浅度与深度数据包检测。制图：金秋枫
2015年深圳：“墙”的疯狂进化
新时代的墙，像是手术刀，精准迅速，直击命门。
在深圳小住半年，我深刻感受到“数字围剿”的压力。随着2014年底，Gmail全面被封禁，墙进化迅速、部署增强，还配合行政措施打击翻墙势力。深度包 检测的大规模部署、DNS污染的扩大、转守为攻的国家防火墙策略、ISP的深度合作——“墙”俨然是正规军，而翻墙的社区只能打一场场的游击战，越打越疲 惫。
首先，是香港的学校专用VPN开始不好使了。据传，几种主流的VPN协议已经被“墙”破解，手段十分细腻：有时候连上VPN，可以使用Google搜索和Google Drive办公，但一旦链接YouTube或者Facebook，网络链接就立马被掐掉了。
紧接着，一系列政策出台：境外VPN需要备案。像Astrill等常用的商业VPN服务，迅速被封。
同时，“DNS污染”的范围与频度都扩大了。为了抵御“DNS污染”，我曾一度使用“DNSCrypt”——这个开源项目会加密客户端和服务器之间的通信 内容，不被墙查探到。然而好景不常在，很快，“墙”将已知的DNSCrypt的服务器IP计入黑名单，这样连访问DNSCrypt的服务器也是需要“翻 墙”了……有段时间，我依赖SSH+DNSCrypt翻墙。但这套组合拳，最终打在墙上只是手疼，而墙还是泰然自若。
更有甚者，一些二级ISP（不自建主干网，但提供社区宽带接入到主干网服务的ISP）参与了合作，封禁“非常用”的DNS地址。家庭宽带用户，只能选择 ISP默认分配的DNS，或者一些“广为人知”的DNS服务器，如Google多年前提供的8.8.8.8（该服务器的IP地址）就是其中之一。“4个 8”曾经是大陆网民用来抵御“DNS污染”的缓冲剂，但它使用普通DNS协议，很容易被攻击。社区很快发现，“墙”会选择性地污染8.8.8.8返回的结 果。
“DNS污染”、“RST攻击”、“深度数据包检测”——“防火长城”的一套立体防御体系已经建成。从左到右，精准度逐渐加大，防御成本也逐渐加大。这个 时候，不管使用什么VPN，最常见的现象是，翻墙几分钟后，网络延迟加大，进而链接被阻断，导致日常工作都不能正常进行。
“进攻是最好的防守”——2015年3月，国家防火墙突然转守为攻。这是一种与“防火长城”（Great Fire Wall，GFW）部署在一起的设备，网友戏称其为“大加农炮”（Great Cannon，GC）。经过3月初的一系列测试，“大炮”从3月中旬开始发动疯狂攻击，其首轮攻击的重点目标之一是GitHub上“greatfire” 这个代码仓库。“greatfire”上集结了大量的翻墙工具与资讯，俨然一个巨大的“翻墙军火库”。“大炮”攻击目标的原理简单而有效：它会劫持跨越中 国边境的流量，注入恶意脚本，向指定目标发动“DDoS攻击”。
|
