奇點: 2019

2019年8月7日星期三

听老妈子微信里面的西狗发嗡噏疯。大概意思係班废青嫌无出头，日日搞三搞四，哪无论中央给你什么利好政策，你地都係无办法搵到食，因为你地只会无厘头抗争，而唔识睇时务做人，就算畀你去美国，你都一样搵唔到食。
现在人家就是不想靠政策生活，要识时务者为俊杰。讲识时务的人天生就反对抗争，因为他靠识时务生存，一但无了时务，他就盲头污蝇无了方向。面对真正的议题依靠时务的人又是否可以有所激辩，而收起他复读机的本质呢？
老妈子仲要同我讲：“我觉得他讲得几好。”咁梗系啦，成个微信都係呢D仆街复读废噏。我得闲码字都不敢贴微信给你睇啦，因为我不识时务嘛，不是怕你一把年纪要上访，我怕给人抓去坐完，一身病痛加社会性死亡，惨过中风啊。

2019年4月8日星期一

利用谷歌云Google Cloud Platform搭建免费VPS

MENU

Search for:

利用谷歌云GOOGLE CLOUD PLATFORM搭建免费VPS/魔改BBR/SSR

利用谷歌云Google Cloud Platform搭建免费VPS/安装魔改BBR/秋水BBR/SSR

请务必使用一个可以稳定连接的vpn或ss进行设置，否则会断线。如果电脑实在不方便用手机也是可以设置的。

1. 首先需要一张双币或外币信用卡 VISA MASTER JCB AMEX等都可以，如果不放心可以使用招商银行信用卡，app可以随时开启和关闭境外刷卡权限

2. 科学上网的稳定环境，如果电脑真的上网环境不稳定，你可以考虑用手机搭建，方法是一样的，亲测可行！用chrome浏览器

3. 需要下载shadowsocksR客户端，可以到Github上下载

4. 谷歌账号，使用chrome浏览器

5. Google Cloud申请免费使用服务免费使用12个月。赠送价值300美金的试用额度，除非您明确同意，否则即使额度用尽，系统也不会自动向您收费

6.请在遵守您所在国家法律的情况下使用谷歌云

创建VPS

https://cloud.google.com/?hl=zh-cn

进入后选择免费试用

成功后，进入左侧结算，你应该可以看到下面截图，然后就可以开始创建了

创建VM实例

选择左面菜单Compute Engine-->VM实例

进入后创建实例

安装魔改BBR用上图配置，安装秋水最新的BBR，启动磁盘选择默认Debian GNU/Linux 9(stretch)，其它和上图一样

创建成功后的VM实例列表

验证VM实例IP速度，浏览器输入下面网址

http://www.ipip.net/traceroute.php

如果速度在100ms以内，就可以继续下面的配置了

配置服务器

1. VM实例列表后有ssh点击它后面的小三角，选择“在浏览器窗口中打开”

2. 连接后，输入: sudo -i

个人测速对比图100M联通带宽

魔改YankeeBBR最高9000K，图中为稳定后速度

秋水BBR最高25000K，图中为稳定后速度

3A.安装YankeeBBR

------------------------------------------------------------------------------------------------------

a)安装YankeeBBR，输入（以下命令行为一行，中间没有换行）：

wget -N --no-check-certificatehttps://raw.githubusercontent.com/FunctionClub/YankeeBBR/master/bbr.sh && bash bbr.sh install

b) 跳出一个YES/NO选择框，选择NO。然后选择Y重启

c) 按任意键后重新连接

d) 输入： sudo -i

e)输入：bash bbr.sh start

YankeeBBR安装结束

------------------------------------------------------------------------------------------------------

安装以上YankeeBBR后，秋水BBR请参照另一篇文章

4.安装shadowsocksR
输入（以下命令行为一行，中间没有换行）：

wget --no-check-certificatehttps://raw.githubusercontent.com/teddysun/shadowsocks_install/master/shadowsocksR.sh&& chmod +x shadowsocksR.sh

5. 输入：./shadowsocksR.sh

6. 看到下面界面，SSR就安装完了，下面是设置SSR

7. 输入密码：（自己SSR想用的密码，自己编）

8. 设置端口号：1-65535，比如5555

9. 后面的设置都是默认，直接回车就可以

10. 把自己设置的ssr IP，PORT,Password，Protocal，obfs,Encryption Metrod都记住，用于设置SSR软件

配置防火墙

将端口号设置为刚才记录下来的端口号

进入default-allow-http

多个端口用英文“,”分开

同样的方法设置default-allow-https

谷歌云安装与设置完毕了！可以用SSR连接测试一下。

通过电子邮件发送 BlogThis!共享给 Twitter 共享给 Facebook

POSTED IN 科学上网 ON 二月 27, 2018 BY UNKNOWN | 12 COMMENTS

较新的博文较早的博文主页

12 条评论:

Xabel H.H2018年3月15日上午8:32

秋水的输入y就重启不了了，直接连不上ssh了

Unknown2018年7月14日上午9:01

安装BBR后，显示内核卸载异常。不会跳出YES,NO选择框，怎么解决

Unknown2018年8月8日上午6:56

我是直接安装ssr好像可以用

Unknown2018年8月16日上午12:54

现在创建实力VM的时候，磁盘选择那里没有Linux 8可以选择，只有Linux 9。我把以前的实例删了，今天重新创建的时候只有选择Linux 9，但是在浏览器窗口打开输入代码安装YankeeBBR时，总是显示：内核卸载异常，请检查 ! 就没有办法继续了，大神，能不能针对现在的情况出个新教程啊，感谢！

匿名2018年8月17日下午6:39

wget -N --no-check-certificate https://raw.githubusercontent.com/FunctionClub/YankeeBBR/master/bbr.sh && bash bbr.sh install
*****内核卸载异常，请检查 !*******
*****执行以下指令删除旧内核后重新安装BBR*******
uname -a
dpkg --list | grep linux-image
dpkg --list | grep linux-headers
dpkg -l 'linux-*' | sed '/^ii/!d;/'"$(uname -r | sed "s/$.*$-$[^0-9]\+$/\1/")"'/d;s/^[^ ]* [^ ]* $[^ ]*$.*/\1/;/[0-9]/!d' | xargs sudo apt-get -y purge
wget -N --no-check-certificate https://raw.githubusercontent.com/FunctionClub/YankeeBBR/master/bbr.sh && bash bbr.sh install

匿名2018年8月19日下午11:22

磁盘选择那里没有Linux 8可以选择了，请问现在该选择哪个呢？

Unknown2018年8月19日上午4:06

你好，按照新的命令以后还是这样

卸载 linux-image-4.9.0-7-amd64
linux-image-amd64 内核卸载完成，继续...
内核卸载异常，请检查 !

Unknown2018年9月16日上午5:06

检测到 2 个其余内核，开始卸载...
开始卸载 linux-image-4.9.0-8-amd64 内核...
Reading package lists... Done
Building dependency tree
Reading state information... Done
You might want to run 'apt --fix-broken install' to correct these.
The following packages have unmet dependencies:
linux-headers-4.10.15-041015-generic : Depends: libssl1.0.0 (>= 1.0.0) but it is not installable
linux-image-amd64 : Depends: linux-image-4.9.0-8-amd64 but it is not going to be installed
E: Unmet dependencies. Try 'apt --fix-broken install' with no packages (or specify a solution).
卸载 linux-image-4.9.0-8-amd64 内核卸载完成，继续...
开始卸载 linux-image-4.9.0-8-amd64
linux-image-amd64 内核...
Reading package lists... Done
Building dependency tree
Reading state information... Done
You might want to run 'apt --fix-broken install' to correct these.
The following packages have unmet dependencies:
linux-headers-4.10.15-041015-generic : Depends: libssl1.0.0 (>= 1.0.0) but it is not installable
E: Unmet dependencies. Try 'apt --fix-broken install' with no packages (or specify a solution).
卸载 linux-image-4.9.0-8-amd64
linux-image-amd64 内核卸载完成，继续...
内核卸载异常，请检查 !

总是出现这个提示然后就跑步过去了，请问是什么原因呢大神？

匿名2018年9月21日上午1:55

我也遇到上面这情况，请大神赐教加微信 375000314

Unknown2018年10月9日上午6:57

Debian 9的教程：https://lonelyfq.blogspot.com/2018/04/googledebian-9shadowsocksbbr.html，亲测有效

Unknown2018年10月11日上午6:03

内核卸载异常，把VM实例的启动磁盘修改为Ubuntu 16.04 LTS就行

Unknown2018年12月27日下午9:52

thanks

订阅：博文评论 (Atom)

WELCOME

感谢您的支持！请赏脸关注我的Youtube频道Subscribe my Youtube Channel

利用谷歌云 Google Cloud Platform搭建免费VPS/秋水BBR/SSR 请务必使用一个可以稳定连接的 vpn或ss进行设置，否则会断线。如果电脑实在不方便用手机也是可以设置的。 1. 首先需要一张双币或外币信用卡 VISA MASTER ...

利用谷歌云Google Cloud Platform搭建免费VPS/魔改BBR/SSR

利用谷歌云 Google Cloud Platform搭建免费VPS/安装魔改BBR/秋水BBR/SSR 请务必使用一个可以稳定连接的 vpn或ss进行设置，否则会断线。如果电脑实在不方便用手机也是可以设置的。 1. 首先需要一张双币或外币信用卡 VIS...

KODI 最强视频addons，中文字幕插件addon

CATEGORIES

科学上网 (4)Android TV (8)KODI (1)

搜索此博客

FOLLOW BY EMAIL

Home Download My Youtube Channel

举报滥用情况

43881

2019年3月29日星期五

goproxy 和 msocks 简介

GFW BLOG（功夫网与翻墙）

翻越防火长城，你可以到达世界上的每一个角落。
Across the Great Firewall, you can reach every corner in the world.

goproxy 和 msocks 简介

来源：http://shell909090.org/blog/archives/2627/

GitHub：https://github.com/shell909090/goproxy

goproxy是我个人写的，和shadowsocks同类的软件。当然，在设计之初我完全不知道shadowsocks的存在，goproxy的最初目标也不是成为shadowsocks的同类。只是我一直无法实现一个可靠的，能够达成目标的系统。最后想，那这样吧，我找一个跳一跳能够够到的苹果。大幅简化的结果就是goproxy——后来我才知道shadowsocks。

shadowsocks的基本原理

shadowsocks的基本概念，就是利用某种不同于SSL的协议，将本地的socks数据流转发到远程。这个协议，在默认版本中是一个凯撒变换，后来有了aes等加密算法。goproxy也采用了类似的做法，同样支持aes等加密算法。在每次连接时，客户端先用加密通道连接服务器端，然后完成整个连接通路。这样的设计鲁棒性相当好，但是作为代价的，也有不少缺陷。

首先，goproxy和shadowsocks不约而同的采用了自己的协议，而非将socks5透明的转发到远程的服务器端。为什么？因为socksv5协议中，握手过程是三次交互。客户发送握手包，服务器响应允许的握手验证方法。客户发送验证报文，服务器端返回是否成功，客户发送要连接的目标，服务器端返回是否成功。细节我记得不是很清楚，但是2-3次往返是必须的。

这种工作机制需要client -> proxy-client -> proxy-server -> server的一个链条，本身就比直连多了两次TCP握手。加上上述的往返过程，更加耗时。而且这个消耗在每次建立链接时都要来一次，而HTTP是一种短连接协议——这就更加无法容忍了。因此改用自有协议，一次交互完成握手，就会更加快速。

更根本的原因在于，这两个系统都需要越过IDS，而三次交互的报文大小是几乎固定的——就算加密也无法改变报文大小。不但大小一样，而且由于用户名密码相同，起始加密过程和IV一致，因此采用socks协议的话，每个链接开始都有相同的来返数据。

我不知道shadowsocks怎么处理的这个问题。qsocks协议（msocks）的前身规定，每次握手时客户端提供一组IV，然后发送一个头部变长的字符串（256字符以内），在远程丢弃同样长度的随机字符。经过这样的处理，每次链接时的报文长度和内容序列都不一样，增加了破译难度。至于多出来的几十个字节，和验证报文在一个报文内，开销相比一次RTO几乎可以忽略不计。

但是还是有一点无法避免的问题。如果你看到某个服务器上有一个端口，频繁的被一个或多个IP链接。每个链接都不长，每次都是客户端吐一堆数据，服务器返回一堆，然后关闭链接。尽管协议无法破解，但是基本可以肯定这就是shadowsocks。根据这个特性，可以有效的阻挡服务——这也是我最近碰到的问题。

而且每个链接都需要验证和TCP握手太慢了。

msocks的改进

所以，我参考SPDY协议，做了msocks。msocks的核心思路和qsocks很类似，主要修改是以下两点：

使用一个可靠链接（这里是经过加密的TCP），在这个链接里面封装多对传输。每个链接只要一次验证。

这样做，首先减少了一次TCP握手和一次身份验证，工作速度更加快。其次多个传输叠加在一个流里面，流特征更加变化莫测。最后，无论是服务器端还是客户端的开销都小了很多。

当然，这也带来不少问题。例如TCP原本的拥塞控制窗口是为了一对传输序列设计的。当很多传输序列在一对TCP上传递的时候，丢报文造成的影响会作用作用在全体传输序列上。包括丢了一个报文重传的时候，所有序列都必须阻塞。还有基础的TCP被施加了丢包，导致全体序列共享5k带宽。当然，经过评估后，我觉得这些问题比频繁握手更加轻，所以就设计了msocks协议。

协议设计的时候，有几个细节问题。

多对复用

我采用了一个map，来记录某个id是否对应到了一个控制结构。这个映射只能被客户端更改，并且有个专门的函数负责查找空闲的id，每次生成的id都是递增的，如果碰到最大值则绕回。

id的大小是16位，足够容纳65536对同时链接。其实不修改内核的话，500对代理就会导致too many files。

实际上一般到id达到400后，单一的tcp就断线重连了。目前我还没见过上千的数字呢。

连接状态

连接一般情况下可以看到5种状态，连接请求发送，连接请求接收，连接建立，主动关闭连接中，被动关闭连接中。

当客户端请求代理连接一个远程服务器时，进入连接请求发送。代理远程端接受后在连接目标服务器的过程中，进入连接请求接收。当成功后，双方进入连接建立。

当关闭时，主动发起关闭一端进入主动关闭，另一端进入被动关闭。当被动关闭端调用close，或者主动关闭端收到对方关闭，整个链接就销毁。

由于tcp是可靠传输，因此三次握手和四次关闭都是不必须的。

简单吧。

拥塞控制

TCP原本是带有拥塞控制的——借助SSN双序列和窗口机制。但是在多路复用的时候，我们需要自行控制拥塞——而且不能采用会和机制。会和会导致后续已经到达的其他链接的报文被一个没人接收的报文阻挡。所以必须采用带拥塞控制的缓存队列机制。

不过幸好，TCP本身是可靠传输协议，所以我不用担心丢包重发之类的问题。我需要做的，就是把对方读取的字节数传递回来，减在控制器上，即可。

不过，我没有做对应于silly window syndrome的优化，在每次读取小数据量后，这个读取造成的window扩张都会被传回。当然，这么设计是有原因的。我默认采用了8K的buffer进行fd间拷贝，所以一般碰不到SWS。

为了解决tcp链接复用造成的单连接带宽问题，我强烈的建议你做以下的设定：

net.ipv4.tcp_congestion_control = htcp net.core.rmem_default = 2621440 net.core.rmem_max = 16777216 net.core.wmem_default = 655360 net.core.wmem_max = 16777216 net.ipv4.tcp_rmem = 4096 2621440 16777216 net.ipv4.tcp_wmem = 4096 655360 16777216

ip选择算法和DNS

在goproxy中，我沿用了一个做法。通过DNS获得请求的目标IP，和中国IP范围核对。如果在国内则直接访问，否则透过代理。这个方法能够极快的加速访问，而且几乎不依赖于需要更新的列表（中国IP列表相对来说固定）。

问题是DNS解析过程。msocks内置了DNS能力，可以帮助做DNS。但是实践下来发现这样做效果并不很好。而原本是采用直接DNS，丢弃特定的报文。这样可以过滤防火墙污染。

原因很简单。原本的模式会让DNS服务器感知到查询者位于中国，于是给出中国可以访问的最快地址。而新的模式则会将DNS请求者搬到美国——这无故加重了代理的负担。例如www.qq.com，原本只需要请求得到一台深圳的服务器即可，现在则需要让DNS绕出去，再回来。如果不幸，QQ有一台位于美国的服务器，那么我的访问都会通过这台服务器——这可比深圳的服务器慢多了。

地址

抱歉刚刚忘记写地址了：

goproxy

debian/ubuntu安装包：amd64 i386

时间：下午9:51:00

没有评论:

由 Blogger 提供支持.

SS详解

GFW BLOG（功夫网与翻墙）

翻越防火长城，你可以到达世界上的每一个角落。
Across the Great Firewall, you can reach every corner in the world.

SS 详解

SS 使用详解。

来源：http://rt.cn2k.net/?p=214
rt-n56u 中文站点自助交流QQ群：532575220

（一）：原理

很多人根本搞不清楚SS几种模式是什么东西，基本上按照自己那种能勉强弄通就用哪种，稍微遇到一点问题动不动就怪固件不稳定，说句老实话，每次遇到这种情况，我心里就是千万匹草泥马奔腾而过。

好吧，之前不懂不怪你，是因为几乎没有几篇内容是扫盲的，大部分都是针对专业人员的讨论，下面打算从最粗浅的内容开始介绍，专业人员请略过此篇文章内容，因为对你毫无帮助。

首先，我们看看SS到底是什么东西，SS全名ShadowSocks，是一位在知乎网站工作的大神开发的一套针对DPI（深度包检测）系统弱点开发的一套网络加密工具。它通过抹除网络数据通讯的特征，来让检测系统无从下手，从理论上来说，SS的处理模型并非绝对没有弱点，但是，这个弱点要利用则难度非常大，用个比喻来说，如果你在鱼缸里面，要找到一条特定颜色的小鱼，会很简单，但是，当面对整个海洋来说，要找到这条鱼几乎是不可能的。SS就是利用这样一个原理，把自己的数据通讯模式变得毫无特征，所以，当拦截系统需要对SS进行拦截的时候，需要对每一个水滴进行检测，而目前任何一个国家的拦截系统的运算能力，都几乎是不可能做到的。

我们稍微了解下，SS到底是如何做到这种功能的，说穿了道理也很简单，传统的VPN也好，网络加密也好，首要考虑的是安全原则，也就是：即便你知道了我在传输数据，你也一样无法解开我传输的内容，所以，大家根本不太在乎到底别人是否能够发现自己在传输加密的数据，因为通过RSA的天才算法，使得在传输过程中的数据解密几乎在目前的状态下是不太可能的，甚至在整个加密传输开始前，大家甚至可以大喇喇地使用明文来传输一些打招呼的信息，用来告诉对方，接下来我准备用闽南话和你通话了，拦截系统则刚好利用了这点，它们并不在乎听懂你说什么，但是，只要你一说，接下来用闽南话开始通话这几个字，就开始搞鬼，或者直接把你的通话线路掐掉，或者在你前面说的话前面插几句四川话，让听的人觉得：说什么鬼啊，明明是四川话，说好的闽南话呢？肯定是骗子，不理他，于是，你的加密传输就中断。所以，在几轮的系统升级后，到了2016年春季，几乎所有的VPN协议以及网络加密传输协议，均可用不同的方式被破坏，导致整个通讯出现中断。

但SS呢？它利用了一点：也就是通话双方都是可预先约定的，例如约定双方讲的就是闽南话，你要听懂我说的，就要找个懂闽南话的人和我聊，这样，从第一句开始说的话开始，就是用闽南话开始说，而听的呢，则一早准备好一个懂闽南话的来交流，这样通讯双方可以互相听懂，而偷听的人由于并不知道双方约定是用什么语言的，于是就傻眼了，而在网络传输中可用的语言几乎是无限种类的，所以就造就了SS神奇的能力，于是偷听的人心想：你妹的，看老子怎么治你！最终，SS的作者会被拉去喝茶被迫删代码了。可惜机关算尽，github的源代码的复制能力，不是作者删了自己的代码就可以阻止一套代码传播的。

（二）：SS 性能

SS目前有很多不同语言的版本，最原始的来源是python 的，也有 golang 的，通常我们在路由中使用的是 C 语言版本的。那为什么路由中要用C语言版本的SS？

我们首先来看看智能路由到底是什么？目前大部分的所谓智能路由，其实就是一台低配的电脑，但这个低配到底有多低呢？拿我们这个固件支持最多的机型 MT7620来举例，它的运算能力为BogoMIPS：382，而最古老的i3 530，CPU 的运算能力为 5850，Pentium G3220 3.00GHz ，运算能力为 5986.0 BogoMIPS，也就是路由的CPU大约只有普通CPU的1/15 的处理性能。拿加密中最常见的AES加密模式，普通的i3 CPU大约每秒可以进行70Mbits左右的数据，而MT7620，每秒就只剩下5Mbits了。所以，在路由上，大部分的高级语言程序跑起来都会非常吃力，尤其是脚本型的语言，例如 python和php，而越接近底层的低级语言，例如C，运行起来就还算凑合。

所以，当你选择SS加密模式的时候，要在路由上获得较快的速度，第一点要素，就是需要选取一款能在路由上跑得顺畅的加密模式，例如由google提供的 chacha20 系列，基本上它能在MT7620 上跑出40Mbits/s左右的速度。而加了更多运算的同类型通道，例如二次元宅男们喜欢的 SSR，由于加了额外的处理运算，使得它的性能大打折扣，最终只能在PC机上跑跑而已。

同理，很多应用你想移植到路由上跑，首先，要考虑下内存大小的因素，然后，就是CPU能力，很多你在PC上、手机上能跑的应用，搬到路由上，则会有很多问题。

（三）：SS模式：gfwlist

SS 使用的方法有很多结构和模式。那么，我先从我自己个人最喜欢的模式以及这个固件的功能来介绍。

1）ss-redir + gfwlist

个人认为，这种模式是最稳定、最可靠、最少干扰正常网络使用，对于路由器的性能影响最小。它通过一个名为 gfwlist 的列表，指出了那些需要从SS通道走的域名。

路由中内置了一个常用的被墙域名列表，这个gfwlist 列表位于固件目录中的 /etc_ro/basedomain.txt ，系统启动后，会在创建一个 /etc/storage/basedomain.txt 的链接指向 /etc_ro/basedomain.txt 。如果你想建立一个专用的常用域名列表，直接删除这个文件，重新建立就好了。

SS在启动时候，脚本会自动从这个列表结合 /etc/storage/shadowsocks_mydomain_script.sh 这个文件的域名内容（这个文件就是我们在路由界面添加的自定义域名列表），生成一个适用于 dnsmasq 的配置文件，存放于 /tmp/ss/dnsmasq.d 中，文件名为 r.gfwlist.conf 。

当 r.gfwlist.conf 自动生成完毕之后，dnsmasq 会重启激活这个配置，并且启动 pdnsd 以及 ss-redir 。

让我们看看在这种模式下，我们访问 google.com 的整个流程是怎么样的。

我们在PC浏览器输入 google.com ，浏览器查询域名的IP域名IP查询会优先从pc的 hosts 文件查询，所以，要确保你要访问的域名没有被你的hosts文件解析出来，这个是少数人遇到gfwlist 模式无法正常工作的常见原因之一。你的电脑会从你网络设定的DNS服务器查询域名的IP，如果你电脑上的网络设置 dns server不是指向这个路由，那么，整个功能是无法使用的，这也是大多数人遇到 gfwlist 无法工作的最常见原因之一。当你的电脑向路由查询 google.com IP 的时候，路由中的 dnsmasq 接收到这个查询指令，然后发现 google.com 在 r.gfwlist.conf 的列表中，并且列表指出这个域名需要通过 pdnsd 的端口查询，因此，dnsmasq会把域名查询转给 pdnsd ，让它来做解析。我们的固件中，采用的是pdnsd 来把 udp 的域名请求转换为 tcp域名请求的，目前国内的网络环境，udp的域名请求被大量投毒，而tcp的几乎没有，所以，我们在pdnsd 设置了 opendns 和 google 的dns作为域名解析服务器，为了获得更加合理的域名解析，我们需要在固件UI里面设置中设置 pdnsd 通过 SS代理访问，这样dns 服务器才能返回离你ss-server 最近的IP，而不是离你的PC 最近的IP，当然，你硬是要觉得pdnsd 直连才让你舒服，我也没有办法。当 pdnsd 获得了 google.com 的解析后，会转交给dnsmasq ，dnsmasq 再次检查 r.gfwlist.conf，发现 google.com 还有一个ipset 的设置，于是，它会把这个域名的ip 放入到 ipset 的 gfwlist 列表中，然后把ip返回给你的电脑，以上1~6的步骤看起来好复杂，但整个处理时间大约为0.2秒左右。当你的电脑获得了 google.com 的IP后，开始向你的电脑网络设置中的网关发出向google ip 的连接请求，如果你的网关设置不是指向这个路由，那么，这也是少数人遇到 gfwlist 不能工作的情况。当路由收到有发向google IP 的网络连接请求后，开始核对 ipset gfwlist 的ip列表，如果有符合的，直接重定向到 ss-redir 的透明代理端口。ss-redir 把数据进行加密，发给远端的 ss-server。ss-server解密数据包，发出连接请求，获得服务器的数据响应，加密，返回给路由的 ss-redir。ss-redir 解密，把数据返回给你的电脑，这样，整个连接就完成了。

基本上整个gfwlist 模式运作的，可以遇到的问题，就是上面红字标明的问题。那么，我们怎么来检查电脑上的设置是否可以正常工作呢？

nslookup
这条指令可以查询域名的解释过程是否正常。例如：nslookup www.facebook.com Server: 192.168.199.1 Address: 192.168.199.1#53 Non-authoritative answer: www.facebook.com canonical name = star-mini.c10r.facebook.com. Name: star-mini.c10r.facebook.com Address: 31.13.95.36

首先，这里我们可以检查 Server 是否你的路由器IP，如果不是，就自己检查哪里的设置错了。
然后，我们可以看看 www.facebook.com 里面是否包含了 star-mini 这个 cname 的内容，这个是最容易判断域名解释是否被投毒的情况。被投毒的域名是不会出现这个内容的。

ipconfig
用这条指令检查你的IP设置中，网关是否指向路由的IP，如果不是，则自己检查和改回来。用telnet 来检查你的ss-server 是否可以连接得上。

好了，大概就这几招了。按照这种方法，几乎没有见过 gfwlist 翻墙不顺利的，除非你连ss-server 的端口、密码、加密方式这些都填错。

时间：上午12:00:00

没有评论:

由 Blogger 提供支持.

翻墙代理 zmirror 一键部署脚本

GFW BLOG（功夫网与翻墙）

翻越防火长城，你可以到达世界上的每一个角落。
Across the Great Firewall, you can reach every corner in the world.

翻墙代理 zmirror 一键部署脚本

部署一台 VPN 服务器，实现自建 youtube、谷歌、facebook、维基等被墙网站的镜像。

来源： https://github.com/aploium/zmirror-onekey

使用zmirror快速部署镜像的脚本

如果无法部署成功, 可以尝试手动部署: 手动部署zmirror
或尝试由yumin9822提供的脚本

Demo

Google

网页搜索 https://g.zmirrordemo.comScholar https://g.zmirrordemo.com/scholarImage https://g.zmirrordemo.com/imghpGmail https://g.zmirrordemo.com/gmail (请选择"使用基本HTML"版本)

中文维基

(PC & Mobile) https://g.zmirrordemo.com/wiki

Youtube

PC Only https://ytb-pc.zmirrordemo.com
　　Youtube访问需要密码, 请解密此串得到密码WmhlamlhbmdVbml2ZXJzaXR5 如果您无法解密, 很抱歉Youtube镜像不对您开放 Mobile Only https://ytb-mobile.zmirrordemo.com 暂不开放
　　Youtube Mobile 不支持iOSTwitterPC Only https://t-pc.zmirrordemo.comMobile Only https://t-mobile.zmirrordemo.comInstagramPC & Mobile https://in.zmirrordemo.comFacebookPC Only https://fb.zmirrordemo.com
　　绝大部分功能可用, 但是不完整

前置需求

一台墙外VPS, OpenVZ/Xen/KVM均可操作系统:
支持的操作系统:
Ubuntu 14.04/15.04(不支持HTTP2)/15.10/16.04+Debian 8 (不支持HTTP/2)不支持 CentOS/RHEL/Windows/Fedora/Arch/... 对于这些系统, 可以使用由yumin9822提供的这个脚本推荐的操作系统:
Ubuntu 16.04 x86_64全新(刚安装完成)的操作系统. 如果系统中有其他东西, 可能会产生冲突root权限

域名

每个镜像要求一个三级域名(类似于g.zmirrordemo.com这样的, 有三部分, 两个点)域名已经在DNS记录中正确指向你的VPS

提示
如果你没有自己的域名, 请看FAQ-我没有自己的域名

运行方法

我没有SSL证书 (如果不懂, 请使用这个)

sudo apt-get -y update && sudo apt-get -y install python3 git git clone https://github.com/aploium/zmirror-onekey.git --depth=1 cd zmirror-onekey sudo python3 deploy.py

然后按照脚本给予的提示继续, 过程中会自动获取SSL证书
如果有不懂的, 可参考下面的安装视频
如果遇到bug, 请发issues提出

我已有SSL证书
如果已有证书, 希望使用自己提供的证书, 而不是通过 let's encrypt 获取
请将上面代码中的第四行替换成下面的样子, 在运行期间会提示你输入证书路径的:

sudo python3 deploy.py --i-have-cert

警告
不支持加密的私钥, 如果私钥有密码加密, 请先解密

安装过程视频

请点击下面的图片打开
"视频"中的文字可以被选中和复制

特性

支持一次部署多个镜像, 支持同VPS多镜像自动安装 let's encrypt 并申请证书, 启用HTTPS自动添加 let's encrypt 的定期renew脚本到crontab启用HTTP/2 ps:Debian8和Ubuntu15.04不支持HTTP/2启用HSTS

FAQ

有没有部署完成的Demo?

当然有, 请戳 zmirror-demo

我没有自己的域名

有一些提供免费(也没有注册门槛)域名的注册商
比如最有名的 .tk 域名
可以快速注册免费的域名

注意
请不要使用 .cf 和 .ga 域名, letsencrypt对它们的支持非常差, 经常出现无法下发证书的问题
除非不得已, 在使用免费域名时, 请使用老牌的 .tk 域名

安装完成后各个程序的文件夹在哪?

zmirror
安装在 /var/www/镜像名文件夹下
镜像名为每个镜像的名字, 比如YoutubePC就是 /var/www/youtubePClet's encrypt
本体在: /etc/certbot/
申请到的证书位置, 请看 certbot文档-where-are-my-certificates

Apache
Apache的配置文件在/etc/apache2/下
其中各个站点的配置文件在/etc/apache2/sites-enabled/

Apache日志文件在/var/log/apache2/镜像名_后缀.log
后缀为 _error 的日志文件中, 同时包含了stdout的输出(无论是否是错误), 对debug会有帮助

为什么安装的是Apache, 而不是Nginx, 我可以选择吗?

因为Apache的wsgi对python更友好
而且Nginx没有Visual Host功能
在性能上, 由于性能瓶颈是zmirror本身, 所以Apache和Nginx之间的性能差距可以被忽略

目前一键脚本只能安装Apache, 不支持Nginx, 也没有支持Nginx的计划, 如果需要Nginx, 请手动部署
手动部署可以参考 zmirror wiki
当然, 如果你能写一份Nginx部署教程, 我会很感谢的~ :)

安装的Apache版本?

在Ubuntu中, 使用的是 PPA:ondrej/apache2 理论上应该是最新版, 或者接近最新版(2.4.23+)
在Debian8中, 使用系统的 apt-get 安装, 版本比较旧, 所以Debian不支持HTTP/2

Let's encrypt 证书自动更新?

安装脚本会自动创建定期更新证书的脚本, 脚本位置为 /etc/cron.weekly/zmirror-letsencrypt-renew.sh

证书有效期为什么只有90天?

主要是因为Let's encrypt认为, 证书的申请和部署可以自动化时, 90天足够了.
具体可以看这个官方说明(可能需要自备梯子)
本安装脚本会在linux定时任务(crontab)中加入自动续期的脚本, 不用担心证书过期
即使自动续期脚本万一失效了, let's encrypt也会在快要过期时邮件通知你

其他高级功能, 比如说CDN, 在哪?

这个脚本只提供最基础的部署, 高级功能需要手动配置
请看config_default.py和custom_func.sample.py中的说明

如果想用CDN, 可以看这个教程使用七牛作为zmirror镜像CDN

警告
如果你想要修改config_default.py中的某项设置, 请不要直接修改
而应该将它复制到config.py中, 然后修改config.py里的设置
config.py中的设置会覆盖掉config_default.py中的同名设置
除非你是开发者, 否则无论如何都不应该修改config_default.py

网速太慢?

如果你的VPS提供商允许的话, 可以试试看net-speeder

或者换一个网速快的VPS, Demo站使用的VPS是Ramnode
服务器地点是LA(Los Angeles), 速度相当快.
ps: 如果你也想试试看的话, 请点击这个链接进入, 这里有我的推广小尾巴, 你买了的话我会有一丢丢(好像是10%)分成
ramnode允许使用net-speeder

证书获取失败

脚本使用Let's encrypt(certbot)来获取证书

certbot 会在本地 Listen 80 或者 443 端口, 然后由远程授权服务器根据域名的A记录来访问本机
当远程服务器成功连接到本机的certbot客户端后, 就会颁发证书.
详细流程请看官方文档How It Works

证书获取失败最有可能的原因是域名记录设置后尚未来得及生效, 域名DNS记录的生效通常需要数分钟以上, 最长可达72小时
对于这种情况, 除了等待以外是没有什么办法的.
本脚本在默认的5次尝试失败后, 会提示是否一直尝试下去, 如果你确认DNS记录已经正常设置, 请在提示
max retries exceed, do you want to continue retry infinity?(Y/n)
时, 选择Y, 一般数分钟内就能成功.

如果不能确定是否正常设置, 可以访问 https://www.whatsmydns.net/ , 这个网站可以在全球范围内查询A记录
如果查询出的A记录与你的IP相同, 就表示设置成功了, 此时只需要让脚本自行尝试即可
如果此时仍然多次尝试失败, 请看下面的手动运行lets encrypt获取证书部分

手动运行lets encrypt获取证书
如果能确认DNS记录已经设置正常, 但是仍然无法获取证书, 请尝试手动运行letsencrypt获取证书:

sudo service apache2 stop sudo /etc/certbot/certbot-auto certonly --standalone -d "你的域名1" sudo /etc/certbot/certbot-auto certonly --standalone -d "你的域名2" sudo service apache2 start

或者(如果上面的仍然失败)

sudo apt-get install letsencrypt sudo service apache2 stop sudo letsencrypt certonly --standalone -d "你的域名1" sudo letsencrypt certonly --standalone -d "你的域名2" sudo service apache2 start

并在手动获取证书成功后再次运行本脚本

更新zmirror

请运行以下代码(假设zmirror-onekey是本脚本文件夹):

cd zmirror-onekey git pull sudo python3 deploy.py --upgrade-only

注意: 更新zmirror以后会自动重启Apache

时间：上午1:49:00

没有评论:

由 Blogger 提供支持.

全自动一键安装新版OpenVPN++使用教程

Freedom of Internet 自由互联网

外面的世界很精彩，可是绝大部分中国网民却无法看到，复制本站教程转发到墙内，也许您可以帮助无数的中国网民。请大家一起帮忙转发本站翻墙教程,让每个网民自由访问互联网，让GFW陷入人民战争的汪洋大海。捐助Bitcoin: 194jqNeTUSZB53RZ3avuWVRRRQuxPHM9y2

2016年11月12日星期六

【电脑手机翻墙加速】全自动一键安装新版OpenVPN++使用教程,图文并茂,包教会,求转发

提示: 只要跟着底下教程一步一步操作, 3分钟时间就可以让你的电脑(不论windows还是Mac系统) 和手机(不论苹果ios还是安卓android系统)全部实现翻墙

其实现在很多网站提供科学上网服务，但是安全性无法得到保障，你的所有数据包都会暴漏给这些网站，很容易泄漏一些账号密码之类的敏感信息。其次免费的账号使用人数太多，速度和稳定性都无法得到保障。即便是付费的账号，由于卖家对于流量和带宽的限制，永远没有自己搭建的服务器实在, 还要承担那些提供商跑路的风险。所以从安全和实用角度,真的很有必要申请一台只属于自己的单独服务器, 以备不时之需.

只有少部分人是肯于实践的——但他们的探索会给更多人更多的震撼.
最重要的东西就那么一点点，没有人告诉你，就像是一张窗户纸，里面什么样根本看不到，有人给你捅破，里面的世界自己仔细看就好了…….

(目前教程已经高度完善而且超级简单，如果你真的认真阅读了教程，动手跟着执行了每一个步骤，总共就4个步骤, 根本不会遇到任何问题，轻轻松松，一次成功。世间之事最怕认真二字。)

教程正式开始：

1. 这里需要申请一台免费的服务器（1000Mbps经典网络，不限流量），使用本链接注册账户免费领取 $50美刀 https://www.vultr.com/?ref=7877027-4F 免费送 50G 备份空间,支持免流

点击 https://www.vultr.com/?ref=7877027-4F 进入后按图输入邮箱和要设置的密码（最少10位，要同时有数字和大小写字母），最后点击create account创建

2.然后到你的邮箱打开新收到的邮件, 再点击邮件里的 Verify Your E-mail (如下图蓝色方框),

然后通过验证会自动登录到 Vultr官网, (如果没有自动登录,自己返回到Vultr官网点击log in登陆), 接下来激活可以用支付宝或者 Paypal 再或者信用卡Credit Card(不论是银联还是任何其他的信用卡都可以)。三种方式任选一种

(没有信用卡的朋友也不要灰心,可以注册一个paypal账号(新注册paypal用户有10$美金的新手奖励,

(1). 你可以选择用支付宝来充值你的账号, 选中金额$25 ,然后点击蓝色方框内的pay with Alipay 进行充值. (如下图依次点击箭头所指按钮，建议充值金额选$25）

（点击图片可查看高清大图）

(2).如果想要注册PayPal绑定银行卡，步骤如下：

一、打开PayPal官网https://www.paypal.com/c2/webapps/mpp/account-selection?locale.x=zh_C2 免费注册 ,注册Paypal时选择购物账户(外币转换手续费不用你支付，由卖家支付)，
二、输入邮箱，要设置的密码
三、输入姓、名、出生日期、地址（可随意）、邮编（与地址对应）、手机号码，除地址和邮编外
其他一定要保证真实
四、点同意并创建用户
五、输入银行卡号、与银行卡对应的手机号码，点下一步
六、输入手机验证码，点验证，按提示操作，如提示扣款不用担心，这是预付款验证，不会真扣，即使扣了也会返还你的账户余额里
七、点转至您的账户
八、点验证邮箱地址
九、点发送电子邮件
十、登陆邮箱，打开PayPal发来的邮件，选择点击此处激活账户
十一、输入你设置的密码，点验证邮箱地址
十二、大功告成，可以在支持PayPal的国外网站购物了

(友情提醒 :同一个邮箱/银行卡/电脑只能申请一次, 不要同时注册两个账号, 会被立即封号拉黑的

然后点击 https://www.vultr.com/?ref=7589594 进入官网，登陆后左边Billing 账单方式选择关联 Paypal (如果选择Paypal激活需要预存10$,将底下 I Agree to the Terms of Service 前面的小框打上勾,点击最底下Pay with PayPal会跳转到paypal界面进行登录激活！)

在支付页面，点同意并继续。接着会再要求登入一次 PayPal 账户并填写验证码，完成付款。如果过程中出现任何问题请打下面的客服电话(客服讲中文),输入自己的动态识别码 https://www.paypal.com/selfhelp/contact/call )

(3) 如果你想用信用卡来激活, 请按照下图提示填写 (看下图)

将信用卡姓名的拼音(只能写拼音)、卡号、有效期、验证码填入相应框中，地址邮编随便写,下拉列表可以选择只绑卡还是同时充值,将最底下 I Agree to the Terms of Service 前面的选框打上勾,最后点击最下方的蓝色条Link Credit Card确认。

3. 点击以下链接

https://my.vultr.com/deploy/?app=openvpn

deploy一个新的VPS(虚拟服务器)。Server Location选择 Frankfurt

， Server type 点击64 bit OS 下面的方框会出现两个选项, 选择下面的 CentOS 6 x64 （重要提示:点击后才可选择）,Server Size 选择5$的，其他地方不用管,默认即可。最后点右下角的Deploy Now生成，之后跳转到管理页面（Servers），当显示绿色的running时，该VPS就部署好了，然后你点击o/s下面的按钮就可以看到VPS的IP和密码信息