关于 "家宽不允许开设 Web 服务" 限制的一些解读

5 天前
 MaverickPLS

TL;DR: 为避免不必要的麻烦，请不要在家宽的任何端口直接暴露 HTTP(S) 服务；请使用 Tailscale / ZeroTier 。

最近看到有些朋友因为使用家宽 v4 / v6 在高端口开 HTTP(S) 服务被运营商掐网，要求签保证书不允许架设网站。

本次以我和广东移动客户经理沟通的内容为基础，简单解读一下该限制到底是如何被执行的。

叠个甲，这些内容可能并不适用于其它省份和 / 或其它运营商，也仅仅是个人意见，仅供参考。本文也并不涉及 BT / PT / PCDN 相关，仅讨论 "架设 Web 服务" 这一行为。

首先上一张截取自广东移动政企 "互联网 ICP 备案需要的资料说明" 的，现时常见需备和不需备案的情况：

这张图里有些术语并没有清晰给出解释，因此以下的内容是根据我和客户经理讨论过后的扩充和规范化解释。

总结来说，对于服务器任意端口发送 HTTP(S) 请求，能获得表示服务器已完成响应的返回码的情况，那么就需要备案。

用大白话讲就是，只要使用浏览器 + HTTP(S) 协议请求该 IP / 域名的任意端口，能获得任意并非浏览器自带错误页面的返回码，那么就需要备案；其余情况则不需要备案。

详细解释:

因此，如果以 "只是暴露路由器面板 / 个人网盘" 等理由尝试去绕过该限制的话，最后的结果大概率还是吃封停。

同时，对于 HTTP(S) 以外的协议，广移方面则几乎不予理会。

补充解释：

备注中的 "不需备案情况申请端口开通，需客提供不涉及网页或网站建设承诺书"：这个很难办下来，就算批下来也会监控 HTTP(S) 入站使用情况，不建议钻这个空子。

对于基于 UDP 的 QUIC HTTP/3 ，指南中并没有详细说明，实际上广移政企也没有限制 80 / 443 等端口的 UDP 入站。使用 UDP 入站代替理论上可行，然而考虑到实际使用中 HTTP/3 无法脱离传统的基于 TCP 的协议运行，实际配置成本较高，且可能并不稳定。

个人的一些小想法：

假设你需要从外部公网环境访问家中的内容的话，哪怕没有对于建站方面的限制，直接将内部的服务暴露在外部网络都是有很高风险的。既然已经有一个可以直接暴露在公网的端口了，为什么不考虑下异地组网的方案呢？

（其它想到再补充……）

4930 次点击
所在节点    宽带症候群
49 条回复
MaverickPLS
5 天前
@xqzr
@strobber16

关于直接访问 H3 ，我明白技术上通过 HTTPS 记录确实可行，之前也看到过 v2 上的相关帖子，但是也需要额外配置，不算特别开箱即用。

以及，我个人有遇到 UDP 443 被偶发阻断的情况，尤其是跨境访问（我人目前在海外）。不知道是不是触发了 GFW 的规则。
MaverickPLS
5 天前
@MFWT 如果使用了 HTTPS 来协商，并使用正常的 HTTP Status Code 返回，那么原则上说是的，需要备案。
MaverickPLS
5 天前
@esrkforward
@bluetree2039

我刚去检查了一下 FRP 支持的传输协议，包括 TCP 、KCP 、QUIC 、Websocket 、WSS 。

如果是这样的话，不管是在家宽上使用客户端还是服务端，运营商侧都不会理会。

但是如果你家宽上的 FRP 服务端还额外启用了 HTTP 类型代理的功能，同时开放对应端口，对外监听 HTTP(S)，那么则需要备案。
MaverickPLS
5 天前
@lns103

理论上来说，运营商作为中间人，在 HTTPS 入站访问的过程中最多只能得知你的 SNI ，并不知道具体访问的是什么内容。

但是，他们也可以在得知了 SNI 之后直接撞字典找你的真实 URL 。技术上是可以实现的。
JensenQian
5 天前
顺带开 web 不安全
搞个 wireguard 什么的连回去完事了
gransh
5 天前
这算什么，当初我给我 lofter 绑定了一下自己的阿里云域名（ lofter 自带的个性域名功能）。
竟然被打电话要我停止这一行为。我说我域名备案过了，他说博客就是不行。我说我的 lofter 博客是网易提供的，我只是加个域名。
他们说那也不行，只要有评论功能的博客就不行。
从此再也不把域名放国内。
gunner168
5 天前
@bluetree2039 应该算吧，301 跳转只支持 Web ，试了一圈下来只 webdav 协议能访问，smb 或者其他都不行
morpheuszero2023
5 天前
你问了，他们肯定告诉你最严格的规定。实际执行的时候不知道是啥样的。
怕就用 vpn 连回家，不怕就 web 继续用。被封了沟通一下也能解。一天天怕这怕那的，真累。
kk2syc
5 天前
@morpheuszero2023 确实，正常使用根本不需要担心。我备案域名（ cn ）+家宽 81 端口（ nginx ）直接 ddns 使用已经用超过 10 年了，十多个朋友各种用。只要不是直接访问内容的一点问题没有，加个特定链接 http auth 触发白名单加白的事情。
JamesR
5 天前
家宽是动态 IP 的，架设网站有多大意义？都是 DDNS ？
域名放国外，直接开个 FRP ，全过程加密，把端口转移到 VPS 服务器上。
NoOneNoBody
5 天前
不是，你没有最终解释权，你解读没有用啊，最多只能算“理解”
gordengan
5 天前
通过反代加上密码 path 路径呢？
比如： https://myabc.cn:8888/izki4jeo 可以登录
然后让 https://myabc.cn:8888/ 返回浏览器自带错误页面（如果可以实现）
txydhr
5 天前
我觉得这个服务不是指的技术层面的服务，而是法律层面的服务，80/443 等需要备案
digimoon
5 天前
isp 真的只靠 80/443 端口来判断？这就和杀毒软件只靠文件名来判断病毒差不多水平，至少在我知道的广电用非标端口一样被干
wuyadaxian
5 天前
直接 nginx default 444 完事。
summerwar
5 天前
cloudflare tunnel 直接代理下就可以了
yxmyxmyyy
5 天前
反正 ipv6 不会检查
nicefrp
5 天前
@esrkforward
@bluetree2039
@JamesR FRP 内网穿透出来的服务不会被封，这么干多年了
JamesR
5 天前
@nicefrp #38 不会，设置过密码了，全程加密的，效果就是等效于把本地端口挪到 VPS 上去了。
mrleft
5 天前
如果搞动态 ip 验证，会不会被发现？

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://yangjunhui.monster/t/1129251

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX