# Китай: как файрвол обращается с прокси-трафиком

HTML: https://v2rc.app/ru/learn/china/ · Проверено: 2026-11-06

Что показывают рецензируемые исследования о том, как файрвол обнаруживает прокси и шифрованный трафик, и какие утверждения про 2026 год проверить нельзя.

Состояние на 2026-11-06. Блокировки меняются от недели к неделе и зависят от оператора. Читайте это как справку, а не как гарантию, и сверяйтесь с источниками в конце.

Великий китайский файрвол — самая изученная система цензуры, и это помогает: часть его работы описана в рецензируемых статьях, а не только в постах на форумах. В статье эти результаты отделены от множества непроверенных утверждений и показано, что из них следует для выбора протокола.

## Что показывают исследования

- **Активное зондирование Shadowsocks.** По словам авторов статьи 2023 года, о которой ниже, Китай применял пассивный анализ трафика и активное зондирование против Shadowsocks с мая 2019 года. [Исследование IMC 2020](https://gfw.report/publications/imc20/en/) описывает, как система сама посылает зонды на подозрительный сервер и блокирует его, если он отвечает как сервер Shadowsocks.
- **Блокировка полностью зашифрованного трафика.** В ноябре 2021 года файрвол начал в реальном времени, без зондирования, блокировать соединения, у которых первый пакет похож на полностью зашифрованные данные. [Wu и соавторы (USENIX Security 2023)](https://gfw.report/publications/usenixsecurity23/en/) показывают, что детектор не пытается определить протокол. Сначала он пропускает первые пакеты, которые не похожи на случайные данные, например начинающиеся с узнаваемого заголовка протокола или состоящие в основном из печатных символов, а блокирует то, что осталось.
- **TLS внутри TLS.** [Xue и соавторы (USENIX Security 2024)](https://www.usenix.org/conference/usenixsecurity24/presentation/xue) показали, что TLS-рукопожатие внутри обфусцированного соединения выдаёт прокси, даже при случайном заполнении. Они построили классификатор и проверили его у интернет-провайдера среднего размера. Это демонстрация того, что обнаружимо. Насколько широко это применяет тот или иной цензор — отдельный вопрос, который публичные измерения не решают.

## Что это значит для выбора протокола

| Конфигурация | Как выглядит первый пакет | Уязвимость к детектору 2021 года |
|---|---|---|
| Shadowsocks без плагина | Случайные байты | В целевой группе |
| VMess поверх чистого TCP | Случайные байты | В целевой группе |
| Trojan, а также VLESS или VMess поверх TLS | TLS-рукопожатие | Не в этой группе; остаются проверки адреса, имени сервера и сертификата |
| VLESS с REALITY | TLS-рукопожатие с настоящим сайтом | Не в этой группе; важны адрес и узоры TLS-in-TLS |

Практическое правило, которое следует из статей: **избегайте конфигураций, у которых первый пакет похож на случайный, и предпочитайте те, что начинаются с настоящего TLS-рукопожатия.** Варианты разобраны в [руководстве по протоколам](https://v2rc.app/ru/learn/choosing-a-protocol/).

## На что нельзя полагаться

Вы найдёте публикации с точными процентами обнаружения REALITY или конкретного шифра в 2026 году или с описанием эскалации по датам. Проверить их по независимым измерениям мы не смогли, а большинство написаны компаниями, которые продают VPN-сервисы. Файрвол меняется, и безопасно считать, что любая отдельная конфигурация может перестать работать.

## Что помогает

- **Держите запас с разных хостингов и обновляйте подписку.** Блокировка по адресу — обычное дело.
- **Не публикуйте конфиги.** Общий адрес блокируют скорее.
- **За CDN** (VLESS или Trojan поверх TLS и WebSocket) собственный адрес сервера скрыт, но адреса самой CDN могут замедляться. Сообщения об этом расходятся, мы этого не измеряли.
- **Проверяйте в каждой сети, которой пользуетесь.** Фиксированные и мобильные сети могут вести себя по-разному.
- **Читайте утверждения критически.** «Необнаружимый» — не свойство протокола. Это утверждение о конкретном файрволе в конкретный момент.

## Источники

- Wu и соавторы: [How the Great Firewall of China Detects and Blocks Fully Encrypted Traffic](https://gfw.report/publications/usenixsecurity23/en/), USENIX Security 2023
- Alice и соавторы: [How China Detects and Blocks Shadowsocks](https://gfw.report/publications/imc20/en/), IMC 2020
- Xue, Kallitsis, Houmansadr, Ensafi: [Fingerprinting Obfuscated Proxy Traffic with Encapsulated TLS Handshakes](https://www.usenix.org/conference/usenixsecurity24/presentation/xue), USENIX Security 2024
- [GFW Report](https://gfw.report/): текущие измерения Великого китайского файрвола