中国互联网审查并非由一台集中式“超级防火墙（GFW）”完成，而是一个多层、分布式体系，由不同机构、运营商和技术供应商共同构成。
国家级防火墙（National-level GFW）主要部署在国际出口和骨干网边界，对跨境流量实施相对统一、协调的审查规则。省级及运营商级审查系统则独立运行，形成“墙中之墙”，可统称为省级防火墙（Regional Firewall）。
国家级防火墙覆盖全国，封锁通常稳定、持续，且极少解除。针对境外网站，最常见的手段是 DNS 污染。该方式成本低、封锁成功率高，因此 DNS 污染检测是判断域名在中国大陆是否被封锁的首选和必要手段。
除 DNS 污染外，国家级防火墙还会使用 IP 地址封锁、HTTP Host 过滤、TLS ClientHello 中的 SNI/ESNI 过滤、TCP RST 注入、主动探测 Tor、Shadowsocks 等代理服务，以及基于流量特征识别加密代理协议。这些措施主要用于识别并阻止用户通过代理技术访问境外网站。
省级防火墙主要采用 HTTP Host 过滤和 TLS ClientHello 中的 SNI/ESNI 过滤。与国家级防火墙相比，这类封锁通常只影响特定省份、城市或运营商，同一省份内不同运营商之间也可能存在差异，并且部分封锁会在一段时间后解除。其主要特点是技术相对粗糙、封锁数量大、变化快、误伤严重。
因此，DNS 污染检测是基础且必要的检测方式；HTTP Host Reset 和 TLS SNI Reset 检测则可提供更全面的结果，更准确地反映域名在中国大陆不同地区和运营商网络中的实际封锁情况。通过 GFW 域名全量检测，可以一次性完成全部基于 GFW 封锁的检测。
一些常识
目前，多个省份已确认存在省级防火墙。部分网络基础设施较弱的地区甚至可能直接限制或切断国际出口。因此，同一域名在不同省份、城市及运营商之间，可能出现明显的连通性差异。
由于中国国际出口资源相对紧张，叠加流量过滤与识别机制的影响，即使未被封锁的正常跨境请求，也可能因国际出口或跨境链路拥塞而出现延迟升高、丢包和连接超时。
代理工具在中国被广泛使用，代理协议及其加密、伪装技术也在持续演进。与此同时，国家级防火墙不断升级识别和封锁能力，双方形成长期且持续的技术博弈。这也使其成为全球规模最大、技术体系最复杂的互联网审查系统之一。