孙瑜 - 计算机网络

如何克服开启中大代理后访问外网资源失败的问题

2018-12-22T00:00:00+00:00

中大的睿智代理，一直有这个用了代理就没办法访问任何校外互联网资源的奇奇怪怪的毛病。对于一个经常需要在家工作的计算狗而言，这实在太不友好了。这里详细记录一下使用超低系统资源（<50MB RAM， CPU占用≈0%）解决这个问题。

致谢</h2>

感谢德华君提供这个野路子以及过程中的指导</li>
感谢Nick湿胸借用上网账号</li> </ul>
大致思路</h2>
不清楚是NAT啊，还是DNS服务更改的问题，总之这个代理只要使用了，再想使用互联网的资源就崩了，因此克服这个问题的唯一办法就是，在访问外网的时候关掉代理。但是Windows下通过IE浏览器登录代理，使用的是EasyConnect客户端，断了似乎就是断了，网页再认证还需要输入验证码。
所以需要曲线救国，即访问外网资源的时候不走代理直接连接。咦？这和我们科学上网的需求好相似！你总不想打开国内页面的时候也绕路走你的国外VPS吧！那么为什么不用shadowsocks解决这个问题呢？
因此最后解决问题的路线就是：

虚拟机内开启学校代理并开启服务</li>
虚拟机上架设shadowsocks server端并开启服务</li>
本机使用shadowsocks client</li>
本地使用校内代理的两种情况：

对于网页（比如RStudio server）使用Chrome浏览器的SwitchyOmega插件</li>
SSH和SFTP连接直接使用配置了代理的Xshell和Xftp</li> </ul> </li> </ol>
安装虚拟机</h2>
先下载一个虚拟机程序，建议用VM Virtualbox，虽然据说VMware的硬件兼容好点，但是我的目的简单，只是在后台run一个Linux用来使用代理而已，因此这个轻量级的软件比较适合。操作系统使用Ubuntu Server 18.04：

我们不需要图形界面</li>
Ubuntu的LTS是最稳定的Server操作系统之一</li> </ul>
虚拟机的配置上，RAM可以随便给个100M+（不会真的用完的，host消耗很小），硬盘就用那个vdi文件动态分配就好，那么大小也就无所谓了（理论上动态分配会稍微影响点IO性能，但是和我们的主题无关）。
命令行安装操作系统可能有点蛋疼，但是基本上也是一路选下一步就可以的。
虚拟机Linux配置</h2>
这个时候，还是先装好Xshell吧，不要头铁：没有SSH，你就这样在终端里面，你连一个普通命令的--help</code>返回内容都浏览不全；想复制个URL却发现没得复制粘贴，浑身难受。Ubuntu Server默认是开了22端口的，也开启了sshd服务，所以ifconfig</code>查到IP直接就可以连了。虚拟机的网络设置可以有以下两种策略：
桥接模式：和host在一个网段</li> NAT模式：需要端口映射，在本例中，你至少需要映射22端口用作ssh，再映射一个shadowsocks用的端口。</li> </ol> 搞定了之后，就陆陆续续安装一下必要工具： sudo apt-get update sudo apt-get dist-upgrade sudo apt install openconnect sudo apt-get install python-pip sudo pip install shadowsocks</code></pre> 使用openconnect需要一个厉害的配置文件vpnc-script，可以用wget</code>从这里</a>下载。你应该到现在为止没有切换过当前tty的工作目录，那漂亮啊，就下载到这吧，用起来也方便… 然后开启openconnect服务： sudo openconnect -b --no-dtls --script ~/vpnc-script https://ocvpn.sysu.edu.cn --servercert sha256:a0cc6612c7310494b31ad62e76255373f056ac128c8489ac58562f6fe57ae8e9</code></pre> --servercert</code>参数值是双鸭山大学提供的证书。你可以不加上这个参数，但是它会逼着你加上。 输入用户名和密码，程序会返回一个PID之后在后台运行。 接下来开启shadowsocks服务： sudo ssserver -p 2333 -k 930829 -m rc4-md5 -d start</code></pre> 我比较懒，就直接这样开启SS服务而不是写配置文件了：-p</code>是端口；-k</code>是密码我用了自己生日，你们可以随意；-m</code>是加密方法，我X我和我虚拟机连接我丝毫不虚，选个复杂度低的速度快点负荷小点；-d</code>如果替换成stop就是停止服务。 在Ubuntu Server 18.04上，你可能会遇到这样一个错误： # 此处省略99999行 AttributeError: /usr/lib/x86_64-linux-gnu/libcrypto.so.1.1: undefined symbol: EVP_CIPHER_CTX_cleanup</code></pre> 这是由于在openssl 1.1.0中废弃了 EVP_CIPHER_CTX_cleanup()</code> 函数而引入了 EVE_CIPHER_CTX_reset()</code> 函数所导致的。 解决方式也是简单，直接找到使用的openssl.py文件（我省略的那部分异常信息里就有它的位置），把里面的所有cleanup字样全部替换为reset，就舒服了。直接vim</code>里面批量替换，别问我怎么操作，问就是不告诉你。 我要怎么使用虚拟机里面的代理呢</h2> 首先，你需要shadowsocks client</a>来把代理服务器的shadowsocks协议转发为socks5协议。你可能需要在两个不同的目录运行两个独立的shadowsocks进程（端口各自不同），以方便同时使用科学上网和虚拟机中架设的中大代理。 访问网页</h3> 比如RStudio server，比如hugo的预览，都是要访问内网网页的。使用Chrome浏览器的SwitchyOmega插件，可以妥善解决这个问题。记得在auto switch里面，将使用中大代理的情景模式的触发条件用带有通配符的IP设置为同一网段。 使用SSH连接</h3> 在Xshell的连接属性里面设置好使用代理（注意端口）。 至此，科学上网/直连/中大代理可以和睦相处了。 补充</h2> 我需要一个service</h3> 理想状态下，应该是虚拟机开机自动运行这个openconnect命令的，然后如果崩溃可以自动恢复，所以要把它做成一个service的形式比较好。Ubuntu的这些service一般在/lib/systemd/system/</code>，所以在这里面操作吧： cd /lib/systemd/system/ sudo touch sysu-proxy.service</code></pre> 然后填内容进去： [Unit] Description=sysu-proxy After=network.target StartLimitIntervalSec=0 StartLimitAction=reboot [Service] Type=simple Restart=always RestartSec=1 User=ysun ExecStart=/bin/echo 'passwd' | /usr/sbin/openconnect --no-dtls --script ~/vpnc-script https://ocvpn.sysu.edu.cn --servercert sha256:a0cc6612c7310494b31ad62e76255373f056ac128c8489ac58562f6fe57ae8e9 -u username [Install] WantedBy=multi-user.target</code></pre> 这里面要解释一下的： Restart=always</code>可以保证进程挂了就自动重新运行</li> RestartSec=1</code>一旦挂了，它就会不断尝试重新运行，那么为了防止某些特定情况下一直重新运行增加服务器负载，还是间隔设置久一点好点（间隔为1秒）</li> ExecStart=...</code>对于需要交互式输入密码的，可以用这个技巧，通过管道将特定字符传过去</li> StartLimitIntervalSec=0</code>是防止放弃重新运行的。理论上是这样：还有一个参数值，比如StartLimitBurst=5</code>，同时再有StartLimitIntervalSec=10</code>的话呢，那么就如果在10秒内失败了5次，就放弃运行了（何弃疗！）防止这个情况发生就可以这样设置为0</li> 其实[Unit]</code>还可以加上StartLimitAction=reboot</code>如果上面设置不是0，崩了，还是可以通过这个方式重启操作系统</li> </ul> 好了，接下来就很舒服了： sudo systemctl enable sysu-proxy.service sudo systemctl daemon-reload sudo systemctl restart sysu-proxy.service</code></pre>

Git该如何免密码提交？ 2018-06-27T00:00:00+00:00 早年的时候比较迷，看到GitHub上的ssh key和repo的ssh地址总是傻傻不知道有什么用…然后使用GitLab的private仓库的时候因为强制要求使用ssh key感到很迷茫（因为在GitHub根本用不起）（什么？Student Pack？）（什么？不知道5个根本不够用吗2333333）。今天终于抽点时间解释一下来给后人看。 直到前阵子幡然醒悟，md老子这么久以来为什么一直在用账号密码提交代码？ 本文中就不以CMD举例了，反正看这个东西的人，你肯定有一个git bash，这比CMD好用n倍，那么命令都是一样的。 先查看当前用户有已经生成的ssh公钥吗： cat ~/.ssh/id_rsa.pub</code></pre> 如果没有，从头生成一个： ssh-keygen -C "你可以写邮箱，但是无所谓，不加这个参数都无所谓"</code></pre> 嗯，就是这么简单，对于普通用户而言，什么-t</code>啊-b</code>啊，忘了它们吧。中间还会提示你选个路径/文件名去存放这个key，无所谓，默认最好了，方便。中间还会提示你输入一个“短语”，我去你*的短语，这就是密码啊…这个可能得找个小本本悄悄记下来了hhhhh，一路回车，然后再来一轮： cat ~/.ssh/id_rsa.pub</code></pre> 是不是有内容了！是不是敲厉害！默默把标准输出复制下来吧！ 然后去GitHub（当然GitLab什么的同理啦）找到设置再找到SSH key那项，选择New（账户设置啊，别去repo设置玩半天），把之前复制的内容贴进去。写个妥善的Title（比如这是你何年何月何日在何地结缘的电脑，网吧什么的你还是别搞什么SSH key这种幺蛾子了），让自己记住是干嘛用的。 好了，这个时候估计你就会和以前的我一样开始玩蛋：兴高采烈地push了一波发现输入账号和密码的提示又出来了！因为你其实之前就是通过https方式访问repo的，改成ssh就好了，比如这样： git remote rm origin git remote add origin git@你那个仓库的地址（详见下图）.git</code></pre> 当然，如果你之前没有clone过仓库，那就直接从git地址克隆就没毛病了。 之后再push就无痛了。 如何优雅地在Linux操作系统下翻墙（客户端篇） 2018-05-29T00:00:00+00:00 本文主要介绍如何在Arch Linux下部署client端的SS，考虑到主要也是国人才有这种需求，就直接丢中文版blog了。 废话少说，shadowsocks-libev</code>是C语言编写的轻量版的SS。先安装： sudo pacman -S shadowsocks-libev</code></pre> 写好配置文件（具体写法就见英文版教程</a>吧，几乎一致的）： sudo mkdir /etc/shadowsocks # 我理你用nano还是vim还是个什么鬼，就编辑一下文本文件嘛 # 做人呢，最紧要是开心 sudo vim /etc/shadowsocks/config.json</code></pre> 使用systemctl</code>管理ss的daemon进程（这个在介绍Manjaro Linux的使用</a>的时候提过）： # 配置文件的前缀名为config，因此此处为@config sudo systemctl enable shadowsocks-libev@config sudo systemctl daemon-reload sudo systemctl start shadowsocks-libev@config</code></pre> 最后，使用proxychains-ng</code>做socks5转发。 插嘴一句，本身就是齐胖胖他们医院的网络爆炸，所以只好搞这样一出来安装RStudio Server。没想到回到博士课题组修电脑还是用到了hhhhh </blockquote> 先用命令sudo pacman -S proxychains-ng</code>安装，然后同样也要写配置，就很简单了，直接sudo vim /etc/proxychains.conf</code>编辑，把原来[ProxyList]</code>下面的内容去掉，加上socks5 127.0.0.1 1080</code>。 proxychains-ng的输出非常烦躁…如果觉得眼睛花，在刚刚的配置文件里面有一行quietmode</code>，把前面的注释取消掉就好了。 </blockquote> 接下来就是使用了。只要在需要使用代理的命令前面加上proxychains4</code>就可以，比如proxychains4 aurman -S rstudio-server-bin</code>这样。