# 中国：防火长城如何对待代理流量

HTML: https://v2rc.app/zh/learn/china/ · 最后审阅: 2026-11-06

同行评审研究揭示了防火长城如何检测代理和加密流量，以及 2026 年有哪些说法无法核实。

状态截至 2026-11-06. 封锁情况每周都在变，也因网络而异。请把这些内容当作背景参考，而不是保证，并查阅末尾的来源。

中国的防火长城是研究得最充分的审查系统，这是一件好事：它的一部分行为记录在同行评审论文中，而不只是论坛帖子里。本文把这些发现与大量未经核实的说法区分开，并说明它们对协议选择意味着什么。

## 研究显示了什么

- **对 Shadowsocks 的主动探测。** 据下面 2023 年那篇论文的作者所说，中国自 2019 年 5 月起就对 Shadowsocks 使用被动流量分析和主动探测。[IMC 2020 研究](https://gfw.report/publications/imc20/en/)描述了该系统如何向可疑服务器发送自己的探测，如果对方像 Shadowsocks 服务器那样应答，就将其封锁。
- **对完全加密流量的封锁。** 2021 年 11 月，防火墙开始实时封锁第一个数据包看起来像完全加密数据的连接，不做探测。[Wu et al. (USENIX Security 2023)](https://gfw.report/publications/usenixsecurity23/en/) 表明，这个检测器并不尝试识别协议。它先放行那些看起来不像随机数据的第一个数据包，例如以可识别的协议头开头，或主要由可打印字符组成的数据包，然后封锁剩下的。
- **TLS 套 TLS。** [Xue et al. (USENIX Security 2024)](https://www.usenix.org/conference/usenixsecurity24/presentation/xue) 表明，装在混淆连接里的 TLS 握手会暴露代理，即使加了随机填充。他们构建了一个分类器，并在一家中等规模的 ISP 上做了测试。这只是对“什么可以被检测到”的演示。任何审查方在多大范围内使用它是另一个问题，公开测量并没有给出答案。

## 这对协议选择意味着什么

| 配置方式 | 第一个数据包看起来像 | 面对 2021 年检测器的暴露程度 |
|---|---|---|
| 不带插件的 Shadowsocks | 随机字节 | 属于被针对的一类 |
| 纯 TCP 上的 VMess | 随机字节 | 属于被针对的一类 |
| Trojan，或基于 TLS 的 VLESS 或 VMess | TLS 握手 | 不属于该类；仍然会受到针对地址、服务器名称和证书的检查 |
| 带 REALITY 的 VLESS | 指向真实网站的 TLS 握手 | 不属于该类；地址和 TLS 套 TLS 的特征仍然重要 |

从这些论文得出的实用规则：**避开第一个数据包看起来像随机数据的配置，优先选择以真实 TLS 握手开头的配置。**[协议指南](https://v2rc.app/zh/learn/choosing-a-protocol/)解释了各种选项。

## 哪些不能依赖

你会看到一些帖子，给出 2026 年 REALITY 或某种特定加密方式的确切检测率，或描述某个有日期的升级动作。我们无法用独立测量核实其中任何一条，而且大多数来自销售 VPN 服务的公司。防火墙在变，稳妥的假设是：任何单一配置都可能失效。

## 有帮助的习惯

- **备好来自不同主机的备用配置，并刷新订阅。** 按地址封锁是常规操作。
- **不要公开配置。** 被共用的地址封得更快。
- **使用 CDN 时**（基于 TLS 和 WebSocket 的 VLESS 或 Trojan），服务器自己的地址会被隐藏，但 CDN 的地址可能被限速。关于这点的报道不一，我们没有测量过。
- **在你用的每个网络上测试。** 固定网络和移动网络的表现可能不同。
- **批判地看待这些说法。** “无法检测”不是任何协议具备的属性。它是对某个特定防火墙在某个特定时间的陈述。

## 来源

- Wu et al.：[How the Great Firewall of China Detects and Blocks Fully Encrypted Traffic](https://gfw.report/publications/usenixsecurity23/en/)，USENIX Security 2023
- Alice et al.：[How China Detects and Blocks Shadowsocks](https://gfw.report/publications/imc20/en/)，IMC 2020
- Xue, Kallitsis, Houmansadr, Ensafi：[Fingerprinting Obfuscated Proxy Traffic with Encapsulated TLS Handshakes](https://www.usenix.org/conference/usenixsecurity24/presentation/xue)，USENIX Security 2024
- [GFW Report](https://gfw.report/)：对防火长城的持续测量