使用支持 websocket 的 cdn 保护 mc 服务器

前言：朋友的 mc server(java 版,1.12.2,日均玩家 10-15 人，mod 服)，在多次遭受 ddos 攻击之后，朋友找到我，询问有没有一种方法可以以较低的成本保护他的 mc 服务器。

最开始考虑的方案是高防 ip ，高防 ip 的好处是操作简便，无需任何多余的设置，缺点则是价格贵，防御和机器配置绑定，若是购买通用高防服务器，想要获得足够的防御，需要购买对于 mc 开服来说过多核心(比如 8 核 e5)的服务器，若是购买 mc 专用的高防 ip ，则面临着超售严重和价格昂贵的问题。

随后又考虑了 cdn 方案(在玩家的客户端架设正向代理将 tcp 连接转为 websocket 连接经过 cdn 传输到 mc server)，我最先想到了经常被 mjj 拿来拯救被墙机器的 cloudflare(下文将简称为 cf)，通过 cf 的边缘节点走 cf 的内网回源到 mc 服务器，期间尝试了优选 ip 等一系列骚操作，但是最终因为延迟问题被迫放弃。

随后我将视角转向了国内 cdn ，国内 cdn 厂商相比 cf 有两大不足，一是需要备案，二是不免费+只能后付费，可以被有心人很轻易地刷出天价账单，但是胜在延迟低。可选的加速方式有全站加速(可以加速任意基于 tcp 的协议)和 http 加速，在价格上，全站加速的价格远高于普通的 cdn 的 1g0.2 元的均价，不考虑，最终决定使用支持 websocket 的 http 加速。此时只剩最后一个问题需要解决，如何避免被有心人刷出天价流量账单，经过我的多番寻找，最终找到了一个接近完美的方案：域前置。若是使用明文的 http 方案，攻击者可以加群下载客户端之后抓包获得加速域名，若是使用默认的 https 方案，会在两个地方暴露连接的域名，一是 dns 解析，二是 tls 握手中客户端发送的 sni ，对于 dns 解析，我们可以使用一种叫做 cname 拉平(对 cname 类型的 dns 查询直接在服务端进行递归的解析直到最终获得 ip)的方案，假设我们使用某 cdn 加速域名 example.com ，cdn 提供者会返回给我们一个 cname 域名，类似这种格式：example.com.xxx.yycdn.com ，对此域名进行递归的解析，一般来说会解析到 yycdn.com ，因此我们可以直接对 yycdn.com 建立 https 连接，而不必对带有我们域名 example.com 信息的的加速域名进行连接。对于 sni ，我们可以使用域前置技术，域前置技术简单地说就是 tls 握手中发送的 host A 和 http header 中发送的 host B 不一致，host A 放入 sni 中明文发送，而 host B 则是被 tls 连接保护，不会泄露。决定回源到哪个域名的是的是 host B,决定连接安全性的则是 host A ，只要 host A 的私钥或者百度的日志不泄露，那么 host B 就不会被解密出来(当然二进制文件里的 host B 字段也需要通过混淆 /加密 /加壳等方式保护好)。经过测试，距离较劲的玩家延迟增加了小于 20ms ，而较远的玩家延迟没有明显增加，日均玩家 10-15 人，一个月流量 500g 。以下是 demo

yu1745/websocket_tunnel: 将 tcp 连接转为 websocket 连接使其可以通过 cdn 传输支持域前置技术以隐藏域名 (github.com)