1
hging 2016-02-29 17:12:51 +08:00
为什么我这 118 个.
|
2
SplendentDraco 2016-02-29 17:16:51 +08:00
110 个
|
3
b821025551b 2016-02-29 17:17:25 +08:00
120 个
|
4
aveline 2016-02-29 17:18:41 +08:00
|
5
c 2016-02-29 17:30:56 +08:00
149 211.98.71.120 铁通_北京市 2016-02-29
150 211.98.71.121 铁通_北京市 2016-02-29 151 211.98.71.122 铁通_北京市 2016-02-29 152 211.98.71.123 铁通_北京市 2016-02-29 153 211.98.71.124 铁通_北京市 2016-02-29 154 211.98.71.125 铁通_北京市 2016-02-29 155 211.98.71.126 铁通_北京市 2016-02-29 156 211.98.71.127 铁通_北京市 2016-02-29 |
6
daocao 2016-02-29 17:58:37 +08:00
103
|
7
DesignerSkyline 2016-02-29 18:00:26 +08:00
103 个
话说最后几个是铁通的,这是 anycast 吗? |
8
blueset 2016-02-29 18:13:56 +08:00
|
9
onion83 OP 抛砖引玉,其实大家还是试试
114.114.114.114 180.76.76.76 (百度) 119.29.29.29 (腾讯) 223.5.5.5 (阿里) 他们的节点分布状况. |
10
onion83 OP 另外 现在发现天津联通有部分线路确实被 anycast 优化过,[测试结果]( http://www.17ce.com/site/ping/201602_883b9f964f2d92a9e455410d835ae0cc.html)
··· traceroute to 8.8.8.8 (8.8.8.8), 30 hops max, 60 byte packets 1 60.28.115.1 (60.28.115.1) 5.061 ms 5.829 ms 5.130 ms 2 no-data (125.39.79.93) 3.803 ms * * 3 dns105.online.tj.cn (117.8.160.105) 0.968 ms dns61.online.tj.cn (117.8.226.61) 4.131 ms dns85.online.tj.cn (117.8.160.85) 0.879 ms 4 61.181.148.138 (61.181.148.138) 1.141 ms dns85.online.tj.cn (117.8.156.85) 6.036 ms 1.142 ms 5 * * * 6 google-public-dns-a.google.com (8.8.8.8) 3.221 ms * * ··· 所有版内有 v 友叫 ping 值逆天,这是正常事情。 问题来,这些国内的节点有没有没和谐过? |
11
redsonic 2016-02-29 19:36:57 +08:00 1
@onion83 由于它是根据递归查询的 ip 地址来确定“真实地址”,所以如果 8888 被劫持了,结果中也包含劫持 DNS 服务器的真实地址。铁桶那些是什么来路你应该知道了。真正的 peer 4 楼已经贴了。
|
12
est 2016-02-29 19:39:06 +08:00
42 个
|
15
ssh 2016-02-29 22:08:56 +08:00
啊,能用“普通话”说明一下是什么意思,以及用途吗?
|
17
dzxx36gyy 2016-03-01 01:38:25 +08:00
@bclerdx 优化是戏称,说白了就是劫持,移动在这方面做的比较多,很多 dns 都会被移动劫持,表现为延迟异常低,查询都是被重定向到移动自己的服务器上的,所以返回的结果很有可能是被污染的。
|
18
decken 2016-03-01 01:54:18 +08:00 via Android
114.114.114.114 没有电信的?
|
20
onion83 OP 楼主非网络专业,纯粹个人见解。
------------------------------------------- @bclerdx anycast 或者所谓的 BGP 简单来说就同一个 IP 对外提供服务,后面挂 n 个服务器。 如果简单做过运维的同学应该都知道有个叫虚拟 IP(VIP) 的概念,只不过 LVS 做的 VIP 一般只能用在同一局域网中,两台主机做主备,一台挂了另外一个,在交换机广播相同 mac ,进行接管 ( arp 欺骗同理?). 而做 anycast 一般都需要自己申请 AS ,在骨干网路由器之间路进行宣告,通过自动计算最短路径,进行就近访问。因为这种技术是无状态的,所以非常适合做类似 DNS 这种查完就走的业务。 @redsonic 我理解的“劫持”分几种: 1 、旁路:类似 GFW 这种,也是无状态的。在骨干路由分光,进行包检测。发现异常后利用网络就近优势,抢先发 RST 包(双向),让 client/server 端认为对方中断达到拦截目的。 2 、路由:这目前是我疑惑的,类似 8.8.8.8 极低延时这种,通过 CloudXNS 查出来有铁通的 IP ,众所周知,路由器上对应的真实 IP 是通过 anycast 进行宣告的,难道路由器管理员手动干预了宣告的结果,进行“加料"? 这样互联网太恐怖了,同样一个 IP 地址,杀人于无形,查都没法查。 有意思的是,通过 CloudXNS 的查出来的 114.114.114.114 背后的节点,同样包含 211.98.71.120-127 8 台服务器,难道 114 同样被”劫持"? 3 、应用层: 这个大家都很熟悉了,先用 DNS 污染,然后给加料页面。或者设备串联路由器,直接修改数据包。 ------------------------------------------- 我想再请教两个问题: 1 、请教 @CloudXNS 讲解下 "本地 DNS 探测分析"是怎么实现的 2 、请教网络专业的 v 友, anycast 的 IP 能不能人为在路由器上干扰。 |
21
raysonx 2016-03-01 12:22:56 +08:00
@onion83 凭我的理解,运营商劫持 8.8.8.8 并没有使用你想象的那么复杂的方案。
1. 方式一,静态路由。设置一台机器,手动指定它的 IP 为 8.8.8.8 ,然后配置静态路由将访问 8.8.8.8 的流量路由到这台机器。他们并没有把这个虚假路由宣告出去,所以不会对其他运营商造成影响。 2. 方式二, DNAT 。 NAT 有两种方式,我们家庭中用于共享 IP 地址上网的方式是 SNAT ,还有另一种方式是 DNAT ,即在路由器上直接使用 DNAT 方式更改 IP 包的目的 IP 地址( 8.8.8.8 )为劫持机器的 IP ,待劫持机器返回处理结果后再将虚假报文的源地址改为 8.8.8.8 。 |
22
esxivistawrt 2016-03-01 13:04:15 +08:00
最著名的任播地址是 192.88.99.1 和 2002:c058:6301::1
|
25
bclerdx 2016-03-01 13:34:15 +08:00
@dzxx36gyy 我们这里的 ISP 也经常给我灌输,你有网络地址后网络 IP 么,给你优化试试,而当我问他为什么不能对全局 IP 线路即 0.0.0.0-255.255.255.255 之前抛出局域网的 C 类 IP 时,该 ISP 相关人士说不可能做到,说会涉及到很多部门,我有点想不通,为什么全局 IP 精准分流和优化就有那么难么?
|
27
bclerdx 2016-03-01 13:42:21 +08:00
@onion83 虚拟 IP(VIP)是不是可以理解为一些网络运营商进行 PPPoE 拨号后,由 BRAS 下发分配的大家俗称的内网 IP ,而非真实的公网 IP , BRAS 下发分配的内网 IP 或者说虚拟 IP ( VIP )共同访问一个网关出口出去。。
|
28
CloudXNS 2016-03-01 14:48:41 +08:00
@onion83 具体技术本萌宝宝不懂,只知道似乎是每天向 8.8.8.8 发某域名请求查询的信息,然后从 NS 服务器取得 8.8.8.8 的 RIP 信息。~
大家觉得好用、喜欢就好。 |
30
onion83 OP @bclerdx 一个 ISP 通常会有多个备份路由,当你投诉后他们会确认下是否属实,然后人工加条静态路由处理下,他们不会也懒得去处理您的要求 ,鉴于 ISP 的骨干网的复杂情况( via : https://www.v2ex.com/t/239877 ),一般是不会轻易动路由器的。
再说一个真实 IP 的问题,即使给你一个看起来正规的公网 IP (非 10.x,192.x,172.x ),不一定说明你可以直接连骨干网的路由器,例如北京的宽带通、长城宽带之流,你用 tracert 跟一下就知道了,两三跳之后又转入 10.x 网段了,然后再次路由找网关出去,所以用 Ip.cn 之类的查 IP ,地址就是河北电信、天津网通之类的了。 |
31
redsonic 2016-03-01 17:47:40 +08:00
问题 1 “本地 DNS 探测分析"是怎么实现的“ ,以下是猜测,估计差不多: CloudXNS 的后端下发分布式查询请求(各地运营商),请求的域名为 CloudXNS 事先注册好并托管到自己的 NS 服务器上的。然后 CloudXNS 记录递归查询的源 ip ,该 ip 就是所谓的真实 ip 。原理和 dig @8.8.8.8 whoami.akamai.com 应该是一样的,只不过 CloudXNS 是多地查询,得到的源更全面。
问题 2 大规模的 anycast 应该都是基于 BGP 的,而 BGP 的安全问题非常堪忧,具体可以看 https://github.com/mininet/mininet/wiki/BGP-Path-Hijacking-Attack-Demo 之前 google 已经遭到类似攻击 BTW , 114 的那个网段是个特殊网段,好像是被国际组织承认了得 anycast 网段,用 whois -h v4-peer.whois.cymru.com 可以看到 114.114.112.0/21 属于多个 AS ,而 whois -h whois.apnic.net 114.114.114.114 则指明属于信封,说明 114 肯定不是劫持出来的。 |
32
redsonic 2016-03-01 17:59:52 +08:00
@onion83 再补充一下,其实目前劫持公共 DNS 的手段中根本用不着什么 anycast ,运营商在汇聚层有众多的串接设备(比如 DPI ),随便找一台装一个 dns 模块就行了,本来生成或修改 dns 应答的代码就非常简单。所以你经常看到有人投诉得到回应“劫持是因为被攻击,不是自己造成的“ 或 ”没有问题,本来就是这样的“, 这是因为串的东西太多了,自己搞不清楚,也不知道谁清楚。如果是动路由,运营商都是有记录的,就算没记录登到设备上去查也就都知道了,但你要让他登录 DPI 上面看看具体跑了什么代码 他肯定是不懂的。
|
36
dzxx36gyy 2016-03-01 18:57:01 +08:00 via Android
@VmuTargh 这不是 gfw ……这只是部分跃点(中间路由)设置为不响应 ping(icmp 包),事实上一般认为某墙是类似于旁路设备的,在网络中不会出现实际地址……
|
38
bclerdx 2016-03-01 19:12:06 +08:00
@onion83 其实呢,北京宽带通、长城宽带之类鹏博士电信传媒集团的下属品牌宽带的这些是走 NAT 的, NAT 资源都有多条(一般是指 BRAS 绑定多个不同的该 ISP 的多个互联网出口),根据访问出口拥堵情况,自动动态路由选择,当返回电信 NAT ,那么外网 IP 就是电信的;当返回联通 NAT ,外网 IP 就是联通的。但绝对与家庭路由器 PPPoE 的 WAN 口拨号后的 IP 是不一致的。
|
40
wdlth 2016-03-01 21:58:40 +08:00
1.2.4.8 的出口是阿里云?
|
46
firefox12 2016-03-05 10:46:52 +08:00 via iPad
这个技术是怎么查到的? 一个 IP 还能映射到其他 IP ?
|