TCP provjera iz Hohhota (AS37963) pokušava SYN-ACK rukovanje s vašim hostom na zadanom portu i mjeri vrijeme uspostave veze. Za razliku od pinga, TCP provjere odražavaju stvarnu politiku vatrozida i GFW filtriranje. GFW provodi blokiranje na TCP razini za poznate portove i IP adrese — pokušaj povezivanja s blokiranim IP-om dobit će TCP reset koji ubacuje vatrozid, a ne pravi reset s poslužitelja.

TCP resetovi koje ubacuje GFW stižu vrlo brzo — obično unutar 1–5 ms od slanja SYN-a, znatno brže od stvarnog RTT-a do stranog hosta. Ako TCP provjera iz Hohhota vrati reset u nevjerojatno kratkom vremenu (recimo 5 ms do hosta u SAD-u), reset dolazi s GFW graničnog usmjerivača, a ne s odredišnog poslužitelja. Čisto TCP rukovanje koje se dovrši unutar očekivanog raspona RTT-a potvrđuje da je host doista dostupan iz Kine.

Za usluge koje moraju biti dostupne iz Kine, TCP provjera najpouzdaniji je test dostupnosti. Uobičajeni scenariji: potvrda da je port 443 dostupan za HTTPS, provjera da CDN izvorište nije blokirano ili provjera da je poslužitelj igre ili aplikacije dostupan iz mreža kineskih ISP-ova. Portovi koji se često povezuju s alatima za zaobilaženje (poput određenih WireGuard ili Shadowsocks raspona) izloženi su aktivnom probiranju od strane GFW-a i mogu davati nedosljedne TCP rezultate.

Kineski javni internet u rukama je triju državnih operatera: China Telecom (AS4134), China Unicom (AS4837) i China Mobile (AS9808). Ta tri operatera imaju isključivo pravo na međunarodne izlazne kapacitete, što znači da sav promet koji ulazi u Kinu ili iz nje izlazi prolazi kroz njihove granične usmjerivače. Ne postoji neutralno, otvoreno IX-tržište usporedivo s DE-CIX-om ili AMS-IX-om — domaći peering odvija se preko državno vođenih razmjena u Pekingu i Šangaju, a ne preko neovisnih, operaterski neutralnih objekata.

Great Firewall (GFW) djeluje na razini međunarodnih izlaza te filtrira i blokira promet na temelju IP-a, SNI-ja i deep packet inspectiona. GFW ne dira BGP rute objavljene unutar Kine kad je riječ o domaćim putanjama, ali svaki promet namijenjen ne-kineskom IP prostoru ili iz njega pristigao prolazi kroz točke inspekcije na granici svakog operatera. Zato mjerenja latencije iz Kine prema stranim odredištima obuhvaćaju ne samo geografski RTT, nego i svako čekanje ili kašnjenje uslijed inspekcije na graničnim usmjerivačima.

Naš probe čvor nalazi se u Hohhotu u Unutarnjoj Mongoliji i radi na infrastrukturi Alibaba Clouda (AS37963). Hohhot je izrastao u jedno od najvećih kineskih čvorišta podatkovnih centara jer hladna klima smanjuje troškove hlađenja, a na raspolaganju je i jeftina struja iz ugljena i vjetra. Alibaba, China Telecom i China Mobile svi u toj regiji vode hyperscale objekte. Hohhot se s ostatkom kineske okosnice povezuje preko dugolinijskih optičkih vodova China Telecoma i Unicoma koji idu istočno prema Pekingu i južno prema Šangaju.

Međunarodna latencija iz Kine odraz je i geografije i tranzita preko GFW granice. Od Hohhota do Frankfurta iznosi otprilike 170–195 ms po dobro usmjerenim putanjama. Do Londona se kreće oko 180–200 ms. Do Los Angelesa je oko 130–155 ms, jer je transpacifički kabelski kapacitet razvijeniji od kopnenih ruta između Kine i Europe. Unutar azijsko-pacifičke regije, od Hohhota do Tokija je otprilike 60–80 ms, a do Singapura oko 90–110 ms. Te brojke variraju ovisno o tome koji državni operater preuzima međunarodnu dionicu.

Rezultati s našeg Alibaba Cloud čvora u Hohhotu pokazuju kako neki poslužitelj izgleda iznutra, iz infrastrukture kineskog državnog operatera, konkretno preko AS37963 koji domaće peera sa sva tri nacionalna operatera. Za stranice usmjerene na kineske korisnike ovo je smislena testna lokacija — pokazuje je li vaš poslužitelj dostupan iznutra iz Kine, kakvu latenciju kineski korisnici osjećaju te utječe li GFW na povezivost s vašom domenom ili IP rasponom.