为什么 VPN 在中国大陆经常失效？从 IP 锁定到 DPI
深度封包检测
在享受无国界的网际网路时，许多人前往中国大陆旅游、出差或办公，最常遇到的困扰就是：原本好端端的
VPN，怎么一过海关就突然连不上了？或是今天还能用，明天就集体「翻车」？
这并非你的手机或电脑坏了，而是中国大陆的网路防火长城（Great
Firewall，简称 GFW）正在进行动态技术拦截。要理解 VPN
为什么会失效，我们得从 GFW
的技术演进说起。这不仅是一场「猫抓老鼠」的技术博弈，更是一场从基础防御到人工智慧识别的科技竞赛。
一、 基础拦截：IP 锁定与 DNS 污染
在早期，GFW 的拦截手段相对直接，主要依赖两种方法：IP 锁定与 DNS
污染
IP 锁定：直接查封伺服器地址
网际网路上的每个网站 and VPN 伺服器都有一个固定的实体地址，称为 IP
地址。
运作原理：GFW
就像一个手持黑名单的警卫。当它发现大量来自中国境内的流量都指向某个特定的境外
IP（通常是知名 VPN 供应商的伺服器），它就会直接在主干路由器上把这个 IP
加进黑名单。
失效原因：一旦 IP 被锁定，任何境内的数据包都无法送达该伺服器，VPN
自然就连不上了。这也是为什么主流 VPN 必须频繁更换伺服器 IP
来绕过拦截。
DNS 污染：给路标涂黑漆
当我们在浏览器输入 google.com
时，需要透过域名系统（DNS）将网址翻译成电脑看得懂的 IP 地址。
运作原理：GFW 会在境内的 DNS 伺服器上动手脚。当你查询被禁网站的 IP
时，它会故意回传一个错误或不存在的 IP 地址（俗称「喂毒」）。
失效原因：你的电脑拿到了错误的导航资讯，自然无法正确建立连线。
二、 进阶封锁：DPI 深度封包检测
如果说 IP 锁定是检查「信件上的收件人地址」，那么 DPI（Deep Packet
Inspection，深度封包检测）
就是「拆开信件看里面的内容与格式」。这是导致传统 VPN
大面积失效的最核心原因。
什么是 DPI？
传统的路由器在传输数据时，只会检查数据包的「标头」（Header），确认来源地和目的地就放行。然而，DPI
技术具备强大的流量分析能力，它会深入检查数据包的「负载」（Payload），也就是实际传输的内容与特征。
传统检测：[ 来源：A ] 到 [ 目的地：B ] (放行)
DPI 检测：[ 来源：A ] 到 [ 目的地：B ] 到 [ 检查内容：发现 OpenVPN
特征加密结构 ] (拦截)
DPI 如何精准打击 VPN？
即使 VPN 将传输内容全部加密，DPI 依然有办法识别它：
特征码识别（Protocol Signatures）：许多传统 VPN 协定（如
OpenVPN、WireGuard、PPTP、L2TP）在建立连线时，都有特定的「握手协议（Handshake）」和固定的数据包结构。
DPI
不需要解密你的网页内容，它只要看到这种独特的「加密外壳」，就能判定「这是
VPN 流量」，进而直接予以阻断。
流量行为分析（Traffic Behavioral
Analysis）：正常人浏览网页的流量是断断续续的（点击网页、阅读、再点击）。而
VPN 连线往往表现为长时间、高频宽、且单一端口的持续加密数据流。 GFW
可以透过机器学习演算法，分析这些流量的数学特征，进而对疑似 VPN
的连线进行限制。
三、 技术的魔高一丈：为什么「翻墙」越来越难？
除了 DPI 之外，近年来防火墙的技术还引入了更主动的防御机制：
主动探测（Active Probing）
当 GFW 发现境内某个 IP 正在向境外某个 IP 发送疑似 VPN
的神秘加密流量时，GFW 不会立刻封锁，而是会化身为客户端，主动向该境外 IP
发起连线请求，测试对方是否会回应 VPN 的握手讯号。如果对方回应了，确认是
VPN 伺服器无误，该 IP 就会立刻被加入黑名单。
敏感时期的「宁可错杀，不可放过」
在特定重要节日或大型会议期间，GFW
会大幅调高防火墙的敏感度。此时，系统会采取更严格的流量过滤策略，甚至连许多企业正常办公使用的商业
VPN（如用于远端连接公司内网的 SSL
VPN）都会受到波及，出现降速或不定期断线的情况。
四、 目前的应对技术：混淆与翻墙协定的演进
面对 DPI
的全面围剿，网路技术开发者也演进出了新一代的应对技术，核心逻辑从「单纯加密」转变为「混淆（Obfuscation）与伪装」。
为了规避 DPI 的特征识别，目前非传统的代理技术（如
Shadowsocks、V2Ray、Trojan 等）普遍采用以下策略：
流量混淆（Traffic Obfuscation）：将 VPN
的加密流量重新包装，使其在外观上看起来就像一般的 HTTPS
网页浏览（例如你正在看新闻或网购），让 DPI 无法轻易察觉异状。
伪装成正常网站（Trojan
协定等）：这类技术会直接在境外伺服器上架设一个真实的网站。当 GFW
进行主动探测时，伺服器会大方展示正常的网页内容；只有当输入正确的暗号（金钥）时，伺服器才会开启代理通道。
五、 结论
VPN
在中国大陆经常失效，本质上是加密技术与行为识别技术之间的拉锯战。传统的
VPN 协定由于特征过于明显，在现代 DPI
技术与主动探测面前几乎无所遁形。
对于需要往返两地的使用者而言，了解这些背后的原理，有助于在选择网路方案时做出更务实的判断——不再盲目迷信「终身不封锁」的口号，而是选择具备优良混淆技术、且有能力快速更换
IP 的服务，才能在动态变化的网路环境中保持稳定的连线品质。