Can you summarize the following document?
        
  一般情況下,中國國家防火牆,即防火長城,主要指中國政府用於過濾網際網路國際出口上內容的軟硬體系統的集合。例如中國政府將查獲的特定網點阻斷,造成大家所熟知的連線錯誤現象,因此防火牆不是中國特有的一個專門單位,是由分散部門的各伺服器和路由器等裝置,加上相關公司的應用程式所構成,是一個軍民合作的大型資訊管制系統,世界其他一些國家也存在網路審查,不過其審查物件、規模、執行主體等均與中國的審查機制有著相當大的不同(參見:網際網路審查),例如僅止於金融洗錢、國際詐騙等犯罪行為,或者僅審查兒童色情相關。而防火長城的作用是監控所有經過國際閘道器的通訊,對認為不符合中共官方要求的傳輸內容,進行干擾、阻斷、遮蔽。由於中國網路審查廣泛,中國國內含有「不合適」內容的網站,會受到政府直接的行政干預,被要求自我審查、自我監管,乃至關閉,故防火長城主要作用在於分析和過濾中國境外網路的資訊互相存取。中國工程院院士、北京郵電大學前校長方濱興是防火長城關鍵部分的首要設計師,被稱為中國國家防火牆之父。  然而,防火長城對網路內容的審查是否沒有限制和不違反言論自由,一直是受爭議的話題,官方說辭也相當籠統。有報告認為,防火長城其實是一種圓形監獄式的全面監控,以達到自我審查的目的。而中共當局一直沒有正式對外承認防火長城的存在,如當有記者在外交部新聞釋出會上問及網際網路封鎖等問題的時候,發言人的答案基本都是「中國政府鼓勵和支援網際網路發展,依法保障公民言論自由,包括網上言論自由。同時,中國對網際網路依法進行管理,這符合國際慣例。」方濱興曾在訪談中被問及防火長城是如何運作的時候,他指這是「國家機密」。不過2015年1月與官方有密切關聯的《環球時報》則釋出報道曾公開宣揚其存在。  在中國大陸民眾內部,由於內部蓬勃的因特網企業,牆的存在感也逐漸被忽略,經過18個月的調查研究後,北京大學和斯坦福大學兩名經濟學家在2018年得出了結論,中國大學生對於獲取未經審查的政治敏感資訊漠不關心。他們給北京兩所大學的近1000名學生提供了能夠繞過審查的免費工具,但發現近半數學生並沒有使用它。在那些使用了的學生中,幾乎沒人花時間瀏覽遭到遮蔽的外國新聞網站。  中國還有一套公開在公安部轄下的網路安全專案——金盾工程,其主要功能是處理中國公安管理的業務,涉外飯店管理,出入境管理,治安管理等,所以金盾工程和防火長城的關係一直沒有明確的認定。

  

  防火長城對所有經過骨幹出口路由的位於TCP與UDP的53埠上的域名查詢請求進行IDS檢測,一經發現處於黑名單關鍵詞中相匹配的域名查詢請求,防火長城作為中間裝置會向查詢者返回虛假結果。由於通常的域名查詢沒有任何認證機制,而且域名查詢通常基於的UDP協議是無連線不可靠的協議,查詢者無法驗證返回結果的正確性,而TCP協議則可以使用TCP連線重置來中斷連線來阻止獲得返回結果。DNSSEC技術為DNS解析服務提供瞭解析資料驗證機制,理論上可以有效抵禦劫持。此外,DNSCrypt、DoT、DoH等方法通過將DNS請求封裝於安全連線內,以保護DNS請求中的資料不被中間傳輸裝置篡改。  從2002年左右開始,防火長城在國內進行域名伺服器快取汙染。作為DNS系統的組成部分,全球一共有13組根域名伺服器(Root Server)。2010年中國大陸有F、I、J這3個根域DNS映象,但曾因為多次DNS汙染外國網路,威脅網際網路安全和自由,北京的I根域伺服器曾被斷開與國際網際網路的連線。目前已恢復服務。  這種DNS汙染的方式曾經向中國大陸以外的使用者造成影響。2010年3月,當美國和智利的使用者試圖訪問熱門社交網站如facebook.com和youtube.com還有twitter.com等域名,他們的域名查詢請求轉交給中國控制的DNS根映象伺服器處理,由於這些網站在中國被封鎖,結果使用者收到了錯誤的DNS解析資訊,這意味著防火長城的DNS汙染已影響國際網際網路。2010年4月8日,中國大陸一個小型ISP的錯誤路由資料,經過中國電信的二次傳播,擴散到了整個國際網際網路,波及到了AT&T、Level3、德國電信、Qwest和西班牙電信等多個國家的大型ISP。  2012年11月9日下午3點半開始,防火長城對Google的泛域名*.google.com進行了大面積的汙染,所有以.google.com結尾的域名均遭到汙染而解析錯誤不能正常訪問,其中甚至包括不存在的域名,而Google為各國定製的域名也遭到不同程度的汙染(因為Google通過使用CNAME記錄來平衡訪問的流量,CNAME記錄大多亦為.google.com結尾),但Google擁有的其它域名如.googleusercontent.com等則不受影響。有網友推測Google被大面積阻礙連線是因為中共正在召開的十八大。  2014年1月21日下午三點半,中國網站的.com、.net、.org域名解析不正常,網站被錯誤地解析至65.49.2.178,該IP位於美國北卡羅來納州的Dynamic Internet Technology,即自由門的開發公司。據推測,可能是操作失誤造成的事故。  2015年1月2日起,汙染方式升級,不再是解析到固定的無效IP,而是隨機地指向境外的有效IP。剛開始只是對YouTube影片域名(*.googlevideo.com)進行處理,之後逐漸擴大到大多數被汙染的域名。這導致了境外伺服器遭受來自中國的DDoS攻擊,部分網站因此遮蔽中國IP。

  對攔截行為觀察發現,在早期技術實現中,會使用訪問控制列表(ACL)技術來封鎖特定的IP地址,由此延伸可以封鎖傳輸層協議(TCP或UDP)的特定目的埠的網路流量。不過由於大量的ACL匹配會導致網路效能不佳。現在主要是採用了效率更高的路由擴散技術封鎖特定IP地址,也就是通過將需要攔截的IP地址配置為空路由或者黑洞裝置上,然後通過動態路由協議將相應配置路由擴散到公眾網際網路網路中,從將條件匹配攔截行為轉為路由器的常規轉發行為,從而提高攔截效率。多見於自主擁有大量IP地址段的需要審查的企業中。

  2011年3月,防火長城曾經對Google部分伺服器的IP地址實施自動封鎖(按時間段)某些埠,按時段對www.google.com(使用者登入所有Google服務時需此域名加密驗證)和mail.google.com的幾十個IP地址的443埠實施自動封鎖,具體是每10或15分鐘可以連通,接著斷開,10或15分鐘後再連通,再斷開,如此迴圈,使中國大陸使用者和Google主機之間的連線出現間歇性中斷,使其各項加密服務出現問題。Google指責中國這樣的封鎖手法高明,因為Gmail並非被完全阻斷,營造出Google服務“不穩定”的假象,表面看上去好像問題出自Google本身。  2014年5月27日起,幾乎所有Google服務的80和443埠被封鎖。2014年12月26日起,Google數段IP被路由擴散封鎖,直接導致Gmail客戶端所用的IMAP/SMTP/POP3埠也被封鎖。

  TCP重置是TCP的一種訊息,用於重置連線。一般來說,例如伺服器端在沒有客戶端請求的埠或者其它連線資訊不符時,系統的TCP協議棧就會給客戶端回覆一個RESET通知訊息,可見RESET功能本來用於應對例如伺服器意外重啟等情況。防火長城切斷TCP連線的技術實際上就是比連線雙方更快地傳送連線重置訊息,使連線雙方認為對方終止了連線而自行關閉連線。有關技術已被申請為發明專利。  一般這種攻擊方法需要結合相應的檢測方式來實施,例如HTTP傳輸是未經過加密的,因此可以關鍵字過濾系統對傳輸網頁的URL和內容進行檢測。2012年10月下旬起,由於Google搜尋連結跳轉使用的是HTTP,部分使用者在點選搜尋結果連結跳轉時一直被卡住,一直卡了6分鐘之後客戶端傳送RST重置,然後頁面一片空白。  為了避免檢測,提出了多種協議加密的方法。  早期TLS版本中,伺服器握手響應,包括站點證書,是未被加密的,所以可以用於識別出訪問站點。自TLS 1.3開始,ServerHello之後的握手資訊,包括站點證書,也會被加密後傳輸,一般可以認為能防止對證書資訊的檢測。  伺服器名稱指示(SNI)是TLS的一個擴充套件協議,該協議下,在握手過程開始時客戶端告訴它正在連線的伺服器要連線的主機名稱。由於SNI資訊並非加密的,允許審查者區分出“真實”和“虛假”的服務或者識別出使用者訪問的網站域名。作為TLS的標準擴充套件實現,TLS 1.3將通過支援加密SNI以解決這個問題。Mozilla的Firefox在測試版中提供ESNI的草案性實現支援。

  

  因為有防火長城的存在,大量境外網站無法在中國大陸境內正常訪問,於是大陸網民開始逐步使用各類翻牆軟體突破防火長城的封鎖。針對網上各類突破防火長城的翻牆軟體,防火長城也在技術上做了應對措施以減弱翻牆軟體的穿透能力。通常的做法是利用上文介紹的各種封鎖技術以各種途徑打擊翻牆軟體,最大限度限制翻牆軟體的穿透和傳播。  同時根據中國大陸網民反映,防火長城現已有能力對基於PPTP和L2TP協議的VPN連線進行監控和封鎖,這使得大陸網民突破防火長城的封鎖變得更加困難。2015年1月起,部分國外VPN服務在中國大陸無法正常使用,這些VPN使用的是L2TP/IPSec和PPTP協議。

  防火長城通過提取加密流量資料包,分析其特徵,即可對破網軟體中的加密流量進行精準識別,並可進一步進行阻斷;有研究表明防火長城可基於卷積神經網路對Shadowsocks流量進行探測。

  Tor專案的研究人員則發現防火長城會對各種基於TLS加密技術的連線進行刺探,刺探的型別有兩種:

  

  從2011年5月6日起,中國大陸境內很多網際網路公司以及高校、學院、科研單位的對外網路連線都出現問題,包括中國科學院。有分析指斷網可能是因為防火長城已經具有了探測和分析大量加密流量並對使用者IP地址執行封鎖的能力,而各大機構的出口被封也在其中。具體表現為:當使用者使用了破網(翻牆)軟體後,其所在的公共網路IP地址會被臨時封鎖,所有的國際網站都無法訪問,包括MSN、iTunes Store等,而訪問國內網站卻正常,但如果使用境外的DNS解析域名則將會由於DNS伺服器被封鎖導致無法解析任何域名,國內網站也會無法開啟。也有分析指,此舉是中國當局在測試逐步切斷大部分人訪問國際網站的措施,以試探使用者反應並最終達到推行網路「白名單」制,也就是凡沒有在名單上的企業或團體其網路域名將不能解析,一般使用者也無法訪問。而中共黨機關報《人民日報》旗下的《環球時報》英文版則引述方濱興指,一些ISP必須為自己的使用者支付國際流量費用,因此這些公司「有動機」去阻礙使用者訪問國外網站。一位不願留名的工信部官員說,使用者碰到這些情況應先檢查自己和網站的技術問題。

  深度封包檢測(英語:Deep packet inspection, DPI)是一種於應用層對網路上傳遞的資料進行偵測與處理的技術,被廣泛用於入侵檢測、流量分析及資料探勘。就字面意思考慮,所謂「深度」是相對於普通的報文檢測而言的——相較普通的報文檢測,DPI可對報文內容和協議特徵進行檢測。  在中國大陸,DPI一度被ISP用於追蹤使用者行為以改善其廣告推送業務的精準性,而最近則被國外視為防火長城城賴以檢測關鍵詞及嗅探加密流量的重要技術之一。基於必要的硬體設施、適宜的檢測模型及相應的模式匹配演算法,防火長城能夠精確且快速地從實時網路環境中判別出有悖於預期標準的可疑流量,並對此及時作出審查者所期望的應對措施。  華為公司曾被媒體指責涉及向伊朗第一家全國性無限寬頻服務供應商MobinNet提供包含DPI技術的「合法攔截解決方案」,以幫助伊朗政府開展網路審查工作,但華為否認這一說法。

  IPv6(網際網路通訊協議第6版)是被指定為IPv4繼任者的下一代網際網路協議版本。  方濱興在他的講話《五個層面解讀國家資訊保安保障體系》中曾經說道:「比如說Web 2.0概念出現後,甚至包括病毒等等這些問題就比較容易擴散,再比如說IPv6出來之後,入侵檢測就沒有意義了,因為協議都看不懂還檢測什麼。」  自2014年8月28日起,原先可以通過IPv6直連Google的中國教育網(CERNET)內試圖通過https連線*.google.com.*等網頁時,可能收到SSL證書錯誤的提示,其中以連線https://www.google.com.hk/幾乎是每次連線均收到攻擊,而其它連線例如https://ipv6.google.com/和https://accounts.google.com/也有受到攻擊的報告,但攻擊發生的機率相對較低。偽造的SSL證書顯示其為google.com,頒發機構即為其本身,與真正的證書不同,顯示谷歌在中國教育網上受到中間人攻擊(MITM attack)。

  正常情況下,郵件伺服器之間傳輸郵件或者資料不會進行加密,故防火長城能輕易過濾進出境內外的大部分郵件,當發現關鍵字後會通過偽造RST封包阻斷連線。而因為這通常都發生在資料傳輸中間,所以會干擾到內容。也有網友根據防火長城會過濾進出境郵件的特性,尋找到防火長城部署的位置。  2014年12月26日,有很多中國大陸網民反映說一度無法通過客戶端登入到Gmail。在此之前,國內一些使用者可以通過IMAP、SMTP和POP3接收、下載郵件;據路透社報道谷歌旗下的Gmail業務已經被當局封鎖。12月30日,Gmail的郵件伺服器功能已在中國大陸境內恢復部分功能。但Gmail網頁版至今仍被遮蔽。

  中華人民共和國從2015年3月開始,使用一種被稱為“大炮”的網路攻擊攻擊方案,對可能涉及違反審查要求的特定網站,進行分散式阻斷服務攻擊(DDoS)。  其中2015年3月針對Github的攻擊,通過包括劫持常見的網站工具指令碼植入攻擊程式碼、一些常見瀏覽器漏洞等方法,持續五天對Github網站進行攻擊,導致網站全球訪問速度緩慢。中國政府否認有關指責。

  據2010年的估計,防火長城可能擁有數百臺曙光4000L伺服器。
防火長城(英語:Great Firewall,常用簡稱:英語:GFW,中文也稱中國國家防火牆,中國大陸民眾俗稱牆、網路長城、功夫網等等),是對中華人民共和國政府在其網際網路邊界審查系統(包括相關行政審查系統)的統稱。此係統起步於1998年,其英文名稱得自於2002年5月17日英語:Charles R. Smith所寫的一篇關於中國網路審查的文章《英語:The Great Firewall of China》,取與英語:Great Wall(長城)相諧的效果,簡寫為英語:Great Firewall,縮寫英語:GFW。隨著使用的拓廣,中文「牆」和英文「英語:GFW」有時也被用作動詞,中國網友所說的「被牆」即指網站內容被防火長城所遮蔽或者指伺服器的通訊被封阻,「翻牆」也被引申為突破網路審查瀏覽中國大陸境外被遮蔽的網站或使用服務的行為。