你刚点开一个网站，网警网站页面还没加载完，知道浏览器就弹了红色警告。浏览这不是不良巧合。你访问的网警网站域名早就在网警的监控名单里躺着，从你发出请求到收到拦截提示，知道整个过程不超过200毫秒。浏览

网警不是不良坐在屏幕前一个个盯人。他们靠的网警网站是三层过滤网。

第一层在运营商机房。知道移动、浏览联通、不良电信的网警网站骨干网出口都装了分光设备，所有流量复制一份送到检测系统。知道系统里跑着关键词匹配和IP黑名单。浏览你输入的网址如果命中了名单，直接丢包。这层最粗暴，也最快。缺点是加密流量看不见内容，只能看目标地址。

第二层是DNS层面。你输入网址，电脑先问DNS服务器“这个域名对应哪个IP”。网警在DNS查询环节做了手脚。不良网站的域名会被解析到一个“黑洞IP”，通常是127.0.0.1或者某个警告页面服务器。你的浏览器拿到假地址，自然打不开真网站。有些地方还搞DNS污染，返回一个假IP让你连到钓鱼页面，记录你的访问行为。

第三层最隐蔽，在终端侧。你电脑上装的杀毒软件、浏览器插件，甚至输入法，都可能带URL过滤功能。它们把访问记录上传到云端比对。360、腾讯管家这些国产安全软件，后台都接入了网警的威胁情报库。你点开一个链接，本地还没反应过来，云端已经标记了。

那加密流量怎么办？HTTPS不是万能的。网警不一定要解密内容，他们看的是“元数据”。你连了哪个IP、用了什么端口、传输了多少字节、什么时间段活跃。这些信息足够画出你的行为画像。一个IP如果被大量用户短时间内高频访问，而且流量特征符合视频流或图片流，系统自动标记为可疑。人工审核介入后，如果确认是不良网站，这个IP段会被整体封禁。

有个案例挺典型。2022年江苏某地网警抓了一个传播淫秽物品的团伙。主犯把服务器架在境外，用了CDN加速，域名每天换。但他忽略了一件事：CDN节点IP是固定的。网警不封域名，直接封了那几个CDN节点的IP段。结果国内用户访问任何用那个CDN的网站都变慢，包括一些正常网站。运营商投诉电话被打爆，但网警不在乎。他们算过账：封一个IP段，误伤几百个正常网站，但能切断几万人的不良内容访问。这笔买卖划算。

还有更直接的。有些不良网站会诱导你下载专用播放器。那个播放器一装，它就在后台定时向服务器发送心跳包。网警截获心跳包，反向追踪服务器地址。同时，播放器本身可能带后门，能读取你的浏览历史。你以为是自己在偷偷看，其实播放器把你的访问记录打包上传了。上传的地址就是网警的蜜罐服务器。

普通人最容易被抓的场景是“分享”。你在微信群里发了一个链接，群里有人点了，然后那个人被警告了。网警溯源时，第一个查的就是分享者。转发超过一定次数，或者被举报，你的账号会被标记。别以为撤回就没事，服务器日志保存至少六个月。

说到底，网警知道你看什么，不是因为技术多神，而是因为互联网的每个环节都留了记录。你用的宽带账号是实名的，你连的WiFi有MAC地址，你浏览器有指纹，你输入法有词库。这些数据拼在一起，比你自己记得都清楚。想完全隐身？除非你不用任何国产软件、不连任何国内网络、不登录任何账号。但那样的话，你连这篇文章都看不到。