グレート・ファイアウォール

GFW はあるIP範囲リストを保持し、定期的にメンテナンスしている。この範囲にあるIPアドレス宛のトラフィックパケットは発信者に通知することなく廃棄される (ブラックホール化)。

プロバイダーによってパケット廃棄の表現は差異が見られるが[37]、共通するのはMPLSノードを通過するとパケットがドロップされることである。これは、中国国内のバックボーンで集中的に運用されている。このブロックリストはLDPを使用してメンテされる可能性が高いことが示唆されている。

このIP範囲ブロックリストは Facebook ,Twitter and Dropbox ASNなどサイトが含まれている。

膨大の量でかつ日々更新が必要なブロックリストを維持することの複雑さと、CDNを使用するインターネットサービスには対処しにくいことが証明されているため、通常は最後の手段として使用され、他のブロッキング方法が優先的に使用される。（QoSに基づくブロッキングなど）。

IPアドレスによる封鎖はVPN以外の回避手段が殆どなく、一番レベルが高い封鎖手段であり、中国にとって余程の都合が悪いサイトに限って使用されると考えられている。

いくつの研究はこのフィルタリングはキーワードに基づくものと示した。[39]

検閲システムはおそらく2つのリストを維持している：禁止するドメイン名のブラックリストと、許可するドメイン名のホワイトリスト。 ワイルドカード"${\displaystyle *}$"を使用する可能性もある。

禁止されているWebサイトの例には、「greatfire.org」または「*falungong*」、ホワイトリストに登録されたWebサイトの例には「developer.android.google.cn」がある。

キーワードブラックリスト/ホワイトリストは複数の中国インターネットプロバイターで共有しされて、集権的に管理されていると考えられている。

外国のDNSサーバー (Google Public DNS / 8.8.8.8 など) は中国国内で正しく機能している[40][41]が、これらのDNSサーバーもハイジャックの対象となる。すべてのDNSリクエストはDNSサーバーに到達するが、要求が禁止キーワードに一致すると、GFWは偽のDNS応答を入れて、正確なDNSサーバーが応答する前に誤った応答を行う。

2015年から、ブラックホールの範囲内でブロックされるドメインへのアクセスリクエストはランダムのIPアドレスが返される[42]

典型的な回避方法はHosts fileを修正する、Webブラウザーでドメイン名の代わりにIPアドレスを入力する、DNS over TLS / HTTPSを使用などがある。

これらのプロキシーは、リクエストされたURI、 "Host"ヘッダー、およびWebページのコンテンツ（HTTPリクエストの場合）、またはServer Name Indication HTTPSリクエストの場合）をスキャンしてキーワードを探す。[43]

HTTPリクエストのPOSTデータを検閲できない、不正なHTTPリクエストを検閲できないなど、これらのプロキシーに複数の制限があることが調査により判明している。[44]

また、webSocketのような新しいプロトコルも同様である。

DNSフィルタリングと類似、この方法もキーワードに基づいて作動する。

封鎖キーワードはずっと同じものではない、2019年では、透過プロキシーを使ってwikipedia.orgへのアクセスはブロックされた。

サーバー名表示の暗号化はこのフィルタリング方法をするためにも使用でき、 IETFによって現在開発中である。[45]

2012年以降、GFWは機械学習を使用して、トラフィックの特徴に基づいて「学習・フィルタリング・ブロック」することができた。[46]

この技術は最初からVPNをブロックするために開発された技術で、すでにGFWのシステムの標準機能の一部になっている。GFWが持つ全部のトラフィック分析用ユニットをミラーリングで機能する（ネットワークタップを使用）。分析ユニットは、各宛先IP毎に、接続がどれくらい疑わしいかを表す点数に算出している。この点数によって、パケットを廃棄したり、接続を遅くしたりする。トラフィックを極端に遅くすることにより、クライアント側でタイムアウトになるため、効果的にブロックすることができる。

GFWの分析システムは、サイドチャネル（パケットのサイズなど）を使用して、接続が疑わしいかどうかを推定していると考えられている[47]。トラフィックパターン（SSHトンネリング、VPN、Torなどのプロトコル）を検出し、暗号化されたトラフィック（SSLトンネルを介したHTTPSなど）のパケットの情報量を測定することができる。

このシステムは機能するために人間の操作を必要とせず、DNSフィルタリングおよびプロキシーシステムとは完全に分離されている。

このブロッキングに遭遇した時、ウェブサイトが読み込み始めには見えるのに、すぐに「接続がリセットされました」などエラーに変わる。

GFWは、パケット偽装を使ってTCP送信を任意に終了させることができる。ブロッキングはTCPリセット攻撃を使って行う。この攻撃はTCP要求もTCP応答もブロックしないが、悪意のあるTCP RSTパケットをリクエスト元に送信し、接続の終わりをシミュレートする。サイドチャネル分析は、TCPリセットがQoSフィルタリングルーターと共存、または共有されている構造から来ているようである[48]。

この構造はスコアリングシステムを更新し、以前のTCP接続がフィルタによってブロックされている場合、両側からの将来の接続試行も短期間（最大数時間）ブロックされる可能性がある。効率的な回避方法は、ファイアーウォールによって送信されたリセットパケットを無視することである[49]。これを目的としたFreeBSD用のパッチが開発された[50]。

中国のサイバーセキュリティ法によって、理論上中国の政府機関は中国の任意の認証局にルート証明書を請求と使用することできる。 [51]例えばCNNICのようにMITM攻撃を仕掛けられる。法律が制定される前の過去10年間にも、複数の事件が発生した。
2013年1月26日、GFWによりGitHub SSL証明書が中国のセルフ署名証明書に置き換えられた [52]。

2014年10月20日、中国のiCloud SSL証明書がセルフ署名証明書に置き換えられた[53] 。中国政府がAppleデバイスの脆弱性を発見し、それを悪用していたと考えられている[54]。

2015年3月20日、GoogleはCNNICが作成したエジプトで署名したGoogleの有効な証明書を検出した。

これらのことを受け、CNNIC証明書は一部のブラウザーで削除された[55]。実証された不正がある証明書のみが削除されるので、他の中国の認証局がWebブラウザーから削除されたことはなく、その後追加されたものもある。[56]

この種の攻撃は、Certificate Transparency（証明書の透明性）[57]を実装するWebサイトによって回避されることがある。

IPブロッキング、特にTLS/SSLおよびTorのブロッキングを容易にするために、中国国内の未知のエンティティから米国内のコンピュータへの故意なTCP/IP接続したことも報告されている。[59]