Mallory Knodel：审查始于丢包之前

摘要

用户看见网页打不开，网络工程师看见异常 DNS 响应、TCP 重置、持续丢包或路由变化。这些都是证据，却处在过程末端。拥塞、设备故障和配置错误也能留下相似痕迹。即使干预确属故意，执行者也可能只是接受另一权力主体的指令。

2023 年发布的 RFC 9505 提供了一套克制的语法。处方决定要压制哪些内容、用户、服务或协议；识别把具体流量或标识符归入这个目标；干预才真正阻止访问或降低连接质量。Knodel 是六位作者之一，文档体现 IRTF 的 PEARG 研究组共识，不是 IETF 标准。

这三个词的价值，在于阻止三种对象被压成一个事实。域名出现在清单里，可以证明有人做过选择，却不能证明清单已经装入运行系统，也不能证明某次请求被命中。分类器把一条流量标成目标，不等于动作已经发生。某个观测点反复收到重置，可以支持“发生了干预”，却未必揭示处方来源、匹配规则或真实意图。

第一份记录处方。谁选定目标，依据什么权力，适用于哪个地域，从何时生效，何时过期，怎样申诉？抽象要求可以被写成关键词、域名、IP 地址、图像哈希、账户类别或概率模型。这个决定在任何数据包发出之前就能改变。

第二份记录识别。系统究竟看见了什么？应用层可能暴露主机名、URL、HTTP 字段或内容模式；传输层可能暴露端口、握手特征或协议指纹；网络层则有地址和路由。深度包检测可以重组流量，但“能够看见”并不自动等于“已经执行”。反过来，粗粒度阻断也可能根本没有精确识别每个目标。

第三份记录干预。DNS 可以被篡改，数据包可以被延迟、丢弃或注入 RST，路由可以被撤回或恶意宣告，网络可以被断开，服务可以遭受 DDoS，服务器或内容也可能在法律或商业压力下被移除。成本、范围和附带损害完全不同的动作，最终都可能只留下一个空白页面。

所以，“被封锁”这个二元标签仍可用于事故分流，但必须限制含义。它可以描述某地、某时的观测结果，不能顺手替代对规则、主体与意图的证明。把未连上的证据链明确标成推断，反而能让结论更可靠。

RFC 9505 列出的控制点横跨整个系统：骨干与国际网关、ISP、学校或企业等机构、CDN、证书机构与注册职能、应用服务、内容站点和个人设备。审查并不天然居住在运营商链路中的某台设备上。

处方者、观察者和执行者可以属于不同组织。网关能够识别通信，平台也能在不制造网络异常的情况下删除内容；证书或命名依赖可能受到压力；雇主可以在局域网内过滤；预装软件甚至能在流量抵达 ISP 前阻止访问。查清“哪里失败”不等于查清“谁作了决定”。

文档把多种方法并用称为“纵深审查”。同一资源可以同时遭遇 DNS、地址和应用信号封锁，也可以由多套系统平行执行。这样做更昂贵，却使绕过一层不足以恢复访问。旧症状消失时，调查者不能立刻宣布恢复；干预可能只是换了层次。

加密确实能减少识别面。HTTPS 让被动中间方看不到请求路径和响应正文，受保护的握手字段也可能拿走一个廉价域名信号。RFC 9505 把越来越多协议采用加密称为对部分审查技术有效的对策。

关键在“部分”。细粒度信号消失以后，行动者可以改用 IP 地址、时序或其他元数据，封锁整类加密协议，接受更高误伤，也可以把压力转向服务提供者和终端。RFC 并未断言这些选择必然发生；它的控制点地图只是说明，权力仍有迁移路径。

于是，误伤可能不再只是工程缺陷，而是某个主体愿意支付的政治和经济成本。RFC 7754 从范围、粒度、有效性和附带损害分析技术性封锁。精确规则可能更贵、更容易被绕过，却少伤及无关服务；粗粒度动作更便宜，却可能让大量合法通信一并消失。具体是否合法或合乎伦理，超出该文档的技术结论。

RFC 9505 是 IRTF 信息类文档，是既有研究的综述，不对单个协议提出规范性建议，也不增加新的安全要求。它明确承认，审查技术变化很快，文档只是一个时间截面，需要未来用可比方法更新。文中的历史案例不能被当作 2026 年的实时国家排名。

这样的边界使分类法更有用。RFC 6973 在隐私分析中也要求区分关联、识别和系统部署背景，因为协议属性不能独自决定整个系统的行为。RFC 8890 则记录 IAB 的立场：当利益冲突时，标准工作应优先考虑最终用户。它们提供判断背景，却都不能把一次超时变成关于意图的确定结论。

Knodel 与合著者的贡献，是让调查从最后一帧向前走：谁规定，靠什么识别，在哪里干预。丢包是真的；只有三份证据被正确连接，关于审查的叙述才可能同样真实。