论如何伪装家庭宽带 HTTP 服务

[haoxingxing]

前提：电信检测 http 服务是通过 http 嗅探而不是流量检测

做法：

编写一个反向代理，并只把这个代理开放到公网

每当有一个新连接连入时，检测连接传输的前一百个字符中是否含有指定的字符串，

如果没有，直接断开连接，不发送任何响应

如果有，就按照反向代理连接到内网服务

原理：

根据 http 请求头 如 关键词 proxy

http://example.com/proxy

GET /proxy HTTP/xx

第一次发帖，见谅，

[hanqi7012]

前提是咋得出的？

[herozzm]

随便买个 vps，然后反代给 adsl，其他一律拒绝，这样应该没问题

[hanqi7012]

@herozzm 反代也过不了包检测
现成的 frp 啥的不就好了 还靠谱

[takitooru]

有一个思路：
1.建立一个独立的 TCP 服务端，只接收数据，然后识别 GET 路径的字符串，当字符串是特定字符串时，把这个请求的 IP 加入防火墙里面(有效期可以自己设定)，允许它访问所有 HTTP/S 服务。
这样即使被扫描，也只会被扫描到那个没有任何数据返回的 TCP 端口。

2.打开 HTTP/S 之前需要先打开另一个端口的网页 http://xxxx:1234/keyword，然后关闭这个这个假网页，再打开正常运行的 HTTP/S 服务即可。

3.当然有个问题是，在复杂的网络环境，比如长城宽带，你打开这两个端口的源 IP 可能不一样，导致加入防火墙的 IP 地址对于 HTTP/S 服务来说无效。

[myqoo]

@takitooru 这思路 20 年前就有了，port knocking，两个 iptables 命令就可以搞定。

[yangxin0]

买一台阿里云，用 openvpn 桥接起来问题不就解了

[takitooru]

@myqoo #5 我稍微看了下 端口敲门，按照指定顺序端口连接的做法适合机器去访问，不适合人去操作。识别 http get 的路径只需要用户用浏览器打开一个网页就行。

[myqoo]

@takitooru 也可以做成 http 版的，iptables 加上 http 特征的 match 就好了

[muzuiget]

哪用发明轮子，买个 VPS，支持 ssh 登录，即可，然后用 ssh -R 反代，完事。

[optional]

iptables 就能搞定

[optional]

但是没用

[optional]

回去翻翻协议，没有包含就怼，包含了就别作

[justs0o]

@takitooru @haoxingxing

分光镜像分析，你这条链路做过啥都能知道，限制 IP 没用的

[ZRS]

TLS 换端口 加密码

[LPeJuN6lLsS9]

我觉得完全可能是和某墙一样是通过深度包检测查到的

[pwrliang]

为啥不开 VPN 连回去…

[daveh]

ss 反代回来。

[alphatoad]

目前阶段的 TLS 会暴露 ALPN 和 sni （ TLS 1.3 可选加密 sni，ALPN 没办法了）
双向证书认证除了浏览器基本没有实现
dpi 实在是躲不过

[lydasia]

vpn 回家不好用么

[fortitudeZDY]

@lydasia 是啊，搞折磨复杂干啥，ovpn 连回去得了