请问 OS X 下怎么屏蔽特定端口网址 https？

This topic created in 3755 days ago, the information mentioned may be changed or developed.

比如 www.baidu.com 在 443 端口上屏蔽？

9 replies • 2016-03-14 17:32:11 +08:00

shiji

Mar 11, 2016

只能针对 IP ，不能针对网址吧

DreaMQ

Mar 11, 2016

-p tcp -m string --string "baidu.com" --algo bm --to 65535 -j REJECT

yeyeye

Mar 11, 2016

@shiji 支持 SNI 的会发送明文信息的域名，我想可以屏蔽哟

echohanyu

Mar 11, 2016

@shiji
我也是只搜到了屏蔽 IP 的方法。。。
@DreaMQ
谢谢我去试试
@yeyeye 谢谢回复

wkdhf233

Mar 11, 2016

Proxifier 把所有发往 443 的数据劫持到 SNIProxy 上，然后 SNIProxy 配置里单独把百度的给拒绝掉应该可以
话说百度应该不存在跟别人共享 IP 的情况吧。。直接根据 IP 屏蔽其实也差不多？

shiji

Mar 11, 2016 via Android

@echohanyu 我找到了一篇绕过 sni 屏蔽的论文。 https://hal.inria.fr/hal-01202712/document 但是没找到现成的屏蔽方案。按理来说只要把带 sni 的那个数据包扔了就行

shiji

Mar 13, 2016

@echohanyu
@yeyeye
我刚刚发现，即使服务器／浏览器不支持 SNI ，在你访问 HTTPS 网站的时候，高级的防火墙都能抠出来 vhost 的域名。有 SNI 的情况下可以扣 SNI ，没有 SNI 就解析服务器返回给你的公钥，里面是有公钥的域名信息的。

yeyeye

Mar 13, 2016

@shiji 你访问的那个域名还是证书里所有的域名，如果是所有的域名则无意义。

chztv

Mar 14, 2016

Surge Mac 版可以。