深入理解GFW：内部结构

更新：本文中的图像链接因为Google Docs改版失效已修复。Update: fixed some broken image links included here.

之前我们对GFW进行了大量的黑箱测试，尽管大多数实验数据都得到了良好的解释，但是还是有些数据或者体现出的规律性（不规律性）没有得到合理的解释。比如TCP连接的各项超时时间，比如Google的443端口被无状态阻断时，继发状态的持续跟源IP相关的问题。比如一般TCP连接的继发阻断时，窗口尺寸和TTL的连续变化特性。这些问题已经超出纯协议的范畴，需要对GFW的内部结构进行进一步了解才能明白其原因。所以在这一章介绍GFW的实现和内部结构。
总的来说，GFW是一个建立在高性能计算集群上规模庞大的分布式入侵检测系统。其分布式架构带来了很高的可伸缩性，对骨干网一点上庞大流量的处理问题被成功转换成购买超级计算机堆砌处理能力的问题。它目前有能力对中国大陆全部国际网络流量进行复杂和深度的检测，而且处理能力“还有很大潜力”（2009年8月）^[null]。

评一条读者留言

我们收到了一条有趣的留言：

听前同事说起这个文章，今天闲得无聊上网来看下。感觉写这篇文章的老兄看来知道不少情况，但是有些东西的实情其实也并不清楚。举几个例子来说吧：
1、GFW的经费可比金盾工程的多了不知道几十倍！
2、方滨兴之流的根本就不是什么真正的技术专家，只是众多“叫兽”之一而已。（说实话，就方滨兴、云晓春、刘欣然之流的，他们那点儿技术水平都是给我当学生过来的。）
3、GFW的技术水平其实就像作者所说的那样，发现特征、阻断，不行的话就封IP，根本谈不到什么高水平。
4、CNCERT的技术支持一直就是启明星辰，连工作人员都是从启明星辰借调的。

而在数十分钟之后，自曲新闻又有一条几乎相同的留言，似乎这位留言者存在某种混淆。

关于这条留言，我有一些看法：