В Китае интернет работает нормально: люди смотрят видео, общаются, заказывают еду, покупают товары и пользуются соцсетями. Но если открыть привычные Google, YouTube, Instagram, Facebook или многие другие зарубежные сайты, часть из них просто не загрузится.

Причина – Великий китайский фаервол. Это огромная система интернет-фильтрации, которая контролирует, к каким сайтам и сервисам можно подключаться из материкового Китая. Например, актуальный список ресурсов, которые блокируются или работают с ограничениями, можно посмотреть на GreatFire.

Причем это не просто список запрещенных сайтов. Фаервол умеет вмешиваться в DNS-запросы, блокировать серверы, анализировать соединения и распознавать некоторые способы обхода блокировок.

Как все началось

В конце 1990-х интернет в Китае начал быстро расти, а вместе с ним появилась и масштабная система контроля за сетью. В 1998 году стартовал проект «Золотой щит», а технологии интернет-фильтрации постепенно становились все сложнее.

Со временем под ограничения начали попадать крупные зарубежные сервисы.

Например, Google долго работал в Китае и соглашался фильтровать часть результатов поиска. В 2010 году компания отказалась продолжать цензурировать поиск на Google.cn и начала перенаправлять пользователей на Google.com.hk. Об этом Google тогда официально написал в своем блоге.

Facebook заблокировали еще в 2009 году, а позже ограничения затронули YouTube, Instagram, WhatsApp, Telegram, многие сервисы Google и другие зарубежные платформы.

Но китайцы не остались без интернета. Вместо Google вырос Baidu, вместо многих западных соцсетей появились местные платформы, а WeChat превратился почти в отдельный интернет внутри приложения – там можно переписываться, платить, заказывать услуги и пользоваться мини-приложениями.

Получилось так, что Китай не просто ограничил доступ к части зарубежного интернета, а параллельно вырастил собственную огромную цифровую экосистему.

Как фаервол блокирует сайты

Самый простой вариант – заблокировать IP-адрес сервера.

Но этим возможности системы не ограничиваются.

Когда вы вводите адрес сайта, устройство сначала пытается узнать, где находится его сервер. Для этого используется DNS.

Если сайт находится под блокировкой, фаервол может вмешаться в этот процесс и вернуть неправильный адрес или не дать получить нужный. В итоге браузер просто не сможет нормально подключиться к сайту.

Если этот этап удалось пройти, система может анализировать уже само соединение и определять, к какому ресурсу пытается обратиться пользователь.

Поэтому блокировка может происходить на разных этапах: при поиске адреса сайта, при соединении с сервером или уже при анализе трафика. Исследователи подробно изучали, например, масштабы DNS-фильтрации Великого китайского фаервола.

А что происходит с VPN

Вот здесь начинается самое интересное.

Обычный VPN работает так: пользователь сначала подключается к VPN-серверу, а уже через него открывает нужные сайты. Содержимое соединения при этом зашифровано.

Но фаерволу не обязательно понимать, что именно передается внутри.

Иногда ему достаточно понять, на что похоже это соединение.

Разные VPN и прокси-протоколы отличаются размером пакетов, порядком обмена данными и тем, как начинается соединение. По этим признакам система может заподозрить использование инструмента обхода блокировок.

Например, исследователи Great Firewall Report выяснили, что для обнаружения Shadowsocks система использовала одновременно анализ трафика и active probing – активную проверку серверов.

Работает это примерно так:

Пользователь подключается к серверу → фаервол замечает подозрительное соединение → сам отправляет серверу запрос → смотрит, как тот отвечает.

Если ответ выдает сервер, который используется для обхода блокировок, доступ к нему могут ограничить.

Причем технологии продолжают развиваться. Позже исследователи обнаружили, что Великий фаервол научился распознавать некоторые полностью зашифрованные соединения даже без активной проверки. Под ограничения попадали в том числе Shadowsocks, VMess и Obfs4.

Значит, VPN в Китае вообще не работают?

Не совсем.

Можно встретить много рассказов от жителей Китая и путешественников, у которых VPN продолжает работать. И это вполне реально: Великий фаервол не способен одновременно заблокировать вообще все способы подключения.

Freedom House отмечал, что заблокированные сайты через VPN и другие инструменты обхода продолжают открывать миллионы китайских пользователей. При этом ограничения постоянно усиливаются, а стабильность таких подключений может меняться в зависимости от сервиса, протокола, региона и даже конкретного периода времени. Подробнее об этом можно почитать в отчете Freedom House о китайском интернете.

Поэтому фраза «VPN в Китае не работает» слишком категорична.

Точнее будет сказать так: обычный VPN может не подключиться вообще, а более устойчивый к блокировкам сервис может продолжать работать. Но гарантии, что один и тот же способ будет стабильно работать всегда, нет.

Именно поэтому вокруг китайского фаервола уже много лет идет постоянная гонка: разработчики находят новый способ скрыть VPN-трафик – система учится его замечать. Появляется новая маскировка – начинается следующий круг.

Почему китайцы просто не переходят на VPN

На первый взгляд кажется, что если часть интернета заблокирована, все должны просто включить VPN.

Но на практике большинству пользователей это не так уж необходимо.

У Китая уже есть свои поисковики, соцсети, видеосервисы, магазины, платежные системы и приложения. Для повседневной жизни практически все необходимое находится внутри местной цифровой экосистемы.

Это хорошо показывает интересный эксперимент.

Исследователи дали примерно 1 400 китайским студентам возможность бесплатно обходить привычные интернет-ограничения. Но массового перехода на иностранные сайты не произошло: среди студентов, которых дополнительно никак не мотивировали, зарубежные новостные ресурсы использовали менее 5%.

Когда части участников начали давать небольшие денежные стимулы за чтение иностранных источников, интерес заметно вырос. А некоторые продолжили пользоваться такими ресурсами и после окончания эксперимента.

Подробнее эксперимент описан в материале Stanford University.

Исследователи пришли к интересному выводу: цензура работает не только потому, что технически закрывает доступ.

Если человек много лет пользуется привычными местными сервисами и получает там почти все необходимое, у него может просто не возникать сильного желания искать альтернативы за пределами этой системы.

Почему Великий китайский фаервол так интересен

За несколько десятилетий Китай превратил обычные интернет-блокировки в огромную техническую систему.

Она умеет блокировать сайты и серверы, вмешиваться в DNS-запросы, анализировать соединения, распознавать некоторые протоколы обхода и даже самостоятельно проверять подозрительные серверы.

При этом внутри страны вырос собственный интернет с огромными платформами и сервисами.

Поэтому Великий китайский фаервол – это уже давно не просто история про то, что «в Китае не открывается Google».

Это постоянная технологическая гонка между теми, кто строит блокировки, и теми, кто пытается их обходить.

Появляется новый способ подключения – система учится его находить. Появляется новая маскировка – начинается следующий круг.

И пока что эта гонка продолжается.