请教公司内部如何实现无感知跨境加速

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 601 天前的主题，其中的信息可能已经有所发展或是发生改变。

公司内部有访问 Google 等需求，因此找电信 /联通了解了一下 MPLS ，这边大概是 1000 元 /M 左右，还在可以接受范围。计划准备拉线了。

但目前希望能实现桌面端无感知，并且只允许特定 IP 连接。在普通家宽环境下用 openwrt+小猫咪改一下网关就完事了，然而在园区局域网就不太适用了，公司内就有十几个子网。

打算是写 N 条静态路由，把海外 IP 全部走专线，但又觉得不够优雅。

很好奇站内有没有网管 V 友或所在公司可以直连海外网站的，分享一下你们的使用办法。

感知

OpenWrt

MPLS

子网

52 条回复 • 2024-09-01 21:47:40 +08:00

kwanzaa

2023-04-01 01:42:27 +08:00 via iPhone

联系 ISP

seers

2023-04-01 01:51:42 +08:00 via Android

下发 pac

kennylam777

2023-04-01 04:05:50 +08:00

你的思路基本沒錯，但思路倒轉一下，把中國 IP 走國內線路就會容易很多，因為中國的 IPv4 不多，但是要注意路由能否直接載入

chn_ip 在 GitHub 就有，也有一些思路是先整合 subnets 再匯入
https://github.com/IrineSistiana/mosdns/blob/main/scripts/update_chn_ip_domain.py

路由搞定後還有 DNS 問題，在一些同時有國際及中國節點的網站，優先選用中國 DNS 解析。

hymzhek

2023-04-01 07:46:15 +08:00

如果只是访问网站等要求不高的可以考虑用 sniproxy 加重写 dns list 方式

tramm

2023-04-01 07:55:00 +08:00

直接问运营商参考建议 :P

churchmice

2023-04-01 08:21:41 +08:00 via Android

我们是路由器上直接加境内的地址段，大概有 4k 条，每晚自动更新，然后自己再搭个 dnsmasq 做 DNS 分流查询解决 DNS 污染的问题

yyzh

2023-04-01 08:46:53 +08:00 via Android

我们公司是用中信国际的 CIA+解决方案，这样国内国外一个套餐全包，而且中信国际还负责分流，出问题了打电话过去就行，IT 什么都不用管。完美。

MFWT

2023-04-01 08:54:50 +08:00 via Android

桌面无感知那就还得在网关 /代理服务器（看你电脑怎么上网，基本都是网关上网，用代理服务器的估计不多了）上动操作

专线这一行我不太了解，不过盲猜 MPLS 专线接进来相当于是多了一个 WAN 口之类的，重点还得配置好分流以及 DNS

写静态路由去分流不是不行，而是有个问题：DNS 怎么选择。如果选择境内 DNS ，那么访问 Google 拿到的地址大概率是被污染的，拿出去也访问不了；选择境外 DNS ，那么国内网站可能会返回了境外 CDN 地址，直接访问的话速度慢不说，还会白白浪费专线带宽

关于这一点，还是推荐和楼上那样，DNS 单独做一下解析，至少在域名层面能先分分流

rocknjoekudo

2023-04-01 09:06:12 +08:00

这两年企业流行用 SD-WAN 解决方案搞你说的这类工程。搜“老韩一米九”有关于 SD-WAN 改造的事情

pagxir

2023-04-01 09:19:46 +08:00

域名自动分流的话，可以用 pac 也可以用浏览器配合 dot 的方式。当然了也可以使用 dns 自动配合 ipset 的方式。我看了一下常见了只访问 google/facebook/twitter/dropbox ，也就大概只需要 330 条的路由记录.

deorth

2023-04-01 09:31:48 +08:00 via Android

没有那么优雅的，无论如何都需要域名或者 ip 匹配，在哪一层做罢了。
实际上就算是运营商级也是成吨的静态路由

cshlxm

2023-04-01 09:33:08 +08:00

isp 有 sdwan 的方案，加个旁路设备，可以无感的，前阵子拉的 10M ，大概 4k 一个月

winterx

2023-04-01 09:59:01 +08:00

感谢各位，那就先咨询一下 sdwan 方案与研究一下静态路由

celeron533

2023-04-01 10:21:13 +08:00

另外不要自己直接找三大运营商，贵。有很多大的网络方案提供商，稍微便宜点。

beijiaoff

2023-04-01 10:40:23 +08:00

海外 IP 全部走专线那也太贵了吧。很多不被墙的网站也是海外 ip

gam2046

2023-04-01 10:53:45 +08:00

顺路问一下，带宽：1000 元 /Mb ，是每月还是每年？

mandymak

2023-04-01 11:07:37 +08:00

@gam2046 肯定是每月。

gam2046

2023-04-01 13:09:16 +08:00

@mandymak #17 唔...这样子的话，如果需要一个百兆的海外线路，一个月就要 10 万嘛。好厉害的样子。

Tounea

2023-04-01 13:12:31 +08:00

我是觉得你的需求很简单

公司一般是有 DHCP 服务，直接把需要访问国际网的电脑 IP 加个 MAC 绑定，让后在出口设备上配置线路策略，一般在路由策略里有个“智能路由”功能，把指定 IP 或者组添加国际线路规则就可以，用户那边是无感知的。

Tounea

2023-04-01 13:21:49 +08:00

@gam2046 是按月，1Mbps 每月 1000 元。

之前在国际外贸公司，一个项目组一般找运营商拉一条 100M 国际专线，光这一个项目组每年国际专线要花 100 多万，而且还有其他项目组，线路要求不一样，每年光这国际专线投入的费用就是一笔不小的数字！

dev937

2023-04-01 13:25:14 +08:00

内网机器和 xx 云海外组网
深信服发现是海外的 Ip 下一条直接丢给内网机器 30M 带宽每个月 3T 左右流量一年 650

tonoon

2023-04-01 13:55:28 +08:00

需求有点类似，我们是在网关出口做了端口分流和域名分流，我司用的专线 500 元 /M 。

ericgui

2023-04-01 14:05:48 +08:00

@yyzh 中信国际？中国电信？

strp

2023-04-01 14:05:50 +08:00

OpenWrt 和 Mikrotik 都可以使用 mangle 进行标志位策略路由。
https://github.com/ICKelin/article/issues/2

pagxir

2023-04-01 14:08:47 +08:00 via Android

感觉应该不需要配那么高带宽吧。应该配个 7 ，8 兆带宽作为保证，然后大流量走普通线路，并且可以的配置一下支持 mtcp 的 sni 来自动线路无缝切换，既可以大带宽，又保证可靠性。

dnsaq

2023-04-01 14:23:06 +08:00 via iPhone

买了电信的专线，不是应该找电信想办法吗？他们肯定有成熟的方案，问一问呗

efaun

2023-04-01 14:35:58 +08:00

合规付出的代价真是高昂

yyzh

2023-04-01 15:22:09 +08:00

@ericgui 中国公司叫中企通讯,香港公司叫 CITIC TELECOM CPC

yinmin

2023-04-01 18:07:28 +08:00

公司的 MPLS 价格太贵了，如果公司财大气粗直接百兆以上 MPLS ，国内 IP 走国内、国外 IP 走 MPLS 。如果只有几兆或者小几十兆，通常是特定域名走 MPLS ，采用白名单方式。
如果这次方式，无感知跨境加速通常有 2 种方式：
(1) dnsmasq 与 iptables 联动，类似 OpenWrt 。如果采用这种方式，建议还是让电信出方案。
(2) PAC 文件下发。建一个 socks5 ，写 PAC 文件指定域名走 socks5 。将 PAC 文件放到内网 web 服务器上，然后在 DHCP 服务器上配置：option 252 string "http://[ip 地址]/proxy.pac" 。客户端连接网络，通过 DHCP 获取 IP 地址后，会自动使用 proxy.pac 文件。