近期国内访问 Youtube 异常的分析

syuraking · 2017-06-17T12:27:02Z

最近由于 YOUTUBE 改了 IP 检测方式，如果 UDP 和 TCP 的 IP 发送不一致，则判定为非法流量正好谷歌浏览器的 QUIC 发送方式是 UDP+TCP，你的科学上网一般只转发了 TCP 部分，而 UDP 是直连…… 那么这时候，你就懂了，为什么被判定了路由器想看 YOUTUBE，请开启游戏模式(此模式可以转发 UDP 包)；电脑想看，你想办法转发 UDP 部分；安卓手机，请开启 UDP 转发；如果你的科学上网不支持 UDP 转发，那么，你可以考虑洗洗睡了。本人是以谷歌浏览器为样本，并且所有设定使用默认设定来测试的。你觉得你用其它浏览器没问题，或者修改过关闭 QUIC，或者还有其它的，请绕路，不要直接喷人。完结……

132 replies • 2017-06-26 00:30:03 +08:00

1 2

❮

❯

1

myliyifei

Jun 17, 2017 via Android

google 的 ip 都是黑洞路由 wsmudp 可以发包到达？

2

syuraking

OP

Jun 17, 2017

@myliyifei 不知道为什么，https://r6---sn-3v2upjvh-3pm6.googlevideo.com/videoplayback?sign，。这种地址，国内是可以直接访问的，并没有被墙……

3

xdqi

Jun 17, 2017

IPv6 DIRECT, IPv4 tunnel 还是 403

4

xx998

Jun 17, 2017 via Android

@syuraking 已经被污染了。

5

xx998

Jun 17, 2017 via Android

YouTube 判断非法流量只在部分运营商网络中出现，并非全部。

6

zuolan

Jun 17, 2017

腾讯云香港 TCP+UDP 转发，手机同样开了 UDP 转发，还是不能看。东京可看。

7

Marfal

Jun 17, 2017

据说是把 Flag=CN 的 ASN 都给封了。

8

love4taylor

PRO

Jun 17, 2017

Linux, Chrome 60, 路由没开 UDP 转发, flags 开了 QUIC, 正常观看.
Android, Chrome 58, SSR 客户端没开 UDP 转发, flags 开了 QUIC, 正常观看. Youtube 客户端也正常观看.

9

wske

Jun 17, 2017

所有自搭建服务均正常

10

wico97

Jun 17, 2017

请问如何检测 TCP+UDP 转发的 IP 不一致

11

liuxu

Jun 17, 2017

实际上昨天上午 catnet 被封的时候我关了 quic，并没用

晚上 catnet 官方不知道用了什么黑科技，开着 quic 也可以看 youtube，但是 youtube live 还是不能看

12

yexm0

Jun 17, 2017 via iPhone

chrome 默认设置配 ss，一切正常

13

dynos01

Jun 17, 2017 via iPad

@liuxu 其实 catnet 的 ipv6 可以完美工作

14

parametrix

Jun 17, 2017

我的观察是这样的：

1、UDP 连不上 *.googlevideo.com 是可以观看的，所以路由器处直接把相关链接 block 掉或者转发到黑洞也可以解决问题。

2、UDP 经过转发正确链接到目标也是可以观看的。

3、不经过转发的 UDP 直连无法观看。

4、我现在不确定这里起作用的 UDP 链接到底是不是 QUIC，因为 chrome 的 QUIC 监测标签中 QUIC SESSIONS 为空，但是 EVENTS 里边是有搜索结果的。

5、说手机开了 TCP+UDP 的朋友们注意一下 DNS，因为手机 SS TCP 是 http+Socks5 代理，支持远端解析网址，但 UDP 转发可不是这样。

15

zuolan

Jun 17, 2017

@Love4Taylor 节点是哪里？哪家的香港？

16

d7101120120

Jun 17, 2017

手里的梯子包括自己搭建的和购买的服务全都正常。。。。不知道算不算我很幸运？

17

xx998

Jun 17, 2017 via Android

@parametrix 我这里测试 YouTube app 看不了直播，但网页端的 YouTube 可以看直播

18

miaomiao888

Jun 17, 2017

然而 IPV6 隧道同样看不了隧道应该支持 UDP

19

love4taylor

PRO

Jun 17, 2017

@zuolan #15 阿里 HKB 47.89

20

CHNpeople

Jun 17, 2017

@xx998 我的手机和网页的直播都能看，唯独视频在网页一直转圈圈，手机只能播放 6 秒

21

yexm0

Jun 17, 2017

@syuraking 难道你认为这种地址是属于谷歌的 ip 地址???

22

akw2312

Jun 17, 2017 via Android

1

@yexm0 這個地址就算解析正確也不會是 Google 的 ip
這種格式的都是 ggc

23

CHNpeople

Jun 17, 2017

@parametrix 大神，能教我弄吗？

24

snsd

Jun 17, 2017

winxp，世界之窗浏览器，2.5.6 版飞机，贵阳移动普通线路，美国 ip。速度不算快，5000 多 k，1080p 刚刚也够看。

25

just1

Jun 17, 2017

@syuraking chrome 访问网站自带视频加速用的就是这个地址，如果墙掉，chrome 看不了很多视频。。

26

syuraking

OP

Jun 17, 2017

@yexm0 我只是按我这边的情况分析的，也许我这里情况和你们也不太一样吧，至少我这里谷歌 co.jp，FB，getchu，一直是可以直连的……

27

hadoop

Jun 17, 2017

表示没有遇到任何问题

28

alect

Jun 17, 2017

1

额，原来如此，估计就是 quic 协议的问题。。。关了就没问题了。。
最近 y2b 有的飞机看不了，访问这个网址看看第一行开头的 ip 是不是你本机的真实 ip ……

https://redirector.googlevideo.com/report_mapping

如果是飞机的 ip 那应该没问题。。

29

21grams

Jun 17, 2017 via Android

用 edge 也不行啊，感觉不像是 quic 的锅

30

sorcerer

Jun 17, 2017

flag 里停用了 quic 还是不行....

31

zddewe

Jun 17, 2017

v2ex 这些天能不能一些主题不进隐藏的**，之前 google 给一个朋友回复的邮件的贴也不见了，搞得好多 v 友好迷惑，建议擦边的主题迟几天进**吧。 @livid@Livid

32

evlos

Jun 17, 2017 via iPhone

@zuolan 腾讯云香港应该都跪了，换了 6 个 IP 都不行

33

buddha

Jun 17, 2017

@sorcerer @alect flag 里 disable quic 可以了，不 disable 前点那个检测网站 ip 是联通的。点了以后是 ss 的。
路由器里没开 udp 转发。

34

fetich

Jun 17, 2017

@syuraking 你那儿没有 DNS 污染？！
@yexm0 我这儿解析出来的 IPv6 也是此类，除非显式指定 IPv6 的 DNS 解析服务器地址。
另求教，我想让我的手机在家庭局域网下也能免翻上被墙的网站，因此在已经获得原生 IPv6 地址的情况下，如何能让家庭局域网内的设备都能得到无污染的解析结果？
目前的待实行的方案是整个树莓派或者 NUC 之类的小型机，利用 DNSCrypt 获取地址，不知有没有其他更便捷的方案，估计你也是 v4、v6 双栈接入的，不知怎么解决这个问题的？求指教。

35

parametrix

Jun 17, 2017

有没有人试一下在出口 VPS 处把 UDP 443 端口 OUTPUT DROP 掉？

36

buddha

Jun 18, 2017

@parametrix

我试了路由器上把 googlevideo.com 解析出来 IP 的所有 udp 包送到黑洞端口，能解决问题。

dnsmasq 配置
/jffs/config/fuckgfw.conf:server=/.googlevideo.com/127.0.0.1#1053
/jffs/config/fuckgfw.conf:ipset=/.googlevideo.com/youtube

/jffs/opt/sbin/iptables -t nat -A PREROUTING -p tcp -m set --match-set youtube dst -j REDIRECT --to-port 8080 (ss 端口）
/jffs/opt/sbin/iptables -t nat -A PREROUTING -p udp -m set --match-set youtube dst -j REDIRECT --to-port 8181 （黑洞端口)

37

sportfit

Jun 18, 2017

感觉是 CHROME 的问题，更新到 59 版本后，就出现这个问题，目前我直接降级删掉 59，重新下载 58 64 位无更新版本，再关掉 QUIC，重新启动 CHROME，马上就解决，正常播放了

38

buddha

Jun 18, 2017

1

@sportfit 不完全只是 chrome 因为如果你路由器上跑 ss 而不开 udp 转发，那手机，PS4/Xbox 上的 youtube App 也是不能播放视频。

39

parametrix

Jun 18, 2017

@buddha #36

我感觉这次的问题可能是 Google 为了防止 ytb 视频下载，而限制了访问视频必须和访问网站同源。实际上我看了 QUIC SESSIONS LOG，UDP 没有污染（有 SESSION 中的证书保证）的情况下直连，返回 403。而不能 UDP 连接到目标（ no receive ）结果是 `QUIC_SESSION_CLOSED` 反而解决问题。

40

im8a

Jun 18, 2017

@buddha @parametrix @sorcerer @alect
下面 3 个我都试过了 HKB+斐讯 K2 都不行:
1. 斐讯 K2 开启 UDP 转发
2. chrome 关闭 quic
3. HKB 上安全组 drop 了 udp 443+udp 80

https://redirector.googlevideo.com/report_mapping 监测还是我本地的 IP
有没有人有什么见解

41

im8a

Jun 18, 2017

补充一下貌似 HKB 本身就不能 ytb?
我刚刚用 SSTap
终于监测到是我本地 ip 了

但是依然无法 ytb 是不是 hkb 47.52 本身被 ytb ban 了？

42

genics

Jun 18, 2017

@alect 用阿里云就不是~

43

genics

Jun 18, 2017

@im8a 我也是 47.52. 关掉 quic 可以看视屏,但是手机 app 只能看几秒.

44

AnonymousAccout

Jun 18, 2017 via iPhone

@buddha 请教一下黑洞端口怎么设置的只知道黑洞路由怎么设置黑洞端口呢

45

buddha

Jun 18, 2017

@AnonymousAccout 其实我也是随便一写就是送到一个没用的端口你用 -j DROP 或者黑洞路由道理也是一样的，目的就是不让去 googlevideo 的 udp 包到达那里。

46

sportfit

Jun 18, 2017

@buddha 的确路由没开 UDP 转发，手机类移动端看不了，不过现在路由我开了 UDP 转发，然后 CHROME QUIC 再启用，那就做到了视频必须和访问网站同源，现在可以正常用了，谢谢提醒。

47

peng1994

Jun 18, 2017 via Android

我前几天用手机 YouTube 速度能达到 50Mbps

48

AnonymousAccout

Jun 18, 2017 via iPhone

@buddha 不过阿里云上用 iptables 把 outgoing 的 udp 都 drop 了还是看不了视频😭

49

sportfit

Jun 18, 2017

@buddha 从昨天搞到今天，终于如愿以偿 4K 又回来了，激动呃，谢谢。

50

parametrix

Jun 18, 2017

@im8a #40 你这个情况给我的感觉是 *.googlevideo.com 都没有被转发。。。

@AnonymousAccout #48 在阿里云上 DROP 完，你本地还是要把 UDP 转发到阿里云上啊，这样相当于黑洞。其实我不该提这茬的，不如直接在本地黑洞来得简单。

51

AnonymousAccout

Jun 18, 2017 via iPhone

@parametrix 好吧了解了 😶

52

yexm0

Jun 18, 2017 via iPhone

@fetich 提个小建议，不妨尝试一下下面这款软件 :)
/t/119128

53

fetich

Jun 18, 2017

@yexm0 看说明，好厉害的样子……

54

yangxuan8282

Jun 18, 2017

手里的几个自建 ss 不开 udp 转发的话都用不了了，怀疑最近攻击者可能租的同 ip 段的机房进行攻击的

55

fudanglp

Jun 18, 2017

教育网也出问题了，视频 flv 403，详见 https://github.com/lennylxx/ipv6-hosts/issues/125

56

dahounet

Jun 18, 2017

47.52. 关掉 quic 依然播放不了

57

diskerjtr

Jun 18, 2017

1.VPS IP 没有被封的路由器挂游戏模式用 edge 或者 chrome 关 QUIC （ edge udp 效率高点）

2.VPS IP 被封的例如阿里云 47.52 自己做劫持丢给谷歌后，同上述方式。

58

syuraking

OP

Jun 18, 2017

@fetich 仅有 3 个网站没墙而已，原因不明，几年都这样，也搞不懂为什么。

59

CHNpeople

Jun 18, 2017

@buddha 大哥，能加下 QQ 289815438 帮我弄下吗？

60

CHNpeople

Jun 18, 2017

@diskerjtr 怎么做劫持...

61

stonesnake

Jun 18, 2017 via iPhone

这方法也许对有些人适用但对我没用。我用路由器开 ss，游戏模式，关 quic，都不行。只要是挂阿里香港或者腾讯香港就播放视频失败，但什么配置都不改，换搬瓦工节点就好好的，我感觉主要问题还是出在 vps 上而不是本地。

62

pulelt

Jun 18, 2017

收费 VIP，一直很稳定

63

sorcerer

Jun 18, 2017

@diskerjtr 我应该是第二种情况所有 googlevideo 的请求都 403 了请问应该怎么劫持?

64

xuux

Jun 18, 2017 via iPhone

linode jp1 表示正常，估计是 VPS 的问题

65

mjay1984

Jun 18, 2017 via iPhone

@diskerjtr 同问如何劫持？

66

cigarzh

Jun 18, 2017 via Android

@stonesnake 和你一样

67

buddha

Jun 18, 2017

@sportfit 谢 @parametrix 吧他给的思路我只是按他思路做而已。
@CHNpeople 我不用 qq。我因为用的 DDWRT 没有现成的 ss 图形界面，所以只能自己命令行写 iptables 规则。如果你用梅林或者其他集成好 ss 的 ROM，只要图形界面打开 UDP 转发就好了很简单的啊。

另外我用的是美国 VPS 是可以的（本地路由器重定向了 googlevideo 的 udp 包到假端口），用阿里云不行的会不会前几天 youtube 瘫掉的时候给用作攻击源所以给 google 封 ip 了（纯猜想）？

68

21grams

Jun 18, 2017

所以 47.52 究竟要怎么办? 关闭 QUIC 根本不行。