匿名CDN流量中继
内容提要
文章探讨利用CDN隐藏真实服务器地址以突破网络审查的技术。CDN按HTTP Host转发请求，但审查者可通过明文SNI监控并封锁。域名前置利用SNI与Host不一致规避，已被CDN禁止；ESNI加密SNI，却因CDN边缘节点解密而失效。作者认为中心化CDN终难逃审查，未来需依靠去中心化网络与区块链技术。
延伸解读
CDN转发机制与审查弱点
文章指出，CDN节点根据HTTP请求头中的Host值选择回源服务器，而非TLS握手时的SNI。这是因为TLS加密通信不一定需要合法证书，且旧浏览器可能不发送SNI。审查者难以区分伪装流量与合法流量，若全面封锁可能造成误伤。但CDN可被要求禁止域名前置，如Google、Cloudflare已修改逻辑，验证SNI与Host是否匹配，不匹配则拒绝回源。
ESNI的加密闭环与局限
ESNI通过加密TLS握手时的SNI字段来保护隐私，其公钥通过DNS记录分发，客户端用公钥加密SNI，仅目标服务器能解密。Cloudflare建议结合DNS-over-HTTPS防止DNS欺骗，形成完整加密闭环。然而，文章强调，由于CDN边缘节点需解密HTTPS请求以获取Host等信息，ESNI在CDN场景下失效，审查者若控制CDN，加密努力便付诸东流。
中心化CDN的审查困境
文章认为，中心化CDN结构注定难以逃脱审查。CDN服务商在全球部署节点，用户请求经边缘节点解密，服务商能查看请求细节。若审查者控制CDN，用户直接退回HTTP时代。即使额外加密HTTP载荷，CDN也无法提供保护。因此，作者断言审查者已牢牢控制CDN服务商，依赖中心化CDN突破审查不可持续。
去中心化网络的未来方向
面对中心化CDN的局限，文章提出未来需依靠去中心化网络与区块链技术。用由数亿设备组成的去中心化网络替代CDN边缘网络，每个节点参与数据传输，审查者无法控制整个网络。同时，将信息写入不可篡改的公共账本，以保护数据本身。作者认为，密码学已保障传输保密，下一步是保护数据，并称我们正处于革命前夜。
Q&A
什么是匿名CDN流量中继？它如何帮助绕过网络审查？
匿名CDN流量中继是一种利用CDN隐藏真实服务器地址的技术。通过将TCP和UDP流量封装在Websocket通道中，并经CDN转发到中继服务器，使监控第三方无法确定中继服务器的真实地址，从而增加审查者封锁的难度。
CDN是如何处理HTTPS请求的？
CDN服务商在全球部署多个数据中心，用户请求首先到达最近节点，然后逐级转发至目标服务器（称为“回源”）。用户通过DNS查询获得最优节点IP，与节点建立TLS连接，发送SNI扩展，节点根据SNI选择证书。TLS连接建立后，节点根据HTTP请求的Host头将请求转发给源服务器。
什么是域名前置？它为什么被CDN禁止？
域名前置是一种基于CDN隐藏真实连接地址的审查规避技术。它在明文DNS请求和TLS SNI中使用无害域名，而实际要连接的敏感域名只在加密的HTTPS连接建立后发送，从而避免被审查者发现。但由于审查者难以区分伪装流量与合法流量，可能强制CDN禁止该功能，因此Google、Cloudflare等厂商修改了转发逻辑，现在大多数CDN会验证SNI与Host是否匹配，不匹配则拒绝回源。
ESNI是什么？它如何保护隐私？
ESNI（加密服务器名称指示）是一种加密TLS握手过程中SNI部分的技术。由于ClientHello消息在协商加密密钥前发送，ESNI密钥通过DNS记录传递：在DNS解析时获取服务器公钥，用其加密SNI记录，只有正确的服务器能解密。为防止DNS欺骗，Cloudflare希望用户使用DNS-over-HTTPS，从而形成完整的网络加密闭环，保护用户隐私。
为什么中心化CDN最终难以逃脱审查？
因为CDN服务商在边缘节点解密用户HTTPS请求，可以（且必须）查看请求细节，如Host头。如果审查者控制CDN服务商，就能直接获取请求信息，相当于退回HTTP时代。即使加密HTTP负载，CDN也无法提供额外保护。中心化网络结构注定无法逃脱审查，审查者可以强制控制这些网络。
未来对抗审查可能依靠哪些技术？
未来可能依靠去中心化网络和区块链技术。用由数亿设备组成的去中心化网络替代CDN的边缘网络，每个节点都参与数据传输，审查者无法控制整个网络。同时，将信息写在不可变的公共账本上，利用密码学保证传输秘密，并进一步保护数据本身。
