基本没办法存活多久，只有 Cisco AnyConnect （服务端用开源的 ocserv）还可以用，但是速度有 2M/s 的上限
Shadowsocks，这个名气够大了，不详述
ShadowVPN, GoHop, SoftEther VPN，都是具有较为强大加密/混淆功能的 VPN 实现，其中 ShadowVPN 因为作者 clowwindy 被请喝茶而删除项目代码，GoHop 功能强大但暂时只支持 Linux，SoftEther VPN 使用不是很方便（而且已经能被 GFW 探测到，见参考链接 13），所以目前都不是很流行
V2Ray，新工具，暂不了解
IPv6，据说 GFW 暂时还未能有效封禁 IPv6 地址，所以在教育网里还能通过 IPv6 访问 Google/Facebook 等。不过这个应该只是暂时的