被法国运营商 SFR 拦截 opencode.ai 的避坑指南与 DNS 劫持分析

最近在法国使用 SFR 网络的朋友如果发现无法访问 opencode.ai，大概率不是你的设备出问题了，也不是网站宕机，而是被运营商给“客气”地拦截了。我前几天尝试进入这个开源 AI 代码协作项目查看工作流模板，结果页面直接被重定向到了 SFR 的拦截页，上面写着「L'accès à ce site a été bloqué - opencode.ai」，并声称这是为了保障用户的网络安全。

说实话，这种操作让开发者非常困惑。opencode.ai 并不是什么高风险的盗版下载站或钓鱼页面，它本质上是一个纯粹的开发者社区，主要托管 AI 模型的配置文件和代码片段。一个如此垂直的技术社区被判定为“不安全”，大概率是 SFR 采用了某种过于激进的自动化安全过滤列表，或者是误将域名丢进了黑名单，导致只要命中某些关键词（比如 "open"）就容易被误伤。

从技术层面分析，这次拦截采用的是非常典型的 DNS 劫持手段。为了验证这一点，我在 SFR 的网络环境下直接运行了 nslookup opencode.ai。结果显示，该域名的解析 IP 并没有指向目标站点的真实 CDN 节点，而是被重定向到了 SFR 内部的一组拦截服务器（例如 194.158.x.x 段的 IP）。而当我切换到其他网络环境再次执行相同的命令时，解析结果立即恢复正常。

这种劫持方式意味着，当你在浏览器输入网址时，SFR 的 DNS 服务器在解析阶段就给你返回了一个错误的地址，从而强行将你引导至他们的警告页面。对于开发者来说，解决这个问题其实非常简单，不需要安装复杂的软件，只需要在设备或路由器的网络设置中，将 DNS 服务器从运营商默认的自动获取，手动修改为公共 DNS 即可。比如改成 Cloudflare 的 1.1.1.1 或者 Google 的 8.8.8.8，就能瞬间绕过这个拦截层。

如果你想在终端验证自己的网络是否被劫持，可以使用以下命令对比：

# 在 SFR 网络下检查解析
nslookup opencode.ai 
# 此时返回的 IP 应该是 SFR 的拦截服务器

# 指定使用公共 DNS 再次查询
dig @1.1.1.1 opencode.ai
# 此时会返回该域名的真实 CDN IP

不过，比起技术上的绕过，更让人深思的是 ISP（互联网服务提供商）这种单方面决定用户“能看什么”的行为。在法国，虽然有相关的反恐或反盗版屏蔽法案，但那些通常需要法院或监管机构的正式指令。SFR 这种在没有明确公告的情况下，通过技术手段静默拦截 AI 技术社区的做法，实际上是在削弱开发者的网络信任感。

对于 AI 爱好者和工程师而言，开放的社区和开放的网络空间是不可分割的。如果一个运营商可以随意地将一个代码共享站定义为“不安全”，那么未来可能会有更多 AI 工具在不知不觉中被拦截。我们需要的不是一个被运营商自制过滤桶包裹的“安全网络”，而是一个透明、可预测的连接环境。