境外手机卡大陆漫游 dns 污染问题

[trepwq]

cmhk 使用了几个月发现有些省 dns 解析 google 会被污染，只有谷歌，fb、tw 都没有发现污染，多次查询发现还是能收到正确的解析，相同情况也被用 cuniqhk 的网友发现，感觉这些省在靠近终端附近部署了 dns 抢答设备，或者还有其他原因？我的 google fi 没来得及测试就被我取消服务了，但是估计和香港卡一样。

[datou424]

cmhk 接个验证码后就没有信号了 一直无服务 大侠遇到过没有

[hrjlhy]

@datou424 你开数据漫游了吗？

[datou424]

@hrjlhy 没有开啊 突然就无服务了

[julyclyde]

我同事有 FI 和 CMHK，说在北京移动都有这种 DNS 抢答的情况；北京联通可以正常工作

但不明白为什么，按说应该隧道回归属运营商去的啊，这居然都能抢答？

[taobibi]

我觉得有必要排查一下是不是手机或者浏览器的问题。比如手机是否 root 过？是否为国内手机，之前新闻有说过，国内手机把 GOOGLE 服务指向了错误的 dns，是手机层面的问题。还有一些浏览器会自带国内 DNS

[hlz0812]

@taobibi 华为 mate10 插香港卡打不开 google play，挂代理有的可以打开有的不行，小米部分机型系统限制代理软件不能正常工作，论系统苹果是最干净的

[txydhr]

你是不是用了什么软件导致用了国内的 dns ？从境外访问境内 dns 也是会被抢答的

[henglinli]

@hlz0812 我倒是相信军方或者 z_f 的技术领先民用技术数十年之久。我更相信我们的 z_f 会不遗余力地实现这个目标。tor 握手墙都能识别（我不能确定是 ip 黑名单，还是墙识别了 tls 后还能继续分辨 ntor ），我能 ping 通的 ipv4 网桥，一个也没有握手成功的，部分 ipv6 网桥也无法握手。基于以上情况我有理由相信 lz 反应的情况是事实或者即将成为事实。
另外，不是有报道说墙已经能识别 ss 了吗。我相信现在用 ss 的都不是裸连而是使用了混淆协议吧。

[hlz0812]

@henglinli 你说的都运行在公网上，但数据漫游是不走公网的

[henglinli]

@hlz0812 漫游得通过三大运营商吧。不知道漫游数据受不受中国法律约束？运营商怎么建设网络我不清楚，但是他们得遵守中国法律。如果漫游数据用的网络和公网是用的相同的技术栈，那么接入防火墙的可能性和价值应该更高才对。监控无处不在，防火墙阻断链接只是它的部分功能。

[hlz0812]

@henglinli 漫游的数据经过加密后在核心网中传输，由专线承载，不在公网上建立隧道，如果要监控必须设计与公网完全不同的审查系统，因为在核心网中根本不是 TCP 包 UDP 包这么传输，墙协议都看不懂怎么监控，而且核心网中还有语音、短信、不同地区数据同步的信息在传输，你的意思是不是得电话短信也给你监听？监听电话短信可比监控数据漫游简单的多，就是因为归属地不好监控流量，所以以前一直归属地接入，拜访地接入会加大审查的难度，5G 为了延迟低不得不改，如果核心网能被全国监控，为什么不直接拜访地接入？

[txydhr]

@henglinli 漫游不受中国法律约束

[txydhr]

@henglinli 从法律上讲如果中国运营商或者墙修改了漫游到中国的通信，属于恶意篡改干扰别人运营商的通信，并且签了协议保障一定的速度和通信质量。从技术上说漫游相当于搭建了一条从你手上的漫游手机到母国运营商核心机房的私有 VPN，墙根本看不懂这流量里面是什么。

[henglinli]

@txydhr 漫游法律上不受所在地约束。我要强调的不是墙存在于“漫游”，而是监控存在于“漫游”，而监控的实现包括过滤、舆情控制等。如果漫游真如你说的只是 vpn 通道这样的技术，那么技术上讲墙可以作用于“漫游”，理论上讲任何公开的协议墙都有能力或者将有能力识别。还有这篇报道 https://www.solidot.org/story?sid=59743&threshold=0，译文中未提及“漫游”，如果“漫游”真的安全到无法被监控，那么这个记者应该会选择操作简单的“漫游”，不排除他认为他们业内默认“漫游”无需特意说明的情况。而他转而寻求应用层的安全，恰恰说明他不相信“漫游”安全。
关于法律，我主要指的是涉及到国家安全之类的。
当你不够资格跟他讲法律时，你还讲法律吗？当你够资格跟他讲法律时，他跟你讲国家安全。美国抵制恰恰是遵守中国法律的华为。

[txydhr]

@henglinli 漫游当然不是 vpn 通道，只是类似于 VPN，方便大家理解。

[hlz0812]

@henglinli 确实可以用 vpn 承载，而且公网上建立 vpn 也可以，但几乎没有哪个运营商会选公网承载的，基本都是专线承载或者专线接交换中心（和公网上的 IX 差不多，专门交换运营商核心网数据的地方），接交换中心是成本最低的，但延迟不是最低的，比如亚洲运营商都在东京 香港 新加坡接交换中心，就得绕路这些地区，而专线是直连，专线这玩意都不过墙，就算过墙也不是公网的协议

[txydhr]

@henglinli 我认为墙解不了现在任何主流的加密方式，因为技术根本上不可行，墙最多只能知道这条流量是翻墙流量，然后干扰或者阻断，内容根本不可能破解，vpn+网站本身，两层加密怎么解？

[txydhr]

@henglinli 1、漫游是一条"合法私有链路"； 2、"合法私有链路"内的流量墙不会干扰，不管里面内容是不是让墙讨厌。但使用这条链路不会被干扰不代表你做的事情就不违法啊，你用漫游这种方法在 twitter 上发奇怪的东西照样查水表啊。
就像很多国家会用“外交包裹”往自己国家驻中东国家使馆邮寄红酒啊猪肉啊之类的，沙特这些国家当然知道外交包裹里有违反沙特法律的东西，但是又有什么办法呢，使馆里面人自己吃喝你又管不着。但是你要是拿到使领馆外面公共场合吃喝就要引起外交纠纷了。

[skylancer]

我早说过这事了
https://www.v2ex.com/t/415849

不知道 @julyclyde 这种人看到这些帖子以后脸觉得疼不疼

[hlz0812]

@txydhr 你用漫游发东西怎么查？国外卡大部分没有实名，日志也在境外运营商那里。那按你那么说香港运营商还租用中国大陆境内，光缆中继 TPE （香港-上海-北美），去欧洲俄罗斯之类的陆缆也有租，大陆方面难道有权利审查他们的数据？你可以理解为外国运营商租用中国运营商的传输网和通道而已，骨干流量用的原运营商。有时候光缆故障什么的，境外运营商都可以借道中国，但不需要经过中国运营商的骨干网