# Cina: come il Great Firewall tratta il traffico dei proxy

HTML: https://v2rc.app/it/learn/china/ · Ultima revisione: 2026-11-06

Cosa mostrano gli studi peer-reviewed su come il Great Firewall rileva proxy e traffico cifrato e quali affermazioni del 2026 non si possono verificare.

Stato al 2026-11-06. I blocchi cambiano di settimana in settimana e variano da una rete all’altra. Leggi questo testo come contesto, non come garanzia, e controlla le fonti alla fine.

Il Great Firewall cinese è il sistema di censura più studiato, e questo aiuta: parte di ciò che fa è documentata in articoli sottoposti a peer review, non solo nei post dei forum. Questo articolo separa questi risultati dalle numerose affermazioni non verificate e spiega cosa implicano per la scelta del protocollo.

## Cosa mostra la ricerca

- **Sonde attive contro Shadowsocks.** Secondo gli autori dell’articolo del 2023 qui sotto, la Cina usava l’analisi passiva del traffico e le sonde attive contro Shadowsocks già da maggio 2019. Lo [studio IMC 2020](https://gfw.report/publications/imc20/en/) descrive come il sistema invii proprie sonde a un server sospetto e lo blocchi se risponde come un server Shadowsocks.
- **Blocco del traffico completamente cifrato.** A novembre 2021 il firewall ha iniziato a bloccare le connessioni il cui primo pacchetto sembra dati completamente cifrati, in tempo reale e senza sonde. [Wu et al. (USENIX Security 2023)](https://gfw.report/publications/usenixsecurity23/en/) mostrano che il rilevatore non cerca di identificare un protocollo. Prima esenta i primi pacchetti che non sembrano dati casuali, per esempio quelli che iniziano con un’intestazione di protocollo riconoscibile o sono composti per lo più da caratteri stampabili, e blocca ciò che resta.
- **TLS dentro TLS.** [Xue et al. (USENIX Security 2024)](https://www.usenix.org/conference/usenixsecurity24/presentation/xue) hanno mostrato che un handshake TLS trasportato dentro una connessione offuscata tradisce un proxy, anche con padding casuale. Hanno costruito un classificatore e lo hanno testato presso un ISP di medie dimensioni. È una dimostrazione di ciò che si può rilevare. Quanto sia diffuso il suo uso da parte dei censori è una questione a parte, che le misurazioni pubbliche non chiariscono.

## Cosa significa per la scelta del protocollo

| Configurazione | Il primo pacchetto sembra | Esposizione al rilevatore del 2021 |
|---|---|---|
| Shadowsocks senza plug-in | Byte casuali | Nel gruppo preso di mira |
| VMess su TCP semplice | Byte casuali | Nel gruppo preso di mira |
| Trojan, o VLESS o VMess su TLS | Un handshake TLS | Non in quel gruppo; ancora esposto ai controlli su indirizzo, nome del server e certificato |
| VLESS con REALITY | Un handshake TLS verso un sito reale | Non in quel gruppo; contano ancora l’indirizzo e gli schemi TLS-in-TLS |

La regola pratica che discende dagli studi: **evita le configurazioni il cui primo pacchetto ha un aspetto casuale e preferisci quelle che iniziano con un vero handshake TLS.** La [guida ai protocolli](https://v2rc.app/it/learn/choosing-a-protocol/) spiega le opzioni.

## Su cosa non puoi contare

Troverai post che indicano tassi di rilevamento esatti per REALITY o per un cifrario specifico nel 2026, o che descrivono un’escalation con date precise. Non siamo riusciti a verificarne nessuno con misurazioni indipendenti, e la maggior parte proviene da aziende che vendono servizi VPN. Il firewall cambia, e l’ipotesi prudente è che qualsiasi singola configurazione possa smettere di funzionare.

## Abitudini utili

- **Tieni di scorta configurazioni di host diversi e aggiorna l’abbonamento.** Il blocco per indirizzo è routine.
- **Non pubblicare le configurazioni.** Un indirizzo condiviso viene bloccato prima.
- **Dietro una CDN** (VLESS o Trojan su TLS e WebSocket) l’indirizzo del server resta nascosto, ma gli indirizzi della CDN possono essere rallentati. Le segnalazioni su questo punto variano e noi non l’abbiamo misurato.
- **Prova su ogni rete che usi.** Le reti fisse e mobili possono comportarsi in modo diverso.
- **Leggi le affermazioni con spirito critico.** “Non rilevabile” non è una proprietà di nessun protocollo. È un’affermazione che riguarda un particolare firewall in un particolare momento.

## Fonti

- Wu et al.: [How the Great Firewall of China Detects and Blocks Fully Encrypted Traffic](https://gfw.report/publications/usenixsecurity23/en/), USENIX Security 2023
- Alice et al.: [How China Detects and Blocks Shadowsocks](https://gfw.report/publications/imc20/en/), IMC 2020
- Xue, Kallitsis, Houmansadr, Ensafi: [Fingerprinting Obfuscated Proxy Traffic with Encapsulated TLS Handshakes](https://www.usenix.org/conference/usenixsecurity24/presentation/xue), USENIX Security 2024
- [GFW Report](https://gfw.report/): misurazioni continue sul Great Firewall