--- title: "グレートファイアウォールとは？仕組み・金盾との違いとLocknetで読む中国のネット検閲" url: "https://www.issoh.co.jp/column/details/7835/" published: 2025-07-23 updated: 2026-09-16 categories: ["セキュリティ"] publisher: "株式会社一創" --- # グレートファイアウォールとは？仕組み・金盾との違いとLocknetで読む中国のネット検閲 グレートファイアウォール（GFW）は、中国本土と国外との間を行き来する通信を検査し、当局が望まない接続を遮断する仕組みです。ただし、この呼び名が指す範囲は、中国のネット検閲全体の一部にすぎません。ここでは実際に観測されている遮断技術を具体的に押さえたうえで、混同されやすい「金盾」との違い、そしてGFWだけでは説明できない残りの部分までを整理します。 ## まとめ：グレートファイアウォールの要点 - GFWは中国の国際ゲートウェイに置かれた検閲装置群で、**国境をまたぐ通信だけ**を対象とします。国内どうしの通信はGFWを通りません。 - 遮断はIP・DNS・キーワード・SNI・暗号化トラフィックの推定検知という複数の方式を重ねて行われ、DNS検閲だけで31万ドメインが対象と実測されています（測定システムGFWatch・2020年の9か月）。 - 日本語記事でよく見る「グレートファイアウォール（金盾）」という並記は不正確です。金盾工程の正式名称は全国公安工作信息化工程で、公安部が国内向けに進めた別の事業を指します。 - 企業側で国内の投稿を消す「サービス層の検閲」と、警察による現実世界の執行を合わせて初めて、中国の検閲は全体像になります。2025年のChinaFile報告書はこの全体を「Locknet」と呼びました。 - 2025年9月には、GFWの技術系譜を引く企業の内部資料が大量に流出し、同種のシステムが国外へ輸出されている実態が明らかになっています。 ## グレートファイアウォールの定義と金盾工程との違い ### 名称の由来と、GFWが指す範囲 「Great Firewall」は、オーストラリアの中国研究者 Geremie Barmé 氏らが1997年6月に『WIRED』誌（5.06号）へ寄せた論考「The Great Firewall of China」で使われた造語で、万里の長城（Great Wall）とファイアウォールを掛け合わせたものです。中国当局がこの名称を公式に用いたことはなく、あくまで外部からの通称にとどまります。 実体は、中国と国外を結ぶ回線上に置かれた検査装置の集合です。ChinaFileの2025年の報告書は、これを「hundreds, or perhaps thousands, of independent devices（数百、あるいは数千の独立した装置）」から成る障壁と表現しています。重要なのは対象範囲で、GFWが検査できるのは中国に出入りする通信だけです。広州から上海へ送られたメッセージのように、国内で完結する通信はGFWに触れません。ここを取り違えると、後述する企業側の検閲の役割が見えなくなります。 ### 金盾工程との対象範囲の違い 日本語の解説記事では「グレートファイアウォール（金盾）」とまとめて書かれることが多いのですが、両者は同じものではありません。金盾の正式名称は全国公安工作信息化工程、つまり全国の公安業務を情報化するプロジェクトです。公安部が計画を決定したのは1998年、国務院の批准は2001年と伝えられています。国民の戸籍情報や生体情報を束ねたデータベース整備が中心で、国際回線上で越境通信を遮断するGFWとは、目的も対象も異なります。 | 観点 | 金盾工程 | グレートファイアウォール | | ----- | --------------- | -------------- | | 正式名称 | 全国公安工作信息化工程 | なし（外部からの通称） | | 決定・着手 | 1998年決定／2001年批准 | 開始年は特定困難 | | 主な担い手 | 公安部 | 当局は存在を公表せず | | 対象 | 国内の公安業務情報化 | 越境トラフィックの検査 | | 中心機能 | 人口データベースと照合 | DNS・TCP・TLSの遮断 | 調べ物の場面では、この2語を区別しておくと資料の読み分けが楽になります。国内の身分証照合や公安データベースの話は金盾工程の系譜、海外サイトにつながらない話はGFWの系譜です。 ## グレートファイアウォールの仕組みを支える5つの遮断技術 GFWの遮断は単一の方式ではなく、通信のどの段階で何を手掛かりにするかが異なる複数の方式の積み重ねです。査読付きの測定研究で観測された規模を並べると、次のようになります。 | 方式 | 判定に使う情報 | 観測された規模 | | ----------- | ----------- | ----------------------- | | IP遮断 | 宛先IPアドレス | 人気上位100万中 約4万サイト | | DNSインジェクション | 問い合わせのドメイン名 | 9か月で31.1万ドメイン（2020年測定） | | キーワード検査 | 平文のURL・ホスト名 | 検査6億FQDN中 月約240万 | | SNI遮断 | TLS開始時のSNI欄 | 2019年までに導入 | | 暗号化通信の推定検知 | バイト列のエントロピー | 特定IP帯への接続の約26%（2023年発表） | 数字の出どころは、ChinaFileの報告書と、USENIX Securityで発表された測定研究です。以下、利用者から見て挙動が異なる3つの系統に分けて説明します。 ### DNSインジェクションによる名前解決の汚染 最も広く効いているのがDNSへの介入です。利用者の端末が海外サイトの名前を問い合わせると、経路上の装置が本来の応答より先に偽のIPアドレスを返します。端末は最初に届いた応答を採用するため、まったく無関係なサーバーへ接続しにいくことになります。 この方式の規模を継続測定したのが、USENIX Security 2021で発表された観測システムGFWatchの研究です。9か月間、1日平均で4億1,100万のドメインを検査し、DNSフィルターによって検閲されるドメインを31万1,000件特定しました。同時に、フィルターの条件に偶然一致しただけの無害なドメインが4万1,000件巻き込まれていること、さらに7万7,000件については汚染された応答がGoogleやCloudflareといった公開DNSリゾルバのキャッシュにまで波及していることも報告されています。後者は、中国国外の利用者にも影響が漏れ出す経路がある、という点で見過ごせません。 ### キーワード検査とTCPリセットによる接続切断 接続が確立した後にも検査は続きます。経路上の装置がパケットの中身を読み、閲覧しようとしているドメイン名やページのパスに問題があると判定すると、通信している双方に対して偽装したリセットパケットを送りつけます。利用者の画面には「接続がリセットされました」といった一般的なエラーが出るだけで、検閲されたとは分かりません。ChinaFileの報告書によれば、2022年から2023年にかけて研究者が検査した6億の完全修飾ドメイン名のうち、キーワード検査装置が遮断していたのは月あたり約240万でした。 利用者側から見ると、この挙動は通常の通信エラーと区別がつきません。中国向けにサービスを提供している場合、原因不明の接続断がGFWによるものか自社側の問題かを切り分けにくいのは、このためです。 ### SNI遮断と暗号化トラフィックの推定検知 通信がHTTPSに移行すると、URLやページの内容は暗号化されて読めなくなります。ただしTLSの接続開始時には、どのドメインに接続したいかを示すSNIという欄が平文のまま流れます（ClientHelloごと暗号化するECHを使っていない場合）。中国は2019年までに、このSNI欄だけを狙うキーワード検査装置を追加で配備しました。暗号化しても接続先の名前は隠せない、という構造を突いた方式です。 では、ペイロードの全バイトを暗号化して「何にも見えない」状態を目指す検閲回避プロトコルならどうか。ShadowsocksやVMessがこれに当たります。2023年に発表された研究は、GFWがこの種の通信を粗い経験則で見分けていることを明らかにしました。研究チームが推定した免除規則は少なくとも5つあり、たとえば1バイトあたりの立っているビット数の平均が3.4以下または4.6以上であること、先頭6バイト以上がすべて印字可能なASCII文字であること、印字可能な文字がペイロードの50%を超えること、TLSやHTTPの指紋に一致することが挙がっています。GFWはこれらのどれにも当てはまらない通信を「完全暗号化らしい」と見なして遮断します。ただし常時全量を見ているわけではなく、同研究は、監視対象を人気データセンターの特定IPレンジに絞ったうえで、そこへの接続の約26%だけを確率的に扱っていると報告しています。この遮断は2021年11月6日に利用者が異常を報告したことで表面化し、Obfs4を含む幅広い回避ツールが影響を受けました。なお研究チームが大学ネットワークの17億件の接続で検証したところ、この規則をそのまま全面適用すれば約0.6%の正常な通信が巻き添えになる計算でした。 ネットワーク側の遮断技術そのものについては、[ファイアウォールとは？仕組み・種類とWAF・UTMとの違い、企業の選び方を解説](/column/details/13233/)で基本的な分類を整理しています。 ## GFWが担うのは全体の一部：ChinaFile報告書が示した3つの機構 2025年6月30日、米国のメディア組織ChinaFileが、ジェシカ・バトケ氏とノースイースタン大学のローラ・エデルソン助教による報告書「The Locknet: How China Controls Its Internet and Why It Matters」を公開しました。この報告書は、中国のネット統制を水門（lock）になぞらえて「Locknet」と呼び、GFWをその一部として位置づけています。 報告書は「the Great Firewall conducts network-level censorship（グレートファイアウォールはネットワーク層の検閲を担う）」と明記し、「壁」という比喩ではシステム全体の規模と動的な性質を捉えきれないと指摘します。全体は「network-level censorship, service-level censorship, and regulation and enforcement」という3つの機構、すなわちネットワーク層の検閲、サービス層の検閲、規制と執行から成る、というのが報告書の整理です。GFWはこのうちの1つ目に対応します。 ### ネットワーク層の検閲が触れない通信 前述のとおり、GFWが見られるのは国境をまたぐ通信だけです。報告書の表現を借りれば、中国国内で完結するトラフィックは「never comes into contact with the Great Firewall（グレートファイアウォールに一度も触れない）」ことになります。ところが当局が管理したいのは、国民の目に触れうるすべての情報です。ここに構造的な穴があり、それを埋めるのが次の機構です。 ### サービス層の検閲を担う民間企業 中国で事業を営む条件として、ブログ・SNS・ゲームなどのサービス事業者は、自社のプラットフォーム上の投稿を自ら検閲する義務を負っています。政府は、企業が事前に違法と知っていたかどうかにかかわらず、違法コンテンツについて企業の責任を問えます。結果として、企業側には過剰に削る動機が働きます。 その運用規模は人海戦術です。報告書によれば、抖音とTikTokを運営するバイトダンスは1つの都市だけで3,000人を超える検閲担当を抱えていたとされ、中国企業が2015年から2022年にかけて出した検閲関連の求人は170万件を超えます。現場の一次審査担当は1日に1万件超、二次審査担当は5万件前後を処理していたという証言も収録されています。装置による自動遮断とは別に、これだけの人手が日常的に投入されている点が、サービス層の特徴です。 ### 現実世界での執行とサイバースペース管理局 3つ目は、オンラインの外側で働く機構です。2014年以降、中国サイバースペース管理局（CAC）がネット規制の主管官庁となり、2020年には「網絡信息内容生態治理規定」がプラットフォームに対し、リアルタイムの点検や緊急対応、いわゆるネット上の流言への対処を義務づけました。 個人に対しては地元警察が動きます。報告書は、投稿者が警察に呼び出されて長時間の聴取を受ける、いわゆる「お茶に招かれる」慣行を記述し、アカウント削除から罰金、拘束、実刑までの段階的な制裁を挙げています。同報告書はまた、VPNを使ったプログラマーが100万元を超える支払いを命じられた例や、VPNをめぐって最長5年の実刑に至りうることにも触れています。ただし行政処分と刑事処分、単なる利用と販売・提供では扱いが異なるため、個別の事案をそのまま一般則として読むことはできません。 この3機構を通して見ると、GFWを単体の「壁」として捉える見方では実態を取り違えることが分かります。装置が届く範囲には限界があり、それを企業の自主検閲と現実世界の執行が補って初めて全体が成り立つ、という構図です。GFWとLocknetは競合する別々のモデルではなく、後者が前者を含む広い枠組みだと押さえておけば、資料を読むときに混乱しません。 ## 2025年の内部資料流出が明かしたGFW技術の輸出 ### Geedge Networks流出資料の規模と公開経緯 2025年9月9日、調査組織InterSecLabが、中国のディープパケットインスペクション企業Geedge Networksから流出した10万件超の内部文書を分析した報告書「The Internet Coup」を公開しました。続く9月11日には、リークデータを扱うEnlace Hacktivistaが572GiBに及ぶ資料そのものを一般公開しています。内訳はソースコードのミラー、プロジェクト管理記録、顧客ごとの導入設定、運用データなどで、この資料を分析したGFW Reportは、GFWに関する文書流出として過去最大と位置づけています。 Geedge Networksは2018年に設立された企業で、「グレートファイアウォールの父」と呼ばれる方浜興氏が首席科学者を務めていました。中国科学院系の研究室MESA Labとのつながりも指摘されており、GFWの研究開発を担ってきた技術系譜の一端が民間企業として切り出された形です。資料はInterSecLab、アムネスティ・インターナショナル、Tor Projectなどの研究者と複数の報道機関によって分析が進められています。 ### 一国分の通信を処理するTiangou Secure Gateway 流出資料の中心にあるのが、同社の主力製品Tiangou Secure Gateway（TSG）です。InterSecLabの分析は、確認された機能としてディープパケットインスペクション、携帯電話の加入者に対するリアルタイムの監視、通信の細粒度な制御、そして地域ごとに個別化できる検閲ルールを挙げています。GFWで使われてきた手法が、他国へ持ち込める製品の形に整えられている点が要点です。 分析結果によれば、同社はカザフスタン、エチオピア、パキスタン、ミャンマーの4か国と、公表されていない1か国の政府と契約しています。「中国国内の話」として片づけられてきたGFW型の統制が、製品として国外へ展開されている点が、この流出で可視化された最大の論点です。国ごとの規制動向の全体像は[AI規制とは？EU・日本・米国・中国の違いと企業対応を解説【2026年版】](/column/details/13789/)も参考になります。 ## 日本企業が実務で直面する影響と判断材料 ### 中国向けWebサイトの到達性と表示速度 CNNICが公表した第57次統計報告によれば、中国のインターネット利用者は2025年12月時点で11億2,500万人、普及率は80.1%に達しています。この規模の市場に向けて情報発信する以上、GFWの挙動は技術要件として扱う必要があります。 実務上の注意点は主に3つです。第一に、海外のCDNや外部スクリプト（解析タグ、フォント、地図、SNSのウィジェットなど）を読み込んでいると、その1つが遮断されるだけでページ全体の表示が止まったように見えます。第二に、遮断は通常の通信エラーと区別しにくいため、中国からの接続不良を自社側の障害と誤診しやすくなります。第三に、遮断対象は固定ではなく時期によって変動するため、一度の確認で恒久的に問題ないとは判断できません。中国国内から到達性を実測する手段を持っておくことが、結局は近道です。 ### VPN利用の法的リスクと社内ルール 駐在員や出張者が現地からVPNを使う場面は避けにくいのですが、法的な位置づけは押さえておくべきです。土台となるのは2017年6月1日に施行された中華人民共和国網絡安全法で、2025年10月28日の改正決定により2026年1月1日から改正版が施行されています。改正版では条番号が繰り下がっている点に注意が必要で、たとえば国外から流入する禁止情報について関係機関が技術措置その他の必要な措置により伝播を遮断すると定めるのは、現行の第52条（旧法では第50条）です。GFWによる越境遮断は、この条文に対応する運用と位置づけられます。 VPNそのものについては、工業情報化部が2017年1月17日付で「関於清理規範互聯網網絡接入服務市場的通知」（工信部信管函〔2017〕32号）を出し、電気通信主管部門の承認なく専用線やVPNを自ら敷設・賃借して越境経営活動を行うことを禁じました。同通知は、基礎電信企業が貸し出す国際専用線について、利用者の社内業務専用であることを明示するよう求めています。ただし規制対象の原語は「跨境経営活動」であり、この通知自体が個人による非営利のVPN利用を一律に禁じる文言ではない点は、正確に押さえておく必要があります。 とはいえ、実務上のリスクが小さいという意味ではありません。前節で触れたとおり、VPNをめぐって個人が高額の支払いを命じられた事案が報告されています。日本側で「とりあえずVPNを入れておけばよい」という運用を推奨するのは適切ではなく、現地法人の法務確認を前提に、当局の認可を受けた国際専用線を使うのか、業務データのやり取りをどこまで中国国内で完結させるのかを設計段階で決めておく必要があります。VPN自体の仕組みと選定観点は[VPNとは？仕組み・種類・メリットとデメリット、企業導入の判断基準を解説](/column/details/13215/)で、無償サービスに伴うリスクは[無料VPNの危険性とは？仕組み・リスクと企業が取るべき対策を解説](/column/details/13264/)で整理しています。 ## よくある質問 ### グレートファイアウォールと金盾は同じものですか？ 同じではありません。金盾の正式名称は全国公安工作信息化工程で、公安部が1998年に決定した国内向けの公安業務情報化プロジェクトです。国民の情報を束ねたデータベース整備が中心で、越境通信の検閲を指すグレートファイアウォールとは対象範囲が異なります。日本語記事でよく見る「グレートファイアウォール（金盾）」という並記は、この違いを潰してしまっています。 ### GFWとは何の略ですか？ Great Firewall の頭文字です。中国語では防火長城と表記します。1997年6月に『WIRED』誌へ掲載された論考「The Great Firewall of China」で使われた造語が定着したもので、中国当局が用いる公式名称ではありません。 ### グレートファイアウォールはいつから運用されていますか？ 単一の開始年を確定するのは困難です。中国当局はGFWの存在そのものを公式に発表したことがなく、外部の研究や報道でも、1998年の金盾工程の立ち上げを起点とする見方と、国際ゲートウェイでの遮断が観測され始めた時期を起点とする見方があります。技術面では、2019年ごろのSNI遮断の導入、2021年11月6日に確認された完全暗号化トラフィックの遮断など、現在も方式が追加され続けています。 ### どのようなサイトが遮断されているのですか？ 測定研究では、DNSフィルターによる検閲対象として31万1,000ドメインが特定されています（2021年発表）。同研究がFortiGuardの分類で集計した上位カテゴリは、新規観測・未分類を除くとビジネス、ポルノ、情報技術でした。政治的な話題だけが対象という理解は実態と異なります。フィルターの条件に偶然一致しただけの無害なドメインが4万1,000件巻き込まれていることも同じ研究が報告しており、対象は明確なリストというより条件式に近い運用です。遮断対象は時期によって変動します。 ### 中国国外にいてもグレートファイアウォールの影響を受けますか？ 受ける場合があります。GFWによって汚染されたDNS応答が、GoogleやCloudflareなど中国国外の公開DNSリゾルバのキャッシュに波及した事例が7万7,000ドメインで確認されています。また、2025年の内部資料流出では、GFWと同系統の技術が複数国の政府へ製品として提供されている実態が明らかになりました。 ## 関連記事 - [ファイアウォールとは？仕組み・種類とWAF・UTMとの違い、企業の選び方を解説](/column/details/13233/) - [VPNとは？仕組み・種類・メリットとデメリット、企業導入の判断基準を解説](/column/details/13215/) - [無料VPNの危険性とは？仕組み・リスクと企業が取るべき対策を解説](/column/details/13264/) - [プロキシとVPNの違いを安全性で比較｜仕組み・種類・設定と企業での選び方](/column/details/3663/) - [中国経済は崩壊するのか｜2026年最新データで読む現状と「失われた30年」論の検証](/column/details/10444/) --- 出典: [グレートファイアウォールとは？仕組み・金盾との違いとLocknetで読む中国のネット検閲]()（株式会社一創）