同样深圳电信100M，用G口光猫+G口路由，是能测到100M以上的。

@stillwaiting PPP设备子网掩码是没有意义的。

深圳电信确认23.59.94.46被中间人

$ mtr -T --port 443 -n 23.59.94.46
My traceroute [v0.85]
siyanmao-k29 (0.0.0.0) Sat Oct 18 19:26:07 2014
Keys: Help Display mode Restart statistics Order of fields
quit Packets Pings
Host Loss% Snt Last Avg Best Wrst StDev
1. 192.168.1.1 0.0% 17 0.6 0.7 0.6 0.8 0.0
2. ------------ 0.0% 16 2.8 2.6 1.7 3.3 0.3
3. ------------- 0.0% 16 2.0 2.2 1.4 4.0 0.4
4. ???
5. 119.145.47.78 0.0% 16 6.4 7.7 4.3 27.0 5.2
183.56.65.54
183.56.65.50
119.145.47.74
121.34.242.250
121.34.242.138
6. 23.59.94.46 25.0% 16 168.5 171.4 166.8 201.3 9.4

这种封源IP的办法很早就有了，封端口就用这种方法。我一直怀疑部分出口线路上已经部署上了这种硬防，隐蔽，效率高，可靠性好，可以远程更新配置（，或许还可以给规则配置老化时间？）。但是对设备的具体类型/型号不太清楚。这种要求绝对是商品设备，自己攒要出事的。
黑洞路由毕竟还是麻烦，要广播路由表，要配置路由器，要有专用光纤/链路，路由条数太多（当年方校长的论文里提到大概是10^5量级）
估计和CA没什么关系，有用自签名被干掉的，也犯不着和CA作对。