移动宽带封锁亚马逊部分 IP 443 端口

[Liqianyu]

影响 IP 段为
52.216.0.0/15
54.231.0.0/17

范例
443 端口不通
54.231.48.147
54.231.41.26
52.216.16.99
52.216.1.83
52.216.80.43
52.216.80.251
52.216.81.107
54.231.81.83
52.216.225.91
52.216.225.243
54.231.82.202
54.231.120.162
52.216.227.99
54.231.114.132
54.231.98.163
54.231.115.58
52.216.227.131

443 端口通
52.216.225.187
54.231.33.186
52.216.65.99
52.216.0.67
52.216.0.27
54.231.82.148
54.231.98.139
52.216.81.67
52.216.2.27
54.231.40.74
54.231.40.138
52.216.65.75
52.216.66.43

80 端口都是正常的，443 端口被封。
之前 https://www.v2ex.com/t/359567 的工信部投诉
我还没撤销，家宽部门说有可能解封，要我填写解封表
但是解封表应由网站所有者填写才对。
移动表示需要我联系 12321 去解决，有没有了解的 V 友。

似乎是间歇性封锁策略

已确定是间歇性封锁，所有 IP 都是这样。也就是有 50%的几率打不开。能不能打开完全看运气。
北京移动，只有 443 端口是如此。北京联通无此问题。

收到移动反馈短信，问题已解决，实际测试问题依旧存在。

[gonghao]

哥们，我有个 aws 的 ip，你能在你的宽带下帮我测试一下访问正常不？你有邮箱或者 qq 不？

万分感谢！

[Liqianyu]

@gonghao ip 直接发出来不行吗？我可以帮忙测试。

[myliyifei]

为什么要封

[gonghao]

@Liqianyu 54.222.154.247

[gonghao]

@myliyifei 河蟹呗

[imn1]

@Liqianyu
他在这里发出来，被 D 的概率极高，尤其 V2 还不能删贴

[Liqianyu]

@myliyifei 我也不理解移动的脑回路。总之已经投诉给移动，不行继续工信部...反正我不嫌恶心....（一个月差不多投诉到工信部三次了...）

[imn1]

@gonghao
还真敢发啊……

[yexm0]

可能广东移动的封锁策略比你那边的移动还要严格吧...

[Liqianyu]

@imn1
亚马逊怕被 D ？
@gonghao
亚马逊北京数据中心
80/443 端口正常。移动需要走联通，联通直连。

[Liqianyu]

@yexm0
广东移动什么策略？我是北京移动。

[Liqianyu]

@yexm0 我现在也不通了。但是刚刚应该是没问题的。似乎是间歇性封锁策略。

[yexm0]

@Liqianyu 😂不懂移动这样做到底有什么用

[BOYPT]

。。。发个 IP 就被 D ？ 感觉就跟三体里面的暗黑森林……

[Liqianyu]

@yexm0 我认为是操作人员误操作或不了解所致。封部分 IP 有什么意义？降低体验？结果就是有几率打不开，也可能打得开。但是想打开的人还是有办法打开。而且似乎封锁策略还是间歇性的。这倒是和曾经针对 Google 的策略差不多。

[qui9090]

已经有墙了还要自己额外再建一道墙，移动领导是想要跪舔那最高权利几个人

[LGA1150]

电信联通不也这样

[KCheshireCat]

我觉得只是单纯的线路问题,浙江移动

[Liqianyu]

@KCheshireCat 如果是线路问题，无法解释为什么 443 不通的时候 80 是没问题的。而且现在我在准备视频和测试。就对一个 IP 不间断测试 443 端口连通性。
目前测试结果是连通 1 分钟-断开 3 分钟-连通 1 分钟-断开 11 分钟-连通 7 分钟-断开....
总之可能性就是间歇性封锁策略或某种触发、阈值机制。
如果硬要说是线路问题不是移动的锅。
1.443 不通的时候，80 通。
2.移动不通的时候，联通通。
3.443 不通都是连续长时间不通，然后突然恢复，如此反复。

[RqPS6rhmP3Nyn3Tm]

借楼问一下，ping 不是 ICMP 协议吗，为什么能指定端口？

[ovear]

@BXIA tcp ping _(:з」∠)_

[xx998]

@gonghao
广东移动
ICMPing 正常
tcping443 正常

[xx998]

广东移动 443 端口
52.216.80.43
52.216.80.251
54.231.81.83
52.216.227.131
54.231.115.58
54.231.98.163
54.231.114.132
54.231.120.162
这几个可 ping 通

[Showfom]

@gonghao 你这是国内的吧

[shiny]

移动有墙内墙，很多年前其他运营商 OPENVPN 是通的，就移动封了。

[bclerdx]

@yexm0 所谓封锁 443 端口或 IP 是中国移动以什么方式封锁呢？

[bclerdx]

@KCheshireCat hping 是个什么工具啊？

[yexm0]

@bclerdx 并不清楚

[KCheshireCat]

@bclerdx #27
类似 tcping 的工具,比起来我习惯用这个.

@BXIA #20
tcping 或者 hping 都是使用 tcp 的握手包来 ping 的.

@Liqianyu #19
我观察到的移动小墙都是握手完成后发送单向或者双向的 RST 包来强制断开连接,直接加丢包率这种事情我觉得是不太可能的,QoS 被压优先级了是可能的,但这个不好调查.

就算调查出来了,投诉省公司或者市公司可解决不了,出口 QoS 不是分公司能控制的.

[bumz]

不能删帖？可以以图片的形式发出来，再删除图片呀

[bclerdx]

@KCheshireCat 出口 QoS 不是分公司能控制的，那由谁来控制？有哪个部门来控制？由哪个人来执行操作？又是怎么个授权方式？

[bclerdx]

@KCheshireCat 如果类似鹏博士进行了 ICMP 劫持 UDP PING 包，那么移动或鹏博士宽带会进行 ICMP TCP PING 包劫持或对其 PING 低延迟优化，但实际使用卡顿的现象出现么？

[KCheshireCat]

@bclerdx #31
详细的情况我不知道,但是我这边要处理省公司的穿透问题就要上报道省公司,或者再省公司之前就加上市公司的穿透.

#32
icmp 和 udp 是可以这么做的,但是 tcp 握手不行,这样握手流程会出问题连接就建立不了了.
而且我这变移动也不会劫持 icmp. udp 的 DHT 协议和 DNS 协议做了劫持,其他没有观察到劫持,但是可能做了 QoS 劣化.

[bclerdx]

@KCheshireCat 就以目前的公开的技术手段或未公开的技术手段，希望鹏博士和移动宽带 ISP 们没有技术能力做到 TCP 协议下的 PING 低延迟优化，而实际使用起来照样卡的 现象出现吧！

另外，您说的 QoS 劣化是指什么意思？可否详细描述一下，谢谢啦！

[wql]

@bclerdx QoS 劣化，说白了就指的是对于特定对象提升丢包率。

[bclerdx]

@wql 对特定对象尽力的丢包有什么意义么？如果这个特定的对象是正常请求资源的话。

[F0nebula]

@KCheshireCat 同浙江移动

[Liqianyu]

@KCheshireCat 我和好友测试了，就是间歇性封锁。不是 Qos 的问题。443 端口断的时候 80 是正常的。

[kawaii303]

为何公开 IP 就会被 DDOS

[aliipay]

@bclerdx qos 可以针对 icmp tcp udp， 这做起来毫无压力啊

[jaleo]

阿里云新加坡和 GCE 的 443 端口 也经常不通
这几天遇到了 心烦