国内家宽访问海外公司内网问题

[zx900930]

最近有人回国，在国内的网是南京移动的家宽。

需要访问欧洲公司的内网（ smb 共享和 https 服务）。

我有内网一台服务器和路由器的管理权限，可以随意架设服务和开放低位端口。

该公司有固定公网 ipv4 地址，但是南京移动的网却没有。



南京移动的家宽测试可以访问公司的域名，ip 也可以 ping 通，延迟大约 200 不到。



原本用的 openvpn ，回国第一天 1194 tcp 可连，第二天就被阻断了（封端口没封 ip ）。换了个端口，也是用一天就被阻断了（访问的只有 smb 共享和公司内网 erp 页面，全是小容量文档流量也不大）。另外一个德国分公司的 ip 1194 udp 就没事。



试了下 xray vless ws+tls 443 可以连接能显示延迟大约 500 ，测速只有 0.01M/s ，完全不可用。



换成 tailscale ，无法 p2p 直连，走中转速度极慢。



不知道还有啥好方法能内网穿透。

[L4Linux]

ws+tls 套一下 cdn 试试

[JensenQian]

整个德国 9929 转发下

[zx900930]

@L4Linux 也许套 cf 能提高一下速度吧, 我试试.

[datocp]

Softether 才是针对墙设计的。它能做到直联 /借助中间网络，条条大路通罗马。当然从去年开始已经变成 30 分钟连接不同端口，电信公网依然是 24x7 稳定。
其它就是看看国外的社区 mesh 固件，可以在 tplink 像 tl wdr4310 直接连到德国的社区。

[datocp]

忘了还有 stunnel,目前用 haproxy 端口复用在 tcp80 。这么多年就剩下 softether+stunnel 了，直接可以安装在 openwrt 路由，其它的都是旁门左道软件。。。不知所谓的实现。。。

[adrianzhang]

@datocp 这方式竟然还活着？远古老家伙了。

[chengran630]

@datocp 不要宣传 Softether ，自己默默的用就行

[dearmymy]

tailscale 找个 hk 服务器建中继。基本就完美解决了。

[alect]

找香港的服务器中转一下

[czwstc]

不要欧洲和大陆家宽直接连。
让大陆的人自己买个 vpn 挂路由器上中转一下。
我们企业里是开个 vdi ，挂个 vdi 来访内网资源。

[yaott2020]

出境流量想要稳定，梯子最简单

[JoeoooLAI]

用 SSL VPN 湊合。。。

[prondtoo]

搞个支持 UDP 的梯子先到香港 /日本，剩下的一切好说。

[photon006]

可以试试 wireguard + udp2raw

https://github.com/WeeJeWel/wg-easy
https://github.com/wangyu-/udp2raw

用 vps 中转速度受限，还是直连快，udp2raw 用来过墙，单纯 udp 协议很容易被封，模拟成 tcp 好很多。

[ptrxeu]

早就放弃了...

如果回国不呆久的话可以用港澳漫游卡(转机时可以买), 或者租机场. 因为公事来中国的话, 让他买稳定 /贵的机场, 这个支出是需要企业提供的, expense 就可以. 如果不是公事回国的话, 员工自己承担提供稳定互联网的责任

[worldquant]

找直连线路 vps 做下中转，tailscale 就可以了

[zhangjyu]

别用移动，墙中墙，换联通或电信

[Chaconne]

移动也是个坑

[pendulum]

@worldquant tailscale 大部分时间还行，但是偶尔还是会连不上，被迫走慢得要死的中转服务器，即使是连接国内的固定 IP 的服务器也是一样。还是有点糟心

[PrinceofInj]

anyconnect 或者 global protect 。当然为一个人的话就没必要了。我之前试过 wg ，短时间是没问题的。

[BeautifulSoup]

@datocp softether 国内使用是否有阻断的风险？在公司用这个连回家 怕哪天突然断了。或者有无更好的方案？

[gujigujij]

试了下个人写的内网穿透工具, 客户端和服务端经过免费的 cloudflare, 把本地端口映射到服务器 18000, 然后在服务器上的下载速度, 如下

```
[root@xxx-153c8c ~]# wget http://127.0.0.1:18000/win10_c.qcow2
--2023-02-13 00:51:48-- http://127.0.0.1:18000/win10_c.qcow2
Connecting to 127.0.0.1:18000... connected.
HTTP request sent, awaiting response... 200 OK
Length: 4635525120 (4.3G) [application/octet-stream]
Saving to: ‘win10_c.qcow2.1’

win10_c.qcow2.1 1%[> ] 66.13M 5.62MB/s eta 13m 45s^
```

github: [github]( https://github.com/sazima/proxynt)

[datocp]

国内使用没有任何限制，可以 l2tp+openvpn+自带客户端。

之前是电信联通网络不通，晚上高峰 10~50KB/s ，甚至不是本市直联，跑到省会城市中转。

这些年基本上家里的 mtk7620 路由连接移动专线 erx TAP 接口，l2tp 在 2.5MB/s 。也就是国内网间应该是没有限制了。

过墙就不好说了。去年 10 月份开始出现疑似端口流量累积限制，现在路由每 30 分钟更换连接服务器端的端口，再加上它是可以级联到其它线路进行借道。真正的是条条大路通罗马，四通八达。。。

softether 最好的 VPN 。

[hging]

cloudflare 有带穿透功能，可以研究下

[datocp]

其实之前使用移动 4G 路由，针对这种问题最好的解决方案就是

使用 softether 将 vps 和公司的网络直接做 L2 级联桥接，然后分别桥接到 wlanx 接口。就可以简化使用人员的难度，直接给他一个刷了 openwrt 的设备，他通过连接不同的 SSID ，就可以接入不同的内网，而无需要关注其它设置上的问题。

[raysonx]

正规的方案是需要找基础运营商租用专线和 VPN 。

[Kinnice]

@datocp softether 真不卡吗？？？我感觉只是能用的地步。

[zx900930]

@raysonx 这个需要交一堆材料和申请还要等批准吧，而且如果国内没有分公司可能都不会受理。

[zx900930]

@datocp 我试试，我感觉移动是流量超过一定值就封端口。

[zx900930]

@czwstc vdi 确实可行，就是远程进去操作延迟挺高，打字半天才显示，这个是我最后的办法了😭

[aru]

@zx900930 要求不高直接用 iplc 中转吧，100 块以内可以搞定

[fatekey]

我试过 wireguard + udp2raw ，然后再把 wireguard 开在比较高的端口上，这样是不怎么会封的，但是延迟不太能接受。最后我选择了，openvpn tcp + 机场的方案，找一个比较快的机场，再给 openvpn 配上 socks 代理，延迟和速度都很满意，也不用太折腾。

[huihuilang]

搞个机场路由器透明代理吧，自己折腾费劲

[ericbize]

微林 转发
iplc 机场

[zx900930]

已经(暂时)搞定了, 套 cf 帮助不大.

最后的架构是这样的:

移动家宽 openvpn 通过 socks 代理用 ipv6 连中转服务器 -> 中转服务器转发 ipv4 到公司内网

中转服务器也在欧洲, 域名和 ipv6 在国内可以直连.

最终测速大约 2M/s 文档编辑和网页操作是足够用了, 数据库也能正常连接, 能坚持 1 个多月到人家回来就行了.

[zx900930]

@huihuilang 中国移动的网, 很多机场都不好使...

[huaes]

@zx900930 移动已经不是几年前了，我现在就一德国小鸡 wireguard 外面套了一层机场，延迟不超过 200ms ，晚高峰测速也能 200 多兆，但是不套机场基本不能用。。。

[mandymak]

@PrinceofInj global protect 好像不是免费吧？

[angeltop]

CF 反代试试据说效果不错 ，

[spacezip]

移动的初看 ping 测速可能没什么 可能稍微过一会就被 qos

[yunisky]

PEK-SZX-CAN-TNA-CDG 几个站点用 softether 互联，ping 包每 20 个包里有一个延迟翻倍，其他正常，使用完全没问题。

[ttvast]

tailscale 一端有公网的情况下都不能直连？网络协议那么拉垮的吗？

[as2o3]

@mandymak 老哥，移动那个加速器全局还能用吗

[zx900930]

@ttvast 一端有公网也架不住另外一端层层套娃啊

[lin559671]

不试试 wireguard ？现在移动 udp 不怎么 qos 了吧

[ttvast]

@zx900930 一端公网，另一端再怎么套无所谓啊，上网不就是这个结构么