日本では馴染みのないインターネット規制。実は、中国だけでなく、ロシア、エジプト、キューバなど多くの国で国策の一環として人々の言動、情報を規制しています。
中国は世界的にも最高レベルのインターネット規制がひかれていますが、隣の韓国でも一部サイトの閲覧が規制されています。
中国では「金盾」もしくは"Great Firewall"（GFW）と呼ばれるインターネット検問が、国外との通信を監視・遮断しています。
「金盾工程」は公安部の情報化プロジェクトとして2003年9月に着工し、2006年11月に国の検収を通過したと政府が発表しています。GFWは金盾と同じものとして語られることが多いものの、政府が発表した金盾工程の中身は人口・犯罪情報などの公安情報システムで、GFWとの関係は公表されていません。
米国企業との関係では、Ciscoの2002年の社内資料が2008年の米上院公聴会で問題視されました（Cisco側は検閲への関与を否定しています）。
グレートファイアウォール（金盾）の運営
中国のグレートファイアウォールは単一の組織が運営して検問を行っているわけではありません。大きく分けると下記の組織から構成されています。
- 検閲技術の研究・開発者（エンジニア）
- 検査官
- 自動検出システム（検閲装置）
- 中国3大インターネットサービスプロバイダー（China Telecom, Unicom, Mobile）
研究開発の担い手の一端は、2025年9月の大規模な資料流出で表に出ました。GFWの研究開発に関わる企業Geedge Networksと、中国科学院信息工程研究所のMESA実験室から、ソースコードや作業ログなど約600GBの内部資料が流出したと、検閲研究グループのGFW Reportが分析しています。
インターネットのインフラは主に中国の3つのインターネットプロバイダーが握っており、海外のインターネットへ繋がる国際出口もそれらのプロバイダーが整備し管理しています。
国際インターネット業務を扱う国際通信業務出入口局は、2024年まで北京・上海・広州の3都市にある9局だけでした（出入口局は全国に30局あり、残りは国際インターネット業務を扱っていません）。2024年7月には、工業和信息化部が南寧・青島・昆明・海口の4都市に計6局の設置を許可しています。北京・上海・広州以外に国際インターネット業務を扱う局が置かれるのは、1994年の全機能接続以来初めてです。
検閲装置がどこに置かれているかは公表されていませんが、2011年の測定研究（Xu・Mao・Halderman）では、装置の多くは国外との境界にあたるネットワークに置かれ、China Telecom系では省内のネットワークにも分散していることが示されています。
中国インターネット検問（グレートファイアウォール）の仕組み
この検問システムは一般的にグレートファイアウォールと呼ばれていますが、パソコン等にインストールされているファイアーウォールとは機能が異なります。
GFWの主な仕組みは、通信のコピーを検査し、ブラックリストのサイトや規制対象の語句を見つけると偽のリセット信号を送って接続を切る、侵入検知システム（IDS）に近いものです。一方で、IPアドレスやポート単位で通信そのものを通さない遮断も行われています。
下の図は、GFWが通信を遮断する流れを示したものです。
図中の「404エラー」は実際の動作とは異なります。GFWは、偽のリセット信号を差し込んで接続を切る（2006年のClaytonらの研究）、偽のDNS応答を返す、宛先IPへの通信を通さない、といった方法で遮断します。ブラウザには「接続がリセットされました」やタイムアウトとして表示されます。
GFWの検出方法は主に2つの方法で行われているようです。1つは検査員によって、もう1つは自動検出システムによって機械的に行われています。
ブラックリスト＝閲覧禁止のウェブサイトは多岐に渡ります。
Google各種サービス、YouTube、Facebook、X（旧Twitter）、Instagram、LINE、Dropbox… 海外で使われている主要なSNS、クラウドサービス、動画サイトの多くが遮断されています。
その他一部のブログ、アダルト系、企業ホームページ、慈善団体、宗教法人、VPNプロバイダー等が閲覧不可能となっているようです。
下記関連サイトからサイトがブロックされているか否か確認出来ます。
関連GreatFire.org（サイトの遮断状況と履歴を調べるツール）
専門的に説明を加えると、次のような検問を行っています。
- DNSポイズニング：閲覧禁止のウェブサイトにアクセスした際に、DNSサーバーからの返答を意図的に妨害、改ざんしてアクセス出来ないようにしている。VPN利用時に起きる「DNSリーク」とは別の問題で、違いはGFWのDNS汚染とDNSリークの切り分け方にまとめています。
- 特定のIPへのアクセスをブロック：規制されていないIPを利用したり、非公式なDNSサーバーを使って閲覧禁止のウェブサイトへのアクセスを防ぐ為に、特定のIPへのアクセスをブロックする事が出来るようです。
- URLの分析とフィルタリング：URLに規制対象のキーワードが含まれている場合、URLをスキャンしてそのURLのみをブロックする事ができます。
- パケットのフィルタリング：“Deep packet inspection” という機能を使用して、暗号化されていないパケットを調べ、政治的に問題となるキーワードが含まれていないかチェックしています。
- 接続のリセット：ファイアーウォールが政治的に問題となるような通信を感知した場合、ある一定の期間の間やり取りをしていたパソコン同士の通信をブロックしています。
- VPNのブロック：2012年末ごろ、VPN事業者から、暗号化されたVPN通信をGFWが識別して遮断するようになったとの報告が出始めました（Astrillは少なくとも4種類のプロトコルが遮断されたと利用者に通知）。プロトコル特有の通信パターンを手がかりに、接続を切るか、使えない水準まで減速させていると考えられます。OpenVPNやWireGuardのような汎用プロトコルが狙われやすい理由はプロトコル別の中国での注意点で解説しています。
ここまでの方法は、流れてくる通信を見て判断するものです。中国の検閲システムはこれに加えて、怪しいと判断した通信の接続先サーバーへ自ら接続を送り、返ってくる反応で正体を確かめる「アクティブプロービング（能動的探査）」も行っています。
2015年の研究（Ensafiら、IMC 2015）では、Torの中継サーバーや、Torの通信を見分けにくくする（ランダムなデータに見せる）obfs2・obfs3を対象に、この探査が送られていたことが報告されています。同じ研究は、探査のきっかけになる監視装置は、偽のリセット信号を差し込む装置とは別のものと見られるとしています。
2020年の研究（IMC 2020「How China Detects and Blocks Shadowsocks」）では、GFWが接続の最初のデータパケットの長さとランダムさからShadowsocksらしい通信を推定し、その接続先へ7種類の探査を段階的に送って確かめていることが示されました。観測された51,837件の探査は、中国国内の12,300の送信元IPアドレスから届いています。
ただし同じ論文は、探査を受けたサーバーのうち遮断されたのはごく一部で、探査と遮断の関係ははっきりしないとしています。2021年11月からは、探査を使わず通信の特徴だけで、ShadowsocksやVMessのように全体が暗号化された通信を見つけて遮断する仕組みも確認されています。ただし対象は人気のデータセンターに向かう通信に限られ、遮断も確率的です（Wuら、USENIX Security 2023）。
年表：GFWをめぐる主な出来事（1994年〜2026年）
GFWは一度に完成したものではなく、30年かけて設備と運用が積み重なってきました。GFW側の主な出来事を、公式発表・研究・報道で確認できるものに絞って並べます。
- 1994年
- 中国が国際インターネットへの全機能接続を開始（出典：中国信息通信研究院の解説）
- 2002年9月
- 中国からGoogleに約2週間つながらなくなる。公式発表はなかった（出典：The Week）
- 2003年9月
- 公安部の「金盾工程」が着工（出典：中国政府网）
- 2006年
- 英ケンブリッジ大学の研究者が、GFWは通信を止めるのではなく偽のリセット信号を差し込んで接続を切っていることを論文で報告（出典：Clayton ほか「Ignoring the Great Firewall of China」PET 2006）
- 2006年11月
- 金盾工程が国家検収を通過（出典：中国政府网）
- 2008年5月
- 米上院公聴会で、Ciscoの2002年の社内資料が問題視される。Cisco側は検閲への関与を否定（出典：NBC News）
- 2009年6〜7月
- Twitter（6月）、Facebook（7月、ウルムチ事件の直後）が遮断され、現在まで続く（出典：NBC News、TechCrunch）
- 2011年
- 測定研究で、検閲装置の多くは国外との境界のネットワークにあり、China Telecom系では省内にも分散していることが判明（出典：Xu・Mao・Halderman、PAM 2011）
- 2012年12月
- VPN事業者から、暗号化されたVPN通信が識別・遮断されるようになったとの報告が出る（出典：The Register）
- 2015年4月
- GFWと同じ回線上に置かれた攻撃装置「Great Cannon」が、GitHubとGreatFire.orgへの大規模攻撃に使われたと特定される（出典：Citizen Lab）
- 2017年1月
- 工業和信息化部が、許可なく専用線（VPNを含む）を構築・賃借して越境業務を行うことを禁じる通知（工信部信管函〔2017〕32号）。2018年3月末までを取り締まり期間とした（出典：国家互联网信息办公室の掲載文）
- 2024年7月
- 工業和信息化部が、南寧・青島・昆明・海口に計6つの国際通信業務出入口局の設置を許可。国際インターネット業務を扱う局としては北京・上海・広州以外で初（出典：中国政府网）
- 2025年8月20日
- 北京時間0時34分から約74分間、TCP443番ポート（HTTPSの標準ポート）の国際通信が無差別に遮断される。原因は公表されていない（出典：GFW Report）
- 2025年9月
- GFWの研究開発に関わる企業Geedge Networksと中国科学院信息工程研究所MESA実験室から、約600GBの内部資料が流出（出典：GFW Report）
- 2026年1月
- 改正「网络安全法」施行（2025年10月28日採択）。改正の中心はAI・個人情報・罰則で、VPNを名指しする条文はない（出典：中国政府网）
- 2026年4月
- VPNへの新たな取り締まりが報じられ、28日にはLetsVPNが中国大陸向けの業務終了を発表（出典：ABC News、中央通訊社）
GFWはVPN通信をどう扱ってきたか
VPNの仕組みは、中国国内から日本や香港等のVPNサーバーへアクセスして、そのサーバーを経由して世界のインターネットへのアクセスします。
国外のVPNサーバーまでの通信は全て暗号化されており当局でも通信内容を解読する事が出来ないので、URLの分析、パケットのフィルタリング、DNSポイズニングを回避する事が出来ます。
2010年代に入ると検問の技術が向上し、VPNのプロトコルを検知して接続先のサーバーIPをブロックするようになりました。サーバーのIPアドレスがブロックされてしまうとVPNでの接続自体が不可能になってしまいます。
2017年1月には工業和信息化部が、許可なく専用線（VPNを含む）を自ら構築・賃借して越境業務を行うことを禁じる通知を出し、2018年3月末までの取り締まり期間を設けました。
VPNプロトコルが識別されやすくなったことへの対抗策として広まったのが、通信をVPNらしく見せない暗号化プロキシです。Shadowsocksが生まれた背景と、今も使える条件もあわせて読むと、GFWとの攻防の流れがつかめます。
2026年は4月に入って、VPNへの新たな取り締まりが始まったと報じられています。オーストラリアABCの報道では、一部地域の通信事業者がネットワーク内のVPNを洗い出して遮断するよう指示されたとされています。
その影響を受けたのが、「いつでも繋がる」を掲げていた翻牆アプリ「LetsVPN（快連VPN）」です。同社は2026年4月28日、中国大陸向けの業務運営を終了すると発表しました。
声明では、ネットワーク封鎖が続くなか、過去20日間ほぼ毎時間試行と調整を重ねたものの、接続の問題を有効に解決できないと判断した、と説明しています。5月には通常運営を再開したものの、中国での利用可能性は保証できないとしています。
なお、同年1月1日には改正「网络安全法（サイバーセキュリティ法）」が施行されています。ただし改正の中心はAI・個人情報・罰則の強化で、VPNを名指しする条文は含まれておらず、4月の取り締まりとの関係は公表されていません。
中国で規制対象のサイトを閲覧したい場合は、中国で使用可能なサービスを選ぶ必要があります。
国際専用回線は、一般の国際インターネット出入口を通らずに国外のサーバーへつなぐ回線です。境界の検閲装置を通る一般のVPN通信とは経路が異なるため、取り締まりの影響を受けにくいと考えられます。
