国内 Let's Encrypt 的 OSCP 域名 ocsp.int-x3.letsencrypt.org 的解析被污染了？

[863]

今天早上续签 Let's Encrypt 的证书，发现报

[WARNING] Stapling OCSP: no OCSP stapling for [*.com]: making OCSP request: Post http://ocsp.int-x3.letsencrypt.org: dial tcp 88.191.249.182:80: i/o timeout

nslookup 后发现

nslookup ocsp.int-x3.letsencrypt.org
Server:         127.0.0.53
Address:        127.0.0.53#53

Non-authoritative answer:
ocsp.int-x3.letsencrypt.org     canonical name = ocsp.int-x3.letsencrypt.org.edgesuite.net.
ocsp.int-x3.letsencrypt.org.edgesuite.net       canonical name = a771.dscq.akamai.net.
Name:   a771.dscq.akamai.net
Address: 31.13.65.1
Name:   a771.dscq.akamai.net
Address: 2001::4b7e:8783

用 ipip 的 DNS 解析得到同样结果

[mnihyc]

@863 我这 IPv6 是好的
c:\>nslookup a771.dscq.a kamai.net 223.5 .5.5
Server: public1.ali dns.com
Address: 223. 5.5.5

Non-authoritative answer:
Name: a771.dscq .akamai.net
Addresses: 2600:1417:76::6874:f3cb
2600:1417:76::17d2:d741
31.13.68.1

[LGA1150]

目前可以改 hosts 上，不会 TCP RST

[webshe11]

@love
答第一问：话说管理墙的公司在哪个位置
北京市朝阳区安贞街道裕民路甲 3 号
答第二问：这特么随便就封的吗
是的

[agagega]

每次看到这种贴子，不得不感叹程序员的世界和所谓大众的割裂，唉。
你们说那些在新闻里为自主网络 xx 叫好的人里面，有能理解在座诸位的不安的吗？

[zk8802]

> 你们说那些在新闻里为自主网络 xx 叫好的人里面，有能理解在座诸位的不安的吗？

等他们被专政的铁拳击中之后，自然会理解的。

[taobibi]

@love 国内 360 公司是墙的首席技术支持，估计 360 公司要搞免费证书了。

[taobibi]

@webshe11 目前已知墙的管理方面属于行政部门，技术支持是 360 和企鹅

[cloudyi666]

@webshe11 之前这个里面有个保洁阿姨被确诊了，怀疑是个阴谋

[cloudyi666]

@taobibi 首席还是那必须还得方校长

[V69EX]

@taobibi 这它妹的，以后岂不是只要国内公司想搞啥，就随便封杀国外的同类服务？现在大吹的 UOS 之类的搞起来后，会不会把所有国外的 BSD/Linux 发行版本统统封杀？甚至不再允许国内的开源镜像再同步国外的资源……

[txydhr]

从 cloudflare 被劫持可以看出来内部有人靠墙搞黑产。

[binsys]

吉林长春电信线路确认被搞，暂时可以改 hosts 解决，不知道后续如何

[863]

在广东移动家用宽带测试了一下，现在指向了 CMI HK 的两个 IPv4 地址，非 Akamai，不知道能不能用
···
C:\Users\ThinkPad>nslookup ocsp.int-x3.letsencrypt.org
服务器: UnKnown
Address: 2400:3200::1

非权威应答:
名称: a771.dscq.akamai.net
Addresses: 2600:140e:6::1702:1042
2600:140e:6::1702:1038
2600:140e:6::1702:1043
223.119.50.201
223.119.50.203
Aliases: ocsp.int-x3.letsencrypt.org
ocsp.int-x3.letsencrypt.org.edgesuite.net
···

[jin7]

活久见

[Primovist]

还没好吗？

[Beebird]

不光是证书注册续期，现在访问 https 的性能也下降了，除非使用 OCSP Stapling

[keyscrapper]

@V69EX 啊？您才意识到

[872517414]

今天访问自己的网站发现 Firefox 提示 MOZILLA_PKIX_ERROR_REQUIRED_TLS_FEATURE_MISSING 。
看 SSL Labs 的提示是：This server certificate supports OCSP must staple but OCSP response is not stapled.
就感觉很奇怪，排查了服务器发现没问题后，测试了一下域名，我真的是……无话可说。

[brMu]

公司证书没有自动更新，原来是这个原因，好可恶！！！

[gongjianwei]

今天碰到了这个问题，阿里的 DNS 解析到 208.43.237.140 ，深圳移动的 DNS 解析到 31.13.85.8 。两个都用不了，解决的方案是改 host，然后把 reslover 注释掉。
出处： https://holmesian.org/letsencrypt-ocsp-fix