使用 WireGuard 无缝接入内网

发布于

去年心血来潮想搞个 NAS 放在家里，奈何囊肿羞涩，最终只能捡垃圾捡了个蜗牛星际，又因为种种原因吃了近一年的灰。最近又比较心血来潮，想起来了在角落中已经蒙尘的蜗牛星际。

在某宝上买的机子已经由卖家预装了黑群晖，用起来也是完全的傻瓜式操作，免去了自己折腾各种软件浪费时间。目前仅仅作为一个 samba 文件服务器，在局域网中共享一些视频或者其他资源。

OK，开始正题。现在需要支持在外面远程控制 NAS 下载一些东西。目前有这么几种方案：

  • 直接端口映射到内网的 NAS

    这种方案需要你有一个公网 IP，在路由器中将需要外网访问的端口直接映射到内网的 NAS 对应的端口上即可，操作也比较简单，速度则取决于你的上行带宽。

  • 使用 frp 之类的内网穿透工具

    这种方案需要一个拥有公网 IP 的服务器，可以将内网的端口映射到这台服务器指定的端口，在外面直接访问服务器的端口即可。具体的配置方法也比较简单，在此不再赘述，这个方案的速度却决于你的这台服务器的带宽。

  • 直接上 VPN

    这种方案也需要一个拥有公网 IP 的服务器，相较上面两种方案，这个可能不是那么的方便。但有个好处就是可以透明地访问整个内网的任意主机，速度也是取决于这台服务器的带宽。

考虑到后面可能会折腾好多东西(虽然目前就这一个)，干脆将搞个 VPN 直接支持整个内网的访问吧，这样也不用一个端口一个端口地去映射了。但缺点也显而易见，访问内网就得连接 VPN，还是有那么一点点麻烦。

那么用哪个 VPN 方案呢？

  • OpenVPN
  • PPTP
  • L2TP&IPSec
  • WireGuard

先说 OpenVPN，这个安全性是毋庸置疑的，可以说是非常安全。但缺点是配置繁琐，而且性能可能不大好。

PPTP 和 L2TP 在大部分平台中都有内置，配置起来非常方便，性能也挺好的，但不是很安全。

WireGuard 是一个极其迅速而且简单的 VPN，它的目标是更快，更简单，更小，并且比 IPSec 更好用(来自 WireGuard 官网)。目前 WireGuard 已经合并进入了 Linux 内核。

可以看一下性能对比(来自 WireGuard 官网)

image-20200727151702974

话不多说，开始安装吧。网络拓扑大致如下。

wireguard-network

其中：

  • 1.1.1.1 为服务器的公网 IP
  • 192.168.1.0/24 为内网的 IP 段
  • 192.168.2.0/24 为 WireGuard 的 VPN 内网网段

最终实现的效果是，电脑和手机通过连接 1.1.1.1 上的 VPN 服务，接入其他两个网段。

安装 WireGuard

WireGuard 不区分服务端与客户端，安装也比较简单，不出意外的话可以一行命令直接安装。

具体可参考 Installation - WireGuard，基本上涵盖了大部分 Linux 发行版，Windows 以及 MacOS，也包含了 Android, iOS 的安装包。

由于群晖不便于配置服务自启动（应该是我不会，没有 systemd 用的顺手），干脆在黑群晖中装个 Debian10 的虚拟机当作接入内网的网关（也就是上图中的 NAS）。

WireGuard 使用 wg 命令来进行控制，并且提供了一个 wg-quick 命令，可用来快速管理 VPN 连接。

生成密钥

1
2
3
4
5
6
7
8
9
# 生成私钥
$ wg genkey > priv_key
$ cat priv_key
qNzPeN726rM8L+JiSYeqm5zi6VwFlaa4OZhaCNPa4Uk=

# 生成公钥
$ wg pubkey < priv_key > pub_key # 使用私钥来生成公钥
$ cat pub_key
NtMtwyEB6tsQxOA5Z6xhuQkhwTFXeGPmbnirCA4lqgw=

WireGuard 的服务端与客户端是对等的。生成密钥的步骤适用于服务端，也适用于客户端。

服务器端配置

WireGuard 的配置文件一般情况下放在 /etc/wireguard 中，且为了安全考虑，需要将这个目录的所有者设置为 root，权限设置为 700。

一般情况下，配置文件可依次命名为 wgX.conf，其中 X 为任意的编号，wgX 最终也是创建出来的网络接口的名称。

此处，在服务端与客户端中，都将命名为 wg0.conf

先来看一下最基础的配置文件 /etc/wireguard/wg0.conf

1
2
3
4
5
6
7
8
[Interface]
Address = 192.168.2.1/32
ListenPort = 28385
PrivateKey = Server private key

[Peer]
PublicKey = Client public key
AllowedIPs = IP Range

就是这么简单。分为两种配置组：

  • Interface

    这个配置项为本地接口的配置，其中：

    • Address 为 VPN 连接的本地 IP 地址
    • ListenPort 作为服务端需要声明一个监听的端口，WireGuard 使用 UDP 协议，这个端口可以任意填写。需要保证防火墙已开放 UDP 的这个端口
    • PrivateKey 为上一步生成的私钥

  • Peer

    这个为对端的配置，如果有多个，则需添加多个 Peer 配置，服务端的 Peer 配置项即定义了各个可连接的客户端。其中：

    • PublicKey 为对端的公钥
    • AllowedIPs 在配置路由会讲到

客户端配置

客户端的配置与服务端的配置基本一致。每个端都需要生成各自的密钥对。

下面的为 NAS 的配置文件 /etc/wireguard/wg0.conf

1
2
3
4
5
6
7
8
[Interface]
PrivateKey = Client private key
Address = 192.168.2.2/32

[Peer]
PublicKey = Server private key
AllowedIPs = IP Range
Endpoint = 1.1.1.1:28385

客户端与服务端不同的地方在于：

  • Interface 配置中没有了 ListenPort
  • Peer 即为服务端，与服务端不同的地方在于多了一个 Endpoint

一般情况下，只有主动发起连接的端需要在 Peer 中指定 Endpoint，此处为服务器的公网 IP 和监听的端口。

基础的配置已经完成，现在可以直接使用 wg-quick up wg0 启动 VPN，其中 wg0 为配置文件的名称。

配置路由

通过上面的配置成功启动 VPN 后，即使连接成功，也不能访问 192.168.1.0/24 和 192.168.2.1/24 网段，这是因为截至目前，我们仅仅配置了 VPN 隧道，但路由还没有配置，发出去的 IP 包不知道应该被发往哪去。

按照预先设计的网络架构，在外面通往内网的流量大致流向为：

1
2
3
4
5
6
7
8
9
192.168.2.1(WireGuard 服务端) <------+ 192.168.2.X(客户端)
       +
       |
       v
  192.168.2.2(NAS)
       +
       |
       v
192.168.1.0/24(内网网段)

按照上图所示，我们需要：

  • 外网客户端将发往 192.168.1.0/24 和 192.168.2.0/24 网段的包转发到服务端(即 192.168.2.1)
  • 服务端将 192.168.1.0/24(内网) 网段的包发给 NAS (即 192.168.2.2)
  • NAS 将来自于 192.168.2.0/24 网段发往 192.168.1.0/24 网段的包进行 SNAT

上面的配置中的 AllowedIPs 可以被认为是路由规则的定义。意思是：

  • 当出向包的目的 IP 为 AllowedIPs 定义的网段时，将该包从 VPN 隧道发送出去
  • 当从 VPN 隧道进来的包的源 IP 不匹配 AllowedIPs 定义的网段时，直接将包丢弃

服务端

所以按照上面的包转发规则，可以得出各个客户端 Peer 的 AllowedIPs

  • NAS 192.168.2.2/32, 192.168.1.0/24
  • 其他客户端 192.168.2.x/32 为各自的 IP 地址

配置 iptables

除了配置 AllowedIPs 外，在 Linux 中还需要配置 iptables。

如果iptables 的 filter 表的 FORWARD 链的默认策略不是 ACCEPT 则还需要添加规则，使包可以被转发。

如果默认策略是 ACCEPT 则可以跳过这部分。

1
2
3
4
$ iptables -L filter -n -v
Chain FORWARD (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
...

虽然可以将 iptables 的默认策略改掉，但不推荐这样做。

关于 iptables 的教程可以参考 iptables | 朱双印博客

1
2
3
iptables -I FORWARD -s 192.168.2.0/24 -i wg0 -d 192.168.2.0/24 -j ACCEPT # 放行 VPN 网段
iptables -I FORWARD -s 192.168.2.0/24 -i wg0 -d 192.168.1.0/24 -j ACCEPT # 放行 VPN 转发到内网的流量
iptables -I FORWARD -s 192.168.1.0/24 -i wg0 -d 192.168.2.0/24 -j ACCEPT # 放行内网 转发到 VPN 的流量

在 WireGuard 的配置文件中，可以在 Interface 下指定多个 PostUp 和 PostDown，分别在 VPN 启动和停止后按照定义的顺序依次执行。

服务端配置

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
[Interface]
Address = 192.168.2.1/32
ListenPort = 28385
PrivateKey = Server private key

PostUp = iptables -I FORWARD -s 192.168.2.0/24 -i wg0 -d 192.168.2.0/24 -j ACCEPT
PostUp = iptables -I FORWARD -s 192.168.2.0/24 -i wg0 -d 192.168.1.0/24 -j ACCEPT
PostUP = iptables -I FORWARD -s 192.168.1.0/24 -i wg0 -d 192.168.2.0/24 -j ACCEPT

PostDown = iptables -D FORWARD -s 192.168.2.0/24 -i wg0 -d 192.168.2.0/24 -j ACCEPT
PostDown = iptables -D FORWARD -s 192.168.2.0/24 -i wg0 -d 192.168.1.0/24 -j ACCEPT
PostDown = iptables -D FORWARD -s 192.168.1.0/24 -i wg0 -d 192.168.2.0/24 -j ACCEPT

[Peer]
PublicKey = Client public key
AllowedIPs = IP Range

另外还需要开启 Linux 内核的 IP 包转发

1
2
$ sysctl net.ipv4.ip_forward
0

如果上面的输出为 0 则 Linux 内核默认会丢弃所有目的 IP 不为本机的包。

编辑 /etc/sysctl.conf， 将 net.ipv4.ip_forward = 0 中的 0 改为 1。然后 sysctl -p 使其生效。

NAS

NAS 中的 Peer 为服务端，则 AllowedIPs 应为 192.168.2.0/24。

同时，NAS 需要负责将来自 192.168.2.0/24 网段的发往 192.168.1.0/24 的包进行 SNAT。

1
2
3
4
5
6
7
8
9
10
11
[Interface]
PrivateKey = Client private key
Address = 192.168.2.2/32

PostUp = iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -j SNAT --to-source 192.168.1.2
PostDown = iptables -t nat -D POSTROUTING -s 192.168.2.0/24 -j SNAT --to-source 192.168.1.2

[Peer]
PublicKey = Server public key
AllowedIPs = 192.168.2.0/24
Endpoint = 1.1.1.1:28385

注意其中的 --to-source 192.168.1.2 的 IP 地址为 NAS 在内网中的 IP 地址。

同样，在 NAS 上，也需要确认已开启包转发。

总结

最终的配置文件如下

  • 服务端

    1
    2
    3
    4
    5
    6
    7
    8
    9
    10
    11
    12
    13
    14
    15
    16
    17
    18
    19
    20
    21
    22
    [Interface]
    Address = 192.168.2.1/32
    ListenPort = 28385
    PrivateKey = 

    PostUp = iptables -I FORWARD -s 192.168.2.0/24 -i wg0 -d 192.168.2.0/24 -j ACCEPT
    PostUp = iptables -I FORWARD -s 192.168.2.0/24 -i wg0 -d 192.168.1.0/24 -j ACCEPT
    PostUP = iptables -I FORWARD -s 192.168.1.0/24 -i wg0 -d 192.168.2.0/24 -j ACCEPT

    PostDown = iptables -D FORWARD -s 192.168.2.0/24 -i wg0 -d 192.168.2.0/24 -j ACCEPT
    PostDown = iptables -D FORWARD -s 192.168.2.0/24 -i wg0 -d 192.168.1.0/24 -j ACCEPT
    PostDown = iptables -D FORWARD -s 192.168.1.0/24 -i wg0 -d 192.168.2.0/24 -j ACCEPT

    # NAS
    [Peer]
    PublicKey = 
    AllowedIPs = 192.168.2.2/32, 192.168.1.0/24

    # 其他客户端 ...
    [Peer]
    PublicKey = 
    AllowedIPs = 192.168.2.x/32

  • NAS

    1
    2
    3
    4
    5
    6
    7
    8
    9
    10
    11
    [Interface]
    PrivateKey = 
    Address = 192.168.2.2/32

    PostUp = iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -j SNAT --to-source 192.168.1.2
    PostDown = iptables -t nat -D POSTROUTING -s 192.168.2.0/24 -j SNAT --to-source 192.168.1.2

    [Peer]
    PublicKey = 
    AllowedIPs = 192.168.2.0/24
    Endpoint = 1.1.1.1:28385

  • 其他客户端

    1
    2
    3
    4
    5
    6
    7
    8
    [Interface]
    PrivateKey = 
    Address = 192.168.2.X/32

    [Peer]
    PublicKey = 
    AllowedIPs = 192.168.2.0/24, 192.168.1.0/24
    Endpoint = 1.1.1.1:28385

在各个机器上分别启动服务

1
wg-quick up wg0

通过 wg 命令可查看当前状态

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
$ wg # 服务端
interface: wg0
  public key: Public key
  private key: (hidden)
  listening port: 28385

peer: Client public key # NAS
  endpoint: x.x.x.x:41995
  allowed ips: 192.168.2.2/32, 192.168.1.0/24
  latest handshake: 36 seconds ago
  transfer: 132.48 KiB received, 49.25 KiB sent

peer: Client public key # 外网的电脑
  endpoint: x.x.x.x:60941
  allowed ips: 192.168.2.3/32
  latest handshake: 1 minute, 11 seconds ago
  transfer: 62.54 KiB received, 124.75 KiB sent
  
# ...

在外网尝试 ping 一下内网的主机

1
2
3
4
5
$ ping 192.168.1.1 # 路由器
PING 192.168.1.1 (192.168.1.1) 56(84) bytes of data.
64 bytes from 192.168.1.1: icmp_seq=1 ttl=63 time=113 ms
64 bytes from 192.168.1.1: icmp_seq=2 ttl=63 time=90.10 ms
# ...

OK，完成，现在可以访问任意内网的机器了。

来源：https://devld.me/2020/07/27/wireguard-setup/

评论

发表评论

此博客中的热门博文

Tailscale 开源版中文部署指南（支持无限设备数、自定义多网段 、自建中继等高级特性）

发布于
目前国家工信部在大力推动三大运营商发展 IPv6，对家用宽带而言，可以使用的 IPv4 公网 IP 会越来越少。有部分地区即使拿到了公网 IPv4 地址，也是个大内网地址，根本不是真正的公网 IP，访问家庭内网的资源将会变得越来越困难。 部分小伙伴可能会选择使用 frp 等针对特定协议和端口的内网穿透方案，但这种方案还是不够酸爽，无法访问家庭内网任意设备的任意端口。更佳的选择还是通过 VPN 来组建大内网。至于该选择哪种 VPN，毫无疑问肯定是 WireGuard，WireGuard 就是 VPN 的未来。 我已经不止一次向大家推荐使用 WireGuard 了，我累了，不想再讲了，你爱 JB 用辣鸡 OpenVPN 之类的就用吧，你开心就好。 WireGuard 相比于传统 VPN 的核心优势是没有 VPN 网关，所有节点之间都可以点对点（P2P）连接，也就是我之前提到的  全互联模式（full mesh） ，效率更高，速度更快，成本更低。 WireGuard 目前最大的痛点就是上层应用的功能不够健全，因为 WireGuard 推崇的是 Unix 的哲学，WireGuard 本身只是一个内核级别的模块，只是一个数据平面，至于上层的更高级的功能（比如秘钥交换机制，UDP 打洞，ACL 等），需要通过用户空间的应用来实现。 所以为了基于 WireGuard 实现更完美的 VPN 工具，现在已经涌现出了很多项目在互相厮杀。笔者前段时间一直在推崇  Netmaker ，它通过可视化界面来配置 WireGuard 的全互联模式，它支持 UDP 打洞、多租户等各种高端功能，几乎适配所有平台，非常强大。然而现实世界是复杂的，无法保证所有的 NAT 都能打洞成功，且 Netmaker 目前还没有 fallback 机制，如果打洞失败，无法 fallback 改成走中继节点。Tailscale 在这一点上比 Netmaker 高明许多，它支持 fallback 机制，可以尽最大努力实现全互联模式，部分节点即使打洞不成功，也能通过中继节点在这个虚拟网络中畅通无阻。 没错，我移情别恋了，从 Netmaker 阵营转向了 Tailscale，是渣男没错了。 Tailscale 是什么 Tailscale 是一种基于 WireGuard 的虚拟组网工具，和 Netmaker 类似， 最大的区
阅读全文

iOS任意版本号APP下载（含itunes 12.6.5.3 最后带AppStore版本）

发布于
软件介绍 下载iOS旧版应用，简化繁琐抓包流程。 一键生成去更新IPA（手机安装后，去除App Store的更新检测） 软件界面 支持系统 windows 10/windows 8/windows 7（由于使用了Fiddler库，所以需要.Net环境） 使用方法 一、直接搜索方式 搜索APP，双击选择。 双击选择要下载的版本。 在iTunes中下载即可。 二、复制APP链接方式 在iTunes下载按钮右侧下拉菜单中，选择【复制链接】。 双击选择要下载的版本。 在iTunes中下载即可。 常见问题 问：iTunes 账号无法登录成功 请先关闭本工具，再进行 iTunes 登录操作。 登录成功后，再打开本工具即可。 问：iTunes对电脑进行授权时，授权不了，反复授权 关闭本工具，再进行授权即可。 问：搜不到APP历史版本号？（以下方法100%可解决） 先不要拦截，在iTunes商店中下载此软件，等待下载完成。 在本工具中【安装管理】下找到对应IPA安装包，右键选择【查找版本ID】。 即可列出软件所有历史版本ID，版本号按新版到旧版排序。 PS：暂时没有通过版本ID，查版本号的接口，所以抓下来，看吧。 问：iTunes 一直显示正在下载... iTunes 先取消下载。 本工具【停止拦截】，再点击iTunes【继续下载】。 问：下载完APP，安装到手机，打开闪退。 先在手机中卸载该APP。 使用下载此App的账号，登录 App Store，在 App Store 中随便下载一个应用，不要卸载。 使用同步助手，重新安装。（如果仍闪退，尝试覆盖安装） 问：导入伪旧版App后，iTunes未检测到更新。 iTunes 更新列表页面下，按F5即可。 如上述方法未解决，删除当列表所有文件，保留文件，再点击右下角检测更新按钮。 问：“已停止供货”的APP 怎么抓取？（已失效） 取消拦截，下载该软件最新版。 本助手里切换到【安装管理】，右键APP，选择【伪装旧版APP】。 双击【*_伪装版.ipa】（或右键，在文件夹中打开），将APP拖动到iTunes资料库，替换，检查更新，该软件变为更新状态。 【开始拦截】，iTunes中更新该软件，即可正常下载该版本。 查杀链接 查杀链接 视频教程 ht
阅读全文

关于 N1 旁路由的设置

发布于
前言 入手 N1 已经快两个多月了，期间也没怎么少折腾，逛论坛的时候注意到很多朋友对于 N1 作为旁路由的设置还不是很清楚，所以就整理了一下设置的步骤，给需要的人。 模式一：主路由开 DHPC + N1 关 DHPC (非全局） 该配置下，用户需要手动设置需要 N1 服务设备的网关和DNS，对于未设置的设备只使用主路由功能。 应用场景：家庭环境中，我只需要我自己的设备科学上网，其他家人设备不需要，因为个别机场会有BT、迅雷、360等审计规则，避免家人设备不慎触发规则，可以自定义需求。 设置步骤 主路由无需做任何变动 。 N1 网口直连电脑，网络地址使用DHCP自动获取。 浏览器打开 192.168.1.1 ，进入Openwrt，默认账户名 root ，密码 password 。 点击「网络」-「接口」-「修改 br-lan接口」，将静态 IPv4 地址修改为主路由网段中的一个地址，例如 192.168.1.2 。 再将网关设置为主路由地址，例如 192.168.1.1 。 IPv4 广播设置为 192.168.1.255 。 DNS 地址根据本地网络情况设置。 同时下方「DHCP服务器」，勾选「忽略此接口」。 保存并应用配置，然后将 N1 连接到主路由的 LAN 口。 手动指定需要 N1 服务的设备，网关地址和 DNS 服务器为 192.168.1.2 。 模式二：主路由开 DHPC + N1 关DHPC (全局) 该配置下，所有设备都会使用 N1 作为网关和 DNS 服务。 方法一 N1 的设置与模式一相同。 进入主路由，将主路由的 DHCP 的默认网关修改为 192.168.1.2 ，同时将 DNS 服务器也修改为 192.168.1.2 。 方法二（适用于主路由为Openwrt） N1 的设置与模式一相同。 进入主路由，「网络」-「接口」-「LAN」-「DHCP 服务器」-「高级设置」 在「DHCP 选项」中，添加两条参数， 3,192.168.1.2 ， 6,192.168.1.2 。 保存并应用配置即可。 模式三：主路由开 DHPC + N1 开 DHPC (全局) 该配置下，N1 会成为首选 DHCP 服务器，主路由 DHCP 只用于给 N1 分配地址 设置步骤 主路由无需设置 N
阅读全文

Mifare Classic card(M1卡)破解过程记录(准备+理论+获取扇区密钥+数据分析)

发布于
首先认识一下一卡通的类型，市面上常见的一卡通是IC卡的一种，IC卡即集成电路卡，也是广义上的智能卡，准备篇介绍一些智能卡的基础知识，帮助我们确定卡的类型和使用的设备， 目前淘宝上提供了设备和全套软件，确定好方法就可以自动化破解，下面的内容比较详细，不用全部看完也能破解，但了解一下可以提高效率 。 按照使用方式分类： · 接触式IC卡： 符合 ISO 7816 标准，卡片表面包含金属触点，读写需要 IO 线路接触，即需要插卡使用，如手机的 SIM 卡模块 · 非接触式IC卡： 符合 ISO/IEC 14443 标准，由 IC 芯片、感应天线组成，封装在一个标准的 PVC 卡片内，芯片及天线无任何外露 部分，通过 RFID 感应使用，校园卡及身份证都是这一类型。 · 双界面卡IC： 又称组合卡 / 双端口 卡，是 同时兼备接触和非接触两种界面通信的多功能卡 ，将非接触 IC 卡的方便性和接触 IC 卡的安全性融为一体，使之成为一卡多用的极佳载体，代表着未来 IC 卡的主要发展方向，银行卡就是这一类型。 需要注意的是我们平时见到的某些门禁卡虽然也是通过感应使用，但不一定是IC卡，现在有相当一部分便宜的门禁使用的是磁卡和ID卡，ID卡使用RFID射频技术，但其频率一般较低，一般为125KHz,如爱特梅尔的T5577卡，不可写入用户数据，其记录内容仅限卡号只可由芯片厂一次性写入，开发商只可读出卡号加以利用，所以只用于身份识别，不能用于消费，其成本相对非接触式IC卡较低，一般使用字典攻击的方式就能复制。 智能卡按照工作频率分类： 区分ID卡和IC卡——读卡判断法 读卡判断法是判断卡智能卡类型最准确的方法，这需要可识别多类型卡的设备支持，例如手机NFC或者pn532开发板、ACR122U读卡器以及Proxmark3。使用手机NFC是最为便捷的方法，在支持全功能NFC的手机上下载MIFARE Classic Tools，给予权限后将卡片贴在NFC感应区根据提示读取标签后查看标签信息。下面是两种不同容量的IC卡的显示，如果RF技术这栏显示ISO/IEC 14443，说明就是典型的13.56MHz的非接触式IC卡，这也是生活中使用最多的类型。                                          绝
阅读全文

Blogger搭建国内可正常访问博客（超详细教程）

发布于
二、国内访问 Blogger 1 首先准备 请确认自己能够科学上网。 不会的话，我这里写有一篇教程： http://mooc1.chaoxing.com/zt/201723393.html 购买域名。没什么好讲的，各个地方都能买，我图便利，直接在阿里云买的域名。（同一个域名，在腾讯云买还要便宜点，不过因为我上一个域名就在阿里云买的，所以这次顺便就在阿里云买了） 2.设置解析 1.Blogger要求的设置 打开Blogger后台，找到设置—基本，Blogger 会提示你需要设置两个 CNAME 分别解析到 ghs.google.com 和 ***.dv.googlehosted.com (每一个人的都不一样) 为了 Blogger 可以在国内访问，我们不能直接按上述的解析。 我们得将第一个 CNAME 解析：记录类型： A 记录，主机记录：WWW，记录值由「ghs.google.com」改成 「国内可访问的 IP」 后面的一个CNAME 解析不变：记录类型：CNAME，主机记录：ai76xxxxxxxxxxx，记录值：gv-j5jxxxxxxxxxx 2. 寻找国内可访问的 IP 可以使用站长之家 Ping 工具：http://ping.chinaz.com/ 如下图所示，Ping检测：ghs.google.com 找一个国内可访问的 IP。 注意：香港的IP延迟虽然小，但是不行。 3.域名后台设置解析 打开阿里云控制台—域名—域名列表—解析，照第一步所说的那样样设置，如下图： 至此，域名解析设置完成，当然这样还不够，我们还得修改Blogger自带的博客模板。 备注：如果想要实现不带www访问 添加：记录类型： A 记录，主机记录：@，记录值同为找到的 「国内可访问的 IP」 如下图这样： 这样用 axutongxue.com 也可以访问我的博客了 4.启用https 之前大佬说在设置https时，不能直接设置： https://blog.iljw.me/2018/07/enable-blogger-https.html 不过现在blogger好像改了，按上面那样设置之后，我们就可以直接在Blogger后台开启https了
阅读全文

一些免费的云资源

发布于
云 IaaS指提供系统（可以自己选）或者储存空间之类的硬件，软件要自己手动装；PaaS提供软件/框架（可以自己选）；SaaS只能使用开发好的软件（卖软件本身）；BaaS一般类似于非关系数据库，但各家不通用，有时还有一些其它东西。 其他人的集合 https://github.com/ripienaar/free-for-dev https://github.com/AchoArnold/discount-for-student-dev https://github.com/qinghuaiorg/free-for-dev-zh   很久没更新了 https://github.com/vincenthou/free-for-china-dev   很久没更新了 https://github.com/ivmm/Student-resources https://www.freeforstudents.org/ https://github.com/255kb/stack-on-a-budget https://github.com/Ibexoft/awesome-startup-tools-list https://www.cokemine.com/ Paas https://www.heroku.com/   java go py docker https://www.pythonanywhere.com/   限制非常多，几乎就和虚拟主机差不多了，免费账户不允许访问白名单之外的网站。但好歹能提供一个自动https的web app https://cloud.google.com/appengine/docs/   标准环境有一点储存空间和流量，柔性环境(.NET)必须启用结算，且现在标准环境要启用一个API，也要求绑卡 https://fly.io/docs/pricing/   docker https://m3o.com/   go https://anvil.works/   py，前端Drag and Drop UI，后端和数据储存用的是该网站的库 https://www.kintohub.com/   node go py java php docker 免费3个实例但内存32MB？添加信用卡后每月免费$5 https://clustered.com/pri
阅读全文

打造一个可国内访问的Blogger（Blogspot）方法

发布于
  Blog‍‌‍‌​‌‌‌‌​‌​‍‌​‍‌‍‍​‌‌‍‌​‌‍​‍‌​​‍‌‌‌​‌‍‌‌​‍‍‍​‍‍‌​​‍‌‍‌​‍‌‍‍​‌‌‍‌​‌‍​‍‌​​‍​‍‍‍​‌‍‍‌ger,一个干爽、免费的博客发布平台，作为主流的发布，提供免费的托管，免去了Typecho&Wordpress高昂的服务器费用，避免了Hexo&Jekyll静态博客无后台的缺陷，与CSDN、简书相比，可以绑定域名，界面干净，无广告【当然可以自己放自己的广告】。 实际上，当今写博客的软件数不胜数，主要分为一下三类： 服务器部署：典型代表：Wordpress\Typecho 无服务器托管：典型代表：Hexo\Jekyll\Gidea\Hugo\Hola等等 集成型网站：Blogger、简书、CSDN、cnblog、wodemo等等 上面所有软件，优缺点都有，具体看个人选择 当然，个人认为Typecho适合做个人博客，Hexo可以作为要求不高的人。集成性网站最主要的是只要安安心心写文章，不用管后端乱七八糟的代码。当然，最有问题的是大多数都不支持绑定域名，而且经常往网站上塞广告，自定义范围也不够。 接下来，我们扯扯集成博客中的一股清流：Blogger Blogger.com是由Pyra Labs公司创立，是目前全球用户数量最多的个人网志服务提供商。Pyra Labs和Blogger.com均被Google公司收购，成为其旗下的一项服务内容。 Blogger提供免费主机Blogspot.com存放博客，用户不必写任何代码或者安装服务器软件或脚本，通过所见即所得界面轻松地创建、发布、维护和修改自己的网志。 Blogger允许有经验的用户自行设计博客界面，其模板支持使用HTML和CSS进行编辑 实际上，由于Blogger托管于谷歌，写作域名  www.blogger.com  和托管域名  *.blogspot.com  均被MainLand所Ban。但是接下来来，我会讲讲如何打造一个能在国内大陆访问的Blogger 1. 注册Blogger 众所周知，请善用技术上网。 用谷歌账号登录 ( https://www.blogger.com ) ，没有？不是⑧不是吧不是扒，都0202年了，还不会去注册一个谷歌账号？ 进入控制台，新建一个博客： 绑定域名,这一步随意,因为我们还要绑定一个自定义域
阅读全文

百度站长平台中接入Blogger博客

发布于
一、百度收录一直不更新 　　博客从wordpress换到blogger后，原主机空间的内容一直保留着，原文章的网址也没有完全失效。一个多月过去了，百度搜索中的收录情况全是以前的网址，转换成blogger博客后的文章链接几乎没有任何收录。 　　用了blogger自然顺带用上了谷歌的网站分析，相对百度统计而言，谷歌网站分析功能强大几个数量级的说。各种角度给你彻头彻尾的分析，地域上是全球的范围统计，不仅仅只看国内访问情况。有了这个，便对百度统计等不在意了。 二、百度站长平台接入blogger方法 　　这几天我在想，百度搜索中收录的为何一直都是以前的网址，怎样将以前基于WP程序生成的网址给消除掉呢？我想到了百度站长平台，以前用来提交死链，这次重新开启，打算将以前的网址作为死链全部提交到百度站长平台，想想可能对目前网站的更新及收录会有好处。 　　但是问题来了……验证网站。我们知道blogger后台不允许上传文件，那么百度站长平台中验证网站只有通过嵌入代码验证了。但是你直接将验证代码粘贴到xml文件中却不能识别，还好，在谷歌搜索中找到一篇文章（文章链接现在找不到了）提到如何解决这个问题，很简单： 　　1、复制百度站长平台验证代码： <meta name="baidu-site-verification" content="63dlkgfdfPL6" /> 　　2、进入blogger后台，选择”模版”–”自定义”–”高级”，弹出”添加自定义css”框，将上面代码原封不动的粘贴到此处，保存 　　3、再到百度站长平台进行验证，就好了。 三、向百度站长平台提交死链 　　百度站长平台中，对死链提交的方式也有两种，对于使用blogger建站来说，因不能上传文件，只能以链接规则方式提交死链。 　　原wordpress中生成的链接形式大概主要有以下几种： 　　1、页面链接：http://lawpai.com/page 　　2、分类目录链接：http://lawpai.com/category/fenlei 　　3、日期链接：http://lawpai.com/date/2016/08 　　4、文章链接：http://lawpai.com/1.html 　　使用规则提交，结合blogger生成的链接形式，只能将第1、2种链接处理掉，第3种链接与
阅读全文

Mifare Classic card(M1)卡破解过程

发布于
一次偶然原因，在网上看到关于一些Mifare Classic card卡的破解文章,发现成本不是很高,并且门槛也不太高（本人笨得很,没觉得低）觉得很有意思，准备入坑一波。正好我寝室有饭卡、洗澡卡和直饮卡,爲啥不试一试呢,嘿嘿.说干就干! 于是乎就在网上各种收集资料,(本人懒得很,不想去图书馆查资料)首先我们得搞懂M1卡的内部结构是吧，不然无从下手啊,所以我们先从结构说起吧. 可能文章有点长，着急的话可以直接跳过前面三个点 1.M1卡的存储内部结构： M1卡分爲16个扇区，每个扇区对应4块（块0-块3）,共64块，编号爲0-63.第0扇区的第0块用于存放厂商代码，已经固化无法更改。其馀区的第0-2块用于存放数据，块3爲控制块用于存放密码A、存取控制、密码B，结构如下：      A0 A1 A2 A3 A4 A5     FF 07 80 69    B0 B1 B2 B3 B4 B5      (密码A 6字节)     (存储控制 4字节)    (密码B 6字节) 并且每个扇区块3中的密码和存储控制全部都是独立的，独立控制本扇区的各种操作，每个扇区都能实现不同的功能，所以广泛用作一卡通。存储控制里面4字节的具体含义我也不是很清楚(不影响我们破解)，所以就不说出来误导大家了。 卡中每个块包含16字节，所以M1卡的容量=16扇区*4块*16字节=1024字节=1k  (M1卡的由来)。 知道了M1卡的大致结构我们就可以开始进行破解了，我在此收集了几种常见的破解手段。 2.M1卡的破解原理：   1）暴力破解： 暴力破解是最简单粗暴、不需要多少技术含量的，就是比较费时，但这并不妨碍大家对它喜爱之情。因爲M1是被动卡，需要读卡器爲之供能，一旦读卡器切断电源，卡中临时数据就会丢失，所以无论试错多少次密码都不会被锁定。特别是一些厂商偷懒用弱密码，花不了多少时间就能破解。 2）克隆卡片： 这算是最简单又实用的方法了。因爲M1卡加密扇区里面保存着各种数据，所以可以克隆一张带有同样数据的克隆卡。这就会用到一种叫UID卡的特殊M1模拟卡。前面说过，每张卡在0扇区的0块都会存放厂商代码，所以里面也保存了UID编号，是无法修改的。但是这种特殊的UID卡该区域没有设定保护，可以随意修改UID，因此可以制作一张与目标卡数据完全相同的克隆卡。 3）重放***： 重放***是基于M1卡的PRN
阅读全文

重新学习并解锁emby4.6.7,4.7.2版本

发布于
版本历史与建议 2022.6.4: 更新4.7.2版本. 更新docker镜像,更新双端文件,更新群晖一键脚本. 更新4.7.*版本群晖脚本的sb小bug.相比于4.7.1, emby官方 1.在媒体库选项中增加剧集介绍检测功能. 2.增加用户配置选项，可以跳片头. 3.修复从文件名中解析集数时的集数倒退问题. 4.修复家庭录像的文件名在文件名的最后一个点之后被截断的问题. 5.修复删除下载任务时重新下载的问题. 6.如果启用字幕选择，记住即使用户字幕模式被设置为默认为无. 从这个版本开始不再做所谓的美化包, 不再更新ubuntu脚本, 由于更新一次全端耗时太长,除非有重大更新,否则以后只能做到随缘更新了. 请各位手动关掉自动更新, 位置在 设置 - 自动更新 - 允许服务器自动重启以应用更新. 取消勾选然后点击保存. 2022.5.26: 更新4.7.1版本. 相比于4.7.0.60, 官方 1.修复了windows上不必要的ffmpeg依赖问题, 2.提升了内嵌中文字幕和音轨的体验, 3.修复了一堆错乱抽风的按钮(4.7.0.60版本所有人都会遇到), 4.歌词开始显示时间轴. 已经安装了4.7.0.60的同学可以考虑升级。 2022.5.20: 修复群辉一键脚本，更新ubuntu一键脚本的sb小bug，更新群晖命令。修复受到影响的docker镜像。 2022.5.19: 更新4.7.0.60正式版，更新群辉一键脚本，更新ubuntu一键脚本，更新docker，更新美化包。更新unraid模板。 2022.5.9: 更新群晖一键脚本到v1.2，解决运行脚本后套件无法启动的问题。更新4.7.38双平台测试版。 2022.4.8: 更新unraid模板, 默认加上了代理的字段, 需要自己设置好http和https代理地址。不需要的话请删掉这两个字段 前言 以前，emby开心用户靠neko.re老哥的第三方激活服务器和加速套件得以存活，今天，发现老哥的服务器已经全关了，意料之中，早晚的事，幸亏能用的时候就备份了老哥原来的返回格式。 1 2 3 4 5 6 7 8 //https://crackemby.mb6.top/admin/service/registration/validateDevice.php? {"cacheExpirationDays&qu
阅读全文