阿里云 ESA CDN 与广州广电居然也会走 ix

[oyama]

我把我的 nas 通过 ipv6 部署到了阿里云 ESA 上，之前拿了很多个月的 pro 套餐，当然要白嫖。

因为访问用户都是我和我朋友，那我就把中国大陆以外的 ip 都给 ban 了，如下图，非常简单的规则。 直到有一天朋友联系我说，这家上我 nas 经常报 403 ，一抓日志看居然被拦截了。 看上下两次请求的对照，一次是从联通过去的，能正确显示。一次是从朋友家请求过去的，ip 是 10.221.0.0/16 的 ip 过去。 因为我朋友又说不清是哪家的运营商，那么就让他路由追踪了一下，如下图，可以发现是广电广电的 ip ，全程走的是隐藏 ip 的路由，没有一点公网路由，这我就想起来了广电广电会走 ix 的帖子，这我还是第一次见到 在加一个移动的路由追踪对比

由于 esa 不能对私网网段进行过滤，只能用 asn 替代了一下了 如下，使用 asn 解决（虽然我不知道为什么是这个 asn ，从日志里提取的）：

[mytsing520]

华为云 CDN ，广电也是走的 IX ，看到的全是 10 段子网

[xyz3210]

IX 有什么问题吗？

[PGvYIql]

很硬核的分享，广电这类运营商出口为私网 IP 通用规则无法直接拦截，ASN 过滤确实更好一些[赞]

[chengran630]

ix 的作用就是这个啊
把各种 as 之间 通过一个交换中心 不走公网，公网贵且质量不高

[bigtan]

走 ix 有什么特别的加成吗

[oyama]

走 ix 没有什么问题，问题就在走 ix 的 ip 不在国内 ip 规则里，需要额外放行，请看完前文

[SAGAN]

图看不到。难道 ix 用私有 ipv4 网段吗。我一直以为 ix 只是和公网之间无路由但 ip 地址仍然是公网 ip 。

[hxdyxd]

应该只是访问了广电的 cdn 节点，没出广电内网

[oyama]

@SAGAN imgurl 图床的通病了，您换个节点

[crc8]

OP 的意思是：NAS 只允许[中国大陆&AS 号不是 3836]的 IP 才能访问，然后两个路由里有一个广电用户在添加 3836 规则前经常出现 403 现象？

是这个意思？

[lynn1su]

@oyama #9 我是小白，能不能问下，为什么 ix 会有内网 ip ？网络交换中心不应该都是公网 ip 嘛？而且广电自己有公网 ip 段啊

[oyama]

@crc8 只允许[中国大陆&AS 号是 3836]访问，加了 3836 广电用户就能访问了，虽然我不知道为什么内网 ip 在阿里云里也会有 asn 号

[oyama]

@lynn1su 在阿里云看来，来源是 ix 内部吧也许，就像 nginx 拿来源 ip 一样

[crc8]

@oyama 哦，不加 3836 就不行。估计是把广电的都归到这个内部 3836 里了。