近期国内访问 Youtube 异常的分析

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

已注册用户请登录

这是一个创建于 3039 天前的主题，其中的信息可能已经有所发展或是发生改变。

最近由于 YOUTUBE 改了 IP 检测方式，如果 UDP 和 TCP 的 IP 发送不一致，则判定为非法流量
正好谷歌浏览器的 QUIC 发送方式是 UDP+TCP，你的科学上网一般只转发了 TCP 部分，而 UDP 是直连……

那么这时候，你就懂了，为什么被判定了

路由器想看 YOUTUBE，请开启游戏模式(此模式可以转发 UDP 包)；
电脑想看，你想办法转发 UDP 部分；
安卓手机，请开启 UP 转发；

如果你的科学上网不支持 UDP 转发，那么，你可以考虑洗洗睡了。

本人是以谷歌浏览器为样本，并且所有设定使用默认设定来测试的。
你觉得你用其它浏览器没问题，或者修改过关闭 QUIC，或者还有其它的，请绕路，不要直接喷人。

完结……

132 条回复 2017-06-26 00:30:03 +08:00

1 2

myliyifei

2017-06-17 20:33:34 +08:00 via Android

google 的 ip 都是黑洞路由 wsmudp 可以发包到达？

syuraking

2017-06-17 20:35:33 +08:00

@myliyifei 不知道为什么，https://r6---sn-3v2upjvh-3pm6.googlevideo.com/videoplayback?sign，。这种地址，国内是可以直接访问的，并没有被墙……

xdqi

2017-06-17 20:43:31 +08:00

IPv6 DIRECT, IPv4 tunnel 还是 403

xx998

2017-06-17 20:49:07 +08:00 via Android

@syuraking 已经被污染了。

xx998

2017-06-17 20:50:12 +08:00 via Android

YouTube 判断非法流量只在部分运营商网络中出现，并非全部。

zuolan

2017-06-17 20:58:53 +08:00

腾讯云香港 TCP+UDP 转发，手机同样开了 UDP 转发，还是不能看。东京可看。

Marfal

2017-06-17 21:00:50 +08:00

据说是把 Flag=CN 的 ASN 都给封了。

love4taylor

PRO

2017-06-17 21:01:13 +08:00

Linux, Chrome 60, 路由没开 UDP 转发, flags 开了 QUIC, 正常观看.
Android, Chrome 58, SSR 客户端没开 UDP 转发, flags 开了 QUIC, 正常观看. Youtube 客户端也正常观看.

wske

2017-06-17 21:01:30 +08:00

所有自搭建服务均正常

wico97

2017-06-17 21:05:04 +08:00

请问如何检测 TCP+UDP 转发的 IP 不一致

liuxu

2017-06-17 21:05:06 +08:00

实际上昨天上午 catnet 被封的时候我关了 quic，并没用

晚上 catnet 官方不知道用了什么黑科技，开着 quic 也可以看 youtube，但是 youtube live 还是不能看

yexm0

2017-06-17 21:08:06 +08:00 via iPhone

chrome 默认设置配 ss，一切正常

dynos01

2017-06-17 21:15:26 +08:00 via iPad

@liuxu 其实 catnet 的 ipv6 可以完美工作

parametrix

2017-06-17 21:17:27 +08:00

我的观察是这样的：

1、UDP 连不上 *.googlevideo.com 是可以观看的，所以路由器处直接把相关链接 block 掉或者转发到黑洞也可以解决问题。

2、UDP 经过转发正确链接到目标也是可以观看的。

3、不经过转发的 UDP 直连无法观看。

4、我现在不确定这里起作用的 UDP 链接到底是不是 QUIC，因为 chrome 的 QUIC 监测标签中 QUIC SESSIONS 为空，但是 EVENTS 里边是有搜索结果的。

5、说手机开了 TCP+UDP 的朋友们注意一下 DNS，因为手机 SS TCP 是 http+Socks5 代理，支持远端解析网址，但 UDP 转发可不是这样。

zuolan

2017-06-17 21:22:36 +08:00

@Love4Taylor 节点是哪里？哪家的香港？

d7101120120

2017-06-17 21:24:53 +08:00

手里的梯子包括自己搭建的和购买的服务全都正常。。。。不知道算不算我很幸运？

xx998

2017-06-17 21:25:43 +08:00 via Android

@parametrix 我这里测试 YouTube app 看不了直播，但网页端的 YouTube 可以看直播

miaomiao888

2017-06-17 21:27:01 +08:00

然而 IPV6 隧道同样看不了隧道应该支持 UDP

love4taylor

PRO

2017-06-17 21:27:41 +08:00

@zuolan #15 阿里 HKB 47.89

CHNpeople

2017-06-17 21:29:36 +08:00

@xx998 我的手机和网页的直播都能看，唯独视频在网页一直转圈圈，手机只能播放 6 秒

yexm0

2017-06-17 21:31:14 +08:00

@syuraking 难道你认为这种地址是属于谷歌的 ip 地址???

akw2312

2017-06-17 21:53:36 +08:00 via Android

@yexm0 地址就算解析正也不是 Google 的 ip
格式的都是 ggc

CHNpeople

2017-06-17 22:00:19 +08:00

@parametrix 大神，能教我弄吗？

snsd

2017-06-17 22:00:39 +08:00

winxp，世界之窗浏览器，2.5.6 版飞机，贵阳移动普通线路，美国 ip。速度不算快，5000 多 k，1080p 刚刚也够看。

just1

2017-06-17 22:12:56 +08:00

@syuraking chrome 访问网站自带视频加速用的就是这个地址，如果墙掉，chrome 看不了很多视频。。

syuraking

2017-06-17 22:14:07 +08:00

@yexm0 我只是按我这边的情况分析的，也许我这里情况和你们也不太一样吧，至少我这里谷歌 co.jp，FB，getchu，一直是可以直连的……

hadoop

2017-06-17 22:21:34 +08:00

表示没有遇到任何问题

alect

2017-06-17 22:41:05 +08:00

额，原来如此，估计就是 quic 协议的问题。。。关了就没问题了。。
最近 y2b 有的飞机看不了，访问这个网址看看第一行开头的 ip 是不是你本机的真实 ip ……

https://redirector.googlevideo.com/report_mapping

如果是飞机的 ip 那应该没问题。。

21grams

2017-06-17 22:52:36 +08:00 via Android

用 edge 也不行啊，感觉不像是 quic 的锅

sorcerer

2017-06-17 22:53:56 +08:00

flag 里停用了 quic 还是不行....

zddewe

2017-06-17 23:11:35 +08:00

v2ex 这些天能不能一些主题不进隐藏的**，之前 google 给一个朋友回复的邮件的贴也不见了，搞得好多 v 友好迷惑，建议擦边的主题迟几天进**吧。 @livid@Livid

evlos

2017-06-17 23:19:03 +08:00 via iPhone

@zuolan 腾讯云香港应该都跪了，换了 6 个 IP 都不行

buddha

2017-06-17 23:19:33 +08:00

@sorcerer @alect flag 里 disable quic 可以了，不 disable 前点那个检测网站 ip 是联通的。点了以后是 ss 的。
路由器里没开 udp 转发。

fetich

2017-06-17 23:23:53 +08:00

@syuraking 你那儿没有 DNS 污染？！
@yexm0 我这儿解析出来的 IPv6 也是此类，除非显式指定 IPv6 的 DNS 解析服务器地址。
另求教，我想让我的手机在家庭局域网下也能免翻上被墙的网站，因此在已经获得原生 IPv6 地址的情况下，如何能让家庭局域网内的设备都能得到无污染的解析结果？
目前的待实行的方案是整个树莓派或者 NUC 之类的小型机，利用 DNSCrypt 获取地址，不知有没有其他更便捷的方案，估计你也是 v4、v6 双栈接入的，不知怎么解决这个问题的？求指教。

parametrix

2017-06-17 23:35:39 +08:00

有没有人试一下在出口 VPS 处把 UDP 443 端口 OUTPUT DROP 掉？

buddha

2017-06-18 00:04:01 +08:00

@parametrix

我试了路由器上把 googlevideo.com 解析出来 IP 的所有 udp 包送到黑洞端口，能解决问题。

dnsmasq 配置
/jffs/config/fuckgfw.conf:server=/.googlevideo.com/127.0.0.1#1053
/jffs/config/fuckgfw.conf:ipset=/.googlevideo.com/youtube

/jffs/opt/sbin/iptables -t nat -A PREROUTING -p tcp -m set --match-set youtube dst -j REDIRECT --to-port 8080 (ss 端口）
/jffs/opt/sbin/iptables -t nat -A PREROUTING -p udp -m set --match-set youtube dst -j REDIRECT --to-port 8181 （黑洞端口)

sportfit

2017-06-18 00:05:57 +08:00

感觉是 CHROME 的问题，更新到 59 版本后，就出现这个问题，目前我直接降级删掉 59，重新下载 58 64 位无更新版本，再关掉 QUIC，重新启动 CHROME，马上就解决，正常播放了

buddha

2017-06-18 00:07:26 +08:00

@sportfit 不完全只是 chrome 因为如果你路由器上跑 ss 而不开 udp 转发，那手机，PS4/Xbox 上的 youtube App 也是不能播放视频。

parametrix

2017-06-18 00:24:23 +08:00

@buddha #36

我感觉这次的问题可能是 Google 为了防止 ytb 视频下载，而限制了访问视频必须和访问网站同源。实际上我看了 QUIC SESSIONS LOG，UDP 没有污染（有 SESSION 中的证书保证）的情况下直连，返回 403。而不能 UDP 连接到目标（ no receive ）结果是 `QUIC_SESSION_CLOSED` 反而解决问题。

im8a

2017-06-18 00:24:38 +08:00

@buddha @parametrix @sorcerer @alect
下面 3 个我都试过了 HKB+斐讯 K2 都不行:
1. 斐讯 K2 开启 UDP 转发
2. chrome 关闭 quic
3. HKB 上安全组 drop 了 udp 443+udp 80

https://redirector.googlevideo.com/report_mapping 监测还是我本地的 IP
有没有人有什么见解

im8a

2017-06-18 00:45:05 +08:00

补充一下貌似 HKB 本身就不能 ytb?
我刚刚用 SSTap
终于监测到是我本地 ip 了

但是依然无法 ytb 是不是 hkb 47.52 本身被 ytb ban 了？

genics

2017-06-18 00:46:07 +08:00

@alect 用阿里云就不是~

genics

2017-06-18 00:48:51 +08:00

@im8a 我也是 47.52. 关掉 quic 可以看视屏,但是手机 app 只能看几秒.

AnonymousAccout

2017-06-18 00:55:03 +08:00 via iPhone

@buddha 请教一下黑洞端口怎么设置的只知道黑洞路由怎么设置黑洞端口呢

buddha

2017-06-18 00:57:51 +08:00

@AnonymousAccout 其实我也是随便一写就是送到一个没用的端口你用 -j DROP 或者黑洞路由道理也是一样的，目的就是不让去 googlevideo 的 udp 包到达那里。

sportfit

2017-06-18 01:04:43 +08:00

@buddha 的确路由没开 UDP 转发，手机类移动端看不了，不过现在路由我开了 UDP 转发，然后 CHROME QUIC 再启用，那就做到了视频必须和访问网站同源，现在可以正常用了，谢谢提醒。

peng1994

2017-06-18 01:06:19 +08:00 via Android

我前几天用手机 YouTube 速度能达到 50Mbps

AnonymousAccout

2017-06-18 01:09:40 +08:00 via iPhone

@buddha 不过阿里云上用 iptables 把 outgoing 的 udp 都 drop 了还是看不了视频

sportfit

2017-06-18 01:13:00 +08:00

@buddha 从昨天搞到今天，终于如愿以偿 4K 又回来了，激动呃，谢谢。

parametrix

2017-06-18 01:15:03 +08:00

@im8a #40 你这个情况给我的感觉是 *.googlevideo.com 都没有被转发。。。

@AnonymousAccout #48 在阿里云上 DROP 完，你本地还是要把 UDP 转发到阿里云上啊，这样相当于黑洞。其实我不该提这茬的，不如直接在本地黑洞来得简单。

AnonymousAccout

2017-06-18 01:18:48 +08:00 via iPhone

@parametrix 好吧了解了

yexm0

2017-06-18 01:53:23 +08:00 via iPhone

@fetich 提个小建议，不妨尝试一下下面这款软件 :)
/t/119128

fetich

2017-06-18 02:23:05 +08:00

@yexm0 看说明，好厉害的样子……

yangxuan8282

2017-06-18 02:34:39 +08:00

手里的几个自建 ss 不开 udp 转发的话都用不了了，怀疑最近攻击者可能租的同 ip 段的机房进行攻击的

fudanglp

2017-06-18 02:45:35 +08:00

教育网也出问题了，视频 flv 403，详见 https://github.com/lennylxx/ipv6-hosts/issues/125

dahounet

2017-06-18 05:58:53 +08:00

47.52. 关掉 quic 依然播放不了

diskerjtr

2017-06-18 08:20:53 +08:00

1.VPS IP 没有被封的路由器挂游戏模式用 edge 或者 chrome 关 QUIC （ edge udp 效率高点）

2.VPS IP 被封的例如阿里云 47.52 自己做劫持丢给谷歌后，同上述方式。

syuraking

2017-06-18 08:26:36 +08:00

@fetich 仅有 3 个网站没墙而已，原因不明，几年都这样，也搞不懂为什么。

CHNpeople

2017-06-18 08:28:56 +08:00

@buddha 大哥，能加下 QQ 289815438 帮我弄下吗？

CHNpeople

2017-06-18 08:31:16 +08:00

@diskerjtr 怎么做劫持...

stonesnake

2017-06-18 08:33:27 +08:00 via iPhone

这方法也许对有些人适用但对我没用。我用路由器开 ss，游戏模式，关 quic，都不行。只要是挂阿里香港或者腾讯香港就播放视频失败，但什么配置都不改，换搬瓦工节点就好好的，我感觉主要问题还是出在 vps 上而不是本地。

pulelt

2017-06-18 08:52:27 +08:00

收费 VIP，一直很稳定

sorcerer

2017-06-18 08:54:20 +08:00

@diskerjtr 我应该是第二种情况所有 googlevideo 的请求都 403 了请问应该怎么劫持?

xuux

2017-06-18 08:55:31 +08:00 via iPhone

linode jp1 表示正常，估计是 VPS 的问题

mjay1984

2017-06-18 08:59:48 +08:00 via iPhone

@diskerjtr 同问如何劫持？

cigarzh

2017-06-18 09:13:36 +08:00 via Android

@stonesnake 和你一样

buddha

2017-06-18 10:11:20 +08:00

@sportfit 谢 @parametrix 吧他给的思路我只是按他思路做而已。
@CHNpeople 我不用 qq。我因为用的 DDWRT 没有现成的 ss 图形界面，所以只能自己命令行写 iptables 规则。如果你用梅林或者其他集成好 ss 的 ROM，只要图形界面打开 UDP 转发就好了很简单的啊。

另外我用的是美国 VPS 是可以的（本地路由器重定向了 googlevideo 的 udp 包到假端口），用阿里云不行的会不会前几天 youtube 瘫掉的时候给用作攻击源所以给 google 封 ip 了（纯猜想）？

21grams

2017-06-18 10:12:51 +08:00

所以 47.52 究竟要怎么办? 关闭 QUIC 根本不行。

ixiaohei

2017-06-18 10:47:07 +08:00

chrome 49，不知道开 quic 没有，47.88 段，YouTube 可以到 30m，完全不知道你们为什么不能看

mytsing520

PRO

2017-06-18 11:30:09 +08:00

@Marfal 求解如何封 ASN ？

linchanx

2017-06-18 11:34:07 +08:00 via Android

@mytsing520 用 bgp 封啊，google 是有自己的 as 的，只要过滤掉来自国内的 as 号的前缀就可以了。在路由器上做很简单的。

mytsing520

PRO

2017-06-18 11:35:46 +08:00

@linchanx 那，封的是 ASN 还是 IP 呢？况且一个 IP 是可以同时存在好几个 ASN

Nin

2017-06-18 11:45:35 +08:00

如果要自己写规则的很简单
在 mangle 表建一条 tproxy 规则，截获所有 udp 数据进行 gfwlist 匹配，对匹配的域名进行转发就行了

linchanx

2017-06-18 11:57:10 +08:00 via Android

@mytsing520 除了 anycast 一个 ip 只能归属于一个 as，封的当然是 ip 了。只不过 bgp 有很强大的路由控制工具，直接把来自某个 as 的前缀全部过滤掉，根本无需知道是哪些前缀。

mytsing520

PRO

2017-06-18 12:20:58 +08:00

@linchanx 然而，我们到 Google IP 还是走了直连

akwIX

2017-06-18 12:41:44 +08:00 via Android

@21grams 中转到其他 vps

oxygenliu

2017-06-18 15:09:40 +08:00 via iPhone

必须赞一下楼主的提示！ VPS 主机开启 udp 端口，SS 开启 udp relay，现在油管视频秒开

harwck

2017-06-18 15:51:08 +08:00

所以为什么直接在 vps 上 youtube-dl 也是 403 呢？这个应该跟 udp 转发没关系了吧

syuraking

2017-06-18 16:14:49 +08:00

@harwck 测试没有问题，下载不会返回 403，直接能下(油猴配合 https://github.com/gantt/downloadyoutube 这个脚本)

harwck

2017-06-18 16:16:37 +08:00

@syuraking #79 不了不了，我都是用 youtube-dl 在服务器上拉 4k 的视频，现在直接下不了了，难受

trythebest

2017-06-18 16:37:31 +08:00 via iPhone

47.52 路过表示只能看直播，web ios 安卓路由全爆炸感觉与世界隔离...

21grams

2017-06-18 17:34:52 +08:00

@harwck #78 确实如此，直接在 vps 上用 youtube-dl 也是 403，看来是直接被 google 封掉了。

frozenway

2017-06-18 17:45:08 +08:00 via iPhone

我也是 47.52 的，都看不了

carrionlee

2017-06-18 17:46:36 +08:00

一脸懵逼，手机电脑一直正常访问，没有碰到你们的问题

leungjianjun

2017-06-18 17:46:44 +08:00 via Android

我没有问题，每天晚上都看直播，就是到那个点就比较卡。反正听声音，画质差点无所谓

mattx

2017-06-18 19:01:08 +08:00

关闭 quic 以后正常

7654

2017-06-18 19:33:53 +08:00

Firefox+foxyproxy+SS libev3.06 TCP only
自己搭的，正常观看

Sh888

2017-06-18 19:42:04 +08:00

明显是大炮搞瘫了 youtube，逼着 youtube 封了某些 ip 段。

RealLiuSha

2017-06-18 19:58:40 +08:00

我目前 sz - hk - jp 科学上网很稳定，就是稍微贵了点

260 ￥ + 5$

poplar50

2017-06-18 21:10:26 +08:00 via Android

自建服务都正常

fearme

2017-06-18 23:45:35 +08:00 via iPhone

@genics 同样阿里云，ios 10.3 YouTube 刚刚看了一个小时电影没任何问题

douglaslee

2017-06-19 00:48:16 +08:00

@lgpqdwjh 我也是这种方案。

forgetandnew

2017-06-19 02:45:18 +08:00 via iPhone

只开 TCP 一切正常

crazycen

2017-06-19 08:05:21 +08:00 via iPhone

一切正常 4 台 vps 都没没问题，只开了 tcp

ahkxhyl

2017-06-19 09:22:41 +08:00

https://r6---sn-3v2upjvh-3pm6.googlevideo.com/videoplayback?sign 这个访问不正常~

Devmingwang

2017-06-19 09:47:37 +08:00 via Android

国外 ip 都可以访问的。
香港 pccw 可以，hkbn 可以等等。
cmhk cmunicom ctelecom 的香港 ip 统统没法看 youtube，阿里云也一样。
估计是因为某些原因 youtube 主动屏蔽了中国 ip，或者可以说是 as。
不存在本贴中说的什么检测这一说。

Devmingwang

2017-06-19 09:49:22 +08:00 via Android

@syuraking 你开了 ss 吧？忘记关了？还是 hosts 替换了你忘了？
如果以上都没有，你会发现换个别的浏览器是没法打开的。
chrome 给了你一种错觉。

pluszone

2017-06-19 10:19:12 +08:00

某些人搞直播影响的吧。。

waltcow

2017-06-19 10:36:19 +08:00

直播风波

100

qiang2k

2017-06-19 10:39:40 +08:00

直播风波+1

1 2