公司的 Google 是内网 ip

[YLWIND]

最近突然发现公司 ping google 会被解析为内网 ip

xxx@xxx ~ % ping google.com      
PING google.com (10.xx.xx.xxx): 56 data bytes
64 bytes from 10.xx.xx.xxx: icmp_seq=0 ttl=56 time=54.002 ms
64 bytes from 10.xx.xx.xxx: icmp_seq=1 ttl=56 time=52.970 ms
64 bytes from 10.xx.xx.xxx: icmp_seq=2 ttl=56 time=52.414 ms

然后通过 dig 查看了一下，发现使用公司的内网 dns 会被解析到三个内网 ip ，如果使用公共 dns 就会解析到公网 ip 上，看了一下 google 的证书，和科学上网访问的证书是同一本（ SHA-256 指纹判定），想问一下这个是怎么实现的呢？这不就是中间人攻击吗

补充，访问 CloudFront 加速的网站也会被解析到和 Google 相同的内网 ip 上，并且证书和公网访问一样

[beyondstars]

https://www.haproxy.com/blog/layer-4-and-layer-7-proxy-mode 这篇文章介绍了七层反向代理和 四层反向代理的区别，七层反向代理的转发器需要解析 HTTP 报文，重新发送 HTTP 报文，所以才需要证书。

四层的不需要。就好像你家的路由器也在转发你访问任意网站的流量，但是它不需要证书。

[orzorzorzorz]

@basncy 借楼一问。op 这是啥输入法，我乍一看回复以为是屏幕脏了，但复制出去才发现这字有东西。

[leadfast]

@basncy 同问这字？

[ZhiyuanLin]

你用 haproxy 或者 iptables 自己的 VPS 搞个转发就知道了。

[cloverzrg2]

公司帮你搭了个正向代理

[BeiChuanAlex]

也许是专线

[notabigdirector]

这些知识都是怎么学的，感觉好复杂，看博客都是一些看不懂的专业术语

[wuvvu]

@leadfast #23
@orzorzorzorz #22
西里尔百万结合符

[JK2333]

把你 cfw 的 tun 模式关了就行····

[tywtyw2002]

我看怎么是 虚拟 ip 然后做路由呢，很可能连 SNI proxy 都不算，直接走得是 3 层路由过 VPN 了，然后出口在做 NAT ，简单方便。

是不是 SNI proxy 你要看 tcp 建立的时间，毕竟 SNI proxy 要先 tcp 连接了 读 SNI ，然后代理才会去请求源。

traceroute 下试试看。

[Rorysky]

@notabigdirector 中国程序员网络知识 天下第一，都得改写 gfw

[louisxxx]

端口转发