จริงๆถ้าจะบล็อกแล้วตัว ISP มี DPI อยู่แล้วก็ทำได้ง่ายครับ เช่น block QUIC(หรือ UDP ไปเลย) บน cloudflare IP แล้ว DPI+firewall หลังพบ domain จาก SNI

ต้องเข้าใจว่าระบบเครือข่ายอินเทอร์เน็ตในปัจจุบันทำงานยังไงก่อน

การบล็อกเว็บสามารถทำได้หลายช่องทาง แต่ช่องทางที่เป็นที่รู้จักและใช้งานกันอยู่ คือ การบล็อก IP Address (Layer 3) และการบล็อก Domain Name (Layer 7) โดยการบล็อกที่ตรงจุดที่สุดคือการบล็อกด้วย IP นี่แหละ เพราะถ้า Gateway ถ้าตรวจเจอก็บล็อก/ตัดการเชื่อมต่อได้ทันที

แต่ใน Internet ปัจจุบันจะมีปัญหาจำนวน IP (IPv4) ไม่พอ ทำให้เกิดการจัดสรร IP เพื่อใช้ร่วมกันขึ้น เรียกว่า Dynamic IP และจากนั้นก็ใช้ Domain Name ที่มีจำนวนเสมือนไม่จำกัดมาระบุอีกทีว่าต้องเชื่อมต่อไปยัง IP ไหน นอกจากนี้ Domain Name Server (DNS) เองก็จะรับหน้าที่ในการระบุ Cert สำหรับการเชื่อมต่อ HTTPS/SSL ด้วย และเป็นเหตุผลว่าทำไมเราถึงจด Cert ด้วย IP ไม่ได้

โปรแกรม แอปอินเทอร์เน็ต/คลาวด์ในปัจจุบันแทบจะไม่อ้างอิง Address แบบ IP กันแล้วเพราะมันเปลี่ยนได้ตลอดเวลานี่แหละ ไม่จำเป็นต้องเป็น Cloudflare เพียงแต่ว่า Cloudflare ค่อนข้างจะเปลี่ยน IP บ่อยตามที่ ๆ เราอยู่เพื่อให้บริการได้รวดเร็วที่สุดโดย Cloudflare จะเลือกจ่าย IP ที่เหมาะสมให้อย่างอัตโนมัติ

ซึ่งตรงนี้แหละมันก่อปัญหากับการบล็อกด้วย IP เพราะด้วยความที่ IP มันถูกใช้งานร่วมกันในอินเทอร์เน็ต ถ้าเกิดบล็อกด้วย IP ขึ้นมา อาจจะบล็อกสำเร็จ 100% ครั้งแรก แต่หลังจากนั้น IP เปลี่ยนก็กลายเป็นว่าไปบล็อกอีกเว็บที่ไม่ได้ทำอะไร "ผิด" แทน การบล็อกเว็บนั้นถือเป็นปัญหาใหญ่ของรัฐที่ต้องการคุมเข้มเรื่องการใช้สื่อของประชากร ถ้าไม่ทำถึงระดับจีนที่มีสะพานเน็ต (Gateway) ใหญ่อย่าง Great Firewall of China ก็เป็นไปได้ยากมากที่จะบล็อกเว็บหรือเครือข่ายได้สำเร็จจริง ๆ (ในไทยก็เคยมีความพยายามเดียวกัน ดูหัวข้อ Single Gateway)

ในปัจจุบันบ้านเราไม่ได้ซีเรียสว่าต้องเข้าถึงไม่ได้แบบ 100% แล้ว ขอแค่ว่าใน Clearnet บ้านเราเข้าถึงไม่ได้ก็ถือว่าใช้ได้ ซึ่งวิธีส่วนใหญ่ก็คือการบล็อกผ่าน DNS นั่นแหละเพราะมันเสี่ยงโดน Dynamic IP น้อยที่สุด และบล็อกได้ตรงจุดที่สุด แต่มันก็มีปัญหาเช่นกัน เพราะ DNS ไม่ได้เป็นส่วนหนึ่งของ Layer 3 ถ้าโปรแกรมสามารถเชื่อมต่อไปยัง IP ตรง ๆ และขอ Cert ได้ก็ข้ามการบล็อกไปได้ทันที ซึ่งวิธีที่นิยมทำก็คือ การเปลี่ยน DNS Server ไปใช้ตัวที่ไม่โดนบล็อกนี่แหละ ทำปุ๊บเข้าได้หลายเว็บเลย

ในบราซิลเลือกทำทั้งสองทาง ทั้งการบล็อก IP และการบล็อกผ่าน DNS แต่ X ข้ามการบล็อก (อย่างไม่ตั้งใจ) ด้วยการไปใช้ Cloudflare แทนเพื่อลดปัญหาการเชื่อมต่อขัดข้องในภูมิภาคละตินอเมริกา เพราะบราซิลเองก็เป็น Central Hub ของเครือข่ายภูมิภาคนี้ ถ้าให้เทียบกับบ้านเราก็คือสิงคโปร์ ถ้าสิงคโปร์เกิดบล็อกเว็บที่เราจำเป็นต้องใช้ (สมมติว่าเป็น LINE แต่ก็แอบขอให้เป็นจริง) เราเองก็เดือดร้อนเหมือนกัน