2019年夏天，国外我在深圳一家做跨境电商的网站公司待过两周。办公室里二十多台电脑，访问有一半的国外屏幕上挂着红色报错——PayPal后台打不开，Facebook广告管理页面转圈转到超时。网站技术主管老周走过来，访问挨个拍了拍显示器边框，国外说了句我至今记得的网站话：“别折腾了，墙又高了。访问”

他说的国外“墙”，就是网站GFW，英文全称Great Firewall，访问中文叫“防火长城”。国外这不是网站一个实体的墙，而是访问一套部署在国际网络出入口的过滤系统。你访问一个国外网站，数据包从你的电脑出发，先到国内运营商，再经过国际出口。GFW就蹲在这个出口上，检查每一个数据包。它认出了你不该访问的网站，直接丢包或者返回一个重置信号。你的浏览器等不到回应，就显示“无法连接”。

技术原理说起来不复杂，但实际操作起来很细。早期GFW主要靠IP黑名单和DNS污染。DNS污染是什么意思？你输入google.com，电脑先要问DNS服务器“这个域名对应的IP是多少”。GFW抢在真正的DNS服务器之前，给你一个假的IP地址。你拿着假地址去敲门，当然敲不开。后来升级了，开始做深度包检测，不光看地址，还看内容。你发出去的数据里如果带了敏感关键词，哪怕加密了，它也能通过流量特征识别出来，然后切断连接。

我有个做外贸的朋友，2021年为了给客户发产品图，试了七八种VPN。有的用了一周就失效，有的速度慢到传一张图要五分钟。他后来干脆租了一台香港的云服务器，自己搭了一个代理。结果用了不到一个月，IP就被封了。他换IP，再封，再换。最后他放弃了，改让客户用微信传文件。一个做国际贸易的人，被迫用国内社交软件跟中东客户谈生意，这事本身就挺荒诞的。

为什么有些网站能访问，有些不能？这跟网站的内容类型有关。Google、YouTube、Twitter、Facebook这些，属于被重点关照的对象。维基百科大部分时候能打开，但某些词条不行。GitHub偶尔会抽风，尤其是涉及某些项目的时候。苹果的iCloud、微软的Outlook，一般没问题，因为它们是商业服务。但如果你在iCloud里存了敏感内容，同步也可能失败。规则不是写死的，是动态调整的。今天能上的网站，明天可能就上不去了。

企业用户比个人用户更头疼。跨国公司在中国设办公室，通常要申请一条国际专线。这条专线走的是特殊通道，不受GFW影响。但专线贵得离谱，一个2M带宽的IPLC专线，月租可能上万。中小企业用不起，只能让员工用VPN。VPN本身不违法，但未经批准的VPN是违法的。2017年工信部明确规定，未经电信主管部门批准，不得自行建立或租用专线等其他信道开展跨境经营活动。翻译一下：个人翻墙自己用，一般没人管你；但你要是拿来卖钱或者给公司用，就可能被请去喝茶。

我自己的观察是，GFW的严格程度跟政治周期有关。每年三月、十月，或者有重大会议的时候，封得特别厉害。平时能上的网站，那段时间可能就上不去了。2022年春天，我有个做学术研究的朋友要查一批英文文献，JSTOR和Springer都打不开。他试了三天，最后找在国外的同学帮忙下载，再用邮件发过来。一个研究历史的人，查资料要靠别人转发，这已经不只是技术问题了。

有人问，为什么不干脆把国际网络全断了？因为做不到，也没必要。中国的国际贸易、学术交流、部分技术合作，都需要国际网络。全断了，经济先受不了。所以现在的策略是：该放的放，该堵的堵。放的是商业、部分学术、部分技术；堵的是社交、新闻、政治类内容。这个边界一直在变，今天放开的，明天可能就堵上；今天堵的，过段时间又松一点。没人能给出一个稳定的清单。

老周后来从公司离职了，去了一家做网络安全的企业。有次吃饭，我问他：“你们做安全的，天天跟墙打交道，不烦吗？”他喝了口啤酒，说：“烦什么，墙在那儿，活就在那儿。没有墙，我们这些人吃什么？”这话听着像玩笑，但细想挺真实。GFW的存在，养活了整整一个行业——VPN服务商、代理服务器出租、跨境专线销售、网络安全公司。有需求就有生意，有墙就有翻墙的人。

所以回到最初的问题：国外网站为什么不能访问？技术上是GFW在过滤，行政上是法规在限制，经济上是专线在分层，政治上是管控在调整。四个层面叠在一起，就成了你浏览器里那个转不完的圈。下次再遇到打不开的页面，别急着骂电脑，也别急着骂运营商。那个圈背后，是一整套运行了二十多年的系统。它不完美，但很有效。至少对老周来说，它意味着每个月按时到账的工资。