# China: cómo trata el Great Firewall el tráfico de proxy

HTML: https://v2rc.app/es/learn/china/ · Última revisión: 2026-11-06

Qué muestra la investigación revisada por pares sobre cómo el Great Firewall detecta proxies y tráfico cifrado, y qué afirmaciones de 2026 no se pueden verificar.

Estado a fecha de 2026-11-06. Los bloqueos cambian de una semana a otra y varían según la red. Lee esto como contexto, no como una garantía, y consulta las fuentes del final.

El Great Firewall de China es el sistema de censura mejor estudiado, y eso ayuda: parte de lo que hace está documentado en artículos revisados por pares, y no solo en publicaciones de foros. Este artículo separa esos hallazgos de las muchas afirmaciones sin verificar y explica qué implican para la elección del protocolo.

## Qué muestra la investigación

- **Sondeo activo de Shadowsocks.** Según los autores del artículo de 2023 que aparece abajo, China venía usando análisis pasivo del tráfico y sondeo activo contra Shadowsocks desde mayo de 2019. El [estudio de IMC 2020](https://gfw.report/publications/imc20/en/) describe cómo el sistema envía sus propias sondas a un servidor sospechoso y lo bloquea si responde como un servidor Shadowsocks.
- **Bloqueo del tráfico totalmente cifrado.** En noviembre de 2021 el firewall empezó a bloquear las conexiones cuyo primer paquete parece datos totalmente cifrados, en tiempo real y sin sondeo. [Wu et al. (USENIX Security 2023)](https://gfw.report/publications/usenixsecurity23/en/) muestran que el detector no intenta identificar un protocolo. Empieza eximiendo los primeros paquetes que no parecen datos aleatorios, por ejemplo los que empiezan con una cabecera de protocolo reconocible o los que constan sobre todo de caracteres imprimibles, y bloquea lo que queda.
- **TLS dentro de TLS.** [Xue et al. (USENIX Security 2024)](https://www.usenix.org/conference/usenixsecurity24/presentation/xue) mostraron que un handshake TLS transportado dentro de una conexión ofuscada delata a un proxy, incluso con relleno aleatorio. Construyeron un clasificador y lo probaron en un ISP de tamaño mediano. Eso es una demostración de lo que se puede detectar. Con qué amplitud lo usa cualquier censor es otra cuestión, que las mediciones públicas no resuelven.

## Qué implica para la elección del protocolo

| Configuración | Aspecto del primer paquete | Exposición al detector de 2021 |
|---|---|---|
| Shadowsocks sin plugin | Bytes aleatorios | En el grupo objetivo |
| VMess sobre TCP simple | Bytes aleatorios | En el grupo objetivo |
| Trojan, o VLESS o VMess sobre TLS | Un handshake TLS | Fuera de ese grupo; sigue expuesto a comprobaciones de dirección, nombre de servidor y certificado |
| VLESS con REALITY | Un handshake TLS a un sitio real | Fuera de ese grupo; la dirección y los patrones TLS-in-TLS siguen importando |

La regla práctica que se desprende de los artículos: **evita las configuraciones cuyo primer paquete parece aleatorio y prefiere las que empiezan con un handshake TLS real.** La [guía de protocolos](https://v2rc.app/es/learn/choosing-a-protocol/) explica las opciones.

## En qué no puedes confiar

Encontrarás publicaciones que dan tasas de detección exactas para REALITY o para un cifrado concreto en 2026, o que describen una escalada con fechas. No pudimos verificar ninguna con mediciones independientes, y la mayoría proviene de empresas que venden servicios VPN. El firewall cambia, y lo prudente es asumir que cualquier configuración por sí sola puede dejar de funcionar.

## Hábitos que ayudan

- **Ten repuestos de hosts distintos y actualiza tu suscripción.** El bloqueo por dirección es rutinario.
- **No publiques configuraciones.** Una dirección compartida se bloquea antes.
- **Detrás de una CDN** (VLESS o Trojan sobre TLS y WebSocket) se oculta la dirección del propio servidor, pero las direcciones de la CDN pueden ser ralentizadas. Los informes sobre esto varían y no lo hemos medido.
- **Prueba en cada red que uses.** Las redes fijas y las móviles pueden comportarse de forma distinta.
- **Lee las afirmaciones con ojo crítico.** «Indetectable» no es una propiedad que tenga ningún protocolo. Es una afirmación sobre un firewall concreto en un momento concreto.

## Fuentes

- Wu et al.: [How the Great Firewall of China Detects and Blocks Fully Encrypted Traffic](https://gfw.report/publications/usenixsecurity23/en/), USENIX Security 2023
- Alice et al.: [How China Detects and Blocks Shadowsocks](https://gfw.report/publications/imc20/en/), IMC 2020
- Xue, Kallitsis, Houmansadr, Ensafi: [Fingerprinting Obfuscated Proxy Traffic with Encapsulated TLS Handshakes](https://www.usenix.org/conference/usenixsecurity24/presentation/xue), USENIX Security 2024
- [GFW Report](https://gfw.report/): mediciones continuas del Great Firewall