很多人对「科学上网」的理解停留在「装个客户端、导入订阅、点一下连接」。但为什么有时候明明连接成功了，网页却打不开？为什么同一个节点，白天飞快、晚上就卡成幻灯片？为什么自己租的 VPS 用了两个月就被「精准打击」？要回答这些问题，就得先搞清楚墙到底是怎么工作的。
这篇文章不讲怎么搭梯子，而是把 GFW（防火长城）的五大核心机制——DNS 污染、IP 封锁、SNI 检测、主动探测、流量特征识别——逐个拆开讲清楚：它靠什么原理拦截、你遇到的每种「怪现象」对应哪种机制、以及每种对抗手段（DoH、CDN 前置、中转、专线、住宅 IP）为什么有效、又有什么局限。看完你会对「为什么机场比自建稳」「为什么有的机场能解锁 Netflix」这类问题有真正的判断力，而不是只能听商家宣传。
一、GFW 到底是什么：不是一堵墙，而是一套安检系统
GFW（Great Firewall，防火长城）不是一台装在某个机房里的巨型路由器，而是一套分布式的网络审查系统。它像「安检」一样，部署在骨干网的国际出口、海缆登陆站和运营商的关键节点上，对所有进出境的流量做实时检查。你发出的每个请求，从离开本地运营商开始，就可能被多个检查点「看」一遍。
它做检查的方式，大致分五类：
- DNS 污染——在域名解析环节直接给你假答案；
- IP 封锁——对特定 IP 或 IP 段的流量进行阻断；
- SNI 检测——从 TLS 握手里提取域名，命中黑名单就重置连接；
- 主动探测——主动向可疑服务器发起连接，验证它是不是代理；
- 流量特征识别——分析连接模式、包大小、协议指纹，找出「看起来像代理」的流量。
理解 GFW 的关键，是明白它的目标从来不是 100% 拦截，而是「让普通用户失败的次数足够多、成本足够高」。它不需要完美拦截，只要让大多数人的体验差到放弃，任务就算完成。这也是为什么你会遇到「时好时坏」：GFW 的规则是动态调整的，某个 IP 今天能用、明天被封，某个协议这段时间畅通、下个季度被重点照顾，都太正常了。
另外要纠正一个常见误区：很多人以为「加密了就等于安全」。实际上 GFW 不是靠看内容来拦截的——它靠的是连接行为、域名、IP 这些「元数据」。加密只保护了内容，没保护元数据。下面每一节都会反复出现这个逻辑。
二、第一道封锁：DNS 污染——你的域名解析被「抢答」了
当你在浏览器输入一个网址，第一步不是连接网站，而是先查 DNS：向 DNS 服务器问「这个域名对应的 IP 是多少」。传统的 DNS 查询走 UDP 53 端口，请求和响应都是明文，这给了 GFW 第一个动手脚的机会。
污染的原理是「抢答」。GFW 在出口节点截获你发出的 DNS 查询请求后，不直接丢弃，而是让伪造的 DNS 响应抢在你真正的 DNS 服务器之前返回，内容是错误 IP（通常是黑洞 IP 或钓鱼 IP）。你的设备收到「先到」的假响应，就认为解析成功了，然后去连那个错误的 IP——结果就是连接超时、网页打不开，或者打开一个什么都不是的页面。
更狠的一招是「缓存投毒」：如果出口节点的 DNS 缓存被注入错误记录，那么所有经过这个节点的用户，在缓存过期前都会被指向错误 IP，连「抢答比赛」都不用比。
你遇到的现象：某些网站间歇性打不开、nslookup 解析出来的 IP 明显不对、连接一直转圈但 ping 域名却是通的。这些基本都是 DNS 污染的特征。
对抗手段的原理：既然污染发生在「明文 DNS 查询」这个环节，最简单的思路就是让 DNS 查询不再明文。DoH（DNS over HTTPS）和 DoT（DNS over TLS）把 DNS 查询封装进加密通道，GFW 看不到你查的是哪个域名，自然没法抢答。具体到路由器、电脑和手机上的配置方法，以及 SmartDNS 分流、AdGuard Home 这类工具的玩法，可以参考我们之前的这篇DNS 优化指南。
但要注意 DoH/DoT 的局限：加密 DNS 只解决了「域名 → IP」这一步。如果目标 IP 本身就被封锁了，你解析得再准也连不上。DNS 污染是 GFW 里最「软」的一层防线，绕过它最容易，但也最不解决根本问题——接下来要讲的 IP 封锁，才是硬碰硬。
三、第二道封锁：IP 封锁——连 IP 都不让你碰
如果域名解析这关拦不住你，GFW 还有更直接的手段：直接封锁 IP。这在技术上实现起来最简单粗暴——在出口路由器上对特定 IP 的流量做丢弃（黑洞），或者注入 RST 包强制断开连接。
封锁分两种粒度：
- 单 IP 封锁：针对某个具体的服务器 IP。自建 VPS 被「精准打击」通常就是这一种——你的 VPS IP 被识别为代理服务器，然后被拉黑。
- IP 段封锁：针对整个 /24 甚至 /16 网段。云厂商的某些机房段因为「代理密度过高」被整段连坐，你就算换了一台新机器，只要还在同一个段里，照样连不上。这也是为什么「换 IP」越来越难——干净、好用的 IP 段是稀缺资源。
你遇到的现象：ping IP 能通（ICMP 没被拦）但 TCP 连不上（被 RST 或黑洞）；或者彻底不通；或者同一台 VPS 今天能用、明天突然全断。如果换端口、换协议都没用，大概率就是 IP 被锁了。
对抗手段的原理：IP 封锁的对抗思路不是「突破封锁」，而是「让被封锁的 IP 不是你真正要连的 IP」。这就是中转和专线架构的由来——你本地连接的，是一个不在黑名单里的中转服务器，真正干活的目标服务器在海外，两者之间的流量走普通公网或者物理专线。所以自建玩家被封锁后只能苦哈哈地换 IP、重新部署，而机场方案天然免疫这类问题：IEPL 专线机场（比如自由猫）走的是运营商级物理通道，公网 IP 封锁对它基本无效；落地 IP 由机场统一维护成动态池，被封就换，用户完全无感。这也是「为什么机场比自建稳」最底层的技术原因之一。
关于 IEPL、IPLC、BGP 中转这些线路到底有什么区别、各自适合什么场景，之前有一篇专线科普讲得很细，这里不展开。
四、第三道封锁：SNI 检测——HTTPS 时代的「照妖镜」
2013 年之后，主流网站全面转向 HTTPS，内容传输全程加密。GFW 没法再靠关键词过滤内容，但它很快找到了新的突破口：TLS 握手阶段的 SNI 字段。
SNI（Server Name Indication）是什么？当你的客户端和服务器建立 TLS 加密连接时，客户端发出的第一个包（ClientHello）里，会明文携带一个字段告诉服务器「我要访问的是哪个域名」——因为一台服务器上可能托管着几百个域名，服务器需要靠这个字段来挑选对应的证书。问题在于，这个字段在握手阶段是明文的，连加密都谈不上。
GFW 的做法很直接：检查每个 TLS 握手的 ClientHello，提取 SNI 域名，跟黑名单比对。命中就注入一个伪造的 RST 包，让连接立刻断开——这就是著名的「连接重置」。你在浏览器里看到的「ERR_CONNECTION_RESET」「SSL 握手失败」，很多都是这个机制造成的。
你遇到的现象：浏览器报错连接被重置；用 curl 测试时握手阶段直接断；同样的网站，换 HTTP 就能打开、换 HTTPS 就打不开（虽然现在几乎没有 HTTP 站点可换了）。
对抗手段的原理：既然审查看的是「握手时暴露的域名」，那对抗思路就是让暴露的域名不是敏感域名：
- CDN 前置：把代理节点藏到 Cloudflare 这类 CDN 后面，客户端握手的 SNI 是 CDN 的域名（比如某个普通网站），GFW 看到的是一段「访问正常网站」的加密流量。具体怎么搭，参考这篇Cloudflare 加速自建节点的指南。
- 伪装域名：代理服务端配置一个合法的普通域名，客户端连接时 SNI 填这个伪装域名，服务端通过特定路径或指纹识别出「这是自己人」。
- REALITY 等「借证书」方案：不自己伪造域名，而是直接借用真实存在的热门网站（如微软、苹果）的 TLS 证书和握手行为，让主动探测都分不清真假。不同协议在抗检测上的差异，之前这篇协议对比写得很完整。
- ECH（Encrypted Client Hello）：把 SNI 也加密进 TLS 握手里，从根上让「看 SNI」失效。但 ECH 依赖 DNS 先通过加密通道拿到加密密钥，而且目前主流 CDN 和客户端的支持还不统一，属于「方向正确、落地尚早」的方案。
可以看到，这一层的对抗核心是「伪装」：让 GFW 看到的流量，看起来是在访问一个完全正常的网站。
五、第四道封锁：主动探测——主动上门「查水表」
前几道防线都是「被动检查」——流量经过才看。主动探测则完全不同：它由 GFW 主动发起连接，去试探某个可疑服务器到底是不是代理。
探测的原理：GFW 维护着一个「可疑 IP 池」，来源包括：被大量用户高频连接的海外 IP、非标准端口上的异常服务、行为模式像代理的节点等。对于可疑 IP，GFW 会模拟一个真实客户端的 TLS 握手或者协议交互去连接它，然后看响应：
- 如果服务器返回的是「未伪装」的代理协议响应（比如协议特征字节、特定握手流程），立刻标记为代理；
- 如果服务器的 TLS 证书是自签的、或者证书特征跟主流 CA 明显不同，也会被标记；
- 对非标准端口（比如 8443、2053 这些 443 以外的端口）上的服务，探测频率更高。
你遇到的现象：VPS 用了两三个月突然被封，而且封得很「精准」——端口、IP 一起锁。这通常不是流量特征暴露，而是被主动探测「验明正身」了。
对抗手段的原理：主动探测的对抗，核心是让探测者「验不出来」：
- CDN 前置：这是最有效的。GFW 探测到的是 Cloudflare 的 IP，而 Cloudflare 对全世界都是正常网站，探测自然失败。所以「套了 CDN 的节点比裸奔节点活得久」是真实存在的规律。
- REALITY / XTLS 借证书：服务器借用真实网站的证书完成握手，主动探测看到的是一个跟访问微软官网一模一样的 TLS 响应，无法区分。
- 防火墙白名单：在服务器上配置只允许特定来源 IP（比如你的中转机 IP、或者国内宽带的 IP 段）访问代理端口，GFW 的探测源不在白名单里，连接直接被服务器拒绝，探测不到任何代理特征。
- 端口跳跃：客户端和服务端约定按时间轮换端口，GFW 刚标记一个端口，服务已经换到下一个了。Hysteria2 的端口跳跃就是这个思路，配置方法可以看这篇Hysteria2 指南。
- 中转 / 专线架构：把落地节点藏在国内中转入口后面，主动探测摸到的是中转入口，真正的落地 IP 从头到尾不暴露。这也是机场方案比自建 VPS 更抗封锁的核心原因——比如万达云这类同时提供中转与 IEPL 专线的机场，落地节点全部藏在专线后面，GFW 根本探测不到。
六、第五道封锁：流量特征识别——大数据时代的「行为画像」
如果连接伪装得足够好，SNI 看不出来、主动探测也验不出来，GFW 还有最后一张牌：流量特征识别。它不看你连的是谁，而是看你的「行为」像不像正常用户。
它分析哪些特征：
- 连接模式：你的设备是不是固定每隔一段时间就发起连接？是不是长时间保持一条连接不断？正常浏览网页是「短连接 + 随机间隔」，而代理工具往往是「长连接 + 规律心跳」，特征非常明显。
- 包大小分布：代理流量的包大小分布跟普通网页浏览差异很大。视频流、网页、文件下载各有典型的包大小模式，机器学习模型很容易区分。
- 上下行比例：看视频是下行远大于上行，但如果你跑代理，上下行比例会呈现「梯子特征」。
- TLS 指纹（JA3/JA4）：不同客户端（Chrome、Firefox、各种代理库）发出的 ClientHello 特征字段组合不同，形成「指纹」。如果你的节点流量带着代理库特有的指纹，即使域名没问题也可能被标记。
- QUIC/UDP 特征：UDP 流量本身就比 TCP 更可疑，QUIC、HTTP3 这类新协议的特征也在被逐步纳入识别。
你遇到的现象：你很难直接感知流量特征识别——它不像 RST 那样让你立刻断网，而是让你的 IP「慢慢变脏」：延迟变高、速度变慢、某些端口被限速，最后被封。很多「用着用着就不行了」的节点，都是死于特征积累，而不是一次性的精准打击。
对抗手段的原理：对抗流量特征识别，核心是「把自己伪装成正常流量」：
- 协议伪装：把代理流量封装成 HTTPS、WebSocket 甚至视频流的样子，让包大小、时序都接近正常浏览。Hysteria2、TUIC 这类新协议在设计时就考虑了抗识别。
- 多路复用（MPTCP）：把多条逻辑连接合并到一条物理连接上，减少「规律心跳」特征，也让单条连接看起来更接近正常长连接。
- 混入真实流量：让节点同时承载正常网站的访问，代理流量混在真实流量里，特征被稀释。
- 降低「规律性」：客户端侧关闭不必要的定时探活、随机化连接间隔，减少可被学习的模式。
另外要说的是，流量特征识别跟线路质量是两回事：就算你躲过了特征识别，晚高峰该卡还是卡——公网拥塞、线路绕路是物理问题，不是审查问题。两者怎么区分、BBR 能救多少，可以参考这篇晚高峰变慢的完整分析。
七、为什么机场比自建更稳：中转与专线的架构优势
理解了上面五道机制，再回头看「机场 vs 自建」的争论，结论就很清楚了：自建 VPS 是把所有对抗压力都压在一台裸奔的服务器上，而机场是通过架构设计，把每一道封锁都提前化解掉了。
机场的典型架构：
你的设备 → 国内中转入口 →（中转线路 / IEPL/IPLC 专线）→ 海外落地节点 → 目标网站- 国内中转入口：你连的是国内可达性最好的中转服务器（通常放在香港、日本或国内 BGP 机房），这一步解决「本地运营商到海外线路差」的问题。
- 线路层：中转线路走公网，便宜但受晚高峰影响；IEPL/IPLC 专线走运营商级物理通道，不过公网、不经过 GFW 的公开检查点，稳定性和抗封锁能力是另一档（三者的技术区别前面已经链过专线科普，这里不重复）。
- 海外落地节点：真正替你访问目标网站的服务器。机场维护着一大批落地 IP，哪个被墙了、被标记了，就换掉，用户全程无感。这就是「机场账号比自建 IP 活得久」的根本原因。
以这类同时提供中转与 IEPL 专线的机场为例：入门套餐用中转线路保证性价比，进阶套餐切到全专线，晚高峰和跨境传输的稳定性明显上一个台阶——适合从「先试试」到「重度使用」的过渡。
关于落地 IP 的纯净度：这可能是机场方案里最容易被忽略、却最影响体验的一环。普通机场的落地 IP 大多是云厂商机房 IP，特点是速度快但「出身不好」：Netflix、Disney+ 这些流媒体会直接识别机房 IP 段并拒绝；跨境电商、社媒多账号运营的场景里，机房 IP 的账号风控通过率也明显偏低。如果你主要跑流媒体解锁或者跨境电商多账号，落地 IP 的纯净度比速度更重要——住宅 IP / 原生 IP 出身的机场（比如仙路湾）在 Netflix 解锁、账号风控上比普通机房 IP 稳得多。原生 IP 和住宅 IP 对流媒体解锁的具体影响，这篇流媒体解锁指南里有完整测试数据。
最后补一个「为什么专线机场晚高峰稳」的常识：公网国际线路在晚高峰（20:00-23:00）拥塞严重，中转机场的流量跟大家挤在同一条公网管道里，再好的协议优化也救不了物理拥塞；而专线机场的带宽是提前买断的，不受公网拥塞影响。所以「晚高峰不卡」是专线的核心竞争力，不是玄学。
八、常见误解 FAQ：关于 GFW 的八个高频问题
Q1：GFW 能看到我翻墙浏览的内容吗？
看不到内容本身。HTTPS 加密保护的是内容，GFW 能看到的是元数据：你连了哪个 IP、用了什么协议、流量多大、在什么时间段。所以「加密了就是安全的」在内容层面成立，但「加密了就不会被识别」是错的——它不需要看内容就能识别代理行为。
Q2：把 DNS 换成 DoH/DoT 是不是就能稳定上网了？
只能解决 DNS 污染这一层。如果你的节点 IP 被封锁、SNI 被检测、流量特征被识别，DNS 再干净也白搭。DNS 优化是必要条件，不是充分条件。完整的 DNS 配置方案见这篇DNS 优化指南。
Q3：我的 VPS 被「精准打击」了，还能救吗？
分情况。如果是 SNI 域名被拉黑，换伪装域名或套 CDN 前置通常能救；如果是 IP 被封锁（换端口、换协议都没用），基本只能换 IP——而且要注意，换到同一个被连坐的 IP 段里还是白搭。这也是为什么自建玩家普遍会准备「多节点热备」。
Q4：为什么同一个机场，别人飞快我卡成狗？
原因很多：你所在地区到中转入口的线路差、你用的节点恰好在晚高峰超售、你的本地运营商对跨境流量做了 QoS 限速、或者你的客户端策略组把流量分到了慢节点。先换节点、换协议、换时段逐一排除，别急着怪机场。
Q5：住宅 IP 和机房 IP 到底差在哪？
住宅 IP 来自真实家庭宽带的 IP 池，看起来就是「一个普通家庭用户」，流媒体和风控系统对它的信任度最高；机房 IP 是云厂商的，速度快但容易被识别为「数据中心流量」。代价是住宅 IP 的带宽和稳定性通常不如机房 IP，所以它更适合解锁和风控场景，不适合大流量下载。
Q6：免费节点为什么总是一波一波地挂？
免费节点的 IP 基本都来自被扫出来的肉鸡、或超售严重的廉价 VPS，特征最明显、被标记最快，而且维护者没有动力换 IP。「三天两头失效」不是运气问题，是这类 IP 的宿命。
Q7：为什么我的代理偶尔会「抽风」几分钟又恢复？
大概率是 GFW 的规则在动态调整窗口期，或者你的节点 IP 正在被「试探性封锁」（限速、丢包而非直接封死）。遇到这种情况，先切备用节点，过一阵再切回来，多数能恢复。
Q8：ECH 什么时候能普及？
ECH 要生效需要三个条件同时满足：客户端支持、CDN/网站支持、DNS 走加密通道。目前前两个条件在主流浏览器和 CDN 上已经逐步落地，但「DNS 必须加密」这一条在国内默认网络环境下还做不到，所以 ECH 短期内很难成为主流对抗手段，伪装域名和 CDN 前置依然是当前最实用的方案。
九、总结：不同需求该怎么选
把全文压缩成一张决策表：
| 你的需求 | 核心矛盾 | 推荐方案 |
|---|---|---|
| 轻度浏览、偶尔用 | 不想折腾 | 中转机场入门套餐，随用随连 |
| 重度使用、追求稳定 | 晚高峰、线路质量 | IEPL 专线机场，带宽买断不挤公网 |
| 流媒体解锁、跨境电商多账号 | 落地 IP 纯净度 | 住宅 IP / 原生 IP 机场 |
| 技术玩家、爱折腾 | 成本可控、可定制 | 自建 VPS + CDN 前置 / REALITY，多节点热备 |
最后强调一遍本文最重要的认知：GFW 的每一道机制，对抗的核心都不是「更快的速度」或「更强的加密」，而是「让流量看起来正常」。DNS 污染靠加密查询绕、IP 封锁靠中转和动态 IP 池绕、SNI 检测靠伪装域名绕、主动探测靠 CDN 前置和借证书绕、流量特征识别靠协议伪装绕——理解了这一点，你就不会再被「永久免费」「绝对稳定」这类宣传话术忽悠，也能在节点出问题时，自己判断到底是哪一环出了问题。
如果你还处在从零起步的阶段，下面的推荐阅读里有新手指南和全屋代理方案，按需取用即可。