防火长城

维基百科，自由的百科全书
跳转至： 导航、 搜索
“GFW”重定向至此。关于与其同名的其他主题，详见“GFW (消歧义)”。
Confusion grey.svg
提示：本条目的主题不是金盾工程。

防火长城（英语：Great Firewall，常用简称：GFW，中文也称中国国家防火墙[1]、长城防火墙或万里防火墙），是对中华人民共和国政府在其管辖互联网内部创建的多套网络审查系统（包括相关行政审查系统）的称呼。此系统起步于1998年[2]，其英文名称得自于2002年5月17日Charles R. Smith所写的一篇关于中国网络审查的文章《The Great Firewall of China》[3]，取与Great Wall（长城）相谐的效果，简写为Great Firewall，缩写GFW[4]。随着使用的拓广，中文“墙”和英文“GFW”有时也被用作动词，网民所说的“GFWed”及“被墙”均指被防火长城所屏蔽。

目录

简介 [编辑]

一般情况下，防火长城主要指中国政府监控和过滤互联网内容的软硬件系统，由服务器和路由器等设备，加上相关的应用程序所构成。它的作用主要是监控网络上的通讯，对认为不符合中国官方要求的传输内容，进行干扰、阻断、屏蔽。由于中国网络审查广泛，中国国内含有“不合适”内容的的网站，会受到政府直接的行政干预，被要求自我审查、自我监管，乃至关闭，故防火长城主要作用在于分析和过滤中国境内外网络的信息互相访问。中国工程院院士、北京邮电大学校长方滨兴是防火长城关键部分的首要设计师[1][2][5]。

然而，防火长城对网络内容的审查是否限制和违反了言论自由，一直是受争议的话题。也有报告认为，防火长城其实是一种圆形监狱式的全面监控，以达到自我审查的目的[6]。而中国当局一直没有正式对外承认防火长城的存在，如当有记者在外交部新闻发布会上问及互联网封锁等问题的时候，发言人的答案基本都是“中国政府鼓励和支持互联网发展，依法保障公民言论自由，包括网上言论自由。同时，中国对互联网依法进行管理，这符合国际惯例。”方滨兴曾在访问中被问及防火长城是如何运作的时候，他指这是“国家机密”。其实中国官方媒体-新华网有报道里曾涉及防火长城的监控，这从侧面证明其的确存在[7]。

中国还有一套公开在公安部辖下的网络安全项目——金盾工程，其主要功能是处理中国公安管理的业务，涉外饭店管理，出入境管理，治安管理等，所以金盾工程和防火长城的关系一直没有明确的认定。

主要技术 [编辑]

域名解析服务缓存污染 [编辑]

主条目：域名服务器缓存污染

原理：防火长城对所有经过骨干出口路由的在UDP的53端口上的域名查询进行IDS入侵检测，一经发现与黑名单关键词相匹配的域名查询请求，防火长城会马上伪装成目标域名的解析服务器给查询者返回虚假结果。由于通常的域名查询没有任何认证机制，而且域名查询通常基于的UDP协议是无连接不可靠的协议，查询者只能接受最先到达的格式正确结果，并丢弃之后的结果。而用户直接查询境外域名查询服务器（如 Google Public DNS）又可能会被防火长城污染，从而在没有任何防范机制的情况下仍然不能获得目标网站正确的IP地址。用户若改用TCP在 端口53上进行DNS查询，虽然不会被防火长城污染，但可能会遭遇连接重置，导致无法获得目标网站的IP地址。

IPv6协议时代部署应用的DNSSEC技术为DNS解析服务提供了解析数据验证机制，可以有效抵御劫持。

全球一共有13组根域名服务器（Root Server），先前中国大陆有F、I这2个根域DNS镜像[8]，但现在均已因为多次DNS污染外国网络，威胁互联网安全和自由而被断开与国际互联网的连接。[9][10]

  • 从2002年左右开始，中国大陆的网络安全单位开始采用域名服务器缓存污染技术，使用思科提供的路由器IDS监测系统来进行域名劫持，防止了一般民众访问被过滤的网站，2002年Google被封锁期间其域名就被劫持到百度，而中国部分ISP也会通过此技术插入广告。对于含有多个IP地址或经常变更IP地址逃避封锁的域名，防火长城通常会使用此方法进行封锁，具体方法是当用户向境内DNS服务器提交域名请求时，DNS服务器返回虚假（或不解析）的IP地址。
  • 2010年3月，当美国和智利的用户试图访问热门社交网站如 facebook.com 和 youtube.com 还有 twitter.com 等域名，他们的域名查询请求转交给中国控制的DNS根镜像服务器处理，由于这些网站在中国被封锁，结果用户收到了错误的DNS解析信息，这意味着防火长城的DNS域名污染域名劫持已影响国际互联网。[11]
  • 2012年11月9日下午3点半开始，防火长城对Google的泛域名 .google.com 进行了大面积的污染，所有以 .google.com 结尾的域名均遭到污染而解析错误不能正常访问，其中甚至包括不存在的域名，而Google为各国定制的域名也遭到不同程度的污染（因为Google通过使用CNAME记录来平衡访问的流量，CNAME记录大多亦为 .google.com 结尾），但Google拥有的其它域名如 .googleusercontent.com 等则不受影响。有网友推测这也许是自防火长城创建以来最大规模的污染事件，而Google被大面积阻碍连接则是因为中共正在召开的十八大。[13]

针对境外的IP地址封锁 [编辑]

原理：相比起之前使用的控制访问列表（ACL）技术，现在防火长城采用了效率更高的路由扩散技术封锁特定IP地址。正常的情况下，静态路由是由管理员根据网络拓扑或是基于其它目的而给出的一条路由，所以这条路由最起码是要正确的，这样可以引导路由器把报文转发到正确的目的地。而防火长城的路由扩散技术中使用的静态路由其实是一条错误的路由，而且是有意配置错误的，其目的就是为了把本来是发往某个IP地址的报文统统引导到一个“黑洞服务器”上，而不是把它们转发到正确目的地。这个黑洞服务器上可以什么也不做，这样报文就被无声无息地丢掉了。更多地，可以在服务器上对这些报文进行分析和统计，获取更多的信息，甚至可以做一个虚假的回应。这些错误静态路由信息会把相应的IP报文引导到黑洞服务器上，通过动态路由协议的路由重分发功能，这些错误的路由信息可以发布到整个网络。这样对于路由器来讲现在只是在根据这条路由条目做一个常规报文转发动作，无需再进行ACL匹配，与以前的老方法相比，大大提高了报文的转发效率。但也有技术人员指出，从以前匹配ACL表到现在匹配路由表是“换汤不换药”的做法，依然非常耗费路由器的性能[14]。而且中国大陆共有9个国际互联网出口和相当数量的骨干路由，通过这种方法封锁特定IP地址需要修改路由表，故需要各个ISP配合配置，所以其封锁成本也是各种封锁方法里最高的。

一般情况下，防火长城对于中国大陆境外的“非法”网站会采取独立IP封锁技术，然而部分“非法”网站使用的是由虚拟主机服务提供商提供的多域名、单（同）IP的主机托管服务，这就会造成了封禁某个IP地址，就会造成所有使用该服务提供商服务的其他使用相同IP地址服务器的网站用户一同遭殃，就算是“内容健康、政治无关”的网站，也不能幸免。其中的内容可能并无不当之处，但也不能在中国大陆正常访问。

  • 20世纪90年代初期，中国大陆只有教育网、中国科学院高能物理研究所（高能所）和公用数据网3个国家级网关出口，中国政府对认为违反中国国家法律法规的站点进行IP地址封锁。在当时这的确是一种有效的封锁技术，但是只要找到一个普通的服务器位于境外的代理然后通过它就可以绕过这种封锁，所以现在网络安全部门通常会将包含“不良信息”的网站或网页的URL加入关键字过滤系统，并可以防止民众透过普通海外HTTP代理服务器进行访问。

IP地址特定端口封锁 [编辑]

原理：防火长城配合上文中特定IP地址封锁里路由扩散技术封锁的方法进一步精确到端口，从而使发往特定IP地址上特定端口的数据包全部被丢弃而达到封锁目的，使该IP地址上服务器的部分功能无法在中国大陆境内正常使用。

经常会被防火长城封锁的端口：

  • SSH的TCP协议22端口
  • PPTP类型VPN使用的TCP协议1723端口，L2TP类型VPN使用的UDP协议1701端口，IPSec类型VPN使用的UDP协议500端口和4500端口，OpenVPN默认使用的TCP协议和UDP协议的1194端口
  • TLS/SSL/HTTPS的TCP协议443端口
  • 在中国移动、中国联通等部分ISP（手机IP段），所有的PPTP类型的VPN都遭到封锁。

2011年3月起，防火长城开始对Google部分服务器的IP地址实施自动封锁（按时间段）某些端口，按时段对 www.google.com （用户登录所有Google服务时需此域名加密验证）和 mail.google.com 的几十个IP地址的443端口实施自动封锁，具体是每10或15分钟可以连通，接着断开，10或15分钟后再连通，再断开，如此循环，令中国大陆用户和Google主机之间的连接出现间歇性中断，使其各项加密服务出现问题。[15]Google指中国这样的封锁手法高明，因为Gmail并非被完全阻断，营造出Google服务“不稳定”的假象，表面上看上去好像出自Google本身。[16]

无状态TCP协议连接重置 [编辑]

原理：防火长城会监控特定IP地址的所有数据包，若发现匹配的黑名单动作（例如 TLS加密连接的握手），其会直接在TCP连接握手的第二步即SYN-ACK之后伪装成对方向连接两端的计算机发送RST包（RESET）重置连接，使用户无法正常连接服务器。

这种方法和特定IP地址端口封锁时直接丢弃数据包不一样，因为是直接切断双方连接因此封锁成本很低，故对于Google的多项（强制）加密服务例如Google文件、Google网上论坛、Google+和Google个人资料等的TLS加密连接都是采取这种方法予以封锁。

对加密连接的干扰 [编辑]

  • 在连接握手时，因为身份认证证书信息（即服务器的公钥）是明文传输的，防火长城会阻断特定证书的加密连接，方法和无状态TCP连接重置一样，都是先发现匹配的黑名单证书，后通过伪装成对方向连接两端的计算机发送RST包（RESET）干扰两者间正常的TCP连接，进而打断与特定IP地址之间的TLS加密连接（HTTPS的443端口）握手，或者干脆直接将握手的数据包丢弃导致握手失败，从而导致TLS连接失败。但由于TLS加密技术本身的特点，这并不意味着与网站传输的内容可被破译。[17]
  • Tor项目的研究人员则发现防火长城会对各种基于TLS加密技术的连接进行刺探[18]，刺探的类型有两种：
    • 垃圾二进制探针”，即用随机的二进制数据刺探加密连接，任何从中国大陆境内访问境外的443端口的连接都会在几乎实时的情况下被刺探[19]，目的是在用户创建加密连接前嗅探出他们可能所使用的反审查工具，暗示近线路速率深度包检测技术让防火长城具备了过滤端口的能力。
    • 针对Tor，当中国的一个Tor客户端与境外的网桥中继创建连接时，探针会以15分钟周期尝试与Tor进行SSL协商和重协商，但目的不是创建TCP连接。
  • 切断OpenVPN的连接，防火长城会针对OpenVPN服务器回送证书完成握手创建有效加密连接时干扰连接，在使用TCP协议模式时握手会被连接重置，而是用UDP协议时含有服务器认证证书的数据包会被故意丢弃，使OpenVPN无法创建有效加密连接而连接失败。

TCP协议关键字阻断 [编辑]

Firefox的“连接被重置”错误信息。当碰触到GFW设置的关键词后（如使用Google等境外搜索引擎），即可能马上出现这种画面。

原理：防火长城用于切断TCP连接的技术其实是TCP的一种消息，用于重置连接。一般来说，例如服务器端在没有客户端请求的端口或者其它连接信息不符时，系统的TCP协议栈就会给客户端回复一个RESET通知消息，可见RESET功能本来用于应对例如服务器意外重启等情况。而发送连接重置包比直接将数据包丢弃要好，因为如果是直接丢弃数据包的话客户端并不知道具体网络状况，基于TCP协议的重发和超时机制，客户端就会不停地等待和重发加重防火长城审查的负担，但当客户端收到RESET消息时就可以知道网络被断开不会再等待了。而实际上防火长城通过将TCP连接时服务器发回的SYN/ACK包中服务器向用户发送的串行号改为0从而使客户端受骗认为服务器重置了连接而主动放弃向服务器发送请求，故这种封锁方式不会耗费太多防火长城的资源而效果很好，成本也相当的低。

本发明提供了一种阻断TCP连接的方法和装置；方法包括：保存各TCP连接的连接信息；所述TCP连接的连接信息包括该TCP协议连接的：客户端信息、服务端信息、请求方向TCP等待串行号和应答方向TCP等待串行号；抓取TCP包，找到该TCP包所属TCP连接的连接信息，根据所抓取的TCP包更新该连接信息中的请求方向TCP等待串行号和应答方向TCP等待串行号；如果所抓取的TCP包为需要阻断的TCP包，则根据更新后的、该TCP包所属TCP连接的连接信息生成RST包，并发送给该TCP连接的客户端和服务端。本发明可以进行准确而持续的阻断，从而能在大流量环境下的高效阻断非法TCP连接。
外部视频链接
Observations in mainland China (Chinese)，YouTube
2012年谷歌搜索中国大陆之体验（中文版），优酷网
  • 针对HTTP协议的关键字阻断
    • 2002年左右开始，中国大陆研发了一套关键字过滤系统。这个系统能够从出口网关收集分析信息，过滤、嗅探指定的关键字。普通的关键词如果出现在HTTP请求报文的头部（如“Host: www.youtube.com”）时，则会马上伪装成对方向连接两端的计算机发送RST包（Reset）干扰两者间正常的TCP连接，进而使请求的内容无法继续查看。如果防火长城在数据流中发现了特殊的内文关键词（如“falun”等）时，其也会试图打断当前的连接，从而有时会出现网页开启一部分后突然停止的情况。在任何阻断发生后，一般在随后的90秒内同一IP地址均无法浏览对应IP地址相同端口上的内容。
    • 2010年3月23日，Google宣布关闭中国服务器（Google.cn）的网页搜索服务，改由Google香港域名Google.com.hk提供后，由于其服务器位于大陆境外必须经过防火长城，所以防火长城对其进行了极其严格的关键词审查。一些常见的中共高官的姓氏，如“胡”、“吴”、“温”、“贾”、“李”、“习”、“贺”、“周”、“毛”、“江”、“令”，及常见姓氏“王”、“刘”、“彭”等简体中文单字，当局实行一刀切政策全部封锁，即“学习”、“温泉”、“李白”、“圆周率”也无法搜索，使Google在中国大陆境内频繁出现无法访问或搜索中断的问题。2011年4月，防火长城开始逐步干扰Google.com.hk的搜索服务。部分用户在Google.com.hk搜索时发现网页载入非常缓慢或者提示“连接超时”，多项功能无法使用，而在Google其它国家的域名（如Google日本，www.google.co.jp）上搜索时则较少出现此情况。
  • 干扰eD2k协议的连接
    • 从2011年开始，防火长城开始对所有境外eD2k服务器进行审查：当境内用户使用eD2k协议例如eMule使用迷惑协议连接境外服务器时会被无条件阻断，迫使eMule使用普通连接连接境外服务器；同时防火长城对所有普通eD2k连接进行关键字审查，若发现传输内容含有关键字，则马上切断用户与境外服务器的连接，此举阻止了用户获取来源和散布共享文件信息，严重阻碍使用eD2k协议软件的正常工作。[20][21]

对破网软件的反制 [编辑]

因为防火长城的存在，大量境外网站无法在中国大陆境内正常访问，于是大陆网民开始逐步使用各类破网软件突破防火长城的封锁。针对网上各类突破防火长城的破网软件，防火长城也在技术上做了应对措施以减弱破网软件的穿透能力。通常的做法是利用上文介绍的各种封锁技术以各种途径打击破网软件，最大限度限制破网软件的穿透和传播。

而每年每到特定的关键时间点（敏感时期）防火长城均会加大网络审查和封锁的力度，部分破网软件就可能因此无法正常连接或连接异常缓慢，甚至中国境内和境外的正常网络连接也会受到干扰：

间歇性完全封锁 [编辑]

  • 间歇性封锁国际出口

从2011年5月6日起，中国大陆境内很多互联网公司以及高校、学院、科研单位的对外网络连接都出现问题，包括中国科学院。有分析指断网可能是因为防火长城已经具有了探测和分析大量加密流量并对用户IP地址执行封锁的能力，而各大机构的出口被封也在其中。具体表现为：当用户使用了破网（翻墙）软件后，其所在的公共网络IP地址会被临时封锁，所有的国际网站都无法访问，包括MSN、iTunes Store等，而访问国内网站却正常，但如果使用境外的DNS解析域名则将会由于DNS服务器被封锁导致无法解析任何域名，国内网站也会无法打开[22]。也有分析指，此举是中国当局在测试逐步切断大部分人访问国际网站的措施，以试探用户反应并最终达到推行网络“白名单”制，也就是凡没有在名单上的企业或团体其网络域名将不能解析，一般用户也无法访问[23]。而《环球时报》英文版引述方滨兴指，一些ISP必须为自己的用户支付国际流量费用，因此这些公司“有动机”去阻碍用户访问国外网站。一位工信部官员说，用户碰到这些情况应先检查自己和网站的技术问题。[24][25]

  • 境内骨干路由器间歇性阻断

2012年10月下旬，Google位于北京的服务器被国家级骨干路由器长时间干扰连接，包括中国大陆境内用户在内访问时返回“连接超时”错误，造成大量基于Hosts技术利用Google北京服务器作为反向代理访问Google服务的用户和软件无法正常使用，例如GoAgent。测试指出数据包经过部分国家级骨干路由器时被选择性丢弃，造成与服务器连接的丢包率飙升，甚至有部分用户反映被完全阻断与服务器之间的连接。以上表明与之前众所周知的情况不同，防火长城已经具备审查境内网络流量的能力。

针对IPv6协议的审查 [编辑]

IPv6（互联网通信协议第6版）是被指定为IPv4继任者的下一代互联网协议版本。在IPv4网络，当时的网络设计者认为在网络协议栈的底层并不重要，安全性的责任在应用层。但是即使应用层数据本身是加密的，携带它的IP数据仍会泄漏给其他参与处理的进程和系统，造成IP数据包容易受到诸如信息包探测（如防火长城的关键字阻断）、IP欺骗、连接截获等手段的会话劫持攻击。

  • 虽然用于网络层加密与认证的IPsec协议可以应用于IPv4中，以保护IPv4网络层数据的安全，但IPsec只是作为IPv4的一个可选项，没有任何强制性措施用以保证IPsec在IPv4中的实施。由于IPv6协议默认开启IPSec保护，防火长城在IPv4协议中实施的关键字过滤基本不能继续实现，但实现IPSec需要双方设备同时支持启用且会降低连接速度，这使得未来IPv6能否能真正摆脱防火长城的干扰存在不明朗因素。因为防火长城是挂载在国家级骨干路由器的旁路设备，而网络数据传输必须知道数据包来源地与数据包的目的地才能完成路由转发，故在IPv4协议时代实施的针IP地址封锁技术和特定IP地址端口封锁技术依然有效。
  • 现阶段防火长城已经具备干扰IPv6隧道的能力[26]，因为IPv6隧道在用户到远程IPv6服务器之间的隧道是创建在IPv4协议上的，因为数据传输分片的问题或者端点未进行IPSec保护的时候很有可能暴露自己正在传输的数据，让防火长城有可乘之机干扰切断连接。
  • 方滨兴在他的讲话《五个层面解读国家　信息安全保障体系》中说：“比如说Web 2.0概念出现后，甚至包括病毒等等这些问题就比较容易扩散，再比如说IPv6出来之后，入侵检测就没有意义了，因为协议都看不懂还检测什么。”[27]

对电子邮件通讯的拦截 [编辑]

通常情况下，邮件服务器之间传输邮件或者数据不会进行加密，故防火长城能轻易过滤进出境内外的大部分邮件，当发现关键字后会通过伪造RST包阻断连接。而因为这通常都发生在数据传输中间，所以会干扰到内容。也有网友根据防火长城会过滤进出境邮件的特性，查找防火长城部署的位置。[28]

2007年7月17日，大量使用中国国内邮件服务商的用户与国外通信出现了退信、丢信等普遍现象[29]，症状为：

  • 中国国内邮箱给国外域发信收到退信，退信提示“Remote host said: 551 User not local; please try <forward-path>”
  • 中国国内邮箱用户给国外域发信，对方收到邮件时内容均为“aaazzzaaazzzaaazzzaaazzzaaazzz”。
  • 中国国内邮箱给国外域发信收到退信，退信提示“Connected to ***.***.***.*** but connection died. (#4.4.2)”
  • 国外域给中国国内邮箱发信时收到退信，退信提示“Remote host said: 551 User not local; please try <forward-path>”
  • 国外域给中国国内邮箱发信后，中国国内邮箱用户收到的邮件内容均为“aaazzzaaazzzaaazzzaaazzzaaazzz”。

对此，新浪的解释是“近期互联网国际线路出口不稳定，国内多数大型邮件服务提供商均受到影响，在此期间您与国外域名通信可能会出现退信、丢信等现象。为此，新浪VIP邮箱正在采取措施，力争尽快妥善解决该问题。”而万网客户服务中心的解释是“关于近期国内互联网国际出口存在未知的技术问题导致国内用户与国外通信可能会出现退信、丢信等普遍现象，万网公司高度重视，一直积极和国家相关机构汇报沟通，并组织了精良的技术力量努力寻找解决方案。”[30]

于是GFW会过滤进出邮件，当发现关键字后会通过伪造RST包阻断连接。因为这通常都发生在数据传输中间，所以会干扰到内容。也有网友根据GFW会过滤进出境邮件的特性，查找GFW在Internet的位置。[31]

硬件 [编辑]

典型意义下GFW的线路拓扑

据估计，防火长城可能拥有数百台曙光4000L服务器[32]。另外，思科公司也被批评参与了中国网络审查机制。

  • 防火长城（北京）使用曙光4000L机群，操作系统为Red Hat系列（从7.2 到7.3 到AS 4），周边软件见曙光4000L一般配置
  • 防火长城实验室（哈尔滨工业大学）使用曙光服务器，Red Hat操作系统
  • 防火长城（上海）使用Beowulf集群。GFW是曙光4000L的主要需求来源、研究发起者、客户、股东、共同开发者。2007年防火长城机群规模进一步扩大，北京增至360节点，上海增至128节点，哈尔滨增至64节点，共计552节点。机群间星型千兆互联。计划节点数上千。
  • 有理由相信防火长城（北京）拥有16套曙光4000L，每套384节点，其中24个服务和数据库节点，360个计算节点。每套价格约两千万到三千万，占005工程经费的主要部分。有3套（将）用于虚拟计算环境实验床，计千余节点。13套用于骨干网络过滤。总计6144节点，12288CPU，12288GB内存，峰值计算速度48万亿次[来源请求]。
    • 2 GHz CPU的主机Linux操作系统下可达到600Kbps以上的捕包率。通过骨干网实验，配置16个数据流总线即可以线速处理八路OC48接口网络数据。曙光4000L单结点的接入能力为每秒65万数据包，整个系统能够满足32Gbps的实时数据流的并发接入要求。有理由相信GFW的总吞吐量为512Gbps甚至更高（北京）。

会被过滤的网站 [编辑]

主条目：中华人民共和国被封锁网站列表

所有境外的网站都会受到关键词过滤的影响，故可能会出现暂时无法访问的情况。以下这些类型的网站被封锁的主要原因是因为其网站上发布中国政府不能接受的政治内容或未经国内政治审查过的新闻（比如中国2003年的SARS事件在中国政府揭露事实真相前关于SARS的相关报道和讨论）等方面的内容，有些综合性或技术性的网站只是含有少量的或可能牵涉到这些信息而被整体封锁。

被固定封锁或干扰的网站类型包括：

  • 部分国际成人视频网站及大部分针对华人的色情论坛
  • 所有涉及民运、疆独、藏独、法轮功或具有法轮功背景的以及在中国大陆被查禁的宗教的网站
  • 大部分国际人权、保护记者及中国大陆维权组织的网站
  • 台湾的大部分政府网站（如总统府、中央社等）
  • 部分香港泛民主派和台湾政党网站（香港公民党、社民连，台湾民进党等）
  • 大多数国际广播电台的中文网（如BBC中文网）
  • 大多数香港、澳门和台湾的综合（门户/入口）网站中提供新闻的分站甚至与政治毫无关联的学术网站
  • 大多数港澳台及海外华人/留学生的热门论坛或讨论区
  • 搜索引擎（雅虎香港hk.search.yahoo.com/search/和美国在线search.aol.com/aol/webhome等）
  • 一些国际性的免费博客服务（如Blogger）
  • 大多数港澳台的博客服务及社区类网站（如无名小站等）
  • 部分港澳台的免费在线电视台；部分海外提供Web 2.0或个人网站服务的知名或影响较大的站点
  • 大多数视频类网站（如YouTube、Dailymotion、Vimeo、雅虎Video等）
  • 大部分社交类网站（Facebook、Twitter、Plurk、Google+等）
  • 大多数天主教中文网站及部分基督教中文网站
  • 博彩网站（如香港赛马会投注页面等）
  • 香港及台湾的购物网站（如雅虎香港拍卖和奇摩拍卖、博客来、三民书局等）
  • 部分个人网站和博客
  • 大部分文件寄存网站（如Megaupload等）
  • 大部分云计算文件寄存网站（如Dropbox和SugarSync等）
  • 部分国际性图片网站（如Flickr部分页面和Picasa网络相册等）
  • 大部分免费服务器或主机（Yahoo! Small Business除首页外的全部IP和Google App Engine等）
  • 大部分Twitter第三方电脑登录网站或客户端（如TweetDeck、Seesmic、推特中文圈等）以及API
  • 大部分与Twitter相关的图片服务（如Twitpic、Img.ly、Yfrog、Twitgoo、ow.ly等）
  • 大部分手机Twitter客户端（如Gravity、Socialscope、Snaptu等）
  • 一些代理服务器或有提供类似突破网络封锁功能（VPN、SSH、网页代理等）的网站（如Hotspot Shield、Tor等）
  • 部分RSS服务（如FeedBurner等）
  • 手机浏览器Opera Mini国际版（Opera后自我审查使用大陆服务器）
  • 诺贝尔奖多个官方网站、挪威广播公司（参见2010年诺贝尔和平奖）
  • 大部分由Google提供的有传播信息动机的服务（包括Gmail、Google云硬盘等，参见谷歌中国）

而一些知名的门户入口类、技术类、购物类、慈善类网站也经常被封锁，或被干扰得时断时续：

至于国际媒体几乎无一例外被封锁过，一般英文媒体在大陆召开高层会议或发生较大敏感事件会被短暂封锁，台湾泛蓝媒体（如联合报、中国时报、中天电视和中华电视公司等）有时会被短暂解封，其他大部分海外中文媒体会被长期封锁或干扰（有部分能打开首页，但无法点阅新闻内容）：

  • CNN和BBC的网站（英文版已解封）
  • 在线的免费电视台直播网站及其客户端（如Livestation和TVUnetworks）
  • 香港（含香港公营媒体香港电台）、澳门、台湾、新加坡、马来西亚的电台、电视台和中文报章的官方网站

防火长城对在中国大陆各ISP设置的黑名单基本上是同步和一致的，但有个别网站会有差别，例如：

  • 中国移动封锁Google的图片、文件服务器域名 *.ggpht.com 及 *.googleusercontent.com，图片搜索及诸多Google服务不能使用或出错。移动也封锁了HTC手机（含外国/港/台行货）天气预报服务器（AccuWeather提供） htc.accuweather.com，而联通和电信可以正常更新。

北京奥运与防火长城 [编辑]

参见：中华人民共和国网络审查#2008年奥运期间的中国互联网

据法新社报道，中国政府曾讨论是否在北京奥运会期间放宽防火长城的屏蔽范围[33]。在奥运前夕，曾一度被限制访问的Blogger、《中国时报》、《明报》等网站陆续被解除封锁，中文维基、BBC中文网和大赦国际网站等网站在8月1日亦被证实解封[34]，但部分被禁网站仍然未被解禁，包括“法轮功”网站、“西藏流亡政府”网站以及和“六四事件”相关的网站[35]。《齐鲁晚报》报道，有外国媒体指责中国政府违背先前全面开放互联网的承诺，奥组委发言人孙伟德表示，奥运期间将提供媒体“充分”的网络使用权，但外国记者上网不会完全不受限制。根据中国的法律，不得通过互联网传播违反法律的信息，如宣扬法轮功，以危害国家利益。希望媒体尊重中国有关法律法规”。但文中没有解释为何众多与法轮功完全无关的新闻机构、博客、社交和视频网站也无法访问。[36] 国际奥委会新闻委员会主席高斯帕也表示，国际奥委会一些官员和中国当局已达成协议，同意中国封锁一些被认为是敏感的、同奥运无关的网站[37]。

奥运会结束数月后，中国政府对海外新闻网站的封锁又重新开始。至2008年12月，重新被封锁的网站包括德国之声、BBC、美国之音、法广、澳广、加拿大广播电台等新闻机构的中文网站。此外，根据基地在美国的非盈利维权组织“自由之家”16日发布的新闻稿，这次遭中国政府封闭的还有一些被视为敏感的网站，包括无国界记者、《亚洲周刊》和《明报》等。外交部发言人刘建超表示，中国总体上是采取对外开放的政策，但是中国和其他国家一样，对于网站还是要依法做必要的管理，某些网站确实存在违反中国法律的事情[38]。有评论认为，当局此次收紧舆论控制是为了防止经济危机进一步转化为社会与政治危机[39]。

解禁 [编辑]

从2013年3月下旬开始，中国网络防火长城开始有放松的迹象，在中国大陆地区，诸如“共产党”之类以前遭到屏蔽的字眼恢复正常使用，但是像“六四事件”等敏感词汇依旧遭到屏蔽。

参见 [编辑]

参考文献 [编辑]

  1. ^ 1.0 1.1 全国人大代表、北京邮电大学校长方滨兴：实施过滤计划慎用在线更新输入法. 中国信息产业网. 2010-3-11 [2010-3-18]. 
  2. ^ 2.0 2.1 Great Firewall father speaks out. Global Times. [2011-2-18] （英文）. 
  3. ^ （英文）Great Firewall of China，2008年1月30日新增。
  4. ^ （简体中文）百度日本站被GFW屏蔽 疑与色情内容有关，人民网（有百度员工指出这是百度自我审查屏蔽内地用户，GFW并没有封锁，详见南方人物周刊：百度搜不到的与索取到的）
  5. ^ 李永峰. 网民披露方滨兴是GFW之父国庆前夕中国网络再次收紧. 亚洲周刊. 2009-10-04, 23 (39) [2009-09-25] （中文（繁体）‎）. 
  6. ^ （英文）JR, Crandall; Zinn D, Byrd M, Barr E, East R, ConceptDoppler: A Weather Tracker for Internet Censorship, Computer and Communications Security (PDF). 2007 [2007-09-13] 
  7. ^ 区域经济规划密集亮相 下半年步伐或继续加快. 新华网>新华财经. 2011年07月07日 08:30:55. 
  8. ^ （英文）Asia Pacific Root servers，亚太互联网络信息中心
  9. ^ DNS污染问题发生后中国根服务器被关. Solidot. 2010-03-28 [2011-02-10]. 
  10. ^ After DNS problem, Chinese root server is shut down. IT World. 2010-03-26 [2011-05-19]. 
  11. ^ China censorship leaks outside Great Firewall via root server. Ars Technica. 2010-03 [2011-05-19]. 
  12. ^ A Chinese ISP Momentarily Hijacks the Internet. PC World. 2010-04-09 [2011-05-19]. 
  13. ^ http://internet.solidot.org/internet/12/11/09/1044237.shtml. 2012-11-09 [2012-11-09]. 
  14. ^ 深入了解GFW：路由扩散技术. 2009-11-05 [2011-07-07]. 
  15. ^ 翻墙专题：Google掉包问题. RFA. 2011-03-11 [2011-03-21]. 
  16. ^ Google accuses China of blocking Gmail. 法新社. 2011-03-21 [2013-03-18]. 
  17. ^ 翻墙专题：安全加密登入的方法. RFA. 2011-03-18 [2011-03-21]. 
  18. ^ Knock Knock Knockin' on Bridges' Doors. Tor. [2012-01-10]. 
  19. ^ China's Great Firewall Tests Mysterious Scans On Encrypted Connections. [2011-11-17]. 
  20. ^ 翻墙OK » 关于GFW审查eD2k协议的相关内容汇总. [2012-11-29]. 
  21. ^ chengr28. 小盆友的可考证处: (In 2012-11-28)关于eD2k服务遭审查. [2012-11-29]. 
  22. ^ 中国网警“修理”翻墙网民中科院也被牵连. RFI. 2011-05-18 [2011-05-18]. 
  23. ^ 中国网络国际访问频故障　温水煮蛙测试断外网反应？. RFA. 2011-05-12 [2011-05-18]. 
  24. ^ Theories abound for overseas web access troubles. 环球时报. 2011-05-18 [2011-05-19]. 
  25. ^ 方滨兴教授回应国外网站不能拜访事件. Solidot. 2011-05-18 [2011-05-19]. 
  26. ^ (In 2012-11-20)关于近日IPv6隧道被阻断连接. 2012-11-08 [2012-11-08]. 
  27. ^ 方滨兴院士解读国家信息安全保障体系（转载）. 中华人民共和国工业和信息化部. 2009年 [2011-03-21]. 
  28. ^ 找出GFW在Internet的位置，全面分析国内到国外邮件受阻的原因 - ChinaUnix.net
  29. ^ 无耻的GFW，测试GFW工作原理 - MDaemon Server - 邮件服务器-邮件系统-邮件技术论坛(BBS)，日期为2007年7月6日，有网友在此抱怨GFW的封锁
  30. ^ （简体中文）万网关于海外邮件通信问题的进展通告
  31. ^ 找出GFW在Internet的位置，全面分析国内到国外邮件受阻的原因 - ChinaUnix.net
  32. ^ 中国GFW预作新技术储备 用大奖赛招徕人才（图）. 自由亚洲电台. 2010-06-08 [2010-06-09]. 
  33. ^ China may relax Internet curbs during the Olympics: official. Google - 法新社. 2008-02-05 （英文）. 
  34. ^ 胡锦涛接受外国媒体记者采访. BBC. 2008年8月1日 [2008年8月1日] （简体中文）. 
  35. ^ 奥运前夕中国解禁国际特赦网站. BBC. 2008年8月1日 [2008年8月1日] （简体中文）. 
  36. ^ 外媒指责中国政府未兑现奥运期间网络自由承诺. 齐鲁晚报. [2008-08-31] （中文（简体）‎）. 
  37. ^ 北京奥组委：外国记者上网不会完全不受限. 联合早报. 2008-07-31 （中文（新加坡）‎）. 
  38. ^ China 'bans BBC Chinese website'. BBC. 2008年12月16日 [2008年12月16日] （英文）. 
  39. ^ 中国再屏蔽外国敏感网站引发争议. VOA. 2008年12月17日 [2008年12月17日] （中文（简体）‎）. 
[1]
  1. ^ ＿＿Blue的炫影. “连接被重置”. 译言. 2008-03-24 [2008-08-29] （中文（中国大陆）‎）. 

外部链接 [编辑]

维基新闻标志
维基新闻相关报道：
中国大陆外用户访问国内带有敏感词的网页可能会被重置连接

⑮
专用破网软件
匿名代理软件
Tor · 赛风 · JAP · Hotspot Shield · I2P
匿名P2P软件
利用GAE破网
参见
来自“http://zh.wikipedia.org/w/index.php?title=防火长城&oldid=26481669”