检测网站是否被墙

打开浏览器，检测输入网址，网站回车。否被页面转了两圈，检测然后告诉你“连接超时”。网站你心里咯噔一下：是否被被墙了，还是检测网站自己挂了？这两种情况看起来一模一样，但处理方式完全不同。网站分清楚它们，否被比学会翻墙更重要。检测

先做个最简单的网站判断——换个网络试试。手机开热点，否被用流量访问同一个地址。检测如果流量能打开，网站宽带打不开，否被那大概率是你本地网络的问题，比如DNS污染或者运营商抽风。反过来，如果流量和宽带都打不开，但用国外服务器去访问却正常，那基本可以确定：这个网站在你当前所处的网络环境下被拦截了。

我习惯用curl命令做第一轮排查。在终端里敲：

curl -I -m 10 https://example.com

如果返回HTTP/2 200，说明连接没问题。如果卡住不动，10秒后报Operation timed out，那就要看是TCP层就被阻断了，还是TLS握手阶段被干扰。有个小技巧：把https换成http再试一次。很多被墙的网站，HTTP请求会返回一个302跳转到HTTPS，然后跳转后的HTTPS连接被重置。这种“半通不通”的状态，往往就是关键词触发了中间设备的拦截规则。

更准确的方法是看TCP握手能不能完成。用tcping或者nc：

nc -zv -w 5 example.com 443

如果显示succeeded，说明端口是通的，问题出在应用层。如果直接超时，那IP层或传输层就被丢了包。我遇到过一种情况：ping得通，tcping443端口也通，但浏览器就是打不开。后来抓包发现，TLS Client Hello发出去之后，服务器返回的Server Hello被中间设备篡改成了RST包。这种针对SNI的阻断，用curl -v能看到Recv failure: Connection reset by peer。

DNS层面也有线索。用nslookup或dig查一下域名解析结果：

dig example.com +short

如果返回的是127.0.0.1、0.0.0.0或者某个明显不对的IP（比如脸书的域名解析到推特IP），那就是DNS污染。换用8.8.8.8或1.1.1.1再查一次，如果结果变了，说明你本地DNS被劫持了。不过现在很多拦截发生在更底层，DNS查出来是对的，连接照样被断。

还有一个土办法：用在线工具。打开check-host.net，输入网址，它会从全球几十个节点去探测。如果海外节点全部正常，中国大陆节点全部超时，结论就很清楚了。这个工具的好处是能同时看到TCP、HTTP和ping的结果，省去自己搭环境的麻烦。

说个具体的例子。去年我想访问一个技术文档站点，浏览器一直转圈。用curl -v看到TLS握手到Client Hello就停了。换http访问，返回301到https，然后连接被重置。但用tcping测443端口是通的。最后用openssl s_client -connect example.com:443 -servername example.com手动握手，发现服务器证书返回正常，但紧接着连接就被RST了。结论：SNI阻断。后来换了个IP，同样的域名，握手成功。说明拦截是针对特定IP段和SNI组合的。

判断被墙没有百分百准确的方法，因为干扰手段一直在变。但几个信号叠加起来，基本能下结论：TCP能通但TLS必断、DNS解析异常、海外节点正常而国内全挂、HTTP返回重置而HTTPS超时。遇到这些，别折腾本地设置了，问题不在你这边。

最后提醒一句：检测归检测，别拿生产环境去反复试探。有些拦截是动态的，你测太多次，可能原本能用的IP也被拉黑了。