实战：用免费VPN突破网络应用限制

作者：追速 来源：IT168

　　【IT168 专稿】之前我们曾经为各位IT168网络频道的读者介绍了如何通过DMZ主机堡垒以及转移传输协议的方法来突破内网限制，提高内网下载和传输速度，今天我们继续来学习新的突破网络应用限制的方法，今天笔者为各位介绍如何利用免费的VPN来突破网络限制。

实战：转换传输协议提升内网传输速度

　　一，利用免费VPN突破网络限制的优势：

　 　之前我们介绍的DMZ主机堡垒设置法以及转移传输协议下载法都是为了能够大幅度提高下载和网络传输速度的，经过巧妙设置可以将原来几K每秒的下载速度变 为几十K甚至上百K每秒。而我们今天讲解的利用免费VPN突破网络限制的关注点和优势则并不在速度的提升，虽然我们可以通过接入免费VPN网络来提高网络 实际使用速度，但是他的精华和核心在于突破网络限制，通过接入免费VPN网络我们能够访问原来无法访问的站点，能够使用原来无法应用的网络服务。

　　如果说DMZ主机堡垒设置法以及转移传输协议下载法让我们的下载速度从少到多的提升，那么利用免费VPN突破网络限制则是让我们网络应用从“无”变为“有”，这样的改变是非常宝贵的，意义自然非同小可。

　　二，免费VPN接入的选取：

　 　实际上在互联网中有很多网站和公司都为我们提供了免费的VPN接入服务，但是我们不能够随意选择，因为一方面选择不当VPN接入后速度会非常缓慢，甚至 无法实现我们需要的突破网络应用限制功能;另一方面VPN实际上是为我们提供了接入另一个网络的服务，如果接入端对传输数据进行sniffer监听的话恐 怕我们使用VPN后再上网将没有任何隐私。正因如此我们要慎重选择免费VPN接入服务。

　　就个人经验来说市面上比较不错的提供免费VPN 服务的大部分都是国外网站，国内虽然有一些站点和公司提供相关服务但是都不太稳定，而且我们希望实现的是突破网络应用限制，因此选择国外的VPN接入服务 效果会更好。在这方面口碑比较好的免费VPN接入有hotspotshield以及linkideo，个人感觉前者比后者速度要快一点，但是后者在连接和 切换VPN网络时自身网络不会中断，前者则在连接使用时要断开本地连接一次。当然今天笔者主要以hotspot shield为例进行介绍，因为连接上这个VPN后在使用上限制更少。

三，用免费VPN突破网络应用限制：

　　相信不少IT168网络频道的读者已经迫不及待的想看看如何来接入免费VPN 突破网络应用限制，下面我们就来讲解具体实施办法，看看如何通过hotspot shield突破网络应用限制。和大名鼎鼎的Tor相比，Hotspot Shield有个共同点，它们的设计初衷都是为了网络安全，防止黑客们窃取你的信息。Tor利用的是经过N重服务器曲线救国，而Hotspot Shield则利用了一个我们都耳熟能详的技术——VPN(Virtual Private Network，虚拟专用网络)，与一般的VPN不同，一般VPN建立的是电脑与机房服务器的特殊通道，Hotspot Shield利用了光纤以外的另一个网络——wireless network。Hotspot Shield的特点是利用Wi-Fi(Wireless Fidelity，无线保真)技术，把有线和无线结合起来。

　　第一步：首先我们访问hotspot shield的官方站点，在地址栏处输入http://anchorfree.com/downloads/hotspot-shield/后回车。(如图1)

　　第二步：接下来我们点右边的hotspot shield图标将自动切换到下载页面，我们可以使用下载工具来将hotspot shield安装程序下载到本地硬盘，该程序只有3MB容量。(如图2)

　　第三步：下载完毕运行安装程序，同意许可协议然后设置安装目录，默认是安装在c:\program files\hotspot shield下，我们点install按钮开始安装。(如图3)

　　第四步：复制必须文件到本地硬盘，在安装过程中hotspot shield会关闭部分进程。(如图4)

第五步：全部安装完毕后点finish按钮关闭并启动我们的hotspot shield。(如图5)

　　第六步：我们的hotspot shield连接和状态查询等操作都是通过页面的形式完成的，实际上他开启了一个WWW服务，默认的开启端口是895。从状态中我们可以看到当前VPN的连接状况。(如图6)

　 　第七步：点show config选项后可以看到更加详细的连接和使用情况，当我们看到VPN IP ADDRESS处有地址以及VPN SERVER ADDRESS处有信息时表示我们的VPN网络顺利连接了，同时通过状态查询界面我们可以看到通过VPN网络通讯的数据包容量大小。和其他内网一样通过 hotspot shield连接VPN网络后将获得一个诸如10.*.*.*的IP地址，这个是内网地址。(如图7)

　　第八步：与此同时在我们系统桌面的右下角的任务栏处可以看到一个绿色的字母C图标，这个就是hotspot shield程序，连接状态下是绿色的，断开状况下是红色的。(如图8)

　第九步：连接了VPN网络后我们再次使用网络应用程序，你会发现自己的IP地址发生了改变，因为我们连接的是国外的VPN服务器，自身通讯也都通过该VPN服务器完成。在QQ登录时可以看到本次登录地点为“美国”。(如图9)

　　第十步：同时连接了VPN后我们之前无法访问的地址就能够显示出具体的信息了。(如图10)要知道对应的地址站点在没有连接VPN网络时访问会出现“无法显示网页”的错误提示。(如图11)

　 　第十一步：至此我们顺利完成了通过hotspot shield连接VPN网络，并利用这个VPN网络访问之前无法访问的站点资源的目的，同时笔者也测试了此VPN的传输速度，发现在通过国内服务器下载数 据时可以达到接近70KB/S的速度，这个速度对于日常观看在线视频和浏览站点已经是足够了。(如图12)

　　小提示：

　　当我们用免费VPN突破网络应用限制后也存在一些缺点，那就是在访问国内服务器或相关站点时速度会有所降低，毕竟我们是通过国外VPN服务器完成数据通讯的。

　　四，总结：

　 　通过hotspot shield连接免费VPN来突破网络只在正常情况下无法访问目的地址时才使用，需要注意一点的是在我们连接VPN后当前使用的各个网络服务和程序都将自 动断线一次并重新连接，所以建议我们关闭所有网络应用后再连接hotspot shield的VPN服务器，这样可以最大限度的减少断线带来的麻烦。

firefox tor pac

转自：nyoi.org

承接前文.

相比其他扩展,foxyproxy最有特色的是它的pattern功能,它能指定某些网站自动使用某个代理,不像其他的比如torbutton之类还需要 手动切换使用状态.不过其实这个功能很久以前就出现了,似乎比firefox还要早一些,而且实现起来比foxyproxy要简单直观很多.

说起来好像很神秘的样子,其实也就是很久以前就被几乎所有浏览器支持的pac而已.

firefox

ie7

根据wiki上的说明,pac 就是一个普通javascript脚本,有一定基础的写起来应该不会很费劲,有能力有兴趣的可以看看微软的教程,没能力有兴趣的就根据下面这个自己修改添加网址,最后保存为*.pac就可以.

function FindProxyForURL(url, host) {
if (shExpMatch(url, "*.appspot.com/*")) { return "SOCKS 127.0.0.1:9050"; }
if (shExpMatch(url, "*.wikimedia.org/*")) { return "SOCKS 127.0.0.1:9050"; }
if (shExpMatch(url, "*.windmoonland.net/*")) { return "SOCKS 127.0.0.1:9050"; }
if (shExpMatch(url, "*.wordpress.com/*")) { return "SOCKS 127.0.0.1:9050"; }
if (shExpMatch(url, "*.dreamhosters.com/*")) { return "SOCKS 127.0.0.1:9050"; }
if (shExpMatch(url, "*.torproject.org/*")) { return "SOCKS 127.0.0.1:9050"; }
return "DIRECT"; }

比起foxyproxy麻烦的管理方式,pac要简单很多,但是同时也存在一些不足之处,启用或停用代理必须修改pac并重新载入,不像各种扩展可以手动 切换;另外经过pac使用tor的话,不会使用远程dns解析---即使你已经设置启用,tor对每个请求都会跳出警告,你解析ip的时候,网站地址会在 dns服务器上留下记录.如果是确实需要安全的情况,还是不要使用pac比较好.

最后还有一点需要提一下,其实foxyproxy也支持pac并可以设置自动刷新时间,不过既然选择是用pac,应该就没必要为了那个小功能特意装一个很麻烦的扩展了.

论群体性事件与网络舆情

作者：彭知辉 来源：上海公安高等专科学校学报 转自：人民网舆情频道

摘 　要：网络舆情是群体性事件发展演变的一个重要因素。其主要特征有：流言广泛传播，难以实施有效控制；信息传播速度快、范围广、影响大；信息交流呈现非理 性化、情绪化倾向。网络舆情常直接引发群体性事件，或间接推动群体性事件的恶性发展。为加强群体性事件网络舆情的监控与引导，应重视网络维稳信息的收集与 研判；加强网络管理，完善网络把关；建立网络舆情控制与引导机制；充分发挥大众传媒的作用，形成舆论强势；建立网络评论队伍，引导网络舆情。

关键词：群体性事件；网络舆情；临控；引导

当 前，我国正处于机制转轨、社会转型的过程中，各类群体性事件不断发生，严重影响了社会稳定。在群体性事件发生、发展过程中，网络媒体有关群体性事件的报 道、评论及相关信息传播，形成了较具社会影响力的网络舆情，使群体性事件进一步聚集、扩大，从而加大了党政机关预防与处置群体性事件的难度。准确把握群体 性事件网络舆情的特征，加强网络舆情监控与引导，是党政机关预防与处置群体性事件工作中的一项重要内容。

一、 群体性事件网络舆情的特征所谓舆情，是指在一定的社会空间内，围绕中介性社会事项———国家管理者制定和推行的法律法规、方针政策、工作措施，以及影响民 众利益及主客体利益关系变化的事件、人物等———的发生、发展和变化，作为主体的民众对作为客体的执政者及其所持有的政治取向产生和持有的社会政治态度。[ 1 ] 舆 情作为民众的社会政治态度，在本质上始终贯穿了民众与国家管理者之间不断变动的相互利益关系，是一种以民众和国家管理者之间对立与依存的利益关系为基础的 社会政治态度。群体性事件是民众受特定的中介性社会事项刺激，聚众以非法的形式或手段来表达意愿的一种群体行为。作为一种社会现象，它反映出部分民众对国 家管理者表示不赞同甚至反对，体现了民众与国家管理者之间在利益方面的“非一致”与“非和谐”状态。群体性事件是反映舆情的窗口，体现出舆情主客体之间关 系呈现“问题状态”，是舆情状况的非正常表露或极端的外化形式。[ 2 ]随 着网络的快速发展和广泛应用，利用网络组织、策划群体性事件，或围绕已发生的群体性事件进行网上炒作，已成为群体性事件发展的一个新动向。由于网络信息传 播的多样性、开放性、互动性和匿名性等特点，党政机关难以对网络实施有效的监控，网络成为信息交流传播的重要发散地，网络舆情成为群体性事件发展演变的一 个重要因素。所谓群体性事件网络舆情，是指民众以网络为平台，借助网络论坛（BBS） 、网络聊天（Chatting） 、博客（Blog） 、维客（Wiki） 、电子邮件（E - mail） 及网络新闻组（Usernet News） 等网络工具，围绕即将发生或已经发生的群体性事件发布信息，所表达出来的社会政治态度。群体性事件网络舆情具有以下特征：

（一） 流 言广泛传播，难以实施有效控制网络是一个开放式的平台，具有互联互通、快速即时、匿名隐身、跨地域无国界等特点，任何人、任何组织都不可能完全垄断信息的 传播渠道。每一个网民，无论其身份、职业、政治背景、信仰或党派团体，无论何时何地，都可以不受过多限制地发表意见、观点，自由表达利益诉求。[ 3 ] 群 体性事件涉及社会稳定大局，所以，事件发生后，基层政权往往习惯于封锁消息，不允许媒体公开报道。然而，借助网络媒介，网民可以及时发布事件相关信息，毫 无顾忌地发表意见和观点。对传统的大众传播媒体，国家和政府不难实施社会控制，可通过制定有关法律、法规和政策，来保障媒介活动为国家制度、意识形态以及 各种国家目标的实现服务。控制手段包括对媒体的活动进行法制和行政的管理，对媒体的创办进行审批登记；限制或禁止某些信息内容的传播；分配传播资源；等 等。然而由于网络传播容量的无限性、物质载体的无形性、信息传播的自由性等，这种控制对于网络传播来说几乎是不可能的。[ 4 ] 首 先，在时间和空间上难以进行有效控制。网络信息的即时性和跨地域性，决定了网络舆情在时间和空间的把握上难以进行有效控制。其次，网络舆情形成快、传播 广，给适时采取措施、有效加以控制带来了难度。第三，信息内容难以控制。虽然现有的技术手段能够将内容进行部分过滤和删减，但这并不能保证所有的网站、论 坛不出现类似的言论或内容。况且，很多网站都在境外，根本无法对其内容进行控制和管理。由于网络媒体的开放性、虚拟性、自由性和多样性，网络信息的真实性 和可信度低，不可避免会滋生流言。在群体性事件发生过程中，由于网络监控的缺席，官方舆论的“失语”，或政府信息得不到民众的信任，各种消息、言论在网络 蔓延，小道消息、社会流言占据了信息传播的主渠道。一些网络媒体为了吸引受众，置正确的舆论导向于不顾，将道听途说的消息编发上网，转发或引用虚假新闻和 有害信息以误导民众。一些网民对网络所发布的信息，不去质疑其真实性，随意改编、传播，又形成新的流言。[ 5 ] 由于群体性事件网络信息的混乱、错误，容易在民众中引发各种猜疑、谣传甚至恐慌，给群体性事件处置造成非常不利的影响。

（二） 信 息传播速度快、范围广、影响大互联网打破了时间、地域的限制，各种类型的信息几乎能实时发送并接收，信息传播速度相当快；也可以传递到任何一个拥有互联网 的角落，信息传播范围广。群体性事件一旦发生，相关信息就会即时在网络论坛、博客等上面出现。网络还为组织、策划群体性事件提供了快捷的方式，通过聊天网 站、电子邮件、网站论坛等，可以迅速传递活动的地点、时间、路线、口号等方面的信息，特别是利用网络向手机群发短信这一功能可以在极短的时间内把信息发往 四面八方。在网络信息传播中，信息的接收者同时具有传播、发布信息的自由，信息发布者与信息接收者一体化，两者分界模糊。由于这种交互性特征，网络信息传 播往往能产生较大的社会影响。群体性事件发生、发展过程中，在官方封锁信息、保持沉默，或者传统媒体虽有报道，但谨小慎微、语焉不详的情况下，有关群体性 事件的各种报道和评论已经在网络广泛传播开来了。网络满足了民众的信息需求，成为群体性事件信息来源的主要渠道。一些有代表性的帖子，通过反复转帖，在网 上迅速扩散；一些言论由点到面，由小到大，很快就会形成舆论，产生社会影响。

（三） 信 息交流呈现非理性化、情绪化倾向网络舆论是个“自由超市”，每个网民都可借助虚拟身份畅所欲言。由于网络的匿名性，大家都处在一种没有社会约束力的状态 下，这容易使人失去社会责任感和自我控制能力，在法不责众心理的支配下，一些缺少自律意识的网民在发表言论时采取偏激的态度，进行个人情感宣泄。同时，在 网络环境下，网民以群内同质化、群际异质化的特点聚集，志同道合的网民群体出现严重的“群体极化”倾向。这种倾向表现为：网民一开始即有某些偏向，在网上 通过交往后，便朝偏向的方向继续移动，最后形成极端的观点。这种“群体极化”现象容易造成过于同质化的圈内舆论，从而使社会失去对他们的控制，进而危及社 会的稳定。[ 6 ] 当 前，由于社会各个阶层、群体利益的调整，抱怨、焦虑、困惑、不满等社会情绪较为普遍地存在着。群体性事件是各种社会矛盾的综合、集中反映，它一旦发生，就 容易触发、激化民众的这些不良情绪，并借助网络媒体排解、宣泄。因此，围绕群体性事件，一些非理性的、偏激的言论在网络广泛传播。此外，由于官方隐瞒事 态，运用行政权力对报纸、电视等媒体进行控制，不允许报道群体性事件，或者传统媒体对群体性事件报道滞后，致使民众对党政机关和传统媒体不信任，在叛逆心 理和怀疑精神的支配下，民众容易倒向网络媒体一边，使这种非理性化、情绪化倾向加剧。

二、网络舆情对群体性事件的影响控制是维护社会稳定的手段。美国学者戴维·波普诺指出：“控制是指对人们的行动实行制约和限制，使之与社会规范保持一致的社会过程。”[ 7 ] 网 络媒体给政府的社会控制带来了挑战。传统媒体是通过“把关人”程序来控制信息的产生与传播的。众多信息到达传媒组织之后，信息要经过媒介组织的层层把关。 记者、编辑根据一定的新闻价值、政治标准、价值观念等，对它们进行选择加工后，才能传播给受众。“把关人”机制是报纸、广播、电视等传统媒介控制与引导舆 论的一种重要方式。但在网络媒体中，任何个人和组织都可以发布和接收信息，传受双方角色模糊。传播主体— 47 —的多元化、信息传播的自由化，给网络把关带来了困难，任何组织和个人都不再能完全决定和控制所传递信息的内容。由于网络传播把关功能的缺失和弱化，网络舆情常直接酿成了群体性事件，或间接推动了群体性事件的恶性发展。

（一） 网 络舆情引发群体性事件网络媒体为民众提供了一个及时、多向、交互式信息交流的平台。在访问和在线人数密集的论坛、社区以及博客等，一些帖子通过反复转载， 或者通过即时聊天、电子邮件等方式传播，引起广大网民的关注，就会形成网络舆情。受某些普遍关注的社会政治事项的刺激，网民利用网络大规模发布、传播某一 方面信息，发泄不满，以网络信息技术为依托，互相沟通、串联，进行策划、组织和联络，极易演变为带有特定诉求的群体性事件。[ 8 ] 目前，这类群体性事件在我国还不常见，但它发展迅速，影响极大。例如，2005 年在北京、上海和深圳等地发生的“涉日游行”活动中，因日方在历史等一系列问题上的错误态度，引发人们的不满情绪。民众自发通过网络QQ、手机等组织反日活动，传播游行示威的信息，结果参与者在很短时间内聚集起来，打出统一的标语口号，按照统一的路线行进，实施了统一的示威活动。再如，在厦门反PX（对二甲苯） 项目游行活动中，厦门市民通过手机短信、网络呼吁民众关注厦门海沧PX 化工项目，号召市民反对PX 项目，并组织集体行动，甚至还采用短信与网络相结合的方式，在博客上进行了游行活动的全程现场报道。[ 9 ] 此 外，境内外敌对势力常利用各种社会矛盾制造事端，在网络上发布信息，煽动、蛊惑民众进行破坏社会稳定的活动。例如，河北省天主教事件经过政府、公安机关和 正义宗教组织大量的说服教育工作，基本上已经完满的解决了。但是，一些对政府心存不满的教徒通过互联网与国外的天主教进行串连，在教民中挑拨与政府的矛 盾，恶意丑化社会主义制度，使本来已经平息的事态又出现了死灰复燃的迹象。[ 10 ]

（二） 网 络舆情推动群体性事件的恶性发展在群体性事件发生、发展过程中，网络媒介参与其间，会产生许多负面影响。首先，由于网络媒体不真实、不适当的信息传播，甚 至歪曲事实的报道，情绪化的、偏激的评论，往往会误导民众，对事件的发展起到了推波助澜的作用。其次，当民众受到网络虚假信息的鼓动，一些群体性事件可能 造成甲地骚乱、乙地声援、丙地联动的情况，朝着规模更大、危害更加严重的方向发生变异。第三，群体性事件往往暴露了社会的丑陋面和诸多的负面信息，而网络 媒体不加过滤，有意或无意地放大渲染，过度宣传社会阴暗面，会对民众的思想形成强烈冲击，容易产生情绪低落、埋怨、激愤的反社会心理。而且，由于网络的匿 名性削弱了信息发布者的责任感和受到社会惩戒的担心，有时会诱发一些人的破坏欲望。[ 11 ] 例如，在“1·17”四川大竹群体性事件中，张某捏造“杨代莉是被三个高官在酒中下药后轮奸致死的”等内容，在网络论坛发布，被广为传播，正是这样的谣言使民众情绪迅速升温，导致打、砸、抢、烧的发生。[ 12 ]

三、群体性事件网络舆情的监控与引导有效防范和妥善处置群体性事件，是维护我国社会稳定的一项重要工作。当前，网络媒体对群体性事件的影响力日趋扩大，党政部门应该采取积极措施，加强对网络舆情的监控和引导。

（一） 重视网络维稳信息的收集与研判群体性事件是影响社会稳定的一个重要因素，这些影响社会稳定的信息一旦在网络上传播，就会造成难以预料的社会影响，有可能使事态扩大，甚至会使局部问题全局化、简单问题复杂化、经济问题政治化。[ 13 ]为 此，党政机关应密切关注互联网信息动态，有效防范和打击利用网络进行各种危害社会稳定的活动。有关部门要对网络信息实施全时监控，指派专门人员负责掌控网 络舆情动向，及时发现不利于社会稳定的信息。重点关注社会影响较大的一些网络论坛、博客等，记录帖子的主题及回帖数量，获取发帖人的相关信息和发帖人的计 算机网络地址等；加强网络舆情信息的分析研判，通过对零散、初级的信息进行汇总、梳理、归纳，形成有情况、有思想、有深度的舆情信息；认真研究以网络为依 托的群体性事件的发生、发展规律和趋势，为党政部门预防和处置群体性事件提供对策或建议。

（二） 加 强网络管理，完善网络把关政府部门要通过行政手段和法律手段加强对网络的管理。我国相继颁布了《关于维护互联网安全的决定》、《互联网信息服务管理办 法》、《互联网站从事登载新闻业务管理暂行规定》、《互联网电子公告服务管理规定》、《互联网出版管理暂行规定》等一系列法律、法规。党政机关应通过强有 力的行政手段保障这些法律法规的执行，加强对网络媒体的准入许可、监督管理和违规处罚，督促网络媒体控制信息传播活动。传统“把关人”的角色在网络传播中 已经发生了变化，应根据网络媒介的特点，加强对网络信息的把关，完善群体性事件信息在网络传播过程中的过滤机制与控制机制。首先，要明确网络经营者的“把 关”职责。按照“谁主管、谁负责，谁经营、谁负责”的原则，实施对— 48 —网 络信息进行核实、筛选，去伪存真、消除信息污染的“把关”行为，保证网络经营者对其管理范围内的信息传播负责。其次，运用各种技术手段对有关群体性事件报 道和评论的虚假信息、负面信息进行过滤。要求论坛管理员或版主删掉某些不利于社会稳定的不良帖子，维护论坛秩序。第三，推出发帖规则，对发布不严肃言论的 网民利用技术手段提出警告或者限制其发帖。

（三） 建 立网络舆情控制与引导机制在网络信息传播渠道多元化的传媒环境下，网络信息交流是平等互动的，只有增强“疏”的理念，尊重网民意见的自主性，才能获得网民 的认同。党政机关应根据群体性事件网络信息传播情况，加强网络舆情的正面引导，控制和引导舆论走向，为群体性事件处置营造有利的网络舆情环境：1. 建 立网络舆情快速反应机制。在网络传播环境下，党政机关已不再拥有信息的优先发布权和控制权。在群体性事件发生、发展过程中，封锁信息或者反应滞后，往往会 失去制造舆论的先机，导致舆论引导中的被动。党政机关应根据群体性事件网络信息传播情况，及时发布客观、公正、翔实的权威信息，戮穿政治流言、谣言，控制 和引导舆论走向。2. 建 立平等交互、以“疏”为主的舆情疏导机制。在网络信息传播渠道多元化的传媒环境下，对信息采取“堵”的保守、被动方式，往往会导致虚假信息的传播，进而产 生谣言，造成背道而驰的宣传效果。网络信息交流是平等互动的，网络舆情引导应尊重受众意见的自主性，尽可能获得网民的认同。必须增强“疏”的理念，大力加 强网络舆情的正面引导，为群体性事件处置营造有利的网络舆情环境。3. 建立信息公开制度。在群体性事件信息已在网络媒体和其他大众传媒广泛传播的情况下，党政部门应当及时公布事态的真相，用统一的、强大的口径把握舆论导向，使民众能够及时全面地了解事实，以减少民众的猜疑和恐慌，进而减少网络舆情的负面影响。

（四） 充 分发挥大众传媒的作用，形成舆论强势群体性事件发生后，基层政权习惯于向公众封锁消息，而不是通过大众传媒及时地、有针对性地发布信息，使得党和政府失去 了引导舆情的主动权。在互联网、手机短信等信息传播手段多样化、传播对象大众化的情况下，信息不可能被封锁，小道消息、社会流言反而占据了信息传播的主渠 道。群体性事件大多会引起公众的普遍关注。当事件爆发时，公众会比平时更依赖媒体，他们急切想了解发生了什么，周围的人们在做什么，决策部门在做什么。这 时，大众传媒恰当、适时的报道有助于安抚民心，有助于社会秩序的恢复和稳定。报纸、广播、电视等传统媒体社会覆盖面广、社会公信力强，党政部门应适当放宽 大众媒体对群体性事件的报道，充分利用这一容易控制的传统媒体，消除谣言，澄清事实，满足民众的信息需求。党委政府应与有关电视台、广播电台、报社建立互 动机制，及时将党政部门对群体性事件所作出的反应、采取的工作措施、办理查处的结果等反馈和回复给相关新闻单位。为消除网络有关群体性事件不实报道、蓄意 炒作和刻意渲染的影响，党政部门可采用“网上来网上去”的方式，开展网上舆论斗争，即应发挥党委政府网络媒体的作用，及时发布权威信息，树立网上言论中心 的地位，让党委政府网络媒体主导舆论传播阵地，形成网络舆论的强势。

（五） 建 立网络评论队伍，引导网络舆情根据“议程设置”理论，传播媒介在一定时间内对某个事件和问题的突出报道会引起公众的普遍关心和重视，进而使之成为社会舆论 的中心议题。在互联网环境下，通过“议程设置”，可以促进网络舆情的理性化，形成网上健康的、强势的主流舆论。在群体性事件网络舆情引导工作中，可建立专 职与兼职相结合的网络评论队伍，让他们登陆具有较大影响的各大网站论坛，以普通网民的身份发表意见和看法。针对一些热点问题发布有深度、有说服力的帖子， 引导网民了解事实真相，客观分析问题，理智作出判断。针对网民易受权威左右的特点，可加强引导者的权威性，邀请相关专家参与网民的讨论，直接提供专家对事 件的理解，或在线回答网民提出的问题。

网络舆情联动应急机制初探

作者：陶建杰 转自：人民网舆情频道

网络舆情，有人将其定义为“互联网上流行的对社会问题的看法或言论”①，也有人认为“互联网上传播的对某一焦点事态所表现出的多数人的有一定影响力的共同 意见或言论”②。本文将网络舆情定义为通过互联网传播的公众对现实生活中某些热点、焦点问题所持的有较强影响力、倾向性的言论和观点，主要通过BBS论 坛、博客、新闻跟帖、转帖等实现并加以强化。

　　由于互联网具有虚拟性、隐蔽性、发散性、渗透性和随意性等特点，越来越多的网民乐意通过 这种渠道来表达观点、传播思想。对相关政府部门来说，如何加强对网络舆论的及时监测、有效引导，以及对网络舆论危机的积极化解，对维护社会稳定、促进国家 发展具有重要的现实意义，也是创建和谐社会的应有内涵。

　　网络舆情的联动应急机制，指政府管理部门及其他相关职能机构，对网络舆情尤其 是负面舆情的监测预警与控制，从而实现有效化解网络舆论危机的目的，包括监测、预警、应对三个环节。在监测环节，有关人员和系统对网络舆情的内容、走向、 价值观等方面进行密切关注，将最新情况及时反映到有关部门；在预警环节，对内容进行判断和归纳，哪些会对社会稳定造成负面影响，哪些容易引发激烈的社会矛 盾，哪些是全社会普遍关注的……对这些正在形成、有可能产生更大范围影响的舆论进行筛选，为接下来可能发生的网络舆情走向做好各种应对准备；在应对环节， 当网络舆情变为现实的网络舆论危机事件后，有关政府部门采取的具体行动，如何化解危机、消除不良影响。这三个环节有机组合，从整体上构成了网络舆情联动应 急机制。

　　网络舆情监测

　　网络舆情监测体系的建立主要依靠两方面保障：一是人力、资金等物质方面的保障，二是计算机软件系统等技术方面的保障。

　 　就物质保障而言，各地政府相继成立了专门负责网络舆情分析的机构，由专人组成若干小组，24小时不间断对重点网站的舆情、重点论坛进行监控。各下属职能 单位和部门，尤其是卫生、教育、交通等和老百姓日常生活密切相关的部门，也不同程度上由专职或兼职人员承担起本部门内的舆情监测任务。此外，对网络舆情较 集中的场所如各高校的BBS，通过诸如聘用学生作为兼职的“网络调研助管”等方式，密切关注学校BBS和校外主要网站动态。通过各层次、各领域建立起来的 组织机构，从物质、制度、资金、人力等方面，保证了网络舆情监测体系的日常运作。

　　就技术保障而言，要监测网络舆情，少不了及时有效的 信息搜集、信息处理、信息研判、信息反馈、信息决策系统，这就需要有强有力的技术系统尤其是一套高效的计算机软件系统。对舆情信息的监测与分析必须要浏览 和查找海量的网络信息，包括网络新闻报道、相关评论、网络论坛等，从这些信息中提取与事件相关的舆情信息，然后分析舆情信息的时间与空间分布情况，再通过 多种手段和渠道进行正确的舆论方向引导。可见，随着互联网技术的不断更新，网络舆情监测和舆情分析有必要通过与之相匹配的科技手段来进行。

　　正是依托了物质和技术两大体系，网络舆情监测部门才能对舆情信息进行评估，分析规划舆情监控内容，形成舆情预警信息。同时，根据舆情的监控级别规划新的监控内容，开始新的监控周期，形成一个具有生命特征的周期往复的社情民意反馈系统。

　　从类型上看，网络舆情监测分为日常监测和突发事件监测两种。

　 　日常监测，指将网络舆情监测作为本部门的一项日常工作不间断进行，随时掌握网络舆论的导向、特点和趋势。日常监测的意义在于，随时了解网络舆论的动态、 方向；一旦发现有不利于社会稳定、重大的虚假舆情，可以及时反馈到有关部门；通过“舆论领袖”等手段，对日常舆情进行引导；为有关部门提供社会舆情方面的 决策支持。

　　突发事件监测，尤指当发生群体性突发事件时，对相关网络舆情的监测。突发事件的变化因素多，内部关系较为复杂，发展趋势难 以预测，相关信息纷繁复杂，给管理机构的信息判断和决策增加了难度。另外，由于突发事件中的矛盾双方往往处于对立状态，影响或阻碍了原有信息沟通渠道的正 常功能，从而给各种“小道消息”提供了填补信息真空的机会。此类事件突发性强、社会影响大、给决策者思考的时间短，如果不及时准确获得最新信息并加以判断 处理，产生的后果非常严重。而巨大的压力使决策者很难从容地对所有信息进行采集、整理和判别，一些有价值的信息可能被遗漏或者忽视，从而对处理决策产生误 导。因此，在突发事件出现时，完善的舆情监测机制、及时有效的舆情信息汇集和分析，全面掌握与该事件密切相关的各种信息，极其重要。

　　网络舆情预警

　　网络舆情预警是指从危机事件的征兆出现到危机开始造成可感知的损失这段时间内，化解和应对危机所采取的必要、有效行动。网络舆情的预警流程主要包括以下环节：

　　1.制定危机预警方案。针对各种类型的危机事件，制定比较详尽的判断标准和预警方案，以做到有所准备，一旦危机出现便有章可循、对症下药。

　　2.密切关注事态发展。保持对事态的第一时间获知权，加强监测力度。

　 　3.及时传递和沟通信息。即与舆论危机涉及的政府相关部门保持紧密沟通，建立和运用这种信息沟通机制，已经成为网络舆情管理部门的重要经验。以上海为 例，无论在涉日舆情、地铁调价，还是普陀城管打人等“网络热点舆情”处理上，各部门协同作战、相互配合、共同商议，判断危机走向，对预案进行适当修正和调 整，以符合实际所需是危机应对的重要措施。

　　网络舆情预警的意义在于及早发现危机的苗头，及早对可能产生的现实危机的走向、规模进行判 断，及早通知各有关职能部门共同做好应对危机的准备。危机预警能力的高低，主要体现在能否从每天海量的网络言论中敏锐地发现潜在危机的苗头，以及准确判断 这种发现与危机可能爆发之间的时间差。这个时间差越大，相关职能部门越有充裕的时间来准备，为下一阶段危机的有效应对赢得了宝贵的时间。

　 　2005年8月15日是世界反法西斯战争胜利60周年纪念日，日本首相小泉纯一郎于当天参拜靖国神社的举动引起网民极大愤慨。为有效控制、理性引导网上 涉日舆情，上海市网络舆情管理部门未雨绸缪，8月11日起就密切关注境内外中文新闻类网站、外电有关报道和评论、网民留言情况，及时把握媒体对小泉动向的 报道以及网民情绪发展动向。在制定周密预案的同时，有关部门及时和各大网站进行沟通，协同作战，共同做好危机事件的预警。通过网络管理平台向全市100多 家影响较大的重点网站（含新闻网站、登载新闻网站、论坛网站、918爱国网等网站）发出《关于近期加强论坛等互动栏目管理的通知》、《关于加强网上涉日报 道管理的通知》等两则通知。上海网络宣传管理办公室还加强了监测力度，做到专人专项24小时值班，在第一时间内把最新情况通报有关部门。正是采用“预案＋ 协同作战＋全方位监测”三合一的立体预警模式，使上海顺利度过了“8·15”舆情危机。

　　网络舆情应对

　　从上海等地的情况看，完善有效的网络舆情应对，必须要依托：

　　1.强大的组织保证和物质、技术支持。如上海市专门成立网络宣传管理办公室，与各大互联网站建立紧密的联系、沟通机制，通过网络编辑业务培训和资格认证制度加强网络舆情管理队伍的素质。

　 　2.制定一套较为成熟的网络舆情日常监测制度。各地危机预案正在或者已经制定，尤其是面对突发事件，能够在短时间内制定高质量的预案。以“8·15网络 涉日舆情”为例，预案内容包括通知上海所有新闻网站，对相关消息不做头条、不开专题、不开设新闻留言板、不在论坛中讨论；加大监看力度，遇有相关敏感信息 及时专报。15日、16日两天，编制关于“小泉参拜靖国神社的相关新闻网上传播情况及舆情态势专报”；监看中如发现上海网站及其论坛上，如有过激言论或负 面信息，立即删除并报告；传统主流媒体评论部做好素材与引导文章准备工作等。

　　3.遇到重大突发事件，能够在短时间内调动和整合各种力 量，形成联动，产生危机应对的合力。以“地铁调价”为例，网管处指定专人积极与公安、通管局加强联系，及时沟通，及时处理；公安、通管局也指定专人与网管 处联系，各部门间建立起了稳定、顺畅、高效的沟通渠道。这对于提高处理违规网站的时效，及时应对突发热点起到了关键作用。

　　4.危机事件后的系统有效评估。内容包括危机情况、采取措施、对下一阶段走向的研判、对前一阶段应对的总结、反思与建议等。从某种意义上说，如果有好的评估机制，每经历一次危机，就是对管理部门应对网络舆情危机能力的提升。

　　尽管如此，由于网络传播是新事物，而网络舆情更是一个全新的课题，尤其当出现重大突发网络舆情危机时，在很多方面因缺乏足够的经验而尚待改进。

　 　1.对网络舆情监测范围有待扩展。很多城市，对网络舆情危机的日常监测，目前主要集中于卫生、教育等与老百姓日常生活联系密切的领域。事实上，社会生活 中的任何领域，都有可能引发大的负面网络舆论，进而形成危机事件。因此，适当扩大监测范围，扩大监测机构的人员规模，是今后努力的方向之一。

　 　2.预案大多是原则性规定，缺少具体的操作指导和演练。要做到预案求实，不仅要有危机发生后应对各种可能情况的多套行动（遏制危机、处理、消除危机，重 建或恢复正常状态）方案，更要通过教育、培训、演练或计算机模拟、培养，提高领导者的指挥能力和职能部门的应变能力。从现有情况看，在制定网络舆情危机预 案时，还有相当部分预案比较粗线条，也缺乏对预案内容的日常培训和演练。一个优秀的预案，就是一本好的操作手册，对危机发生时的具体步骤，都作了明确而细 致的规定。当预案制定后，要不定期地进行演练，提高警惕性和实战能力。

　　3.信息公开要进一步提高。长期以来，一些地方政府和有关部门 在信息传递方面喜欢欺上瞒下，报喜不报忧，致使内部信息渠道严重阻塞或扭曲；与此同时，政府部门缺乏规范、及时的信息披露制度，宣传主管部门习惯用传统粗 暴的方式管理大众传媒，媒体缺少必要的法律保护，使媒体的信息传递作用和社会监督作用受到极大限制。再加上部分政府为了“保稳定”，部分官员为了“保乌纱 帽”，以及在日常工作生活中过分看重吸引外资、发展旅游等方面的近期局部利益，使得一些政府部门在危机处理中信息透明度较差。

　　完善网络舆情联动应急机制的措施

　 　网络舆情联动应急机制中，监测、预警、应对三个环节，既有先后顺序、也有交叉混合。看起来，每个环节逐步向后推进，但实际上，不断融合、互动。监测是常 规工作和基础工作，耗费精力最多。预警其次，当通过监测发现有可能产生负面影响的舆情时，就开始进入预警阶段。就发生概率而言，应对的几率最小，只有当现 实的危机发生后，才开始进入应对程序。但是，危机应对的重要性并非可以由此而小觑。监测、预警、对应三个方面构成政府网络舆情管理部门最重要的工作任务， 并形成紧密契合、逐层推进的工作流程。

　　1.制定详细而周密的网络舆情危机阶梯预案

　　详细而周密的预案，保证了在危 机发生时有条不紊，获得最大程度的主动权。除了制定《网络舆情联动应急机制总预案》外，还可以借鉴《国家突发公共事件总体应急预案》，将危机分为四级，即 Ⅰ级（特别重大）、Ⅱ级（重大）、Ⅲ级（较大）和Ⅳ级（一般）。每一等级都由不同级别、不同范围的力量参与到危机应对中，根据危机的等级，调动与之对应的 资源和力量进行危机化解。

　　2.尽快实现网络立法

　　网络立法是净化网络空间，减少网络情绪型负面舆论的有效保障。国 外的做法给了我们很好启示，美国参议院于1995年6月通过了《传播净化法案》。新加坡政府则规定，新加坡的３家ISP（网络服务供应商）和拥有网址的政 党、宗教团体和个人都必须在新加坡广播局注册并接受其管理。其管理的内容包括“可能引起对政府痛恨或轻视的内容，或煽动对政府不满的内容，以及危害公共安 全和国防的”等等③。

　　3.保持信息的公开通畅

　　有关研究显示，当权威信息缺失时，就给小道消息传播提供了契机。因 此，当网络舆情危机出现时，要最大程度地争取传统媒体的支持，利用传统媒体的公信力和权威性。建立新闻发言人制度是一个有效举措。通过新闻发言人，既向公 众传递了权威信息，又将信息内容归口到“新闻发言人”这一权威信息源。

　　4.发挥“舆论领袖”的积极引导作用

　　根据 传播学规律，“舆论领袖”在影响受众的态度方面，作用明显。尤其当网络上出现海量的信息时，一般公众往往会无所适从。这时候，他们更需要权威的“舆论领 袖”的声音作为自身决策的重要依据。就目前我国一些较有影响力的论坛的参与情况看，培养论坛的“舆论领袖”，利用这些“舆论领袖”来引导网上舆论，已成为 普遍做法。这些“舆论领袖”有见地、有代表性的发言一般被版主用醒目的字号和色彩加以强调，放在网页的突出位置，以强化主流言论，孤立非主流言论。

　　5.强化网络“把关人”

　 　任何信息传播，都是信息选择的过程，其间充满了各种各样的“把关人”。网络把关人包括网站编辑、网管等，在信息选择、引导舆论方面的作用至关重要。网络 把关人应是信息提供者、信息引路人、信息规范者和监督人，设置好有关话题或议题，吸引终端上的个人参与到公共话语空间，通过自由热烈的网络交互，及时的新 闻报道，再加上详尽的事实背景材料，对不同空间的话语进行整合，在交流中引导大众舆论，促成正确舆论的形成。在把关中，切忌简单粗暴地删帖，要注重运用动 之以情、晓之以理的引导艺术，使网民产生理性和情感上的认同与共鸣。

　　6.加强技术在网络舆情引导控制中的作用

　　常 用的网络技术手段包括对IP地址的监测、跟踪、封杀；网管的全天候值班监测，对负面消息进行及时清除；运用智能型软件进行敏感词组的自动过滤；对论坛发帖 的延时审查及发布；对国外敏感网站浏览限制；部分重要论坛实行实名认证制度等。尽管这些做法会引来种种争议，但至少在短时期内依然是网络舆情引导控制的有 效手段。

　　7.探索网络舆情联动应急创新机制

　　初步设想是，由网宣办牵头，负责网络舆情的日常监测，每天或每周按部 门对网络舆情进行分类整理，针对各部门的情况，提供简单的舆情监测分析报告，及时向各职能部门进行反馈。或者可以建立专门的“网络舆情内部信息系统”，网 宣办位于该系统的核心，负责将每天监测到的信息分门别类地传递到各职能部门。具体职能部门通过该系统，在第一时间内获得和本部门有关的最新网络舆情，并对 这些舆情有足够的时间进行研判，决定采用何种方式进行应对。当出现重大危机事件时，由各部门抽调熟悉业务的工作人员，加入到网宣办的工作中。专业人士的加 入，体现了具体职能部门对危机事件的重视，也体现了政府高效执政的姿态，对尽早化解危机，能起到积极的作用。

　　注释：

　　①杜骏飞主编，《中国网络新闻事业管理》，中国人民大学出版社，2004年7月版，第216页
　　②李琼瑶，《网络舆论的现状及引导》，湖南行政学院学报，2006年第2期
　　③佘绍敏，《互联网信息流通中的政府控制》，新闻与传播研究，2000年第4期

中英法律在线通知

来源：中英法律在线

尊敬的会员：

您好！

根据工业和信息化部的通知，为了保障2008年奥运会期间的网络通信，各网站的互动栏目（如留言本、论坛、博客等）需自动关闭。因此，中英法律在线的社区和博客部分将于近日关闭，预计于9月21日后重新开放。给广大用户造成了不便，敬请谅解。在此期间大家可以访问我们网站的英国立法、中英协议、青年律师培训项目或积极参与我们的其他活动。

10个能防止老大哥监视你的极其有用的网站

翻译: boxi 转自：译言

（译者：老大哥源自乔治.奥威尔著名小说《1984》，故事发生在1984年（即奥威尔创作此书时的30多年后）的“大洋国”。“大洋国” 的统治阶级是“核心党”，“核心党”的领袖是“老大哥”，后来荷兰的电视台以此名推出了真人秀节目，6名青年男性、6名青年女性选手共同生活在一个特制的 有着花园、游泳池、豪华家具的大房子里，大家共享一间卧室、一套起居室和卫生间等。摄像机一天24小时记录他们的一举一动。在共同生活的85天里，选手们 每周六要选出两个最不受欢迎的人。而每天守候在电视机前的狂热者们则用声讯电话，在这两人中选出一个他们最不喜欢的、最没人缘的选手出局。老大哥》节目 1999年9月16日在荷兰首播时，观众高达2400万人。截至当年10月30日，约有2/3的荷兰人看过这个节目。
《老大哥》成功之后，真人秀这种全新的电视节目形式就吸引了西方国家电视制作商的眼球，《幸存者》、《诱惑岛》、《阁楼故事》等真人秀节目随之出现。）

人们可能没有意识到，自己完全陌生的人窥视它们的生活究竟有多频繁，手段是如何的多端。成千上万的企业、人员以及政府通过摄像头、手机或通过互联网等手段窥探着我们个人的工作和生活。

每当一个人填了一张参赛表、申请表或者加入某在线社区的时候，在毫不知情的情况下，用于填写这些表格的个人信息被出售、出租或泄露给第三方、第四方的机会就来了。

大部分正规的公司和网站都会有一项隐私保证声明，把它们将如何使用从会员和客户那里收集到的个人信息解释清楚。但不是所有的公司和网站都那么正规，因此在把个人信息交给生人之前先读读其隐私声明是极其明智的。

以下站点对于防止老大哥监视你的工作和私人生活是十分有用的：

1.PGP

　　PGP提供了隐私加密术和认证，这些被设计用于两方或多方之间收发邮件时被外部获知。这是一项极佳的邮件加密程序，活干的很棒，对收发重要的商业邮件非常重要。

2.GuerrillaMail

　　使用它是阻止垃圾邮件充斥你的邮箱的一种优秀途径。在需要时用它你可以随时获得一个可支配的邮件地址作为个人邮箱。该地址将在15分钟内失效，刚好足够发送或接收邮件。

3.PookMail

　　别再把你真正的邮箱地址与那些向你请求的网站分享了，用这个网站来创建一个虚拟的邮箱地址吧。我使用这项服务一段时间之后注意到接收到的垃圾邮件的总量的显著不同...大大地减少了。与你账号关联的邮箱每24小时将被清理一遍，让你可保持匿名享受快乐。

4.Anonymous Speech

　　每次你收发商业邮件时公司、政府、私营企业都会跟踪你的动向并把这些邮件存放于公共和私有的服务器上。Anonymous Speech有一项极其保密的email服务，能在邮件收发后的很长一段时间内为其提供持续保护。该公司不与他人分享其客户的个人信息或邮箱地址，包括政府机构和企业团体。该程序不会令任何希望隐匿地在互联网冲浪的人失望的。

5.Obviously

　　这是一个优异的DIY网站，向你展示了如何阻止不知名的市场调查电话的骚扰，以及如何把你的个人信息从市场邮箱清单中移除，免受垃圾邮件困扰。

6.Double Click

　　根据其自述，该公司是数字化市场时代的神经中心，不过事实上，Double Click 有可能收集了网上冲浪人群的使用信息（某时某地）。它们把收集到的个人信息卖给有市场目的第三方，且会把这些收集到的信息与司法部门或其它政府机构分享。根据上述网址把你的姓名和信息从Double Click的服务器上移除掉吧。

7.The Cloak

　　用这个网站匿名地冲浪吧，他可以把你的冲浪行为掩藏于窥探者眼皮底下。这项加密的连接使用http或https匿名代理可隐藏你的身份于网站之中。你的隐私是个人的，用它吧。

8.BeHidden

　　另一个匿名冲浪的搜索引擎，可保护冲浪者的身份和活动于爱管闲事的站主、企业、政府之中。同时，BeHidden也可用于发送匿名邮件，以便进一步保护你的身份，优秀的网站！

9.Government Public Records Database

　　跟执法机构和政府官员一样访问同一个数据库，以便请求一份个人的FBI文件的拷贝。是的，这是真的，FBI收集了美国国内的普通公民的记录，你也有可能是其中被监视的一员。对于操弄商业的人来说，也是一个优秀的网站。

10.Snarfed

　　这是一个突出的博客，可在你网上购物时保护你的隐私，告诉你所使用的的信用卡借记卡的类型、它们是如何工作等信息。不是所有可支配的的信用卡都是一样的，有些发卡机构对你的保护措施就做得比别人好。这个博客告诉你大量关于隐私的信息，总有一些是人人需要的。

　　记住，每次你填写参赛表、抽奖表或者完成一项调查表的时候你的个人信息就会被收集存储于某处陌生人的计算机服务器上。每次一个人加入另一个社区网络的时候（MySpace,Facebook）或者注册参加在线论坛的时候，你的个人信息正在被收集呢。

　　对于收集到的个人和隐私信息，这些公司将使用哪些，如何使用依赖于公司的收集工作。开始与这些公司交易或暴露个人信息给它们之前，好好读读公司或网站的隐私条例声明。如果它们没有或者看上去可疑，不要把个人或他人信息泄露给它们。

如何忽略防火长城

作者：Richard Clayton, Steven J. Murdoch, and Robert N. M. Watson 翻译: 万柳烈士旅 转自：译言

Richard Clayton, Steven J. Murdoch, and Robert N. M. Watson*
University of Cambridge, Computer Laboratory, William Gates Building, 15 JJ Thomson Avenue, Cambridge CB3 0FD, United Kingdom
{richard.clayton, steven.murdoch, robert.watson}@cl.cam.ac.uk

* 致谢：我们感谢一位中国公民的帮助。（我们不会透露他的名字，他对我们实验的本质完全不知情，他的网页也不包含任何非法内容）他为我们理论思考提供了极为 可信的实践材料。Richard Clayton正为Intel Research资助的spamHINTS项目工作。Steven J. Murdoch由OpenNet Initiative资助。

---

摘要： 所谓“防火长城”之部分工作原理即是检测传输控制协议（TCP）报文中需要封锁的关键词。如果出现关键词，TCP复位报文（即RST标志置位的报文）即向 连接两端发送，连接随之关闭。而原报文完好通过防火墙，如果双方完全忽略防火墙的复位，那么连接仍可顺畅进行而防火墙失效。一旦连接被封锁，防火墙还会进 而尝试封锁双方的继发连接。后种特性可能被利用来对第三方进行拒绝服务攻击。

1 引言

中华人民共和国运行的互联网过滤系统，普遍认为是世界上最复杂的系统之一。^[1]其部分工作原理即是检测网络（HTTP）流量判断是否出项特定关键词。^[2]这些关键词涉及一些中国政府封杀的组织、不可接受的政治意识形态、不愿讨论的历史事件。^[3]

直观判断，关键词封锁发生在连接中国与外界网络的路由器组内部。^[4]这些路由器利用基于入侵检测系统（IDS）技术的设备来判断报文内容是否匹配中国政府制订的过滤规则。^[5]如果客户端与服务器的一个连接需要封锁，路由器则会在数据流中注入伪TCP复位报文，于是双方便会断开连接。^[6]这种封锁一旦触发，便会持续数分钟，相同方向上的继发连接都会被伪复位直接打断。

在本文第2节我们将讨论国家阻止其公民访问特定网络内容的方法，以及以往调查者认定的优点和缺点。在第3节我们提供了从中国防火墙系 统封锁的连接两端获取的一组报文。第4节我们提出了这个防火墙的一个模型，来解释我们获得的结果。然后第5节我们将展示，通过忽略防火墙发出的TCP复位 我们成功传输了本来应该被封锁的内容，并讨论为什么这种手段防火墙难以应付。第6节我们展示了防火墙的封锁行为如何可以被利用来对第三方进行拒绝服务攻 击。最后在第7节，我们讨论了这种规避审查的方法的优缺点，并思考了中国以外的网站如何免于封锁降低访问难度，还提出公共政策能怎样鼓励人们规避审查的问 题。

2 内容封锁系统

有三种显著的内容封锁手段：报文丢弃、DNS污染、内容检测。研究北威州封锁右翼纳粹内容的Dornseif的论文^[7]，和研究英国电信混合封锁系统封锁恋童癖网站的Clayton^[8]的论文，一起确定了以上手段。

2.1 报文丢弃方案

在一种报文丢弃方案中，往特定IP地址的所有流量被全部丢弃，于是网站便无法访问。这种方案费用低廉，易于实施──标准的防火墙和路由器便已提供这些必要特性。报文丢弃方案有两个主要问题。首先，IP地址列表必须保持最新，如果内容提供者不想让ISP轻易封锁他们的网站，保持更新的困难便暴露出来。^[9]其次，系统会导致“过度封锁”──共用同一IP的其他网站被全部封锁。Edelman调查了过度封锁的潜在程度，发现69.8%的.com、.org和.net网站与50以上其他网站共用IP。^[10]（虽然一部分域名只是“停放”在一个普通网页上）其详细数字显示网站共用IP数的连续变化图谱，反映出在一台主机上尽量多挂网站这种盛行的商业做法。

2.2 DNS污染方案

在一种DNS污染方案中，当用户查询域名服务系统（DNS）将文字的域名转换为数字的IP地址时，可以返回错误的应答或者不返回应答导致用户不能正 常访问。这类方案没有过度封锁的问题，因为禁止访问特定网站不会影响到其他网站。不过，邮件传递也需要DNS查询，如果只是封锁网站而不封锁邮件服务的 话，此类方案实现起来容易出错。Dornseif展示的样本中所有的ISP都至少有一次在实现DNS污染时出错。^[11]

2.3 内容检测方案

多数内容检测方案是让所有流量通过一个代理服务器。这个代理通过不提供禁止内容来过滤。这种系统可以做得非常精确，程度可以到屏蔽单个网页或者单个图像而让其他内容顺利通过。这类基于代理的系统没有普遍使用的原因是，可以应付主干网络或者整个国家网络流量的系统过于昂贵。2004年9月美国宾夕法尼亚州，要求封锁包含儿童色情网站的一条州法令以违宪被裁定无效^[12]。当初由于经费原因，宾夕法尼亚的ISP采用的是报文丢弃和DNS污染的混合策略，导致的过度封锁和“前置审核限制”对地区法庭作此裁决起到了相当的作用。不过，基于代理的系统已被部署到若干国家比如沙特阿拉伯^[13]、缅甸^[14]，以及挪威的一些网络提供商比如Telenor^[15]。Clayton研究的英国电信的系统是一种混合设计，利用廉价缓存代理处理特定目标IP的报文。不幸这导致用户可以逆向工程得到封禁网站的列表，而这些网站提供儿童的非法图像，这违背了此系统的公共政策目标。

进行内容检测的另一种手段则是入侵检测系统（IDS）。IDS设备可以检测通过的网络流量并判断其内容是否可接受。如果需要封禁则会调度邻近的防火墙拦截报文，或者就中国的情况而言，发送TCP复位报文导致威胁性连接关闭。基于IDS的系统显然比其他方案更灵活，更难规避。Dornseif和Clayton都对如何规避各种封锁进行了深入探讨。^[16]然而如果通信保持清晰不加密不变形到IDS无法辨别的程度，那么无论采取什么规避手段，IDS方法都能够将其检测出来。^[17]

3 中国防火墙如何封锁连接

我们在实验中从英国剑桥（墙外）的若干机器连接了中国内的一个网站（墙内）。当前中国的防火墙系统的工作方式是完全对称的^[18]──在两个方向上检测内容并进行过滤。^[19]通 过从剑桥的终端发出所有的指令我们完全避免了违反中国法律的可能性。一开始我们以正常模式访问一个中国网页并记录双方的报文流。接下来我们又发起一次有意 触发封禁的请求，观察连接是如何被复位报文关闭的。我们继续“正常”的（不包含触发性词汇的）请求，却发现接下来的连接都意外地被封锁了。接下来我们将详 细描述观测结果。

3.1 复位封锁

刚开始我们只是访问一个普通网页，如预期得到完全正常的返回。如下面的转储报文所示，起始的TCP三次握手（SYN^[20]，SYN/ACK^[21]，ACK^[22]） 之后客户端（此实例中使用了53382端口）向服务端http端口（tcp/80）发出了超文本传输协议（HTTP）的GET指令获取顶级页面（/），传 输正常。我们使用netcat（nc）发出这个请求，没有使用网页浏览器，从而避免了无关细节。报文用ethereal截取，用一般格式表示出来。

cam(53382) → china(http) [SYN]
china(http) → cam(53382) [SYN, ACK]
cam(53382) → china(http) [ACK]
cam(53382) → china(http) GET / HTTP/1.0
china(http) → cam(53382) HTTP/1.1 200 OK (text/html) ……
china(http) → cam(53382) ……其余页面内容
cam(53382) → china(http) [ACK]
……接下来这个页面就完整了。

我们发出另一个请求，包含了一小段可能触发封禁的文字，当然这也很快发生了：

cam(54190) → china(http) [SYN]
china(http) → cam(54190) [SYN, ACK] TTL=39
cam(54190) → china(http) [ACK]
cam(54190) → china(http) GET /?falun HTTP/1.0
china(http) → cam(54190) [RST] TTL=47, seq=1, ack=1
china(http) → cam(54190) [RST] TTL=47, seq=1461, ack=1
china(http) → cam(54190) [RST] TTL=47, seq=4381, ack=1
china(http) → cam(54190) HTTP/1.1 200 OK (text/html) ……
cam(54190) → china(http) [RST] TTL=64, seq=25, ack zeroed
china(http) → cam(54190) ……其余页面内容
cam(54190) → china(http) [RST] TTL=64, seq=25, ack zeroed
china(http) → cam(54190) [RST] TTL=47, seq=2921, ack=25

开头三个复位报文序列号对应了GET报文的序列号+1460和+4380（3 × 1460）。^[23]我们认为防火墙发出三个不同的值是想确保发送者接受复位，即使发送者已经从目的地收到了“全长”（1460字节）ACK报文。复位报文的序列号需要“正确”设定，因为现在多数TCP/IP实现都会严格检查序列号是否落入预期窗口。^[24]（这个验证序列号的内在漏洞由Watson在2004年首先提出。^[25]）

此结果还显示，在连接被打断后仍然收到了从中国机发来的一部分页面。然后剑桥机响应了那两个意外报文，发送了自己的TCP复位。注意它将确认号置零而没有使用随机初始值的相关值。收到的所有复位报文的TTL^[26]都 是47，而中国机来的报文的TTL都是39，说明它们来源不同。如果来源的初始值都是64，这也许说明复位产生的地方距离服务器有8跳（hop）。 traceroute显示那是通信从Sprint网络（AS1239）进入中国网通集团网络（AS9929）后的第二台路由器。

我们也从中国服务器的视角看这次连接封锁：

cam(54190) → china(http) [SYN] TTL=42
china(http) → cam(54190) [SYN, ACK]
cam(54190) → china(http) [ACK] TTL=42
cam(54190) → china(http) GET /?falun HTTP/1.0
china(http) → cam(54190) HTTP/1.1 200 OK (text/html) ……
china(http) → cam(54190) ……其余页面内容
cam(54190) → china(http) [RST] TTL=61, seq=25, ack=1
cam(54190) → china(http) [RST] TTL=61, seq=1485, ack=1
cam(54190) → china(http) [RST] TTL=61, seq=4405, ack=1
cam(54190) → china(http) [RST] TTL=61, seq=25, ack=1
cam(54190) → china(http) [RST] TTL=61, seq=25, ack=2921
cam(54190) → china(http) [RST] TTL=42, seq=25, ack zeroed
cam(54190) → china(http) [RST] TTL=42, seq=25, ack zeroed

我们可以看到，当检测到“坏”报文，防火墙也向中国机发送复位（“[RST]”）报文，但都在GET报文（以及其响应报文）后面。最后两个复位报文（零确认号）是剑桥机发送的。

其他到中国机的复位（因为有“falun”而生成的）TTL都是61，这意味着它们在3跳以外生成，初始值为64。这跟剑桥观测到的8跳偏移不一 样。不过这说明可能有不止一台设备在生成复位──或者初始值经过调整不是64。我们目前对于观测到的这种不对称性没有确定的解释。

开始三个复位的序列号也设置在一定范围（+25，+1485，+4405）以确保命中，事实上+25报文就已经重置了连接。^[27]第四、五个复位报文检查确认号发现，它们可以视作连接重置前中国机成功发送的两个报文的响应。

3.2 直接重置连接

防火墙不仅检测内容，还有其他封锁规则。我们发现，只要进行一次“坏”连接，在短时间内相同两主机之间的所有网络通信在经过检查之前就都被封锁了。前面也是连接被封搜，不过现在开始继发连接也会被封锁了。比如，在上面一例以后立刻继续，我们看到：

cam(54191) → china(http) [SYN]
china(http) → cam(54191) [SYN, ACK] TTL=41
cam(54191) → china(http) [ACK]
china(http) → cam(54191) [RST] TTL=49, seq=1

复位报文从防火墙而 来（也往服务器而去）随之客户端便关闭了连接。如果客户端在复位到达前成功发送GET报文，便会接着收到多个防火墙发来的复位（即使GET报文是完全无毒 的）。接下来便是从服务端来的复位──服务器收到复位后便会立刻在GET到达前关闭连接。由于GET发来时不再存在打开的连接，服务端便按照协议返回一个 复位。值得注意的是，防火墙在SYN阶段（三次握手阶段一）没有试图重置连接，而是等到了SYN/ACK（阶段二）。虽然可以在客户端一发出SYN就给它 复位报文，但只有等到SYN/ACK才能构造出对服务端起作用的有效复位。^[28]

在实验中我们发现，节点被阻断通信的时间是可变的。有时候是几分钟，有时候可能是一小时。平均时间大概在20分钟，不过由于观测到时间值有在特定值附近聚集的显著趋势，我们怀疑不同的防火墙组件有不同的时间延迟设定；这就需要深入理解是到底是谁在处理通信，才能较准确地预测封锁周期。

3.3 其他中国网络的情况

我们获取了中国自治系统（AS）的一个列表，并从中生成了在全球路由表中所有中国子网的列表。^[29]然 后我们利用了一个修改过的tcptraceroute，判断出通信是通过哪个AS从国际网络进入中国，并从中得知了中国主干边际网络的实体。结果便是： AS4134，AS4837，AS7497，AS9800，AS9808，AS9929，AS17622，AS24301和AS24489。然后我们在各 个AS中挑选了样例服务器测试，发现所有网络都有都跟前面描述相似的复位行为（除了AS24489：跨欧亚信息网）。以此我们可以推出：我们的结果正展示 了典型的“防火长城”系统。情况在2006年5月下旬是这样的，但并不一定普遍适用。^[30]

4 防火长城的设计

基于以上实验结果，以及中国使用的技术设备类型的描述──比如思科的“安全入侵检测系统”^[31]──我们提出以下模型来描述中国防火墙中路由器的工作方式（此模型很符合观测，但仍是推论性的，因为中国的网络提供商没有发布关于这些系统的任何技术规格）：

当报文到达路由便被立刻放入适当的向前传输队列。此报文也被送到带外IDS设备进行内容检测。如果IDS（关键词匹配）认为此报文“不好”，那么便为连接两端各生成三个TCP复位报文（有三个不同的序列号）交由路由器传输。^[32]

IDS在逻辑上是与路由器分离的，很难从路由传输队列中去除或者延迟“坏”报文。然而发出复位关闭连接是相对简单的。如果路由器相对繁忙，而IDS 工作正常，复位报文会在“坏”报文之前发送；这也是我们在实验中观测到的主要情况，虽然有时候复位报文会拖在后面。复位报文的设定值充分显示出，设计者担 心与路由器相比IDS的拥塞导致“坏”报文跑在复位报文前面。这种设计中如果不发送附加的复位，在繁忙情况下防火墙是无法保证封锁的可靠性的。

一旦IDS检测到需要封锁的行为，它也可以向主路由器添加一条简单的丢弃规则而不发出复位。^[33]我们相当怀疑这种做法在主干高速路由器上扩展性差，而在IDS内的封锁简单而廉价。

我们还观测封锁的时长得知，提供防火墙功 能的设备不止一个。我们进行了进一步实验，发送256个包含威胁性字串的报文通过防火墙，虽然是从一个机器上发出的，但将它们的源地址设置分别为256个 连续的IP地址值，即中国防火墙会认为这是256个不同机器在发送需要封锁的内容。结果是，我们观测到有时候返回的复位报文是乱序的。然而现代互联网处理 报文基本上是用FIFO（先进先出）队列，^[34]那 么对于这种失序的最简单解释便是，不同的报文给了不同的IDS，它们各有各的FIFO队列但在发送复位时负载不一样。可惜我们发现这个实验引起了很多的报 文丢失（不是所有的连接都返回了应有的复位报文），不能对报文失序程度有直观感受。这样我们也没法（通过队列建模）确定平行IDS设备的数量下界。我们计 划以后再做这个实验。

4.1 防火墙“状态”

没有证据证明带外IDS设备互相通信，并共享网络连接“状态”的记录。实验表明在一个边际网络触发防火墙不影响通过其他边际网络的通信。

而在“状态”本来应该保留的地方（IDS设备中）却没有关于TCP状 态的检查。设备孤立地检查报文，于是将?falun分散到相邻两个报文就足以避免检测。更有甚者，这些设备对于是否有连接存在也不关注，我们的许多测试中 甚至没有进行三次握手打开连接就直接发送GET报文。事实上除了初始检测之后的持续封锁，没有证据证明IDS设备做了其他什么特别的事情，IDS只是一次 检查一个报文而已。

5 有意忽略复位

防火墙完全依赖于终端节点以标准兼容方式实现TCP协议^[35]，在收到复位报文时中断连接。如上所述，虽然有时候防火墙有点超常，复位报文跑在GET报文前面结果被仔细验证一番以后丢掉了，不过在下一个报文到达防火墙的时候连接就会被防火墙摧毁所以，总得来说还是没有什么区别。

不过现在考虑如果终端节点不遵守标准然后TCP复位被彻底忽略的情况，我们会想到，即使触发了IDS，防火墙也对HTTP传输没有任何影响。于是我们进行了深入实验两边的终端节点都忽略TCP复位的情况。这有许多方法可以实现，我们选择设置合适的报文过滤防火墙规则。在Linux可以安装iptables并使用此命令：

iptables -A INPUT -p tcp --tcp-flags RST RST -j DROP

来丢弃传入的RST置位报文。如果是FreeBSD的ipfw那么命令是这样的：

ipfw add 1000 drop tcp from any to me tcpflags rst in

当双方都丢弃TCP复位时我们发现网页传输确实没有被封锁。在剑桥端检测传输的结果：

cam(55817) → china(http) [SYN]
china(http) → cam(55817) [SYN, ACK] TTL=41
cam(55817) → china(http) [ACK]
cam(55817) → china(http) GET /?falun HTTP/1.0
china(http) → cam(55817) [RST] TTL=49, seq=1
china(http) → cam(55817) [RST] TTL=49, seq=1
china(http) → cam(55817) [RST] TTL=49, seq=1
china(http) → cam(55817) HTTP/1.1 200 OK (text/html) ……
china(http) → cam(55817) ……其余页面内容
cam(55817) → china(http) [ACK] seq=25, ack=2921
china(http) → cam(55817) ……其余页面内容
china(http) → cam(55817) [RST] TTL=49, seq=1461
china(http) → cam(55817) [RST] TTL=49, seq=2921
china(http) → cam(55817) [RST] TTL=49, seq=4381
cam(55817) → china(http) [ACK] seq=25, ack=4381
china(http) → cam(55817) [RST] TTL=49, seq=2921
china(http) → cam(55817) ……其余页面内容
china(http) → cam(55817) ……其余页面内容
cam(55817) → china(http) [ACK] seq=25, ack=7301
china(http) → cam(55817) [RST] TTL=49, seq=5841
china(http) → cam(55817) [RST] TTL=49, seq=7301
china(http) → cam(55817) [RST] TTL=49, seq=4381
china(http) → cam(55817) ……其余页面内容
china(http) → cam(55817) [RST] TTL=49, seq=8761
……接下来这个页面就完整了。

网页以正常方式传输，除了中间夹杂一些防火墙的TCP复位报文。由于被完全忽略（一共28个复位），它们对客户端的TCP/IP栈没有任何影响。客户端仍然继续接收网页，正常发送ACK。中国端也能看到类似的正常传输夹杂复位的情形。

这样，只是简单地忽略防火长城发出的报文我们就让它完全失效了！这无疑会让它的实现者大为恼火。

5.1 迷惑封锁

一方面是在连接建立以后通过发出TCP复位来阻断继发连接，另一方面我们也观察到一些防火墙有 时还有附加策略。在一些节点（当然是随机的），我们看见了防火墙发来的伪SYN/ACK报文。显然其序列号是随机而且无效的。如果防火墙的SYN/ACK 报文比真报文先到那么连接失效──客户端从伪SYN/ACK中获取了随机的序列号并发给服务端错误的ACK，于是服务端便返回复位报文，导致客户端关闭连 接。实际上，如果客户端发送GET比较快，还会收到一批其他报文，导致防火墙和服务端的进一步复位：

cam(38104) → china(http) [SYN]
china(http) → cam(38104) [SYN, ACK] TTL=105
cam(38104) → china(http) [ACK]
cam(38104) → china(http) GET / HTTP/1.0
china(http) → cam(38104) [RST] TTL=45, seq=1
china(http) → cam(38104) [RST] TTL=45, seq=1
china(http) → cam(38104) [SYN, ACK] TTL=37
cam(38104) → china(http) [RST] TTL=64, seq=1
china(http) → cam(38104) [RST] TTL=49, seq=1
china(http) → cam(38104) [RST] TTL=45, seq=3770952438
china(http) → cam(38104) [RST] TTL=45, seq=1
china(http) → cam(38104) [RST] TTL=45, seq=1
china(http) → cam(38104) [RST] TTL=37, seq=1
china(http) → cam(38104) [RST] TTL=37, seq=1

对付这种防火墙的 新策略比处理伪复位报文麻烦许多。因为即使客户端忽略了服务端来的（完全真实的）复位，还是会继续错误理解服务端的序列号，导致不能与服务端同步以完成三 次握手打开连接。当然如果有时候防火墙的伪SYN/ACK跑在真报文后面，就会被客户端忽略不造成任何混淆，不过防火墙仍然会坚持不懈用复位报文来打断连 接但是由于复位报文都被忽略了所以也没有用，网页照样显示。

重要的是确定来的两个SYN/ACK报文谁是真的。在样例中我们觉得它们很好区分，防火墙版的TTL值大不相同，没有DF标志，没有TCP选项。这些伪SYN/ACK在现在为止还是像伪复位一样很好过滤的，防火长城再次失效。另外，由于只有封锁继发连接时才会使用这种策略，那么客户端可以把服务端的TTL记下来，而防火墙是搞不清该往伪报文里填什么值的。

不过，防火墙越 搞越复杂，说不定就能造出没法区分的SYN/ACK报文来了。那客户端直接把第一个收到的SYN/ACK当成防火墙发出的伪报文即可。不过要是防火墙又来 时不时来延时一下才发送伪SYN/ACK（让思维简单的机器通过，打倒思维复杂的机器！）那么这场复杂的“博弈”会升级成更深奥的战略对决。要注意打开网 页常常会有多个连接，那么防火墙即使只是搞掉其中一部分也会觉得有“胜利感”。

一个高效的客户端策略（先决条件是客户端和服务端都丢弃复位报文）是将所有传入SYN/ACK报文视为有效（防火墙以后也许会发好几个过来），然后检查全部的序列号和确认号直到从服务端收到一个ACK以确认正确的取值。不过这对于像iptables或者ipfw这种简单的报文过滤系统来说太复杂了，超出实现能力。

新一轮“博弈”也许是防火墙开 始针对所有客户端报文伪造ACK。可能客户端可以通过检测从服务端获得的真正RST来看穿防火墙的整个伪连接，于是防火墙连这些都要开始伪造了──这样下 去策略变得不知道有多复杂。不过终端节点确实有优势来最终判断报文是来自（有状态的）对方还是（无状态的）防火墙。要是防火墙也开始记录“状态”，那么整 个主要架构的变化（虽然一定又是一笔巨大的开支）便会带来许多其他可用策略，优势也会决定性地偏向防火墙这边。

可是必须注意到，防火墙的SYN/ACK 报文伪造问题不能通过改变服务端的TCP/IP栈来安全地解决。那样的话服务端需要发现客户端持续地响应的那个“错误”的ACK值并改变自身状态以响应这 个从伪SYN/ACK报文中出来的值。但这样就去掉了一个Bellovin记录的重要安全步骤，进而导致恶意主机伪造源IP地址访问的漏洞。^[36]

另外，在可以“嗅探”并伪造报文的对手面前进行安全连接，这在密钥交换协议邻域已经得到充分研究。未决的问题是，如何利用中国防火墙目前的架构性缺陷，通过对现有TCP/IP栈的简单修改来战胜防火长城。

6 拒绝服务攻击

我们前面提到，单个包含?falun之类内容的TCP报文就足以触发节点间至多长达一个小时的封锁。如果伪造源地址，就可以发起（但也是受限的）拒绝服务（Denial of Service）攻击，阻断特定节点间的通信。不过不同的人有不同的目标，这对某些攻击者来说已经足够。比如，识别并阻止地区政府机构的主机访问“Windows自动更新”；或者阻止某个部委访问一个联合国网站；或者阻止中国海外使馆访问家乡网站。

我们计算发现，即使是一个人通过单个拨号连接也可以发起相当有效的DoS攻击。这样一个人每秒可以产生大约100个触发性报文，假设封锁时间大约是20分钟，那么120000对节点便可被永久封锁。当然，现在的DoS攻击几乎不会通过单个拨号方式实现，而是在快得多的网络上以巨大的数量进行。那么120000便可以乘到你满意。不过防火墙的IDS组件也许没有资源记录如此大量的封锁连接，所以实际的影响要考虑受到此类资源限制的情况。还要注意当IDS处理DoS攻击的时候它处理其他连接信息的资源就会变少，于是其效用也就暂时降低。

6.1 DoS攻击攻击的限制

进一步实验显示此防火墙的封锁方式比我们迄今为止解释的还要复杂一些；因此DoS攻击的效果不一定有刚才那样说得那么好。

首先，封锁只应用于相似端口上的继发连接。^[37]只 有端口值前9最高有效位与触发封锁的端口对应时，防火墙才会封锁这一连接，这样的端口每次有128个。Windows这类系统会连续分配临时端口，于是平 均有64个继发连接会被封锁。（有时比如触发封锁的端口是4095那么就不会有继发封锁）反之OpenBSD之类的系统会随机分配临时端口，于是继发连接 被封锁的可能性只有1/500。

我们对防火墙的这种行为没有确定的解释。不看端口直接封锁所有连接似乎还简单有效许多。^[38]这么做也许是为了避免误封NAT后面的其他用户，或者是用来确定发送某报文的IDS。也许这么做只是有意要显得神秘而愈发有威慑力。然而从DoS攻击者的角度，除非有特殊条件可以预测临时端口，要让所有可能端口段都被封锁所需的报文发送量便增长了500倍。

图1：中国防火墙对“坏”字符串的封锁情况。

2006年二月上旬我们进行了一次10天的试验，每小时一次从256个相邻IP地址进行连接。这里是前128的结果；其余部分模式也十分相似。黑点表明连接被封锁，白点表明没有封锁，灰点是结果不定（完全没有响应）。在110小时前后可见防火墙策略的显著变化（封锁更多的IP地址）。

其次，并非所有IP地址的流量都被检测过。我们每小时进行一次突发连接，发送一组256个IP地址连续的含有“?falun”的报文。起初每组报文 只有约三分之二被封锁掉，封掉的地址每次不同。不过几天之后几乎所有报文被封锁。我们无法通过逆向工程确定地址选择的算法，不过IP地址选择确有鲜明的模 式^[39]，暗示背后的机制可能相当简单。最直接的解释是资源匮乏──流量的三分之二也许就是整个系统可以处理的极限。显然某些时候如果一部分机器没有进行报文检测的工作，DoS攻击也就不可能通过它们发起。

最终需要注意的就是，这些实验只是在中国内外的少量节点上进行的，虽然我们得到了足够一致的结果，但像“防火长城”这种复杂的系统我们还是可能忽略了它的某些重要特性。因此虽然我们认为DoS攻击可以在许多情况下成功，我们也不能保证任一节点对上的任一次攻击都能成功。

7 战略考虑

要让流量顺利通过中国防火墙就 必须要求双方忽略复位。“世界其他地方”的机器如果想在中国也能正常访问，只需稍作调整。但在中国这边的人就不那么愿意装一些特殊软件了。主要问题是防火 墙可能做的，不仅是封锁，还有记录。随之而来的可能就是侦查，安装的特殊软件便会被查获，有人便会对你安装此种软件的动机产生某种看法。

中国防火墙的 报文检查功能也可以通过加密的方法规避。如果当局通过对内容的统计分析检测出加密通信，那么安装特殊软件遭到侦查的问题还是一样的。由于加密系统一般会话 结束后便废弃密钥，通信内容是色情还是政治演讲这是无法分辨的。如果用丢弃复位的方法穿墙，防火墙可以通过日志的方法记录封锁触发内容，当局便可以检查日 志并对这两种通信采取不同措施。这两种方法相比有人觉得丢弃复位法更有优势。

如果复位丢弃广泛以毫不相关的理由应用，中国政府可能不得不对复位丢弃软件采取更加容忍的态度。

关于软件防火墙的一些研究指出如果例行丢弃TCP复位会产生一些副作用。^[40]复位报文主要是用来快速报告不受欢迎的传入连接。如果远端机工作良好，那么忽略报文而不响应复位只会产生稍微多一点的流量。

然而，对于不想丢掉所有的TCP复位的人来说，当然这里也有另一种策略。^[41]目前TTL校验就是一种检测复位报文真伪的简单方法。特别地，我们注意到Watson提出的通过第三方伪复位造成连接关闭的复位攻击^[42]，通常的防御手段是仔细验证序列号。如果再加上复位报文的TTL校验，就可以更好地识别伪复位。本文作者之一编写了一段20行的FreeBDS补丁^[43]，可以丢弃TTL值严重偏离的复位报文。到现在用户体验都很好。其他操作系统和个人防火墙大概也不会觉得添加这个功能很麻烦。

当然，中国防火墙也 可以改进，让前面提及的规避方法难以实现。特别是它可以较容易地构造正确TTL的复位报文发往触发报文的相同方向。不过要想获得相反方向的正确TTL就不 大容易了，因为网络路由基本上是非对称的，防火墙不能透视通信的两个方向。更复杂的方法是将报文从路由队列中移除（或者延迟到内容检测完成才放行）。除非 报文在抵达终点前被阻止，我们的基本策略──无视防火墙发出的噪音──将继续有效。

另一套完全不同的防火墙策略则是当封禁被触发后不向该站点转发任何报文。不过我们前面提到此法扩展性极差，因为完成这个“内联”过程需要路由器间的快速通路──而且，全面的封锁无疑增加了DoS攻击的威力。

7.1 打破“防火长城”的公共政策动力

特别是在美国，有相当的政治利益关心着中国之外的公司如何帮助中国政府压制信息、锁定持不同政见者和异见网志作者。特别地，在2006年2月的一次国会听证会上，相当数量的美国大型公司由于其政策和行为而受到了严厉谴责。^[44]不过对于如何绕开中国的过滤技术现在也有更多的关注。比如由CIA部分资助的SafeWeb，在2000到2003年运营了一个匿名网络代理，同时它还开发出一种昵称TriangleBoy的反审查技术。^[45]2006下半年发起的加拿大的Psiphon计划旨在让“不受审查国家的公民向在他们防火墙背后的朋友和家人提供自由的网络连接”。^[46]

可以预测本文所描述的通过忽略复位报文规避中国防火墙的 方法也会引起相当的兴趣。当然也会有“军备竞赛”的危险，所以双方采取的策略可能复杂得多。让防火墙立刻失效方法也是相当直接的；不过实现这个方案需要中 国外的服务器和中国内的浏览器同时丢弃复位。服务器一方显然会有动力去实现复位丢弃，因为这样就让在中国的人可以访问。不过要是看看中国国内的情形和人们 改变浏览器（或者操作系统）配置的动力就会知道事情远比这复杂得多。虽然都是运行在中国的机器上，这些软件却都是在中国以外开发，特别是大多数软件都安装 在微软开发的Windows上。

我们这里提出一个关于公共政策的问题：是否应该鼓励或者强制微软修改程序以帮助规避中国防火墙？显然对于中国的审查有着广泛谴责，那么反审查措施当然会得到政治意见和公共意见的赞同。^[47]在本节前面我们提到，对这种改进的技术性反对意见是很有限的，这种改进可以提升对第三方攻击（防火墙只是第三方干涉网络通信的特例）的防御安全性。然而微软（以及其他操作系统和浏览器开发商）很可能不愿意冒犯中国政府，那么在被强制之前他们会一直拖下去。

一般的常识便是软件容易修改，硬件不易修改。不过把硬件改动的时间与制订新法规的时间相比就会知道，在强制供应商提供规避防火墙功能的法律生效之前，中国政府就会采用新的封锁硬件。^[48]可以推测，新的硬件会考虑到我们提到的问题并对复位丢弃免疫。因此我们认为通过立法（强制供应商）并不是实用的办法，除非立法是普遍意义上的、不关注技术细节的。让供应商少去讨好中国政府多关心其他所有人，这才是最现实的道路。

8 结论

本文我们展示了基于报文内容检测的“防火长城”。当过滤规则触发时，伪复位报文便发向TCP连接两方。然而真正的报文亦完好通过防火墙，于是通过忽略这些复位，通信便不受干扰。相同方向上的继发连接也被封锁（只有在端口相关的情况下），不过通过忽略复位通信仍可以顺畅继续。

以上结果对于中国当局具有相当的意义，他们也许会加强他们的系统、修补防火墙的漏洞。当然我们在前面也说，这并不容易。^[49]然而对于希望自由访问网络的中国居民来说，以上结果意义就小得多，因为他们的活动仍然受到记录和监视。只有当丢弃复位报文成为普遍做法以后，人们的才能说他们是无意中翻墙的。这种想法也不能算离谱，因为验证TCP复位是否为伪造也是TCP/IP栈应该做的。

我们还展示了封锁的副作用：为DoS攻击提供了可能性。当然这种DoS攻击只能用在特定节点之间。利用一套封锁机制来封锁什么东西这本身并没什么新意，但如果防火墙不作足够的状态记录，我们也看不到避免这种攻击的简便方法。

我们展示的结果也关系到其他使用类似复位机制来保护自身利益的国家、机构、企业。他们应该谨慎地认识到这种封锁完全依赖于被封锁者的默许。一些相对中国来说的小国家会经受更大的DoS攻击风险，因为他们的终端节点要少得多，防火墙在攻击效果变得显著之前尚不会过载。

9 补记

2007年春另外一组研究者（Jedidiah R. Crandall和其他人的“ConceptDoppler”项目）^[50]的一些实验也揭露了这个防火墙的工作细节，但复位机制是基本不变的。不过他们的测量表明复位现在开始发生在中国互联网的内部，不仅是边际路由器；且与我们一年前观察到的相比封锁在繁忙时段变得更加断断续续。他们的研究手段也让他们可以发表一份关于被过滤话题的统计列表。

注释

• [1] OpenNet Initiative, “Internet Filtering in China in 2004–2005: A Country Study,” OpenNet Initiative, http://www.opennetinitiative.net/studies/china/ONI_China_Country_Study.pdf (accessed October 21, 2007).
• [2] OpenNet Initiative, “Probing Chinese Search Engine Filtering,” OpenNet Initiative: Bulletin 005, http://www.opennetinitiative.net/bulletins/005/ (accessed October 15, 2007).
• [3] Ronald J. Deibert and others, eds., Access Denied: The Practice and Policy of Global Internet Filtering (Cambridge: MIT Press, 2007).
• [4] Nart Villeneuve, “Censorship is in the Router,” June 3, 2005, http://ice.citizenlab.org/?p=113 (accessed October 15, 2007).
• [5] OpenNet Initiative, “Probing Chinese Search Engine Filtering.”
• [6] RST标志置位的TCP报文。这种报文表明一方要求立即关闭当前连接不再传输。
• [7] See Maximillian Dornseif, “Government Mandated Blocking of Foreign Web Content,” Security, E-Learning, E-Services: Proceedings of the 17 DFN-Arbeitstagung über Kommunikationsnetze, eds. Jan van Knop, Wilhelm Haverkamp, Eike Jessen, 617–646 (Dusseldorf, Germany: GI, 2004).
• [8] Richard Clayton, “Failures in a Hybrid Content Blocking System,” in Privacy Enhancing Technologies: 5th International Workshop Cavtat, Croatia, May 30-June 1, 2005 (Berlin, Germany: Springer, 2006): 78–92.
• [9] Richard Clayton, “Anonymity and Traceability in Cyberspace,” Technical Report (2005), http://www.cl.cam.ac.uk/techreports/UCAM-CL-TR-653.pdf (for details of the complexity, see the extensive discussion in “Anonymity and Traceability in Cyberspace”) (accessed October 15, 2007).
• [10] Benjamin Edelman, “Web Sites Sharing IP Addresses: Prevalence and Significance,” Berkman Center for Internet & Society, http://cyber.law.harvard.edu/people/edelman/ip-sharing (accessed October 15, 2007).
• [11] Dornseif, “Government Mandated Blocking,” 626–27.
• [12] Center for Democracy & Technology v. Pappert, 337 F. Supp. 2d 606 (E.D. Penn. 2004).
• [13] King Abdulaziz City for Science and Technology: Local Content Filtering Procedure. Internet Services Unit (2004), http://www.isu.net.sa/saudi-internet/contenet-filtring/filtring-mechanism.htm (accessed October 15, 2007).
• [14] OpenNet Initiative, “Internet Filtering in Burma in 2005: A Country Study,” OpenNet Initiative, http://www.opennetinitiative.net/burma/ONI_Burma_Country_Study.pdf (accessed October 15, 2007).
• [15] Telenor, “Telenor and KRIPOS Introduce Internet Child Pornography Filter,” press release, September 21, 2004, http://presse.telenor.no/PR/200409/961319_5.html (accessed October 15, 2007).
• [16] Dornseif, “Government Mandated Blocking,” 642-44; Clayton, “Failures in a Hybrid Content Blocking System,” 78–92.
• [17] IDS可以将多种不规则的表现转化为标准形式，然后与封锁列表比对作出正确决策。
• [18] 这种对称必须存在，因为防火墙需要同时封禁网络请求和回应。
• [19] Villeneuve, “Censorship is in the Router.”
• [20] SYN（同步）标志标明了打开TCP连接时的第一个报文。
• [21] 这是对SYN报文的回应，其SYN和ACK（确认）置位，用“SYN/ACK”来表示在TCP连接打开过程中的第二个报文。
• [22] 关于TCP的准确细节，和发起连接时交换SYN、SYN/ACK和ACK置位报文的方法原因，可以查阅很多好的网络通信教材，比如W. Richard Stevens, TCP/IP Illustrated, Volume 1, The Protocols (Reading, MA: Addison-Wesley, 1994)。
• [23] 当我们启用TCP时间戳且报文包含12字节TCP附加选项的时候，这个值变成1448的倍数。
• [24] TCP对所有数据报文用序列号进行标记，指示报文包含数据的顺序。当报文丢失、延迟或重复时，可以靠序列号来重建数据流。“窗口”是指在没有收到确认时最 多可以发送的数据量。现在的互联网中，检查序列号落入窗口（复位报文序列号符合预期）是避免第三方干扰连接的重要安全措施。
• [25] Paul A. Watson, “Slipping in the Window: TCP Reset Attacks,” Open Source Vulnerability Database, http://osvdb.org/reference/SlippingInTheWindow_v1.0.doc (accessed October 15, 2007).
• [26] 存活时间（TTL）初始值由报文发送者确定，通过一个路由就减一。这是为了确保报文不在路由间无穷循环，当TTL为零时报文就被丢弃了。于是通过校验TTL值可以推算报文走过的距离。
• [27] 如果复位在GET报文之前到达，则此复位报文不会被接受。服务器是FreeBSD系统，在连接的这个阶段，TCP栈接受的复位的序列号必须精确匹配上次发送的确认的值，以防止拒绝服务攻击。在GET报文到达前其值为+1，于是这时所有的复位都是无效的。
• [28] SYN/ACK报文含有连接双方选定的序列号。
• [29] AS指特定ISP拥有的骨干网络。我们采用的是CERNET的“China ASN List”，http://bgpview.6test.edu.cn/bgp- view/cur_ana/ipv4cn/china_asnlist.shtml。互联网路由器保存有优化路径列表，而“全球路由表”表达了特定AS对 地址的所有权。
• [30] See Jedidiah R. Crandall and others, “ConceptDoppler: A Weather Tracker for Internet Censorship” (14th ACM Conference on Computer and Communications Security, Alexandria, VA, October 29–November 2, 2007) http://www.cs.unm.edu/~crandall/concept_doppler_ccs07.pdf (accessed October 15, 2007).
• [31] Earl Carter, Secure Intrusion Detection Systems (Indianapolis: Cisco Press, 2001).
• [32] 即，检测报文内容的设备是在实际连接“旁边的”于是只能检测“坏”流量而不能对其有任何直接影响。
• [33] 路由器一般都有根据特定标准进行报文过滤的功能。
• [34] Yi Wang, Guohan Lu, and Xing Li, “A Study of Internet Packet Reordering,” Information Networking (Heidelberg, Germany: Springer-Berlin, 2004): 350–359.
• [35] J. Postel, ed., “Transmission Control Protocol, DARPA Internet Program Protocol Specification” (memo, Network Working Group Request for Comments, September 1981) http://www.ietf.org/rfc/rfc793.txt (accessed October 21, 2007).
• [36] S. Bellovin, memorandum, May 1996, in Network Working Group Request for Comments, “Defending Against Sequence Number Attacks,” http://www.ietf.org/rfc/rfc1948.txt (accessed October 15, 2007).
• [37] ──译注，此节所述似已过时。在翻译完成的时候译者测试发现，继发封锁跟初始端口或者继发端口没有关系，所有端口的继发连接都被屏蔽。
• [38] HTTP通信不仅在80端口（tcp/http）上被封锁，还有其他一些端口也受到影响。不过一个端口被封不影响其他邻近端口，比如80端口被封不影响433端口（tcp/https）。
• [39] 见图1。
• [40] See Clayton, “Anonymity and Traceability,” 81.
• [41] 未来中国的防火墙还可能通过FIN报文来打断连接，然而忽略所有FIN报文则会导致不能正常连接，到那时TTL校验法会更好。
• [42] Watson, “Slipping in the Window.”
• [43] Robert N. M. Watson, “Patches Associated with My Academic Research,” http://www.cl.cam.ac.uk/~rnw24/patches (accessed October 15, 2007).
• [44] Suzanne Goldenberg, “Congress Accuses Google of Collusion,” The Guardian, February 16, 2006, http://www.guardian.co.uk/china/story/0,,1710616,00.html (accessed October 15, 2007).
• [45] SafeWeb, “TriangleBoy Whitepaper,” SafeWeb, 2003, http://web.archive.org/web/20030417171335/http://www.safeweb.com/tboy_whitepaper.html (accessed October 15, 2007).
• [46] Psiphon, http://psiphon.civisec.org (accessed October 15, 2007).
• [47] Stokely Baksh, “US Calls for Fall of Great Firewall,” United Press International, February 15, 2006; Kate Allen, “Today, Our Chance to Fight a New Hi-Tech Tyranny,” Observer, May 28, 2006; Cory Doctorow, “See No Evil?,” Guardian, July 6, 2007.opinion. 47
• [48] “此法案是近年来孕育期最长的。导致此法案产生的斯科特报告是在五年半前的1996年2月发表的。保守党政府接受了此报告的提议并立即发出了资讯文书。工 人党1997年的宣言坚定承诺要采取行动。于是1998年出了那本白皮书。不过之后政府就不闻不问于是，过了三年此法案才推出。”Hansard Parliamentary Debates, Commons, 6th ser., vol. 374 (2001), col. 457.
• [49] 本文中描述的实验都是在2006年春进行的，本文的初始版发表在2006年6月的隐私增强技术研讨会上。
• [50] ──译注：见http://www.conceptdoppler.org/。