Не обязательно, чтобы через соединения шло много трафика :) В Китае также используют «Active probing» для любых неопознанных (шифрованных) соединений. Говоря простым языком — по адресу и порту назначения пытаются обратиться по какому-либо протоколу для анонимизации, например native Tor, obfs 2/3, VPN. И если ответ приходит в контексте протокола — блочат.
Более подробно можно почитать в whitepaper'e — Examining How the Great FirewallDiscovers Hidden Circumvention Servers