Великий китайский файрвол (Great Firewall, GFW) — неофициальное название сетевых механизмов, которые фильтруют трансграничный интернет-трафик материкового Китая и вмешиваются в него. Это не одна «стена»: публичные измерительные исследования показывают, что он может влиять на доступ через DNS-инъекции, блокировку IP, сброс соединений, распознавание TLS-метаданных, активное сканирование и другие методы［1］［2］［3］［5］.

Ключевые выводы

Частые методы GFW: DNS-подмена, блокировка IP, фильтрация ключевых слов, распознавание SNI и признаков трафика, активное сканирование.

Обычный VPN решает только часть проблемы. В жестко ограниченной сети нужны обфускация, резервные серверы и резервные протоколы.

«Подключилось» и «безопасно использовать» — разные вещи. Аккаунты, устройства и правовые границы все еще важны.

WireGuard быстрый, но по умолчанию не скрывает, что это трафик WireGuard［4］.

Самый устойчивый подход — до поездки подготовить клиент, конфиги, резервные домены и офлайн-диагностику.

Как на самом деле работает Великий китайский файрвол?

DNS-подмена: вы спрашиваете A, получаете B

DNS похож на телефонную книгу интернета: он превращает домен в IP-адрес. GFW может внедрять ложные ответы в DNS-запросы, из-за чего браузер получает неправильный или недоступный IP. Исследования USENIX и GFW Report описывали DNS-цензуру в китайских сетях［1］［2］.

Поэтому некоторые сайты «не открываются по домену», но начинают работать после смены DNS, сети или подключения VPN. Проблема может быть не в самом сайте, а в разрешении имени.

Блокировка IP: прямой запрет адреса сервера

Если IP сервера заблокирован, вы можете не подключиться даже при правильном адресе. Бесплатные узлы и публичные прокси часто имеют много пользователей и злоупотреблений, поэтому быстрее попадают в списки блокировки.

Распознавание трафика: если похоже на VPN, его могут заблокировать

Современная фильтрация смотрит не только на то, куда вы идете, но и на то, похож ли трафик на конкретный протокол. Если VPN, прокси или туннель имеют заметный отпечаток, их могут распознать. Подробнее: объяснение обфускации VPN.

Активное зондирование: файрвол проверяет ваш сервер

Пассивный анализ — лишь первый этап. Измерительное исследование 2020 года показало: заметив подозрительное соединение Shadowsocks, GFW сам отправлял на этот сервер зонды — повторы ранее переданного трафика пользователя и случайные данные, рассчитанные на выдающий сервер ответ［5］. Часть повторов приходила меньше чем через секунду, другие — через часы или дни［5］.

Если ответы выдают сервер, его IP или порт могут заблокировать, хотя в том исследовании блокировки случались гораздо реже зондирования［5］. Поэтому собственный сервер, которым активно пользуются, может перестать работать, даже если его адрес никому не сообщали.

Как безопаснее обходить Великий файрвол?

Шаг 1: заранее подготовьте клиент и аккаунт

Не ждите ограниченной сети, чтобы скачать VPN. Официальный сайт, магазин приложений, почтовое подтверждение и платежная страница могут работать нестабильно. Установите клиент и проверьте вход.

Если берёте AethoVPN с собой в поездку в материковый Китай, ещё до въезда установите его на каждое устройство, войдите по коду из письма и один раз подключитесь к ближайшей локации из списка в приложении. В ограниченной сети доступность может меняться, а местные законы продолжают действовать, поэтому сохраните резервные варианты из шагов 2 и 3. Начните 3-дневный бесплатный пробный период Pro до отъезда.

Шаг 2: подготовьте минимум два близких сервера

Гонконг, Тайвань, Япония и Сингапур обычно тестируются первыми. Близкие серверы дают меньшую задержку, дальние нужны для конкретного контента или региона аккаунта. Когда сравниваете провайдеров, используйте гайд по VPN для Китая, чтобы оценить маршруты вместе со стабильностью, обфускацией и запасным доступом.

Шаг 3: сохраните ручную конфигурацию

Если основное приложение не открывается, ручной профиль WireGuard или OpenVPN может стать запасным входом. Подробности: руководство WireGuard для стран с ограничениями.

Шаг 4: снижайте риск для аккаунта

Не входите в один аккаунт слишком часто с IP разных стран. Включите двухфакторную аутентификацию, держите привычный регион сервера и не считайте VPN единственной защитой аккаунта.

Почему VPN может обходить часть ограничений GFW?

Шифрованный туннель скрывает конкретное содержимое доступа

VPN сначала шифрует ваш трафик и отправляет его на VPN-сервер, а уже сервер открывает целевой сайт. Локальной сети сложнее увидеть конкретные страницы, хотя она все еще может видеть соединение с VPN-сервером.

Зарубежный выход меняет путь доступа

Когда вы подключаетесь к серверу в Гонконге, Японии или Сингапуре, целевой сайт видит выходной IP VPN, а не ваш исходный IP локальной сети. Это помогает обходить часть ограничений, связанных с местоположением или локальным выходом.

Обфускация снижает вероятность распознавания протокола

Если система блокировки понимает, что перед ней VPN, одного шифрования может быть мало. Обфускация делает трафик похожим на обычный HTTPS или усложняет сопоставление по признакам, но не делает его абсолютно невидимым.

Частые заблуждения

Заблуждение 1: если есть шифрование, трафик не распознают

Шифрование защищает содержимое, но не всегда скрывает признаки протокола. В документации WireGuard deep packet inspection указан среди известных ограничений, а обфускацию разработчики относят к уровню выше WireGuard［4］.

Заблуждение 2: чем дальше сервер, тем безопаснее

Дальний сервер может быть медленнее и может запускать антифрод платформ. Безопасность определяется политикой провайдера, протоколом, логами и сценарием, а не расстоянием.

Заблуждение 3: бесплатные узлы скрытнее

Бесплатные узлы часто используют много людей, ими чаще злоупотребляют, а обслуживание слабее. Они быстрее ломаются и несут больше рисков приватности.

Итоги: обход GFW требует комбинированного плана

DNS-подмена, блокировка IP и распознавание трафика — частые пути вмешательства.
VPN помогает обойти часть ограничений, но обычный VPN не равен антиблокировочному VPN.
Обфускацию, резервные протоколы, близкие серверы и офлайн-конфиги нужно готовить заранее.
Безопасное использование включает риски аккаунта, безопасность устройства и правовые границы.
Стабильность дает постоянное обслуживание, а не «вечный» чудо-сервер.

Часто задаваемые вопросы (FAQ)

Чем Великий файрвол отличается от обычной блокировки сайта?

Обычная блокировка часто выполняется сайтом или платформой. GFW действует ближе к сетевому и трансграничному уровню доступа, поэтому влияет шире.

VPN всегда обходит Великий файрвол?

Нет. Серверы, протоколы и стратегии блокировки меняются. Резервный план надежнее одного узла.

Может ли WireGuard обходить GFW?

Иногда да, но WireGuard по умолчанию не обфусцируется. При сильных ограничениях лучше сочетать его с антиблокировочными функциями провайдера.

Смена DNS решает проблему GFW?

Только часть проблем DNS-подмены. Если распознан IP, SNI или протокол, одного DNS мало.

Почему один VPN работал вчера, а сегодня нет?

Возможно, IP сервера заблокировали, маршрут перегружен, протокол распознан, у провайдера идут технические работы или изменилась локальная сеть.

Есть ли правовые риски при обходе GFW?

Да. Правила различаются по регионам. Перед использованием изучите местное законодательство и правила вашей организации.

Что означает GFW?

GFW — сокращение от Great Firewall, неофициального названия сетевого контроля трансграничного доступа в материковом Китае. Это не одно устройство и не официальное название продукта, а совокупность DNS-инъекций, блокировок IP, сбросов соединений и зондирования, которые фиксируют исследователи［1］［2］［5］.

Отказ от ответственности: Законодательство в отношении VPN различается в разных странах и регионах и может изменяться. Данная статья не является юридической консультацией. Перед использованием VPN обязательно ознакомьтесь с местным законодательством.

Источники:

Sources checked 4 октября 2026 г.

Рекомендуемые статьи:

Великий китайский файрвол: как работает и как его обойти