什么是中国的“防火墙”？

全球最大的审查机制如何运作——以及如何绕过它

2025年8月1日2 分钟读完

中国长城是古代世界的奇观之一，其修建目的是为了保护王国免受入侵军队的侵害。如今，另一道墙壁依然存在，虽看不见，却同样真实。中国的**“防火墙”是世界上规模最大、技术最先进的审查系统**。它既控制着服务层面的内容流量，又控制着基础设施，从而将中国的互联网与世界其他地区隔绝开来，限制了中国人民自由获取信息和自由表达的权利。

事实上，中国的互联网与其说是一个全球性的互联网，不如说更应被理解为一个国家内联网，它受到严格监管，并与外部世界隔绝。当然，这绝非偶然：其背后有着意识形态和政治动机。

“西方反华势力一直试图利用互联网‘推翻中国’，但均未得逞……“我们能否在互联网上保持自身地位并赢得这场战斗，直接关系到我国的思想和政治安全。”

——习近平，2013年8月在全国宣传思想工作会议上的讲话

因此，中国“防火墙”的维护、扩展和修改是一项积极的国家政策，会根据国家利益而有所调整。

“防火墙”的工作原理

为了理解如此规模的监控和审查系统是如何运作的，让我们简要回顾一下互联网的全球架构和基础设施。

互联网服务提供商 (ISP) 负责将个人和组织的本地网络连接到互联网。互联网服务提供商（ISP）基本上充当通往全球网络其他部分的网关，负责管理建立和维持这些连接所需的硬件。

与世界上大多数国家不同，中国的互联网服务提供商（ISP）并非私营公司，而是与政府直接相关的实体，尤其是中国联通和中国电信。这两者共同构成了中国互联网的骨干，即管理从国家数据流量（通过网络电缆、服务器和路由器）到国际流量（通过网关和洲际海底电缆）的一切的主要基础设施。

通过**IP过滤、DNS域名屏蔽和深度数据包检测（DPI）**等技术，这些公司能够在中国境内及国际网络连接中，检测并屏蔽中国政府视为敏感或不受欢迎的内容。这意味着，当中国人尝试访问国外网站或与中国境外的人士沟通时，他们的数据必须经过这些控制点，在那里会被“防火墙”监控、分析，并在必要时被屏蔽或限制。

因此，审查发生在多个层面：互联网服务提供商（ISP）、数据中心以及国家流量交换中心。其范围涵盖内容过滤、流量限制、服务封锁，甚至完全中断互联网连接。所有这些都由受政府集中控制的国有企业统一实施。

最后，值得注意的是，最严格的监管措施出现在中国互联网骨干网的国际交换点（北京、广州、上海、乌鲁木齐、西安）。然而，“防火墙”的运作范围覆盖全国。

突破网络审查

全球隐私性最强的 VPN 立享 75% 折扣。最多10台设备。

立即免费试用

中国的主要审查手段

功能	Description of technique
DNS blocking	A technique that prevents domain name resolution, blocking access to specific websites through manipulated DNS servers
IP blocking	Prevents direct access to certain IP addresses considered undesirable or dangerous by the Chinese government
SNI TLS inspection	A technique that analyzes the Server Name Indication (SNI) of TLS certificates to detect and block access to specific domains even on encrypted connections
Deep Packet Inspection (DPI)	Detailed inspection of data packet content to detect prohibited or sensitive content and block traffic in real time
Blocking of suspicious protocols	Blocking or restricting protocols that can circumvent censorship, such as VPNs, Tor networks, and other forms of encrypted or anonymized communication
Active Probing	Proactive technique in which the government sends probes to identify and block VPN servers and proxies that are active on the network
Throttling (controlled slowdown)	Technique of purposely reducing available bandwidth, making certain connections so slow that they are practically unusable, without explicitly blocking them

中国“防火墙”审查的典型案例

韶关事件（2009年）

继广东省韶关市发生族群冲突后，中国政府完全切断了新疆维吾尔自治区互联网接入，直接影响了2000万人，其中大部分为维吾尔族——中国的一个伊斯兰少数民族。互联网断网被用作控制信息、阻止对外沟通以及遏制抗议和投诉的手段。 [1]

加密货币禁令（2017–2021）

2017年，在全球加密货币热潮达到顶峰之际，中国当局封锁了主要加密货币交易所的访问通道。 2021年，监管政策进一步收紧，最终导致加密货币交易在中国被定为非法。 [2]

2023年习近平当选期间，审查力度加剧

根据在 2023 年 USENIX 安全研讨会上发布的一份报告，在习近平连任前的几个月里，对加密流量的审查大幅增加。包括高级统计分析和特定启发式方法在内的严格技术被广泛用于检测和阻止加密连接。

然而，大选结束后不久，这种加剧的审查力度便明显减弱，这表明“防火墙”的控制直接响应了中国政府的具体政治背景。 [3]

《小熊维尼》审查事件（2017年至今）

自 2017 年年中起，随着网民开始在网络梗中将这只小熊与习近平主席进行比较，中国社交媒体和流媒体平台上的迪士尼《小熊维尼》相关图片和提及内容被系统性地移除。 [4]

规避和抵制审查

通过实施能够迷惑审查者的技术手段，将隐私融入技术之中，是绕过并抵制像中国“防火墙”这样的巨型审查基础设施的最快途径。

AmneziaWG

一个实际的例子是 AmneziaWG 协议，这是 WireGuard 的一个分支，被 NymVPN 采用，它修改了 WireGuard 的传统行为，以 抵御深度数据包检测 (DPI)。其策略包括在握手之前发送伪造数据包，以及在不同数据包之间改变报头——这些策略使得基于僵化的DPI模式的自动检测变得困难，同时又不影响连接效率。

Tor

Tor 项目提供了强大的替代方案，可绕过中国的网络审查。其中包括：

WebTunnel 将流量伪装成常规的 HTTPS 访问
Snowflake 使用临时代理建立难以追踪的连接
私有 obfs4 桥接节点 不会公开列出，从而避免被检测
Meek-azure 将流量伪装成来自大型云服务，尽管存在带宽限制。

这些工具，正如 Tor 所指出的，构成了对抗数字审查的重要武器库，并表明逆向工程和去中心化仍是确保自由和获取信息的基本策略。

NymVPN 的抗审查项目

2025年，Nym 正在强化 NymVPN 的反审查技术。除了已经作为**“快速模式”的默认协议实现的AmneziaWG**之外，抗审查团队目前正在致力于：

强化 API 和基础设施（包括更安全的域名解析和更具弹性的配置检索），以在受限网络环境下实现更高的稳定性
集成规避传输协议，例如 VMess/V2Ray、obfs4 和 TLS 隧道（XRay/ShadowTLS 风格），以及使用经过混淆处理的“通用化”QUIC、WebRTC 和 TLS 协议，使其与普通流量融为一体
后量子强化，更新了混网数据包格式，并在改进版的 obfs4 中添加了后量子握手机制。

有关 Nym 社区内抗审查功能的更多信息，请参阅 Nym 的官方路线图。