公网开 https 端口, 能有哪些保护措施?

主要是挂家里服务, 有个黑群晖 nas, 跑了些服务, 比如 web 端的 rss 阅读器, 一个 https flv 的直播流(平常一直在循环播放 BangDream It's MyGo!!!!!, 周末会和亲友在这个直播间里连麦看番), 在想怎么跑服务能不被工信部发现然后橄榄

首先是工信部能不能发现我在挂 https 服务, 我不绑常用端口, https 的流量应该只能看出来是个 tls 流量看不出来是个 https 流量
其次如果发现是个 tls 流量了, 工信部人工想要试下是不是 https 流量, 理论上是不是我把服务不绑定到根路径就没事了? 他们顶多能定位到域名 ip 和端口, 用默认路径打开发现一片白, 有没有可能就不会搞我了(
然后我自己用根路径下面挂了一串随机字符串的 url 用我的服务, 不过缺点就是虽然反代能根据路径转发, 但如果有些服务的前端页面需要读 path 做一些逻辑的话可能会有些异常
P.S. 我有个有 ICP 备案的域名, 但我不太喜欢, 我想用另一些好玩的域名, 备没备案对这个有影响么, 有没有必要改用我有备案的域名?

如果连 vpn 用家里服务的话就太麻烦了, 尤其是大家一起看番的时候, 要求大家都用 vpn 连有点费劲

有个绝对安全的做法就是找台公网服务器转发, 但还是那个直播一起看番的场景, 还是挺需要带宽的. 看了眼手头的腾讯云小水管只有 8Mbps(?) ~~虽然我的家宽也很小水管, 但上行多少也是这个腾讯云的五倍呢~~

另外我看了 V2EX 的其他帖子, 感觉被橄榄之前都是会先提醒的, 我现在想的是在提醒之前就 https+随机路径(如果应用允许. 应用出问题的话就 https 了), 如果被提醒了就找台公网服务器, 用 frp 之类的转发流量
除此之外, 有啥方法能在不伤及用户触达的情况下避免被橄榄么?

yshtcn

25 天前

第一层当然是换不常用的端口，规避直接扫描，但是这主要是方法扫常用端口的。

第二层你 https 流量的话，有流量就会引来探测，然后就会来扫端口，一测是个 https 服务，而且是公开的。严格一点的地方就 GG 了。因此第二步就是给 https 增加鉴权，部分地方会忽略这种 401 unAuth 的服务，只要不是公开 http 服务交就行。注意： http 鉴权和服务本身的登录是不一样的，比如能打开群晖首页未登录和 https 鉴权不过返回 401,不一定都认定为开放服务。

第三层是 IP 白名单，要求你的防火墙或者路由器支持 API 或者 ssh/telnet 等交互方式，这样便于实现脚本自动修改白名单。我的思路是先通过 ip 接口（例如 https://myip.ipip.net, https://ddns.oray.com/checkip, https://ip.3322.net ，也可以自己在云服务器跑一个获取 IP 的 docker： https://github.com/yshtcn/GetIP_Service ），然后用脚本把 IP 加入白名单（我的用例是自动注册 IP 到阿里云安全组： https://github.com/yshtcn/alicloud-ip-updater ），并定期删除和清理。只要能交互，用 gpt 类实现脚本可以减轻不少工作量。

第四层思路才是 VPN 、代理和 SD-WAN 组网，一般用在固定的两点或多点之间。比如办公室和家里。