1. 测试准备与环境搭建
1. 准备两端节点（本地测试机与柬埔寨侧主机或 VPS）：(1) 获取具公网 IP 的服务器 A（国内或接入 CN2）、服务器 B（柬埔寨）;(2) 安装常用工具：iperf3、mtr、traceroute、tcptraceroute、tcpdump、tshark、openssl、nmap。
小分段：确保双方时间同步（ntp），打开 root 权限或 sudo，预留 1GB pcap 空间。
2. 基础连通性与路由路径测量
2. 验证连通并记录路由：(1) 使用 mtr -rwzbc100 <目标> 分析往返延迟与丢包;(2) traceroute -T -p 443 <目标> 或 tcptraceroute <目标> 443 记录 TCP 路径;(3) 保存输出到文件以便比对。
小分段：从多个公网节点（家用、云服务器、VPS）重复测量，求出路径稳定性。
3. 带宽与性能测试（检测中间设备劫持或限速）
3. 使用 iperf3 进行双向测试：(1) 在服务器 B 启动 iperf3 -s；(2) 在客户端运行 iperf3 -c -t 60 -P 8 保存日志;(3) 对比不同时间段与不同端口（80/443/随机）结果。
小分段：如果在特定端口出现突发限速，怀疑运营商按端口策略处理流量。
4. 抓包与 TLS/HTTPS 检查的实操步骤
4. 抓包并检查 TLS 握手：(1) 在客户端或中间点运行 tcpdump -s 0 -w capture.pcap host <目标> and port 443；(2) 用 tshark -r capture.pcap -Y "ssl.handshake" -V 提取握手细节；(3) 用 openssl s_client -connect <目标>:443 -showcerts 检查证书链与指纹。
小分段：对比不同地理点的证书指纹，若一致则不易被中间证书替换。
5. 检测中间人（MITM）和证书篡改的实操方法
5. 多点证书比对与 TCP 指纹：(1) 在三个独立网络（家庭、云、移动）同时抓取 TLS 证书并比较 SHA256 指纹；(2) 使用 ssldump 或 tshark 比较 Server Hello 的随机值与证书一致性；(3) 若证书链或公钥出现差异，记录时间戳并联系证书颁发机构核验。
小分段：可用 HTTPS Public Key Pinning 比对历史值。
6. 路由安全与 BGP/RPKI 检查步骤
6. 验证 BGP 广播与路由来源：(1) 查询目标 IP 的 Origin AS：使用 whois & bgp.he.net；(2) 在 RIPE/NIC/ARIN 的 RPKI 检查器验证该前缀是否有 ROA；(3) 使用 public looking glass（如 China Telecom / APNIC LG）做 traceroute 和 BGP 路由对比。
小分段：无 ROA 或 AS 路径异常时，存在被劫持风险。
7. 深度包检查和 DPI 干预识别
7. 使用特征化流量检测 DPI：(1) 生成不常见的 TLS 扩展/加密套件或使用 h2 与 QUIC 做对比访问，观察是否被重置或修改；(2) 用 hping3 生成伪造 TCP 包检测防火墙/检测设备是否篡改或丢弃；(3) 分析 tcpdump 中 RST/ICMP 信息以识别主动干预。
小分段：若特定协议被干预，说明中间存在 DPI 或特殊策略。
8. 运营商合约与物理链路加固建议
8. 与运营商确认并落实安全措施：(1) 询问是否提供 MPLS 私网、专线或加密隧道（IPsec/SSL VPN）服务；(2) 要求明确 SLA 与上游 AS；(3) 若需要更高安全，采购 L2VPN 或专线并申请单独路由。
小分段：保留所有沟通记录与路由表快照作为证据。
9. 常见问题：柬埔寨 CN2 线路是否自带加密？
9. 问：柬埔寨 CN2 线路本身是否提供端到端加密？ 答：CN2 本身是运营商的优质骨干网，主要提供更优路由和低延迟，但并不默认提供端到端应用层加密；应用层（TLS/HTTPS、SSH、IPsec 等）仍需由用户自行部署或通过与运营商签订加密隧道服务来实现链路加密。
10. 常见问题：如何判定 CN2 路由被劫持或监听？
10. 问：我如何实操判定 CN2 路由是否被劫持或监听？ 答：按步骤做多点 traceroute、抓取 TLS 证书并比对指纹、检查 BGP Origin 与 RPKI、保存 pcap 分析是否存在证书替换或中间包篡改；若多处证据一致，通知运营商并上报 BGP 社群与证书机构。
11. 常见问题：评估完成后如何加固传输安全？
11. 问：完成评估后怎么加固数据传输安全？ 答：实施多层防护：强制使用 TLS 1.2/1.3 与现代套件、启用 HSTS/HPKP（慎用）、在链路层使用 IPsec 或专线、启用 DNSSEC/DoT 或 DoH、建立监控与证书透明性（CT）告警，同时在关键业务上使用流量双路备份与端到端加密。
来源：从安全性角度评估柬埔寨cn2线路对数据传输的保护能力
