什么是 GFW？
防火长城技术原理完全解析
你打开一个网站，转圈、超时、报错——这背后，往往都有同一个推手：GFW。
每隔一段时间，它就会悄然升级一次，让原本稳定的节点突然断流，让刚买的套餐变得不好用。许多人用了多年代理服务，却从没认真了解过这套系统到底是怎么运作的。
其实，只要理解 GFW 的核心机制，你就能读懂为什么有些协议抗封、有些一用就断，也能在选择代理服务时做出更明智的判断。
本文将以技术原理为主线，从最底层的网络机制出发，带你把这套系统看清楚。
GFW 是什么？
GFW，全称 Great Firewall of China（中国国家防火墙），是中国在其管辖互联网内部实施的分布式核心网络审查系统。
它不是某台巨大的服务器，也不是位于边境的某道“实体闸门”，而是贯穿三大运营商（电信、联通、移动）国际出口汇聚层的分布式系统，融合了多种网络安全技术，持续运转于每一个数据出境的节点之上。
如果把中国互联网的国际出口比作一道道关卡，GFW 就是在每个关卡上同时运转的自动审查系统。它的核心任务只有一个：审计、过滤、阻断不符合监管要求的跨境网络流量。
GFW 拦截流量的四种核心机制
GFW 经过二十余年演进，已从早期的粗放拦截，发展为如今融合大数据与机器学习的精准打击体系。其核心手段主要分为以下四种，复杂度依次递增。
DNS 污染（DNS Poisoning）
原理：当你在浏览器输入一个网址（如 google.com），设备会首先向 DNS 服务器查询对应的 IP 地址。GFW 若检测到查询的是黑名单域名，便会在返回路径上注入一条伪造的 DNS 响应，将其解析为一个错误或不存在的 IP 地址。
由于国内大部分递归 DNS 服务器直接受管控，这种污染往往发生在请求还未真正出境之前。
结果：浏览器访问了错误地址，页面提示“无法访问此网站”。
应对现状：业界普遍采用 DoH（DNS over HTTPS）或 DoT（DNS over TLS）对查询流量进行加密，使 GFW 难以直接识别和篡改 DNS 请求内容。但需注意，加密 DNS 本身也可能成为被针对性干扰的对象。
IP 与端口封锁（IP & Port Blocking）
原理：直接在国际出口路由器的路由表中，将特定境外 IP 地址指向“空路由”（Null Route，俗称路由黑洞）。即便你知道目标服务器的真实 IP，数据包也会在出境前被静默丢弃，没有任何响应返回。此外，也可以通过防火墙策略精准阻断某个 IP 的特定通信端口，而非整个地址。
结果：连接请求超时，无任何回应。
在代理服务中的表现：部分主流云服务商的大段 IP 区间会被重点监控；普通公网节点如果长时间在单一端口上承载大流量，极易触发端口封锁——通常表现为连接突然中断，且重连同一端口依然失败，俗称“端口被墙”。
关键字阻断与 TCP 重置（TCP Reset Attack）
原理：基于 DPI（深度包检测）技术，对未加密或弱加密连接中传输的内容进行实时扫描。一旦检测到包含敏感词的数据，旁路探针会立即向连接双方分别发送伪造的 TCP RST（复位）数据包。
关键细节：GFW 的 DPI 探针以旁路（passive tap）方式接入网络，而非串联在链路上，因此它无法直接拦截数据包，只能通过伪造 RST 报文“欺骗”两端的操作系统主动断开连接。这也解释了为什么有时 TCP Reset 触发后，稍作等待还能重新建立连接。
结果：当前 TCP 连接被强制中断，该 IP 或特定端口可能随之进入数分钟的临时封锁窗口。
深度包检测与主动探测（DPI & Active Probing）
这是近年来针对加密代理协议演进出的最强手段，也是代理服务用户最需要理解的机制。
流量指纹识别（DPI）：现代代理协议虽然对数据内容进行了加密，但 GFW 可以通过机器学习模型，分析数据包的大小分布、发包频率、连接时序等统计特征——即“流量指纹”。即便看不懂加密内容，只要流量特征高度吻合某种已知代理协议，便可能被标记并实施阻断。
主动探测（Active Probing）：当某段流量触发怀疑阈值（例如大量中国 IP 持续访问同一境外服务器、包特征异常等），系统会伪装成普通客户端，主动向该境外 IP 发起连接请求。若该服务器按照特定代理协议做出响应，或表现出与标准 HTTPS 服务不符的握手特征，便会被“实锤”身份并随后封锁。
这也是为什么以 Reality 为代表的现代协议，核心目标就是让服务器在被探测时表现得像真实网站，从而通过检验。
代理协议的进化史
为了对抗不断升级的 DPI 检测与主动探测能力，代理协议经历了数代技术迭代。
| 时代 | 代表协议 | GFW 的应对方式 | 现状 |
|---|---|---|---|
| 传统 VPN | PPTP、L2TP、OpenVPN | 协议握手特征过于明显，DPI 可直接识别 | 公网裸跑已基本失效 |
| 早期加密代理 | Shadowsocks、SSR | 引入机器学习，通过流量时序指纹识别 | 单独使用易被封端口，需配合混淆插件 |
| 伪装与 TLS 时代 | VMess、Trojan、VLESS+TLS | 引入主动探测，识破非标准 TLS 握手与证书特征 | 纯常规 TLS 伪装生存率下降 |
| 反探测与现代协议 | VLESS+Reality、Hysteria 2 | 仍在持续研究对抗 | 当前主流。Reality 借用真实大厂域名证书，消除服务端可探测特征；Hysteria 2 基于 QUIC（UDP）传输，绕开部分 TCP 层面的检测逻辑 |
自 2022–2023 年起，Reality 协议凭借“零服务端特征”的设计理念被广泛采用，目前已成为高稳定性节点的主流方案之一。结合前一篇协议选型内容，目前较稳妥的组合仍是 Reality 系（TCP）+ Hysteria 2（UDP） 双路线备份。
这对选择代理服务意味着什么？
理解了 GFW 的运作原理后，有一件事就变得清晰：为什么个人自建节点越来越难以长期存活？因为个人技术很难对抗具备大数据与自动化能力的审查系统。
不是协议不够强，而是对抗的维度变了。
主动探测系统一旦锁定某个 IP，会在较短时间内完成封锁决策。普通 VPS 的应对资源有限：换 IP 成本高、响应周期慢。一个优质的代理服务商，其核心价值往往体现在以下三个方面：
- 防探测协议架构：服务端持续跟进最新协议（如 Reality、Hysteria 2），确保即便主动探测上门，服务器也能以接近标准 HTTPS 服务的面貌通过检验，从源头提升节点存活率。
- 公网中转（Relay）：在境内安排中转服务器，用户设备先连接境内中转机，再由中转机通过加密隧道转发至境外节点。用户与境内中转机之间是普通国内流量，降低了直接暴露在国际出口审查下的风险，同时也能优化部分延迟路径。
- 内网专线（IPLC / IEPL）：流量走购买的跨境商业专线，在边界直接对接跨境光缆，不经过面向公众的国际出口汇聚层。由于不进入常规审查通道，抗封锁能力较强，延迟与丢包率通常也优于普通公网线路。
结语
GFW 不是一道静止的墙，而是一套持续演进的智能系统。它塑造了中国网民的互联网使用环境，也推动了代理协议技术二十年来的快速迭代。
对于需要稳定访问境外资源的用户而言，理解这套系统的运作逻辑，是做出明智选择的前提。协议的选择、线路的架构、节点的存活策略——这些细节背后，都有 GFW 这个变量在持续施压。
协议只是工具，真正重要的是根据自身网络环境，选择匹配的技术方案与可靠的服务。