封锁波复盘:一次"重要会议"前后,GFW 对机场做了什么
10 月 24 日(周六)下午 15:11,我的告警邮箱在 60 秒内连续收到 5 封邮件——本站监控的 8 家机场里,5 家同时"在线率 0%"。不是哪家跑路了,而是所有家一起倒了。
11 小时后,它们又整齐地活了过来。
这篇文章用探针留下的完整数据,加上公开日历和社区观察,还原这次事件的来龙去脉。先说结论:这是一次针对 TCP 流量的临时管制,不是永久封锁,而且它和 10 月下旬那场重要会议的日程严丝合缝。
时间线:两次预警,一次重锤
| 时间(北京) | 事件 | 距会议开幕 |
|---|---|---|
| 10-16 19:40 | 4 家机场同时归零,10 分钟后恢复 | 前 10 天 |
| 10-19 05:20–08:00 | 多家反复"归零→恢复"震荡 2.5 小时 | 前 7 天 |
| 10-24 15:00 | 8 家中 5 家同时归零,持续 11 小时 | 前 2 天 |
| 10-25 02:00 | 全部恢复 | 前 1 天 |
| 10-26 ~ 10-29 | 会议期间:在线率 90% → 95.7%,不降反升 | 会期 |
| 11-02 起 | 散会后一周,再度出现波动(持续观察中) | 会后 |
加压是循序渐进的:先是两次短暂的"试水",然后是会前两天的一记重锤。而会议正式开幕后,管制反而解除了——压力最大的时候不是开会时,而是开会前。
逐小时复盘:一次教科书式的"开关"
三个细节值得玩味:
- 启动干脆:15:00 前在线率还稳定在 91.5%,一个小时内跌到 20.9%,再一小时躺平到 6.7%——总闸式下跌,不是逐个节点慢慢死
- 谷底纹丝不动:6.6%~6.7% 横了整整 11 个小时,像被钉住的仪表
- 解除在整点:02:00 整,从 6.7% 直接跳回 91.6%,一分钟都不差
如果是常规的逐 IP 封锁,曲线应该是渐变的、参差的。这种"一刀切下、整点复位"的形态,更像是行政指令式的流量管制:到点开、到点关。
技术鉴定:封的到底是什么?
不是封 IP——同一批节点原地复活
我们对比了事件前后各机场的节点地址集合:
| 机场 | 事件前节点数 | 恢复后 | 与事件前完全相同? |
|---|---|---|---|
| 紅葉 / 动力港 / 飞兔云 / 一分机场 / 牛逼机场 / NanoCloud | 20/40/71/28/16/1 | 同左 | ✅ 一个不差 |
| WY Cloud | 213 | 189 | ❌ 62 消失、38 新增 |
7 家里有 6 家,恢复上线的就是原来那批 IP。被永久封锁的 IP 不可能 11 小时后整齐复活——所以这是一次临时管制,不是拉黑。(WY Cloud 是唯一的例外,它借这次事件换了一批资源,与它在 #3 里的"订阅瘦身"一脉相承。)
精准打击 TCP,放过了 UDP
| 协议 | 前一天同时段 | 事件窗口 | 生死 |
|---|---|---|---|
| hysteria2(UDP) | 100% | 100% | 毫发无损 |
| vmess | 100% | 6.0% | 团灭 |
| ss | 100% | 2.9% | 团灭 |
| anytls | 84.8% | 1.4% | 团灭 |
| vless | 68.2% | 5.5% | 团灭 |
这是本次复盘最有价值的发现:所有基于 TCP 的协议(ss / vmess / vless / anytls,包括 Reality)集体倒下,而基于 UDP 的 hysteria2 全程 100% 在线。管制是冲着 TCP 去的,UDP 被漏过了——或者说,被有意放过了。
侥幸"活着"的 TCP 连接也不好过:存活探测的延迟中位数从平时的 211ms 飙到 8187ms(约 40 倍)。就算能连上,也被 QoS 压制到基本不可用。
这也顺带回答了社区里"Reality 是不是被精准识别了"的争论:从我们的数据看,Reality 没有被单独识别——是所有 TCP 被无差别管制,Reality 只是恰好跑在 TCP 上。而 hysteria2 用户的"岁月静好",靠的是 UDP,不是协议混淆有多高明。
敏感日历:这不是第一次,也不会是最后一次
把这次事件放回历史里看,模式非常稳定:
- 会前一周左右开始加压(10-19 凌晨震荡)
- 会前 1~2 天达到顶峰(10-24 集体事件)
- 开幕即松手,会期反而平静(10-26~29 在线率不降反升)
- 散会后是否重新收紧,视情况(11-02 起的波动还在观察)
每年的两会、党代会、重要纪念日前后,翻墙社区都会出现类似的"机场集体阵亡"报告。它就像梅雨季:你知道它要来,只是不知道具体哪天下雨。这次我们第一次用自己的探针,把"下雨"的精确时刻和雨量记录了下来。
社区侧写(未经证实的观察)
同一时期,翻墙社区的动静:
- linux.do 同期热帖:"奇怪,订阅的几个机场全部都挂了"——与我们探针记录的事件同频
- 《侃侃墙》10 月直播主题:"GFW 放大招!TCP 封锁持续升级!VLESS-Reality 惨遭精准打击?"——"TCP 封锁升级"与我们的分协议数据一致;"Reality 被精准打击"则不准确(见上文鉴定)
- 有订阅源的周报在 10-16 那周的标题是:"重要会议前最后一个平静周"——事后看,相当准确
- 更大的背景:2026 年 4 月国内专线中转被拔、快连 VPN 倒下,机场的处境整体在恶化
以上均为社区观察,真实性请自行判断;本站数据只负责佐证"10-24 确实发生了一次 TCP 定向临时管制"这一件事。
普通用户怎么办
- 把敏感日历用起来:两会、党代会、重要纪念日前一周,提前更新订阅、充好值,别等断了再想办法
- 手里留一个 UDP 协议的备胎:hy2 / tuic 节点在这次管制中完全免疫。你的机场订阅里大概率就有,找出来,收藏它
- 事件中躺平,别折腾:看到多家同时归零,12 小时内大概率自己恢复(这次 11 小时)。此时换机场、改配置都是无用功(详见 敏感时期自救)
- 选机场加一条新指标:恢复速度。事件后谁先爬起来、谁一周爬不回来,比平时的测速截图更能说明运维能力
- 永远有 Plan B:两家以上机场 + 一个自建节点,是任何单点故障都伤不到你的唯一方式
局限性
- 样本:本站监控的 8 家机场、408 个节点,美国单点探针,只代表国际方向
- "会议与管制的因果关系"是时间相关性推断,无法从数据层面证实;会议名称按社区惯例隐去,时间点均为公开信息
- hysteria2 的样本量较小(约 780 次探测),但 100% 的存活率方向性足够明确
- 11-02 之后的新波动截至发稿仍在发展,如有结论会在状态页和后续复盘中更新
系列前三篇分别讲了 监控方法论、探针实现 和 常态数据复盘。这一次,数据赶上了大事件——监控的意义,就是在"感觉全世界都断了"的时候,告诉你到底断了什么、什么时候会回来。