#原创分享#AF地域访问控制排错案例与二级运营商的假宽带原理

背景：

用户使用AF对外映射了服务器，AF启用地域访问控制，只允许上海地区的用户访问AF后的业务。

问题现象：

部分上海用户通过百度搜索”IP”查询自身IP地址显示为上海某公司，但是访问被AF的地域访问控制拦截，无法正常访问用户的业务

排查过程：

通过在AF上抓包发现，被拦截的用户的IP并非用户百度搜索的上海某公司的IP地址，而是江苏的电信IP地址。因此被AF的地域访问控制拦截

问题原因：

       中国的公网IP地址目前较为匮乏，基本都被电信、移动、联通三大运营商瓜分，因此部分起步较晚的运营商，例如某公司，只能租用三大运营商的公网IP。此类运营商被成为二级运营商，他们所采用的架构类似于他们自己创建了一张大的局域网，分配给用户的公网IP都是假的公网IP。是属于他们这张大局域网的私网IP地址。而很多用户使用某公司访问百度、视频网站、测试网站速度都非常快，而访问一些较为冷门的网站都非常慢，原因就是此类二级运营商在他们”大局域网”内部署了大量的CDN服务器。类似于百度、视频网站、测速网站这些主流网站在二级运营商的“大局域网”内都搭建了自己的服务器，用户测速相当于直接在他们局域网内测速，因此测出来的速度非常快，看一些主流网站视频都非常流畅。但访问一些没有在二级运营商网络中搭建CDN服务器的网站就非常慢。被广大网友称之为假宽带。

       使用某公司的用户在访问被我们AF做了地域访问控制的业务时，实际用的是某公司的出口IP与我们AF后端的业务进行的通信，因此被AF拦截。而他们的“大局域网”内有百度或者其他IP采集网站的CDN服务器，因此搜索出来的IP地址显示是上海，让客户认为我们的AF地域访问控制功能有问题。

解决办法：

方法1： 在某公司防火墙内搭建一个源IP采集网站，用户访问此网站可直接收集到访问过来的用户的真实IP地址，然后在地域访问控制中将此IP地址的地域改为上海，搭建方法参考网上教程，在此不做阐述。

方法2：直接使用其他IP地址采集网站，例如交大信息中心网站https://net.sjtu.edu.cn/查询用户真实IP，然后在地域访问控制中将此IP地址的地域改为上海

感谢楼主分享，地域访问控制作为一个非常重要的功能很多客户都在使用，在使用的过程中如果遇到一些因为IP地址归属错误导致误拦截时，大家可以通过添加白名单或者IP归属纠正来解决。期待楼主有更加精彩的分享~

学习了，感谢分享！

感谢分享

打卡学习

分享的内容很不错，有学习的价值哦，感谢分享

学习到了 还有假宽带这么一说呀  可以的

感谢分享

学校学习

感谢分享