运营商对网络端口管理的实现方式

[AS58453]

我最近在思考一个问题：
1 、三大运营商对端口管理：比如封禁 80 、443 、8080 等是通过什么方式实现的？感觉如果是 ACL 的话，那就不太科学。还是说使用的 domain 域，开放了 80 、443 的账号在一个认证域，没有开放 80 、443 的账号在另外一个域中？

2 、对于未备案的域名，运营商是如何重置连接的？（成都移动大概在百天前更新了策略，如果将没有备案的域名解析到专线 IP 中，会直接被重置连接，如果是 IP+PORT,那么是能够访问的）。
对于第二点，我比较存在疑惑，https 可以通过 SNI 检测嘛，http 明文梭哈，那么运营商是如何发现 IP 被绑定了域名的呢？ ptr 肯定扫不出来的，莫非 ITMS24 小时一直监控流量？

[wangxiaodong]

只要检查 http 请求头中的 host="example.com" 即可吧，而且首次只做标记，不会阻断，拿该域名异步比对备案库，若未备案，后续请求才会执行阻断。

[LanhuaMa]

TCP 目标端口是 80 、443 的就丢包、阻断，商宽都是静态 IP ，阻断前去数据库里匹配一下就好了。

未备案的域名通过运营商默认下发的 DNS 投毒解析到 96100 的 IP 上去，检测 SNI 然后重置连接是 GFW 干的事情，和运营商无关。

[ho121]

商宽和家宽在不同的网络区域，每个区域都部署有分布式硬件防火墙，性能完全跟得上。

[NEPv5NA6R8R3Y11u]

ACL 方式，默认关闭这些端口，做了备案再加 rule 。
地市级总汇聚路由上做的放行策略，放行端口到区域 bras 上接入的 IP 地址

[Rehtt]

不要小瞧了硬件防火墙

[DarwinChow]

最近在检索相关资料，似乎很多地市就是在 BRAS 的 ACL 上做的规则
参考
https://anytech.cn/catalog/3570
https://support.huawei.com/enterprise/zh/doc/EDOC1100335683/2a103fd2

[AS58453]

@DarwinChow 感谢回答，您这个才是正确的方式，使用 QOS 流控制配合 ACL 进行控制，而不是使用直接下发 ACL 的方式。