这是一个创建于 125 天前的主题，其中的信息可能已经有所发展或是发生改变。
我最近在思考一个问题：
1 、三大运营商对端口管理：比如封禁 80 、443 、8080 等是通过什么方式实现的？感觉如果是 ACL 的话，那就不太科学。还是说使用的 domain 域，开放了 80 、443 的账号在一个认证域，没有开放 80 、443 的账号在另外一个域中？
2 、对于未备案的域名，运营商是如何重置连接的？（成都移动大概在百天前更新了策略，如果将没有备案的域名解析到专线 IP 中，会直接被重置连接，如果是 IP+PORT,那么是能够访问的）。
对于第二点，我比较存在疑惑，https 可以通过 SNI 检测嘛，http 明文梭哈，那么运营商是如何发现 IP 被绑定了域名的呢？ ptr 肯定扫不出来的，莫非 ITMS24 小时一直监控流量？
1 、三大运营商对端口管理：比如封禁 80 、443 、8080 等是通过什么方式实现的？感觉如果是 ACL 的话，那就不太科学。还是说使用的 domain 域，开放了 80 、443 的账号在一个认证域，没有开放 80 、443 的账号在另外一个域中？
2 、对于未备案的域名，运营商是如何重置连接的？（成都移动大概在百天前更新了策略，如果将没有备案的域名解析到专线 IP 中，会直接被重置连接，如果是 IP+PORT,那么是能够访问的）。
对于第二点，我比较存在疑惑，https 可以通过 SNI 检测嘛，http 明文梭哈，那么运营商是如何发现 IP 被绑定了域名的呢？ ptr 肯定扫不出来的，莫非 ITMS24 小时一直监控流量？
7 条回复 • 2024-09-01 03:55:32 +08:00
 |
1
wangxiaodong 125 天前
只要检查 http 请求头中的 host="example.com" 即可吧，而且首次只做标记，不会阻断，拿该域名异步比对备案库，若未备案，后续请求才会执行阻断。
|
 |
2
LanhuaMa 124 天前
TCP 目标端口是 80 、443 的就丢包、阻断，商宽都是静态 IP ，阻断前去数据库里匹配一下就好了。
未备案的域名通过运营商默认下发的 DNS 投毒解析到 96100 的 IP 上去，检测 SNI 然后重置连接是 GFW 干的事情，和运营商无关。 |
 |
3
ho121 124 天前 via Android
商宽和家宽在不同的网络区域，每个区域都部署有分布式硬件防火墙，性能完全跟得上。
|
 |
4
NEPv5NA6R8R3Y11u 124 天前
ACL 方式，默认关闭这些端口，做了备案再加 rule 。
地市级总汇聚路由上做的放行策略，放行端口到区域 bras 上接入的 IP 地址 |
 |
5
Rehtt 124 天前 via Android
不要小瞧了硬件防火墙
|
 |
6
DarwinChow 82 天前
最近在检索相关资料，似乎很多地市就是在 BRAS 的 ACL 上做的规则
参考 https://anytech.cn/catalog/3570 https://support.huawei.com/enterprise/zh/doc/EDOC1100335683/2a103fd2 |
 |
7
AS58453 OP @DarwinChow 感谢回答，您这个才是正确的方式，使用 QOS 流控制配合 ACL 进行控制，而不是使用直接下发 ACL 的方式。
|
Select Language