ZXM‘s Blog

海盗湾入住朝鲜

2013-03-05T13:13:00.000+08:00

这尼玛太讽刺了，民主自由的西方怎么容不下它呢。。

20130227

2013-02-28T00:38:00.001+08:00

今天早上七点多就醒了，想了想十点有课，纠结半天要不要去，决定再睡会九点多起，结果一觉睡到十点半，上7人人发现老师点名，我了个槽，专点大四的，还说建议没去上课的人退课。。纠结半天。下午咨询了分配工作的事情，回来的路上碰到了关老师，结果说明天去商量毕设，让我准备一下。。我勒个去，连夜看论文，还是看不懂，明天再看到底怎么办吧。。。。哎，睡啦睡啦，晚安

Orignal From: 20130227

God Knows

2013-02-26T23:09:00.001+08:00

乾(かわ)いた心(こころ)で駆(か)け抜(ぬ)ける

ごめんね何(なに)もできなくて

痛(いた)みを分(わ)かち合(あ)うことさえ

あなたは许(ゆる)してくれない

无垢(むく)に生(い)きるため振(ふ)り向(む) かず

背中(せなか)向(む)けて去(さ)ってしまう

on the lonely rail

私(わたし)ついていくよ

どんな辛(つら)い世界(せかい)の闇(やみ) の中(なか)でさえ

きっとあなたは辉(かがや)いて

超(こ)える未来(みらい)の果(は)て

弱(よわ)さ故(ゆえ)に魂(たましい)こわされぬように

my way 重(かさ)なるよ

いまふたりにGod bless...

届(とど)けて热(あつ)くなる想(おも)いは

现実(げんじつ)溶(と)かしてさまよう

会(あ)いたい気持(きも)ちに理由(りゆう) はない

あなたへあふれだすLovin' you

せめて美(うつく)しい梦(ゆめ)だけを

描(えが)きながら追(お)いかけよう

for your lonely heart

やめて嘘(うそ)はあなたらしくないよ

目(め)を见(み)てこれからのことを话(はな)そう

私(わたし)覚悟(かくご)してる

暗(くら)い未来(みらい)だって

强(つよ)くなって运命(うんめい)変(か)えられるかもね

my wish かなえたいのに

すべてはGod knows...

あなたがいて私(わたし)がいて

ほかの人(ひと)は消(き)えてしまった

淡(あわ)い梦(ゆめ)の美(うつく)しさを描 (えが)きながら

伤迹(きずあと)なぞる

だから私(わたし)ついていくよ

どんな辛(つら)い世界(せかい)の闇(やみ) の中(なか)でさえ

きっとあなたは辉(かがや)いて

超(こ)える未来(みらい)の果(は)て

弱(よわ)さ故(ゆえ)に魂(たましい)こわされぬように

my way 重(かさ)なるよ

いまふたりにGod bless...

中<strong>文歌词</strong>:

怀着渴求的心飞奔而来

却什么也做不到

对不起就连与你一起分担痛楚

你也始终不愿容许

坚持纯粹人生从不回头

只留下背影

你渐渐离去

走在孤独的人生上

跟我一起走吧

无论世界多么艰辛多么黑暗

你一定会绽放光彩

跨越未来的尽头

不让灵魂因脆弱而受伤

跟上我的脚步

愿神保佑我们

炙热的思念历尽艰辛传递给你

却在现实中溶化

令我彷徨失措

渴望见到你的心情不需要理由

对你的爱意已经满溢心胸

至少要将那美丽的梦想

一面描绘一面不停追逐

为了你孤独的心灵

停止吧

谎言并不是你的风格

看着我来畅谈将来的人生吧

我已经做好了心理准备

即使未来一片黑暗

坚强的我们或许能够改变命运

渴望去实现我的心愿

一切却无人知晓

这个世界中

有我有你

其他人都已经消失不见

一边幻想着优美的梦想

一边细数着伤痕

所以

跟我一起走吧

无论世界多么艰辛多么黑暗

你一定会绽放光彩

跨越未来的尽头

不让灵魂因脆弱而受伤

跟上我的脚步

愿神保佑我们

Orignal From: God Knows

安卓客户端文字图片

2013-02-25T17:28:00.001+08:00

文字
图片

<a href="http://xmzhao.6te.net/wp-content/uploads/2013/02/wpid-original_LpWh_42ea000055a9125b11.jpg"><img title="original_LpWh_42ea000055a9125b.jpg" class="alignnone size-full" alt="image" src="http://xmzhao.6te.net/wp-content/uploads/2013/02/wpid-original_LpWh_42ea000055a9125b10.jpg" /></a>

Orignal From: 安卓客户端文字图片

wordpress 同步到blogger的问题

2013-02-25T17:24:00.001+08:00

好像用wlw发带图片的文章到wordpress同步到blogger的时候就可以显示图片，但是用手机发图片到wordpress的时候就会出问题，是因为上传图片的目录不同么？

明天到学校再看看具体怎么回事

Orignal From: wordpress 同步到blogger的问题

测试

2013-02-25T16:59:00.001+08:00

Orignal From: 测试

测试拍照2

2013-02-25T16:57:00.001+08:00

Orignal From: 测试拍照2

测试拍照

2013-02-25T16:55:00.001+08:00

Orignal From: 测试拍照

测试拍照

2013-02-25T16:54:00.001+08:00

Orignal From: 测试拍照

试试Windows live writer的一些插件

2013-02-25T15:58:00.001+08:00

今天测试一下Windows live writer 的几个好玩的插件，

以后应该会继续补充

1.Polaroid Picture

2.Insert Code

   1:  #include<iostream>

   2:  using namespace std;

   3:  int main()

   4:  {

   5:  cout<<"hello world"<<endl;

   6:  }

3.Insert File

Picture Test

Orignal From: 试试Windows live writer的一些插件

用wordpress同步更新blogger

2013-02-25T13:40:00.001+08:00

使用Google提供的blogger做为日常的博客的，它可以像wordpress一样扩展，同时也比一般我们用户的wordpress更加稳定，因此成为了目前为数不多仍在写博客的同学的最佳选择之一。
但是由于中国政府和Google的关系一向不和，blogger使用了blogspot域，总是会被GFW毙掉，因此需要更新博客的话必须翻墙，又因为我个人比较懒，以及在网页上写博客的众多麻烦，比如保存比较困难、以及无法离线编辑博文的问题，总是想找一个可以线下编辑的博客软件，于是了解到了Windows live writer。
如果直接使用Windows live writer 来编辑blogger又会因为GFW的问题而各种麻烦，想来想去，看到了网上的某位大神提供的一种方法:windows live wirter –> wordpress –> blogger，当然这个wordpress所在的服务器必须是境外的服务器，使用这样复杂的策略总算成功更新了blogger。
Windows live writer 连接wordpress的过程非常简单，这里不做介绍，现在将wordpress 同步到blogger 的过程的简单的配置过程说一下：

blogger准备

在blogger的设置-> 移动设备和电子邮件之中，设置使用电子邮件发布的 secret word，这样我们就可以通过向这个地址发送邮件来更新blogger了，在下面的选项中可以选定对于电子邮件如何处理，是直接发布还是存为草稿。

如下图：

wordpress准备

需要安装一个"DJ EmailPublish"的插件，安装好后在设置-> Email Publish 中可以设置邮件更新的方法，我们在email 地址栏输入我们在上一部分配置的邮件地址，publish type 选择full text，然后再SMTP部分将username 和password按照wordpress登录的用户名和密码输入即可，如下图

点击"update email publish options "，大功告成

用你的Windows live writer 写一篇试试看吧~

Orignal From: 用wordpress同步更新blogger

测试同步功能

2013-02-25T04:52:00.001+08:00

Windows live writer –> wordpress –> blogger

Orignal From: 测试同步功能

要回学校了

2013-02-25T00:59:00.000+08:00

说起来这个假期过得真快，明天就要离家回学校了（别人都上课了你还不走还好意思说= =），感觉上了大学后假期一个比一个过得快。模模糊糊的记得大一的时候寒假做了好多好多事情，结果这个寒假似乎没有做什么事情就已经结束了。于是不禁唏嘘，时间过得真快。
其实说起来感觉过得快的原因有很多，我总结了一下大致有以下几点：

每天晚睡玩起
生活重复度太高

你到底是活了365天，还是把一天重复了365遍

在回首看过去的时光的时候，总是觉得过得特别快

假期看到了很多小学同学，他们大多早已经工作了很久，大家见面聊的都是工作如何，对象如何，领导如何，何时结婚，何时生小孩。等回到家看着桌子上玻璃板下面铺着的小学同学合照，照片里的大家笑的天真的样子，时间过得这么快。

我的SAI

2013-02-25T00:06:00.000+08:00

第一次使用Sai鼠绘，那会儿没有数位板，还是在考试前的一段时间，

Blogger今天更新几个重要功能_Google / 谷歌_cnBeta.COM

2013-02-24T19:57:00.001+08:00

Blogger今天更新几个重要功能_Google / 谷歌_cnBeta.COM:

'via Blog this'

用Zoundry Raven写博客

2013-02-24T18:27:00.001+08:00

Zoundry 是Zoundry Blog Writer，Zoundry 网志编辑器是一款全功能的编辑器，支持富文本，适合本地写博客发布到网上。

Zoundry Raven是Zoundry 最近推出的新软件，比过去的Zoundry有了很多改版。

对昨晚人人日志xss一点分析

2013-02-24T04:19:00.000+08:00

特别鸣谢： @王大鹏.py

目前还幸存的日志（点击请慎重）：

http://blog.renren.com/share/415267397/15370669565

特别声明
攻击流程

引入js

日志

我们可以看到一段eval的代码，是加密为了防止被人人屏蔽掉的，对其中

利用js脚本发日志

记录cookie
从get.php中获取需要发布的日志内容（因此这次xss每次文章都不一样）
发布日志（发布的日志中只要有第一部分的那部分脚本就可以继续传播）

这几部分都可以从代码中看到

大致的过程应该就这样吧。。。。。

几个黑客小游戏

2013-02-10T18:11:00.001+08:00

不知道是不是很多人像我一样，很喜欢这类黑客解谜游戏，感觉很锻炼脑子，当时黑客防线推出那款黑客游戏，有一关，我想了足足8个小时，也不觉得累。后来华夏等网站相继推出黑客游戏，我是乐此不疲。在网上也找了很多国外的黑客游戏。这里是我收集的一些黑客游戏，有网页版的，有客户端版的。对于黑客游戏，不仅仅是锻炼自己的推理能力，而且还能让自己的思维更加活泼。不过电脑小白就不要玩了。。。。。。。很可能想爆了脑袋也过不去一关。这里需要很多的知识，Java, PHP, HTML, Javascript等网页语言，另外有的游戏还需要了解程序的加壳脱壳，加密与解谜，精通各种操作系统，游戏很多，大家自己随意玩吧。

Monyer系列（黑客游戏）

http://monyer.com/game/game1/ （中文）

游戏攻略

http://monyer.com/game/game2/ （英文）

Sunnyspeed系列（英文）- 解谜类

Hack Forever（英文）- 实战攻防类
http://www.hackerforever.com

Hacker Funny Game（英文） – 模拟实战攻防类（FLASH GAME）
http://www.funnygames.co.nz/play/hacker

Hacker Skills（英文） – 网页过关类
http://www.hackerskills.com/

Uplink （英文） – 模拟 Linux 攻防（需下载游戏）
http://www.introversion.co.uk/uplink/

UPLINK 是一款基于Linux平台的黑客模拟游戏．玩家在其中扮演一位神通广大的黑客为ＵＰＬＩＮＫ公司工作，窃取各大公司的数据库机密资料．深受广大游戏玩家的喜爱. 游戏里不需要你懂得太多的专业知识,反而会教你许多东西,只要你英语过得去.你是作为UPLINK的一个黑客,注册了以后你会得到一笔初始的资金和初始的软硬件.如果你熟悉黑客的知识,你可以自己去做,如果不会的话,会有一个教学模式一步一步的教你,我这个菜鸟也看得懂要做什么.然后你的等级会上升,你就可以正式在UPLINK的SERVER上联系客户,接取工作,完成工作就会获得回报(当然是钱啦)等级越高,任务的难度就会越高.在SERVER里,你还可以买到更厉害的软件和硬件,让你容易完成任务。

51CTO – 黑客游戏系列（中文） – 实战攻防类
第一季【原创：黑客游戏Ⅰ】危险的telnet（http://bbs.51cto.com/thread-659015-1.html）
第二季【原创：黑客游戏Ⅱ】致命的SA权限（http://bbs.51cto.com/thread-659512-1.html）
第三季【原创：黑客游戏Ⅲ】神秘的远程桌面端口（http://bbs.51cto.com/thread-659854-1.html）

MOX-X （英文）- 综合类
http://www.mod-x.co.uk/main.php

Hacker Evolution （英文） – 模拟攻防类（需下载游戏）
http://www.hackerevolution.org/

路路解密破解游戏（中文）- 综合类
http://www.666666666666.com/Index.Asp

Arthur’s Online Riddle（中文）- 网页过关类
http://riddle.arthurluk.net/

Level Game （英文）趣味过关游戏（FLASHGAME）
http://www.levelgame.net/

sqybi 的解谜游戏（中文）- 网页过关类
http://sqybi.com/game/

NotPron （中英文） – 解密类游戏（这个游戏是我的最爱）
中文版: http://deathball.net/notpron/china/notpron.htm 目前只有8关而已
英文版: http://deathball.net/notpron/levelone.htm 有132关,全球只有82人通关咯

有道谜题（中文）- 推理游戏 – FLASHGAME
http://www.youdao.com/nanti/mi2010/

『中安网培』黑客游戏（中文）- 网页过关类（貌似最后几关坏掉了）
http://game.enet.org.cn/

Hack The Game（英文）- 模拟攻防类（需下载游戏）
http://chaozz.deepunder.dk/index.php?dir=released/hackthegame/

游戏中玩家扮演黑客，完成各种入系统入侵任务，之后会有酬金和提升名气。目前网络上各种真伪日益盛行，有兴趣的朋友可以亲身体验一下，过一回当黑客的瘾哟

黑客榜中榜（中文） – 网页过关类
http://www.cn-hack.cn/qs/5.htm

PCSEC’Game（中文） – 网页过关类
http://www.pcsec.org/game/

黑客游戏（英文）
http://www.chaozz.nl/?downloadid=20&type=ziponly

国外黑客游戏集锦
http://hackergames.net/

以后会写一些游戏破关的思路，另外如果有其他黑客游戏地址的朋友，麻烦请通知我，我会加到列表里的。

解决 GoAgent 证书无效警告

2013-02-10T17:23:00.002+08:00

-->解决 GoAgent 证书无效警告
发表于 2011 年 10 月 27 日
GoAgent 是我当前首选的代理工具，除了稳定的速度，最给力的就是能在教育网实现穿墙。如果要说有什么不足的话，就是一个月一天只有1G的流量（每个GAE帐号），不嫌麻烦的话可以多申请几个，每个gmail帐户可以免费开通10个Application。

GoAgent 项目主页
http://code.google.com/p/goagent/
Goagent 是一个使用 Python 和 Google Appengine SDK 编写的代理软件，可以运行在Windows/Mac/Linux/Andorid/iTouch/iPhone/iPad上。

GoAgent 的配置方法很简单，需要拥有一个 Google 帐号，然后申请一个 GAE 空间，第一次申请 GAE 空间时需要用手机接收短信验证码。具体的操作可以参考 GoAgent 项目主页。

如果你在使用 GoAgent 时遇到证书无效问题，请按以下方法解决：

这里以Chrome浏览器为例，理论上只要证书正确导入系统，就可以了。

Ubuntu 系统：

打开 Chrome 浏览器
首选项 > 高级选项 > 管理证书…
在授权中心导入 GoAgent/local 目录下的 CA.crt 证书
（注意不要导入到服务器，否则不起作用）
在授权中心找到 GoAgent CA 并点击修改…
修改信任设置为全部选中
重启浏览器
Windows 系统：

打开 Chrome 浏览器
选项 > 高级选项 > 管理证书…
导入证书 > 下一步 > 选择 GoAgent/local 目录下的 CA.crt 证书 > 下一步 > 选择证书存储：浏览… > 受信任的根证书颁发机构 > 下一步 … > 完成
重启浏览器
MAC 系统：

双击 GoAgent/local 目录下的 CA.crt 证书导入到系统
在 Launchpad > 实用工具 > 钥匙串访问 > 系统中找到 GoAgent CA 并双击
选择信任 > 使用此证书时 > 总是信任
重启浏览器
然后，恭喜你，自由了！F＊GFW
2012/06/17 UPDATE：Windows 平台下大多情况其实是因为360或其它安全工具阻止了 goagent 自带的证书管理工具——certmgr.exe的运行，所以导致原本随goagent启动的证书导入过程失败而出现这个问题。这种情况只要把360黑名单中的certmgr.exe添加到白名单即可。
2012/09/11 UPDATE: 经过观察，还发现360之流会通过修改系统时间使证书失效，网页中提示证书过期多数是这种情况。这时候只需要将系统时间修改至当然时间即可。

Monyer网页闯关游戏攻略

2013-02-10T17:17:00.000+08:00

最近遇到了好多网页闯关游戏。

比如有名的 pythonchallenge

再比如 http://riddle.arthurluk.net/

今晚做了 http://monyer.com/game/game1/

虽然只有15关，但感觉非常好，强烈推荐！

它让我学到了javascript的一些知识，还有基本的cookies、session、sql注入等知识，很有趣！

我花了几个小时，在参考答案的帮助下通关啦！

下面是我的通关攻略，不过我觉得首页上那个官方的攻略写的非常详细，比我的要好很多

0-1 查看源码，直接点击链接

1-2 查看源码，在框里输入两个空格点提交，或者直接打hello.php

2-3 用chrome f12 里面的console直接运行一下代码，知道a=424178
或者直接在地址栏输入javascript:alert(a)，因为a的结果已经在页面加载的时候计算过了

3-4 运行下js知道密码是d4g

4-5 有个重定向，所以直接查源码：
view-source:http://monyer.com/game/game1/d4g.php

运行上面一段代码是"3bhe"
运行下面一段代码是"a=a.toUpperCase()+1;"
答案是

http://monyer.com/game/game1/3BHE1.php

5-6 这一关没做出来，答案是http://monyer.com/game/game1/seventeen7.php

6-7 很多网站md5逆向竟然要收费，哎，答案是

http://monyer.com/game/game1/eighteen8.php

7-8 注意这个not found 和出错是不同的哦

8-9 这个写个暴力程序毫无压力

9-10 盯着美女看了好久，试了几种都失败了，看答案，原来是下载图片改成txt再拖到最下面哈 http://monyer.com/game/game1/MonyerLikeYou_the10level.php

10-11 最好的办法是先运行
javascript:alert(document.cookie="username=admin")
然后刷新就行啦

http://monyer.com/game/game1/doyouknow.php

11-12直接改url

http://monyer.com/game/game1/doyouknow.php?action=show_login_true

12-13 百度搜base64解密，然后联系解密两次就行啦，出现%xx那些东西用谷歌随便搜个中午，然后把地址栏里面%xx改成搜到的，就知道字符是什么了，连续2次，答案是：

http://monyer.com/game/game1/sobeautiful.php

然后发现盗链了，说明直接输入地址的报文里来源是空的，要求从本站来
比较麻烦的办法是用socket伪造请求报文
比较好的办法是利用前面一个以免会把请求的代码输出，于是构造
<a href=sobeautiful.php>haha</a>
点击提交，就出现过关链接啦！

13-14 看了源码，把数据库链接都告诉你了，显然是sql注入题哈！
文本框输入'or''='
sql变成select password,pwd from [user] where pwd=''or''=''
原有''之间增加了''=''的恒真式，哈哈！
答案：http://monyer.com/game/game1/whatyouneverknow.php

14-15 这个不会，直接看答案了：
ipasscrackme.php
想加入过关名单，必须通过cookies 和session两关，如果没记录的话，过去重打一下，不麻烦

ps:
我的好友techird发现：
第七关不是有图片吗，我看图片路径是img/tupian1.jpg，然后猜想密码可能是img/tupian17.jpg，然后发现不是，我就直接访问img目录，竟然可以看到所有文件……
然后就全破了

linux磁盘分区详解

2012-10-06T00:53:00.003+08:00

-->在学习 Linux 的过程中，安装 Linux 是每一个初学者的第一个门槛。在这个过程中间，最大的困惑莫过于给硬盘进行分区。虽然，现在各种发行版本的 Linux 已经提供了友好的图形交互界面，但是很多的人还是感觉无从下手。这其中的原因主要是不清楚 Linux 的分区规定，以及它下面最有效的分区工具― Fdisk 的使用方法。

首先我们要对硬盘分区的基本概念进行一些初步的了解，硬盘的分区主要分为基本分区（primary partion）和扩充分区(extension partion)两种，基本分区和扩充分区的数目之和不能大于四个。且基本分区可以马上被使用但不能再分区。扩充分区必须再进行分区后才能使用，也就是说它必须还要进行二次分区。那么由扩充分区再分下去的是什么呢？它就是逻辑分区（logical partion），况且逻辑分区没有数量上限制。

对习惯于使用dos或windows的用户来说，有几个分区就有几个驱动器，并且每个分区都会获得一个字母标识符，然后就可以选用这个字母来指定在这个分区上的文件和目录，它们的文件结构都是独立的，非常好理解。但对这些初上手 red hat linux的用户，可就有点恼人了。因为对red hat linux用户来说无论有几个分区，分给哪一目录使用，它归根结底就只有一个根目录，一个独立且唯一的文件结构。red hat linux中每个分区都是用来组成整个文件系统的一部分，因为它采用了一种叫“载入”的处理方法，它的整个文件系统中包含了一整套的文件和目录，且将一个分区和一个目录联系起来。这时要载入的一个分区将使它的存储空间在一个目录下获得。

对windows用户来说，操作系统必须装在同一分区里，它是商业软件! 所以你没有选择的余地！对red hat linux来说，你有了较大的选择余地，你可以把系统文件分几个区来装（必须要说明载入点），也可以就装在同一个分区中（载入点是“/”）。

下面从这两个方面入手，来讲解这个困扰大家的问题。

Linux 的分区规定

　　 1. 设备管理

在 Linux 中，每一个硬件设备都映射到一个系统的文件，对于硬盘、光驱等 IDE 或 SCSI 设备也不例外。Linux 把各种 IDE 设备分配了一个由 hd 前缀组成的文件；而对于各种 SCSI 设备，则分配了一个由 sd 前缀组成的文件。

对于ide硬盘，驱动器标识符为“hdx~”,其中“hd”表明分区所在设备的类型，这里是指ide硬盘了。“x”为盘号（a为基本盘，b为基本从属盘，c为辅助主盘，d为辅助从属盘）,“~”代表分区，前四个分区用数字1到4表示，它们是主分区或扩展分区，从5开始就是逻辑分区。例，hda3表示为第一个ide硬盘上的第三个主分区或扩展分区,hdb2表示为第二个ide硬盘上的第二个主分区或扩展分区。对于scsi硬盘则标识为“sdx~”，scsi硬盘是用“sd”来表示分区所在设备的类型的，其余则和ide硬盘的表示方法一样，不在多说。

例如，第一个 IDE 设备，Linux 就定义为 hda；第二个 IDE 设备就定义为 hdb；下面以此类推。而 SCSI 设备就应该是 sda、sdb、sdc 等。

2. 分区数量

要进行分区就必须针对每一个硬件设备进行操作，这就有可能是一块IDE硬盘或是一块SCSI硬盘。对于每一个硬盘（IDE 或 SCSI）设备，Linux 分配了一个 1 到 16 的序列号码，这就代表了这块硬盘上面的分区号码。
　　例如，第一个 IDE 硬盘的第一个分区，在 Linux 下面映射的就是 hda1，第二个分区就称作是 hda2。对于SCSI 硬盘则是 sda1、sdb1 等。

3. 各分区的作用

在 Linux 中规定，每一个硬盘设备最多能有 4个主分区（其中包含扩展分区）构成，任何一个扩展分区都要占用一个主分区号码，也就是在一个硬盘中，主分区和扩展分区一共最多是 4 个。
　　对于早期的 DOS 和 Windows（Windows 2000 以前的版本），系统只承认一个主分区，可以通过在扩展分区上增加逻辑盘符（逻辑分区）的方法，进一步地细化分区。

主分区的作用就是计算机用来进行启动操作系统的，因此每一个操作系统的启动，或者称作是引导程序，都应该存放在主分区上。

这就是主分区和扩展分区及逻辑分区的最大区别。　　

我们在指定安装引导 Linux 的 bootloader 的时候，都要指定在主分区上，就是最好的例证。
　　Linux 规定了主分区（或者扩展分区）占用 1 至 16 号码中的前 4 个号码。以第一个 IDE 硬盘为例说明，主分区（或者扩展分区）占用了 hda1、hda2、hda3、hda4，而逻辑分区占用了 hda5 到 hda16 等 12 个号码。
　　因此，Linux 下面每一个硬盘总共最多有 16 个分区。
　　对于逻辑分区，Linux 规定它们必须建立在扩展分区上（在 DOS 和 Windows 系统上也是如此规定），而不是主分区上。
　　因此，我们可以看到扩展分区能够提供更加灵活的分区模式，但不能用来作为操作系统的引导。除去上面这些各种分区的差别，我们就可以简单地把它们一视同仁了。
　　4. 分区指标　　

对于每一个 Linux 分区来讲，分区的大小和分区的类型是最主要的指标。容量的大小读者很容易理解，但是分区的类型就不是那么容易接受了。分区的类型规定了这个分区上面的文件系统的格式。
　　Linux 支持多种的文件系统格式，其中包含了我们熟悉的FAT32、FAT16、NTFS、HP-UX，以及各种 Linux特有的 Linux Native和 Linux Swap分区类型。
　　在 Linux 系统中，可以通过分区类型号码来区别这些不同类型的分区。各种类型号码在介绍Fdisk的使用方式的时候将会介绍。
5 常用分区

/boot分区，它包含了操作系统的内核和在启动系统过程中所要用到的文件，建这个分区是有必要的，因为目前大多数的pc机要受到bios的限制,况且如果有了一个单独的/boot启动分区，即使主要的根分区出现了问题，计算机依然能够启动。这个分区的大小约在50mb—100mb之间。但是如果想用lilo启动red hat linux系统的话，含有/boot的分区必须完全在柱面1023以下。又由于8gb后的数据lilo不能读取，所以red hat linux要安装在8gb的区域以内。

/usr分区，是red hat linux系统存放软件的地方，如有可能应将最大空间分给它。

/home分区，是用户的home目录所在地，这个分区的大小取决于有多少用户。如果是多用户共同使用一台电脑的话，这个分区是完全有必要的，况且根用户也可以很好地控制普通用户使用计算机，如对用户或者用户组实行硬盘限量使用，限制普通用户访问哪些文件等。其实单用户也有建立这个分区的必要，因为没这个分区的话，那么你只能以根用户的身份登陆系统，这样做是危险的，因为根用户对系统有绝对的使用权，可一旦你对系统进行了误操作，麻烦也就来了。

/var/log分区，是系统日志记录分区，如果设立了这一单独的分区，这样即使系统的日志文件出现了问题，它们也不会影响到操作系统的主分区。

/tmp分区，用来存放临时文件。这对于多用户系统或者网络服务器来说是有必要的。这样即使程序运行时生成大量的临时文件，或者用户对系统进行了错误的操作，文件系统的其它部分仍然是安全的。因为文件系统的这一部分仍然还承受着读写操作，所以它通常会比其它的部分更快地发生问题。

/bin分区，存放标准系统实用程序。

/dev分区，存放设备文件。

/opt分区，存放可选的安装的软件。

/sbin分区，存放标准系统管理文件。

上面介绍了几个常用的分区，一般来说我们需要一个swap分区，一个/boot分区，一个/usr分区，一个/home 分区，一个/var/log分区。当然这没有什么规定，完全是依照你个人来定的。但记住至少要有两个分区，一个swap分区，一个/分区。

Fdisk 使用详解

下面通过介绍 Fdisk 的使用方法，来巩固上面所学到的各种关于 Linux 分区的知识。
　　Fdisk 是各种 Linux 发行版本中最常用的分区工具，是被定义为 Expert 级别的分区工具，它让初学者有点望而却步。
　　1. Fdisk 参数说明
　　运行Fdisk的时候，首先映入眼帘的是欢迎界面，用户通过在这个界面中输入命令参数来操作Fdisk。用户通过提示键入 “m”，可以显示 Fdisk 命令各个参数的说明。读者可以看到 Fdisk 有很多参数，可是经常使用的就是几个，如果读者熟练掌握这几个参数就可以流畅地运用 Fdisk，对 Linux 的硬盘进行分区。我们先简单介绍各个参数的意义，然后详细说明几个重点参数。
　　用户在 Linux 中进行分区的时候，最常用的参数分别是 d、l、m、n、p、q、t、w 等。

2.用 Fdisk 进行分区

在 Linux 分区过程，一般是先通过 p 参数来显示出硬盘分区表信息，然后根据信息确定将来的分区。如果想完全改变硬盘的分区格式，就可以通过 d 参数一个个删除存在的硬盘分区。

例如 d1，d2。删除完毕，就可以通过 n 参数来增加新的分区。当按下 “n” 后，我们就可以看到新增的分区。这里要选择新建的分区类型，是主分区还是扩展分区；然后选择 p 或是 e。它们的区别在上文中已经说明。然后就是设置分区的大小。需要提醒注意的是，如果硬盘上有扩展分区，就只能增加逻辑分区，不能增加扩展分区了，在增加分区的时候，其类型都是默认的 Linux Native，如果需要把其中的某些分区改变为其它类型，例如Linux Swap 或 FAT32 等，可以通过命令 t 来改变，当按下 “t” 改变分区类型的时候，系统会提示要改变哪个分区，并且改变为什么类型（如果想知道系统所支持的分区类型，键入 l）。Linux 所支持的分区类型号码和其对应的分区类型，可以参考表 2（这些信息可以用 l 命令得到）。改变完了分区类型，就可以按下 “w”，保存并且退出。如果不想保存，那么可以选择 “q” 直接退出。

fdisk 是一款强大的磁盘操作工具，来自util-linux软件包，我们在这里只说他如何查看磁盘分区表及分区结构；参数 -l ，通过-l 参数，能获得机器中所有磁盘的个数，也能列出所有磁盘分区情况；

[root@localhost beinan]# fdisk -l
Disk /dev/hda: 80.0 GB, 80026361856 bytes
255 heads, 63 sectors/track, 9729 cylinders
Units = cylinders of 16065 * 512 = 8225280 bytes

   Device Boot      Start         End      Blocks   Id System
/dev/hda1   *           1         765     6144831    7 HPFS/NTFS
/dev/hda2             766        2805    16386300    c W95 FAT32 (LBA)
/dev/hda3            2806        7751    39728745    5 Extended
/dev/hda5            2806        3825     8193118+ 83 Linux
/dev/hda6            3826        5100    10241406   83 Linux
/dev/hda7            5101        5198      787153+ 82 Linux swap / Solaris
/dev/hda8            5199        6657    11719386   83 Linux
/dev/hda9            6658        7751     8787523+ 83 Linux

在上面Blocks中，表示的是分区的大小，Blocks的单位是byte ，我们可以换算成M，比如第一个分区/dev/hda1的大小如果换算成M，应该是6144831/1024=6000M，也就是6G左右，其实没有这么麻烦，粗略的看一下把小数点向前移动三位，就知道大约的体积有多大了；
System 表示的文件系统，比如/dev/hda1 是NTFS格式的；/dev/hda2 表示是fat32格式的文件系统；.

在此例中，我们要特别注意的是/dev/hda3分区，这是扩展分区；他下面包含着逻辑分区，其实这个分区相当于一个容器；从属于她的有 hda5,hda6,hda7,hda8,hda9 ；

我们还注意到一点，怎么没有hda4呢？为什么hda4没有包含在扩展分区？一个磁盘最多有四个主分区；hda1-4算都是主分区；hda4不可能包含在扩展分区里，另外扩展分区也算主分区；在本例中，没有hda4这个分区，当然我们可以把其中的一个分区设置为主分区，只是我当时分区的时候没有这么做而已；

再仔细统计一下，我们看一看这个磁盘是不是还有空间？hda1+hda2+hda3=实际已经分区的体积，所以我们可以这样算 hda1+hda2+hda3=6144831+16386300+39728745 = 62259876 (b)，换算成M单位，小数点向前移三位，所以目前已经划分好的分区大约占用体积是62259.876(M)，其实最精确的计算62259876/1024=60800.67（M）；而这个磁盘大小是80.0 GB （80026361856byte)，其实实际大小也就是78150.744（M）；通过我们一系列的计算，我们可以得出这个硬盘目前还有使用的空间；大约还有18G未分区的空间；

我们也可以指定fdisk -l 来查看其中一个硬盘的分区情况；

[root@localhost beinan]# fdisk -l /dev/sda

Disk /dev/sda: 60.0 GB, 60011642880 bytes
64 heads, 32 sectors/track, 57231 cylinders
Units = cylinders of 2048 * 512 = 1048576 bytes

Device Boot Start End Blocks Id System
/dev/sda1 1 57231 58604528 83 Linux

通过上面情况可以知道，在/dev/sda 这个磁盘中，只有一个分区；使用量差不多是百分百了；

我们还可以来查看 /dev/hda的

[root@localhost beinan]# fdisk -l /dev/hda

自己试试看？

我们也可以通过: cat /proc/partitions查看目前机器中的所有磁盘及分区情况

df 命令；
df 是来自coreutils 软件包，系统安装时，就自带的；我们通过这个命令可以查看磁盘的使用情况以及文件系统被挂载的位置；

举例：

[root@localhost beinan]# df -lh

Filesystem 容量已用可用已用% 挂载点

/dev/hda8 11G 6.0G 4.4G 58% /

/dev/shm 236M 0 236M 0% /dev/shm

/dev/sda1 56G 22G 35G 39% /mnt/sda1

我们从中可以看到,系统安装在/dev/hda8 ；还有一个56G的磁盘分区/dev/sda1挂载在 /mnt/sda1中；

其它的参数请参考 man df

通过以上两个方面的学习，相信对于初学者来说，分区已经不再是 Linux 进阶中的绊脚石了。

udev的实现原理

2012-10-06T00:50:00.002+08:00

udev实现原理

转载时请注明出处和作者联系方式：http://blog.csdn.net/absurd

作者联系方式：李先静<xianjimli at hotmail dot com>

更新时间：2007-4-29

相对于linux来说，udev还是一个新事物。然而，尽管它03年才出现，尽管它很低调(J)，但它无疑已经成为linux下不可或缺的组件了。udev是什么？它是如何实现的？最近研究Linux设备管理时，花了一些时间去研究udev的实现。

udev是什么？u 是指user space，dev是指device，udev是用户空间的设备驱动程序吗？最初我也这样认为，调试内核空间的程序要比调试用户空间的程序复杂得多，内核空间的程序的BUG所引起的后果也严重得多，device driver是内核空间中所占比较最大的代码，如果把这些device driver中硬件无关的代码，从内核空间移动到用户空间，自然是一个不错的想法。

但我的想法并不正确，udev的文档是这样说的，

1. dynamic replacement for /dev。作为devfs的替代者，传统的devfs不能动态分配major和minor的值，而major和minor非常有限，很快就会用完了。udev能够像DHCP动态分配IP地址一样去动态分配major和minor。

2. device naming。提供设备命名持久化的机制。传统设备命名方式不具直观性，像/dev/hda1这样的名字肯定没有boot_disk这样的名字直观。udev能够像DNS解析域名一样去给设备指定一个有意义的名称。

3. API to access info about current system devices 。提供了一组易用的API去操作sysfs，避免重复实现同样的代码，这没有什么好说的。

我们知道，用户空间的程序与设备通信的方法，主要有以下几种方式，

1. 通过ioperm获取操作IO端口的权限，然后用inb/inw/ inl/ outb/outw/outl等函数，避开设备驱动程序，直接去操作IO端口。（没有用过）

2. 用ioctl函数去操作/dev目录下对应的设备，这是设备驱动程序提供的接口。像键盘、鼠标和触摸屏等输入设备一般都是这样做的。

3. 用write/read/mmap去操作/dev目录下对应的设备，这也是设备驱动程序提供的接口。像framebuffer等都是这样做的。

上面的方法在大多数情况下，都可以正常工作，但是对于热插拨(hotplug)的设备，比如像U盘，就有点困难了，因为你不知道：什么时候设备插上了，什么时候设备拔掉了。这就是所谓的hotplug问题了。

处理hotplug传统的方法是，在内核中执行一个称为hotplug的程序，相关参数通过环境变量传递过来，再由hotplug通知其它关注hotplug事件的应用程序。这样做不但效率低下，而且感觉也不那么优雅。新的方法是采用NETLINK实现的，这是一种特殊类型的socket，专门用于内核空间与用户空间的异步通信。下面的这个简单的例子，可以监听来自内核hotplug的事件。

#include <stdio.h>

#include <stdlib.h>

#include <string.h>

#include <ctype.h>

#include <sys/un.h>

#include <sys/ioctl.h>

#include <sys/socket.h>

#include <linux/types.h>

#include <linux/netlink.h>

#include <errno.h>

static int init_hotplug_sock(void)

{

struct sockaddr_nl snl;

const int buffersize = 16 * 1024 * 1024;

int retval;

memset(&snl, 0x00, sizeof(struct sockaddr_nl));

snl.nl_family = AF_NETLINK;

snl.nl_pid = getpid();

snl.nl_groups = 1;

int hotplug_sock = socket(PF_NETLINK, SOCK_DGRAM, NETLINK_KOBJECT_UEVENT);

if (hotplug_sock == -1) {

printf("error getting socket: %s", strerror(errno));

return -1;

}

/* set receive buffersize */

setsockopt(hotplug_sock, SOL_SOCKET, SO_RCVBUFFORCE, &buffersize, sizeof(buffersize));

retval = bind(hotplug_sock, (struct sockaddr *) &snl, sizeof(struct sockaddr_nl));

if (retval < 0) {

printf("bind failed: %s", strerror(errno));

close(hotplug_sock);

hotplug_sock = -1;

return -1;

}

return hotplug_sock;

}

#define UEVENT_BUFFER_SIZE 2048

int main(int argc, char* argv[])

{

int hotplug_sock = init_hotplug_sock();

while(1)

{

char buf[UEVENT_BUFFER_SIZE*2] = {0};

recv(hotplug_sock, &buf, sizeof(buf), 0);

printf("%s/n", buf);

}

return 0;

}

编译：

gcc -g hotplug.c -o hotplug_monitor

运行后插/拔U盘，可以看到：

add@/devices/pci0000:00/0000:00:1d.1/usb2/2-1

add@/devices/pci0000:00/0000:00:1d.1/usb2/2-1/usbdev2.2_ep00

add@/devices/pci0000:00/0000:00:1d.1/usb2/2-1/2-1:1.0

add@/class/scsi_host/host2

add@/devices/pci0000:00/0000:00:1d.1/usb2/2-1/2-1:1.0/usbdev2.2_ep81

add@/devices/pci0000:00/0000:00:1d.1/usb2/2-1/2-1:1.0/usbdev2.2_ep02

add@/devices/pci0000:00/0000:00:1d.1/usb2/2-1/2-1:1.0/usbdev2.2_ep83

add@/class/usb_device/usbdev2.2

add@/devices/pci0000:00/0000:00:1d.1/usb2/2-1/2-1:1.0/host2/target2:0:0/2:0:0:0

add@/class/scsi_disk/2:0:0:0

add@/block/sda

add@/block/sda/sda1

add@/class/scsi_device/2:0:0:0

add@/class/scsi_generic/sg0

remove@/devices/pci0000:00/0000:00:1d.1/usb2/2-1/2-1:1.0/usbdev2.2_ep81

remove@/devices/pci0000:00/0000:00:1d.1/usb2/2-1/2-1:1.0/usbdev2.2_ep02

remove@/devices/pci0000:00/0000:00:1d.1/usb2/2-1/2-1:1.0/usbdev2.2_ep83

remove@/class/scsi_generic/sg0

remove@/class/scsi_device/2:0:0:0

remove@/class/scsi_disk/2:0:0:0

remove@/block/sda/sda1

remove@/block/sda

remove@/devices/pci0000:00/0000:00:1d.1/usb2/2-1/2-1:1.0/host2/target2:0:0/2:0:0:0

remove@/class/scsi_host/host2

remove@/devices/pci0000:00/0000:00:1d.1/usb2/2-1/2-1:1.0

remove@/class/usb_device/usbdev2.2

remove@/devices/pci0000:00/0000:00:1d.1/usb2/2-1/usbdev2.2_ep00

remove@/devices/pci0000:00/0000:00:1d.1/usb2/2-1

udev的主体部分在udevd.c文件中，它主要监控来自4个文件描述符的事件/消息，并做出处理：

1. 来自客户端的控制消息。这通常由udevcontrol命令通过地址为/org/kernel/udev/udevd的本地socket，向udevd发送的控制消息。其中消息类型有：

l UDEVD_CTRL_STOP_EXEC_QUEUE 停止处理消息队列。

l UDEVD_CTRL_START_EXEC_QUEUE 开始处理消息队列。

l UDEVD_CTRL_SET_LOG_LEVEL 设置LOG的级别。

l UDEVD_CTRL_SET_MAX_CHILDS 设置最大子进程数限制。好像没有用。

l UDEVD_CTRL_SET_MAX_CHILDS_RUNNING 设置最大运行子进程数限制(遍历proc目录下所有进程，根据session的值判断)。

l UDEVD_CTRL_RELOAD_RULES 重新加载配置文件。

2. 来自内核的hotplug事件。如果有事件来源于hotplug，它读取该事件，创建一个udevd_uevent_msg对象，记录当前的消息序列号，设置消息的状态为EVENT_QUEUED,然后并放入running_list和exec_list两个队列中，稍后再进行处理。

3. 来自signal handler中的事件。signal handler是异步执行的，即使有signal产生，主进程的select并不会唤醒，为了唤醒主进程的select，它建立了一个管道，在signal handler中，向该管道写入长度为1个子节的数据，这样就可以唤醒主进程的select了。

4. 来自配置文件变化的事件。udev通过文件系统inotify功能，监控其配置文件目录/etc/udev/rules.d，一旦该目录中文件有变化，它就重新加载配置文件。

其中最主要的事件，当然是来自内核的hotplug事件，如何处理这些事件是udev的关键。udev本身并不知道如何处理这些事件，也没有必要知道，因为它只实现机制，而不实现策略。事件的处理是由配置文件决定的，这些配置文件即所谓的rule。

关于rule的编写方法可以参考《writing_udev_rules》，udev_rules.c实现了对规则的解析。

在规则中，可以让外部应用程序处理某个事件，这有两种方式，一种是直接执行命令，通常是让modprobe去加载驱动程序，或者让mount去加载分区。另外一种是通过本地socket发送消息给某个应用程序。

在udevd.c:udev_event_process函数中，我们可以看到，如果RUN参数以”socket:”开头则认为是发到socket，否则认为是执行指定的程序。

下面的规则是执行指定程序：

60-pcmcia.rules: RUN+="/sbin/modprobe pcmcia"

下面的规则是通过socket发送消息：

90-hal.rules:RUN+="socket:/org/freedesktop/hal/udev_event"

hal正是我们下一步要关心的，接下来我会分析HAL的实现原理。

~~end~~

对linux交换分区swap的一些认识总结

2012-10-06T00:49:00.002+08:00

　　swap是所有linuxer都会接触，但是大部分人都不会关注的东西。实际上，小东西也有大学问，这不，一个关于swap的问题就在cu.linux上讨论得热火朝天的，我在这里总结在一起，绝对对各位大有帮助。要看具体讨论，请去这里。详细内容如下：

　　在debian 和 fedora的文档中，都看到有说明，swap分区最好不要超过2G。实际上，对于linux 2.6以上的内核，可以直接支持不大于64G的内存。ext3等日志型文件系统，也可以直接支持超过2G的单个文件，所以，对于64G以内的swap，在文件系统支持的情况下，建立成一个单独的分区或文件，不会影响系统的performace。

　　Linus曾经在一个mail讨论中指出：

　　In the course of discussion, it became clear that Linux 2.4.x required more swap than previous versions. Rik van Riel mentioned, “2.4 keeps dirty pages in the swap cache, so you will need more swap to run the same programs…” He asked Linus Torvalds, “is this something we want to keep or should we give the user the option to run in a mode where swap space is freed when we swap in something non-shared ?” Linus replied:

　　I’d prefer just documenting it and keeping it. I’d hate to have two fairly different modes of behaviour. It’s always been the suggested “twice the amount of RAM”, although there’s historically been the “Linux doesn’t really need that much” that we just killed with 2.4.x.

　　If you have 512MB of RAM, you can probably afford another 40GB or so of harddisk. They are disgustingly cheap these days.

　　Zlatko Calusic worried that more data in swap would degrade performance because the disk head would need more seek time to find data. He asked if Linus was sure this would be okay, and Linus replied, “I’m not _sure_, obviously. However, one thing I _am_ sure of is that the sticky page-cache simplifies some things enormously, and make some things possible that simply weren’t possible before.” . But in a nearby post he admitted, “the sticky allocation _might_ make the IO we do be more spread out.” He felt it was important to consider these kinds of potential downsides, though he felt that in this case the benefits outweighed the drawbacks; and at one point Eric W. Biederman explained succinctly, “The tradeoff when implemented correctly is that writes will tend to be more spread out and reads should be better clustered together.”

　　Zlatko ran some tests, and could not find any problems with the 2.4.0 memory management logic, though he added, “I have found that new kernel allocates 4 times more swap space under some circumstances. That may or may not be alarming, it remains to be seen.” At one point, Linus gave his overall take on 2.2/2.4 performance issues. He said:

　　I personally think 2.4.x is going to be as fast or faster at just about anything. We do have some MM issues still to hash out, and tuning to do, but I’m absolutely convinced that 2.4.x is going to be a _lot_ easier to tune than 2.2.x ever was. The “scan the page tables without doing any IO” thing just makes the 2.4.x memory management several orders of magnitude more flexible than 2.2.x ever was.

　　(This is why I worked so hard at getting the PageDirty semantics right in the last two months or so - and why I released 2.4.0 when I did. Getting PageDirty right was the big step to make all of the VM stuff possible in the first place. Even if it probably looked a bit foolhardy to change the semantics of “writepage()” quite radically just before 2.4 was released).

　　Elsewhere, he considered the case of swapless or low-swap machines:

　　If you don’t have any swap, or if you run out of swap, the major difference between 2.2.x and 2.4.x is probably going to be the oom handling: I suspect that 2.4.x might be more likely to kill things off sooner (but it tries to be graceful about which processes to kill).

　　Not having any swap is going to be a performance issue for both 2.2.x and 2.4.x - Linux likes to push inactive dirty pages out to swap where they can lie around without bothering anybody, even if there is no _major_ memory crunch going on.

　　If you do have swap, but it’s smaller than your available physical RAM, I suspect that the Linux-2.4 swap pre-allocate may cause that kind of performance degradation earlier than 2.2.x would have. Another way of putting this: in 2.2.x you could use a fairly small swap partition to pick up some of the slack, and in 2.4.x a really small swap-partition doesn’t really buy you much anything.

　　在讨论中，Linus明确的说明了，在Linux2.4.x中，内存管理(MM)策略的改变。就如 Windows98向Windows2000转变一样，微软在内存和交换区中保存了更多的脏页，而不是及时回收内存，大幅提高了系统的效率。(见 Widnows核心编程第18章的论述)。

　　Linus还指出，即使是512M内存，也可以分配高达40G的交换区，以提高系统的性能。Zlatko 在向Linus提出性能的质疑后，自己进行了验证。实验表明大交换区策略，没有增加磁盘I/O的流量。

　　那么，swap是不是必须的?很多人认为是，其实，普通意义上所谓的swap是内存的2倍只是一个给新手使用的经验值，实际使用swap的大小是根据程序对内存使用状况需要调整的。如果机器在运行时对内存的需求量不大，就没有必要要swap。

　　这个问题就变成了我不知道所有任务最大内存需求是多少，那怎么办?

　　可以1步1步来:

　　1 用swapoff 关掉所有swap 然后正常运行任务，如果出现内存不足的提示，就需要逐步增加swap。

　　2 一般来讲,物理内存达到256m，在安装时即可不用划分交换分区。

　　3 可以在安装后建立交换分区，或者建立交换文件。

公司的自动翻墙 VPN

2012-08-09T11:35:00.000+08:00

最近做了很多 IT 的活。比如这个项目。

需求:

1. 希望能够尽量透明地免设置地实现自动翻墙
2. 尽量不影响墙内站点的访问速度
3. 尽可能地节省成本（主要是流量成本）
4. 尽可能地便于维护和更新

参考:

1. autoproxy 主要用了他家的 gfwlist
2. chnroutes 参考了他家的配置
3. autoddvpn 参考了他家的生成路由表的脚本

设计：

为了尽量透明和免设置，也为了速度能够好一点，没有考虑用代理的方式而是用了 VPN 的方式。这带来了不少的麻烦，因为 autoproxy-gfwlist 是基于代理的而不是基于 VPN 的，后面会提到一些细节。
为了节省流量成本（也为了能够让墙内网站访问快一点），没有使用 chnroutes 那种将全部国外网站都走 VPN 的简单易维护的方式，而是准备使用类似于 autoddvpn gracemode 的方式。
公司有很多很多个网络出口。经过考虑，挑选了三个链接速度比较快的出口（广州联通，北京联通，杭州 BGP ）做了三个 VPN, 并且同时在这三个出口做了 NAT, 其他出口则设置路由表将墙外 IP 路由到这三个出口之一。
为了能够保证 GSLB, 特别是 DNS based GSLB 的有效性，不考虑将 DNS 整个走 VPN 来防止污染，而需要自建 DNS server 来确保没有被污染的域名走本地查询只有被污染的域名才 forward 到墙外去查询。

因此整个分为这么几快:

1. 墙外的 openvpn server, 自动更新墙外路由表并且 push 到墙内的三个出口
2. 墙内的三个出口处的 oenvpn client, 自动接收 openvpn server push 来的路由表并且应用。同时做 NAT
3. 墙内的其他出口，根据地理位置同步墙内的三个出口之一的路由表并且指向该出口
4. 防止 DNS 污染的 DNS recursive server, 广州，北京，杭州各一个
5. 监控

为了便于实现路由表的更新，我没有用 autoddvpn gracemode 里面的那种在 vpnup.sh 脚本里面添加路由表的方式，而是使用了 client-config-dir （需要比较新的 openvpn, 支持 client-config-dir 也就是 ccd 以及 push-continuation, 没有仔细查 changelog 来看最低版本要求，总之我用了 openvpn 2.2），将需要 push 的路由表放入 ccd 之中，配合 management console, 在更新了 ccd 之中的路由表之后在 console 里面踢掉所有 client, 这样 client 就会自动重连并且得到新的路由表， client 和 server 均无需重启。

client 和其他出口同步路由表，用脚本搞定

用 BIND 建了三个 DNS server（用 bind 不用 dnsmasq 的原因稍后再提）将被污染的域 forward 到 openvpn server 中 /etc/resolv.conf 里面的 DNS server 而其他域在本地做 recursive 查询。

整个架构是简单的。最大的难点在于: 1. 如何获得墙外 IP 列表并做出路由表给 openvpn ccd 使用 2. 如何获取被 DNS 污染的域名列表并做出 forward 列表给 BIND 使用。

这里我们唯一的资源只有 autoproxy-gfwlist, 但是这个 list 是为了代理使用的。没有区分 IP 屏蔽和 DNS 污染，也没有给出每个域名的 IP 具体是什么。因此在 autoddvpn 里面，使用了一个脚本来扫 autoproxy-gfwlist 里面的全部域名，一个一个查询其 IP, 并且将相关的 IP 段整个加入路由表中，同时将 autoproxy-gfwlist 里面所有的域名均加入 BIND 的 forward list 中。

这样得到的两个列表，首先存在大量的冗余，因为只有 DNS 污染的也被加到路由表了，其次都是有问题需要修正的。但是又没有更好的方法去生成列表了。

修正:

1. redirect 和其他资源
autoddvpn 的脚本没有考虑重定向的问题。例如 http://imdb.com/ 会被301重定向到 http://www.imdb.com/ 而 www.imdb.com 和 imdb.com 的 IP 是不同的。因此重定向之后不会走 VPN 而导致被重置，需要将 www.imdb.com 的 IP 加入路由表。
另外如果网页之中引用的其他资源（ css, js, frame, etc… ）不会被脚本所跟踪到。例如 http://zinio.com/ 中的全部图片是放置在 img.zinio.com 这个域的，而 zinio.com 和 img.zinio.com 的 IP 是不同的，需要将 img.zinio.com 的 IP 加入路由表。
一个更复杂的例子是 facebook. http://facebook.com/ 首先重定向到 http://www.facebook.com/, 然后引用了位于 static.ak.fbcdn.net 和 s-static.ak.fbcdn.net 的资源，这些资源同时还受到 DNS 污染。（还有更复杂的，那就是这些资源均指向了 CDN, CDN 的问题后面再说。）
解决这个问题，有个办法是修改脚本，让脚本能够跟踪重定向和跟踪引用的资源，但是这样大大增加了脚本运行的时间，而且大大增加了生成列表的冗余（脚本默认已经给了超过一千的路由表和域）。我目前采取的办法是根据同事的报告手工修正 -_-|||…
2. 关键词
目前的架构可以解决 IP 封锁和 DNS 污染两个问题，但是对于关键词的封锁没有太好的办法（除非像 chnroutes 那样将全部国外 IP 均路由到 VPN, 但这样影响速度，并且将导致极大的流量，是不可接受的）。对于非常重要和经常出现问题的几个站点，例如 google, wikipedia 等，我将他们的 IP 全部加入了 VPN, 这样虽然增加了流量（目前 google 的流量占了全部 VPN 流量的一半以上），但是方便了很多。
3. google.cn
google 是一个非常麻烦的例子。在将全部 google IP 加入 VPN 之后，出现了 google.cn 中的谷歌音乐拒绝来自国外 IP 访问的情况。必须将 google.cn 和 g.cn 的 IP 指向一个不走 VPN 的 IP. 但是 google 的 IP 都是通用服务（通过 host 来判断，每个 IP 都可以提供几乎所有服务），目前我采取的方法是将 google.cn 和 g.cn 均在 bind 里面强制指向了谷歌在国内的 IP, 这样就不走路由表并且还增加了速度。
4. CDN
CDN 是一个非常复杂的例子。因为 CDN 都是同时给大量网站提供服务，一旦 CDN 的 IP 进入路由表就会带来大量流量并且让不少墙内网站拖慢速度，而且 CDN 是很少被 IP 封锁的（影响太大），因此在 CDN 里面的 IP 我都尽量从路由表中去掉了。
但是 CDN 虽然不被 IP 封锁，被 DNS 污染却是很正常的。这里有个非常糟糕的事情是，为了能够照顾到 CDN 的 DNS based GSLB, 我们是不可能将 CDN 的域去 forward 到墙外查询的。因此出现这种情况只能特别处理。
例如对于 Facebook 的例子。 Facebook 引用了位于 static.ak.fbcdn.net 和 s-static.ak.fbcdn.net 的资源。 fbcdn.net 是被 DNS 和关键词污染的，因此需要将 fbcdn.net 加入 bind forwarder.
然后这两个域均指向了 CDN:
static.ak.fbcdn.net. IN CNAME static.ak.facebook.com.edgesuite.net.
s-static.ak.fbcdn.net. IN CNAME s-static.ak.fbcdn.net.edgekey.net.
这里我们不能将 edgesuite.net 和 edgekey.net 加入 forward list, 而需要加 facebook.com.edgesuite.net 和 fbcdn.net.edgekey.net
这样去解决 DNS 污染的问题
但是指向 CDN 的网站还会出现关键词污染的问题。 facebook 的例子中不存在这样的问题因为 facebook 全部资源均使用了 ssl （感谢上帝）， twitter 也一样（感谢上帝）。对于不使用 SSL 同时使用 CDN 的网站，还真没有什么好的办法，因为还是完全不能考虑将 CDN 的 IP 加入路由表。在 CDN 使用 SSL 还是有点麻烦的，感谢这些网站都做了实现。。。

原文：https://blog.steamedfish.org/2012/05/22/auto-break-wall-vpn/

如何不受DNS污染

2012-08-09T10:56:00.000+08:00

这个话题，也是一直想写，现在有点时间了，就顺便写下吧，备忘和科普用吧。PS：使用此技能必须有个可用的VPN。没有的话，污染无解。还有我是针对Linux的，windows用户拜拜！

什么是DNS污染

回答这个问题之前，如果你不知道DNS的作用是什么，我可以简单的说，DNS的中文是域名系统，英文是Domain Name System，简称DNS，是因特网的一项业务服务，它作为可以将域名和IP地址相互映射的一个分布式数据库，能够使人更方便的访问互联网，而不用去记住能够被机器直接读取的IP数串。（抄自域名系统）
然后，DNS污染简单来说就是让找不到正确的IP，然后就没有然后，上不了网了，开着VPN也没用。

下面举个例子吧，下面同样域名得到差异很大的结果。如果我们使用国内的DNS服务器或者ISP提供的DNS服务器，就算开着VPN，我们也不能正常的DNS解析的。

[23:13:07] roowe@roowe-gentoo /tmp$ nslookup twitter.com 8.8.8.8
Server:         8.8.8.8
Address:        8.8.8.8#53

Non-authoritative answer:
Name:   twitter.com
Address: 199.59.148.82
Name:   twitter.com
Address: 199.59.149.230
Name:   twitter.com
Address: 199.59.150.39

[23:14:37] roowe@roowe-gentoo /tmp$ nslookup twitter.com 114.114.114.114
Server:         114.114.114.114
Address:        114.114.114.114#53

Non-authoritative answer:
Name:   twitter.com
Address: 46.82.174.68

How To Break

使用dnsmasq和resolvconf，每个Linux的发行版的源应该都有这两个工具，安装方法就不说了。

具体选项自己去看man吧。dnsmasq的配置大概如下，就是让国内的域名交给国内的114去解析。

no-resolv
no-poll
server=8.8.8.8
server=8.8.4.4
no-dhcp-interface=eth0
expand-hosts
server=/115.com/114.114.114.114
server=/126.com/114.114.114.114
server=/163.com/114.114.114.114
server=/17cdn.com/114.114.114.114
server=/51.la/114.114.114.114
server=/6rooms.com/114.114.114.114
server=/acfun.tv/114.114.114.114
server=/alimama.com/114.114.114.114
server=/alipay.com/114.114.114.114
server=/atpanel.com/114.114.114.114
server=/baidu.com/114.114.114.114
server=/bdimg.com/114.114.114.114
server=/bilibili.tv/114.114.114.114
server=/cn/114.114.114.114
server=/douban.com/114.114.114.114
server=/douban.fm/114.114.114.114
server=/gfan.com/114.114.114.114
server=/hoopchina.com/114.114.114.114
server=/iask.com/114.114.114.114
server=/ifeng.com/218.104.111.114
server=/ifengimg.com/218.104.111.114
server=/ku6.com/114.114.114.114
server=/ku6cdn.com/114.114.114.114
server=/lxdns.com/114.114.114.114
server=/microsoft.com/114.114.114.114
server=/mydrivers.com/114.114.114.114
server=/qq.com/114.114.114.114
server=/qstatic.com/114.114.114.114
server=/renren.com/114.114.114.114
server=/sogou.com/114.114.114.114
server=/sohu.com/114.114.114.114
server=/soso.com/114.114.114.114
server=/tanx.com/114.114.114.114
server=/taobao.com/114.114.114.114
server=/taobaocdn.com/114.114.114.114
server=/tbcache.com/114.114.114.114
server=/tdimg.com/114.114.114.114
server=/tencent.com/114.114.114.114
server=/thawte.com/114.114.114.114
server=/tmall.com/114.114.114.114
server=/tudou.com/114.114.114.114
server=/tudouui.com/114.114.114.114
server=/weibo.com/114.114.114.114
server=/wrating.com/114.114.114.114
server=/xiami.com/114.114.114.114
server=/xiami.net/114.114.114.114
server=/xunlei.com/114.114.114.114
server=/ykimg.com/114.114.114.114
server=/youku.com/114.114.114.114

resolvconf的作用就是 managing multiple DNS configurations，要不然resolv.conf配置全乱了，第一个都不是我们想要的127.0.0.1。

resolvconf配置如下。

resolv_conf=/etc/resolv.conf
name_servers=127.0.0.1

用了resolvconf之后，我们自动生成的resolv.conf配置大概如下：

[23:46:30] roowe@roowe-gentoo /tmp$ cat /etc/resolv.conf 
# Generated by resolvconf
nameserver 127.0.0.1
nameserver 8.8.8.8
nameserver 8.8.4.4

最后/etc/init.d/dnsmasq start下，就可以用了。也可以作为服务项加入自启动里面。

后话

科学上网，为国争光。

现在我们nslookup的结果大概如下。

[23:52:46] roowe@roowe-gentoo /tmp$ nslookup twitter.com
Server:         127.0.0.1
Address:        127.0.0.1#53

Non-authoritative answer:
Name:   twitter.com
Address: 199.59.150.39
Name:   twitter.com
Address: 199.59.150.7
Name:   twitter.com
Address: 199.59.148.10

Update:

2012-07-05 Thu

由于换工作室了，我又舍不得将自己的电脑搬过来，因为周六日回去华师宿舍的时候，没有电脑玩是很蛋疼的事情，这个时候就突然想拥有台笔记本咯。在这边的工作室，我就用着我们之前作为服务器的机子，机子虽破，少开几个google-chrome的TAB和不打开eclipse，应该还是能用的。

说回正题，这边服务器是之前安装的fedora16,用了gentoo之后，发现fedora很多包都更新得很慢，我虽然不是很热衷于新版本，但是现在有些新版本的feture是我需要呀，比如Xfce按住Alt+Tab之后的左右方向键在xfce-4.9是有效，但是在4.8版本是没有用的，囧！还有 Emacs还没有升级到24呀。想到这里，我就想马上搬我的电脑过来用gentoo。除了更新慢之外,还有些包没有，比如resolvconf这个包竟然没有。所以就没法管理resolv.conf了，但是为了使用dnsmasq，还是有办法的，在 /etc/sysconfig/network-scripts/ifcfg-p33p1（这个文件是我的，找你相应的）这个文件后面添加 DNS1=127.0.0.1，然后/etc/init.d/network restart下就好了。PS：我没用NetworkManager，这货坑爹的，直接用network来管理。

原文：http://www.iroowe.com/fuck_the_dns_pullution/