深夜两点，公安城东网吧的部门角落，一个ID连续三小时向境外服务器发送加密数据包。何监网警支队的测上监测屏上，这个节点的公安流量曲线突然变得陡峭——系统自动标记，值班民警老张的部门终端弹出一条预警。整个过程不到四秒，何监没有人拨打电话，测上也没有人敲响网吧的公安大门。

公安部门监测上网，部门靠的何监从来不是传说中的"天眼"盯着你的屏幕。真正的测上基础是三道闸门：域名解析记录、IP地址溯源、公安流量特征识别。部门你访问任何网站，何监第一步必然经过DNS解析，这个请求会留下日志——就像你打电话，总得先拨号，运营商记录下你拨了哪个号码。全国各级公安机关通过合法的数据接口，能够调取这些解析记录。这不是秘密，各大电信运营商和云服务商都依法留存相关日志，最短六个月，最长两年。

光有日志不够，还得会看。流量特征识别才是老网警的看家本事。Tor匿名网络、VPN加密隧道、翻墙协议，这些工具产生的数据包有固定的"指纹"——握手方式、包长分布、时间间隔都有规律。监测系统像老中医把脉一样，能摸出哪些流量"脉象异常"。2019年广东警方破获的一起跨境赌博案，就是靠识别出某个境外博彩平台特有的心跳包特征，顺藤摸瓜抓了三十多人。这不是玄学，是实打实的算法匹配。

但你别以为公安能实时看到你微信发了啥、淘宝搜了啥。加密流量占了如今互联网流量的八成以上，HTTPS协议下内容本身是密文。公安能看到的，只是你和哪个IP、在什么时间、传输了多少数据。真要读内容，得走严格的法律程序——立案后凭搜查证或调取证据通知书，向腾讯、阿里这些公司索取。公司内部有专门的法务对接团队，每一次数据调取都留痕，超范围调取会被追究责任。

监测的重点从来不是普通网民。公安的算力有限，系统会按风险等级给IP打标签：涉恐涉暴、赌博诈骗、非法集资、邪教传播，这些是优先盯防对象。普通人的上网行为，除非触发了特定的关键词库或行为模型，否则连被记录的价值都没有。去年某省网警做过一次内部统计，每天系统产生的预警里，真正转成刑事案件的不到千分之三，大部分是误报——比如有人连续搜索"怎么制作炸药"，结果查下来是个写网络小说的。

有意思的是，基层民警最依赖的其实是"笨办法"。网吧实名制、酒店WiFi认证、学校机房审计系统，这些前置节点把用户身份和网络行为绑得死死的。你拿身份证开卡上网那一刻，你的MAC地址、IP地址、上机时间就全关联上了。出了事，不用查流量，直接调开卡记录就行。这套体系从2005年网吧实名制推行那天起就铺开了，比任何高科技都管用。

说到底，监测上网这事儿，本质是数据留存加异常识别。它不神秘，也不全能。公安能在事后追到每一个留下痕迹的违法者，但没法在事前读懂每个人的心思。技术手段和法律边界摆在那儿，剩下的，就是概率和时间的博弈了。