{"topic":{"id":717,"title":"网站怎么被封？科普：上网时背后在发生什么","slug":"topic","userId":-1,"categoryId":54,"createdAt":"2023-08-27 00:00:00","bumpedAt":"2024-01-11 11:39:01.303313","views":1903,"postsCount":14,"highestPostNumber":18,"likeCount":27,"closed":false,"pinned":false,"pinnedGlobally":false,"pinnedAt":null,"pinnedUntil":null,"isBanner":false,"excerpt":"tl;dr 桌面端的同学，也可以看看： https://xjtu.app/t/app-v0-0-1-windows-dns/11924/ 在 Chrome 中配置安全 DNS (DNS over HTTPS) 以解决校园网对 xjtu.app 的 DNS 污染和 DNS 劫持问题（哪怕你设置了使用校外的 DNS，依然会给你错误的解析结果）：下载安装 Chrome，若是 Android 可直接点击 Chrome.apk。启用安全 DN…","deletedAt":null,"isAnonymous":false,"isPrivate":false,"isMembersOnly":false,"category":{"id":54,"name":"学术专区","slug":"academic","color":"9EB83B"},"author":{"id":-1,"username":"system","name":"system","avatarUrl":null},"realAuthor":{"id":-1,"username":"system","name":"system","avatarUrl":null},"tags":["internet","tutorial","network","firewall","cybersecurity"]},"posts":[{"id":1416,"postNumber":1,"raw":"## tl;dr\n\n桌面端的同学，也可以看看：\nhttps://xjtu.app/t/app-v0-0-1-windows-dns/11924/\n\n---\n\n\n在 Chrome 中配置**安全 DNS** (DNS over HTTPS) 以解决校园网对 xjtu.app 的 DNS 污染和 DNS 劫持问题（哪怕你设置了使用校外的 DNS，依然会给你错误的解析结果）：\n1. 下载安装 Chrome，若是 Android 可直接点击 [Chrome.apk](https://cf.xjtu.app/learning-materials/apk/Chrome.apk)。\n\n2. 启用安全 DNS。移动端请参考后面的截图。PC 可直接设置中搜索 `DNS`，找到` 安全 DNS` 设置项，复制到导航栏打开：\n```\nchrome://settings/security?search=dns\n```\n\n然后选择 cloud flare（1.1.1.1), 如果不可用，可输入自定安全 DNS URL，有以下多种选择：\n* [Tencent DNSPod 安全 DNS](https://docs.dnspod.cn/public-dns/dot-doh/)：\n```\nhttps://1.12.12.12/dns-query\n```\n\n* [Ali 安全 DNS](https://alidns.com/articles/6018321800a44d0e45e90d71) 的 URL 为：\n```\nhttps://dns.alidns.com/dns-query\n```\n\n（其实还有 1.1.1.1, 9.9.9.9 等多种选择，详情请 Google）\n\n\n Mobile 操作步骤如下：\n隐私与安全 -> 使用安全 DNS -> 另选一个提供商 -> 自定义\n![setup-secure-dns-chrome|690x366](/uploads/image/c3/c4/c3c4a1901330a02e763659377767bc8d9468a9f63d77f3ac970bf748ed6eb82a.avif)\n\n\n---\n\n## 前情提要\n### 症状描述\nhttps://xjtu.app/t/ban/512\n校园网环境下浏览器无法访问本站，而 4G 网络下可以正常访问。\n### 故障排查\n先用`ipconfig /all`查看网络信息（personal information redacted）:\n![ipconfigall|690x410, 75%](/uploads/image/13/fa/13fa381403be861ddd2060de92aebbc77951062ffc76396e31ef1e533a1b2743.avif)\n\n再 `nslookup` 看看这几个校园网自动配置的 DNS 服务器是否能进行正常域名解析：\n```\n[root@ubuntu ~]# nslookup xjtu.app 10.6.39.2\nServer: 10.6.39.2\nAddress: 10.6.39.2#53\n** server can't find xjtu.app: REFUSED\n[root@ubuntu ~]# nslookup xjtu.app 202.117.0.20\nServer: 202.117.0.20(陕西省西安市西安交通大学教育网)\nAddress: 202.117.0.20(陕西省西安市西安交通大学教育网)#53\n** server can't find xjtu.app: REFUSED\n[root@ubuntu ~]# nslookup xjtu.app 1.1.1.1\nServer: 1.1.1.1(AS13335 Cloudflare Inc. 1.1.1.0/24 美国 APNIC&CloudFlare 公共 DNS 服务器)\nAddress: 1.1.1.1(AS13335 Cloudflare Inc. 1.1.1.0/24 美国 APNIC&CloudFlare 公共 DNS 服务器)#53\n** server can't find xjtu.app: REFUSED\n```\n可以看到，校园网默认配置的 DNS 服务器拒绝解析 `xjtu.app`，甚至向校外 1.1.1.1 的解析请求也被劫持从而无法正常解析。然而此时其他域名的解析正常。\n\n下面来看基于 DNS over HTTPS (DoH) 的 localhost DNS 服务器的结果：\n```\n[root@ubuntu ~]# nslookup xjtu.app 127.0.0.1\nServer: 127.0.0.1\nAddress: 127.0.0.1#53\nNon-authoritative answer:\nName: xjtu.app\nAddress: 104.21.47.144(美国 CloudFlare 节点)\nName: xjtu.app\nAddress: 172.67.171.83(美国 CloudFlare 节点)\nName: xjtu.app\nAddress: 2606:4700:3030::ac43:ab53(全球 Cloudflare Inc Anycast 网段)\nName: xjtu.app\nAddress: 2606:4700:3036::6815:2f90(全球 Cloudflare Inc Anycast 网段)\n```\n所以答案很简单，DNS 污染。\n\n## 当你浏览器键入 xjtu.app 域名的时候后台在发生什么\n### 域名到 IP 的转换（DNS 解析）\n* 浏览器会自动把你输入的补全成 `https://xjtu.app`（如果域名在 [HSTS preload list](https://hstspreload.org/?domain=xjtu.app) 里，有些浏览器会补全成 `https://xjtu.app`）。\n* 做 DNS 解析，查询域名对应的 IP。\n * 对于配置了 [`network.trr.mode=3 或 2`](https://wiki.mozilla.org/Trusted_Recursive_Resolver) 的 [Firefox](https://www.mozilla.org/en-US/firefox/all/#product-desktop-release)，会通过 HTTPS 进行加密的解析\n * 对于一般的浏览器，会通过操作系统配置的 DNS 进行解析，如果 DNS 的 IP 不在本机，那么查询请求会以明文的形式在网络上传播，中间的任何一个节点都可以窥探并篡改到你查询的域名。\n例如假设你要到 `8.8.8.8` 这个 DNS 服务器上查询：\n ```\n[root@ubuntu ~]# traceroute 8.8.8.8\ntraceroute to 8.8.8.8(美国加利福尼亚州圣克拉拉县山景市谷歌公司 DNS 服务器), 30 hops max, 60 byte packets\n 1 \n 2 \n 3 \n 4 \n 5 \n 6 206.72.211.148.any2ix.coresite.com (206.72.211.148(美国加利福尼亚州洛杉矶 CoreSite Any2Exchange)) 9.922 ms 10.65.1.237 (10.65.1.237) 0.494 ms 206.72.211.148.any2ix.coresite.com (206.72.211.148(美国加利福尼亚州洛杉矶 CoreSite Any2Exchange)) 10.051 ms\n 7 108.170.247.129(美国加利福尼亚州圣克拉拉县山景市谷歌公司) 10.973 ms 108.170.247.161(美国加利福尼亚州圣克拉拉县山景市谷歌公司) 11.184 ms 206.72.211.148.any2ix.coresite.com (206.72.211.148(美国加利福尼亚州洛杉矶 CoreSite Any2Exchange)) 9.967 ms\n 8 108.170.247.161(美国加利福尼亚州圣克拉拉县山景市谷歌公司) 11.043 ms 108.170.247.129(美国加利福尼亚州圣克拉拉县山景市谷歌公司) 10.733 ms 142.251.60.99(美国加利福尼亚州圣克拉拉县山景市谷歌公司) 9.712 ms\n 9 dns.google (8.8.8.8(美国加利福尼亚州圣克拉拉县山景市谷歌公司 DNS 服务器)) 9.963 ms 10.838 ms 9.971 ms\n```\n那么从 `1` 到 `9` 的所有 IP 上的主机都能看到并篡改这个域名的 DNS 查询结果，一般是 IP。所以在这个环节*污染*正常的 DNS 解析过程，让你获取不到正确的 IP，即可*封网站*。\n\n对于这种最低级的方法，**解决方案**有很多：\n* 更换网络环境\n* 安装 DNS over HTTPS (DoH) 软件，例如 [Cloudflare 1.1.1.1](https://1.1.1.1/), [dnscrypt-proxy](https://github.com/DNSCrypt/dnscrypt-proxy)。\n* 修改电脑的 hosts 文件，例如：\n```/etc/hosts\n xjtu.app\n\n```\n注意，请用 `nslookup` / `ping` / 获取最新 IP，替换 ``。\n~~如果你有 IPv6 的话也可以加上下面一行\n2604:a880:4:1d0::305:e000 xjtu.app~~\n\n### 通过传输协议 HTTP(S) 向位于该 IP 的 (Web) 服务器请求内容\n0. 首次访问本站时，对于 HTTP 请求，由于 HTTP 是不安全的，跟 DNS 类似，传输路径上的任何主机都看到并篡改你的访问请求和返回的内容，例如这是一个 Web 服务器的日志：\n```\n127.0.0.1 - - [05/Jun/2023:20:36:10 +0800] \"GET /http/transfer/is/naked HTTP/1.1\" 404 385 \"\" \"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.0.0 Safari/537.36\"\n```\n 提示你的请求至少泄露了这些信息：\n * 你请求的路径 `/http/transfer/is/naked`\n * 你的 IP：`127.0.0.1`\n * 你的浏览器的 User Agent 信息：`Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.0.0 Safari/537.36`\n\n由于 HTTP 非常不安全，负责地配置的服务器一般会向浏览器回复这样的内容：\n```\n\n301 Moved\n

301 Moved

\nThe document has moved\nhere.\n\n```\n提示浏览器改用 HTTPS 协议。\n\n在这个环节*封网站*也很简单，随便篡改响应头，返回*404*之类的。\n**解决方案**是使用现代浏览器，或者人工输入域名前面的 http**s**。\n\n1. 由于本站加入了 HTTPS 预加载列表， [Chrome, Firefox, Safari, Edge](https://caniuse.com/stricttransportsecurity) 会自动且只能采用 HTTPS 连接本站，无需上一步的过程且必须验证 SSL 证书的正确性。\n2. 要在服务器和浏览器之间建立端到端加密的 HTTPS 连接，必须进行 [TLS 握手](https://www.cloudflare.com/learning/ssl/what-happens-in-a-tls-handshake/)，需要两者来回发送几次数据，下面是 CloudFlare 画的一张示意图：\n\n![](/uploads/image/5f/c7/5fc73f5ed2b837a584078eafdb4d98b0596744086d40c956d8607d0be150e4a5.avif)\n中间的过程涉及公私钥非对称加密的内容，[比较复杂](https://program-think.blogspot.com/2014/11/https-ssl-tls-0.html)，这里只谈怎么在这个环节*封网站*。\n\nTLS 握手时，浏览器向服务器发送的客户端 Hello 包含 [Server Name Indication (SNI)](https://www.cloudflare.com/learning/ssl/what-is-sni/)，这时你要访问的网站的域名可以被传输路径中途的主机窥探到。\n比如你的浏览器地址栏是 `https://subdomain.xjtu.app/my/little/secret`，那么路径中的主机知道你想访问 `subdomain.xjtu.app` 这个域名（但是不知道你请求的路径 `/my/little/secret`）。通过 TLS 的这个缺陷可以*封网站*。\n\n**解决方案**：\n让中间主机无法看到你访问的域名。比如使用 [加密/安全 SNI](https://www.cloudflare.com/learning/ssl/what-is-encrypted-sni/)，或者更先进的 [加密客户端 Hello (ECH)](https://blog.cloudflare.com/handshake-encryption-endgame-an-ech-update/)，或者把你的网络流量包在其他协议里。\n可以到 [这个网站](https://www.cloudflare.com/zh-cn/ssl/encrypted-sni/#esni-checker) 测试你的浏览器支持哪些安全功能。\n\n在 TLS 握手的过程中，网站会发送证明身份的证书给浏览器，TLS1.2 协议不加密证书，而证书会泄露域名信息，**解决方案**是：采取激进的 TLS 设置，只使用 TLS1.3，不支持 TLS1.2。\n\n另外，如果传输路径上有干扰，把服务器返回的流量给篡改了，比如返回的证书的 CA 不受信任，或者域名不是你请求访问的域名，$ \\ldots\\ldots $，那么也会失败，通过这个也可以封网站。解决方案只有*把你的网络流量包在其他协议里*。\n\n3. 在 TLS 握手成功后，进行 HTTPS 流量传输，这时候中间路径上的主机只能看到你和远方的服务器之间传输加密流量，可知的只有你们双方的 IP 和端口号。\n要*封网站*，只需中间路径上的主机把数据包全给扔掉。\n可以选择性封锁，常见的比如封锁某些 IP 到你的所有流量，或者某些端口，或者某些协议如 UDP 的流量。\n\n**解决方法**：\n* 对于服务器：使用大公司的 CDN 服务，即：要么不封 IP，只要封就把这个 CDN 服务商的所有 IP 给封了。\n* *把你的网络流量包在其他协议里*。","cooked":"

tl;dr

桌面端的同学，也可以看看：

\n $\"anonymous_coward_old\"$ \n anonymous_coward_old — #1 in 桌面 App 已释出 v0.0.1 版本，请 Windows 用户务必使用，可对抗 DNS 污染并加速网站的访问\n

deprecated, please use tauri-based app:

https://xjtu.app/t/topic/14216

not working any more

下载地址：

Windows 用户：（436M）
\nhttps://xjtu.app/xjtumen-g/xjtumen-app-v0.0.1.exe
\n或：
\nhttps://cf.xjtu.app/xjtumen-g/xjtumen-app-v0.0.1.exe
\nSHA256SUMS

a1e950ed9be8b3c1981af94f4944a6d3dc8923e011dcab01189c3ff5f8d45df7  xjtumen-app-v0.0.1.exe\n

Linux 用户：（515M）
\nhttps://xjtu.app/xjtumen-g/xjtumen-electron-0.0.1.AppImage
\n或：
\nhttps://cf.xjtu.app/xjtumen-g/xjtumen-electron-0.0.1.AppImage
\nSHA256SUMS

acc945b44201fc20da1a6ff379063323f3ab5703e1a634f331e0107d30442e45  xjtumen-electron-0.0.1.AppImage\n

源码：

https://github.com/xjtumen/xjtumen-electron
\n基于 Electron，欢迎 Hack。
\n其实我更希望后续用 tauri，因为 tauri 的二进制文件只有几 M～十几 M，而 Electron 有 400M+：
\nhttps://xjtu.app/t/tauri/11882

是如何实现对抗 DNS 污染并加速网站的访问的？

程序通过一个（使用 BBR 拥塞控制的 QUIC）隧道连到服务器

反馈

请在底下反馈任何 bug，feature request

在 Chrome 中配置安全 DNS (DNS over HTTPS) 以解决校园网对 xjtu.app 的 DNS 污染和 DNS 劫持问题（哪怕你设置了使用校外的 DNS，依然会给你错误的解析结果）：

\n
下载安装 Chrome，若是 Android 可直接点击 Chrome.apk。
\n
\n
启用安全 DNS。移动端请参考后面的截图。PC 可直接设置中搜索 DNS，找到 安全 DNS 设置项，复制到导航栏打开：
\n

chrome://settings/security?search=dns\n

然后选择 cloud flare（1.1.1.1), 如果不可用，可输入自定安全 DNS URL，有以下多种选择：

Tencent DNSPod 安全 DNS：

https://1.12.12.12/dns-query\n

Ali 安全 DNS 的 URL 为：

https://dns.alidns.com/dns-query\n

（其实还有 1.1.1.1, 9.9.9.9 等多种选择，详情请 Google）

Mobile 操作步骤如下：
\n隐私与安全 -> 使用安全 DNS -> 另选一个提供商 -> 自定义
\n $\"setup-secure-dns-chrome\"$

前情提要

症状描述

\n\n校园网环境下浏览器无法访问本站，而 4G 网络下可以正常访问。\n### 故障排查\n先用`ipconfig /all`查看网络信息（personal information redacted）:\n![ipconfigall|690x410, 75%](/uploads/image/13/fa/13fa381403be861ddd2060de92aebbc77951062ffc76396e31ef1e533a1b2743.avif)\n

再 nslookup 看看这几个校园网自动配置的 DNS 服务器是否能进行正常域名解析：

[root@ubuntu ~]# nslookup xjtu.app 10.6.39.2\nServer:         10.6.39.2\nAddress:        10.6.39.2#53\n** server can't find xjtu.app: REFUSED\n[root@ubuntu ~]# nslookup xjtu.app 202.117.0.20\nServer:         202.117.0.20(陕西省西安市西安交通大学教育网)\nAddress:        202.117.0.20(陕西省西安市西安交通大学教育网)#53\n** server can't find xjtu.app: REFUSED\n[root@ubuntu ~]# nslookup xjtu.app 1.1.1.1\nServer:         1.1.1.1(AS13335 Cloudflare  Inc. 1.1.1.0/24 美国 APNIC&CloudFlare 公共 DNS 服务器)\nAddress:        1.1.1.1(AS13335 Cloudflare  Inc. 1.1.1.0/24 美国 APNIC&CloudFlare 公共 DNS 服务器)#53\n** server can't find xjtu.app: REFUSED\n

可以看到，校园网默认配置的 DNS 服务器拒绝解析 xjtu.app，甚至向校外 1.1.1.1 的解析请求也被劫持从而无法正常解析。然而此时其他域名的解析正常。

下面来看基于 DNS over HTTPS (DoH) 的 localhost DNS 服务器的结果：

[root@ubuntu ~]# nslookup xjtu.app 127.0.0.1\nServer:         127.0.0.1\nAddress:        127.0.0.1#53\nNon-authoritative answer:\nName:   xjtu.app\nAddress: 104.21.47.144(美国 CloudFlare 节点)\nName:   xjtu.app\nAddress: 172.67.171.83(美国 CloudFlare 节点)\nName:   xjtu.app\nAddress: 2606:4700:3030::ac43:ab53(全球 Cloudflare Inc Anycast 网段)\nName:   xjtu.app\nAddress: 2606:4700:3036::6815:2f90(全球 Cloudflare Inc Anycast 网段)\n

所以答案很简单，DNS 污染。

当你浏览器键入 xjtu.app 域名的时候后台在发生什么

域名到 IP 的转换（DNS 解析）

浏览器会自动把你输入的补全成 https://xjtu.app（如果域名在 HSTS preload list 里，有些浏览器会补全成 https://xjtu.app）。
做 DNS 解析，查询域名对应的 IP。\n
- 对于配置了 network.trr.mode=3 或 2 的 Firefox，会通过 HTTPS 进行加密的解析
- 对于一般的浏览器，会通过操作系统配置的 DNS 进行解析，如果 DNS 的 IP 不在本机，那么查询请求会以明文的形式在网络上传播，中间的任何一个节点都可以窥探并篡改到你查询的域名。
  \n例如假设你要到 8.8.8.8 这个 DNS 服务器上查询：
\n

[root@ubuntu ~]# traceroute 8.8.8.8\ntraceroute to 8.8.8.8(美国加利福尼亚州圣克拉拉县山景市谷歌公司 DNS 服务器), 30 hops max, 60 byte packets\n1  <redacted>\n2  <redacted>\n3  <redacted>\n4  <redacted>\n5  <redacted>\n6  206.72.211.148.any2ix.coresite.com (206.72.211.148(美国加利福尼亚州洛杉矶 CoreSite Any2Exchange))  9.922 ms 10.65.1.237 (10.65.1.237)  0.494 ms 206.72.211.148.any2ix.coresite.com (206.72.211.148(美国加利福尼亚州洛杉矶 CoreSite Any2Exchange))  10.051 ms\n7  108.170.247.129(美国加利福尼亚州圣克拉拉县山景市谷歌公司) 10.973 ms 108.170.247.161(美国加利福尼亚州圣克拉拉县山景市谷歌公司) 11.184 ms 206.72.211.148.any2ix.coresite.com (206.72.211.148(美国加利福尼亚州洛杉矶 CoreSite Any2Exchange))  9.967 ms\n8  108.170.247.161(美国加利福尼亚州圣克拉拉县山景市谷歌公司)  11.043 ms 108.170.247.129(美国加利福尼亚州圣克拉拉县山景市谷歌公司)  10.733 ms 142.251.60.99(美国加利福尼亚州圣克拉拉县山景市谷歌公司)   9.712 ms\n9  dns.google (8.8.8.8(美国加利福尼亚州圣克拉拉县山景市谷歌公司 DNS 服务器))  9.963 ms  10.838 ms  9.971 ms\n

那么从 1 到 9 的所有 IP 上的主机都能看到并篡改这个域名的 DNS 查询结果，一般是 IP。所以在这个环节污染正常的 DNS 解析过程，让你获取不到正确的 IP，即可封网站。

对于这种最低级的方法，解决方案有很多：

更换网络环境
安装 DNS over HTTPS (DoH) 软件，例如 Cloudflare 1.1.1.1, dnscrypt-proxy。
修改电脑的 hosts 文件，例如：

<IP>  xjtu.app\n\n

注意，请用 nslookup / ping / https://bgp.he.net/dns/xjtu.app#_ipinfo 获取最新 IP，替换 <IP>。
\n如果你有 IPv6 的话也可以加上下面一行
\n2604:a880:4:1d0::305:e000 xjtu.app

通过传输协议 HTTP(S) 向位于该 IP 的 (Web) 服务器请求内容

首次访问本站时，对于 HTTP 请求，由于 HTTP 是不安全的，跟 DNS 类似，传输路径上的任何主机都看到并篡改你的访问请求和返回的内容，例如这是一个 Web 服务器的日志：

127.0.0.1 - - [05/Jun/2023:20:36:10 +0800] \"GET /http/transfer/is/naked HTTP/1.1\" 404 385 \"\" \"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.0.0 Safari/537.36\"\n

提示你的请求至少泄露了这些信息：

你请求的路径 /http/transfer/is/naked
你的 IP：127.0.0.1
你的浏览器的 User Agent 信息：Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.0.0 Safari/537.36

由于 HTTP 非常不安全，负责地配置的服务器一般会向浏览器回复这样的内容：

<HTML><HEAD><meta http-equiv=\"content-type\" content=\"text/html;charset=utf-8\">\n<TITLE>301 Moved</TITLE></HEAD><BODY>\n<H1>301 Moved</H1>\nThe document has moved\n<A HREF=\"https://xjtu.app/\">here</A>.\n</BODY></HTML>\n

提示浏览器改用 HTTPS 协议。

在这个环节封网站也很简单，随便篡改响应头，返回404之类的。
\n解决方案是使用现代浏览器，或者人工输入域名前面的 https。

由于本站加入了 HTTPS 预加载列表， Chrome, Firefox, Safari, Edge 会自动且只能采用 HTTPS 连接本站，无需上一步的过程且必须验证 SSL 证书的正确性。
要在服务器和浏览器之间建立端到端加密的 HTTPS 连接，必须进行 TLS 握手，需要两者来回发送几次数据，下面是 CloudFlare 画的一张示意图：

$\"\"$
\n中间的过程涉及公私钥非对称加密的内容，比较复杂，这里只谈怎么在这个环节封网站。

TLS 握手时，浏览器向服务器发送的客户端 Hello 包含 Server Name Indication (SNI)，这时你要访问的网站的域名可以被传输路径中途的主机窥探到。
\n比如你的浏览器地址栏是 https://subdomain.xjtu.app/my/little/secret，那么路径中的主机知道你想访问 subdomain.xjtu.app 这个域名（但是不知道你请求的路径 /my/little/secret）。通过 TLS 的这个缺陷可以封网站。

解决方案：
\n让中间主机无法看到你访问的域名。比如使用加密/安全 SNI，或者更先进的加密客户端 Hello (ECH)，或者把你的网络流量包在其他协议里。
\n可以到这个网站测试你的浏览器支持哪些安全功能。

在 TLS 握手的过程中，网站会发送证明身份的证书给浏览器，TLS1.2 协议不加密证书，而证书会泄露域名信息，解决方案是：采取激进的 TLS 设置，只使用 TLS1.3，不支持 TLS1.2。

另外，如果传输路径上有干扰，把服务器返回的流量给篡改了，比如返回的证书的 CA 不受信任，或者域名不是你请求访问的域名，$ \\ldots\\ldots $，那么也会失败，通过这个也可以封网站。解决方案只有把你的网络流量包在其他协议里。

在 TLS 握手成功后，进行 HTTPS 流量传输，这时候中间路径上的主机只能看到你和远方的服务器之间传输加密流量，可知的只有你们双方的 IP 和端口号。
\n要封网站，只需中间路径上的主机把数据包全给扔掉。
\n可以选择性封锁，常见的比如封锁某些 IP 到你的所有流量，或者某些端口，或者某些协议如 UDP 的流量。

解决方法：

对于服务器：使用大公司的 CDN 服务，即：要么不封 IP，只要封就把这个 CDN 服务商的所有 IP 给封了。
把你的网络流量包在其他协议里。

\n","createdAt":"2023-08-27 00:00:00","updatedAt":"2025-08-22 01:46:42.355331","replyToPostNumber":null,"replyCount":0,"likeCount":12,"wordCount":2225,"liked":false,"bookmarked":false,"polls":[],"reactions":[{"reaction":"👍️","count":1,"users":[{"id":95,"username":"Zforward","name":null}],"hasReacted":false},{"reaction":"👏️","count":1,"users":[{"id":266,"username":"XLX","name":"阿斯巴甜（含苯丙氨酸）"}],"hasReacted":false},{"reaction":"❤️","count":12,"users":[{"id":20,"username":"QuantumAssHitter","name":"量子打屁手"},{"id":31,"username":"TsuinoSora","name":null},{"id":61,"username":"valieo","name":null},{"id":93,"username":"copi","name":null},{"id":154,"username":"Aadmin","name":null},{"id":175,"username":"argmin","name":null},{"id":346,"username":"hoist","name":null},{"id":1047,"username":"anonymous_coward_old","name":"Anonymous Coward Old"},{"id":1243,"username":"czworldy","name":"viv"},{"id":1819,"username":"Thevenin","name":"交大金猫"},{"id":2913,"username":"kobayashi","name":null},{"id":5151,"username":"Soyo34325","name":"Soyo34325"}],"hasReacted":false}],"wiki":false,"version":28,"publicVersion":28,"deletedAt":null,"isAnonymous":false,"user":{"id":-1,"username":"system","name":"system","avatarUrl":null,"admin":true,"moderator":true,"signatureRaw":null,"signatureCooked":null}},{"id":1424,"postNumber":2,"raw":"封网站不要紧，因为我有梯子。可是对于新手用户来说注册和使用门槛增大，网站就无法拓展流量，没有新用户，网站的发展受限。只使用 4g 网增大了不便，后面站方如何破局？","cooked":"

封网站不要紧，因为我有梯子。可是对于新手用户来说注册和使用门槛增大，网站就无法拓展流量，没有新用户，网站的发展受限。只使用 4g 网增大了不便，后面站方如何破局？

\n","createdAt":"2023-08-27 00:16:13.979628","updatedAt":"2023-08-27 00:16:13.979628","replyToPostNumber":null,"replyCount":2,"likeCount":2,"wordCount":78,"liked":false,"bookmarked":false,"polls":[],"reactions":[{"reaction":"❤️","count":2,"users":[{"id":513,"username":"Grazure","name":"灰蓝天"},{"id":5151,"username":"Soyo34325","name":"Soyo34325"}],"hasReacted":false}],"wiki":false,"version":1,"publicVersion":1,"deletedAt":null,"isAnonymous":false,"user":{"id":62,"username":"Trump","name":"特朗普","avatarUrl":"/uploads/image/7e/7c/7e7caa0d27f5be20cc6375442d8116e5d8c3aaa6b71c26f787a93752032c0fed.avif","admin":false,"moderator":false,"signatureRaw":null,"signatureCooked":null}},{"id":1438,"postNumber":3,"raw":"我无所谓 :rofl:，让子弹飞一会，顺其自然吧。","cooked":"

我无所谓 🤣，让子弹飞一会，顺其自然吧。

\n","createdAt":"2023-08-27 00:50:52.684448","updatedAt":"2024-03-17 03:58:29.459994","replyToPostNumber":2,"replyCount":0,"likeCount":2,"wordCount":18,"liked":false,"bookmarked":false,"polls":[],"reactions":[{"reaction":"❤️","count":2,"users":[{"id":2899,"username":"wing","name":"wingqwq"},{"id":5151,"username":"Soyo34325","name":"Soyo34325"}],"hasReacted":false}],"wiki":false,"version":2,"publicVersion":2,"deletedAt":null,"isAnonymous":false,"user":{"id":1047,"username":"anonymous_coward_old","name":"Anonymous Coward Old","avatarUrl":"/uploads/image/43/32/4332638c11248b8ff07033c11de0759a55205facfbec85e14458245a91991faf.avif","admin":false,"moderator":false,"signatureRaw":null,"signatureCooked":null}},{"id":1444,"postNumber":4,"raw":"其实当成用户筛选也好，个人感觉掌握工具的大学生群体的整体网络素质还是相对较高的\n\nmod：将“群体”改为“大学生群体”","cooked":"

其实当成用户筛选也好，个人感觉掌握工具的大学生群体的整体网络素质还是相对较高的

mod：将“群体”改为“大学生群体”

\n","createdAt":"2023-08-27 01:07:43.679587","updatedAt":"2023-08-27 01:07:43.679587","replyToPostNumber":2,"replyCount":2,"likeCount":0,"wordCount":54,"liked":false,"bookmarked":false,"polls":[],"reactions":[],"wiki":false,"version":2,"publicVersion":2,"deletedAt":null,"isAnonymous":false,"user":{"id":299,"username":"sola","name":null,"avatarUrl":null,"admin":false,"moderator":false,"signatureRaw":null,"signatureCooked":null}},{"id":1450,"postNumber":5,"raw":"啊？我不认同，你看 twitter 评论区都是些什么货色啊，要么黄推，要么。。。 :rofl:","cooked":"

啊？我不认同，你看 twitter 评论区都是些什么货色啊，要么黄推，要么。。。 🤣

\n","createdAt":"2023-08-27 01:18:01.212374","updatedAt":"2023-08-27 01:18:01.212374","replyToPostNumber":4,"replyCount":1,"likeCount":1,"wordCount":31,"liked":false,"bookmarked":false,"polls":[],"reactions":[{"reaction":"❤️","count":1,"users":[{"id":3219,"username":"qtr","name":"qtr"}],"hasReacted":false}],"wiki":false,"version":1,"publicVersion":1,"deletedAt":null,"isAnonymous":false,"user":{"id":334,"username":"Mr.President","name":"总统先生","avatarUrl":null,"admin":false,"moderator":false,"signatureRaw":null,"signatureCooked":null}},{"id":1453,"postNumber":6,"raw":"改了下（），推特的问题在于沉默螺旋，那些涩政博主借助墙已经完成了粉丝筛选，至少我关注的一些同学 and 小博主还是很能发表观点的\n\nmod：PS：居然能看到：“正在回复...”的提示，这个站给我带来的惊喜越来越多了 wwww","cooked":"

改了下（），推特的问题在于沉默螺旋，那些涩政博主借助墙已经完成了粉丝筛选，至少我关注的一些同学 and 小博主还是很能发表观点的

mod：PS：居然能看到：“正在回复...”的提示，这个站给我带来的惊喜越来越多了 wwww

\n","createdAt":"2023-08-27 01:27:29.20932","updatedAt":"2023-08-27 01:27:29.20932","replyToPostNumber":5,"replyCount":1,"likeCount":2,"wordCount":90,"liked":false,"bookmarked":false,"polls":[],"reactions":[{"reaction":"❤️","count":2,"users":[{"id":1047,"username":"anonymous_coward_old","name":"Anonymous Coward Old"},{"id":3219,"username":"qtr","name":"qtr"}],"hasReacted":false}],"wiki":false,"version":1,"publicVersion":1,"deletedAt":null,"isAnonymous":false,"user":{"id":299,"username":"sola","name":null,"avatarUrl":null,"admin":false,"moderator":false,"signatureRaw":null,"signatureCooked":null}},{"id":1456,"postNumber":7,"raw":"本站主打用户体验，最近我增加了好多功能，请看：\n\nhttps://xjtu.app/t/topic/127/8\n\n有新的需求请联系我，我尽可能满足","cooked":"

本站主打用户体验，最近我增加了好多功能，请看：

/t/topic/127/8

有新的需求请联系我，我尽可能满足

\n","createdAt":"2023-08-27 01:30:50.402742","updatedAt":"2024-03-17 03:58:29.550471","replyToPostNumber":6,"replyCount":0,"likeCount":0,"wordCount":40,"liked":false,"bookmarked":false,"polls":[],"reactions":[],"wiki":false,"version":2,"publicVersion":2,"deletedAt":null,"isAnonymous":false,"user":{"id":1047,"username":"anonymous_coward_old","name":"Anonymous Coward Old","avatarUrl":"/uploads/image/43/32/4332638c11248b8ff07033c11de0759a55205facfbec85e14458245a91991faf.avif","admin":false,"moderator":false,"signatureRaw":null,"signatureCooked":null}},{"id":1457,"postNumber":8,"raw":"那一些对技术不怎么感兴趣的优质用户，尤其是对技术不热衷的 XJTU 女生来说增加了难度，本站用户群体将性别差异巨大","cooked":"

那一些对技术不怎么感兴趣的优质用户，尤其是对技术不热衷的 XJTU 女生来说增加了难度，本站用户群体将性别差异巨大

\n","createdAt":"2023-08-27 01:31:24.379719","updatedAt":"2023-08-27 01:31:24.379719","replyToPostNumber":4,"replyCount":2,"likeCount":4,"wordCount":52,"liked":false,"bookmarked":false,"polls":[],"reactions":[{"reaction":"❤️","count":4,"users":[{"id":154,"username":"Aadmin","name":null},{"id":513,"username":"Grazure","name":"灰蓝天"},{"id":873,"username":"Jerrfei","name":"Jerrfei"},{"id":3219,"username":"qtr","name":"qtr"}],"hasReacted":false}],"wiki":false,"version":1,"publicVersion":1,"deletedAt":null,"isAnonymous":false,"user":{"id":334,"username":"Mr.President","name":"总统先生","avatarUrl":null,"admin":false,"moderator":false,"signatureRaw":null,"signatureCooked":null}},{"id":1458,"postNumber":9,"raw":"为啥啊，手机 4G, 5G 用得正常得很。\n我们这网站好像也没干啥事，不知怎的校园网 DNS 服务抽风","cooked":"

为啥啊，手机 4G, 5G 用得正常得很。
\n我们这网站好像也没干啥事，不知怎的校园网 DNS 服务抽风

\n","createdAt":"2023-08-27 01:33:55.395084","updatedAt":"2024-03-17 03:58:29.638931","replyToPostNumber":8,"replyCount":1,"likeCount":0,"wordCount":40,"liked":false,"bookmarked":false,"polls":[],"reactions":[],"wiki":false,"version":2,"publicVersion":2,"deletedAt":null,"isAnonymous":false,"user":{"id":1047,"username":"anonymous_coward_old","name":"Anonymous Coward Old","avatarUrl":"/uploads/image/43/32/4332638c11248b8ff07033c11de0759a55205facfbec85e14458245a91991faf.avif","admin":false,"moderator":false,"signatureRaw":null,"signatureCooked":null}},{"id":1479,"postNumber":11,"raw":"校园网后台应该有人工检测，故意搞的","cooked":"

校园网后台应该有人工检测，故意搞的

\n","createdAt":"2023-08-27 02:00:16.607756","updatedAt":"2023-08-27 02:00:16.607756","replyToPostNumber":9,"replyCount":0,"likeCount":1,"wordCount":17,"liked":false,"bookmarked":false,"polls":[],"reactions":[{"reaction":"❤️","count":1,"users":[{"id":3219,"username":"qtr","name":"qtr"}],"hasReacted":false}],"wiki":false,"version":1,"publicVersion":1,"deletedAt":null,"isAnonymous":false,"user":{"id":154,"username":"Aadmin","name":null,"avatarUrl":null,"admin":false,"moderator":false,"signatureRaw":null,"signatureCooked":null}},{"id":2711,"postNumber":14,"raw":"deleted","cooked":"

deleted

\n","createdAt":"2023-08-27 08:41:50.338411","updatedAt":"2023-09-21 04:39:13.593557","replyToPostNumber":null,"replyCount":1,"likeCount":0,"wordCount":1,"liked":false,"bookmarked":false,"polls":[],"reactions":[],"wiki":false,"version":3,"publicVersion":3,"deletedAt":null,"isAnonymous":false,"user":{"id":446,"username":"anon96245281","name":null,"avatarUrl":null,"admin":false,"moderator":false,"signatureRaw":null,"signatureCooked":null}},{"id":2712,"postNumber":15,"raw":"要想人不知除非己莫为，要做守法好公民啦","cooked":"

要想人不知除非己莫为，要做守法好公民啦

\n","createdAt":"2023-08-27 08:41:50.338411","updatedAt":"2024-03-17 03:58:29.707407","replyToPostNumber":14,"replyCount":0,"likeCount":0,"wordCount":19,"liked":false,"bookmarked":false,"polls":[],"reactions":[],"wiki":false,"version":1,"publicVersion":1,"deletedAt":null,"isAnonymous":false,"user":{"id":1047,"username":"anonymous_coward_old","name":"Anonymous Coward Old","avatarUrl":"/uploads/image/43/32/4332638c11248b8ff07033c11de0759a55205facfbec85e14458245a91991faf.avif","admin":false,"moderator":false,"signatureRaw":null,"signatureCooked":null}},{"id":21062,"postNumber":16,"raw":"女生翻墙的也不少……只是交大门这个网站宣传比较少，我都忘了我当初从哪个犄角旮旯的地方知道它的。","cooked":"

女生翻墙的也不少……只是交大门这个网站宣传比较少，我都忘了我当初从哪个犄角旮旯的地方知道它的。

\n","createdAt":"2024-01-02 02:46:07.440403","updatedAt":"2024-01-02 02:46:07.440403","replyToPostNumber":8,"replyCount":0,"likeCount":2,"wordCount":46,"liked":false,"bookmarked":false,"polls":[],"reactions":[{"reaction":"❤️","count":2,"users":[{"id":1811,"username":"Time_Limit_Exceed","name":null},{"id":3219,"username":"qtr","name":"qtr"}],"hasReacted":false}],"wiki":false,"version":1,"publicVersion":1,"deletedAt":null,"isAnonymous":false,"user":{"id":1908,"username":"SunshineRose","name":"阳光玫瑰","avatarUrl":"/uploads/image/3c/c7/3cc7ba6c1fc993cb04503ab34662df3ae51cee9a5a59febb4c5a3debfe63b7f7.avif","admin":false,"moderator":false,"signatureRaw":null,"signatureCooked":null}},{"id":21620,"postNumber":18,"raw":"写的不行，看看人家的\n\n\nhttps://nova.moe/rethink-type-url-dns/","cooked":"

写的不行，看看人家的

\n","createdAt":"2024-01-11 11:39:01.303313","updatedAt":"2024-01-11 11:39:29.132053","replyToPostNumber":null,"replyCount":0,"likeCount":1,"wordCount":11,"liked":false,"bookmarked":false,"polls":[],"reactions":[{"reaction":"❤️","count":1,"users":[{"id":3219,"username":"qtr","name":"qtr"}],"hasReacted":false}],"wiki":false,"version":1,"publicVersion":1,"deletedAt":null,"isAnonymous":false,"user":{"id":1047,"username":"anonymous_coward_old","name":"Anonymous Coward Old","avatarUrl":"/uploads/image/43/32/4332638c11248b8ff07033c11de0759a55205facfbec85e14458245a91991faf.avif","admin":false,"moderator":false,"signatureRaw":null,"signatureCooked":null}}],"hasMore":false,"lastReadPostNumber":1,"hasUrlPostNumber":false}