主動探測如何偵測 VPN？端點回應、被動指紋與結論界線說明

VPN 偵測中的主動探測，是指主動連接可疑端點，並觀察它如何回應受控的協議測試。被動指紋只會觀察現有流量，主動探測則會產生新流量。回應可以加強或削弱某項協議假設，但沒有回應或一次異常答覆，都不能單獨證明端點正在運行甚麼服務。［1］［2］

完整 VPN 指南介紹正常的客戶端至伺服器路徑。本文只解釋量度模型和證據限制，不提供探測載荷、規避方法，也不授權測試不屬於你的系統。

關鍵要點

• 被動分析觀察現有流量；主動探測則發起一次新互動。
• 有效探測會檢驗一項明確假設，並比較完整回應模式。
• 連接埠掃描問端點能否到達；協議探測問服務如何表現。
• 逾時、速率限制、負載平衡器和網絡過濾都可能隱藏或改變回應。
• 探測會使用他人資源，因此授權和速率上限都很重要。

**圖例：**1 = 被動線索引起懷疑；2 = 獲授權的探測及回應比較；3 = 支持假設的證據；4 = 無法判斷的回應或沉默。兩條分支都不構成身份證明，沉默亦不能排除 VPN。

主動探測流程如何開始？

主動探測通常始於懷疑某個端點的理由。網絡觀察者可能看到某種流量指紋、公開的中繼清單、對同一地址的重複連線、特徵連接埠或營運報告。這些訊號可以收窄搜尋範圍，但不足以作出最終定性。

觀察者其後形成一個協議假設，例如「這個端點可能在運行某種受測 VPN 協議」。受控客戶端發送一段小規模互動，用來把假設中的服務與普通替代服務區分開。觀察者記錄連線建立、時間、訊息框架、錯誤行為、關閉方式和可重複性，再把這些證據與獲授權的參考系統比較。

USENIX 的 OpenVPN 研究描述了兩階段框架：被動過濾先找出候選端點，主動探測再提高特異性。次序十分重要。無差別探測每個地址成本高、噪音大，也更容易影響無關服務。［1］

主動探測與被動指紋有甚麼分別？

被動指紋只觀察已存在的流量。它可以檢查可見握手、封包大小、方向、時間及端點，而毋須向可疑伺服器發送新要求。外層連線使用 TLS 時，TLS 指紋可以是其中一個被動階段。

主動探測改變了實驗。偵測者成為客戶端，建立新連線並選擇輸入。這樣可能揭示一般觀察流量中沒有出現的行為，但亦引入新的來源地址、路由、測試時間和網絡條件。探測者所在位置本身也會影響結果。

兩項技術回答不同問題。被動證據判斷現有流量是否像某個類別；主動證據判斷端點在受測條件下，是否像假設中的實作一樣回應。

主動探測等同連接埠掃描嗎？

不等同。連接埠掃描通常只檢查傳輸端點看來是開啟、關閉還是被過濾。很多無關服務可以監聽相同連接埠；TCP 握手成功只能表示基本可達性，對應用層協議說明很少。

應用層探測會繼續到足以比較協議行為的程度，例如查看訊息次序、框架、時間或安全的錯誤回應。這不代表偵測者應發送畸形資料或大量流量。範圍狹窄而獲授權的測試，通常可在不增加服務壓力下回答假設。

健康檢查只確認營運者自己的服務狀態；偵測則着重分類，兩者不能混為一談。

哪些回應模式可以成為證據？

證據可以包括連線是否獲接受、何時關閉、出現多少項記錄、伺服器是否遵循正常 TLS 次序，以及重複測試能否得到一致而有限的結果。RFC 9846 定義 TLS 狀態機，研究人員因而可區分普通 TLS 回應與實作特有行為，而毋須把每種差異都描述為惡意。［3］

部分協議會刻意減少向未認證客戶端披露的資料。正常伺服器可能忽略未知輸入、延遲回覆，或要求密碼學證明才回應。沒有回應因而可以有多種解釋：假設中的服務、防火牆、封包遺失、限速、離線主機或另一個應用程式。

較強的證據需要對照：比較獲授權實例、普通服務和無法到達的端點，有限重複測試並保留失敗結果。

為甚麼主動探測可能得出錯誤結論？

互聯網上的傳輸路徑不是穩定的實驗室。負載平衡器可能把探測分派到不同後端；內容分發網絡可能代表許多租戶回應；來源地址政策、地理路由、入侵防護、限速和維護，都可能改變某個觀察者收到的結果。

時間也很重要。伺服器可能在用戶連線被觀察時在線，而在之後探測時離線。軟件更新可能移除舊的回應特徵。網絡地址轉換可能把某個地址或連接埠重用於另一項服務。過時的清單可能指向一個無辜的新租戶。

服務保持沉默、先認證後識別，或按探測來源作不同處理時，會出現假陰性；普通服務剛好具有受測行為時，會出現假陽性。站得住腳的結論應列明測試時間、觀察位置、協議假設、對照條件和不確定性。

探測如何導致 VPN 伺服器被封鎖？

過濾系統若把回應視為確認，可能把目的 IP、連接埠甚至更大的地址前綴加入執行規則。其後用戶連線可能逾時、被重設，或在 VPN 認證前已失敗。VPN 伺服器 IP 為何被封鎖進一步解釋這個生命週期和連帶影響。

另一項完全加密流量研究記錄了一個審查系統：它以純被動方式偵測未獲豁免的流量，然後封鎖。論文同時指出，同一環境較早時曾主動探測其他協議。這項結果說明，其後封鎖本身不能證明曾發生主動探測；量度規則和日期亦不能套用到每個國家、互聯網服務供應商、機構或校園。［2］

單次失敗不能說明地址是否因探測被列入清單；歸因需要網絡比較、證據和時間線。

授權和安全界線是甚麼？

只探測你擁有或獲明確准許測試的系統。遵守約定範圍、來源地址規則、速率上限和維護時段。當證據足以回答假設便停止，不要因一個端點表現異常而自行擴大目標清單。

把流量減至最低，不使用漏洞載荷、不嘗試登入憑證，也不擷取資料。只記錄分類所需欄位；測試若造成錯誤或負載增加，應立即停止並通知擁有人。

受管理網絡的偵測控制屬於網絡擁有人。本文不授權繞過；合法測試應在實驗室或獲批准的診斷路徑進行。

產品在這項解釋中扮演甚麼角色？

如果你想知道某個網絡會否干擾託管 VPN，又不想探測任何人的伺服器，可以把 AethoVPN 當作普通客戶端使用：安裝後連接到在 App 內選擇的位置，照常使用即可。如果某個位置反覆失敗，而另一個負載指示為綠色的位置一直可用，便把兩項結果一併報告，不要來回切換伺服器碰運氣。AethoVPN 沒有公開聲明其伺服器如何回應探測，所以連線可用只是可用性結果，並不證明能抵禦探測。可用電郵建立試用帳戶來做這項有界限的測試。

如果連線只在一個網絡失敗，請記錄失敗階段、時間、網絡類型、應用程式版本和已遮蓋的錯誤。不要不斷切換伺服器或協議，以免破壞證據或違反網絡政策。

總結

• 主動探測會與可疑端點建立一次新互動。
• 它通常接續被動線索，並檢驗一項明確的協議假設。
• 連接埠可達性、應用程式分類和服務健康是不同問題。
• 沉默有多種解釋，即使收到回應亦需要對照和重複驗證。
• 合乎道德的探測應獲授權、範圍有限、流量低、留有記錄，並在達到目的後停止。

常見問題

主動探測能解密 VPN 隧道嗎？

不能由此推定。它通常分類端點行為；還原受保護的用戶內容是另一類問題，也不是本文偵測模型所需步驟。

VPN 常用連接埠開啟可證明伺服器正在運行嗎？

不可以。連接埠只是共享慣例，很多普通服務可使用相同傳輸端點，仍需比較應用程式行為和對照結果。

沒有回應可證明端點不會被偵測嗎？

不可以。沉默可能源於認證設計、過濾、封包遺失、限速、停機或針對來源的政策。

為甚麼要結合被動和主動技術？

被動分析毋須產生流量便可縮窄候選範圍；之後的小規模主動測試可增加特異性，而毋須探測整個地址空間。

探測會把共享伺服器誤認為 VPN 嗎？

會。共享地址、負載平衡及重用的基礎設施可能返回另一租戶或服務的回應，所以地址層結論必須審慎。

主動探測在任何地方都合法嗎？

法律及政策各有不同。請取得明確授權並遵守目標擁有人的規則；本文不構成法律建議。

用戶可從逾時判斷探測導致封鎖嗎？

不可以。逾時原因很多，必須關聯網絡比較、時間戳、伺服器健康狀態和營運者證據。

免責聲明：本文只供防禦教育和獲授權量度之用，不授權掃描、繞過政策或未經許可測試第三方系統。

來源：

1. USENIX Security, "OpenVPN Is Open to VPN Fingerprinting": https://www.usenix.org/system/files/sec22-xue-diwen.pdf
2. USENIX Security, "How the Great Firewall of China Detects and Blocks Fully Encrypted Traffic": https://www.usenix.org/conference/usenixsecurity23/presentation/wu-mingshi
3. IETF, "RFC 9846: The Transport Layer Security (TLS) Protocol Version 1.3": https://www.rfc-editor.org/rfc/rfc9846

Sources checked 2026 年 9 月 10 日。

---

延伸閱讀：

• 了解完整 VPN 路徑
• 區分被動 TLS 分類
• 了解地址層封鎖
• 了解 VPN 混淆的意思
• 查看互聯網服務供應商的可見性界線