Linux

SSH 证书登录教程

SSH 证书登录教程证书登录的流程 SSH 证书登录之前，如果还没有证书，需要生成证书。具体方法是：用户和服务器都将自己的公钥，发给 CA CA 使用服务器公钥，生成服务器证书，发给服务器 CA 使用用户的公钥，生成用户证书，发给用户。有了证书以后，用户就可以登录服务器了。整个过程都是 SSH 自动处理，用户无感知。用户登录服务器时，SSH 自动将用户证书发给服务器。服务器检查用户证书是否有效，以及是否由可信的 CA 颁发。 SSH 自动将服务器证书发给用户。用户检查服务器证书是否有效，以及是否由信任的 CA 颁发。双方建立连接，服务器允许用户登录。生成 CA 的密钥虽然 CA 可以用同一对密码签发用户证书和服务器证书，但是出于安全性和灵活性，最好用不同的密钥分别签发。所以，CA 至少需要两对密钥，一对是签发用户证书的密钥，假设叫做 user_ca，另一对是签发服务器证书的密钥，假设叫做 host_ca。 # 生成 CA 签发用户证书的密钥 # 会在~/.ssh目录生成一对密钥：user_ca（私钥）和user_ca.pub（公钥） # 各个参数含义如下 # -t rsa：指定密钥算法 RSA。 # -b 4096：指定密钥的位数是4096位。安全性要求不高的场合，这个值可以小一点，但是不应小于1024。 # -f ~/.ssh/user_ca：指定生成密钥的位置和文件名。 # -C user_ca：指定密钥的识别字符串，相当于注释，可以随意设置。 $ ssh-keygen -t rsa -b 4096 -f ~/.ssh/user_ca -C user_ca # 生成 CA 签发服务器证书的密钥 # 会在~/.ssh目录生成一对密钥：host_ca（私钥）和host_ca.pub（公钥） # 现在，~/.ssh目录应该至少有四把密钥。 # - ~/.ssh/user_ca # - ~/.ssh/user_ca.pub # - ~/.ssh/host_ca # - ~/.ssh/host_ca.pub $ ssh-keygen -t rsa -b 4096 -f host_ca -C host_ca 服务器安装 CA 公钥 # 为了让服务器信任用户证书，必须将 CA 签发用户证书的公钥`user_ca.pub`，拷贝到服务器 $ scp ~/.ssh/user_ca.pub root@host.example.com:/etc/ssh/ 然后，将下面一行添加到服务器配置文件 /etc/ssh/sshd_config TrustedUserCAKeys /etc/ssh/user_ca.pub 上面的做法是将user_ca.pub加到/etc/ssh/sshd_config，这会产生全局效果，即服务器的所有账户都会信任user_ca签发的所有用户证书。

Wednesday, July 8, 2020 閱讀

活久见！Linux命令行居然也可以用来查看图像？

活久见！Linux 命令行居然也可以用来查看图像？ FIM sudo apt-get install fim 控制 FIM 中图像的常用快捷键： PageUp / Down：上一个图像/下一个图像 +/-：放大/缩小 a：自动缩放 w：合适宽度 h：合适身高 j / k：向下平移/向上平移 f / m：翻转/镜面反射 r / R：旋转（顺时针和逆时针） ESC / q：退出 Viu cargo install viu Lsix sudo apt-get install imagemagick wget https://github.com/hackerb9/lsix/archive/master.zip

Tuesday, April 14, 2020 閱讀

用 iptables 和 ip rule 做負載均衡

用 iptables 和 ip rule 做負載均衡操作這裡以一台透過有線 + 無線出口連線到網際網路的 Arch Linux 裝置為例。共有兩個出口，分別使用網卡 eth0 和 eth1。大致對應關係如下：標記 10 (0xa) - 路由表 #110 - 使用 eth0 出口標記 11 (0xb) - 路由表 #111 - 使用 eth1 出口我們會根據封包上的標記值判斷它應該走哪個出口。首先，使用 ip rule 為每個標記值指定一張路由表。通常預設路由表的權重是 32768。為了讓我們的路由表生效，需要將權重調高一些（例如 31000）。 # 讓帶標記 10 (0xa) 的封包使用 110 號路由表，權重 31000 ip rule add fwmark 10 table 110 prio 31000 # 讓帶標記 11 (0xb) 的封包使用 111 號路由表，權重 31000 ip rule add fwmark 11 table 111 prio 31000 # 如果你的連線更多，可以繼續新增標記 <-> 路由表的對應關係 # #110 路由表的路由 ip route add 10.20.0.0/24 dev eth0 table 110 ip route add default via 10.20.0.254 table 110 # #111 路由表的路由 ip route add 10.25.0.0/24 dev eth1 table 111 ip route add default via 10.25.0.254 table 111 # 如果這條連線已經被標記，將標記設定到封包上 iptables -t mangle -A OUTPUT -j CONNMARK --restore-mark # 如果封包已經有標記，直接放行 iptables -t mangle -A OUTPUT -m mark ! --mark 0 -j ACCEPT # 如果封包沒有被標記 # 把封包標記為 10 (0xa) iptables -t mangle -A OUTPUT -j MARK --set-mark 10 # 每 2 個封包就把一個封包標記為 11 (0xb) iptables -t mangle -A OUTPUT -m statistic --mode nth --every 2 --packet 0 -j MARK --set-mark 11 # 如果你有三條出口，這裡可以類似於 # iptables -t mangle -A OUTPUT -j MARK --set-mark 10 # iptables -t mangle -A OUTPUT -m statistic --mode nth --every 3 --packet 0 -j MARK --set-mark 11 # iptables -t mangle -A OUTPUT -m statistic --mode nth --every 3 --packet 1 -j MARK --set-mark 12 # 把封包的標記儲存到整條連線上，讓整個連線使用同一個出口 iptables -t mangle -A OUTPUT -j CONNMARK --save-mark # 讓封包的出口與我們選擇的一致 iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE 之後可以用 iptables -L OUTPUT -t mangle 看一下規則是否正確，再用 Wireshark 驗證連線是否真的分流。

Wednesday, December 4, 2019 閱讀

再戰營運商快取：使用 iptables 對付快取劫持

再戰營運商快取：使用 iptables 對付快取劫持起因與移動的快取問題進行鬥爭要追溯到兩年前，那時因為移動竟然連 cnpm 的資料都進行快取。更離譜的是：移動的快取伺服器不但速度慢到堪比萬年王八跑馬拉松，還經常當機，導致我只想安安靜靜寫程式卻不得不面對一片鮮紅的報錯。解決 iptables -I FORWARD -p tcp -m tcp -m ttl --ttl-gt 20 -m ttl --ttl-lt 30 -j DROP 考慮到可能還真的有其他伺服器送來的正常封包 TTL 也在 20-30 的區間，應該再加一層判斷。對比移動的 302 劫持封包和正常的 302 跳轉封包後，發現移動的劫持封包狀態位包含 FIN、PSH、ACK，而正常的 302 跳轉封包通常不會這三個都有。因此在 iptables 規則中加入是否包含 FIN、PSH、ACK 的判斷： iptables -I FORWARD -p tcp -m tcp -m ttl --ttl-gt 20 -m ttl --ttl-lt 30 --tcp-flags ALL FIN,PSH,ACK -j DROP 這樣應能在丟棄劫持封包的同時，盡可能降低誤傷正常封包的可能性。

Monday, October 7, 2019 閱讀

Linux 磁碟空間未釋放的解決方法

Linux 磁碟空間未釋放的解決方法使用 df -ah 命令 du -h --max-depth=1 du 的總和遠小於 df 得到的總量。程式使用的檔案資源被刪除後，程式仍在執行，導致檔案未真正刪除，無法釋放磁碟空間，也無法被統計到。 lsof |grep delete

Wednesday, July 10, 2019 閱讀

Linux CentOS 7 安裝字體庫 & 中文本體

Linux CentOS 7 安裝字體庫 & 中文本體 yum -y install fontconfig 這時在 /usr/shared 目錄就可以看到 fonts 和 fontconfig 目錄了（之前是沒有的）在這之前我們還需要新建目錄，首先在 /usr/shared/fonts 目錄下新建一個目錄 chinese mkdir /usr/shared/fonts/chinese 只需要將我們需要的字體拷貝出來並上傳至 linux 服務器 /usr/shared/fonts/chinese 目錄下即可，在這裏我選擇宋體和黑體（報表中用到了這兩種字體），可以看到是兩個後綴名為 ttf 和 ttc 的文檔 chmod -R 755 /usr/share/fonts/chinese 接下來需要安裝 ttmkfdir 來搜索目錄中所有的字體信息，並彙總生成 fonts.scale 文檔 yum -y install ttmkfdir ttmkfdir -e /usr/share/X11/fonts/encodings/encodings.dir vi /etc/fonts/fonts.conf <dir>/usr/shared/fonts/chinese<dir> 刷新內存中的字體緩存 fc-cache

Tuesday, December 18, 2018 閱讀

auth.log 中 sshd 這行的 SHA256 是什麼？

auth.log 中 sshd 這行的 SHA256 是什麼？ ssh-keygen -lf .ssh/id_rsa.pub cat .ssh/id_rsa.pub | awk '{ print $2 }' | # 只取實際的 key 資料，不含前綴或註解 base64 -d | # 以 base64 解碼 sha256sum | # SHA256 雜湊（回傳十六進位） awk '{ print $1 }' | # 只取十六進位資料 xxd -r -p | # 十六進位轉位元組 base64 # 以 base64 編碼

Monday, December 17, 2018 閱讀

Netcat（Linux nc 指令）網路管理者工具實用範例

Netcat（Linux nc 指令）網路管理者工具實用範例傳送測試用的 UDP 封包到遠端伺服器下面這行指令會傳送 UDP 的測試封包到指定的機器與連接埠，-w1 參數是指定 timeout 的時間為 1 秒。 echo -n "foo" | nc -u -w1 192.168.1.8 5000 開啟 UDP 連接埠接收資料 nc -lu localhost 5000 遠端機器的連接埠掃描（Port Scanning）這行指令會掃描指定機器 1 ~ 1000 與 2000 ~ 3000 這兩個範圍的 TCP 連接埠，看看哪些埠號有開啟。 nc -vnz -w 1 192.168.233.208 1-1000 2000-3000 這行則是掃描 UDP 的連接埠 nc -vnzu 192.168.1.8 1-65535 在兩台主機之間複製檔案假設現在有兩台主機，分別為 A 主機與 B 主機，若要將一個檔案從 A 主機複製到 B 主機，可以先在 B 主機（檔案接收者）上執行： nc -l 5000 > my.jpg

Friday, November 9, 2018 閱讀

使用 TC 和 Netem 模拟网络异常

使用 TC 和 Netem 模拟网络异常 Netem 与 TC 简要说明 Netem 是 Linux 2.6 及以上内核版本提供的一个网络模拟功能模块。该功能模块可以用来在性能良好的局域网中，模拟出复杂的互联网传输性能。例如:低带宽、传输延迟、丢包等等情况。使用 Linux 2.6 (或以上) 版本内核的很多 Linux 发行版都默认开启了该内核模块，比如：Fedora、Ubuntu、Redhat、OpenSuse、CentOS、Debian 等等。 TC 是 Linux 系统中的一个用户态工具，全名为 Traffic Control (流量控制)。TC 可以用来控制 Netem 模块的工作模式，也就是说如果想使用 Netem 需要至少两个条件，一是内核中的 Netem 模块被启用，另一个是要有对应的用户态工具 TC 。所有的报文延迟 100ms 发送: $ tc qdisc add dev enp0s5 root netem delay 100ms 模拟丢包率: $ tc qdisc change dev enp0s5 root netem loss 50% 模拟包重复: $ tc qdisc change dev enp0s5 root netem duplicate 50% 模拟包损坏: tc qdisc change dev enp0s5 root netem corrupt 2% 模拟包乱序(每 5 个报文（第 5、10、15…报文）会正常发送，其他的报文延迟 100ms): tc qdisc change dev enp0s5 root netem reorder 50% gap 3 delay 100ms 查看并显示 enp0s5 网卡的相关传输配置 $ tc qdisc show dev enp0s5

Saturday, September 15, 2018 閱讀

Quagga Routing - 安裝、設定與建置 BGP

Tuesday, August 14, 2018 閱讀

Systemd 入门教程：实战篇

Systemd 入门教程：实战篇 $ systemctl cat sshd.service [Unit] Description=OpenSSH server daemon Documentation=man:sshd(8) man:sshd_config(5) After=network.target sshd-keygen.service Wants=sshd-keygen.service [Service] EnvironmentFile=/etc/sysconfig/sshd ExecStart=/usr/sbin/sshd -D $OPTIONS ExecReload=/bin/kill -HUP $MAINPID Type=simple KillMode=process Restart=on-failure RestartSec=42s [Install] WantedBy=multi-user.target [Unit] 区块：启动顺序与依赖关系 After 字段：表示如果 network.target 或 sshd-keygen.service 需要启动，那么 sshd.service 应该在它们之后启动。相应地，还有一个 Before 字段，定义 sshd.service 应该在哪些服务之前启动。注意，After 和 Before 字段只涉及启动顺序，不涉及依赖关系。设置依赖关系，需要使用 Wants 字段和 Requires 字段 Wants 字段：表示 sshd.service 与 sshd-keygen.service 之间存在"弱依赖"关系，即如果"sshd-keygen.service"启动失败或停止运行，不影响 sshd.service 继续执行。 Requires 字段则表示"强依赖"关系，即如果该服务启动失败或异常退出，那么 sshd.service 也必须退出。注意，Wants 字段与 Requires 字段只涉及依赖关系，与启动顺序无关，默认情况下是同时启动的。

Thursday, August 9, 2018 閱讀