2016/10/24 科学上网可能是一种手艺，如何传承：任重道远 - 不死鸟

https://busi.me/archives/95/ 1/14

科学上网可能是一种手艺，如何传

承：任重道远2016-09-21 • 阅读: 147 • , •

新时代的防火 qiang 像手术刀，精准迅速，直击命门。而 “科学上网” 未来可能变成一门手艺，如何传

承，任重道远。

科学上网 = fanqiang

1987 年，中国第一封电子邮件由中国兵器工业计算机应用研究所发往德国，标志中国成功接入互联网。邮件

内容是：“AcroSS the Great Wall we can reach every corner in the world”——穿越 “巨 qiang”（长

城），我们无处不及。与这封邮件几乎同龄的我，没想到生活中竟总离不开“qiang”。在物理世界和虚拟世

界中多次穿 qiang，也去过世界各处，看“qiang” 越筑越高，有时义愤填膺，有时啼笑皆非。仅以此文，记

录 “qiang” 边的一些见闻。

国家公共网络监控系统

国家公共网络监控系统，俗称中国网络防火 qiang（The Great Fire Wall of China，常用简称 “GFW”

或“qiang”）。一般意义所説的 GFW，主要指中国官方对境外涉及敏感内容的网站、IP 地址、关键词、网

default fq 编辑

2016/10/24 科学上网可能是一种手艺，如何传承：任重道远 - 不死鸟

https://busi.me/archives/95/ 2/14

址等的过滤。随着使用的拓广，中文 “qiang” 和英文 “GFW” 有时也被用作动词，网友所説的 “被

qiang” 即指被防火长城所屏蔽。

2008 年校园网：“连坐” 惩罚

2007 年，我进入这所 XX 理工大学。它特别吊诡的设定是，大一不能带电脑，大二考过国家英语四级的人才

可以带电脑。就这样，2008 年秋天，我终于正大光明地连上校园网。千兆比特级别以太网直入国家主干网，

中国电信、中国教育网双通道。这个规格，算是极高的。网速之快，前所未见；可是，总有一些网站访问不

了。但这些小细节，终究不影响同学们 DotA（一款基于 Warcraft 的对战地图）的热情。

那个时候，我们愉快地上 Google，查 Wikipedia，学习西方先进科技。不时有好事者，会键入诸如 “六

四”、“胡萝卜”、“温度计”（网民用来形容胡锦涛与温家宝的指代用词）这样的神奇词汇，于是全校与

Google 失联十数分钟。每当到这个时候，室友们相视一笑，“哦，谁又撞 qiang 了！” 但打壶开水，泡一

杯面，还不等吃完，就又可以 Google 了。

那个时候的 “qiang” 就好像霰弹枪，火力充足，但瞄不太准。一枪下去，打一大片，总是搞得“城门失

火，殃及池鱼”。

###qiang 如何运作？ 一台机器要与互联网上的其他机器对话，需要一个 IP 地址，好比一个人需要身份证

（ID），才能唯一标识一样。否则，你喊一句话，对方不知应该回话给谁。而 IP 地址的总量是有限的，就好

比一个大小固定的蛋糕。美国入场早，切走一大块。接着列强瓜分。

2016/10/24 科学上网可能是一种手艺，如何传承：任重道远 - 不死鸟

https://busi.me/archives/95/ 3/14

等到中国的时候，还剩下点面皮。而该理工大学在这轮 “圈地运动” 中，只得到 2 个 IP 地址，给全校数万

师生共用。这下好了，一个 IP 后面几万人，究竟谁在干什么，从校外是看不清的了。早期的防火 qiang，只

能粗糙地在 IP 级别上执行封锁，要管束，只能全盘封了整个学校的网络。但毕竟一所国家重点高校，不可能

用这种方式来管理，但不封锁，又无法向监管部门交代。

qiang 早期对用户的 “连坐” 惩罚策略。制图：金秋枫

说到底，监管当局不乏能工巧匠，他们很快想出一个办法：封杀大约 4 千个连续的端口（Port）。如果我们

把 IP 地址比作一栋房子 ，那么端口就是出入这间房子的门。不同于真正的房子只有几个门，一个 IP 地址的

端口可以有 65536（即 2 的 16 次方）个之多。端口在一定时期内是被内网的一个用户独占，于是数据包可

以准确地回到始发地。不过，封一个端口不过瘾，只是撞 qiang 者自己倒霉而已。

试想，你好不容易把野马制服了，又会有一些原本安顺的良马变野，效果不佳。最好的办法就是让它成为害

群之马，以做警示。所以，一旦内网某个用户登陆 Google 检索 “敏感信息”，这意味着一个端口“撞

qiang”，“qiang” 就把接连着的约四千多个端口都封掉，令无辜群众也无法上网。这种断网的 “连坐惩

罚” 短则几分钟，长则十几分钟，才能恢复服务。

2010 年北京：合租服务器科学上网

3 月，Google 位于北京中关村的办公室楼下堆满了鲜花，网友以这种方式纪念因 “遭受中国骇客攻击”

和“网络审查”而决定退出中国市场的 Google。

2016/10/24 科学上网可能是一种手艺，如何传承：任重道远 - 不死鸟

https://busi.me/archives/95/ 4/14

“qiang”这个概念越来越清晰，也进入了更多人的视野。2009 年，Facebook 和 Twitter 相继被封，昭示

着中国政府通过防火 qiang 阻隔国际互联网，建立 “局域网” 的决心——“局域网”是中国网民对 qiang

内状况的戏称。

“咱们合租一个 VPS（Virtual Private Server）吧”，这是技术青年们见面经常谈到的话题，仅次于买房和

买车。VPS 即虚拟主机，向服务商租取一段时间使用权即可。以前，大家合租 VPS，多是为了搭个博客，赶

赶时髦。而现在，合租 VPS，多是为了科学上网。

qiang 外丰富多彩的世界吸引着年轻人。制图：金秋枫

对这些年轻人来说，“科学上网” 用 Google 检索最新资讯，使用垃圾邮件最少的 Gmail，随时查询在线百

科全书 Wikipedia，通过 Facebook、Twitter 与同行保持密切的技术资讯沟通，就像呼吸一样自然。也有更

多人科学上网是要选择不同服务器进行联网游戏，或下载最新的影视内容，“科学上网” 就像玩猫和老鼠的

游戏。

VPS 如何帮你科学上网？

当你发一个数据包到 Google 或者 Facebook 时，防火 qiang 可以直接识别目的 IP 地址而自动拦截。而前

面提到的 VPS，是虚拟主机，自己也有 IP 地址，但无公开记录其归属，难以确认是否是敌军。既然如此，我

们把数据包先发到 VPS，再由它中转到目的地，就成功绕开 “qiang” 了。由于 VPS 的这种特性，它也被

称作“跳板”。

2016/10/24 科学上网可能是一种手艺，如何传承：任重道远 - 不死鸟

https://busi.me/archives/95/ 5/14

“跳板”是所有 “科学上网” 技术的共通原理。制图：金秋枫

利用一个 “跳板” 绕过“qiang”，正是许多科学上网软件的基本原理。曾经繁荣的科学上网软件“无

界”、“自由门”，还有众多的“代理服务器”，包括后来更广泛应用的 VPN （Virtual Private

Network），都是借用跳板原理。VPN 最早是用来帮助一个企业多地的办公室间互联，也可以让员工在异地

进入公司内网，方便执行一些高权限的作业。这样一来，跨国公司天然就拥有了穿 qiang 的隧道：数据包先

发到海外办公室，再去向世界各地。所以，VPN 也成了跨国公司员工科学上网的主流手段。

这年，我第一次用 “SSh -D”（一行命令）科学上网。SSH 可以让系统管理员连接上主机，进行远程操

作。同时它相当于在客户端与服务器之间建立了一个隧道，所以也能传输其他的数据，包括“科学上网” 流

量。只要这台机器的 IP 不在 qiang 的 “黑名单” 中，也就可以成功绕过 qiang 的封锁了。对技术人员来

说，买 VPS 是最简单且低成本的科学上网方法。即便一台 VPS 被 qiang，再买一台即可。一年几十美元的

价格，合租下来非常便宜。

SSH 协议可以建立 “隧道”，成为技术人员“科学上网” 的最爱。制图：金秋枫

2016/10/24 科学上网可能是一种手艺，如何传承：任重道远 - 不死鸟

https://busi.me/archives/95/ 6/14

2011-14 年香港：“qiang” 成为一门显学

在 Google、Wikipedia 中文、Facebook、Twitter 等全球流行网络应用被阻隔在防火 qiang 之外后，中国大

兴土木建设的 “局域网”，这几年也初现雏形。

搜索用百度，邮箱有 163/QQ，社交有微博 / 人人，购物用淘宝 / 京东，即时聊天用微信——各种互联网服

务，qiang 内应有尽有。对大部分网民来说，科学上网成了越来越不必要的需求。而剩下的一小拨执着于科

学上网的用户，以及全世界致力于研究 “qiang” 的学者，他们见证了 “qiang” 的升级，与之斗智斗勇，

也从一些滑稽的表象，捕捉到 “qiang” 发展的各种蛛丝马迹。

因 “qiang” 不同的工作原理，越来越多的科学上网工具被开发出来。对 “科学上网” 这个行当来说，这是

个百花齐放的时代。

解析邮件

2011 年初，Gmail 大规模延迟，这可能是生活在中国的很多 “良民” 第一次看到 qiang 的影子。他们并不

是 Twitter、Facebook 的忠实用户，对自由世界的 “危险信息” 也并不感兴趣，只是日常收发邮件，竟也

撞 qiang。实测显示，Gmail 与大陆服务商之间的邮件有不同程度的延迟，少则几个小时，多则几个星期。

人们纷纷猜测，“qiang”已经进化到开始解析邮件。

“qiang” 开始尝试解析 qiang 内外邮件，终因负载太高，造成大规模延迟。制图：金秋枫

2016/10/24 科学上网可能是一种手艺，如何传承：任重道远 - 不死鸟

https://busi.me/archives/95/ 7/14

敏感词触发 RST，偶尔需要 “向内科学上网”

这几年，我在香港求学，当时因为研究需要，我要下载大陆某公司的中文词库，奇怪的是，无论使用何种工

具，进度条总是停在 70% 的地方。后来分析发现，每次下载到这个位置的时候，系统就会收到一个 “RST”

包──“RST”是 “Reset”（重置）的意思。这是一种特殊的数据包，当计算机收到这种包的时候，会重置

一条网络链接。这个特点被“qiang” 广泛用来掐掉 “不和谐” 的网络链接。好比 A 和 B 正在打电

话，“qiang”想要掐断电话，和以前粗暴地摔电话机不同，“qiang”对 A 说：“B 挂你电话了”，同时又

对 B 说，“A 挂你电话了”，不明真相的两人就真的自己把电话挂掉了。敏感词触发 RST，这种 “qiang”

的工作机制，如今已是衆所周知。而这种监控与阻断是双向的，出入都可能撞 qiang。有时候在 qiang 内需

要翻出来，有时候在 qiang 外需要翻进去。

通过 “RST” 欺骗通信双方，以阻断链接。制图：金秋枫

2016/10/24 科学上网可能是一种手艺，如何传承：任重道远 - 不死鸟

https://busi.me/archives/95/ 8/14

走出国门的 DNS 污染

DNS（Domain Name Service）即 “域名解析服务”，功能好比是互联网上的电话簿。早期，仅通过 IP 来

封锁服务的话，“qiang” 需要查看每个数据包，判断是否放行。但使用 “DNS 污染” 技术，相当于直接

给用户一个错误的 “电话号码”，从源头就遏制了“不良通信”。值得注意的是，“DNS 污染” 这种强力

武器，不仅能有效封锁国内网民对敏感内容的访问，还会连带影响其他国家。2012 年，世界顶级网络通讯会

议 SigComm 上，出现一篇匿名论文。论文发现，中国发动的 “DNS 污染” 已经超越了国界。在测试了全

球 4 万多个域名解析服务器后，他们发现其中 26.41% 的服务器受到了这种污染的影响，覆盖 109 个国

家。

DNS 污染。制图：金秋枫

2016/10/24 科学上网可能是一种手艺，如何传承：任重道远 - 不死鸟

https://busi.me/archives/95/ 9/14

近 500 个实体 “哨所”

2012 年，一组来自 Michigan 大学的研究者，对 “qiang” 的位置进行了探测。他们发现，就像真实的长

城并非连绵不断的，防火 qiang 也并不是密不透风地 “堵” 在我们的 “网络” 上，而是一组散落各处的

“哨所”，只有当发现威胁的时候，它们才用“RST” 或“DNS 污染”这样的方式进行干扰。截止 2012 年

底，研究者总共探测到了近 500 个这样的“哨所”，在中国南方，部署数量头三位的省份为：广东（84

个）、福建（29 个）、湖南（28 个）。

小插曲是，研究者把探测 “哨所” 的工具在 GitHub（世界最大的开源代码托管服务）上开源发布后，引起

了激烈的争论。一些人认为，此举会激怒 “qiang” 的管理者，导致 GitHub 被封锁，影响 qiang 内程序员

学习交流，所以应该删除这样的代码仓库，“保持技术社区的纯粹”。另一些人，则认为科学上网是程序员

的基本技能，表示不受影响，所以力挺该项目，并极力反对技术社区加入 “自我审查” 的行列。

深度数据包检测

2012 年底，“qiang”的总设计师、北京邮电大学时任校长方滨兴的研究团队曾发表论文 “网络流量分类，

研究进展与展望”，文章提到了多种使用机器学习进行“深度数据包检测”（Deep Packet Inspection，

DPI）的技术。随后几年，这些先进的技术逐渐在“qiang” 上部署开来。

要理解 “深度数据包检测” 的威力，我们可以把数据包想像成一封信。“浅度”的数据包检测，就好像是看

看信封上的发件人和收件人，即决定是否放行。这给 “跳板法” 留下可乘之机：我们先将信送到中间站（如

虚拟主机 VPS），再转发到目的地，就绕过检查了。“深度”的数据包检测，可以理解成对信件内容的探查

2016/10/24 科学上网可能是一种手艺，如何传承：任重道远 - 不死鸟

https://busi.me/archives/95/ 10/14

──相比起暴力打开信封，这种基于机器学习的技术更具有艺术性。它并不实际解读数据包的内容，而是搜集

周边信息，对数据流进行 “肖像刻划”（Profiling）。举个例子，你用 Google 搜索时，网络上只会有文本

和少量图片经过，数据量很小，并且是突发的；但用 YouTube 看视频时，就会有持续一段时间的大量数据流

过。“qiang” 的监控也是基于这样的抽象指标，比如它监控到到间歇而细小的流量，便推断你不太可能是

在用 YouTube。将诸如此类的可参考指标放在一起，就组成当前数据流的一副 “肖像”。把这个“肖像”

与数据库里面已经存放的巨量 “科学上网流量肖像” 和“非科学上网流量肖像”做个比对，就可以相应归类

了。如所有的机器学习算法一样，这种归类会误杀一些非科学上网流量，也会错放一些科学上网流量。但日

积月累，“qiang”观察的样本越多，准确率也就越高。

浅度与深度数据包检测。制图：金秋枫

2015 年深圳：“qiang” 的疯狂进化

新时代的 qiang，像是手术刀，精准迅速，直击命门。

在深圳小住半年，我深刻感受到 “数字围剿” 的压力。随着 2014 年底，Gmail 全面被封禁，qiang 进化迅

速、部署增强，还配合行政措施打击科学上网势力。深度包检测的大规模部署、DNS 污染的扩大、转守为攻

的国家防火 qiang 策略、ISP 的深度合作——“qiang”俨然是正规军，而科学上网的社区只能打一场场的游

击战，越打越疲惫。

首先，是香港的学校专用 VPN 开始不好使了。据传，几种主流的 VPN 协议已经被 “qiang” 破解，手段十

分细腻：有时候连上 VPN，可以使用 Google 搜索和 Google Drive 办公，但一旦链接 YouTube 或者

Facebook，网络链接就立马被掐掉了。

紧接着，一系列政策出台：境外 VPN 需要备案。像 Astrill 等常用的商业 VPN 服务，迅速被封。

2016/10/24 科学上网可能是一种手艺，如何传承：任重道远 - 不死鸟

https://busi.me/archives/95/ 11/14

同时，“DNS 污染”的范围与频度都扩大了。为了抵御 “DNS 污染”，我曾一度使用“DNSCrypt”——

这个开源项目会加密客户端和服务器之间的通信内容，不被 qiang 查探到。然而好景不常在，很

快，“qiang” 将已知的 DNSCrypt 的服务器 IP 计入黑名单，这样连访问 DNSCrypt 的服务器也是需要

“科学上网” 了…… 有段时间，我依赖 SSH+DNSCrypt 科学上网。但这套组合拳，最终打在 qiang 上只是

手疼，而 qiang 还是泰然自若。

更有甚者，一些二级 ISP（不自建主干网，但提供社区宽带接入到主干网服务的 ISP）参与了合作，封禁

“非常用” 的 DNS 地址。家庭宽带用户，只能选择 ISP 默认分配的 DNS，或者一些 “广为人知” 的

DNS 服务器，如 Google 多年前提供的 8.8.8.8（该服务器的 IP 地址）就是其中之一。“4 个 8”曾经是大

陆网民用来抵御 “DNS 污染” 的缓冲剂，但它使用普通 DNS 协议，很容易被攻击。社区很快发

现，“qiang”会选择性地污染 8.8.8.8 返回的结果。

“DNS 污染”、“RST 攻击”、“深度数据包检测”——“防火长城” 的一套立体防御体系已经建成。从

左到右，精准度逐渐加大，防御成本也逐渐加大。这个时候，不管使用什么 VPN，最常见的现象是，科学上

网几分钟后，网络延迟加大，进而链接被阻断，导致日常工作都不能正常进行。

“进攻是最好的防守”——2015 年 3 月，国家防火 qiang 突然转守为攻。这是一种与 “防火长

城”（Great Fire Wall，GFW）部署在一起的设备，网友戏称其为“大加农炮”（Great Cannon，GC）。

经过 3 月初的一系列测试，“大炮” 从 3 月中旬开始发动疯狂攻击，其首轮攻击的重点目标之一是 GitHub

上 “greatfire” 这个代码仓库。“greatfire”上集结了大量的科学上网工具与资讯，俨然一个巨大的 “科

学上网军火库”。“大炮” 攻击目标的原理简单而有效：它会劫持跨越中国边境的流量，注入恶意脚本，向

指定目标发动“DDoS 攻击”。

DDoS

DDoS（Distributed Denial of Service，分布式拒绝服务），是一种通过巨大流量导致目标服务器不堪重负

而下线的攻击手法。DDoS 是一系列方法的统称，他们使用不同的技术，“大炮” 所使用的流量劫持并注入

恶意脚本的技术是一种比较新的形式。衡量一场 DDoS 攻击的能量，可以使用 “峰值速率”。

如 2014 年 6 月，香港的公民投票网站 “PopVote” 受到超过 “300Gbps” 的攻击，连提供网络支持服

务的 Google 和 Amazon 都抵挡不住，宣布退出，最终服务商靠着全球网络服务业者联手，才维持 “占中”

公民投票持续进行。2015 年 7 月，支持加密功能的即时通信软件 Telegram 受到超过 “200Gbps” 的攻

击，受影响区域很快从东南亚蔓延到全球，导致大量用户无法通信。要知道 100Gbps 的流量有多大，可以

想像同时在线点播两万部高清（720p）视频。也可以参考的一个数据，据 CNNIC 报告显示，截至 2014 年

底，中国大陆的所有国际出口带宽总和为 4100Gbps。

“qiang”转守为攻的这一异常举动，是一个明显的信号，希望 GitHub 删除 “有威胁” 的代码仓库。最

终，在巨大的舆论压力下，“大炮”停止了攻击。在 qiang 的攻防体系中，“大炮”虽然不直接设防，但它

2016/10/24 科学上网可能是一种手艺，如何传承：任重道远 - 不死鸟

https://busi.me/archives/95/ 12/14

对 qiang 外的 “反动势力” 是一种威慑的的存在——必要的时候，随时可以出击。

qiang 的招式列表。大炮作为一种威慑的存在，以攻为守。制图：金秋枫

在 “qiang” 的拼命围剿之下，传统科学上网手段逐一失效。原因很简单：主流方法都有特定的模式，逃不

过基于机器学习的 “深度包检测” 技术。机器学习的准确性是随着样本增加而提升的，所以要逃离

“qiang” 的围剿，就得把自己的流量伪装得不一样。海外专业 VPN 服务 Astrill，以及国内的 “曲

径”、“红杏” 等后起之秀，都是通过打造私有协议，来绕过检测。

在这种形势下，开源科学上网利器 ShadowSocks 被更多的人注意到，基于 SS 搭建的科学上网服务如雨后

春笋一样出现。它的中文名为 “影梭”，社区昵称为 “SS”——这是一个由中国程序员发起的开源项目，

主要开发者在 qiang 内。

2012 年 4 月，SS 第一份代码提交；

2013 年，SS 完成主要开发；

2014 年夏开始，由于 qiang 的升级，SS 受到社区更多的关注，进入高频升级的阶段；

……

ShadowSocks 开发记录。

2016/10/24 科学上网可能是一种手艺，如何传承：任重道远 - 不死鸟

https://busi.me/archives/95/ 13/14

ShadowSocks 提供的其实是一套框架，支持多种加密方式，可以监听不同的端口，只需要很简单的配置，就

可以在客户端和跳板机之间建立一条隧道。这些特点，让 SS 成为 “游击队员” 们最喜爱的工具。作为一款

“非主流” 的工具，SS 曾经是非常有效的科学上网手段。但从 15 年初开始，深圳的部分 ISP 已经部署针对

SS 的阻断系统——推测是基于同一套 “深度包检测” 技术。好在 SS 的参数衆多，随便调整一下，即可生

成不同的 “肖像”，令“qiang” 在观测不足的情况下，无法迅速动手。

但随着时间推移，“qiang” 总会搜集到足够的样本。刚开始的时候，选一套 SS 的参数可以坚持几个星期，

到后来，就只有几个小时了。但 qiang 一天不倒，游击战就一天不停。换密码、换加密协议、换端口，如每

天吃饭一样，逐渐变得规律。实在不行，就只有换 IP 了，即再买一个 VPS。SS 的高级玩家，会加入自己定

制的加密模块，使得流量更隐蔽。总之，SS 是一个开源项目，玩法多种多样，打游击的优势巨大。

2015 年香港：遥看 qiang 内围剿 “造梯人”

还有太多重要的事情要做，不能将时间浪费在与 “qiang” 无休止的游击战中——我决定搬回香港。

而 qiang 内，一场密谋已久的围剿，终于显露。

2015 年 2 月 24 日，24 时。著名 kindle 电子书分享及讨论论坛 “kindle 人” 在创建者被请 “喝茶” 后

停站

8 月 20 日，ShadowSocks 作者在 GitHub 上关闭了相关项目的 ISSue 面板并清空所有帮助信息，同时

GitHub 上 “shadowsocks” 组织的成员信息被隐藏。

8 月 21 日，GoAgent（一款曾经主流的科学上网软件，托管在 Google Code）的论坛上传出 SS 作者 “被

喝茶” 的消息。

8 月 22 日，ShadowSocks 作者现身 GitHub，证实 “喝茶”，并删除了代码库。

8 月 25 日，Google Code 转为只读状态，GoAgent 论坛散落。

8 月 25 日，GoAgent 托管在 GitHub 上的仓库被删。

8 月 25 日，GitHub 受到超过两个小时的 DDoS 攻击，攻击源目前不明。

8 月 26 日，多处消息源显示，曲径、红杏等大陆多家 VPN 服务商受到直接或间接的压力，停止服务。

2016/10/24 科学上网可能是一种手艺，如何传承：任重道远 - 不死鸟

https://busi.me/archives/95/ 14/14

……

有哪些知名网站被屏蔽？ 查看：

以前干掉的是制造和售卖梯子的人，现在连设计梯子的人也要干掉。

未来会如何呢？可以想像，大规模的 VPN 服务会消失；一些小规模的地下服务，继续运行。另一方面，科学

上网工具链，势必会持续升级。

公开的成熟项目被封后，社区会衍生出不同变种，以适应 “qiang” 的改变。特别是像 SS 这样的开放框

架，稍作修改，又是一种玩法，无穷无尽。

但没了牵头的人，没了集中的论坛，知识传递的形式将会反古。

原本，互联网让知识可以扁平传递，现在 “屠梯” 行动恐将人们逼回 “口耳相传” 的模式。未来，“科学

上网”可能是一种手艺，如何传承，任重道远。

（以上文章中的 “我” 并非本人，摘自互联网：X 先生的亲身经历。）

---------------------------------------------------------------

以上文章是我在 2016 年 5 月初发表自简书，简书于 6 月末被封。

标签: qiang , 科学上网

维基百科

返回文章列表 文章二维码