赞同 @lpsum 和 @lisonfan 的方案。

@Ipsum 说的应该是用 iptables/nftable drop 掉 所有非 cf 的 IP. 外在表现，跟你在特定端口没有开启 http/htpps 服务 是一样的。运营商扫描不到的，sync 都直接丢弃，根本就 sni 明文的问题。

@lisonfan 提到的 Cloudflare Tunnel, 连你宽带没有 公网 IPV4 或者 IPV6 都能用。

这两种方案都是安全的。 除非运营商做 IP 黒名单----只要你访问 cf 的 IP, 就封你的宽带。


另外，从你帖子的描述来看， 封锁似乎是光猫执行的。建议 光猫用桥接模式，不要用路由模式了

@Mythologyli 不奇怪。 原始基带，是有可能来不及启动内部的 LPA 的。 只要基带的 LPA 没有 打开 ISD-R ， Android 的 LPA （比如 OpenEuicc)是可以打开 ISD-R 的。 你把 modem 分区完整地刷为 官方原始版本，也可以看到同样的现象。

至于 openeuicc 切卡成功后，无法再读， 那应该是 OpenEuicc 的 bug.


@SenLief Google 的几个 Pixel 型号，也是高通的， 也可以用 OpenEuicc. 这主要是看 OEM 厂家是否启用了基带中的 LPA. 启用了就会有冲突。 早期版本的高通手机，因为 基带和 android 都没有 LPA, 反而能完美地用第 3 方 LPA

@qq135449773 可以看高通的文档： https://www.qualcomm.com/content/dam/qcomm-martech/dm-assets/documents/secure-boot-and-image-authentication-version_final.pdf AP 和 BP 侧都有安全启动，解了 bl 和 avb, 可以修改 AP 侧的文件。 但 BP 里也有安全启动，也会验证 modem firmware 的完整性。

刚才看了你上个回帖中 给的链接中 提到的 estk_me, 这个卡 就可以 设置 ISD-R 的访问模式：

当前可供选择的 ISD-R 模式
Shared：默认模式，ISD-R 域可被共享访问，所有访问请求均被允许。
Exclusive：独占访问模式，必须等待当前操作主动让出才可接受其他访问请求。
Disabled：禁用模式，在此状态下终端设备无法访问 ISD-R 域。

这家 的卡，就高明多了， 可以解决高通基带的 LPA 兼容问题


它还可以 自定义 ARA-M SHA-1, 直接用别人的 LPA 客户端，不用自己开发。 厂家算盘打得真好。

@qq135449773 感谢提供购买信息。

可以试试 直接修改基带 firmware 中的 AID.

BP 启动后，会打开 esim 的 ISD-R, 按照 esim 标准，这个 ISD-R 是被独占的，如果有一个 client （比如基带 或者 读卡器） 打开后，其他 client 是不能同时打开的.

ISD-R 的 aid 是 a0000005591010ffffffff8900000100.

我在 手机的 /vendor/firmware/image 目录下找到 modem.b02 .. 这些文件， 搜索到 这个 AID, 将 这个 AID 修改一个字节，改成一个不存在的 AID. 从而让 BP 无法打开 ISD-R. 这样 Androiid LPA 就可以成功打开 ISD-R, app 上就能看到 esim 了。

但是从某些资料中看到，modem 是存在校验的，如果魔改后， 没有信息后，说明校验失败，modem 的 firmware 被拒绝加载。 但是我修改后是有信号的，也许是我这部手机的厂家，关闭了校验。 总之，我修改基带 firmware 一个字节后，解决了这个问题。

或者你找一下你这款手机的 ROM, 看厂家官方有没有支持 esim 的版本，在支持 esim 的版本中， 厂家可能会关闭基带中的 LPA, 只使用 Andoid 的 LPA. 这样的话，你提取对应 ROM 的 modem 固件，也许能 解决问题


解决这个问题，还有其他思路。其中一个就是 某些 esim cos 的实现， 这个 ISD-R 是不独占的。也就是标准中 ISD-R
不能被几个 client 同时打开。但是厂家自己的实现时 可以同时打开，比如 华为部分手表， 恒宝公司的可拆卸 eism,都是可以同时 被 多个 LPA 打开的。 这样即使 BP 的 LPA 打开了，Android 的 LPA 还是再次打开 ISD-D,来读写 esim 的。

再一个思路就是， 就是直接使用高通的 LPA 方案， 让 BP 读写 esim 好了。这样的话， 你在上面链接的那篇文章中介绍的
esim LPA, 就基本上都不能用了。

淘宝某店铺买的 euicc SIM? 给个关键字，多少钱买的。
如果是高通芯片的手机，需要对基带进行魔改， 因为基带里已经自己实现了一个 LPA
Pixel 系列支持 esim,是把基带的这个 LPA 关掉了，然后用的 AP 里实现的 LPA
按照 GSMA 的规范，LPA 实现在 AP 侧更正常。高通自己在 BP 里实现了一个，然后所有的 esim 写卡的操作，都是 BP 直接完成的，AP 只要告诉 BP,我要写卡就行了，所有认证，写卡，都是 BP 完成的。
高通这个实现，可能是为了方便 5G 模块厂商。但手机上这样搞，就会跟 手机 OEM 厂家 和 谷歌的 LPA 冲突

@imadpanda5 什么渠道 续费 10 THB 只要 2 元 CNY ？

@xinJang ipv6 被防火墙拦了 inbound ，就需要穿透。 我测试手机的电信 IPV6 连 电信 IPV6 是互通的。不过一个朋友说他的两个电信的不同互通，他两个号码都是同一个归属地，并且在归属地使用，听起来是拦截了来自同 IP 段的 inbound

自己用的话， 可以 stun 或者带 stun 功能的 messvpn ，比如 tailscale
移动 5G IPV6 对联通 5G IPV6, 实测打洞成功，可以 udp 直连


无限数据流量 IPV6, 我对多个不同省份的归属地的卡的测试结果：
移动 4G, 5G,防火墙都是拦截 inbound 的 tcp 和 udp ， 但移动 4G 的 ICMP 不拦截，也就是说可以 ping 通
联通 4G, 开放
联通 5G, 拦截 inbound
电信 4G, 5G 都是开放的 ， udp 和 tcp 都可以接受 inbound 流量。