未分類
2 9 月 2021

有没有家宽做 DDNS 被要求整改的？

有没有家宽做 DDNS 被要求整改的？

資深大佬 : sinORcos 16

联通宽带，事发在 D 的生日之前，大约是 5 月份第一次打电话给我让整改，聊的还可以，回家之后取消了 DDNS 解析，2 小时之内经本人测试解析已失效。
之后大概是 6 月初的一个晚上，没有任何通知，直接断网，10010 客服说违约被封禁，理由不明，说看不见。
找人第二天恢复，具体原因也是语焉不详，但是应该还是和 DDNS 有关，问题是 DDNS 确实已经取消，没有域名绑定。还被迫签了个协议，主要内容就是不得开设网站和对外提供互联网内容信息服务。
现在的问题是，没有 DDNS 非常非常不便，联通的检测原理是反查？之前为了测试服务，该主域名曾在被使用在国内网站上，当时该国内网站的系统提示域名没有备案无法访问，还差点把主站都搞崩了……也曾怀疑过是不是因为这个而把域名暴露了……
在不清楚检测原理的情况下，似乎没有避免的方法？只能使用 frp 之类的服务了？
大佬有話說 (98)

  • 資深大佬 : alittlecat

    可以做个脚本 ip 修改时向邮箱发送

  • 主 資深大佬 : sinORcos

    @alittlecat 这真的是最后的办法……

  • 資深大佬 : vibbow

    哪个省
    域名是否有备案

  • 主 資深大佬 : sinORcos

    @vibbow 坐标山东，域名自然是无备案，但是问题并不出在备案上，据说只要检测到家宽上有域名就不行，任何域名包括百度网盘之类的都不行

  • 資深大佬 : vibbow

    @sinORcos 看之前上海的案例，好像所有被签字的都是因为用未备案域名做了 DDNS

  • 資深大佬 : banricho

    内网 NAS 或者什么设备上跑个 V2Ray 或者 SS-Server 之类的，尽量用高位端口。
    之后你真正要绑定的域名指向内网 IP 地址，甚至内网 hosts 指向就够了。
    其实就是做内网穿透，但这个的好处就是客户端只要加一条规则就搞定了。。。

  • 主 資深大佬 : sinORcos

    @vibbow 具体执行可能不同，我看有个 0532 的兄弟是因为 PCDN 被查，https://www.v2ex.com/t/781191
    但是我这里是没有大流量的，每月上下加起来也就三四百 G 的样子

  • 資深大佬 : ik

    我是自建了个 dns 来解析

  • 資深大佬 : weyou

    如果是运营商检测到 ddns 更新请求，倒是很好解决，使用 https 或者 ssl 连接来更新 ddns，或者干脆套一层$$即可。

  • 主 資深大佬 : sinORcos

    @ik 你这个方案我也考虑过，除了无法实现真 https （只能自签发）之外，应该是相对理想且现实的方案

  • 資深大佬 : vibbow

    @sinORcos
    PCDN 和 绑未备案域名 是两个独立的事件
    @weyou
    运营商都是直接 DPI 的

  • 資深大佬 : arthurire

    有几个问题没太看懂
    主是自己做了个域名指向了自己的动态 IP -> 这是 DDNS,对吧
    域名是在国内吗? 端口是指向了 80 吗?
    我自己的体验是如果域名不在国内注册,不绑定 80,通过 WG 回家完全没问题,体验很丝滑并且安全
    借鉴一下?

  • 主 資深大佬 : sinORcos

    @weyou 应该不是检测 DDNS 请求，且无法测试，因为不敢冒险了

  • 主 資深大佬 : sinORcos

    @arthurire 非国内且不绑定 80，但是该域名曾因急于测试服务的原因暴露于国内受监管的网站后台之下。
    我也曾怀疑和那次暴露有关，但是被要求整改实在暴露之后大约半年以上，所以也许关联性并不大

  • 資深大佬 : avastms

    @sinORcos 这个我不相信，那我一会去注册一个域名然后随机把一些家宽 IP 加一个随机域名，那还能随机制造违约了呢
    我自己是 HE 的 DDNS，这个域名的上级 NS 也在 HE，而且有备案，三五年了已经，北京联通，没人找过我。

  • 主 資深大佬 : sinORcos

    @avastms 感谢回复，但是山东的官僚主义，你大概是没体验过，手动捂脸

  • 資深大佬 : raysonx

    同山东联通，我 6 月份的时候也因为开 DDNS 被查过，关键我没有开设 web 。写了个情况说明后至今没来烦我。

  • 主 資深大佬 : sinORcos

    @avastms 看看山东卫视，画地为牢说的就是这里。
    不过你这个思路确实有趣，在仅使用高位端口的情况下为什么还被要求整改了呢，而且虽然有对外提供 web 服务，但是只开了网盘（为了接私活的时候和朋友传文件方便）和一个网页版的终端。且端口是高位端口，正常访问到的可能性很低。
    和未备案有关？但是按照相关规定，备案了也不能解析到家宽上，这个是明确的。
    和 DDNS 请求有关？运营商使用 DPI 系统，sni 是明文的情况下加不加 HTTPS 没意义啊

  • 主 資深大佬 : sinORcos

    @raysonx 握手，你是一直还开着 DDNS ？

  • 資深大佬 : raysonx

    另外多说一句，我觉得联通可能是嫌弃自己的用户太多了，搞不清楚自己的优势在哪里。如果用户都只是为了刷刷网页微信抖音，那还不如去用免费的移动。

  • 資深大佬 : raysonx

    @sinORcos 开着的，不过个人自用请求量不大。

  • 資深大佬 : idblife

    @arthurire
    WG 啥意思？ wireguard ？

  • 資深大佬 : raysonx

    不知道你是签了什么协议。如果只是保证说不开设网站之类的还好，如果是让你同意你违规了或是用了整改一类的词就恶心了，还我必须投诉到底。

  • 資深大佬 : raysonx

    和你主站域名没有任何关系。之前我用来做 ddns 的域名根本没有任何网站，主域名和 www 根本没解析，只开了个 22 端口 ssh 登录都被检测了，明显是统计的 DNS 流量。

  • 資深大佬 : villivateur

    跟你 ddns 没有任何关系，你先看看你是否开了 http 服务吧

  • 主 資深大佬 : sinORcos

    @raysonx 就是个什么信息安全相关规定，里面全是用户不得有这个行为、不得有那个行为之类的
    联通本身就各种恶心人的骚操作，遇上山东的榆木脑袋，还真起化学反应

  • 資深大佬 : raysonx

    不要用家宽开 web 。你能想到的端口映射、白名单、端口敲门等手法通通没用。运营商可以通过分光镜像和 DPI 设备看到你的所有流量，过滤出 dns 流量和入站 http 流量很容易。另外 https 流量的特征也很明显。

  • 主 資深大佬 : sinORcos

    @villivateur 是 https://yuming:66666 这种，挂了个传文件用的网盘啊，总要有网页的，存的都是些视频啊、盗版 AE 插件啊什么的，不过没账户进不去就是了……

  • 資深大佬 : arthurire

    @idblife 是的. wireguard

  • 資深大佬 : just1

    没备案那当然不行…….

  • 資深大佬 : raysonx

    @sinORcos 开网页不行的，路由器登录页面都不行。关掉用 vpn 拨进内网再访问吧。

  • 主 資深大佬 : sinORcos

    @raysonx 胃疼，我的私有云……

  • 資深大佬 : raysonx

    @sinORcos 不疼啊，开个 wireguard 之类的超级简单，在外访问的时候直接拨进去。可以只路由内网流量，公网流量不经过家里宽带。

  • 資深大佬 : darrh00

    请问一下主，用的什么方案 /或者服务实现的 DDNS ？

  • 資深大佬 : Zy143L

    这么说吧
    你用 ddns 域名解析动态 IP
    你 http 请求是带 host 的
    运营商有了你的 host+IP
    这不直接抄水表？

  • 資深大佬 : WhoAmIPeople

    主要是不能有页面，至今没敢开 webdav. 上古时期的 FTP 好像没事。

  • 資深大佬 : WhoAmIPeople

    有没有办法让 Webdav 没有页面，只用客户端登陆即可。

  • 資深大佬 : lululau

    厉害了我大 z 国

  • 資深大佬 : jzphx

    也不一定是 ddns 吧，之前的案例基本都是扫描到搭建的 web 服务，ip+端口就可以了。我已经只保留 vpn 了

  • 資深大佬 : semglassiebaba

    @avastms 说得对，要是有人无聊整天搞这个，那么一堆无辜的人要被封了，反查域名根本不靠谱

  • 主 資深大佬 : sinORcos

    @WhoAmIPeople Webdav 本身就是基于 web 的，所以没可能…

  • 主 資深大佬 : sinORcos

    @semglassiebaba 是的，结合起来看，应该还是满足两个条件
    1 、有域名绑定
    2 、有 web，或者说检测到入站的 http 或 https 流量

  • 資深大佬 : justs0o

    检测到 web 应用

  • 資深大佬 : cxxxxx

    坐标深圳，没通知整改，直接封禁，客服说是网警发函要求停机，无法解封

  • 資深大佬 : brMu

    你的家宽有开启 http 或者 https 对外服务吗？是否有在外网访问过？

  • 資深大佬 : tankren

    开了公网网络服务吧 扫描的到 跟 DDNS 关系不大 对公 http 网络服务可以用 IP 访问的
    DDNS 解析到国外服务商平台 只用作 IP 地址解析 然后用 openvpn 或者 WG 回家 体验也很好 还安全

  • 資深大佬 : mabutou

    Surge 最新版自带 DDNS，通过 iCloud 同步 ip 信息，用 hostname 解析。缺点是两边设备都要用 Surge 。

  • 資深大佬 : openbsd

    @sinORcos
    个人自用套个 VPN 简单粗暴，还能避免外露端口导致被黑

  • 資深大佬 : Quarter

    我也加了 ddns，但是 ddns 的域名没怎么用，主要用的是 nps 连接的服务器

  • 資深大佬 : jason94

    ddns 备案域名，之前上海联通宽带一年多，现在成都电信宽带也用了一年都没问题。
    端口除了几个被封用不了，其他端口我都随便开

  • 資深大佬 : lzyliangzheyu

    三年了！三年了！你知道这三年我是怎么过的吗？每天担心被找，结果从来不找我（逃
    正经的说下：
    我是国外的域名然后用阿里做 DDNS，上海电信，各种 HTTP/HTTPS 的页面，从来没找过我

  • 主 資深大佬 : sinORcos

    感谢大家回复，基本上放弃了直连的梦想，准备用 WG/ZEROTIER/FRP 之类的服务替代

  • 資深大佬 : wanguorui123

    用了几年了没事，不要搞大流量

  • 資深大佬 : GhostiKing

    北京联通 河北移动 都没通知过，可能流量小

  • 資深大佬 : yyysuo

    同山东，一个月加 30 块，把上行搞到了 100M，动态公网 IP 通过 ddns 绑定了阿里的实名的域名上，不玩 PT，就是自己在外面的时候远程看家里的电影，上传流量一个月不超过 500G 流量，一直没问题。

  • 資深大佬 : ZeroDu

    题外话：问一下，组网的话，WireGuard 、openvpn 那个会简单一些？看了看 openvpn 的服务端配置貌似很麻烦

  • 資深大佬 : 2i2Re2PLMaDnghL

    @ZeroDu ovpn 需要签发证书，确实比较麻烦，但配置客户端及新增客户端方面相应简单，不像 WG 那样需要改服务端配置才能加客户端(?)。
    Linux 某版本以后 wg 性能应该更高（在内核层实现，每个消息都避免了两次上下文切换），以及对于后量子时代有准备(?)。不过 ovpn 情况不清楚，想做的话也可以不用等主线合并直接拿 eBPF 做来着？
    至于我已经在 CGNAT 了，根本没有对公网暴露的风险（），就 zerotier 了，打好了洞还算稳定。

  • 資深大佬 : libook

    北京联通。
    光猫桥接，自购华硕路由拨号。
    用的华硕路由自家的 DDNS 。
    未开通 Web 服务，DDNS 仅用于接入 VPN，手机通过 VPN 接入家庭网络，然后再访问家庭局域网内部资源。
    域名是国内平台购买的.cn 结尾的域名，进行了实名验证，但未备案，在 DNSPod 上解析。
    联通没有因为这事找过我。
    仔细看一下合同，没有直接规定这个事情的话，可以以“使用 DDNS 发现家庭网络 IP 用于查看自家视频监控系统”为由，投诉到工信部试试。

  • 資深大佬 : acaiplus

    2019 年的时候就被断网过。。。后来上门拍照，签保证书之后才重新开通网络。挖矿、DDNS 反正各种都搞了。被查是因为挖流量矿。
    https://i.loli.net/2021/09/02/CBYVZaySjJ4FvNP.jpg

  • 資深大佬 : longyujin9

    没理由查 ddns 啊。域名拥有者可以随便解析到任何 IP 上，那别人解析到自己的宽带 IP 上就停止宽带服务说不过去啊。这一点是自己不能所控制，比如我有个域名，天天解析到你的宽带的 IP 上，运营商以此就停止了你的宽带服务，你觉得合适吗？

  • 資深大佬 : Starxy

    坐标 0531 老家和租房两个宽带都是公网，用的相同的备案域名做的 ddns，只有一个被查了，某天突然发现 ddns 仅在济南地区被解析到 127.0.0.1 了就感觉不太对劲了。后来电话打来说了一下就没再用 ddns，没签协议，没停网。现在是阿里轻量云香港反代网盘之类的 http 服务，其他服务都在 zerotier 里

  • 資深大佬 : acaiplus

    有没有家宽做 DDNS 被要求整改的？

  • 資深大佬 : imnpc

    坐标 0535 今年被查过一次 DDNS 解析到路由 用来远程管理老家的路由器的
    问题是因为路由器设置有错误 解析早不用了依然收到整改通知 直接删除了解析
    好像一个月以后 老家联通又打电话来 我说早停止解析了 后来就没事了
    使用的未备案域名
    问题是同样 0535 在主城区的 DDNS 一直可以正常使用 也没有收到整改通知 同样是用在路由器远程上的

  • 資深大佬 : mhqschen

    就算是上海电信也还没严格检查，可能只是流量大的抓出来。

  • 資深大佬 : jiayong2793

    看的我怕怕的，群晖一个 DDNS，华硕路由一个 DDNS，关键还挂 PT，我要不要关掉 DDNS ？但是关了我的 webdav 怎么办？

  • 資深大佬 : acbot

    个人觉得与 DDNS 没有任何关系，问题在于你的宽带运行了基于 HTTP 协议的应用，即使你用的不是常规端口，这个也是绝对不允许的。

  • 資深大佬 : bing1178

    我住的地方 ipv6 公网直连。
    然后 写个 cloudflare 改 AAAA 记录的脚本 。当然 我没有开 80 和 443
    用的 https 8000 端口 跑 WebDAV

  • 資深大佬 : littlewing

    你是不是上行流量很大

  • 資深大佬 : gam2046

    DDNS 本身是关系不大的，有些人为了获得公网 IP，会以需要安装家庭监控为由。
    至于 PCDN 是否会导致这种情况（即大量外部 IP 访问+大入口流量），应该不同地区略有不同。
    比较大的可能性是未备案域名解析到家用 IP，而且 IP 变更后，域名解析也变了，同时也有入口流量。

  • 資深大佬 : deorth

    ddns 只开 AAAA 解析到 v6 如何？对 v6 地址进行 dns 反查应该困难得多。
    我现在两条宽带（广东联通+广东电信）都是双栈解析，目前没人找我麻烦

  • 資深大佬 : deorth

    #15 #50
    和有关部门讲他检测方法技术合理性是没用的。
    建议有能力的同学，建几百个子域名，找个家宽 IP 段去随机解析。当然，要用境外未备案的域名

  • 資深大佬 : cheny95

    公司不给用 qc，挂全局代理速度贼慢，后来研究 DDNS，结果发现那玩意我搞不通，可能是和家里复杂组网有关系。
    就用 NAS 直接 dockers 跑 frpc 对接腾讯云 frps，腾讯云绑定了二级域名（已备案几年），当然也不经常用。没任何问题。 另外有个论坛里不是有大佬搞了个 DDNS 服务，叫 ddnsto，一年才几十，我也绑到 NAS 上了。

  • 資深大佬 : raysonx

    这个问题和备案没有任何关系，就是家宽不能开 Web 。家宽不能开 Web 是因为需要备案，而家宽根据用户协议不给备案。想备案要加钱办商宽。
    严格来说备案的是网站，不是域名。域名用于网站时，服务器和域名要匹配，你在阿里云备案了一个网站，还需要接入备案才能在腾讯云使用，并不是说你就可以把这个域名用在国内任意服务器上建站了。
    你买了一个域名不做网站，根本不能备案，因为备案需要网站。

  • 資深大佬 : Sekai

    就开了一个高位端口 ssh 连家里小主机同步文件，没啥事

  • 資深大佬 : est

    更新 ddns 的 API 是否为 http 之类的明文？

  • 資深大佬 : ghjexxka

    看起来主要原因还是检测到了 http/https 流量

  • 資深大佬 : guanyin9cn

    看你描述，主要问题不是 ddns 吧。
    主要是你开了 web 服务，虽然不是 常规 http 端口的服务，运营商会定时扫描，看返回有无 http 码来确定是否违规建站。
    ddns，见我之前讨论的帖子。
    v2ex.com/t/799132
    如果一定要提供 内 网服务，不一定需要 f r p 。用 auto s s h 就可以实现。如果 s s h 再套一层 tls，会更好。
    www.v2ex.com/t/362833

  • 資深大佬 : JamesR

    日经贴，原理看这里，www.v2ex.com/t/623594 使用 sniproxy 隐藏 SSL 握手时的域名，以躲过 ISP 嗅探

  • 資深大佬 : bestlzk

    北京联通，开了 ddns （备案过的域名），流量主要是 openvpn 流量和 pt 上传流量，没有遇到过问题

  • 資深大佬 : Xusually

    和 DDNS 关系不大吧
    主要是 web 服务的影响

  • 資深大佬 : guanyin9cn

    @JamesR 怎么隐藏？他都没说清楚。
    根据 tls 握手过程，证书是明文传输的。证书里就有域名信息

  • 資深大佬 : taobibi

    我记得过去 v 站有过相关案例，不是未备案的问题，是有的地区运营商会委托第三方公司做安全扫描。有的家里宽带连接两三个网络摄像机的，被扫描到了网络摄像机的登陆界面，都会被要求整改和写保证书

  • 資深大佬 : XAOOAX

    群晖的域名好像也没实名啊？

  • 主 資深大佬 : sinORcos

    @JamesR 这里有一个问题，就是假设运营商不知道你的域名是什么。但是如果运营商并不嗅探，而是采用 DPI 系统，域名的获取根本不存在有难度一说。
    毕竟是黑箱，个人觉得还是有风险

  • 資深大佬 : CrazyBoyFeng

    核心问题应该还是 http(s)服务。
    如果你的服务是自己用的，或者小范围用的，那么可以架 vpn，或者内网穿透服务。
    如果你的服务是对外的，就无解了。http 是明文的，很好查。ssl 有个 sni 是明文的，被抓包也能百分百肯定你是 web 服务。不过这也只是猜测，运营商是否使用了这么严格的过滤措施我并不能肯定。我这边目前也只是封禁了 80 和 8080 端口，其它的没管。也说不定是抓大放小。
    单个文件分享不架 web 可以用 ipfs，类似 bt，它有一些节点充当 web 中转可以供人以 http 方式访问。

  • 資深大佬 : CrazyBoyFeng

    @ZeroDu 内网穿透用 zerotier 最简单，但性能可能达不到某些要求。其它方案都需要自架服务器。

  • 資深大佬 : kumiko

    上海电信 ddns 无 web 服务，几年了都没事

  • 資深大佬 : life4me

    应该和 DDNS 没关系，有 web 服务就会找你，80 和 443 会管的严点

  • 資深大佬 : amrice

    就是 80 和 443 管的严，跟 ddns 无关，你没有改端口把，监听别的端口，不常用的那种，就没事了，还有尽量使用备案域名

  • 主 資深大佬 : sinORcos

    @amrice 首先肯定不会使用 80，443 端口，第二，我们这里的 80 和 443 是直接封的，不是管的严，是根本不通

  • 資深大佬 : amrice

    那可能地区策略不同吧，我之前在自己家建了个网站，用了 8080，大概一个月，刚开始因为域名未备案无法访问，后来备案了还是能正常使用的，也没出现你这个情况，坐标江苏

  • 資深大佬 : hftrrt

    上海电信，弄了一个实名的阿里云域名，所有外网访问通过微屁嗯，几年没事了

  • 資深大佬 : FrankAdler

    我用的方案是，在 NAS 上搭一个 ss，然后配合科学上网软件，把常用的服务 dns 直接指向内网 ip，然后走代理通道，这样 80 、443 也能用，科学上网只需要配置家里的路由器就好了，也检测不到是 http 请求。

  • 資深大佬 : FlyingShark

    @amrice 改端口没啥用，群晖 5000 端口，不是发过整改通知书了麽。建立 TCP 连接、而且是 HTTP 服务，只要流量一大就会被标记，有没有来找你是另一回事了

  • 資深大佬 : SgtPepper

    你有 web 页面就算。。。我群晖 nas 之前用 ddns 开了 nas 和 transmission 管理页面 ，后来 ddns 关了换 frp 了 今年我也没在 v2 看到有人因为这个被查，不过就是图个安心

  • 資深大佬 : morphyhu

    @ik 哈哈，我也是

  • 資深大佬 : jerryjhou

    @sinORcos 山东嘛，懂得都懂…

  • 資深大佬 : Autonomous

    @cxxxxx 你用的是哪家运营商？我深圳电信，腾讯 DnsPod 的 DDNS，开了 HTTPS，有页面，高位端口，一直都没事。
    我的域名有实名。