看 LZ 帖子是用 iptables 来屏蔽广告地址

其实可以用 Wireshark 来观察 tcp 连接被劫持的情况

像移动的劫持都是抢答带 ACK ， FIN ， PSH 标志的 http 302 封包，把你的页面或者 JS 脚本劫持走。

而正常的 http 302 应答包通常并不会同时标记这 3 个标志位。

可以朝这个方向考虑，写成 iptables 规则就是

iptables -A FORWARD -p tcp -m tcp --sport 80 -m u32 --u32 "0>>22&60@10&25=25&&0>>22&60@9>>2&60@0=0x48545450&&0>>22&60@9>>2&60@8=0x20333032" -j DROP

虽然可能会有误杀，但是劫持是再也没看到过

@snsd IP 是移动的但是会走 NAT ，出口就不一定是这个 IP 了，在网上测 ping 结果是比较符合铁通的延迟规律的，又打地方是差到两方都不像

@snsd 浙江丽水

我虽然是移动宽带，但是骨干网走铁通，晚上高峰期出国烂到爆炸，到 Vultr 日本 ping300+常有的事，有时候还带 20%丢包。

我也不知道 ACL 规则能不能做这种匹配，抱歉

在 openwrt 上或者其他 linux 网关上设置 iptables 规则过滤掉所有带 ACK ， FIN ， PSH 标志的 http 302 封包

匹配规则

-m u32 --u32 "0>>22&60@10&25=25&&0>>22&60@9>>2&60@0=0x48545450&&0>>22&60@9>>2&60@8=0x20333032"

周 3 开始 JP 节点就有间歇性抽风，周 6 晚上开始在网关丢包和连通之间反复，直到刚才才贴出讣告

最近冒出不少便宜的 Softlayer 香港线路的 VPS 啊

但是对走移动骨干网的移动宽带不友好，会绕新加坡

走铁通骨干网的移动是直达。。。

我还就用了不到几 G 就月底了，主要是要日本 IP 艹船，还有开船（ wows