[科普中国]-突破网络审查

突破网络审查或突破网络封锁，在中国大陆突破防火长城实行的网络审查又称翻墙、穿墙、科学上网、爱国上网等指绕过互联网审查封锁技术（IP封锁、端口封锁、关键词过滤、域名劫持等），实现对网络内容的访问。

突破网络审查的软件通常被称作翻墙软件。翻墙软件并不只是代理软件，它着眼于获得被封锁的网站内容。

背景少数国家实行了高强度的网络审查，同时大多数国家都有一定的网络规范与监视系统存在，许多人为了确保信息安全与个人隐私，利用了原本设计用来金融交易或是公司、团体保密通信等的各种加密传输手段。这类破网技术的出现出于反对政府进行网络审查封锁，透过这种方式以抵制政府的监控、封锁等。互联网的分布式设计从体系上使得任何一个政府或组织完全控制互联网极其困难。与网络审查的技术发展相对应，很多简单有效的绕过审查、突破封锁的技术、方法和软件被希望绕开审查的人们发明出来。

欧洲、美国、中华人民共和国、俄罗斯、印度等对网络安全比较重视并设计了多样化的封锁手段应用于信息化社会，以封网程度最大的中国大陆为例，中华人民共和国政府通过其在网络建设的“防火长城”限制或阻止境内居民访问其境外的色情淫秽网站（例如草榴社区）、当局无法管控的的新闻网站（例如BBC中文网）和社交网站（例如Facebook、Twitter）等。若中国大陆居民需要访问这些被屏蔽的网站，则需要翻墙。

从理论上说，审查部门完全可以用技术手段切断所有代理服务器和VPN连接。但因为大量的国内外银行金融交易和企业在跨国通讯时，都必须使用安全和经济的VPN来传输加密数据，出于经济的考量，进行网络审查的国家还不可能完全切断所有的代理连接和VPN连接，比如中华人民共和国，即使是撇除经贸或军事方面的问题，全私人网络也会有加密需求。一般来说，投入在封锁技术的费用也十分昂贵，单单一人所开发的翻墙工具就需要数个大型研究团队投入多年进行破解，因此官方投入网络封锁的时候，反而引起黑客兴趣，让网络突破封锁工艺技术大幅成长，这也就解释为何多数网络管制的国家都有封锁不完全现象，毕竟效益是十分低的，大量的税金被花费在阻挡信息的自由传递上。但是，对于一些流行的免费VPN服务，由于用户人数与流量众多，常会暴露出了公共网络服务的特质，加上部分可能会提供敏感内容的VPN服务已经触法，因此这些过于明显的网络端口会一起遭到来自政府的屏蔽，直到他们又升级换代为止。1

发展早期的工具都是普通代理工具的完善，当时还没有内容和网址的过滤，仅针对IP封锁网页，只要找到合适的普通代理，在浏览器中设置代理服务器和端口，基本就可以畅通无阻。当时的工具基本是擅长于代理的搜索、校验和动态切换，对较小影响的网站，应用这类工具方便快速。在封锁技术获取发展后，如中华人民共和国的防火长城，能够进行域名污染、关键字过滤，人们开始设计更为复杂的反审查软件来进行突破，比如：

TLS加密页面代理，它能获取互联网站点中的内容，以TLS的加密形式传递给用户。用户使用加密代理，便能浏览其他各种被审查封锁的网站，而所有的信息都是以加密的形式传输的，目前认为基于TLS技术的通讯，无法嗅探出网址（URL）中除域名外的其他内容。

利用TLS等加密技术开发通用软件，创建隧道，在无审查地区的相应的出口中创建一个（或多个）能够为其他计算机提供代理访问服务的服务器，通过服务器代理访问的方式访问被限制的信息。

利用服务端和客户端的软件，自定义加密方式，将服务端软件配置于位于海外的计算机后，便可以使用客户端软件的方式加密浏览海外的信息。

利用现有的基于安全链接的传输协议，在传输层和与其对应的网络层中创建安全的数据传输通道，以连接到未经审查地区的计算机，以间接的形式绕过审查设备访问互联网，例如VPN。

针对中华人民共和国的防火长城中的TCP连接重置和域名污染，从底层进行反制，这种手段完全不需要代理或其它的绕过技术，西厢计划即综合利用多个 TCP/IP 技术欺骗及反制措施，实现网络突破。1

技术原理加密，让审查系统无法判断你在浏览什么内容。

代理，与第三方能正常访问被封锁的信息的代理服务器创建连接，以连接到未经审查地区的计算机，以间接的形式绕过审查设备访问互联网

伪装，将真实的信息混淆在其他信息当中，实现网络流量的伪装。1

相关工具这是一个动态的未完成列表，内容可能随时出现变动，所以这个列表可能永远也不会补充完整。欢迎您随时修改并列明来源。2

方法依照审查封禁的原理，有以下数种方式可绕过审查封禁，各自有不同的优点与局限性：

修改本机hosts文件，不足之处是需要系统管理员权限（如 root 权限）来修改，对基于 IP 地址封禁的网站无效

使用安全增强式的 DNS（如 TCP 查询方式、DNSSEC等），不足之处同上

使用特殊 DNS + SNI 代理，或代理软件（如 HTTP 代理、SOCKS代理等），不足之处在于服务器 IP 遭封禁的话即告失效，而且性能取决于服务器的性能以及连接人数，流量过大的、无法辨识的内容也容易引起一些拥有较高审查技术的政府机构的注意

使用P2P匿名网络（如Tor、I2P等），不足之处在于性能较差，流量特征明显而容易遭到截断（像是 emule 的 ed2k 模糊协议）

使用SSH，不足之处在于连接性能较低，因为这个协议本身不是为大量数据传输而设计的，而且现今的安全性也有疑虑（美国国家安全局已有能力解读 SSH）

使用VPN，不足之处在于数据分流不灵活，会将开启了VPN的设备的所有数据流量全部导向至VPN服务器上；另外如果VPN服务器上有流量监视软件运行，那么用户所传输的数据将有信息安全威胁；进一步来说，由于VPN的设计，数据流量的特征非常明显，容易引起审查机构注意。

使用代理自动配置（PAC）

更换网络连接方式

拨号连线

卫星上网

国际漫游数据流量

特殊方法

使用电子邮件获取被限制的网页

使用搜索引擎（如谷歌、必应）的快照

政府审查制度内提供的途径

若是有正当需求，如办理跨国界网络活动，可向国营电信商申请短期跨境网络服务，费用与关系有关，一般在10～20万人民币之间．

某些五星级饭店亦可提供跨境网络服务，报价一般来说也在10～20万人民币之间．但须事先沟通网络品质，若未透过官方管道而是自行架设 VPN，往往品质不佳。2

相关软件蓝灯（Lantern），免费（3.x以后有付费版本，免费版4.x以后版本为每月500M，超出限速）、开源，支持多平台（Windows、Linux、Android）。蓝灯能够自动检测一个网站是否被封锁。对那些被封锁的网站，Lantern 通过自有的服务器或者未封锁地区的用户运行的 Lantern 来提供访问。

赛风，免费、开源，支持多平台（Windows、Android、iOS），但链接不稳定

自由浏览器 FreeBrowser，仅支持Android，由Greatfire开发

自由门，免费，支持Windows、Android，链接较稳定，能设置不代理网址名单或代理网址名单

无界浏览，免费，支持Windows、Android

萤火虫（Firefly），用 Go 语言编写，采取 meek 工作原理，支持多平台（Windows、Android、iOS）

XXNET

浏览器集成包，为进一步降低破网难度，有志愿者将Chromium、Firefox等浏览器，与已经配置好的翻墙软件（如GoAgent和Shadowsocks的客户端软件）一起打包成一键翻墙的浏览器集成包。这类浏览器集成包并不能提供高度安全的隐私保护，因为浏览器集成包的制作者可能会在制作过程中加入恶意程序。当然，这类浏览器集成包的确易于使用。

洋葱路由器（Tor），同时提供暗网及代理。

大蒜路由器（I2P），Tor的演进版本，基于Java技术，使用 ed2k 技术实现分布式网络避免全网封杀。2

代理服务器此类软件需要自行在服务器和终端上部署，比一般的翻墙方法更繁琐。

Shadowsocks，简称SS，需要自行购买VPS并搭建代理服务器，用于翻墙，在坊间也有可以直接使用的帐号出售，还有合租一台VPS服务器的情况。

ShadowsocksR，简称SSR，其使用方式同上，增加了混淆的特性，可使翻墙流量伪装成正常流量。

ShadowsocksRR，简称SSRR，使用方法同上，与SSR相比增加了更多的混淆方式。

Brook，跨平台(MacOS、Windows、Linux、Linux路由器、Android、iOS、），基于 GPL v3 协议开源。

V2Ray，Project V项目创作的内核，使用自实现的 Vmess协议及 mKCP协议，基于MIT协议授权。2

本词条内容贡献者为:

王沛 - 副教授、副研究员 - 中国科学院工程热物理研究所