转：iptables 修改 ttl 破解 isp 禁止二级路由代理

小樱

      哥接的是黑心的isp,也就是说,自己拉电信的光纤,然后用电脑,安装了一个海蜘蛛软路由,在还蜘蛛里面,限制了二级代理,也就是说,限制我用路由器.这样一来,就可以限制我再做黑心的ISP了,哈哈,真实黑心更比黑心啊!
  
     不过,话说回来了,所谓魔高一尺,道高一丈.他是黑心的isp,我当然就是道了,破解的方法当然有了.所谓知己知彼,百战百胜,要破解,首先要知道他封锁的原理.

     先说下黑isp限制的方法:
     1. 采用 pppoe 拨号的方法. 经过我的测试,此pppoe 拨号,默认只能在windows 的机器上面拨号成功.在linux下面,默认不行,需要修改下配置文件才可以.tp-link 的路由器,默认可以拨号,但是100秒内,就掉一次线,就是100秒左右的时间,就自动断开一次. 此方法比较变态,这些普通的路由器,比如 linksys 的,d-link 等各类路由器,均不能拨号成功.
    2. 采用linux的机器拨号成功以后,用此linux机器做nat代理,经过测试,nat不能出去.这就是所谓的禁止二级代理了.
    3. 用windows 默认的拨号器拨号,拨号成功以后,采用windows 自带的网络共享,也不能通过.

    原理分析:
    在linux机器上,拨号成功以后,ping 8.8.8.8 ,返回的 ttl 变成 了0 .从此处分析,基本确认黑心isp是采用检测 ttl 来限制共享上网的.解决的方法也就有了,就是在 linux 主机上面,用iptables 修改 nat 的 ttl ,因为默认情况下,数据包经过一个路由器就把ttl减一.所以,只用在linux机器上面,添加如下一条命令就搞定.

  
iptables -t mangle -A OUTPUT -j TTL --ttl-set 129


   这里改成129的原理是,因为数据包经路由器的时候,会自动减一,这里改成129,数据包经过这里的时候,会自动变成128,哈哈,黑心的isp的防火墙就会认为我是一台没有经过代理的,直接拨号上去的了.