有公网 IP，但是外网无法访问是怎么回事？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 3006 天前的主题，其中的信息可能已经有所发展或是发生改变。

学校分配了公网 IP ，本打算建个服务器，但是 tcp 一直连不上，无论是 80 ， 22 还是冷门端口。

很奇怪，我想一棍子打死所有 tcp 不现实啊，拿日本的 vps 直接 mtr 可以确定最后一跳跳到了自己的主机。

有什么想法吗？

TCP

公网

VPS

MTR

48 条回复 • 2016-11-13 14:44:26 +08:00

tomoya92

2016-10-05 08:09:12 +08:00

花生壳， ngrok ，路由器（某些）插件

RqPS6rhmP3Nyn3Tm

2016-10-05 08:12:05 +08:00

@liygheart 有公网 IP ，想要绕开中转直接访问

tuimaochang

2016-10-05 08:18:08 +08:00

80 、 8080 端口要向网络服务提供商申请开通

RqPS6rhmP3Nyn3Tm

2016-10-05 08:20:06 +08:00

@tuimaochang 不不不，冷门端口也不通

trepwq

2016-10-05 08:22:51 +08:00 via iPhone

你的公网 ip 应该是在 nat 过的，在透明代理之后，像宽带通这种运营商似的，为了节省网间结算做了代理，你可以看看不同网站，你的 ip 并不是你获取的 ip ，这个只能用内网穿透，或者找个跟你相同网络但是没有透明代理的服务器中转

RqPS6rhmP3Nyn3Tm

2016-10-05 08:29:15 +08:00

@trepwq 我试过了 ipip.net 和 ip138 ，获取的 IP 都是分配下来的地址。因为同时分配了 ipv6 ，所以有些测试网站还显示了我的 ipv6 地址。
这就很奇怪了， UDP 和 ICMP 是通的，只有 TCP time out.

whwq2012

2016-10-05 08:37:44 +08:00 via Android

是不是防火墙的问题呢？比如 centos7 默认不对外开放端口

shiji

2016-10-05 08:41:58 +08:00 via Android

@BXIA 很有可能是学校防火墙规则。。

RqPS6rhmP3Nyn3Tm

2016-10-05 08:43:40 +08:00

@whwq2012
@shiji 我觉得有可能，本机的防火墙已经关了。但是学校一棍子打死所有 tcp 我感觉不现实啊

xfspace

2016-10-05 08:45:11 +08:00 via Android

学校网络打开端口是要申请的。

shiji

2016-10-05 08:57:39 +08:00 via Android

@BXIA 不是打死所有 TCP ，是打死进入校园网而且 TCP 状态是 new 的连接，对于已经建立的连接和你本地建立的新连接放行

ips4k

2016-10-05 09:05:43 +08:00

@shiji 很可能是这样，虽然给了你公网 IP ，但是不让你做服务器，任何服务器都不能做，不仅仅是 web

hack

2016-10-05 09:08:35 +08:00

ngrok

RqPS6rhmP3Nyn3Tm

2016-10-05 09:15:06 +08:00 via iPhone

@shiji 说得有道理……太讨厌了，白高兴一场

shiji

2016-10-05 09:16:48 +08:00

@ips4k 一方面可以防止直接分配公网 IP 造成个人电脑某些没配置好的服务被外界利用，再一个防止私自架设代理服务器。(比如学校图书馆一般都会花大价钱订阅 worldcat 之类的东西，别人未经授权通过代理使用学校 IP 免费访问这些对外界收费的资源是不允许的。)

shiji

2016-10-05 09:17:56 +08:00

@BXIA 学校实验室或者某些机房应该是不受限制的，以后有机会可以去尝试一番。

RqPS6rhmP3Nyn3Tm

2016-10-05 09:22:17 +08:00 via iPhone

@shiji 我等会尝试一下 IPv6 或者 TCP over UDP ，开服之路任重道远

GKLuke

2016-10-05 09:27:04 +08:00

比如，电信能获得公网 IP ，但外网低端口都不同的，差不多一个道理吧。怕你干坏事

xmoiduts

2016-10-05 09:29:11 +08:00 via Android

@shiji 如果想要构建私人代理，这种拒绝入校园网的策略如何穿透？

shiji

2016-10-05 09:41:16 +08:00

@xmoiduts 反向连接到中转服务器。（原理大概就是这样）

RqPS6rhmP3Nyn3Tm

2016-10-05 09:48:14 +08:00 via iPhone

@GKLuke 我这神 tm 上万的端口都不通……

shiji

2016-10-05 09:51:14 +08:00

@BXIA 问问学校的 NOC 吧，这事有风险

mazyi

2016-10-05 10:15:21 +08:00

既然 UDP 通就用 UDP 在里面自己写可靠传输协议的应用层，机会还是很大的，尽量别和学校去说，说不定吧 new 的 UDP 也给断了。

RqPS6rhmP3Nyn3Tm

2016-10-05 10:35:35 +08:00

@mazyi UDP 本来就不可靠啊，上层实现要可靠我觉得有难度。
而且我主要还是想省了租 VPS 的钱，没有 TCP 我要死了……

mazyi

2016-10-05 11:16:52 +08:00

@BXIA 在 UDP 里面实现可靠传输很多的，还可以练手。不过学生租 VPS 也不要很多钱啊，腾讯云 1 块钱，国外的 VPS 也好多几十块一年的。

LGA1150

2016-10-05 11:32:33 +08:00 via Android

@BXIA QUIC?

XiaoxiaoPu

2016-10-05 11:48:03 +08:00 via iPad

@BXIA kcp

itplanes01

2016-10-05 12:10:05 +08:00

交换机做了限制。

imNull

2016-10-05 12:51:56 +08:00

和我们学校一样，是防火墙封了

v9ox

2016-10-05 14:19:45 +08:00

学校那边搞的吧

我实验室台式机插网线搞来当 cs 服务器校外几个基友随便连
实验室笔记本用无线就只能在某个 subnet 里面互通了

去 google 看 ip 形式都是公网

Citrus

2016-10-05 14:38:03 +08:00 via iPhone

教育网你就别想了。学校为了防止资源滥用给你的 IP 外面还有大墙的。想当年为了一个校内服务器开端口费死了劲了。。。

Citrus

2016-10-05 14:38:57 +08:00 via iPhone

还有，一棍子打死所有 TCP 确实不是学校的做法，一般都是一棍子打死所有入站连接 233333

MikuM97

2016-10-05 15:14:54 +08:00

外部发起的 state:new 的连接被屏蔽了吧，我们学校的防火墙我仔细找了，貌似没这个功能，不过 iptables 就能实现的东西……

Eleutherios

2016-10-05 16:02:54 +08:00 via iPhone

@xmoiduts 由校园内机器主动对外发出 TCP 连接？
至于怎么知道发给谁……找个中转机呗

zhaoxiting1997

2016-10-05 16:11:01 +08:00

很正常，在中国很多公网 ip 都不让访问的，之前移动还搞过公网 ip 只允许移动网内访问，联通和电信不行。。。

xiaonengshou

2016-10-05 17:50:11 +08:00

别想了，之前大学也是有公网 ip ，但是防火墙不允许任何端口连进来。

zyqf

2016-10-05 18:11:29 +08:00

telnet 测试下

chunchu

2016-10-05 18:12:21 +08:00

这个问题很早之前我也想问的，后来用 ngrok
解决的

adfsadfssfd

2016-10-05 18:27:41 +08:00

stateful inspection

falcon05

2016-10-05 20:22:42 +08:00 via iPhone

既然有 vps, 可以用 ssh 隧道做远程端口映射

flyfishcn

2016-10-05 20:41:57 +08:00

防火墙禁止非内部主动发起建立连接的端口直接连接，受限制的 nat 。就是这种效果。

qianmeng

2016-10-05 21:11:04 +08:00

防火墙限制了外部主动连接，只允许内部建立连接

pein

2016-10-05 21:55:26 +08:00

你的 ip 是不是 10.什么开头的

Shintaku

2016-10-05 21:57:26 +08:00

自己搭 ngrok 可解+1

jsq2627

2016-10-05 23:31:11 +08:00

校园网？你试试找个国外测 IP 的网站看看还是不是你的公网 IP 。
可能你用的测 IP 网站恰好有教育网节点而已。学校也许对自己的公网 IP 路由只对教育网内广播，而访问教育网外要经过 NAT 。

shiji

2016-10-05 23:33:08 +08:00

@jsq2627
@pein
楼主应该是在加国的某大学

fromdaytonight

2016-10-06 19:28:43 +08:00 via Android

入站连接怎么可能随便放开……

MasterMonkey

2016-11-13 14:44:26 +08:00

表示你的防火墙没有配置好！