拒绝 TCP 协议，发现还能访问网站

[woshisongzhe]

以前一致认为 HTTP 协议是建立在 tcp 协议之上的，如果禁了 tcp 协议之后，那么就不能访问网站了，现在我尝试把 TCP 协议禁了之后网站也能访问，看来如果网站不是需要保持长连接需要 tcp 协议，那么可以把它禁了，这样，网站安全性就更进一步了

[jasontse]

mark 等真相

[RobertYang]

难道你是 QUIC ？ 23333

[xmh51]

坐等真相 阿里云被打脸？？ 后台 tcp 被禁 网站还能访问 23333

[dndx]

楼主这不是高级黑吧。

[wsy2220]

火钳刘明

[woshisongzhe]

@jasonyang9 我现在在服务器外套了个均衡负载，但是我把内外网出入口的 tcp 也都封了，但是也是可以访问，感觉非常奇怪，难道通过阿里云的控制端封禁无效？但是我设置其他的比如 22 端口只留下白名单等设置也都有效

@ahhui 直接通过浏览器输入网址以及通过 app 链接都能获取到结果，包括查询数据库等都能获取到正确结果

@iyaozhen 测了，不过访问的是均衡负载的 ip ，但是我明明把所以内外网的出入口的 tcp 全都封了，也能访问到网站，真是奇了怪了

@xmh51 我刚才直接把域名指向后端服务器，吃完饭回来发现又访问不了，但是通过均衡负载那个域名还能访问，问题是我内网也把它给封了的，难道 tcp 对内外不起作用还是说内网采取的不是 TCP 协议？

[jy01264313]

什么鬼，没听懂？

[Citrus]

阿里云的负载均衡分七层和四层，目测楼主配了一个七层 HTTP 负载均衡然后把四层全封死了。。。这样不能访问才奇怪呢。。。

[Citrus]

不过楼主这从现象推原因的逻辑也是挺牛逼的。快去证伪万有引力和牛顿定律吧！

[crab]

那你 80 端口监听用啥协议啊

[zealic]

阿里云的防火墙我就不说了，各种逻辑不通顺，封了的端口可以继续访问，出口流量配置允许所有流量无效，必须配置指定的外部入站随机端口端 40000+ 允许才能正常工作

[UnisandK]

验证到后来楼主变成了阿里黑。。

[woshisongzhe]

@Citrus 不是，我只配了 4 层的均衡负载

@crab 均衡负载的 80 端口是监听 tcp

@zealic 阿里云的流量、内存、 cpu 抓取的是误差非常大的，你能想象 cpu 的利用率达 100 网站还能打得开么？根据阿里云的抓取，是的，还能打得开，而我抓取的就 8 点几，不知道他们是怎么抓取的，流量我如果抓取了 100Kb/s ，阿里云的抓取肯定达到 500Kb/s 了

@UnisandK 楼主从来不去黑别人

[zealic]

@woshisongzhe 阿里走的是双向流量收费，本身内网 NAT 貌似也是要收费的；由于它定制了操作系统在内部加入了一些 agent 和内部系统通信和动态更新，所以对于网络防火墙限制有许多例外，总体来说非常恶心。

[woshisongzhe]

@zealic 问题是他们宣称的单向收费（收取出口流量），但是目前也就是在研究研究，先不管那么多了

[FreeDog]

那个防火墙不是只针对 CentOS 有效吗？之前看到的提示是那样子，所以就没有用它

[qzy168]

ban 了 TCP 还能访问网站是什么原理？

[whahuzhihao]

马克一下 坐等下文

[woshisongzhe]

@qzy168 现在的情况是，直接指向 ECS 是访问不了网站的，但是通过均衡负载即使后段的内网出入口封了 tcp 后还是能访问，我怀疑是均衡负载的内网 ip 直接与后端的服务器绑上了，无论后端怎么封，都是可以通过均衡负载访问，因为均衡负载没有设置封禁 tcp

[mengzhuo]

哈哈哈哈 今日最佳笑话！！！