近期国内访问 Youtube 异常的分析

[syuraking]

最近由于 YOUTUBE 改了 IP 检测方式，如果 UDP 和 TCP 的 IP 发送不一致，则判定为非法流量
正好谷歌浏览器的 QUIC 发送方式是 UDP+TCP，你的科学上网一般只转发了 TCP 部分，而 UDP 是直连……

那么这时候，你就懂了，为什么被判定了

路由器想看 YOUTUBE，请开启游戏模式(此模式可以转发 UDP 包)；
电脑想看，你想办法转发 UDP 部分；
安卓手机，请开启 UDP 转发；

如果你的科学上网不支持 UDP 转发，那么，你可以考虑洗洗睡了。

本人是以谷歌浏览器为样本，并且所有设定使用默认设定来测试的。
你觉得你用其它浏览器没问题，或者修改过关闭 QUIC，或者还有其它的，请绕路，不要直接喷人。

完结……

[myliyifei]

google 的 ip 都是黑洞路由 wsmudp 可以发包到达？

[syuraking]

@myliyifei 不知道为什么，https://r6---sn-3v2upjvh-3pm6.googlevideo.com/videoplayback?sign，。这种地址，国内是可以直接访问的，并没有被墙……

[xdqi]

IPv6 DIRECT, IPv4 tunnel 还是 403

[xx998]

@syuraking 已经被污染了。

[xx998]

YouTube 判断非法流量只在部分运营商网络中出现，并非全部。

[zuolan]

腾讯云香港 TCP+UDP 转发，手机同样开了 UDP 转发，还是不能看。东京可看。

[Marfal]

据说是把 Flag=CN 的 ASN 都给封了。

[Love4Taylor]

Linux, Chrome 60, 路由没开 UDP 转发, flags 开了 QUIC, 正常观看.
Android, Chrome 58, SSR 客户端 没开 UDP 转发, flags 开了 QUIC, 正常观看. Youtube 客户端也正常观看.

[wske]

所有自搭建服务均正常

[wico97]

请问如何检测 TCP+UDP 转发的 IP 不一致

[liuxu]

实际上昨天上午 catnet 被封的时候我关了 quic，并没用

晚上 catnet 官方不知道用了什么黑科技，开着 quic 也可以看 youtube，但是 youtube live 还是不能看

[yexm0]

chrome 默认设置配 ss，一切正常

[dynos01]

@liuxu 其实 catnet 的 ipv6 可以完美工作

[parametrix]

我的观察是这样的：

1、UDP 连不上 *.googlevideo.com 是可以观看的，所以路由器处直接把相关链接 block 掉或者转发到黑洞也可以解决问题。

2、UDP 经过转发正确链接到目标也是可以观看的。

3、不经过转发的 UDP 直连无法观看。

4、我现在不确定这里起作用的 UDP 链接到底是不是 QUIC，因为 chrome 的 QUIC 监测标签中 QUIC SESSIONS 为空，但是 EVENTS 里边是有搜索结果的。

5、说手机开了 TCP+UDP 的朋友们注意一下 DNS，因为手机 SS TCP 是 http+Socks5 代理，支持远端解析网址，但 UDP 转发可不是这样。

[zuolan]

@Love4Taylor 节点是哪里？哪家的香港？

[d7101120120]

手里的梯子包括自己搭建的和购买的服务全都正常。。。。不知道算不算我很幸运？

[xx998]

@parametrix 我这里测试 YouTube app 看不了直播，但网页端的 YouTube 可以看直播

[miaomiao888]

然而 IPV6 隧道同样看不了 隧道应该支持 UDP

[Love4Taylor]

@zuolan #15 阿里 HKB 47.89

[CHNpeople]

@xx998 我的手机和网页的直播都能看，唯独视频在网页一直转圈圈，手机只能播放 6 秒

[yexm0]

@syuraking 难道你认为这种地址是属于谷歌的 ip 地址???

[akw2312]

@yexm0 這個地址就算解析正確也不會是 Google 的 ip
這種格式的都是 ggc

[CHNpeople]

@parametrix 大神，能教我弄吗？

[snsd]

winxp，世界之窗浏览器，2.5.6 版飞机，贵阳移动普通线路，美国 ip。速度不算快，5000 多 k，1080p 刚刚也够看。

[just1]

@syuraking chrome 访问网站自带视频加速用的就是这个地址，如果墙掉，chrome 看不了很多视频。。

[syuraking]

@yexm0 我只是按我这边的情况分析的，也许我这里情况和你们也不太一样吧，至少我这里谷歌 co.jp，FB，getchu，一直是可以直连的……

[hadoop]

表示没有遇到任何问题

[alect]

额，原来如此，估计就是 quic 协议的问题。。。关了就没问题了。。
最近 y2b 有的飞机看不了，访问这个网址看看第一行开头的 ip 是不是你本机的真实 ip ……

https://redirector.googlevideo.com/report_mapping

如果是飞机的 ip 那应该没问题。。

[21grams]

用 edge 也不行啊，感觉不像是 quic 的锅

[sorcerer]

flag 里停用了 quic 还是不行....

[zddewe]

v2ex 这些天能不能一些主题不进隐藏的**，之前 google 给一个朋友回复的邮件的贴也不见了，搞得好多 v 友好迷惑，建议擦边的主题迟几天进**吧。 @livid@Livid

[evlos]

@zuolan 腾讯云香港应该都跪了，换了 6 个 IP 都不行

[buddha]

@sorcerer @alect flag 里 disable quic 可以了 ， 不 disable 前点那个检测网站 ip 是联通的。点了以后是 ss 的。
路由器里没开 udp 转发。

[fetich]

@syuraking 你那儿没有 DNS 污染？！
@yexm0 我这儿解析出来的 IPv6 也是此类，除非显式指定 IPv6 的 DNS 解析服务器地址。
另求教，我想让我的手机在家庭局域网下也能免翻上被墙的网站，因此在已经获得原生 IPv6 地址的情况下，如何能让家庭局域网内的设备都能得到无污染的解析结果？
目前的待实行的方案是整个树莓派或者 NUC 之类的小型机，利用 DNSCrypt 获取地址，不知有没有其他更便捷的方案，估计你也是 v4、v6 双栈接入的，不知怎么解决这个问题的？求指教。

[parametrix]

有没有人试一下在出口 VPS 处把 UDP 443 端口 OUTPUT DROP 掉？

[buddha]

@parametrix

我试了路由器上把 googlevideo.com 解析出来 IP 的所有 udp 包送到黑洞端口，能解决问题。

dnsmasq 配置
/jffs/config/fuckgfw.conf:server=/.googlevideo.com/127.0.0.1#1053
/jffs/config/fuckgfw.conf:ipset=/.googlevideo.com/youtube

/jffs/opt/sbin/iptables -t nat -A PREROUTING -p tcp -m set --match-set youtube dst -j REDIRECT --to-port 8080 (ss 端口）
/jffs/opt/sbin/iptables -t nat -A PREROUTING -p udp -m set --match-set youtube dst -j REDIRECT --to-port 8181 （黑洞端口)

[sportfit]

感觉是 CHROME 的问题，更新到 59 版本后，就出现这个问题，目前我直接降级删掉 59，重新下载 58 64 位无更新版本，再关掉 QUIC，重新启动 CHROME，马上就解决，正常播放了

[buddha]

@sportfit 不完全只是 chrome 因为如果你路由器上跑 ss 而不开 udp 转发， 那手机，PS4/Xbox 上的 youtube App 也是不能播放视频。

[parametrix]

@buddha #36

我感觉这次的问题可能是 Google 为了防止 ytb 视频下载，而限制了访问视频必须和访问网站同源。实际上我看了 QUIC SESSIONS LOG，UDP 没有污染（有 SESSION 中的证书保证）的情况下直连，返回 403。而不能 UDP 连接到目标（ no receive ）结果是 `QUIC_SESSION_CLOSED` 反而解决问题。

[im8a]

@buddha @parametrix @sorcerer @alect
下面 3 个我都试过了 HKB+斐讯 K2 都不行:
1. 斐讯 K2 开启 UDP 转发
2. chrome 关闭 quic
3. HKB 上安全组 drop 了 udp 443+udp 80

https://redirector.googlevideo.com/report_mapping 监测还是我本地的 IP
有没有人有什么见解

[im8a]

补充一下 貌似 HKB 本身就不能 ytb?
我刚刚用 SSTap
终于监测到是我本地 ip 了

但是依然无法 ytb 是不是 hkb 47.52 本身被 ytb ban 了？

[genics]

@alect 用阿里云就不是~

[genics]

@im8a 我也是 47.52. 关掉 quic 可以看视屏,但是手机 app 只能看几秒.

[AnonymousAccout]

@buddha 请教一下 黑洞端口怎么设置的 只知道黑洞路由 怎么设置黑洞端口呢

[buddha]

@AnonymousAccout 其实我也是随便一写 就是送到一个没用的端口 你用 -j DROP 或者黑洞路由 道理也是一样的 ， 目的就是不让去 googlevideo 的 udp 包到达那里。

[sportfit]

@buddha 的确路由没开 UDP 转发，手机类移动端看不了，不过现在路由我开了 UDP 转发，然后 CHROME QUIC 再启用，那就做到了视频必须和访问网站同源，现在可以正常用了，谢谢提醒。

[peng1994]

我前几天用手机 YouTube 速度能达到 50Mbps

[AnonymousAccout]

@buddha 不过阿里云上用 iptables 把 outgoing 的 udp 都 drop 了 还是看不了视频😭

[sportfit]

@buddha 从昨天搞到今天，终于如愿以偿 4K 又回来了，激动呃，谢谢。

[parametrix]

@im8a #40 你这个情况给我的感觉是 *.googlevideo.com 都没有被转发。。。

@AnonymousAccout #48 在阿里云上 DROP 完，你本地还是要把 UDP 转发到阿里云上啊，这样相当于黑洞。其实我不该提这茬的，不如直接在本地黑洞来得简单。

[AnonymousAccout]

@parametrix 好吧 了解了 😶

[yexm0]

@fetich 提个小建议，不妨尝试一下下面这款软件 :)
/t/119128

[fetich]

@yexm0 看说明，好厉害的样子……

[yangxuan8282]

手里的几个自建 ss 不开 udp 转发的话都用不了了，怀疑最近攻击者可能租的同 ip 段的机房进行攻击的

[fudanglp]

教育网也出问题了，视频 flv 403，详见 https://github.com/lennylxx/ipv6-hosts/issues/125

[dahounet]

47.52. 关掉 quic 依然播放不了

[diskerjtr]

1.VPS IP 没有被封的 路由器挂游戏模式 用 edge 或者 chrome 关 QUIC （ edge udp 效率高点）

2.VPS IP 被封的 例如阿里云 47.52 自己做劫持丢给谷歌后，同上述方式。

[syuraking]

@fetich 仅有 3 个网站没墙而已，原因不明，几年都这样，也搞不懂为什么。

[CHNpeople]

@buddha 大哥，能加下 QQ 289815438 帮我弄下吗？

[CHNpeople]

@diskerjtr 怎么做劫持...

[stonesnake]

这方法也许对有些人适用但对我没用。我用路由器开 ss，游戏模式，关 quic，都不行。只要是挂阿里香港或者腾讯香港就播放视频失败，但什么配置都不改，换搬瓦工节点就好好的，我感觉主要问题还是出在 vps 上而不是本地。

[pulelt]

收费 VIP，一直很稳定

[sorcerer]

@diskerjtr 我应该是第二种情况 所有 googlevideo 的请求都 403 了 请问应该怎么劫持?

[xssxsxk]

linode jp1 表示正常，估计是 VPS 的问题

[mjay1984]

@diskerjtr 同问如何劫持？

[cigarzh]

@stonesnake 和你一样

[buddha]

@sportfit 谢 @parametrix 吧 他给的思路 我只是按他思路做而已。
@CHNpeople 我不用 qq。 我因为用的 DDWRT 没有现成的 ss 图形界面 ，所以只能自己命令行写 iptables 规则。 如果你用梅林或者其他集成好 ss 的 ROM，只要图形界面打开 UDP 转发就好了 很简单的啊。

另外我用的是美国 VPS 是可以的（本地路由器重定向了 googlevideo 的 udp 包到假端口）， 用阿里云不行的会不会前几天 youtube 瘫掉的时候给用作攻击源 所以给 google 封 ip 了（纯猜想）？

[21grams]

所以 47.52 究竟要怎么办? 关闭 QUIC 根本不行。

[ixiaohei]

chrome 49，不知道开 quic 没有，47.88 段，YouTube 可以到 30m，完全不知道你们为什么不能看

[mytsing520]

@Marfal 求解如何封 ASN ？

[linchanx]

@mytsing520 用 bgp 封啊，google 是有自己的 as 的，只要过滤掉来自国内的 as 号的前缀就可以了。在路由器上做很简单的。

[mytsing520]

@linchanx 那，封的是 ASN 还是 IP 呢？况且一个 IP 是可以同时存在好几个 ASN

[Nin]

如果要自己写规则的很简单
在 mangle 表建一条 tproxy 规则，截获所有 udp 数据进行 gfwlist 匹配，对匹配的域名进行转发就行了

[linchanx]

@mytsing520 除了 anycast 一个 ip 只能归属于一个 as，封的当然是 ip 了。只不过 bgp 有很强大的路由控制工具，直接把来自某个 as 的前缀全部过滤掉，根本无需知道是哪些前缀。

[mytsing520]

@linchanx 然而，我们到 Google IP 还是走了直连

[akwIX]

@21grams 中转到其他 vps

[oxygenliu]

必须赞一下楼主的提示！ VPS 主机开启 udp 端口，SS 开启 udp relay，现在油管视频秒开

[harwck]

所以为什么直接在 vps 上 youtube-dl 也是 403 呢？这个应该跟 udp 转发没关系了吧

[syuraking]

@harwck 测试没有问题，下载不会返回 403，直接能下(油猴配合 https://github.com/gantt/downloadyoutube 这个脚本)

[harwck]

@syuraking #79 不了不了，我都是用 youtube-dl 在服务器上拉 4k 的视频，现在直接下不了了，难受

[trythebest]

47.52 路过 表示只能看直播 ，web ios 安卓 路由 全爆炸 感觉与世界隔离...

[21grams]

@harwck #78 确实如此，直接在 vps 上用 youtube-dl 也是 403，看来是直接被 google 封掉了。

[frozenway]

我也是 47.52 的，都看不了

[carrionlee]

一脸懵逼，手机电脑一直正常访问，没有碰到你们的问题

[leungjianjun]

我没有问题，每天晚上都看直播，就是到那个点就比较卡。反正听声音，画质差点无所谓

[mattx]

关闭 quic 以后正常

[7654]

Firefox+foxyproxy+SS libev3.06 TCP only
自己搭的，正常观看

[Sh888]

明显是大炮搞瘫了 youtube，逼着 youtube 封了某些 ip 段。

[lgpqdwjh]

我目前 sz - hk - jp 科学上网 很稳定， 就是稍微贵了点

260 ￥ + 5$

[poplar50]

自建服务都正常

[fearme]

@genics 同样阿里云，ios 10.3 YouTube 刚刚看了一个小时电影没任何问题

[douglaslee]

@lgpqdwjh 我也是这种方案。

[forgetandnew]

只开 TCP 一切正常

[crazycen]

一切正常 4 台 vps 都没没问题，只开了 tcp

[ahkxhyl]

https://r6---sn-3v2upjvh-3pm6.googlevideo.com/videoplayback?sign 这个访问不正常~

[Devmingwang]

国外 ip 都可以访问的。
香港 pccw 可以，hkbn 可以等等。
cmhk cmunicom ctelecom 的香港 ip 统统没法看 youtube，阿里云也一样。
估计是因为某些原因 youtube 主动屏蔽了中国 ip，或者可以说是 as。
不存在本贴中说的什么检测这一说。

[Devmingwang]

@syuraking 你开了 ss 吧？忘记关了？还是 hosts 替换了你忘了？
如果以上都没有，你会发现换个别的浏览器是没法打开的。
chrome 给了你一种错觉。

[pluszone]

某些人搞直播影响的吧。。

[waltcow]

直播风波

[qiang2k]

直播风波+1