深度包检测(DPI)与GFW审查机制：机场节点是如何被阻断的？

很多人常问：“互联网的数据包千千万万，防火墙究竟是怎么在毫秒之间精准揪出翻墙流量并加以切断阻断的？”

理解审查系统的工作原理，有助于我们客观理解为什么某些低价梯子容易失联，以及为什么物理专线（IPLC）能成为抗封锁的终极利器。

---

一、防火长城（GFW）的三大常见拦截手段

1. DNS 污染 (DNS Poisoning)

当你试图访问 google.com 时，本地电脑首先向公共 DNS 服务器查询该域名对应的 IP 地址。GFW 在国际出口监听到这一查询请求后，会伪造一个错误的虚假 IP 地址抢先回答你的电脑，导致浏览器访问到了错误的地址。

• 破解方式：使用加密 DNS（DoH / DoT）或让 DNS 查询全部通过远端代理节点解析。

2. SNI 阻断 (Server Name Indication Block)

在建立 HTTPS 加密连接的第一步（Client Hello 阶段），你的浏览器必须明文发送你要访问的目标网站域名（即 SNI 字段）。GFW 读取到该明文域名在黑名单中时，便会立刻向两端发送 TCP RST（重置）数据包切断连接。

3. 深度包检测 (DPI - Deep Packet Inspection)

传统的路由器仅查看数据包的“信封头部”（源 IP、目的 IP、端口号）。而 DPI 技术则像“透视安检机”，会进一步解开数据包的内部载荷（Payload）：

• 特征码匹配：早期 OpenVPN 或旧版 Shadowsocks 具有固定的握手特征字节，DPI 系统可在几十毫秒内识别并加入黑名单；
• 统计特征与机器学习分析：现代 DPI 能够分析数据包的大小分布、发送时间间隔、上行与下行流量比率。即便流量完全加密，算法也能以 90% 以上的置信度推测出这是一条代理连接；
• 主动探测 (Active Probing)：当 GFW 怀疑某个境外 IP 是代理服务器时，它会模拟成一个翻墙客户端向该 IP 发送探测探测包。如果服务器做出了代理响应，该 IP 的端口便会被立刻封杀。

---

二、现代代理技术的应对演进

为对抗愈发智能的 DPI 技术，现代代理生态发展出了两条截然不同的对抗路线：

1. 协议层高度伪装（Trojan / Reality）： 彻底放弃独特的协议设计，完全模拟成全球数十亿真实网站所使用的标准 TLS 1.3 流量，让审查系统投鼠忌器，无法在不误伤正常跨境商业流量的前提下进行封锁。
2. 物理层降维打击（IPLC / IEPL 专线）： 既然公网出口处处设卡，高端服务商便直接向运营商租赁两端物理闭环的点对点内网光缆。数据在境内机房直接进入私有内网越境，根本不经过公网网关与 DPI 审查设备，从物理根源上彻底规避了被检测的可能。