SECURITY

Linux使用safe-rm防止误删系统文件

前言 safe-rm 是一款用来替代不安全 rm 的开源软件，可以在 /etc/safe-rm.conf 文件中配置保护名单，定义哪些文件不能被 rm 删除，可用于防止执行 rm -rf 命令导致文件被误删的发生。安装 safe-rm 工具 0.x版本的是通过shell脚本来实现的，而1.x版本则通过rust来实现的，需要现编译。 0.12版本下载安装：

# 下载文件<span>（-c 的作用是可以断点续传）</span>
# wget -c https://launchpadlibrarian.net/188958703/safe-rm-0.12.tar.gz

# 解压文件
# tar -xvf safe-rm-0.12.tar.gz

# 拷贝可执行文件
# cd safe-rm
# cp safe-rm /bin/

# 建立软链接
# mv /bin/rm /bin/rm.bak
# ln -s /bin/safe-rm /bin/rm

1

2

3

4

5

6

7

8

9

10

11

12

13

# 下载文件（-c 的作用是可以断点续传）

# wget -c https://launchpadlibrarian.net/188958703/safe-rm-0.12.tar.gz

# 解压文件

# tar -xvf safe-rm-0.12.tar.gz

# 拷贝可执行文件

# cd safe-rm

# cp safe-rm /bin/

# 建立软链接

# mv /bin/rm /bin/rm.bak

# ln -s /bin/safe-rm /bin/rm

创建 safe-rm 配置文件，添加保护名单

# 默认的safe-rm配置文件有以下两个，需要自行创建

全局配置：/etc/safe-rm.conf
用户配置：~/.safe-rm

# 创建全局配置文件
# touch /etc/safe-rm.conf

# 添加保护名单
# vim /etc/safe-rm.conf
/
/*
/etc
/etc/*
/usr
/usr/*
/usr/local
/usr/local/*
/usr/local/bin
/usr/local/bin/*
/bin/*
/boot/*
/dev/*
/etc/*
/home/*
/lib/*
/lib64/*
/media/*
/mnt/*
/opt/*
/proc/*
/root/*
/run/*
/sbin/*
/srv/*
/sys/*
/var/*

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

# 默认的safe-rm配置文件有以下两个，需要自行创建

全局配置：/etc/safe-rm.conf

用户配置：~/.safe-rm

# 创建全局配置文件

# touch /etc/safe-rm.conf

# 添加保护名单

# vim /etc/safe-rm.conf

/

/*

/etc

/etc/*

/usr

/usr/*

/usr/local

/usr/local/*

/usr/local/bin

/usr/local/bin/*

/bin/*

/boot/*

/dev/*

/etc/*

/home/*

/lib/*

/lib64/*

/media/*

/mnt/*

/opt/*

/proc/*

/root/*

/run/*

/sbin/*

/srv/*

/sys/*

/var/*

测试 save-rm 是否生效

# 创建测试文件
# touch /home/test.txt

# 追加需要保护的文件路径到配置文件中
# vim /etc/safe-rm.conf
/home/test.txt

# 测试删除受保护的文件路径，如果输出skipping日志代表safe-rm生效
# rm /home/test.txt
# rm -rf /home/test.txt
safe-rm: skipping /home/test.txt

# 注意：
# 配置文件里面的/etc只能保证执行"rm -rf /etc"命令的时候不能删除，但是如果执行"rm -rf /etc/app"，还是可以删除app文件的
# 如果想保证某个目录下面的所有文件都不被删除，则配置文件里可以写成/etc/*，但使用通配符的方式无法避免/etc目录下链接文件被删除
# 例如/lib或/lib64这种目录，下面会有很多库文件对应的链接文件，使用safe-rm并不能保护链接文件被删除
# 建议将/etc/safe-rm.conf加入到保护名单中，防止/etc/safe-rm.conf被删后配置失效

<span># 使用系统默认的删除命令，此时safe</span><span class="token operator">-</span><span>rm的保护作用将失效 # </span><span class="token operator">/</span><span>usr</span><span class="token operator">/</span><span>bin</span><span class="token operator">/</span><span>rm </span><span class="token operator">-</span><span>rf </span><span class="token operator">/</span><span>etc</span><span class="token operator">/</span><span>app</span>

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

# 创建测试文件

# touch /home/test.txt

# 追加需要保护的文件路径到配置文件中

# vim /etc/safe-rm.conf

/home/test.txt

# 测试删除受保护的文件路径，如果输出skipping日志代表safe-rm生效

# rm /home/test.txt

# rm -rf /home/test.txt

safe-rm: skipping /home/test.txt

# 注意：

# 配置文件里面的/etc只能保证执行"rm -rf /etc"命令的时候不能删除，但是如果执行"rm -rf /etc/app"，还是可以删除app文件的

# 如果想保证某个目录下面的所有文件都不被删除，则配置文件里可以写成/etc/*，但使用通配符的方式无法避免/etc目录下链接文件被删除

# 例如/lib或/lib64这种目录，下面会有很多库文件对应的链接文件，使用safe-rm并不能保护链接文件被删除

# 建议将/etc/safe-rm.conf加入到保护名单中，防止/etc/safe-rm.conf被删后配置失效

# 使用系统默认的删除命令，此时safe-rm的保护作用将失效 # /usr/bin/rm -rf /etc/app

1.1.0版本下载安装： 1.x版本解决了软链接文件的问题，保护目录下的软链接文件也不会被删除。官网地址是https://launchpad.net/safe-rm/trunk/1.1.0

#下载safe-rm源码
wget -c https://launchpad.net/safe-rm/trunk/1.1.0/+download/safe-rm-1.1.0.tar.gz

#解压
tar -zxvf safe-rm-1.1.0.tar.gz 
#安装依赖
yum install cargo
cd safe-rm-1.1.0/
#编译，编译完的safe-rm文件大小是11M
make
#移动功能文件到系统目录
mv target/release/safe-rm /usr/local/bin/
#替换rm命令
echo 'alias rm="safe-rm -i"' >> /etc/bashrc
#刷新修改的文件
source /etc/bashrc
#创建链接,将safe-rm替换rm
ln -s /usr/local/bin/safe-rm /usr/local/bin/rm
echo 'PATH=/usr/local/bin:$PATH' >>  /etc/profile
source /etc/profile

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

#下载safe-rm源码

wget -c https://launchpad.net/safe-rm/trunk/1.1.0/+download/safe-rm-1.1.0.tar.gz

#解压

tar -zxvf safe-rm-1.1.0.tar.gz

#安装依赖

yum install cargo

cd safe-rm-1.1.0/

#编译，编译完的safe-rm文件大小是11M

make

#移动功能文件到系统目录

mv target/release/safe-rm /usr/local/bin/

#替换rm命令

echo 'alias rm="safe-rm -i"' >> /etc/bashrc

#刷新修改的文件

source /etc/bashrc

#创建链接,将safe-rm替换rm

ln -s /usr/local/bin/safe-rm /usr/local/bin/rm

echo 'PATH=/usr/local/bin:$PATH' >> /etc/profile

source /etc/profile

By sean, 1 year02/21/2024 ago

centos7通过snap安装certbot免费获取并自动续期https证书

之前一直使用certbot-auto来获取https证书，后来更换了新域名，重新生成证书时，报：“Your system is not supported by certbot-auto anymore.”，查了一下是因为certbot-auto团队没有精力为所有操作系统进行维护，所以包括centos7在内的许多系统已不被支持，目前certbot不推荐在centos7上使用仓库安装，官方建议使用snap进行certbot的安装和更新。官方原文如下： While the Certbot team tries to keep the Certbot packages offered by various operating systems working in the most basic sense, due to distribution policies and/or the limited resources of distribution maintainers, Certbot OS packages often have problems that other Read more…

By sean, 1 year02/04/2024 ago

SECURITY

v2ray切换到xray

我一直用的是老的v2-ui面板，也不怎么经常用，好像去年开发者就开始要弃坑v2-ui，转而开发x-ui面板。前者用python开发，后者使用go开发。不想谈孰优孰劣，主要是现在v2-ui已经停止开发了，然后x-ui又加了些新功能（流量限制，过期日期限制等）。我觉得这个面板更适合小范围知根知底的朋友分享，大范围贩卖，小心风险。我本可以把v2-ui完全卸载，重新安装x-ui，考虑到又要折腾证书，还是算了吧。就直接按照官方给出的方法，先迁移看看，然后设置下登录用户。当然了如果是拿一台全新的vps，直接安装就好了。如下是官方文档： https://xtls.github.io/ https://github.com/vaxilu/x-ui 直接执行一键安装/升级脚本就可以了：

bash <(curl -Ls https://raw.githubusercontent.com/vaxilu/x-ui/master/install.sh)

1	bash <(curl -Ls https://raw.githubusercontent.com/vaxilu/x-ui/master/install.sh)

然后执行x-ui v2-ui，把v2-ui数据库中的节点信息迁移到x-ui中来。之后停止v2-ui，重启x-ui，由于v2-ui用的是v2ray程序，x-ui用的是xray，区别如下： Xray与V2Ray完全类同，Xray 是 Project X 项目的核心模块。因为Xray和XTLS黑科技的作者rprx曾经是V2fly社区的重要成员，所以Xray直接Fork全部V2Ray的功能，然后进行性能优化，并增加了新功能，使Xray在功能上成为了V2Ray的超集，且完全兼容V2Ray。简而言之，Xray是V2Ray的项目分支，Xray是V2Ray的超集，就跟Trojan-Go和Trojan-GFW的关系类似，而且Xray性能更好、速度更快，更新迭代也更频繁。由于自V2ray-core 4.33.0 版本起，删除了XTLS黑科技，但仍然支持VLESS，所以是否原生支持XTLS是Xray和V2Ray最大的区别之一。 xray的配置文件路径在/usr/local/x-ui/bin/config.json，启动后，经过测试怎么都科学不上了网，将xray切换到1.8.4版本也不行，怀疑是客户端客户较旧，尝试下载最新的客户端： https://github.com/2dust/v2rayN/releases 结果还是不行，将xray日志打开，在面板中做如下配置：日志的报错是：rejected proxy/vmess/encoding: invalid user > user do not exist 参考https://github.com/v2ray/v2ray-core/issues/2966后，得出原因是：需要将额外ID（AlterID）设置为0。因为自2022年起v2ray服务端将强制启用aead认证机制. 经过修改，解决问题客户端可以用V2rayN 或 Clash，具体对比：https://jiasupanda.com/v2rayn-clash V2rayN 下载地址是：https://github.com/2dust/v2rayN/releases/download/6.29/zz_v2rayN-With-Core-SelfContained.7z

By sean, 1 year10/08/2023 ago

SECURITY

koolshare梅林路由器提示含非法关键词，无法安装插件

错误提示：检测到离线安装包：含非法关键词！！！根据法律规定，koolshare软件中心将不会安装此插件！！！解决方案： 1. 在「系统管理」- 「系统设置」里面打开「Allow SSH password login」。 2. 在 a free SSH and telnet client for Windows 下载 Putty 并安装 3. 在 Putty 中使用路由器的 IP 地址来连接 4. 输入登录路由器的账号、密码 5. 输入

sed -i 's/\tdetect_package/\t# detect_package/g' /koolshare/scripts/ks_tar_install.sh

1	sed -i 's/\tdetect_package/\t# detect_package/g' /koolshare/scripts/ks_tar_install.sh

6. 重新离线安装违禁软件

By sean, 2 years06/19/2023 ago

SECURITY

给节点套上CF的warp，彻底解决access denied error code 1020问题

前言最近的网络最热门的，应该当ChatGPT所属了，在IT开发者界更是：有担忧的，有兴奋的，有求知的，一时兴起万层浪，但是，也有很多小白连最基本的大门都没办法进来，因为流量太大了，已远远超过了ChatGPT的服务器所承受能力，这个访问量已大大超出了你的想像，所以请了一台流量高防大将:CloudFlare，先是真人human验证，再是IP验证，很多新人都对Access deniedAccess denied Error code 1020深有体会吧，今天就聊一下如何彻底地解决这个问题。思路由于CF验证IP，咱们大陆的IP会access denied拒绝，很多海外节点也被拒绝了，因为咱们国人多，热度高，流量大，所以第一排除的就是咱们中国及使用代理最多的中国IP。思路就是套用CloudFlare官方自己的Warp，它对自己人还是友好放行的原理。思路跟解锁Netfilx原生IP一样。条件自己能配置的节点套的IP未被CF自己封 Warp 什么是Warp呢，请查看官方介绍吧官方地址：https://1.1.1.1 用一句话介绍就是，私人的私人代理，如果你也想使用，或者升级到Warp+,推荐连接，我可能获得1G流量安装安装前

curl chat.openai.com

1	curl chat.openai.com

直接显示经典的error code:1020错误，说明我能服务器本身就无法访问ChatGPT，所以你当节点，那也肯定是跑不了1020的了 web

Access denied
You do not have access to chat.openai.com.

The site owner may have set restrictions that prevent you from accessing the site.

Ray ID: 795a3ced8bfa934a
Timestamp: 2023-02-07 06:58:35 UTC
Your IP address: 146.5X.x.x.
Requested URL: chat.openai.com/auth/login
Error reference number: 1020
Server ID: FL_443F37
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/109.0.0.0 Safari/537.36

1

2

3

4

5

6

7

8

9

10

11

12

Access denied

You do not have access to chat.openai.com.

The site owner may have set restrictions that prevent you from accessing the site.

Ray ID: 795a3ced8bfa934a

Timestamp: 2023-02-07 06:58:35 UTC

Your IP address: 146.5X.x.x.

Requested URL: chat.openai.com/auth/login

Error reference number: 1020

Server ID: FL_443F37

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/109.0.0.0 Safari/537.36

我的证实是无法使用的了都是1020错误代码。估计是封IP段安装中第一，先给服务上个快照，折腾坏了也能恢复折腾前的状态第二，安装warp 官网教程：https://pkg.cloudflareclient.com/install 或者通过warp一键配置脚本（项目地址：https://github.com/P3TERX/warp.sh） bash <(curl -fsSL git.io/warp.sh) d 配置xray 登录x-ui控制后台——面板设置——xray相关设置——xray配置模板——复制出来，备份好在高亮文体编辑器里修改（可选） 1，在”outbounds”的代码块添加出站规则 2，在”routing”的代码块添加路由规则，使用域名chat.openai.com及ip138.com(为了测试是否生效)的规则我的xray配置文件

{
  "api": {
    "services": [
      "HandlerService",
      "LoggerService",
      "StatsService"
    ],
    "tag": "api"
  },
  "inbounds": [
    {
      "listen": "127.0.0.1",
      "port": 62789,
      "protocol": "dokodemo-door",
      "settings": {
        "address": "127.0.0.1"
      },
      "tag": "api"
    },
    {
      "listen": "127.0.0.1",
      "port": 44223,
      "protocol": "vmess",
      "settings": {
        "clients": [
          {
            "alterId": 64,
            "id": "xx-51fa-xxx-a26d-xxxx"
          }
        ],
        "disableInsecureEncryption": true
      },
      "sniffing": {
        "destOverride": [
          "http",
          "tls"
        ],
        "enabled": true
      },
      "streamSettings": {
        "network": "ws",
        "security": "none",
        "wsSettings": {
          "headers": {},
          "path": "/ray"
        }
      },
      "tag": "inbound-44223"
    }
  ],
  "outbounds": [
    {
      "protocol": "freedom",
      "settings": {}
    },
    {
      "tag": "chatGPT_proxy",
      "protocol": "socks",
      "settings": {
        "servers": [
          {
            "address": "127.0.0.1",
            "port": 40000
          }
        ]
      }
    },
    {
      "protocol": "blackhole",
      "settings": {},
      "tag": "blocked"
    }
  ],
  "policy": {
    "system": {
      "statsInboundDownlink": true,
      "statsInboundUplink": true
    }
  },
  "log" : {
    "access": "/data/logs/v2ray/access.log",
    "error": "/data/logs/v2ray/error.log",
    "loglevel": "warning"
  },
  "routing": {
    "rules": [
          {
        "type": "field",
        "outboundTag": "chatGPT_proxy",
        "domain": [
          "chat.openai.com",
          "ip138.com"
        ]
      },
      {
        "inboundTag": [
          "api"
        ],
        "outboundTag": "api",
        "type": "field"
      },
      {
        "ip": [
          "geoip:private"
        ],
        "outboundTag": "blocked",
        "type": "field"
      },
      {
        "outboundTag": "blocked",
        "protocol": [
          "bittorrent"
        ],
        "type": "field"
      }
    ]
  },
  "stats": {}
}

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

38

39

40

41

42

43

44

45

46

47

48

49

50

51

52

53

54

55

56

57

58

59

60

61

62

63

64

65

66

67

68

69

70

71

72

73

74

75

76

77

78

79

80

81

82

83

84

85

86

87

88

89

90

91

92

93

94

95

96

97

98

99

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

{

"api": {

"services": [

"HandlerService",

"LoggerService",

"StatsService"

],

"tag": "api"

},

"inbounds": [

{

"listen": "127.0.0.1",

"port": 62789,

"protocol": "dokodemo-door",

"settings": {

"address": "127.0.0.1"

},

"tag": "api"

},

{

"listen": "127.0.0.1",

"port": 44223,

"protocol": "vmess",

"settings": {

"clients": [

{

"alterId": 64,

"id": "xx-51fa-xxx-a26d-xxxx"

}

],

"disableInsecureEncryption": true

},

"sniffing": {

"destOverride": [

"http",

"tls"

],

"enabled": true

},

"streamSettings": {

"network": "ws",

"security": "none",

"wsSettings": {

"headers": {},

"path": "/ray"

}

},

"tag": "inbound-44223"

}

],

"outbounds": [

{

"protocol": "freedom",

"settings": {}

},

{

"tag": "chatGPT_proxy",

"protocol": "socks",

"settings": {

"servers": [

{

"address": "127.0.0.1",

"port": 40000

}

]

}

},

{

"protocol": "blackhole",

"settings": {},

"tag": "blocked"

}

],

"policy": {

"system": {

"statsInboundDownlink": true,

"statsInboundUplink": true

}

},

"log" : {

"access": "/data/logs/v2ray/access.log",

"error": "/data/logs/v2ray/error.log",

"loglevel": "warning"

},

"routing": {

"rules": [

{

"type": "field",

"outboundTag": "chatGPT_proxy",

"domain": [

"chat.openai.com",

"ip138.com"

]

},

{

"inboundTag": [

"api"

],

"outboundTag": "api",

"type": "field"

},

{

"ip": [

"geoip:private"

],

"outboundTag": "blocked",

"type": "field"

},

{

"outboundTag": "blocked",

"protocol": [

"bittorrent"

],

"type": "field"

}

]

},

"stats": {}

}

总结方法是从解锁Netflix得到的启示，套了Warp就能解锁CloudFlare对你的节点的封锁了，而且现在CloudFlare拒绝访问的IP限制还不是很严格的，从而这个方法可以拯救你节点。总结思路：套用warp——设置域名分流规则

By sean, 2 years03/18/2023 ago

SECURITY

squid代理上网

squid代理及常见的代理上网本文中涉及两台服务器，这两台服务器均有内网ip地址，分别为

A: 192.168.0.200 
B: 192.168.0.100 
C: 192.168.0.101

1

2

3

A: 192.168.0.200

B: 192.168.0.100

C: 192.168.0.101

其中A具有公网访问能力，B和C不具备公网访问能力。 1、安装squid服务

sudo yum install -y squid

1	sudo yum install -y squid

1、默认安装的squid服务只需要配置一点，默认是拒绝所有服务器连接，只需要修改成允许所有服务器连接即可

# sudo vim /etc/squid/squid.conf
http_access allow all

1 2	# sudo vim /etc/squid/squid.conf http_access allow all

2、启动服务并设置成开机启动

# sudo systemctl start squid.service
# sudo systemctl enable squid.service

1 2	# sudo systemctl start squid.service # sudo systemctl enable squid.service

3、配置受信这样配置之后，squid代理服务器就可以使用了，默认的端口是3128，但是为了安全，只让受信的服务器连接，通常还需要对squid配置账号验证授权使用，通过httpd-tools生成密码文件，安装

# yum install httpd-tools -y

1	# yum install httpd-tools -y

生成密码文件

# sudo mkdir /etc/squid3/
# 生成密码文件，指定文件路径，其中squid是用户名
# sudo htpasswd -cd /etc/squid3/passwords squid
#提示输入密码，不能超过8个字符，输入密码123456

1

2

3

4

# sudo mkdir /etc/squid3/

# 生成密码文件，指定文件路径，其中squid是用户名

# sudo htpasswd -cd /etc/squid3/passwords squid

#提示输入密码，不能超过8个字符，输入密码123456

测试密码文件

# /usr/lib64/squid/basic_ncsa_auth /etc/squid3/passwords                
squid 123456
OK 
# 测试完成，crtl + c 打断

1

2

3

4

# /usr/lib64/squid/basic_ncsa_auth /etc/squid3/passwords

squid 123456

OK

# 测试完成，crtl + c 打断

配置squid使用验证，修改配置文件

# sudo vim /etc/squid/squid.conf
# And finally deny all other access to this proxy
auth_param basic program /usr/lib64/squid/basic_ncsa_auth /etc/squid3/passwords #账户密码文件
auth_param basic realm proxy
auth_param basic children 50 #最多 50 个账户同时运行
auth_param basic realm CoolTube Proxy Server #密码框描述
auth_param basic credentialsttl 2 hours #认证持续时间
acl authenticated proxy_auth REQUIRED #对 authenticated 进行外部认证
http_access allow authenticated #允许 authenticated 中的成员访问
http_access deny all #拒绝所有其他访问
visible_hostname squid.CoolTube #代理机名字

# 这里是端口号，可以按需修改
# http_port 3128 这样写会同时监听 ipv6 和 ipv4 的端口，推荐适应下面的配置方法。
http_port 0.0.0.0:3128

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

# sudo vim /etc/squid/squid.conf

# And finally deny all other access to this proxy

auth_param basic program /usr/lib64/squid/basic_ncsa_auth /etc/squid3/passwords #账户密码文件

auth_param basic realm proxy

auth_param basic children 50 #最多 50 个账户同时运行

auth_param basic realm CoolTube Proxy Server #密码框描述

auth_param basic credentialsttl 2 hours #认证持续时间

acl authenticated proxy_auth REQUIRED #对 authenticated 进行外部认证

http_access allow authenticated #允许 authenticated 中的成员访问

http_access deny all #拒绝所有其他访问

visible_hostname squid.CoolTube #代理机名字

# 这里是端口号，可以按需修改

# http_port 3128 这样写会同时监听 ipv6 和 ipv4 的端口，推荐适应下面的配置方法。

http_port 0.0.0.0:3128

初始化服务并重新启动

sudo squid -z
sudo systemctl restart squid.service

1 2	sudo squid -z sudo systemctl restart squid.service

如果开启了防火墙，还要在防火墙中允许端口3128的策略，以CentOS7为例

# 把 3128 端口加入防火墙过滤掉
sudo firewall-cmd --permanent --zone=public --add-port=3128/tcp
# 重启防火墙
sudo firewall-cmd --reload

1

2

3

4

# 把 3128 端口加入防火墙过滤掉

sudo firewall-cmd --permanent --zone=public --add-port=3128/tcp

# 重启防火墙

sudo firewall-cmd --reload

2、配置代理 2.1、配置全局代理修改环境变量文件并使其生效

sudo vim /etc/profile
#在最后加入（有认证的情况）
export http_proxy="http://squid:123456@192.168.0.200:3128"
export https_proxy="http://squid:123456@192.168.0.200:3128"
如果没有开启认证
http_proxy=http://192.168.0.200:3128
https_proxy=http://192.168.0.200:3128
# source /etc/profile

1

2

3

4

5

6

7

8

sudo vim /etc/profile

#在最后加入（有认证的情况）

export http_proxy="http://squid:123456@192.168.0.200:3128"

export https_proxy="http://squid:123456@192.168.0.200:3128"

如果没有开启认证

http_proxy=http://192.168.0.200:3128

https_proxy=http://192.168.0.200:3128

# source /etc/profile

2.2、配置wget代理新增wget的环境变量文件

# sudo vim ~/.wgetrc
http_proxy=http://192.168.0.200:3128
https_proxy=http://192.168.0.200:3128
use_proxy = on
wait = 30
# 验证，如果返回值为0表示wget可用
# sudo wget --spider -T 5 -q -t 2 www.baidu.com | echo $?
0

1

2

3

4

5

6

7

8

# sudo vim ~/.wgetrc

http_proxy=http://192.168.0.200:3128

https_proxy=http://192.168.0.200:3128

use_proxy = on

wait = 30

# 验证，如果返回值为0表示wget可用

# sudo wget --spider -T 5 -q -t 2 www.baidu.com | echo $?

0

2.3、配置yum代理编辑yum的配置文件，新增下面的内容

# vim /etc/yum.conf
# 有认证的情况
# Proxy
proxy=http://squid:123456@192.168.0.200:3128
# 没有认证
# Proxy
proxy=http://192.168.0.200:3128

1

2

3

4

5

6

7

# vim /etc/yum.conf

# 有认证的情况

# Proxy

proxy=http://squid:123456@192.168.0.200:3128

# 没有认证

# Proxy

proxy=http://192.168.0.200:3128

2.4、配置docker代理 docker配置代理是为了保证docker能从外网pull镜像，在安装了docker之后，在docker配置文件下新增配置并重启docker

# mkdir -p /etc/systemd/system/docker.service.d
# vim /etc/systemd/system/docker.service.d/http-proxy.conf
[Service]
Environment="HTTP_PROXY=squid:123456@192.168.0.200:3128" 
# systemctl daemon-reload
# systemctl restart docker

1

2

3

4

5

6

# mkdir -p /etc/systemd/system/docker.service.d

# vim /etc/systemd/system/docker.service.d/http-proxy.conf

[Service]

Environment="HTTP_PROXY=squid:123456@192.168.0.200:3128"

# systemctl daemon-reload

# systemctl restart docker

SECURITY

CentOS 7 上使用Certbot申请通配符证书

在CentOS7上安装Certbot有三种方式：使用Certbot官方提供的对应平台的RPM包安装使用Certbot官方的提供的certbot-auto安装使用pip安装Certbot，因为Certbot是Python程序本文使用虚拟环境，使用pip安装Certbot 创建虚拟环境：可参考https://meaninglive.com/2020/06/15/%E5%88%9B%E5%BB%BA%E8%99%9A%E6%8B%9F%E7%8E%AF%E5%A2%83-ansible-python3-and-virtualenvs-on-centos-and-rhel/ 创建所需环境：

mkvirtualenv certbot 
workon certbot 
pip install -U setuptools pip pip install certbot-dns-route53 
参考：https://wsgzao.github.io/post/certbot/

1

2

3

4

mkvirtualenv certbot

workon certbot

pip install -U setuptools pip pip install certbot-dns-route53

参考：https://wsgzao.github.io/post/certbot/

用如下命令申请证书注意替换成自己的域名；执行该命令时不依赖nginx：

certbot -d meaninglive.com \
          -d *.meaninglive.com \
          --manual --preferred-challenges dns-01 \
          --server https://acme-v02.api.letsencrypt.org/directory \
          certonly --agree-tos

1

2

3

4

5

certbot -d meaninglive.com \

-d *.meaninglive.com \

--manual --preferred-challenges dns-01 \

--server https://acme-v02.api.letsencrypt.org/directory \

certonly --agree-tos

介绍下相关参数： certonly，表示安装模式，Certbot 有安装模式和验证模式两种类型的插件。 –manual 表示手动安装插件，Certbot 有很多插件，不同的插件都可以申请证书，用户可以根据需要自行选择 -d 为那些主机申请证书，如果是通配符，输入 *.devapi.haoshiqi.net（可以替换为你自己的域名） –preferred-challenges dns，使用 DNS 方式校验域名所有权 –server，Let’s Encrypt ACME v2 版本使用的服务器不同于 v1 版本，需要显示指定。输入应急邮箱，证书到期前会有邮件提示如果想跳过输入邮箱的步骤，可在申请命令后面加上：

--register-unsafely-without-email

1	--register-unsafely-without-email

之后出现如下提示：要公开记录申请该证书的IP地址，是否同意？不同意就无法继续。同意之后，出现如下提示，第一个“Press Enter to Continue”处直接回车，第二个“Press Enter to Continue”不要按回车：

-------------------------------------------------------------------------------
Please deploy a DNS TXT record under the name
_acme-challenge.co1dawn.com <span class="hljs-keyword">with</span> the following value:

iLS0NjcdP3RR1KphB6xbbVnKS_NS2uMW-xdDRzz85OM

Before continuing, verify the record is deployed.
-------------------------------------------------------------------------------
Press Enter to Continue             #此处直接回车

-------------------------------------------------------------------------------
Please deploy a DNS TXT record under the name
_acme-challenge.co1dawn.com <span class="hljs-keyword">with</span> the following value:

f3V7aw5GPm5yzNsJFanQQaUFMyVQcqriUe3UjIDUHn0

Before continuing, verify the record is deployed.
-------------------------------------------------------------------------------
Press Enter to Continue             #此处不要按回车

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

-------------------------------------------------------------------------------

Please deploy a DNS TXT record under the name

_acme-challenge.co1dawn.com with the following value:

iLS0NjcdP3RR1KphB6xbbVnKS_NS2uMW-xdDRzz85OM

Before continuing, verify the record is deployed.

-------------------------------------------------------------------------------

Press Enter to Continue #此处直接回车

-------------------------------------------------------------------------------

Please deploy a DNS TXT record under the name

_acme-challenge.co1dawn.com with the following value:

f3V7aw5GPm5yzNsJFanQQaUFMyVQcqriUe3UjIDUHn0

Before continuing, verify the record is deployed.

-------------------------------------------------------------------------------

Press Enter to Continue #此处不要按回车

为DNS解析增加TXT记录进入自己域名的DNS记录管理页面，增加两条TXT记录，多数情况下，仅需在域名(Name)处填入_acme-challenge，在内容(Target)处填入上一步Certbot生成的内容即可(记得填写两个，多个文本记录之间以换行符(Enter键)分隔)，不同DNS提供商处可能会略有不同，根据实际情况修改，如果是www.name.com的域名的话，就分别写两条相同主机名的记录，填写不同的记录稍等片刻，等TXT记录解析生效。查看是否生效的命令和生效后的查询结果如下： host -t Read more…

By sean, 5 years ago

SECURITY

自签名证书详解

总结下来，其实生成证书就两句话：

DOMAIN='www.example.com'

SUBJECT="/C=US/ST=Mars/L=iTranswarp/O=iTranswarp/OU=iTranswarp/CN=$DOMAIN"
openssl req -nodes -new -subj $SUBJECT -keyout $DOMAIN.key -out $DOMAIN.csr

printf "subjectAltName=DNS:localhost,IP:192.168.1.1" | \
openssl x509 -req -sha256 -days 3650 -in $DOMAIN.csr \
 -signkey $DOMAIN.key -out $DOMAIN.crt \
 -extfile /dev/stdin

1

2

3

4

5

6

7

8

9

DOMAIN='www.example.com'

SUBJECT="/C=US/ST=Mars/L=iTranswarp/O=iTranswarp/OU=iTranswarp/CN=$DOMAIN"

openssl req -nodes -new -subj $SUBJECT -keyout $DOMAIN.key -out $DOMAIN.csr

printf "subjectAltName=DNS:localhost,IP:192.168.1.1" | \

openssl x509 -req -sha256 -days 3650 -in $DOMAIN.csr \

-signkey $DOMAIN.key -out $DOMAIN.crt \

-extfile /dev/stdin

———————————————- 有一个shell脚本来自动生成证书：

#!/bin/sh

# create self-signed server certificate:

read -p "Enter your domain [www.example.com]: " DOMAIN

echo "Create server key..."

openssl genrsa -des3 -out $DOMAIN.key 1024

echo "Create server certificate signing request..."

SUBJECT="/C=US/ST=Mars/L=iTranswarp/O=iTranswarp/OU=iTranswarp/CN=$DOMAIN"

openssl req -new -subj $SUBJECT -key $DOMAIN.key -out $DOMAIN.csr

echo "Remove password..."

mv $DOMAIN.key $DOMAIN.origin.key
openssl rsa -in $DOMAIN.origin.key -out $DOMAIN.key

echo "Sign SSL certificate..."

openssl x509 -req -days 3650 -in $DOMAIN.csr -signkey $DOMAIN.key -out $DOMAIN.crt

echo "TODO:"
echo "Copy $DOMAIN.crt to /etc/nginx/ssl/$DOMAIN.crt"
echo "Copy $DOMAIN.key to /etc/nginx/ssl/$DOMAIN.key"
echo "Add configuration in nginx:"
echo "server {"
echo "    ..."
echo "    listen 443 ssl;"
echo "    ssl_certificate     /etc/nginx/ssl/$DOMAIN.crt;"
echo "    ssl_certificate_key /etc/nginx/ssl/$DOMAIN.key;"
echo "}"

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

#!/bin/sh

# create self-signed server certificate:

read -p "Enter your domain [www.example.com]: " DOMAIN

echo "Create server key..."

openssl genrsa -des3 -out $DOMAIN.key 1024

echo "Create server certificate signing request..."

SUBJECT="/C=US/ST=Mars/L=iTranswarp/O=iTranswarp/OU=iTranswarp/CN=$DOMAIN"

openssl req -new -subj $SUBJECT -key $DOMAIN.key -out $DOMAIN.csr

echo "Remove password..."

mv $DOMAIN.key $DOMAIN.origin.key

openssl rsa -in $DOMAIN.origin.key -out $DOMAIN.key

echo "Sign SSL certificate..."

openssl x509 -req -days 3650 -in $DOMAIN.csr -signkey $DOMAIN.key -out $DOMAIN.crt

echo "TODO:"

echo "Copy $DOMAIN.crt to /etc/nginx/ssl/$DOMAIN.crt"

echo "Copy $DOMAIN.key to /etc/nginx/ssl/$DOMAIN.key"

echo "Add configuration in nginx:"

echo "server {"

echo " ..."

echo " listen 443 ssl;"

echo " ssl_certificate /etc/nginx/ssl/$DOMAIN.crt;"

echo " ssl_certificate_key /etc/nginx/ssl/$DOMAIN.key;"

echo "}"

另一个脚本：

#!/bin/sh

domain='gpaas.yyuap.com'

# 生成证书和key的对应文件名
ca_file=${domain}.ca
key_file=${domain}.key
cert_file=${domain}.crt

printf "[req]
default_bits            = 4096
default_md              = sha256
prompt                  = no
encrypt_key             = no
string_mask = utf8only

distinguished_name      = cert_distinguished_name
req_extensions          = req_x509v3_extensions

# 将下面的信息替换成你的信息
[ cert_distinguished_name ]
C  = CN
ST = GD
L  = GZ
O  = yyuap
OU = yyuap
CN = gpaas.yyuap.com

[req_x509v3_extensions]
basicConstraints = critical,CA:true
subjectKeyIdentifier    = hash
authorityKeyIdentifier = keyid:always,issuer
keyUsage = critical,digitalSignature,keyCertSign,cRLSign #,keyEncipherment
extendedKeyUsage  = critical,serverAuth #, clientAuth
subjectAltName=@alt_names

# 将下面的信息替换成你的信息, 如果无需绑定域名或IP, 可以将其多余删除
[alt_names]
DNS.1 = *.yyuap.com
IP.1 = 172.20.47.38
IP.2 = 127.0.0.1
" >$ca_file


openssl ecparam -out $key_file -name prime256v1 -genkey
openssl req -new -sha256 -x509 -days 7300 -config $ca_file -extensions req_x509v3_extensions -key $key_file -out $cert_file
openssl x509 -in $cert_file -serial -noout
openssl x509 -noout -text -in "$domain-cert.pem"
echo -e "\e[1m\e[34m基于openssl verify校验证书可用性:\e[0m"
# 返回ok字样代表自签名证书是有效的.
openssl verify -verbose -CAfile $cert_file $cert_file

echo -e "\e[1m\e[34m基于openssl s_server校验证书可用性:\e[0m"
openssl s_server -cert $cert_file -key $key_file -CAfile $cert_file -Verify 3 -accept 4430 -www &
openssl_pid=$!
# 测试证书有效性, 127.0.0.1可以改成alt_names中你想测试的域名或IP, 前提是被测试的域名需要被正确解析到本机.
# 返回Verify return code: 0 (ok)代表自签名证书是有效的.
echo 'GET /HTTP/1.1' | openssl s_client -connect 127.0.0.1:4430 -cert $cert_file -key $key_file -CAfile $cert_file
kill ${openssl_pid}

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

38

39

40

41

42

43

44

45

46

47

48

49

50

51

52

53

54

55

56

57

58

59

#!/bin/sh

domain='gpaas.yyuap.com'

# 生成证书和key的对应文件名

ca_file=${domain}.ca

key_file=${domain}.key

cert_file=${domain}.crt

printf "[req]

default_bits = 4096

default_md = sha256

prompt = no

encrypt_key = no

string_mask = utf8only

distinguished_name = cert_distinguished_name

req_extensions = req_x509v3_extensions

# 将下面的信息替换成你的信息

[ cert_distinguished_name ]

C = CN

ST = GD

L = GZ

O = yyuap

OU = yyuap

CN = gpaas.yyuap.com

[req_x509v3_extensions]

basicConstraints = critical,CA:true

subjectKeyIdentifier = hash

authorityKeyIdentifier = keyid:always,issuer

keyUsage = critical,digitalSignature,keyCertSign,cRLSign #,keyEncipherment

extendedKeyUsage = critical,serverAuth #, clientAuth

subjectAltName=@alt_names

# 将下面的信息替换成你的信息, 如果无需绑定域名或IP, 可以将其多余删除

[alt_names]

DNS.1 = *.yyuap.com

IP.1 = 172.20.47.38

IP.2 = 127.0.0.1

" >$ca_file

openssl ecparam -out $key_file -name prime256v1 -genkey

openssl req -new -sha256 -x509 -days 7300 -config $ca_file -extensions req_x509v3_extensions -key $key_file -out $cert_file

openssl x509 -in $cert_file -serial -noout

openssl x509 -noout -text -in "$domain-cert.pem"

echo -e "\e[1m\e[34m基于openssl verify校验证书可用性:\e[0m"

# 返回ok字样代表自签名证书是有效的.

openssl verify -verbose -CAfile $cert_file $cert_file

echo -e "\e[1m\e[34m基于openssl s_server校验证书可用性:\e[0m"

openssl s_server -cert $cert_file -key $key_file -CAfile $cert_file -Verify 3 -accept 4430 -www &

openssl_pid=$!

# 测试证书有效性, 127.0.0.1可以改成alt_names中你想测试的域名或IP, 前提是被测试的域名需要被正确解析到本机.

# 返回Verify return code: 0 (ok)代表自签名证书是有效的.

echo 'GET /HTTP/1.1' | openssl s_client -connect 127.0.0.1:4430 -cert $cert_file -key $key_file -CAfile $cert_file

kill ${openssl_pid}

参考：https://www.fullstackmemo.com/2018/05/10/openssl-gen-https-self-signed-cer/ nginx配置：

server {
    listen 80;
    server_name xxx.com gpaas.xxx.com;
    #return 301 https://$server_name$request_uri;
    #rewrite ^/(.*) https://$server_name$request_uri? permanent; # 80端口全部重定向到 https
    if ($scheme = http){
        return 301 https://$host$request_uri;
    }
}

    #启用 https, 使用 http/2 协议, nginx 1.9.11 启用 http/2 会有bug, 已在 1.9.12 版本中修复.
    listen 443 ssl http2;

    charset utf-8;
    server_name xxx.com gpaas.xxx.com;

    #告诉浏览器当前页面禁止被frame
    add_header X-Frame-Options DENY;
    #告诉浏览器不要猜测mime类型
    add_header X-Content-Type-Options nosniff;
    
    #证书路径
    ssl_certificate      cert/meaninglive.com/full_chain.pem;
    #私钥路径
    ssl_certificate_key  cert/meaninglive.com/private.key;

    #安全链接可选的加密协议
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    #可选的加密算法,顺序很重要,越靠前的优先级越高.
    ssl_ciphers EECDH+CHACHA20:EECDH+CHACHA20-draft:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;
    #在 SSLv3 或 TLSv1 握手过程一般使用客户端的首选算法,如果启用下面的配置,则会使用服务器端的首选算法.
    ssl_prefer_server_ciphers on;
    #储存SSL会话的缓存类型和大小
    ssl_session_cache shared:SSL:10m;
    #缓存有效期
    ssl_session_timeout 60m;

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

server {

listen 80;

server_name xxx.com gpaas.xxx.com;

#return 301 https://$server_name$request_uri;

#rewrite ^/(.*) https://$server_name$request_uri? permanent; # 80端口全部重定向到 https

if ($scheme = http){

return 301 https://$host$request_uri;

}

#启用 https, 使用 http/2 协议, nginx 1.9.11 启用 http/2 会有bug, 已在 1.9.12 版本中修复.

listen 443 ssl http2;

charset utf-8;

server_name xxx.com gpaas.xxx.com;

#告诉浏览器当前页面禁止被frame

add_header X-Frame-Options DENY;

#告诉浏览器不要猜测mime类型

add_header X-Content-Type-Options nosniff;

#证书路径

ssl_certificate cert/meaninglive.com/full_chain.pem;

#私钥路径

ssl_certificate_key cert/meaninglive.com/private.key;

#安全链接可选的加密协议

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

#可选的加密算法,顺序很重要,越靠前的优先级越高.

ssl_ciphers EECDH+CHACHA20:EECDH+CHACHA20-draft:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;

#在 SSLv3 或 TLSv1 握手过程一般使用客户端的首选算法,如果启用下面的配置,则会使用服务器端的首选算法.

ssl_prefer_server_ciphers on;

#储存SSL会话的缓存类型和大小

ssl_session_cache shared:SSL:10m;

#缓存有效期

ssl_session_timeout 60m;

—————证书知识补充——————————- 自签名证书 + Nginx 实现 HTTP 升级 HTTPS 很多内网平台在开发时候并没有考虑 HTTPS，想要从 HTTP 升级到 HTTPS 一般有两种方法：一种是更新所有相关前后端代码；另一种是基本不改变代码，用 Nginx 把 HTTPS 反向代理到 HTTP 接口。第一种方法工作量有点大，本文介绍下第二种方法，当然首先要做的是生成自签名证书。准备工作内网环境受影响的是软件安装升级和证书申请，所以需要制作本地 yum 和自签名证书，自签名证书稍后讲，制作本地 yum 库可参考链接内容， HTTPS 和 CA 基础知识查看这里。制作本地 yum 库，为了自动处理软件之间的依赖关系，一般都会用 yum 等软件包管理器来安装更新软件，默认 yum 是从互联网获取各种软件包的，内网环境就需要制作本地 yum Read more…

By sean, 5 years06/19/2020 ago

SECURITY

内网一键生成 LetsEncrypt HTTPS证书

HTTPS当前越来越重要，所以经常会有公司去花钱买，我们也一样，有时候确实需要https，但是收费的用不起，所以打起了免费的主义。 LetsEncrypt是不错的选择，但是我们如果在内网该如何克服呢，没错，使用ngrok。一键生成。 ngrok是在内网用户可以获得公网访问的一个非常棒的软件。找一台有公网地址的机器我们找到了假设是公网A 找一个域名，用于传输流量我们找到了，假设是ops.ac.cn，注意，ac.cn是域名哦，虽然是二级域名，但是ac.cn是中科院相关的域名机构。而且我们要设置泛域名 A记录到公网A 搭建ngrok 如下脚本一气呵成，胆儿大的可以直接试试。最终的目录是在/usr/local/ngrok下面

# 安装基本依赖
yum -y install zlib-devel openssl-devel perl hg cpio expat-devel gettext-devel curl curl-devel perl-ExtUtils-MakeMaker hg wget gcc gcc-c++
 asciidoc
yum remove -y git
wget https://www.kernel.org/pub/software/scm/git/git-2.6.0.tar.gz

tar zxvf git-2.6.0.tar.gz

cd git-2.6.0
make configure
./configure --prefix=/usr/local/git --with-iconv=/usr/local/libiconv
make all doc
make install install-doc install-html
echo "export PATH=$PATH:/usr/local/git/bin" >> /etc/bashrc
source /etc/bashrc

ln -s /usr/local/git/bin/* /usr/bin/


# 安装go环境
yum install -y mercurial bzr subversion

wget https://storage.googleapis.com/golang/go1.4.1.linux-amd64.tar.gz

tar -C /usr/local -xzf go1.4.1.linux-amd64.tar.gz

mkdir $HOME/go

echo 'export GOROOT=/usr/local/go' >> ~/.bashrc 

echo 'export GOPATH=$HOME/go' >> ~/.bashrc 

echo 'export PATH=$PATH:$GOROOT/bin:$GOPATH/bin' >> ~/.bashrc 

source $HOME/.bashrc 

ln -s /usr/local/go/bin/* /usr/bin/

# 编译ngrok
cd /usr/local/
git clone https://github.com/inconshreveable/ngrok.git
export GOPATH=/usr/local/ngrok/
export NGROK_DOMAIN="ops.ac.cn"
cd ngrok

# 为域名生成证书
openssl genrsa -out rootCA.key 2048
openssl req -x509 -new -nodes -key rootCA.key -subj "/CN=$NGROK_DOMAIN" -days 5000 -out rootCA.pem
openssl genrsa -out server.key 2048
openssl req -new -key server.key -subj "/CN=$NGROK_DOMAIN" -out server.csr
openssl x509 -req -in server.csr -CA rootCA.pem -CAkey rootCA.key -CAcreateserial -out server.crt -days 5000


cp rootCA.pem assets/client/tls/ngrokroot.crt

cp server.crt assets/server/tls/snakeoil.crt

cp server.key assets/server/tls/snakeoil.key

sed '5 ilog "github.com/keepeye/log4go"' -i /usr/local/ngrok/src/ngrok/log/logger.go

# 编译服务端
cd /usr/local/go/src 
GOOS=linux GOARCH=amd64 ./make.bash
cd /usr/local/ngrok/
GOOS=linux GOARCH=amd64 make release-server
GOOS=linux GOARCH=amd64 make release-client

# 编译客户端
cd /usr/local/go/src
GOOS=darwin GOARCH=amd64 ./make.bash
cd /usr/local/ngrok/
GOOS=darwin GOARCH=amd64 make release-client

cd /usr/local/go/src
GOOS=windows GOARCH=amd64 ./make.bash
cd /usr/local/ngrok/
GOOS=windows GOARCH=amd64 make release-client

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

38

39

40

41

42

43

44

45

46

47

48

49

50

51

52

53

54

55

56

57

58

59

60

61

62

63

64

65

66

67

68

69

70

71

72

73

74

75

76

77

78

# 安装基本依赖

yum -y install zlib-devel openssl-devel perl hg cpio expat-devel gettext-devel curl curl-devel perl-ExtUtils-MakeMaker hg wget gcc gcc-c++

asciidoc

yum remove -y git

wget https://www.kernel.org/pub/software/scm/git/git-2.6.0.tar.gz

tar zxvf git-2.6.0.tar.gz

cd git-2.6.0

make configure

./configure --prefix=/usr/local/git --with-iconv=/usr/local/libiconv

make all doc

make install install-doc install-html

echo "export PATH=$PATH:/usr/local/git/bin" >> /etc/bashrc

source /etc/bashrc

ln -s /usr/local/git/bin/* /usr/bin/

# 安装go环境

yum install -y mercurial bzr subversion

wget https://storage.googleapis.com/golang/go1.4.1.linux-amd64.tar.gz

tar -C /usr/local -xzf go1.4.1.linux-amd64.tar.gz

mkdir $HOME/go

echo 'export GOROOT=/usr/local/go' >> ~/.bashrc

echo 'export GOPATH=$HOME/go' >> ~/.bashrc

echo 'export PATH=$PATH:$GOROOT/bin:$GOPATH/bin' >> ~/.bashrc

source $HOME/.bashrc

ln -s /usr/local/go/bin/* /usr/bin/

# 编译ngrok

cd /usr/local/

git clone https://github.com/inconshreveable/ngrok.git

export GOPATH=/usr/local/ngrok/

export NGROK_DOMAIN="ops.ac.cn"

cd ngrok

# 为域名生成证书

openssl genrsa -out rootCA.key 2048

openssl req -x509 -new -nodes -key rootCA.key -subj "/CN=$NGROK_DOMAIN" -days 5000 -out rootCA.pem

openssl genrsa -out server.key 2048

openssl req -new -key server.key -subj "/CN=$NGROK_DOMAIN" -out server.csr

openssl x509 -req -in server.csr -CA rootCA.pem -CAkey rootCA.key -CAcreateserial -out server.crt -days 5000

cp rootCA.pem assets/client/tls/ngrokroot.crt

cp server.crt assets/server/tls/snakeoil.crt

cp server.key assets/server/tls/snakeoil.key

sed '5 ilog "github.com/keepeye/log4go"' -i /usr/local/ngrok/src/ngrok/log/logger.go

# 编译服务端

cd /usr/local/go/src

GOOS=linux GOARCH=amd64 ./make.bash

cd /usr/local/ngrok/

GOOS=linux GOARCH=amd64 make release-server

GOOS=linux GOARCH=amd64 make release-client

# 编译客户端

cd /usr/local/go/src

GOOS=darwin GOARCH=amd64 ./make.bash

cd /usr/local/ngrok/

GOOS=darwin GOARCH=amd64 make release-client

cd /usr/local/go/src

GOOS=windows GOARCH=amd64 ./make.bash

cd /usr/local/ngrok/

GOOS=windows GOARCH=amd64 make release-client

ngrok服务启动

#!/bin/bash

cd /usr/local/ngrok/
./bin/ngrokd -tlsKey="assets/server/tls/snakeoil.key" -tlsCrt="assets/server/tls/snakeoil.crt" -domain="ops.ac.cn"

1

2

3

4

#!/bin/bash

cd /usr/local/ngrok/

./bin/ngrokd -tlsKey="assets/server/tls/snakeoil.key" -tlsCrt="assets/server/tls/snakeoil.crt" -domain="ops.ac.cn"

客户端连接

# 配置文件准备
server_addr: "ops.ac.cn:4443"
trust_host_root_certs: false

1

2

3

# 配置文件准备

server_addr: "ops.ac.cn:4443"

trust_host_root_certs: false

ngrok出现”bad certificate”的原因： 1. 看准了， server_address居然是直接使用的主域名， 2. 编译出来的ngrok程序一定是使用和server相同的证书产生的。如果server编译出来的在本地运行的时候出现“segment fault“，那么可以尝试着将/usr/local/ngrok放到本地，然后运行编译客户端的几行代码重新编译即可。 3. 客户端启动的配置文件中，trust_host_root_certs选项，除非你的证书是第三方的，否则就乖乖的使用false吧 ssl脚本执行目录：/root/ssl/ www目录: /root/www/challenges ， python -m SimpleHTTPServer 80 sendemail放置地方：/root/ssl/sendemail ＨＴＴＰ服务器准备如果胆儿大，直接执行如下的内容即可

#!/bin/bash
# filepath: /root/ssl/a.sh

# 清场
ls | grep -v a.sh | grep -v sendemail | grep -v tar.gz | xargs -i rm -f {}

which openssl || (echo "没有找到openssl，开始安装"; yum install -y openssl)

# 创建一个目录
mkdir /root/ssl && echo "创建临时目录成功!" || (echo "创建临时目录失败";exit)

# 创建一个RSA私钥
openssl genrsa 4096 > account.key && echo "创建RSA私钥成功！" || (echo "创建RSA私钥失败!";exit)

# 创建另一个RSA私钥
openssl genrsa 4096 > domain.key && echo "创建另外一个私钥成功！" || (echo "创建另外一个RSA私钥失败！";exit)

#创建ECC私钥
openssl ecparam -genkey -name secp256r1 | openssl ec -out domain.key && echo "创建ECC私钥成功！" || (echo "创建ECC私钥失败！";exit)
openssl ecparam -genkey -name secp384r1 | openssl ec -out domain.key && echo "创建ECC私钥成功！" || (echo "创建ECC私钥失败！";exit)

#生成ＣＳＲ文件，有两种方式，我用的是第二种，但是第一种可以一次多申请几个，可以稍后测试
# In how many days should certificates expire?
export KEY_EXPIRE=3650
export KEY_COUNTRY="CN"
export KEY_PROVINCE="SD"
export KEY_CITY="JN"
export KEY_ORG="IIOT"
export KEY_EMAIL="zzlyzq@gmail.com"
export KEY_OU="CloudPlatform"

#openssl req -new -sha256 -key domain.key -subj "/" -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:yoursite.com,DNS:www.yoursite.com")) > domain.csr
openssl req -new -sha256 -key domain.key -out domain.csr

# 配置验证服务，为啥要这么说呢，因为letsencrypt给的也是DV，也就是域名验证，我们运行软件申请的时候，本身python脚本会在本地写一个随机数到一个随机文件，它们官方会从远端经过公网DNS解析并去获取这个文件，如果一致，就说明这个站点是我们的，也就可以申请证书了。
[ -d "~/www/challenges" ] || mkdir -p ~/www/challenges/
# 另外，还需要两个步骤，最后会说明为啥要这两个步骤。
mkdir /root/www/challenges/.well-known/ -p
ln -s /root/www/challenges/ /root/www/challenges/.well-known/acme-challenge

# 接下来我们就要下载python脚本，并去申请证书了
wget https://raw.githubusercontent.com/diafygi/acme-tiny/master/acme_tiny.py

#　在执行下面之前，我们可以打开网站，最简单的就是使用python
#nohup python -m SimpleHTTPServer 80&
python acme_tiny.py --account-key ./account.key --csr ./domain.csr --acme-dir ~/www/challenges/ > ./signed.crt

# 如果一切正常，我们会看到signed.crt这个就是我们的证书了。

# 另外，我们还需要letsencrypt的中间证书，我也不知道啥意思，反正是需要一个官网的东西
wget -O - https://letsencrypt.org/certs/lets-encrypt-x3-cross-signed.pem > intermediate.pem
cat signed.crt intermediate.pem > chained.pem
wget -O - https://letsencrypt.org/certs/isrgrootx1.pem > root.pem
cat intermediate.pem root.pem > full_chained.pem

# 打包发送
tar czvf crt.tar.gz chained.pem domain.key
./sendemail -f 123@vip.126.com -t 123@iiot.ac.cn -s smtp.vip.126.com -u "证书快递" -xu 123 -xp 123 -m "证书For域名：XX生成成功" -a crt.tar.gz -o message-charset=utf-8

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

38

39

40

41

42

43

44

45

46

47

48

49

50

51

52

53

54

55

56

57

58

#!/bin/bash

# filepath: /root/ssl/a.sh

# 清场

ls | grep -v a.sh | grep -v sendemail | grep -v tar.gz | xargs -i rm -f {}

which openssl || (echo "没有找到openssl，开始安装"; yum install -y openssl)

# 创建一个目录

mkdir /root/ssl && echo "创建临时目录成功!" || (echo "创建临时目录失败";exit)

# 创建一个RSA私钥

openssl genrsa 4096 > account.key && echo "创建RSA私钥成功！" || (echo "创建RSA私钥失败!";exit)

# 创建另一个RSA私钥

openssl genrsa 4096 > domain.key && echo "创建另外一个私钥成功！" || (echo "创建另外一个RSA私钥失败！";exit)

#创建ECC私钥

openssl ecparam -genkey -name secp256r1 | openssl ec -out domain.key && echo "创建ECC私钥成功！" || (echo "创建ECC私钥失败！";exit)

openssl ecparam -genkey -name secp384r1 | openssl ec -out domain.key && echo "创建ECC私钥成功！" || (echo "创建ECC私钥失败！";exit)

#生成ＣＳＲ文件，有两种方式，我用的是第二种，但是第一种可以一次多申请几个，可以稍后测试

# In how many days should certificates expire?

export KEY_EXPIRE=3650

export KEY_COUNTRY="CN"

export KEY_PROVINCE="SD"

export KEY_CITY="JN"

export KEY_ORG="IIOT"

export KEY_EMAIL="zzlyzq@gmail.com"

export KEY_OU="CloudPlatform"

#openssl req -new -sha256 -key domain.key -subj "/" -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:yoursite.com,DNS:www.yoursite.com")) > domain.csr

openssl req -new -sha256 -key domain.key -out domain.csr

# 配置验证服务，为啥要这么说呢，因为letsencrypt给的也是DV，也就是域名验证，我们运行软件申请的时候，本身python脚本会在本地写一个随机数到一个随机文件，它们官方会从远端经过公网DNS解析并去获取这个文件，如果一致，就说明这个站点是我们的，也就可以申请证书了。

[ -d "~/www/challenges" ] || mkdir -p ~/www/challenges/

# 另外，还需要两个步骤，最后会说明为啥要这两个步骤。

mkdir /root/www/challenges/.well-known/ -p

ln -s /root/www/challenges/ /root/www/challenges/.well-known/acme-challenge

# 接下来我们就要下载python脚本，并去申请证书了

wget https://raw.githubusercontent.com/diafygi/acme-tiny/master/acme_tiny.py

#　在执行下面之前，我们可以打开网站，最简单的就是使用python

#nohup python -m SimpleHTTPServer 80&

python acme_tiny.py --account-key ./account.key --csr ./domain.csr --acme-dir ~/www/challenges/ > ./signed.crt

# 如果一切正常，我们会看到signed.crt这个就是我们的证书了。

# 另外，我们还需要letsencrypt的中间证书，我也不知道啥意思，反正是需要一个官网的东西

wget -O - https://letsencrypt.org/certs/lets-encrypt-x3-cross-signed.pem > intermediate.pem

cat signed.crt intermediate.pem > chained.pem

wget -O - https://letsencrypt.org/certs/isrgrootx1.pem > root.pem

cat intermediate.pem root.pem > full_chained.pem

# 打包发送

tar czvf crt.tar.gz chained.pem domain.key

./sendemail -f 123@vip.126.com -t 123@iiot.ac.cn -s smtp.vip.126.com -u "证书快递" -xu 123 -xp 123 -m "证书For域名：XX生成成功" -a crt.tar.gz -o message-charset=utf-8

生成的时候会要求输入一些东西，比如国家，省会，城市，公司名称，common name最重要，这个就是域名哦。生成完成后，会自动打包发送邮件。转自： https://blog.csdn.net/vbaspdelphi/article/details/53185943 可参考：https://learnku.com/articles/19999

By sean, 5 years06/19/2020 ago

SECURITY

自动检测nginx日志,并自动更新iptables

inotify-tools 是一个用C语言库，一个为Linux提供简单inotify接口的命令行程序。这些程序可以用于监视文件系统事件并执行相应操作。这些程序是用C语言来写的，除了需要Linux内核的inotify支持外，没有其他的依赖。inotify-tools 3.14是目前最新版本，其于2010年3月7日发布。那么什么inotify又是什么？ inotify，它是Linux在内核 2.6.13 (June 18, 2005)版本中引入的一个新功能，它为用户态监视文件系统的变化提供了强大的支持，允许监控程序打开一个独立文件描述符，并针对事件集监控一个或者多个文件，例如打开、关闭、移动/重命名、删除、创建或者改变属性。下面脚本目的是: 实时检测nginx访问日志, 提取remote_addr, 并对比iptables配置文件, 如果没有的话就自动更新iptables 安装inotify: yum install inotify-tools # 2019-08-17更新: 坑点1: 可以自动修复iptables报错, 方法是查出报错行, 然后递归删除, 之所以要递归删除, 是因为journalctl报错只能看到执行到哪一行报的, 不能显示全部报错行, 只能是依次reload iptables才能找到所有报错行. 坑点2: 之前用journalctl -n 50 -u iptables 去查找最后50行日志, 导致iptables被误删了好多规则, 观察报错, 一般是最后8行是最近一次reload的日志, 所以改成了journalctl -n 7 -u iptables. monitor.sh:

#!/bin/bash

iptables="/etc/sysconfig/iptables"

port="12345"

fix_error() {
    error_lines="$(journalctl -n 7 -u iptables| grep "`date +%H:%M:%S`" | grep 'Error occurred at line' | \
                   awk '{print $NF}' | awk '!a[$0]++')"
    # 替换一个或多个空格, 或者换行符, 或者结尾符为 ';d'
    sed_del=$(echo $error_lines | sed 's/[ ][ ]*\|\n\|$/d;/g')
    sed -i "${sed_del}" $iptables
    systemctl reload iptables
    if [[ $? -ne 0 ]]; then
        fix_error
    fi
}

add_ip_to_iptables(){
    new_ip=$1
    if ! iptables -nvL | grep ${port} | awk '{print $8}' | grep "$new_ip" > /dev/null 2>&1; then
        new_ip_1=$(echo $new_ip | sed 's#/#\\/#')
        if ! grep -E -q "${new_ip_1}.*.${port}" $iptables; then
            sed -i "/#vpn/a -A INPUT -s $new_ip -m state --state NEW -m tcp -p tcp --dport ${port} -j ACCEPT" $iptables
        fi
        systemctl reload iptables
        if [[ $? -ne 0 ]]; then
            fix_error
        else
            echo "$update_time: Added $new_ip into iptables"
        fi
    fi
}

del_ip_from_iptables(){
    new_ip=$1
    if iptables -nvL | grep ${port} | awk '{print $8}' | grep "$new_ip" > /dev/null 2>&1; then
        new_ip_1=$(echo $new_ip | sed 's#/#\\/#')
        if grep -E -q "${new_ip_1}.*.${port}" $iptables; then
            sed -i "/${new_ip_1}.*.${port}/d" $iptables
        fi
        systemctl reload iptables
        if [[ $? -ne 0 ]]; then
            fix_error
        else
            echo "$update_time: Deleted $new_ip from iptables"
        fi
    fi
}


inotifywait -mqr -e modify --timefmt '%Y-%m-%d %H:%M:%S' --format '%w %f %e %T' /data/logs/nginx/ip_access.log | \
while read file; do
    #echo $file
    file_name=$(echo $file | cut -d" " -f1)
    #EVENT=$(echo $file | awk '{print $2}')
    update_time=$(echo $file | cut -d" " -f3,4)

    # real ip
    remote_addr=$(tail -n1 $file_name|cut -d'|' -f1)

    # request
    request=$(tail -n1 $file_name | awk -F'|' '{print $4}'| cut -d" " -f2)
    request_ip=$(echo $request | awk -F'/' '$2~/add/{print $NF}' | grep -E -o "([0-9]{1,3}[\.]){3}[0-9]{1,3}")

    add_ip_to_iptables ${remote_addr}

    if [[ "$request" == "/open" ]]; then
        add_ip_to_iptables '0.0.0.0/0'
    elif [[ "$request" == "/close" ]]; then
        del_ip_from_iptables '0.0.0.0/0'
    elif [[ ! -z $request_ip ]]; then
        add_ip_to_iptables $request_ip
    fi
done

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

38

39

40

41

42

43

44

45

46

47

48

49

50

51

52

53

54

55

56

57

58

59

60

61

62

63

64

65

66

67

68

69

70

71

72

73

74

75

#!/bin/bash

iptables="/etc/sysconfig/iptables"

port="12345"

fix_error() {

error_lines="$(journalctl -n 7 -u iptables| grep "`date +%H:%M:%S`" | grep 'Error occurred at line' | \

awk '{print $NF}' | awk '!a[$0]++')"

# 替换一个或多个空格, 或者换行符, 或者结尾符为 ';d'

sed_del=$(echo $error_lines | sed 's/[ ][ ]*\|\n\|$/d;/g')

sed -i "${sed_del}" $iptables

systemctl reload iptables

if [[ $? -ne 0 ]]; then

fix_error

fi

}

add_ip_to_iptables(){

new_ip=$1

if ! iptables -nvL | grep ${port} | awk '{print $8}' | grep "$new_ip" > /dev/null 2>&1; then

new_ip_1=$(echo $new_ip | sed 's#/#\\/#')

if ! grep -E -q "${new_ip_1}.*.${port}" $iptables; then

sed -i "/#vpn/a -A INPUT -s $new_ip -m state --state NEW -m tcp -p tcp --dport ${port} -j ACCEPT" $iptables

fi

systemctl reload iptables

if [[ $? -ne 0 ]]; then

fix_error

else

echo "$update_time: Added $new_ip into iptables"

fi

}

del_ip_from_iptables(){

new_ip=$1

if iptables -nvL | grep ${port} | awk '{print $8}' | grep "$new_ip" > /dev/null 2>&1; then

new_ip_1=$(echo $new_ip | sed 's#/#\\/#')

if grep -E -q "${new_ip_1}.*.${port}" $iptables; then

sed -i "/${new_ip_1}.*.${port}/d" $iptables

fi

systemctl reload iptables

if [[ $? -ne 0 ]]; then

fix_error

else

echo "$update_time: Deleted $new_ip from iptables"

fi

}

inotifywait -mqr -e modify --timefmt '%Y-%m-%d %H:%M:%S' --format '%w %f %e %T' /data/logs/nginx/ip_access.log | \

while read file; do

#echo $file

file_name=$(echo $file | cut -d" " -f1)

#EVENT=$(echo $file | awk '{print $2}')

update_time=$(echo $file | cut -d" " -f3,4)

# real ip

remote_addr=$(tail -n1 $file_name|cut -d'|' -f1)

# request

request=$(tail -n1 $file_name | awk -F'|' '{print $4}'| cut -d" " -f2)

request_ip=$(echo $request | awk -F'/' '$2~/add/{print $NF}' | grep -E -o "([0-9]{1,3}[\.]){3}[0-9]{1,3}")

add_ip_to_iptables ${remote_addr}

if [[ "$request" == "/open" ]]; then

add_ip_to_iptables '0.0.0.0/0'

elif [[ "$request" == "/close" ]]; then

del_ip_from_iptables '0.0.0.0/0'

elif [[ ! -z $request_ip ]]; then

add_ip_to_iptables $request_ip

fi

done

启动:

nohup /opt/scripts/monitor_remoteip_change.sh > /data/logs/iptables_changes.log 2>&1 &

1	nohup /opt/scripts/monitor_remoteip_change.sh > /data/logs/iptables_changes.log 2>&1 &

加入开机启动:

echo 'nohup /opt/scripts/monitor_remoteip_change.sh > /data/logs/iptables_changes.log 2>&1 &' >> /etc/rc.local

1	echo 'nohup /opt/scripts/monitor_remoteip_change.sh > /data/logs/iptables_changes.log 2>&1 &' >> /etc/rc.local