2026年GFW封锁演进复盘：从DNS污染到QUIC屏蔽，五代手段各自看什么、对策还剩多少效力

绝大多数关于「墙」的讨论都在回答同一个问题：它有哪些手段。DNS 污染、IP 封锁、SNI 检测、主动探测、流量特征——这份清单本身没有问题，问题在于它是一张静态的图。真实的对抗是十年里一环扣一环长出来的链条：前一代被绕开，才逼出后一代；而每一代对策的有效期，都取决于审查方还没有能力去看下一层。

这份复盘按时间顺序把五代手段摊开，重点不在「每一代怎么工作」（那部分机制细节已经被写得很细），而在三件事：每一代瞄准的是哪个可判别的点、当时那套对策为什么有效、以及到 2026 年为止各自还剩多少效力。这个视角直接决定了你今天该怎么选链路——比如买一条 IEPL 专线（走这条线的自由猫是常见例子），买到的并不是「更强的加密」，而是「让跨境那一段不落在公开互联网上」的路径形态。

一、先把时间线摊开：五代封锁不是并排的五道墙

把这五代放进一条时间线，规律会立刻变得清楚：审查方每一次升级，瞄准的都是「能让自己被稳定区分出来」的那个东西。域名可见时按域名处理，域名被藏起来之后转向握手里的身份，身份也藏起来之后转向行为。

代	大致起点	审查方看的是什么	当时有效的对策	2026 年的效力
第一代	加密普及之前	域名（明文 DNS 查询）	换解析器、静态解析、加密 DNS	仍在，但已降级为噪声（第二节给出实测）
第二代	2000 年代中后期	IP 地址	换 IP、换机房、CDN 前置	仍在，但精度低、误伤大，多作补充手段
第三代	2018 年前后规模化	握手里的域名（明文 SNI）	域名前置、SNI 加密、指纹伪装	仍是最普遍的判据；协议层唯一解直到 2026 年才标准化
第四代	2023 年前后被完整刻画	行为与「随机性」本身	低熵伪装、把流量做成像另一种协议	仍有效，并解释了为什么「更彻底地加密」不等于更隐蔽
第五代	2024 年 4 月起	QUIC 握手包里的域名	前置随机载荷、把路径移出公开互联网	最新的一代，规则仍在演化

比这张表更重要的是从里面读出来的三条推论，后面每一节都会回到它们：

推论一：对抗的方向是单向的——内容、身份、行为。你藏掉一层，审查方就往下一层走。内容是加密解决的，身份是靠伪装解决的，到了行为这一层，能藏的东西已经不多，这也是为什么最近两代的手段看起来「更粗暴」。

推论二：每一次成功隐藏，都会换来一次「整类处置」。当单个连接不再可判别，代价就会以「一类流量被无差别对待」的形式转嫁出来。QUIC 与 UDP 443 在 2024 年之后的处境，就是这条推论最好的一次实证。

推论三：对策的有效期通常只有几年，而且从提出到标准化要走很久。2018 年 8 月提出的加密 SNI（ESNI）方案，直到 2026 年 3 月才成为正式标准（RFC 9849）。中间这七年半里，明文 SNI 一直是最好用的判据——这中间的空白期，就是所有人付出代价的地方。

二、第一代 · DNS 污染：审查方只看域名

机制很直接：DNS 查询默认走明文 UDP 53，路径上的设备可以抢在真实应答之前塞一个假答案回去。客户端拿到的是「最先到达的答案」，于是解析结果不再可信。这一代的麻烦不在于「被封」，而在于「你连自己要去哪都判断不了」。

下面这六条是 2026-10-15 在一台联通宽带主机上的原始输出。命令可以原样复现，但其中假地址的取值会随时间轮换——隔几个小时重跑，注入出来的 IP 就换了，能稳定复现的是「拿到的是别人的地址」这个行为，不是那个数字（域名换成任意被处理的站点结果类似）：

# 1) 用国内公共解析器查 google
dig +short www.google.com @223.5.5.5
→ 31.13.92.37        # 不是 Google 自己的地址，属 Facebook 网段（AS32934）

# 2) 用同一个解析器查一个完全无关的域名
dig +short www.youtube.com @223.5.5.5
→ 31.13.92.37        # 换成 youtube，拿到的仍是与目标无关的地址：注入答案的典型特征

# 3) 换成海外解析器（明文 UDP）
dig +short www.google.com @1.1.1.1
→ ;; communications error to 1.1.1.1#53: timed out

# 4) 同一目标改用 TCP 查询
dig +tcp +short www.google.com @1.1.1.1
→ 31.13.92.37        # 换了服务器、换了传输层，假答案照旧

# 5) 加密 DNS 之一：DoT（853 端口 TLS）
echo | openssl s_client -connect 1.1.1.1:853 -servername cloudflare-dns.com
→ CONNECTED / subject=... CN = cloudflare-dns.com

# 6) 加密 DNS 之二：DoH（443 端口）
curl -s -H 'accept: application/dns-json' \
  'https://cloudflare-dns.com/dns-query?name=www.google.com&type=A'
→ HTTP 200，Answer 为 142.251.150.119 / 142.251.153.119   # 真实地址

解读之前先划一条复现的边界：注入出的假地址会随时间轮换。同一天换个时间点重跑这组命令，google 拿到的是 185.45.5.35（Twitter 的网段，AS35995）、youtube 拿到的是 69.171.235.22（Facebook 的网段，AS32934）——两个域名并不一定拿到同一个地址。稳定不变的规律只有两条：拿到的一定不是目标自己的地址，以及换解析器、换传输层都不影响它。所以判断有没有被注入，看的是「这个地址对不对得上目标」，而不是「两次是不是同一个数字」。

这六条命令里藏着这一代的全部要点。第 3 条说明明文 53 端口的 UDP 查询被丢；第 4 条说明「换个海外 DNS 服务器」这件事本身不解决问题——注入发生在路径上，不在服务器里；第 6 条说明加密 DNS 是有效的，但它要求 443 这条路本身是通的，也就是说，加密 DNS 不是独立的解法，它建立在「你已经有可用链路」这个前提上。

对策演进与当代效力：换解析器 → 加密 DNS（DoT 见 RFC 7858、DoH 见 RFC 8484）→ 本地静态解析。今天 DNS 污染依然存在，但它已经从「门槛」降级成「噪声」：站点普遍上了 HTTPS 之后，污染主要让你连不上，而不再是审查的主要判据。加密解析的落地判读与配置细节集中在DNS 解析与污染对抗里，这里只留下它造成的两个后遗症。

第一个后遗症：加密 DNS 只解决「抢答」，不解决「知道你在查什么」。DoH 服务器仍然看得到你查的每一个域名，只是路径上的设备看不到了。第二个后遗症：它的可用性依赖传输层通畅。本文第 5、6 条能成功，是因为 853/443 到 Cloudflare 是通的；这条通路一旦被单独处理，解析又回到起点。

也正是这两个后遗症，让 DNS 在 2026 年重新变得关键：新的加密握手标准（ECH）的配置，正是靠 DNS 里的 HTTPS 记录分发的，见第七节。

顺带说一句成本结构。把解析、链路、客户端三件事分开自己维护，是爱好者的路径；如果只是日常浏览、AI 工具和流媒体，买一份现成订阅比反复调试解析省事得多——入门这一档里，瑶瑶领先的小流量档 ¥9.9/月 384GB、3 台设备，就够撑起「解析走加密 DNS + 链路走订阅」这套最简配置。

三、第二代 · IP 与端口封锁：审查方只看地址

机制同样朴素：直接丢包或黑洞，粒度是 IP。在「看域名」还不够精准的年代，这是最省算力的做法，也正因如此，它对应的对策是整条时间线上成本最低的一个——换 IP，见效最快。

对策的演进大致分三步：先是单纯换 IP、换机房、换地区；然后是 CDN 前置，把真实地址藏在大厂的共享地址后面（这也顺便解释了为什么「共享 IP」既是缺点也是伪装）；最后是多入口、多地址池，让任何一个地址失效都不至于断线。

这一代的代价在很早就暴露了：IP 是粗粒度判据，封掉一段就会误伤大量无关联的邻居。所以它天然只能当补充手段用——精度低、误伤大、维护成本高。到了今天，IP 封锁更多出现在「某个地址被单独点名」的个案处理里，而不是主判据。

这带来一个反直觉但实用的结论：只要你手里的地址还没被单独点名，这一代对你的实际影响就很小；真正的风险不是它会不会发生，而是它发生时你还有几条退路。地址被封之后的诊断顺序与恢复路径，VPS 被墙后的诊断与换址恢复那一篇讲得比这里细，本文不重复。

四、第三代 · SNI 明文：审查方看握手里的域名

机制是这一代的分水岭。TLS 握手的第一步 ClientHello 里有一个 SNI 扩展（RFC 6066），作用是告诉服务器「我要访问哪个域名」，服务器靠它来选择证书。问题在于它是明文的。TLS 1.3（RFC 8446）把内容加密得很彻底，却唯独把 SNI 留在外面——内容看不见了，但「你要去哪」一览无余。

这一代的时间线比机制本身更有信息量：

2014–2018：域名前置被广泛使用。它的原理是利用云厂商「路由层看 Host、TLS 层看 SNI」的错位——两者不一致也能连上，于是流量可以借一个大厂域名过关。云厂商陆续收口之后，这条路基本退场，这也是「靠别人生态漏洞」这类对策的典型寿命。

2018 年 8 月：加密 SNI（ESNI）作为 TLS 1.3 扩展被提出。这个时间点比很多人记忆里更早，当时的动机写得很清楚：SNI 过滤正在成为审查的主要手段，而 TLS 1.3 已经解决了其它所有明文问题。

2020 年：针对性的封堵被测量到。已经有研究记录了对「带 ESNI 扩展的 TLS 流量」的延迟封堵——也就是说，审查方对这个方案本身做了处理，而不是等它普及。

2026 年 3 月：ECH 才成为正式标准 RFC 9849。从提出到标准化，七年半。

当代效力：SNI 明文今天仍是最普遍、性价比最高的判据——成本低、精度高、完全不用看内容。协议层唯一的解就是加密 ClientHello，而它刚刚才走完标准化流程。

这里必须分清一件常被混为一谈的事：SNI 泄漏的是「你要去哪」，出口 IP 泄漏的是「你是谁」。两者是独立变量，后者是跨境账号、流媒体与风控系统主要看的东西。换出口 IP 属性的方案解决的是第二个变量——仙路湾把这一档拆成原生 IP（50GB 档 ¥9.9/月）与住宅 IP（100GB 档 ¥30/月）两级，它换的是「服务侧怎么对待你」，跟上一节「换掉一个被封地址」是完全不同的两件事，很多人在这里花了钱却买错了东西。

至于握手里除域名之外的其它特征——JA3/JA4 指纹、扩展顺序、客户端实现差异——怎么被用来区分「这是浏览器还是代理客户端」，TLS 指纹与伪装那篇有完整的拆解，本文不展开。

五、第四代 · 全加密流量检测：审查方开始看行为

当内容和域名都被藏起来，剩下的可判别物就只有行为。这一代在 2023 年被完整刻画，结论来自 USENIX Security 2023 的论文《How the Great Firewall of China Detects and Blocks Fully Encrypted Traffic》（Wu 等，gfw.report 公开；该文获 2025 年 Caspar Bowden 奖）。它最重要的贡献不是「发现了新手段」，而是把判据量化了：

判据/现象	具体内容	它意味着什么
粗糙熵阈值	按每字节平均置位数（popcount）估计随机性，平均值小于 3.4 或大于 4.6 比特/字节的连接被豁免	被检的恰恰是「像加密随机数据」的那一段，接近 4.0 的中间地带
字节级触发模式	40 个字节模式会触发封堵（如连续 0x0f、0x17、0x1b 组成的载荷），单独出现未必触发，组合出现才触发	判定是具体的、可复现的，不是模糊的「看起来像代理」
概率性封堵	单个连接被独立封堵的概率测得为 26.3%，涉及 109,489 个 IP 地址；触发后数分钟内的后续连接也会被连着封	「有时通有时不通」不是线路抖动，而是这套概率机制的常态
附带损害量化	按其推断规则，观测点上 0.6%（约 970 万条）的 TCP 连接会被误封	审查方明确接受「宁可错杀」的代价

为什么这一代是分水岭：它把「加密」从对抗手段变成了对抗特征本身。当随机性可以被测量，「把流量加密得更彻底」就不再等于「更隐蔽」；相反，让载荷看起来低熵、像某种普通协议，才是有针对性的方向。这条线还解释了一个日常现象：为什么同一条线路、同一个客户端，昨天能连今天不能，且换回旧协议反而更稳。

顺带说清一个经常被问的问题：机场运营商能不能看到你的内容，属于另一条独立的线，HTTPS 加密、证书信任链与中间人那篇已经把边界画清楚了，这里只说结论——加密对手是内容层的事，而被检测是元数据层的事。

这条线还有一个常被忽略的推论：链路形态决定了你要不要进入这套判定。自建节点基本都要把跨境段放在公开互联网上自己跑，也就自己承担这份被检测的方差；而买订阅时，不同方案在这一点上的差别很大。纯 IEPL 专线方案（例如 SS-ID 的 100G 档 ¥20/月、5 台设备）贵出来的那部分，买的正是「跨境那段不落在公网」这个形态差异，而不是更快的加密算法——加密算法大家都一样。

六、第五代 · QUIC 被按同一套逻辑处理（2024 年 4 月起）

先补两个时间锚：QUIC 的传输规范是 RFC 9000（2021 年 5 月），HTTP/3 是 RFC 9114（2022 年 6 月）。而 QUIC 的握手包（Initial）用的是从公开 salt 派生的密钥（RFC 9001），意思是：路径上的任何设备都能解开 Initial。所以「QUIC 加密了握手」并不妨碍别人读里面的 SNI——这一点是理解这一代的关键。

USENIX Security 2025 的论文《Exposing and Circumventing SNI-based QUIC Censorship of the Great Firewall of China》（Zohaib 等，gfw.report）给出了这一代的完整画像：GFW 自 2024 年 4 月 7 日起针对特定域名阻断 QUIC 连接，这是第一次出现全国规模的 QUIC 检查与定点封堵。

手段：解密 QUIC Initial 读取 SNI。QUIC 专用黑名单的规模约为 DNS 黑名单的 60%，而且与其他机制的名单明显不同——也就是说，同一批域名在不同传输层上的待遇并不一致，这本身就是「按层处理」的证据。

处置方式：看到第一个含禁用域名的 Initial 之后，对同一组「源 IP + 目的 IP + 目的端口」的后续 UDP 包丢包 3 分钟。注意这个三元组：它不是封域名，而是把这对地址之间的那条 UDP 路径按住。研究里还测到，只有在 TTL 值为 9、11、12（分别对应上海、北京、广州三地探测点的取值）时才会触发——这类细节反过来透露了设备在链路里的位置。

规则细节：过滤规则中包含「源端口大于目的端口」这类条件；而在 Initial 之前先发一个随机 UDP 载荷，可以绕过阻断（该 UDP 流会被跟踪 60 秒）。这两个细节说明它是一套有明确实现边界的系统，而不是「QUIC 一律封杀」。

副作用与规律：这套机制可以被武器化，用来阻断任意两台主机之间的 UDP 通信；同时观测到昼夜规律，高峰时段效率下降——算力限制在这里露了出来。

同一代手段在不同国家有不同的实现，这一点很有参考价值：俄罗斯 TSPU 在 2022 年 3 月按「QUIC v1 + 目的端口 443 + 载荷不小于 1001 字节」整类阻断；乌兹别克斯坦在 2024 年 12 月阻断了带 ECH 扩展的 QUIC 连接。而更早的时候，伊朗与中国都直接封过 UDP 到特定 QUIC 端主机的流量。

把这一代放回第一节的推论二：「整类处置」出现了。当单个连接不再可判别，被处理的就是一整类流量。QUIC 的处境是「被读懂之后定点封」，UDP 443 的整体处境则更尴尬——QUIC 本身的处置方式（包括代理链路里怎么规则化地对待 UDP 443），在QUIC 与 HTTP/3 的处置方式那篇里已经写完整了。

七、2026 年这一格：ECH 成为正式标准（RFC 9849）

2026 年 3 月，Encrypted Client Hello 成为 RFC 9849（Rescorla 等，Standards Track）。机制是「双份握手」：客户端构造一个含真实域名的 ClientHelloInner，再用服务器公钥把它加密，塞进一个只含无害值的 ClientHelloOuter 里发出去；同机房、对外行为一致的服务器共同构成一个「匿名集」，让观察者无法从外层判断你要访问谁。它保护的不只是 SNI，还包括 ALPN 列表这类同样敏感的字段。

但它有一个必须讲清的前提：加密配置要从 DNS 里取。域名通过 HTTPS/SVCB 记录（RFC 9460）公布自己的 ECH 配置，广告方式由 RFC 9848 规定。本机实测这条记录是公开可读的：

dig +short HTTPS crypto.cloudflare.com
→ 1 . alpn="h2" ipv4hint=162.159.135.79,162.159.136.79 \
    ech=AEX+DQBBuAAgACAxIklcyA2clWRPAz2gnakPedWopnEani3Z9ULdhaqUMgAEAAEAAQASY2xvdWRmbGFyZS1lY2guY29tAAA= \
    ipv6hint=2606:4700:7::a29f:874f,2606:4700:7::a29f:884f

那条 ech= 参数就是加密握手的公钥与元数据。也就是说：ECH 把 SNI 藏起来了，但「你在用 ECH」以及「配置是什么」都是公开的，而且这条记录的获取过程走的是 DNS。于是第五代之后的博弈点变得非常清楚——DNS 一旦不可信，加密握手就退回明文 SNI。这就是第二节那个后遗症在 2026 年的形态，也解释了为什么本文用一整节篇幅去跑那六条 DNS 命令。

一个诚实的结论：ECH 不是「墙的终结」。它把判据从 SNI 往 DNS 与行为上推了一步，而审查方至少还有两条路可走——处理 DNS 记录的分发，或者对带 ECH 的连接做整类处置。乌兹别克斯坦 2024 年 12 月对带 ECH 的 QUIC 连接的阻断，就是这条路线的第一个公开样本。

八、把五代翻译成四个选型判据

讲完历史，回到最实际的问题：这些跟选链路有什么关系。把五代手段指向的漏洞反过来看，就是四个可以逐条检查的判据。

判据	来自哪一代	怎么判断一个方案在这条上的表现
解析是否可信	第一代	能否走加密解析、且不被降级；解析结果是否可交叉验证
握手是否暴露身份	第三代	客户端是否支持 ECH；配置来源（DNS）是否可信
跨境段是否离开公开互联网	第二代、第五代	这一段是专线承载，还是自己在公网上自建
出口 IP 的属性	第二代、第四代	数据中心 IP、原生 IP 还是住宅 IP，决定服务侧怎么对待你

没有任何一个方案能在四条上同时拿满分，而且这几条彼此冲突：ECH 与出口身份常常打架（提供住宅 IP 的方案多半不支持 ECH）；专线与预算打架（纯 IEPL 的 100G 档 ¥20 起，而入门大流量档 ¥9.9 就能拿到 384GB）。所以现实里的选择不是「找一个全能的」，而是先确定哪一条对你最要紧，再明确你愿意在其余三条上让出多少。

如果这五代的机制细节你还想再对照一遍——每一道封锁具体怎么实现、怎么看出来的，GFW 工作原理：DNS 污染、IP 封锁、SNI 检测与主动探测那篇是按手段逐条拆的，与本文的时间线视角正好互补。

九、五个常见的误解

常见说法	实际情形
封锁定死了就是那几道	这几道是十年来长出来的链条，前一代被绕开才逼出后一代，链条还在延长
加密越彻底越安全	2023 年的测量显示随机性本身就是判据：每字节平均置位数小于 3.4 或大于 4.6 是被豁免的那一侧
换个海外 DNS 就好了	注入发生在路径上。本文实测中，换成 TCP 查询海外解析器，拿到的仍是同一个假地址
QUIC 加密了握手所以更隐蔽	QUIC Initial 用公开 salt 派生密钥，路径上可解；2024 年 4 月起已被用于 SNI 检查
ECH 一来问题就解决了	ECH 的配置靠 DNS 分发，DNS 不可信时它退回明文 SNI

十、FAQ：关于「演进」的六个问题

1. 为什么 2023 年的这份测量值得单独讲？因为它是第一次把「随机性」这个判据完整刻画出来：不是猜「它像代理」，而是给出每字节置位数的豁免区间、可复现的字节模式、26.3% 的单连接封堵概率，以及 0.6% 的附带损害。一个判据一旦被量化，它就不再是玄学，对策也因此有了方向。

2. 现在的封锁比五年前更强了吗？更强，但方向不是「封得更狠」，而是「判得更准」。IP 那种粗粒度手段精度低、误伤大，所以被降级成补充；SNI 与行为这两条精度高、可自动化，于是成了主判据。理解这个方向，你就知道为什么「换个 IP 试试」的性价比在下降。

3. 这些结论我自己能验证吗？能，而且成本很低。第二节的六条命令可以原样运行，结果形态（两个无关域名返回同一地址、TCP 能通而 UDP 超时、DoH 返回真实地址）在不同运营商上高度一致；QUIC 与 ECH 的部分则可以直接读公开测量论文与 RFC 原文，本文引用的编号和结论都来自那里。

4. 那到底该自建还是买订阅？用第八节那四条判据去对。自建的优势是你掌握第一条、第三条和第四条的一部分，劣势是跨境段必须自己落在公网上，因此承担第四代与第五代的全部方差；订阅是把第三条、第四条交给服务方，代价是多付一点钱、少一点控制权。两者不是替代关系，很多人最后是「自建做备用，订阅做日常」。

5. 为什么专线占比高的方案更贵？因为它的价值在路径形态，不在带宽数字。同一份加密算法人人都有，差别在于跨境那一段落在哪：落在公网上，就要接受行为检测的方差与整类处置的连带风险；落在专线上，这一段就不参与那套判定。贵出来的钱买的就是这件事。

6. 我该重新担心 DNS 吗？该担心的点变了。以前担心的是「污染让你打不开网页」，现在更值得担心的是「加密握手的配置从 DNS 来」——解析不可信，加密就没法建立。所以加密解析在今天不是可选优化，而是加密握手的前提条件之一。

十一、总结

把这份复盘压缩成三句话：封锁是一条链条而不是一张清单，方向是内容、身份、行为，每一代都是前一代被绕开的结果；每一代对策都有有效期，而「更彻底地加密」不是通用答案，因为随机性本身已经可以被测量；目前最前沿的一格是 2026 年 3 月正式标准化的 ECH，它把 SNI 藏了起来，同时把博弈推到了 DNS 与整类处置上面。

所以选方案时更值得问的问题不是「哪个加密最强」，而是「那四条判据里哪一条对我最要紧，剩下三条我愿意让出多少」。想清楚这个，比记住任何一张封锁清单都有用。