国内 Google FCM 推送全挂了

[andywiny]

以前 Google FCM 不挂梯子可以直连，推送还算稳定，但从 9/22 下午开始，FCM 全部节点全部连不上了，必须爬梯。坐标：江苏，上海

[dunn]

每年九十月了。闭关锁国啊

[Muniesa]

看了下还真挂了

[FaCai]

专门做了 fcm 分流规则，长年走梯子。

[Zeonjl]

嗯，地球上某个东西在发作

[andywiny]

@DarlinW 看来手机在外只能长期挂梯子了，更费电了😂

[kett]

有个梯子官网宣布因政策收紧，套餐提前涨价。

[Silently]

q 发威了

[ciki]

下个月有重要会议

[jpacg]

某些人又犯病了。

[hahastudio]

嗯，我昨天也看到了一样的现象

[JQSM]

FCM 开梯子也时好时坏的，用起来难受。

[fangdaidai]

fcm 不是 https://fcm.googleapis.com/fcm/send 这个域名吗，平时不走梯子能通？

[cubecube]

昨天梯子好像比平时网络也差不少

[keepeye]

直连也是部分地区吧，我这边一直都要开着科学才能收到 gmail 通知

[billytom]

@DarlinW 能分享下规则吗？具体是那几个域名，谢谢

[idrawer]

大脑袋们又要扎堆长蘑菇了

[ShadowPower]

@fangdaidai 有一系列的域名，像是 mtalk.google.com 这样的
平时可以直连

[poorcai]

我的小米 10S 能使用 FCM 吗？

[FaCai]

@billytom https://raw.githubusercontent.com/ACL4SSR/ACL4SSR/master/Clash/Ruleset/GoogleFCM.list

[andywiny]

@poorcai 你看一下 *#*#426#*#* 是否可以调出 FCM

[me221]

看了你这个帖子我才知道 GoogleFCM 原来可以直连

[poorcai]

@andywiny #20 跳出来一个 FCM Diagnostics 界面
``` bash
Server: Not connected
Host: mtalk.google.com
Port: XXXX
...
```

[andywiny]

@poorcai 有 FCM Diagnostics 就表示支持的，之前不挂梯子可以直连，但这几天开始就连不上了

[AlphaTauriHonda]

有一些地方把 IP 封了，或者把端口墙了。
这类屏蔽 IP 或者端口的墙数量很多，是分布式的。

[poorcai]

@andywiny #23 不用配置什么，默认就能使用吗？

[andywiny]

@poorcai 是的，默认就可以用，不用特别的配置。

[chinalawme]

@AlphaTauriHonda 不是屏蔽 IP 吧。我这测试是对`mtalk.google.com`检测，是就会有 TCP reset 攻击。

[zhzy0077]

上海电信和北京电信均复现失败 FCM 的几十个 IP 中绝大多数仍然是可以直接连到 5228 的
比如:
nc -vv 108.177.97.188 5228
Connection to 108.177.97.188 5228 port [tcp/hpvroom] succeeded!

[chinalawme]

@zhzy0077 是，没屏蔽 IP 。是检测特定域名的。可以用 curl 测试: `curl -v https://mtalk.google.com --connect-to ::un.org` ，就能看到 TCP reset 。

[zhzy0077]

@chinalawme 啥? FCM 的推送是 5228 端口上的 TCP 长连接 和 curl ssl 的 tcp reset 有啥关系 客户端 tcp 连接到某个 IP 墙还能看出来域名的?

[chinalawme]

@zhzy0077 反正我本地 Clash 日志里可以看到 mtalk 域名，这样来看任何中间人都能看到。

> FCM 的推送是 5228 端口上的 TCP 长连接

应该有一次 TLS 握手才对，否则你的通知是明文传送的吗？

[zhzy0077]

@chinalawme "反正我本地 Clash 日志里可以看到 mtalk 域名，这样来看任何中间人都能看到。"
这句话是错的, clash 能看到是因为设置为了系统 VPN, 系统把 tcp 连接原样丢给 clash 处理你才能看到域名的. 所以 clash 在路由器上使用的时候才需要诸如 fake-ip 之类的辅助来做域名匹配.

但你下面那句应该是对的 mtalk 似乎用的是很平凡的 tls 然后直接在 tls 握手的时候被拿下了

curl https://mtalk.google.com:5228 -vvv --resolve 'mtalk.google.com:5228:108.177.97.188'
* Added mtalk.google.com:5228:108.177.97.188 to DNS cache
* About to connect() to mtalk.google.com port 5228 (#0)
* Trying 108.177.97.188...
* Connected to mtalk.google.com (108.177.97.188) port 5228 (#0)
* Initializing NSS with certpath: sql:/etc/pki/nssdb
* CAfile: /etc/pki/tls/certs/ca-bundle.crt
CApath: none
* NSS error -5961 (PR_CONNECT_RESET_ERROR)
* TCP connection reset by peer
* Closing connection 0
curl: (35) TCP connection reset by peer

[hicdn]

@andywiny @DarlinW 多谢提醒，把这个列表走代理后，FCM Diagnostics 可以连接了。之前的规则是直连。

[JensenQian]

确实连不上了
之前 icmp 和 tcp ping 都是通的

[chengr28]

TLS SNI 的关键词是 google.com ，不是针对 mtalk

[cb546]

@JensenQian 到现在我这 ICMP 也是通的而且是正常解析= = ,但连接不上不知道是不是端口屏蔽

[addidd]

梯子没办法保持长链接更是绝望
还好有备胎

[andywiny]

@addidd 是啊，很多梯子是无法保持长链接的，几分钟断一次，手机非常耗电呀😓

[linuxyz]

@andywiny 可以看看 WireGuard 。

[iloveios]

这么好的推送 没办法啊

[SekiBetu]

只能说之前是漏网之鱼

[shiyunjin]

@chengr28 确实有可能，但其 SNI 屏蔽范围扩展到了 5228 端口，很难不理解为针对了 mtalk 服务

[gdyan2001]

不知道 11 月还能不能吃到包子

[chengr28]

@shiyunjin 不是扩展到了 5228 端口，而是所有端口上的 TLS 握手都会被检查，可以找个支持 TLS 的非标准端口试试。

[WhatTheBridgeSay]

@zhzy0077 30# 我这是 443 端口 *#*#GCM#*#*看到的

[slowman]

@chengr28 28 终于回来了，有新的社交媒体账号吗？

[RichardY]

难怪前两天统一推送联盟推出带审查版的 2.0 ，关联的

[chengr28]

@1423 早就没有了

[elveriagbqtusu]

我这边 9 月 20 日左右就有问题了。时而能连上，时而不能。 同一个 wifi 环境下，一台可以自动连上、另一台却不行。

[leegradyllljjjj]

最近 GitHub push 也不行了，git proxy 也没用 ps：其他功能都正常，就 push 一直报 443
不知道有啥好招儿

[Chengx3]

湖南电信，9 月 23 日下午 5 点钟左右开始出现无法连接 FCM 的问题

[S179276SP]

防止 app 推送反动势力信息，毕竟不用翻墙也可以下拉查看信息。

[chinalawme]

中国的防火长城屏蔽了 google.com 及其所有的子域名 https://github.com/net4people/bbs/issues/128

看来 mtalk.google.com 是被连带封锁的。

[andywiny]

经实测，今天已经可以直连，难道是 GFW 的短暂测试行为？

[BaiLinfeng]

看了半天，你们说的这是啥啊？这个用啥用处吗？

[billchenchina]

哈尔滨今天似乎又可以连了，FCM 在 Mountain View ，dl.google.com 在上海（均可连接）

[bclerdx]

@billchenchina 怎么确认的。

[cb546]

@andywiny 我这也可以直连了,感觉又像是墙加高之后误伤= =
@bclerdx *#*#426#*#* 看你手机能不能裸连成功就行了