用 he.net 打通 ipv6 隧道， Youtube 1080p 无压力，但有些疑问，请各位大神指点迷津？

vhus

2017-12-28 23:56:28 +08:00

@xiaoun001
dns 设置，直接用 he.net 的 ipv6dns。
我的环境跟你一样，也是配置在 routeros 上面。

vhus

2017-12-28 23:58:51 +08:00

网通的线路基本上 ipv6to4 都挂了，电信线路还能用。
开两会时肯定都挂。

xiaoun001

2017-12-29 22:16:41 +08:00

@vhus 大神，原因的确在 DNS 上。关键是 DNS 污染和 IPV4 影响。
学习楼上 @realpg 大神的 dnsmasq 智能解析大法，将一些特殊网址解析到指定 DNS，我现在是解析到 8.8.8.8 上面了（之前是走），其它走本地 DNS，其实在使用过程中，主要是 Youtube 站点，视频仍然不出来。无论什么干净 DNS，知名不知名的，都难逃五指山，估计是对 53 端口的数据进行入侵检测分析，然后做出相应响应。我是 6in4 隧道，估计 53 端口也在管控之列，毕竟你还是以公网 V4 地址通过骨干网。
无意中，将的本地 DNS 服务器(debian 9+dnsmasq) 通过低速稳定加密隧道出国，确保所有去往 8.8.8.8 的查询都经过加密隧道，直接从国外取，意外的，DNS 解析正常了，YB 站的视频也可以看了，配上插件，也能看了。我得出结论，任何干净 DNS 使用场景也是有原则的，前提是你的 UDP 53 流量不在管控范围。因此，将 DNS 前移在局域网内，就保证了查询结果是不受污染的。
同时，开启了 DNSMasq 缓存功能，只缓存正确地址（有这个选项的）。效率大大提高。
对于客户端，关于解析出正确 V4 地址（不通的），这个很难克服。发现 Firefox 通过一些 IPV6 优先的设定，居然也能比较好的用。至此，也就不再折腾了，此回复也算本帖的结题总结。谢谢大家。

realpg

2017-12-29 22:44:26 +08:00

@xiaoun001 #83
主要是我这对 HE 的高速通道走 CN2，带宽太贵了……要不就分给你用用……

另外，我刚发了这个教程给你后第二天，6in4 隧道上的 dns 就被污染了……完事过了 12 小时就恢复了，目测给某些人提了醒增加了污染这个的功能……

xiaoun001

2017-12-30 11:48:29 +08:00

@realpg 非常感谢，我也发现被污染了，害大神受累，对不起啦。所以，我也把自己想了很多天且经试验的方法分享给大神。
我的普通通道延迟控制在 270ms 了，很稳定。目前最高看 1440p 一点问题没有，非常流畅。不玩游戏。
我理解是所有走 udp 53 端口的流量，不管 V4/V6，是根本躲不开关键字审查的，一旦触发响应机制，结果可想而知，TCP RST，或者 IP BLOCK，这就是能 PING 通而不能访问的根本原因。所以，我们常见的干净 DNS，只要我们无加密的通过运营商网络，就可能触发响应机制。因此，不是 DNS 不干净，而是路上有神奇。
因此建本地 DNS，然后本地 DNS 用某种方式（ VPN 隧道），神不知鬼不觉的把数据取回来，而不取触发某种机制即可。这个需要的流量很小很小。

realpg

2017-12-30 11:51:36 +08:00

@xiaoun001 #85
就 12 小时完事就好了……
目测给研发的提醒增加功能了然后测试了 12 小时然后就关闭了

vhus

2017-12-30 13:16:56 +08:00

@xiaoun001 的确是这样，我在电信的线路上直使用 HE IPV6 DNS，没用 IPV4 DNS，如果没有某两会的情况下可以正常访问 GOOGLE、YouTube。联通线路使用同样的设置就不通了，感觉联通最近在 GFW 的部署加强了。
实测对于 IP BLOCK 的情况没好办法，只能通过 vpn 绕过去。
单独弄条 DNS 解析线路有些麻烦，所以没有尝试。
流量没通过 vpn，即使是能解析正确，如果面对 IP BLOCK 也是没辙。

Liqianyu

2017-12-30 14:14:42 +08:00

@realpg
根本没关系的。之前就一直有间歇性的污染，应该都是测试。DNS 污染手段随时都有变化。
DNS、SNI 等模块都在进行 IPv6 的兼容升级。也许某次升级就将持续开启了。
6in4\6to4 都逃不过，目前只不过用的人不多。威胁不大罢了。

Liqianyu

2017-12-30 14:16:37 +08:00

双十一测试的是 HTTPS SNI 阻断。之前隧道走 HTTP 就已经出现过重置了。DNS 更是早就有过。
等哪天测试好了目测一起上。。。当然估计 IPv6 的推行会加强网络白名单...

aru

2017-12-30 18:03:31 +08:00

6in4 之前可以上 google 的，现在经常会被 reset，没法直接用了

LGA1150

2017-12-30 21:05:28 +08:00

@Liqianyu @aru 广州移动、电信测试了隧道还是有 SNI 阻断，包括 6in4、IPIP、GRE 三种隧道协议

Liqianyu

2017-12-30 22:06:27 +08:00

@LGA1150 是啊，所以非加密和存在特征挂掉只是时间和时期的问题。不直接干掉也会存在干扰。
比如 OpenVPN...故意丢弃认证包。我现在都不用 6in4 了。$hadow$ocks IPv4+教育网 IPv6

ResidualBlood

2017-12-31 08:44:41 +08:00

校园网 v6 添加个 v6 的谷歌 DNS 即可访问所有 v6 站点，，也许你需要改下 v6 的 DNS，，，23333

xiaoun001

2017-12-31 10:42:36 +08:00

@ResidualBlood 好的，非常感谢。

lxfan

2018-01-09 16:48:52 +08:00

@xiaoun001 求教通过什么加密实现 53 端口问题的，我也是这样问题，不懂怎么解决，求指导？还有你说的 yb 插件是什么插件？

xiaoun001

2018-01-09 18:30:46 +08:00

@lxfan 求教不敢当。我在网上找了个限流量的免费 vpn，给 DNS 用。但目前即使能取得干净结婚，SNI 阻断，很难过的去。所以，放弃了。

zhihuiyuze

2020-04-06 18:56:19 +08:00

好像是又 DNS 缓存，使用代理后关闭代理可以正常访问一会儿。

xiaoun001

2020-04-06 22:54:16 +08:00

@zhihuiyuze 自从普通加宽能够获得原生 IPv6 后，就弃坑很久啦。我目前的做法是：用了一个 N1 盒子跑 DEBIAN，在上面做了一个本地干净 DNS，在 vultr 开了一个 3.5 美元小鸡 /月。N1 盒子连小鸡，实现访问国外目的。但实话说，最近出口都很不好，很卡。国外小鸡只做了鸡场，博客是在自家机器里，尝试用国外小鸡做了一个反向代理，慢的很，放弃。用了一个 64G MSATA 固态配 N1 盒子在跑，足够了，这个私家博客（或者说是个人电子日记本，已经四年了。一直挺好的，从 i7 到 J3455,再到 KVM 虚拟机，树莓派，然后是 N1 （基于 UBUNTU 18.04,再到 DEBIAN 10)基于 443 端口今年春节被封了）。 https://toplz.net:444/?p=2927 https://toplz.net:444/?p=1768

zhihuiyuze

2020-04-08 10:34:03 +08:00

@xiaoun001 我在 WS1+ipv6 隧道建了个站，一会好一会不好。wp 的 js 和 css 不知道为什么都是 http 没有进 s，目前 ipv6 有个临时的和一个和 mac 写死的。不知道怎么再加个临时永久的，似乎谷歌不能上好像和路由器 DNS 有关系。检测出隧道默认 V4 了。我现在路由器是 R6300V2 梅林系统，各种 ipv6 玄学

xiaoun001

2020-04-14 15:04:50 +08:00

@zhihuiyuze 我之前改过 wordpress 代码，将 wordpress 与域名解耦，实现任何网址（域名)进去都可以。在 web 服务器（ nginx,apache?）强制跳转 ssl . 关于 IPV6 隧道，印象中 ipv6 on ipv4 隧道好像是 47 号协议（好像是），ZF 是可以检测出来的，因此 53 端口也不例外。你访问任何 DNS （除本地的以外），53 端口被劫持（或者说监视，个人揣测）的，必然阻断，因此，你无法获得正确地址。我是自己做了一个本地 DNS （用 bind9 + 国外常用地址列表，就是除了国外常用，都走 119.29.29.29 ，国外常用地址走 8.8.8.8 （实际上走的我 VPS 服务商的 DNS，这种国内外解析结果相对于 VPS 是接近优的，配合国内路由表，国内国外都不慢，也没有问题）, 主要配置如下：我没有用 IPV6 了。

root@MHS-CORE-01-ARMv8-N1:/etc/bind# cat named.conf.options
options {
directory "/var/cache/bind";
forwarders {
119.29.29.29;
114.114.114.114;
0.0.0.0;
};
listen-on { any; };
listen-on-v6 { any; };
allow-query {0.0.0.0/0;};
#allow-query {any;};
//forward only;
};

root@MHS-CORE-01-ARMv8-N1:/etc/bind# more named.conf.gfw-zones.108.61.10.10
zone "pinterest.com"{type forward;forwarders{108.61.10.10;};};
zone "download.kolor.com"{type forward;forwarders{108.61.10.10;};};
zone "blogspot.jp"{type forward;forwarders{108.61.10.10;};};
... ...

root@MHS-CORE-01-ARMv8-N1:/etc/bind# ip route
default dev tun0 scope link
1.0.0.0/10 via 172.16.0.1 dev eth0 src 172.16.0.230
1.64.0.0/11 via 172.16.0.1 dev eth0 src 172.16.0.230
10.0.0.0/8 via 172.16.0.1 dev eth0 src 172.16.0.230
... ...

默认路由走 tun0 是梯子隧道，简单说就是国外。后面是静态路由，到全国的路由表（原来有几千条，后来汇聚了，有 130 条左右），走 172.16.0.1，eth0 口，172.16.0.1 是我家宽带路由 LAN 地址，等于用静态路由匹配，到国内地址全部走国内。