ISP 可以用哪些手段检测到用户在使用路由器共享网络？用户可以规避吗？

[acess]

背景：LZ大学生一枚，使用南京电信校园宽带
尝试过这个，但是碰到TCP连接重置，甚至短时间封号等问题，暂时没有看到过警告网页：
http://tieba.baidu.com/p/3300824382?pn=1
怀疑电信有共享检测，但不确定
所以现在来问一下众V友，用了路由可能会暴露什么特征。

LZ能想到的：
最明显的，经过路由，TTL-1，但这个可以用iptables改。
以前还有人弄过iptables ipid模块
这两个都对LZ无效
应用层，现在web明文登录的不少，cookies，user agent貌似都可能被分析，但这个不太好规避，电信大概也不会去检测吧。
还有可能暴露什么特征呢？用户又如何规避？
LZ试过一次猎豹wifi，至少它对TTL有处理，拨号的机器和wifi客户端ping里的TTL都是一样的。

[sandideas]

好像检测的东西叫做网络尖兵。。楼主可以去了解下

[extreme]

@sandideas 算了，不浪费时间和你解释了，你是无法理解的。

[sandideas]

@extreme 真奇怪你这人，我这种方法是我实打实试出来的。什么叫我无法理解。
我在学校的时候用的是联通的网，可以用无线路由器拨号，但是如果两台电脑同时连一个无线路由器，就会提示多个用户使用。所以必须是一个无线路由器外面再套一个无线路由器，这样随便怎么连联通都检测不出来。
不知道你扯那么多什么意思，你试过么。。
好好说话，有谁是无法理解的。真的是。
无线路由器就不能通过猫来拨号了？还是什么的？我电脑可以通过无线路由器来连接上网，路由器连接路由器就算第二个终端从而不能上网了？

[extreme]

@sandideas 那是因为你ISP限制的终端数不是一。

[extreme]

@sandideas 按照你说的，你ISP限制的终端数是二(为什么是二，恐怕是检测方法的原因)，达到三就执行相应的措施。
如果限制的是二，你这方法理论上根本不可行。

[extreme]

@extreme 居然打错字了：
按照你说的，你ISP限制的终端数是二(为什么是二，恐怕是检测方法的原因)，达到三就执行相应的措施。
如果限制的是一，你这方法理论上根本不可行。

[acess]

@extreme 这里讨论的是电信是如何得知这个终端数的，还有用户能采取什么方法规避
一般路由NAT出去，就像是一台机在上网，除非抓包仔细分析
如果两层路由都没有搞定流量的特征，那么两层NAT和一层NAT我觉得效果没啥区别，所以我怀疑双路由的效果（如果有效，我觉得可能是其中一个的固件有反制措施，掩盖了一些流量特征）
另外ISP貌似也可能采取主动探测（SNMP之类），但这个我觉得就是利用埋设好的后门，这肯定需要电信强制用户使用自己的设备，比如校园无线盒子、光猫之类的。但这意义不大，因为可以在这个设备后面再接路由。

[acess]

@sandideas 很奇怪，为什么一层会被封，两层就不会了，我很好奇联通是怎么检测的。

[acess]

找到一个貌似是去掉TCP Timestamp的办法：
http://blog.csdn.net/dog250/article/details/18959401
看起来还得稍加折腾，和ipid一样需要编译模块
但好处是编译一次应该就可以共享出来，大家一起用了。

另外这样即使有效也不是长久之计——如果大家都有timestamp，就你没有，这也算特征吧。最好能伪造一个

如果理解有误请轻喷。

[sandideas]

@acess http://wk.baidu.com/view/9217acbbfd0a79563c1e72d1?pcf=2&bd_source_light=1550401你可以看看。。

[invite]

@acess 如果检测IPID这些，那么你用一台电脑做代理当路由器使，这样不是检测不到了？

[sadpencil]

IPID 和 timestamp 确实是比较难防，但是，ISP 如果根据这种手段检测的话，会误伤虚拟机
有了虚拟机这个借口，似乎就不用担心 NAT 封锁了

[Benson1212]

@my623 我们学校的就是网康科技的设备，有什么办法防封吗？