业务和外商 ip 建立不了网络连接，怀疑有人搞鬼弄了防火墙，怎么查

[pureGirl]

对方 it 也表示不是两个 ip 的问题，应该是中间有防火墙一类的东西，怎么查是否有这个防火墙的存在，以及是谁加的。
几个月前连接还是正常的，是最近开始有问题的。

[cnbatch]

是不是国内与国外的连接？

如果是，那么很有可能是大墙发威（ /t/1115771 ）的“误伤”

[pureGirl]

@cnbatch 是国内国外的连接

[czwstc]

国内与国外的连接 是有突然失联的风险。
摘自 Meraki 官网：
“由于一些 Meraki 团队控制能力之外的原因，这种跨境数据连接有时会出现不稳定的情况。因此，一些位于中国大陆，但是连接北美、南美、欧洲和/或亚洲其他国家/地区的 Meraki 服务的设备可能会在连接到 Meraki 服务时遇到问题，而且/或者可能会失去与 Meraki 服务的连接。
跨境数据连接受中国法律限制，可能随时有所变化。”

[importmeta]

用 tracert 命令看看走的哪些国际接口?

[pureGirl]

@importmeta 对面给我发了 ping 我这边的路径，到国内的一个 ip 后面就断了

[Int100]

“有人搞鬼”😂（你这是跨境啊，问题不是很显然吗）；
要么花钱买线路，要么你团队里有足够的技术能力。

[cnbatch]

「到国内的一个 ip 后面就断了」

大概率就是 GFW 阻断的。

可以把 tacert / traceroute 的中间路径发上来，国内到国外、国外到国内，分别测一次。
发上来的时候记得删掉你们的业务 IP 那一行。

也可以用 BestTrace 、NextTrace 之类的软件来跟踪，它们会顺便给出 IP 地址的位置参考数据。

[processzzp]

难绷，都能上 V2EX 了，还不知道是咋回事？

[pureGirl]

@Int100 你在说啥呢，我们连接很多外商，就这个出问题了

[21231sv]

在 c 端和 s 端抓包，如果是防火墙发威，很有可能会看到，c 端抓的包显示是 s 端发送了 RST 。s 端抓的包显示是 c 端发送了 RST

我也碰到过国内国外连接的问题。我通过抓包看到的就是上面这种情况。

[pureGirl]

@processzzp 那您赐教一下是咋回事

[jardel]

GFW 会阻止国内网络访问国外网络，你服务器使用香港的就可以了，国内网络即时可以访问国外某些服务器有时也是短暂的，会随时阻止，做香港中转的较多

[pureGirl]

@jardel 我要先知道什么问题，需要对面把我的 ip 加到白名单很麻烦的

[cvbnt]

看看新闻联播就知道什么原因了，反正我碰到这种网络问题内心已经波澜不惊了

[jardel]

@pureGirl 想要稳定不应该用国内服务器，做国际服务的都知道这个问题，要不然 aws 为什么分成亚洲和中国两个区域

[salmon5]

这有什么大惊小怪的吗？跨境网络本来就这样，找运营商弄专线。

[pureGirl]

@salmon5 我们有专线，只是现在突然连不上了所以奇怪

[salmon5]

@pureGirl 有专线就找专线供应商

[salmon5]

也许是专线供应商的故障呢

[yolee599]

每年各大 APP 的主题颜色变成红色，就是检验互联网稳定性的时候

[dreamage]

@pureGirl #17 问供应商√ 问网友×

[yidev]

敏感时期到了. 过阵子就好了

[sujin190]

@pureGirl #17 中间不通可能时路由配置问题也可能时防火墙问题，反正你也解决不了，确定确实不是双方的问题就好了啊，如果是专线可以问问是不是他们的问题，全都不是，那就只有要么换 ip 要么中间加转发代理了吧

[yinmin]

@pureGirl 跨境有几种方案可选：
1. 使用国内云服务商的有境外节点的 cdn （阿里云有这种产品），外商连接 cdn 境外节点，国内云服务商保障线路稳定

2. 自建境外镜像节点，可以在亚马逊、微软 azure 购买云服务器，然后架设反向代理。境外客户可选这个镜像节点。

3. 使用国外 cdn 服务商，例如 cloudflare 。不太推荐这种。

[tomatocici2333]

你说得那个人大概率是在北京

[yinmin]

显而易见的原因，境内 ip 与境外 ip 互联是不可控的，如果同时有境内业务和境外业务，最佳的方式是同时设置境内 ip 站和境外 ip 站，境内连境内 ip ，境外连境外 ip 。

境内 ip 站与境外 ip 站的互联有很多种方式可选，也可以同时使用不同的互联渠道（例如：ipv4 通道、ipv6 通道 以及不同的互联技术），然后加负载均衡策略，提升互联稳定性。

关键点是：如果由于某些原因境内 ip 站与境外 ip 站阻断，你能第一时间发现，并快速恢复。

[yinmin]

还有，相比国内的云服务商 ip ，专线 ip 更容易被阻断。

[chairuosen]

搞鬼的那个人在开会。
给你指条明路，外网搞台专门跟外商直连的白名单机器，自己连这台机器的路就随意了

[fds]

很正常呀，国内到国外长时间的连接就是可能被中断然后标记，再后面就不好连了。没标记可能是运气好，或者流量特征不达标什么的。有些运营商提供跨境服务。不行就找机场呗。

[zoharSoul]

抽象
还有人搞鬼....

[pureGirl]

@yinmin 用境外云服务器做 vpn 用会涉及违法吗

[yinmin]

@pureGirl 做海外镜像站不违法。镜像站不是 vpn ，也不一定需要使用 vpn 技术。

如果你们的服务是基于 tls （例如 https ），推荐使用 sni proxy 做反向代理，例如：nginx 的 stream 、或者 linux 内置的 sniproxy 。反向代理不解密 tls ，从技术底层保护数据安全。

[pkoukk]

每年两会期间都会把墙加高，时常误伤到普通的国内连国外的正常访问

[yinmin]

@pureGirl 有些地方可以申请到跨境互联网企业专线，也就是无墙专线，就是带宽小价格贵。如果你们的跨境业务流量不大，可以问问当地的电信运营商。

[mhycy]

你的是跨境专线你就问不出这个问题了
显然就是一普通专线和家宽大差不差。
真专线是 IEPL 那种东西，出口不走公网的，自然也不可能阻断。
固定 IP 专线到境外被阻断那是见怪不怪的事情了，电信市内都能阻断别说你跨国
三大都有对应服务，加钱可达。虽说实际服务商是三大转包给专线供应商。
你也可以找服务商，合法合规专做跨境互联。

[by]

哪来的外宾

[IvanLi127]

你的专线是跨境专线吗？如果是的话，两头连专线是通的，那不就是专线挂了吗？如果不是的话，去买吧。中间到底有什么，一点也不重要。

[GeekGao]

很简单的逻辑，对于企业合法合规稳定通讯的需求：

申请合规的跨境专线：✅
自己搭建 vpn 或其他代理手段：❌

[nevermoreluo]

赛博诊断很难，就上面给出的信息其实很有限，猜不出来的。
运维上有个临时解决问题的方案，可以拿客户国家所在地区的云服务器，可以的话直接挂个透明代理，dns 按区域解析。。。
之后再慢慢排查问题，找到问题了，再撤下这个 dns 解析，让请求回来关掉透明代理就好了。

[H97794]

百度,我电脑坏了...
Google,我电脑不能开机...
V2,业务和外商 ip 建立不了网络连接...

[bill110100]

去找你的网络供应商啊，专线更有专门的大客户客服给你服务，找网友问有什么用？

[hackroad]

OP 说了这么多就是不发一个 mtr 的正反图，散了吧。

[tanszhe]

墙加高了

[sampeng]

这题我会。
MTR 。用这个到目标地址。中间那一层断了一目了然。是结合了 tracerouter 和 ping 的工具包，查网络问题的利器。但是有路由隐藏了 ip 好像就进黑洞了。但是我用这个解决过出海业务的网络问题。比如中国移动，突然有一天我们访问不到我们的业务了，我人都麻了，以为是线上炸了。排查了一下还好是 GFW 的问题。mtr 一看，只要是出海就会经过某一个 ip ，给移动的业务经理打了个电话，说了一下情况，我们就能用了。