Juniper SRX 系列。

除非你有 BGP，否则是无法实现这种路由策略的。

现在用 Juniper SRX 300，不折腾。以前用过 RouterBoard。

CF 不支持 TLS 的透明代理。

undefined behavior，理论上输出任何结果都是对的。

一看是考研题目也是深深的无奈。

总是有人觉得自己能不用 TLS 达到“安全”。事实证明都是在自欺欺人。

直接上 Juniper SRX300，未来一段时间内可以无忧。

LZ 的做法是不行的，因为 content phase 跑在 rewrite phase 之后，你在 content_by_lua_block 改 my_var 对 rewrite 工作是没有任何影响的。

正确的做法应该是用 set_by_lua，或者更好的是直接用 ngx.exec() 来做内部跳转，还省了变量的开销。

想身份认证上 EV 证书，DV 的谈什么细致审核。

@sscc 去年已经结束了

https://arstechnica.com/information-technology/2016/09/att-to-end-targeted-ads-program-give-all-users-lowest-available-price/

另外现在访问的网站 90% 以上都是 TLS 的，所以就算监控也没啥怕的。

没用 TLS 不代表不会验证签名。比如 Linux 很多发行版下载包都是 http 的，但是并没什么安全隐患的道理。

@yegle 知道问题的原因了。我的 RG 不知道是什么原因，跑的是老版本固件 10.5.3.527171-att。从网上下载了最新的 10.5.6.529454-att 并且升级后 IPv6 的 inbound 就没有再被屏蔽，ICMPv6 和 TCP 连接经测试全部正常。

@hlz0812 北京电信的线路似乎质量非常好，下载能跑到将近 400Mbps。

http://beta.speedtest.net/result/6655198587

$ traceroute st1.bjtelecom.net
traceroute to st1.bjtelecom.net (60.247.96.2), 64 hops max, 52 byte packets
1 192.168.1.1 (192.168.1.1) 0.750 ms 0.522 ms 0.299 ms
2 108-85-104-1.lightspeed.sntcca.sbcglobal.net (108.85.104.1) 2.245 ms 2.139 ms 1.673 ms
3 71.148.135.178 (71.148.135.178) 1.667 ms 2.406 ms 2.354 ms
4 71.145.0.184 (71.145.0.184) 2.623 ms 2.711 ms 2.895 ms
5 12.83.39.181 (12.83.39.181) 6.099 ms 5.783 ms
12.83.39.177 (12.83.39.177) 3.652 ms
6 gar23.sffca.ip.att.net (12.122.114.5) 8.754 ms 7.194 ms 7.826 ms
7 * * *
8 * * *
9 china-telec.ear2.losangeles1.level3.net (4.71.136.202) 14.526 ms 13.664 ms 13.847 ms
10 * * *
11 * * *
12 * * *
13 * * *
14 * * *
15 * * *
16 * * *
17 6.0.142.219.broad.bj.bj.dynamic.163data.com.cn (219.142.0.6) 199.082 ms 198.771 ms 202.150 ms
18 * * *
19 * * *
20 * * *
21 * * *
22 * * *
23 * * *
24 * * *
25 * * *
26 * * *

@yegle 不知道你是如何配置的。我这边测试数据包无法到达防火墙，防火墙上监听也无法看到任何数据包。

RG 的日志显示：
IN=tun6rd MAC=f8:2c:18:xx:xx:xx SRC=2604:axxx:xxxx:xxxx::xxxx:e001 DST=2602:30x:xxxx:xxxx::1 LEN=80 PROTO=TCP DPT=1234 Port Scan

防火墙配置里，Port Scan 检测已经被关闭。

@zhaoweichen AT&T 的 DSL 还不如 Comcast，他们家只有 Fiber 值得用。

@qwvy2g 如果使用 RG 直接上网似乎有 500 个 NAT session 的限制。使用 DMZPlus 后因为不需要 conntrack 而且有公网 IP，基本上只取决于你自己路由器的性能了。

@hlz0812 公网 IP 是有，不过 25，80 等端口在家用宽带上是封的。