想进一步了解加密DNS吗
DNS over HTTPS(DoH)和DNS over TLS(DoT)都会对DNS查询本身进行加密,这也正是它们能有效绕过基础DNS封锁的原因。它们不再发送可被运营商DNS服务器(或任何监听流量的一方)检查和篡改的明文查询,而是把请求包裹进加密通道,只有最终未被篡改的结果才会到达用户手中。DoH与普通网页流量使用相同的端口,更难被单独识别,而DoT使用专用端口,网络更容易将其整体封掉。
VPN会带来怎样的变化
VPN会把流量通过加密隧道转发到其他地方的服务器,因此从本地网络的角度看,能看到的只是发往VPN服务器IP地址的加密流量——上述DNS、SNI、内容检测等封锁方式所依赖的信息都不再可见。这正是VPN能够一次性绕过大多数封锁手段的原因,不过它并不会改变目标网站本身的封锁机制,而且本地网络看不到的内容,VPN服务商是能够看到的。一些网络也会封锁已知的VPN服务器,这又回到了IP封锁的问题上。
并非所有封锁都是审查
封锁并不只是审查手段。学校会为学生过滤内容,企业会拦截恶意软件和钓鱼域名,家长会在家用路由器上设置基于DNS的过滤,许多国家的法院也会责令运营商封锁盗版或违法内容网站。同样的技术服务于截然不同的目的,真正的争议在于由谁决定封锁什么、过程是否透明、受影响的人能否申诉。
关于绕过封锁的说明
各国法律以及各单位、学校的规定对绕过封锁的态度差别很大,即便在法律上并不违法,违反机构的使用规定也可能带来后果。本页仅出于技术科普目的说明原理,不构成法律意见。
常见问题
公司防火墙打不开某个网站,原理是一样的吗?
是的,原理和国家层面的封锁并没有太大区别。公司或学校的网络防火墙也常常组合使用DNS封锁、URL过滤和SNI封锁,来限制访问特定网站或服务。
SNI封锁为什么会引发争议?
SNI封锁虽然只窥探HTTPS连接中极小的一部分信息(域名),但由于涉及对通信内容进行监听这一做法本身的担忧、可能连带影响使用同一服务器的无关网站,以及围绕国家直接限制访问特定网站所引发的社会争论,这种方式在多个国家都曾成为热议话题。
为什么同一个网站在这个网络打不开,换个网络就行?
每个网络运营方各自设定过滤规则。网站可能被你所在运营商的DNS或防火墙拦截,却能通过手机网络、公司网络或其他国家访问,因为封锁发生在你的流量所经过的路径上,而不是网站本身。
用了HTTPS就不会被封锁吗?
不会。HTTPS保护的是连接内容不被读取或篡改,但网络仍能看到目标IP地址,很多情况下还能通过SNI字段看到域名,所以依然可以选择切断连接。
加密客户端问候(ECH)能终结SNI封锁吗?
它让封锁变得更困难,因为服务器名称被隐藏了,但并不是万能的。网络仍然可以按IP地址封锁,或者直接封锁ECH这一机制本身,而且普及程度也取决于浏览器、服务器和CDN是否支持。