匿名CDN流量中继
内容提要
文章讨论利用CDN中继流量绕过网络审查及审查方的反制。CDN依据明文SNI选择证书、依据HTTP Host回源，域名前置利用二者不一致隐藏真实目标；但多数CDN现已要求SNI与Host匹配，俄罗斯、韩国、中国等地也通过SNI嗅探、封锁ESNI加强审查。作者指出CDN边缘节点仍可解密请求，集中式结构难逃控制，未来或需去中心化网络与不可篡改公共账本保障隐私。
延伸解读
域名前置的失效与审查升级
文章指出，域名前置依赖CDN在TLS握手时按SNI选证书、回源时按HTTP Host转发的不一致。但多数CDN现已要求SNI与Host匹配，否则拒绝回源，Google、Cloudflare等已修改逻辑。同时，俄罗斯要求CDN禁止域名前置，韩国用SNI嗅探封锁网站，中国大陆和俄罗斯电信运营商全面封锁ESNI。这表明审查方正从协议层和行政层同时收紧，单纯依赖CDN隐藏真实地址的空间正在缩小。
CDN边缘解密：集中式结构的根本风险
文章强调，即使用户与CDN之间是HTTPS，请求到达CDN边缘节点后仍会被解密，CDN提供商必须读取Host等信息以回源和缓存。因此，若审查方控制CDN服务商，用户隐私便直接暴露，相当于退回HTTP时代。作者认为，集中式网络结构注定无法逃脱审查控制，CDN的“云”再大，其边缘网络仍可被强制掌控。这解释了为何仅靠CDN中继难以提供持久的安全保障。
去中心化与公共账本：作者提出的替代方向
面对CDN被控制的现实，作者提出用由数亿设备组成的去中心化网络替代CDN边缘网络，让每个节点参与数据传输，使审查方无法控制整个网络。同时，作者设想将信息写入不可篡改的公共账本，并指出密码学已能保证传输保密，下一步是保护数据本身。这些是方向性展望，而非已落地方案，读者应将其视为对下一代Web技术的期待，而非现成工具推荐。
Q&A
CDN中继流量是如何帮助绕过网络审查的？
CDN中继流量通过将TCP/UDP流量封装在Websocket通道中，经CDN转发到中继服务器，使监控第三方无法确定中继服务器的真实地址，从而增加审查者封锁的难度。
什么是域名前置？它为什么能隐藏真实访问目标？
域名前置是一种利用CDN隐藏真实连接地址的技术。它在明文DNS请求和TLS SNI中使用无害域名，而实际敏感域名只在建立加密HTTPS连接后发送，避免在明文阶段暴露给审查者。
为什么大多数CDN现在要求SNI和Host匹配？
因为审查者可以强制CDN服务商禁止域名前置功能，Google、Cloudflare等厂商已修改转发逻辑，要求SNI与Host匹配，否则拒绝回源，以防止域名前置被滥用。
ESNI是如何保护SNI隐私的？它有什么局限性？
ESNI通过加密TLS握手时的SNI部分来保护隐私，其加密公钥通过DNS记录传递，客户端用公钥加密SNI。但若DNS被欺骗替换公钥，ESNI仍无法保证隐私，因此需要DNS-over-HTTPS来确保DNS安全。
为什么说CDN边缘节点解密请求使得CDN无法提供额外隐私保护？
因为用户HTTPS请求在CDN边缘节点被解密，CDN服务商可以（且必须）查看请求细节，如Host头或URL，以进行回源和缓存。如果审查者控制CDN服务商，用户隐私便无法得到保护。
文章认为未来需要什么样的网络架构来对抗审查？
文章认为需要去中心化网络，由数亿设备组成，每个节点参与数据传输，审查者无法控制整个网络；同时将信息写在不可篡改的公共账本上，以密码学保障传输秘密和数据本身。
