针对宽带运营商扫动态域名绑 IP 导致封宽的可行性解决办法

准备工作：
1 、一台 vps ，最好是香港轻量(例如 IP：123.213.132.231)
2 、两个主域名 aaa.com bbb.com ，注意不能是主域名下的子域名
bbb.com 甚至可以随便乱用且不用购买，aaa.com 必须自购
3 、自建 dns 解析，可用 adg 实现

执行步骤：
1 、路由动态更新所需 IP 至 aaa.com
2 、防火设置仅允许香港轻量 IP 访问自建 dns 解析 adg 开放的端口
比如，设置端口转发 5053 tcp/udp -〉内网 adg 的 IP+设定的 adg 端口，允许 ip 填香港轻量 IP
开启 adg https 服务、tls 服务、quic 服务，并添加端口转发
3 、通过非香港轻量 IP 测试 aaa.com+adg 转发端口是否可用(可用为异常，不可用为正常)，
通过香港轻量 IP 再测一次，可用为正常
4 、adg 服务内过滤器-dns 重写添加 bbb.com cname 到 aaa.com 或子域名
例如，自动态解析更新给 ab123.com ，adg 内 dns 重写 baidu.com cname-〉 ab123.com
5 、香港轻量搭建 nginx
第一种，随便跑个页面，conf 文件里面设定 location /dns-query 转发给 https://aaa.com+adg 的 https 转发端口/dns-query
第二种，nginx 开启 stream tcp/udp 转发，设定比如 dns.aaa.com 转发给 aaa.com+adg 的 tls 、tcp/udp 转发端口，stream 一次只能转一个，tls 、tcp/udp 、quic 都转需要多个子域名，自行摸索配置
6 、设定手机或其他客户端设备的 dns 为香港轻量，可用有 dns-over-https 、tcp/udp 、quic 、tls

自此，流程闭环

首先，对外只有香港轻量一个连回时具有 domain ，但是其他服务页面均关闭，外部探针也仅只知道一个域名绑定了 ip ，探测无任何可用内容（前期设置的仅香港轻量可入）
由于你客户端设备通过香港轻量做 dns 转发，实际上用的是 adg 提供的 dns 服务
就会造成，比如你家 ip 是 114.114.114.114 ，但是你访问回去带的 host 居然是 baidu.com
然后运营商对这个 baidu.com 进行所有解析爆破，找出来的内容都跟你实际 IP 毫无关联

因此现在唯一剩下的，就是主域名 aaa.com 了，其实还是有办法通过其他办法连主 aaa.com 这个动态解析也去掉，你可以想想如何通过家里的设备，推送 ip 到香港轻量，然后香港轻量再根据推送 ip 连回去 adg 服务

amyw495062

293 天前

@ac169

https://cn.v2ex.com/t/972540
这个帖子有一段
“证据：我自用的 DDNS 域名指向了家宽的 IP ，但此家宽 IP 除了 SSH 外没开放任何端口，更没有任何 web 服务。此外，当时联通的工作人员上门时给我看了一个名单，上面有每个家宽账号对应的域名、解析次数、装机地址、处置建议（一般写的是“拆机”或者“整改”，本人的写的是“拆机”）。”

ac169

292 天前

@amyw495062

举例这帖说明不了任何问题.

1. "... 不符合规定的服务... " 并不是说只有 web 服务才是, 这里面包含很多服务, 比如: 邮件, 共享, 文件等都是早要求要封的只是说 WEB 服务管理最严格必须封, 像 SSH 这些关注度不高的是由运营商自己把握的, 并不是说他一定不在被封禁的行列, 另外就单 web 服务来说其实是包含两层: 一 80 443 8080 端口, 二 http 协议.

2. 运营商广猫, 大小厂路由器, NAS 等很多东西本身就带 DDNS 这个功能,有的甚至是默认开启了, 如果这个功能有问题他们能拿到合格证吗?

3. 就拿举例贴中 5# 说法完全可以将联通公网用户全部弄来拆机.

4. 就算你不开 ddns 运营商同样会扫描, 扫描到同样封.

5. 现实中鲁村电联用户多条多年都开启 ddns 的宽带一直都没有任何人过问过.

还是之前说的, 宽带被封核心是你开启了不符合规定的服务(主动的被动的有意的无意的都算), 当然也不排除用户损害了运营商的利益,运营商借题发挥. 其实 ddns + http pcdn 基本都满足