关于运营商分配假公网 IP 的问题

2022-08-27 20:34:35 +08:00
 Marionic0723
感谢 @onion83 发的图


这种技术多半是是运营商用来应对那些啥都不知道又跟风申请公网 IP 的小白的,用了这招之后,拨号获取到的 IP 和上网查到的的确是同一个,NAT 类型也会测出最宽松,能骗过绝大多数人,只有需要公网开服务而且正好端口和别人冲突的时候才会发现异常。

那么问题来了,如何分辨这种假公网?多用户在同一端口开放服务后,NAT 设备如何处理流量?

我的想法:
1.分别在低位和高位端口开设服务,然后用跨运营商的网络去访问它,查看访问能否成功,如果有不成功的,除了被运营商封锁(如 25 ,80 ,443 ),剩下的端口就是给别人了,证明公网 IP 是共享的。
2.内网发起路由跟踪,看看到达运营商真正的公网网关前是否出现丢包跳数。手机流量一般就是这样,只不过能看出是内网 IP 。
还有什么想法欢迎各位补充。
32948 次点击
所在节点    宽带症候群
248 条回复
xxfye
2022-08-28 05:55:55 +08:00
@wwbfred
谁告诉你 NAT+是比 NAT 牛逼的意思?这完全是你自己脑补的东西。这里的+仅仅是意味着在 NAT 四元组基础上添加其他特征,比如后面所说的七元组。

我考虑问题并不是站在技术角度思考和评价的,而是基于现实思考和评价的。

我认为这组技术牛逼之处不在于和 NAT 比较到底谁更好用的问题。在于切实解决了现实问题--当公网 ipv4 紧缺时,运营商面临大量客户投诉,运营商应该如何解决。

我也深思熟虑过这个问题,得到唯一的解决方法就是全面转型 ipv6 ,所以我多次在 v2 呼吁应尽快淘汰 ipv4 。当我得知这种方法还能再续命一波 ipv4 ,震撼感让足矣让我喊出牛逼俩个字。

记住,这个牛逼不是比 NAT 更好,而是它在我的思维框架内打破传统思路,并且能切实解决现实问题。

所以我说你清高一点问题都没有,站在技术的高处指指点点,丝毫不顾及现实情况。(当然我原本希望的纯 ipv6 也是很清高)

回到你提出的技术在现实里的情况。如果你的意思是说,给每个用户分配部分的公网 ipv4 端口。
那么你让本来有完整的公网 ipv4 的用户怎么想,又让本来准备杠客服拿公网 ipv4 的人怎么想。
告诉他们:“抱歉,原本你完整的公网 ipv4 已经是共享的啦”(这就是运营商回收并重分配的过程),或者告诉他们:“抱歉,现在我们只能提供半残的公网 ipv4”。
你觉得用户能接受吗?

不,这些用户都不能接受,得到的投诉数量只会更多。甚至不如某些地区一刀切,只允许私网地址,以绝用户幻想。

另外,你凭什么说 NAT4444 没有“协商”?
如果说没协商是没有通知用户就部署,那么部署 SS 时候也没有通知运营商吧?
如果说没协商是网络层设备越权插手应用层,抱歉,早有案例了,最常见的就是带探测的应用规则防火墙和负载均衡网关。只不过用在 NAT 上我还是第一次见,真是震惊到我了。
wwbfred
2022-08-28 07:04:33 +08:00
@xxfye 别的不说,这个玩意会以非预期的方式干扰到网络层和传输层,且没有解决方案,就意味着不会成为标准并推广。这种方案还会造成安全隐患,根本就不可能和 NAT 相提并论。 @snw 举了一个非常好的例子,RST 和这个方案只有一个能活,这意味着直接跟 TCP 协议冲突。你倒好直接来了个 NAT+,让人看了就觉得很风趣。
技术上的问题我也不想讨论了,不在一个频道上。另外这个东西根本就不是站在用户角度弄出来的,PPT 里写得一清二楚,什么减少投诉、无感知、显示优秀字样,潜在问题也不告诉客户,出了问题让用户两眼抓瞎,哪个用户愿为它唱赞歌是他的自由,但这事儿我干不出来。
wwbfred
2022-08-28 07:11:53 +08:00
@xxfye 如果你有机会系统学习下计算机知识,然后再来会看你的发言,你就会知道为什么这个方案的问题在哪儿了,在此之前没有人能说的动你。
而且你可以反过来想想,这个方案早就有了,要是真有你说的那么强大,早就和 NAT 一样部署到全球了,它必然是有什么致命的弱点在里面。这个逻辑总能理解吧。
luckycatio
2022-08-28 07:13:03 +08:00
既然自己平时感觉不到,又何必去纠结自己是不是假公网 ip ,遇到相关问题再投诉呗。
luckycatio
2022-08-28 07:25:28 +08:00
@wwbfred 冷知识,日本也部署了 nat444 ,一个很简单的逻辑,用户觉得网络有问题就会去投诉,不管是自己路由器接错了,还是账号密码输错了,只要上不了网,到达不了自己的预期就会去投诉,降低投诉率的直接体现就是用户都满意了。要是没 nat444 ,公网 ip 肯定是不够用的,运营商为了避免某些用户拿到 ip 对外大肆宣扬,提高投诉率,估计会一刀切,禁止向所有民用宽带提供公网 ip ,到时候大家都只能用反代
luckycatio
2022-08-28 07:40:44 +08:00
@luckycatio 我的问题,日本部署的是 nat444 ,和文中提到的不同
wwbfred
2022-08-28 07:45:10 +08:00
@luckycatio 这个知识不冷我知道,中国几个省,日本某个运营商。这能说明什么,部署范围很广泛么?
你们啊有个毛病,三句话不离投诉率,这是站在用户角度看问题么。要是站在用户角度考虑问题,我会告诉你这种方案玩的就是信息差。那些投诉要公网 IP 的用户,知道了你搞了个假的骗他,大概率继续投诉你。你要不告诉他,让他两眼抹黑,鬼知道连自家 IP 的 SSH 有可能跑到别人家里去,这不是坑人么?
luckycatio
2022-08-28 07:56:53 +08:00
@wwbfred 提供公网 ip 并没有写在你和运营商的合同里,当然可以继续投诉啊,最坏的结果运营商出公告明确不受理公网 ip 业务,然后大家都没得用,ssh 连不上就投诉呗,之前说过,用户家里耗子把网线咬断上不了网都要运营商去处理,这是听群里某个运维说的,同端口应用发生冲突导致是运营商改操心的问题,用户遇到问题直接投诉就好了,剩下的让运营商那边去排查。
zanzhz1101
2022-08-28 08:02:31 +08:00
@wwbfred 事是这么个事,问题也确实是这么个问题, 能降低投诉率为什么不做呢,不过现在基本开始向 ipoe 发展了,同样是降低投诉率的好办法
luckycatio
2022-08-28 08:03:36 +08:00
@wwbfred 已知运营商公网 ip 不多,需要公网 ip 的用户太多,你觉得这个问题可以用用什么技术解决?现在这个方案已经让用假公网 ip 的用户大部分都满意了,甚至没之前那个帖子,这个比普通用户需求更多的论坛网友都没发现。
wwbfred
2022-08-28 08:05:44 +08:00
@luckycatio 我说句实在话,这种连安全性没有经过系统分析的方案,直接就抬上来给客户用,还不告诉客户,根本就是离大谱,更何况这还是垄断运营商。有些运营商做的 NAT 不标准,为了提高利用率不遵循四次挥手的 TIME-WAIT ,我这儿都已经遇到问题了。你要是搞这个方案,我还不如用标准的 100.64.0.0/10 呢,因为至少我知道发生了什么。
wwbfred
2022-08-28 08:09:14 +08:00
@zanzhz1101 咱别成天投诉率了成么,咱分析下这个方案会给用户带来什么样的影响吧?
luckycatio
2022-08-28 08:15:22 +08:00
@wwbfred 用 100.64.0.0 我不乐意啊,现在这个已经可以满足包括我在内的大部分人的需求,不用再特地整个服务器做反代,我在这件事上支持运营商是因为假公网 ip 要是再有哪个博主到处宣传,呼吁大家去投诉,最后的结果显而易见是大家都没公网 ip 用。在没有一个所谓的能完美解决问题的技术出现前,留给运营商的路显然只有一条切都禁用
wwbfred
2022-08-28 08:18:05 +08:00
@luckycatio 说白了就是为了让大家都能过得好,就明里暗里剥夺大家的知情权呗?一个公网 IP 搞得跟国家机密一样,这个逻辑恕我不能认同。
wwbfred
2022-08-28 08:28:17 +08:00
@luckycatio 而且最关键的是,这个方案有安全隐患的。我的 TCP 连接会被别人抢答,后面的数据就会流过去。如果是例如 SOCKS5 之类的明文,直接用户名密码就发给人家了。这要不是蜜罐还好,大范围部署了有人开蜜罐,怎么搞?你的 SOCKS5 密码给人家了,要是没做好内网隔离,直接在你家内网爆破。还有上面提到的 RST 抢答,怎么搞?还有一大堆你想到没想到的问题,不是你说的这玩意大范围铺开了,大家就都能用上公网 IP 那么理想的。
xxfye
2022-08-28 09:13:07 +08:00
@wwbfred 能给用户什么影响?
我 5L 不是说了吗,稳定功能二选一,
普通用户根本就不会去开公网 ipv4
既然想要开放,就要承受不安全的代价
Marionic0723
2022-08-28 09:19:20 +08:00
我…一觉醒来 70 条回复,原来是吵起来了…待会在慢慢回复,昨天看几位大佬的观点也给了我一点新的想法。
xxfye
2022-08-28 09:20:05 +08:00
@wwbfred 行啊,你不想要投诉率,只要你能让工信部用不用投诉率考核运营商,你说任何都成立。
wwbfred
2022-08-28 09:21:46 +08:00
@xxfye 你要明白,这个不安全的代价不是天然的,而是这个方案引入的。
针对游戏需求,某些地区的移动已经做到了高等级 NAT ;针对外网服务需求,也有端口映射的选择,只是运营商没有动力去做。而且你不能说天气太热,为了凉快我就把内裤都脱了,这已经远远超出"代价"的范畴了。
Damn
2022-08-28 09:24:03 +08:00
@onion83 4k 连接,迅雷多开几个任务瞬间就不够了。。何况还是一家人共用。。。

这是一个专为移动设备优化的页面(即为了让你能够在 Google 搜索结果里秒开这个页面),如果你希望参与 V2EX 社区的讨论,你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://www.v2ex.com/t/875867

V2EX 是创意工作者们的社区,是一个分享自己正在做的有趣事物、交流想法,可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX