一些关于 SNI 阻断的问题

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 73 天前的主题，其中的信息可能已经有所发展或是发生改变。

坐标 SNI 阻断大省，前几天发现同一个服务器上的域名先后被 SNI 阻断了，然后分别测试了移动数据、宽带和电信数据、宽带对于域名 SNI 阻断的情况，因为这几天测试移动的时候有点找不到规律（笑），所以可能还需要再测试几天。目前先说下电信数据、宽带对于域名 SNI 阻断的情况，个人测试的情况是目前数据对于域名的阻断是严于宽带对域名的阻断的，而且会阻断解析到同一个 IP 上的所有域名（至少我个人解析到同一 IP 的域名先后全部被阻断了）。然后接下来分别测试了一下绕过 SNI 阻断的办法：

1. 套 CDN ，用的是 Cloudflare 的 CDN ，有一定的效果，但是目前还是时不时的会被阻断。

2. HTTP/3+DOH+DNS 解析添加 HTTPS 类型的解析，直接走 QUIC 协议，目前还没有被阻断。

3. 直接在域名后面加上根域名 . 然后访问，比如需要访问的域名是 example.com ，直接访问 example.com. 这个地址可以绕过阻断，就是目前什么原理这个还不清楚。

第 1 条附言 · 71 天前

今天看了下，另外的服务器上的一些域名也没能幸免于难，全部被 SNI 阻断了，而且移动阻断的更彻底，宽带数据访问全部阻断，目前先全部套上 CDN 了，怀疑可能是服务器 IP 不干净！？
另外有人知道第三种绕过的方法是什么原理吗，虽然有时候也会被阻断，但是大部分时候可以直接绕过。

16 条回复 • 2024-10-24 10:40:31 +08:00

JensenQian

73 天前

你都能来这里了
直接加进代理就完事了
国内直连，国外代理
完事

iflyime

73 天前

@JensenQian 主要是还是想探讨了解一下如何应对单纯的 SNI 阻断这个问题，听说 ECH 也可以绕过 SNI 阻断，但是目前好像没在 Chrome 上找到可以开启的地方！？

admin13579

73 天前 via Android

目前用的应对方法是域前置，把发送的 sni 伪造成一个白名单里的合法域名，或者直接发送空 sni 。不过这种不适用很多套了 CDN 的网站
Quic 也可以，因为墙目前技术上还做不到嗅探 quic 的 sni ，ech 直接把 sni 加密了当然也可以，但未来有像 esni 一样被一刀切的风险
另外如果是自建 https 服务且仅自己一人使用的话（意味着客户端和服务端控制权都在自己手上），那还有一个方法是在双端的防火墙上都写一条简单的命令：丢弃所有接收到的 rst 包。这样虽然还是会触发阻断，但因为阻断用的 RST 包都被你丢了，所以可以顶着阻断强行继续连接