近期折腾 tailscale 的一些心得

发布于

一、我的需求

最近自己装了一台高配台式机，打算当作自己的主力机器使用，笔记本电脑就作为一个移动 UI，工作都远程连到家里台式机使用。

为了满足这个需求，就需要 NAT 穿透，正好最近 mesh vpn 的概念很火，又看到 tailscale 正好对个人用户免费，于是就想试试看了。

二、TailScale 是什么

VPN 是什么？

虽然国人看到 VPN 第一反应应该是“翻墙”，但 VPN 最初应该也是最普遍的用途应该是用来做内网打通， 这也是其名字虚拟私有网络的用意，VPN 让你可以在公开的网络线路上建立一个私有的子网， 然后将所有接入的机器都分配一个私有的内网地址，让他们可以通过 VPN 的私有网络互联。

比如最常见的需求就是，公司有一个内网办公环境，当你外出办公时，也希望你的电脑能够接入办公网络。 因为外网的机器和内网的机器不能互联，所以一般会有一个中心服务器， 所有的子节点都和中心服务器相连，然后中心服务器转发所有的流量。

这样做的缺点显而易见，首先是中心服务器（hub）会成为瓶颈。 其次，某种极端情况下，如果节点 A 和 节点 B 距离非常近，但是都离 hub 很远， 这样就会导致非常高的延迟。

那么我们就会想，能不能让节点间直接互联呢？ 这就是 mesh VPN，其实现就是 wireguard。

wireguard 的每一个节点都会存储其他所有节点的信息，并且和其他所有的节点都建立 tls 连接。 如果涉及到内网穿透的话，那么你需要找到一台处于网关位置的节点（内外网都可达），将其设置为 coordinator， 扮演类似于 hub 的角色， 分发穿透内外网的流量。

wireguard 的缺点在于：

  • 配置比较繁琐
  • 维护也比较困难，增删节点都需要改动所有节点的配置

基于上述这些痛点，tailscale 做了一些改进：

  1. 在原有的 ICE、STUN 等 UDP 协议外，实现了 DERP TCP 协议来实现 NAT 穿透
  2. 基于公网的 coordinator 服务器下发 ACL 和配置，实现节点动态更新
  3. 通过第三方（如 Google） SSO 服务生成用户和私钥，实现身份认证

简而言之，我们可以认为 tailscale 是更为易用版的、功能封装更为完善的 wireguard。

三、TailScale 能做到什么

只要你的机器可以连到公网，tailscale 可以让所有的机器连接到同一个私有子网内。 你可以像在同一个局域网里那样，随时随地的连接你的任意设备。

比如现在我的台式机和我的笔记本都登录了同一个 tailscale 账号， 它们都共享同一个 100.64/10 的子网，也就是可以随时随地的互联。 即使我的笔记本在公司内网之中，无法和家里台式机直连，但是依靠 relay 转发流量， 两者依然可以畅通无阻的直接连接。

1、传输文件

tailscale 内置 taildrop，可以在设备间传输文件，因为 tailscale 支持 android/ios/mac/windows/linux，所以实际上这也是一个很好用的全平台文件传输工具。 而且如果设备处在同一个局域网的话，传输速度也会非常快。

2、远程开发

我家台式机安装的是 windows 系统，我启用了 wsl2，然后安装了 systemd、sshd。 笔记本上通过 vscode remote ssh 随时随地打开台式机上的 vscode server 进行远程开发。

这样做的一大优点是，台式机硬件的售价非常便宜，比如金士顿 32G 内存只要 880， 金士顿 1TB M2 SSD 也只要 800。WD 4TB 蓝盘不到 1 千，18 TB 黑盘也只要 2k。 也就是说，你可以用很低的成本组装一台超强配置的机器。 而同样的价钱去选购笔记本的话，只能买到很差的配置。

我认为移动办公的精髓不是你抱着一台笔记本到处移动， 而应该是无论你在哪里，只要有网，就可以用任何设备接入一个统一的办公环境。

3、代理

tailscale 节点间是点对点 tls 连接，所以实际上也可以用来做网络代理。 比如我在境外服务器上安装一个 tailscale 的节点，然后再在境外服务器上安装一个 cow（用来做 http proxy server）。 那我就可以在任意一台机器上，访问境外服务器的 tailscale 子网 IP + cow 端口的形式实现 HTTP/SOCKS 代理。

cow 的安装很简单：

curl -L git.io/cow | bash

我选择将其安装到 /usr/local/bin/cow，然后配置文件 /home/laisky/.cow/rc 只需要一行：

listen = http://100.118.165.101:17777

可以将其添加进 systemd：

sudo vi /etc/systemd/system/cow.service

[Unit]
Description=cow service
After=network.target
StartLimitIntervalSec=0

[Service]
Type=simple
Restart=always
RestartSec=1
User=laisky
ExecStart=/usr/local/bin/cow -c /home/laisky/.cow/rc

[Install]
WantedBy=multi-user.target

用 cow 当代理服务器是因为安装最方便，再说我此前本来也在用 cow，就顺便了。

四、安装、部署

参照这个官方页面安装，然后登录即可：https://tailscale.com/download

1、自建中继

tailscale 提供的 relays 数量有限，而且全部在国外。 你也可以自建中继。

安装 derper

自建中继服务器被称为 derper，是用 go 开发的，建议先安装 go 环境。

go 是预编译的，安装起来很简单，下载、解压即可。

拿 AMD64 linux 举例：

wget https://golang.org/dl/go1.17.2.linux-amd64.tar.gz
tar -xzf go1.17.2.linux-amd64.tar.gz
sudo mv go /opt/go
sudo ln -s /opt/go/bin/* /usr/local/bin/

export GOROOT=/opt/go
export GOPATH=/home/laisky/.go
go version

其他安装方式参考：https://golang.org/doc/install

derper 的安装方式为：

# 安装
go install tailscale.com/cmd/derper@main

# 启动
sudo derper -c=/root/derper.conf -hostname=xx.xx.xx -a=:443 -stun

启动 derper 的参数：

  • -hostname：有效的公网域名，derper 会自动为这个域名申请 letsencrypt tls 证书。
  • -a：指定 derper 监听的 tcp 端口，默认为 443，修改为其他端口的话似乎转发流量会有问题。
  • -stun：stun 协议的 udp 端口，health check 的时候会用到。

需要注意的是，因为 derper 会申请公网 TLS 证书，如果你的服务器在国内，那么域名必须要备案。 而且由于中国封锁了 letsencrypt，所以你的 derper 在启动一会儿后，很可能会报这样的错：

http: TLS handshake error from client-a-ip:34379: acme/autocert: missing certificate

上述错误表示证书申请失败，如果你有自己的证书的话，可以用 -certmode=manual -certdir=xxx 的形式指定证书文件夹。

顺带一提，如腾讯云这样的国内云服务器提供商，会审查 TLS handshake 里的 SNI 信息， 如果发现 SNI 域名未备案，会阻断 TLS 握手。 所以，我曾经也尝试过用一个境外服务器的域名，然后指向到境内服务器 IP 的形式尝试绕过备案， 然而短暂的用了几分钟后，就遇到了 tls handshake reset 的问题。 目前看来，只要你想用境内服务器，那么备案就是绕不过的问题。

Ps. 如果你有备案域名，那么可以用 nginx stream 反向代理的形式做 443 端口 4 层转发。 nginx stream 可以在四层探测 SNI 信息，然后分发到不同的后端，这样你 derper 的 443 和其他域名的 443 就可以共存在同一个服务器上了。

Ps2. 实际用下来之后，发现建设国内 derper 实际上也有问题。虽然因为境内延迟超低，在国内做穿透的时候会非常得爽。 但是如果要做跨境穿透，因为境内的 derper 和境外的 relays 通信也有干扰，很可能导致境内外的两个节点始终无法协商到同一个 relay 上。 综合而言，如果你仅有境内穿透的需求，那么搭一个境内 derper 会很爽；但如果你要跨境，那么在境外 HK、SG 等地搭一个 derper 可能更好。

因为 tailscale 的协议时常会更新，官方建议时不时重新执行一下 go install tailscale.com/cmd/derper@main 以更新 derper server。

derper 也可以加到 systemd 里自启动：

➜  ~ sudo vi /etc/systemd/system/derper.service

[Unit]
Description=derper service
After=network.target
StartLimitIntervalSec=0

[Service]
Type=simple
Restart=always
RestartSec=1
User=root
ExecStart=/home/laisky/.go/bin/derper -c=/root/derper.conf -hostname=x.x.x.x -a :443 -stun

[Install]
WantedBy=multi-user.target

你也可以在 go dockerfile 里执行上述步骤，然后以容器的形式运行 derper。 不过需要注意的是，因为 derper 会在后台申请 letsencrypt，你不要太频繁地对同一个域名创建运行容器， 否则很容易触发 letsencrypt 的频率限制（168hr 内申请 5 次。）

配置 ACL

安装好 derper 后，需要在网页上配置服务器信息，地址在 https://login.tailscale.com/admin/acls

在其中加上一段 derpMap：

"derpMap": {
    "Regions": {
        "900": {
            "RegionID": 900,
            "RegionCode": "REGION_NAME",
            "Nodes": [
                {
                    "Name": "NODE_NAME",
                    "RegionID": 900,
                    "HostName": "xxx.xxx.com",
                    // IPv4 可以不填，填的话可以绕过对域名的 DNS 解析
                    "IPv4": "x.x.x.x",
                }
            ]
        }
    }
}

其中 RegionID 必须是数字，而且必须是 9xx。

为了调试自己的 derper 是否可用，你可以先把官方的所有中继都禁用了：

"derpMap": {
    "OmitDefaultRegions": true,
}

在节点服务器上，需要重启 tailscaled 才能生效，win/mac 的话可以直接退出 tailscale 程序再重新打开。

linux 上，可以用：

sudo systemctl restart tailscaled

重新进程后，可以查看 tailscale 网络的状态：

# 查看 relays 节点的列表和延迟，应该能看到你自己安装的 derper 节点
sudo tailscale netcheck

# 查看当前 derper 和其他 derper 节点的连接状态
sudo tailscale status

顺带一提，tailscale netcheck 实际上只 check 3478/udp 的端口， 就算 netcheck 显示能连，也不一定代表 443 端口可以转发流量。 最简单的办法是直接打开 https://x.x.x.x 的域名，如果看到如下页面，且地址栏的 SSL 证书标签显示正常可用，那才是真没问题了。

五、ACL

1、Tags

最近学习了一下 ACL tags，它可以为机器标记 tag，然后为 tag 配置访问策略。 这可以解决 tailscale 节点一旦登录，就可以访问用户名下所有节点所有服务所导致的安全隐患。

想象有这么一个场景，我系统通过 tailscale 方便的连接一台不完全属于我的设备， 这台设备可能还有其他人也在使用。如果我仅仅是安装一个 tailscale， 那么所有能登录这台设备的人都可以通过 tailscale 连接我所有的设备。

所以我希望实现这么一个需求：我可以连接这台节点，但是这台节点不能连接我的其他节点。

// 需要先在 ACL 里预声明好 tags，然后才能在 machines 页面为主机设置 tag
"tagOwners": {
    // trusted 是我自己的机器，可以连所有服务
    "tag:trusted": [
        "abc@gmail.com"
    ],
    // work 是公司配发的机器，可能装有企业监控，只允许连 work 和 insecure
    "tag:work": [
        "abc@gmail.com"
    ],
    // insecure 是最低安全级别，除 tcp proxy 外不允许连任何服务
    "tag:insecure": [
        "abc@gmail.com"
    ],
},
// 为主机设置别名
"hosts": {
    "proxy1": "1.2.3.4",
    "proxy2": "1.2.3.4",
    "home": "1.2.3.4",
},
// Access control lists.
"acls": [
    // 允许所有登录的机器，连接代理和我工作机的 SSH
    {
        "action": "accept",
        "src": [
            "abc@gmail.com"
        ],
        "dst": [
            "proxy1:17777",
            "proxy2:17777",
            "home:22"
        ]
    },
    // 允许 trusted 的机器连接所有服务
    {
        "action": "accept",
        "src": [
            "tag:trusted"
        ],
        "dst": [
            "*:*"
        ]
    },
    // 公司的电脑，只允许连公司的电脑
    {
        "action": "accept",
        "src": [
            "tag:work"
        ],
        "dst": [
            "proxy1:17777",
            "proxy2:17777",
            "home:22",
            "tag:work:*"
        ]
    }
]
来源：https://blog.laisky.com/p/tailscale/

评论

发表评论

此博客中的热门博文

Tailscale 开源版中文部署指南（支持无限设备数、自定义多网段 、自建中继等高级特性）

发布于
目前国家工信部在大力推动三大运营商发展 IPv6，对家用宽带而言，可以使用的 IPv4 公网 IP 会越来越少。有部分地区即使拿到了公网 IPv4 地址，也是个大内网地址，根本不是真正的公网 IP，访问家庭内网的资源将会变得越来越困难。 部分小伙伴可能会选择使用 frp 等针对特定协议和端口的内网穿透方案，但这种方案还是不够酸爽，无法访问家庭内网任意设备的任意端口。更佳的选择还是通过 VPN 来组建大内网。至于该选择哪种 VPN，毫无疑问肯定是 WireGuard，WireGuard 就是 VPN 的未来。 我已经不止一次向大家推荐使用 WireGuard 了，我累了，不想再讲了，你爱 JB 用辣鸡 OpenVPN 之类的就用吧，你开心就好。 WireGuard 相比于传统 VPN 的核心优势是没有 VPN 网关，所有节点之间都可以点对点（P2P）连接，也就是我之前提到的  全互联模式（full mesh） ，效率更高，速度更快，成本更低。 WireGuard 目前最大的痛点就是上层应用的功能不够健全，因为 WireGuard 推崇的是 Unix 的哲学，WireGuard 本身只是一个内核级别的模块，只是一个数据平面，至于上层的更高级的功能（比如秘钥交换机制，UDP 打洞，ACL 等），需要通过用户空间的应用来实现。 所以为了基于 WireGuard 实现更完美的 VPN 工具，现在已经涌现出了很多项目在互相厮杀。笔者前段时间一直在推崇  Netmaker ，它通过可视化界面来配置 WireGuard 的全互联模式，它支持 UDP 打洞、多租户等各种高端功能，几乎适配所有平台，非常强大。然而现实世界是复杂的，无法保证所有的 NAT 都能打洞成功，且 Netmaker 目前还没有 fallback 机制，如果打洞失败，无法 fallback 改成走中继节点。Tailscale 在这一点上比 Netmaker 高明许多，它支持 fallback 机制，可以尽最大努力实现全互联模式，部分节点即使打洞不成功，也能通过中继节点在这个虚拟网络中畅通无阻。 没错，我移情别恋了，从 Netmaker 阵营转向了 Tailscale，是渣男没错了。 Tailscale 是什么 Tailscale 是一种基于 WireGuard 的虚拟组网工具，和 Netmaker 类似， 最大的区
阅读全文

iOS任意版本号APP下载（含itunes 12.6.5.3 最后带AppStore版本）

发布于
软件介绍 下载iOS旧版应用，简化繁琐抓包流程。 一键生成去更新IPA（手机安装后，去除App Store的更新检测） 软件界面 支持系统 windows 10/windows 8/windows 7（由于使用了Fiddler库，所以需要.Net环境） 使用方法 一、直接搜索方式 搜索APP，双击选择。 双击选择要下载的版本。 在iTunes中下载即可。 二、复制APP链接方式 在iTunes下载按钮右侧下拉菜单中，选择【复制链接】。 双击选择要下载的版本。 在iTunes中下载即可。 常见问题 问：iTunes 账号无法登录成功 请先关闭本工具，再进行 iTunes 登录操作。 登录成功后，再打开本工具即可。 问：iTunes对电脑进行授权时，授权不了，反复授权 关闭本工具，再进行授权即可。 问：搜不到APP历史版本号？（以下方法100%可解决） 先不要拦截，在iTunes商店中下载此软件，等待下载完成。 在本工具中【安装管理】下找到对应IPA安装包，右键选择【查找版本ID】。 即可列出软件所有历史版本ID，版本号按新版到旧版排序。 PS：暂时没有通过版本ID，查版本号的接口，所以抓下来，看吧。 问：iTunes 一直显示正在下载... iTunes 先取消下载。 本工具【停止拦截】，再点击iTunes【继续下载】。 问：下载完APP，安装到手机，打开闪退。 先在手机中卸载该APP。 使用下载此App的账号，登录 App Store，在 App Store 中随便下载一个应用，不要卸载。 使用同步助手，重新安装。（如果仍闪退，尝试覆盖安装） 问：导入伪旧版App后，iTunes未检测到更新。 iTunes 更新列表页面下，按F5即可。 如上述方法未解决，删除当列表所有文件，保留文件，再点击右下角检测更新按钮。 问：“已停止供货”的APP 怎么抓取？（已失效） 取消拦截，下载该软件最新版。 本助手里切换到【安装管理】，右键APP，选择【伪装旧版APP】。 双击【*_伪装版.ipa】（或右键，在文件夹中打开），将APP拖动到iTunes资料库，替换，检查更新，该软件变为更新状态。 【开始拦截】，iTunes中更新该软件，即可正常下载该版本。 查杀链接 查杀链接 视频教程 ht
阅读全文

关于 N1 旁路由的设置

发布于
前言 入手 N1 已经快两个多月了，期间也没怎么少折腾，逛论坛的时候注意到很多朋友对于 N1 作为旁路由的设置还不是很清楚，所以就整理了一下设置的步骤，给需要的人。 模式一：主路由开 DHPC + N1 关 DHPC (非全局） 该配置下，用户需要手动设置需要 N1 服务设备的网关和DNS，对于未设置的设备只使用主路由功能。 应用场景：家庭环境中，我只需要我自己的设备科学上网，其他家人设备不需要，因为个别机场会有BT、迅雷、360等审计规则，避免家人设备不慎触发规则，可以自定义需求。 设置步骤 主路由无需做任何变动 。 N1 网口直连电脑，网络地址使用DHCP自动获取。 浏览器打开 192.168.1.1 ，进入Openwrt，默认账户名 root ，密码 password 。 点击「网络」-「接口」-「修改 br-lan接口」，将静态 IPv4 地址修改为主路由网段中的一个地址，例如 192.168.1.2 。 再将网关设置为主路由地址，例如 192.168.1.1 。 IPv4 广播设置为 192.168.1.255 。 DNS 地址根据本地网络情况设置。 同时下方「DHCP服务器」，勾选「忽略此接口」。 保存并应用配置，然后将 N1 连接到主路由的 LAN 口。 手动指定需要 N1 服务的设备，网关地址和 DNS 服务器为 192.168.1.2 。 模式二：主路由开 DHPC + N1 关DHPC (全局) 该配置下，所有设备都会使用 N1 作为网关和 DNS 服务。 方法一 N1 的设置与模式一相同。 进入主路由，将主路由的 DHCP 的默认网关修改为 192.168.1.2 ，同时将 DNS 服务器也修改为 192.168.1.2 。 方法二（适用于主路由为Openwrt） N1 的设置与模式一相同。 进入主路由，「网络」-「接口」-「LAN」-「DHCP 服务器」-「高级设置」 在「DHCP 选项」中，添加两条参数， 3,192.168.1.2 ， 6,192.168.1.2 。 保存并应用配置即可。 模式三：主路由开 DHPC + N1 开 DHPC (全局) 该配置下，N1 会成为首选 DHCP 服务器，主路由 DHCP 只用于给 N1 分配地址 设置步骤 主路由无需设置 N
阅读全文

Mifare Classic card(M1卡)破解过程记录(准备+理论+获取扇区密钥+数据分析)

发布于
首先认识一下一卡通的类型，市面上常见的一卡通是IC卡的一种，IC卡即集成电路卡，也是广义上的智能卡，准备篇介绍一些智能卡的基础知识，帮助我们确定卡的类型和使用的设备， 目前淘宝上提供了设备和全套软件，确定好方法就可以自动化破解，下面的内容比较详细，不用全部看完也能破解，但了解一下可以提高效率 。 按照使用方式分类： · 接触式IC卡： 符合 ISO 7816 标准，卡片表面包含金属触点，读写需要 IO 线路接触，即需要插卡使用，如手机的 SIM 卡模块 · 非接触式IC卡： 符合 ISO/IEC 14443 标准，由 IC 芯片、感应天线组成，封装在一个标准的 PVC 卡片内，芯片及天线无任何外露 部分，通过 RFID 感应使用，校园卡及身份证都是这一类型。 · 双界面卡IC： 又称组合卡 / 双端口 卡，是 同时兼备接触和非接触两种界面通信的多功能卡 ，将非接触 IC 卡的方便性和接触 IC 卡的安全性融为一体，使之成为一卡多用的极佳载体，代表着未来 IC 卡的主要发展方向，银行卡就是这一类型。 需要注意的是我们平时见到的某些门禁卡虽然也是通过感应使用，但不一定是IC卡，现在有相当一部分便宜的门禁使用的是磁卡和ID卡，ID卡使用RFID射频技术，但其频率一般较低，一般为125KHz,如爱特梅尔的T5577卡，不可写入用户数据，其记录内容仅限卡号只可由芯片厂一次性写入，开发商只可读出卡号加以利用，所以只用于身份识别，不能用于消费，其成本相对非接触式IC卡较低，一般使用字典攻击的方式就能复制。 智能卡按照工作频率分类： 区分ID卡和IC卡——读卡判断法 读卡判断法是判断卡智能卡类型最准确的方法，这需要可识别多类型卡的设备支持，例如手机NFC或者pn532开发板、ACR122U读卡器以及Proxmark3。使用手机NFC是最为便捷的方法，在支持全功能NFC的手机上下载MIFARE Classic Tools，给予权限后将卡片贴在NFC感应区根据提示读取标签后查看标签信息。下面是两种不同容量的IC卡的显示，如果RF技术这栏显示ISO/IEC 14443，说明就是典型的13.56MHz的非接触式IC卡，这也是生活中使用最多的类型。                                          绝
阅读全文

Blogger搭建国内可正常访问博客（超详细教程）

发布于
二、国内访问 Blogger 1 首先准备 请确认自己能够科学上网。 不会的话，我这里写有一篇教程： http://mooc1.chaoxing.com/zt/201723393.html 购买域名。没什么好讲的，各个地方都能买，我图便利，直接在阿里云买的域名。（同一个域名，在腾讯云买还要便宜点，不过因为我上一个域名就在阿里云买的，所以这次顺便就在阿里云买了） 2.设置解析 1.Blogger要求的设置 打开Blogger后台，找到设置—基本，Blogger 会提示你需要设置两个 CNAME 分别解析到 ghs.google.com 和 ***.dv.googlehosted.com (每一个人的都不一样) 为了 Blogger 可以在国内访问，我们不能直接按上述的解析。 我们得将第一个 CNAME 解析：记录类型： A 记录，主机记录：WWW，记录值由「ghs.google.com」改成 「国内可访问的 IP」 后面的一个CNAME 解析不变：记录类型：CNAME，主机记录：ai76xxxxxxxxxxx，记录值：gv-j5jxxxxxxxxxx 2. 寻找国内可访问的 IP 可以使用站长之家 Ping 工具：http://ping.chinaz.com/ 如下图所示，Ping检测：ghs.google.com 找一个国内可访问的 IP。 注意：香港的IP延迟虽然小，但是不行。 3.域名后台设置解析 打开阿里云控制台—域名—域名列表—解析，照第一步所说的那样样设置，如下图： 至此，域名解析设置完成，当然这样还不够，我们还得修改Blogger自带的博客模板。 备注：如果想要实现不带www访问 添加：记录类型： A 记录，主机记录：@，记录值同为找到的 「国内可访问的 IP」 如下图这样： 这样用 axutongxue.com 也可以访问我的博客了 4.启用https 之前大佬说在设置https时，不能直接设置： https://blog.iljw.me/2018/07/enable-blogger-https.html 不过现在blogger好像改了，按上面那样设置之后，我们就可以直接在Blogger后台开启https了
阅读全文

一些免费的云资源

发布于
云 IaaS指提供系统（可以自己选）或者储存空间之类的硬件，软件要自己手动装；PaaS提供软件/框架（可以自己选）；SaaS只能使用开发好的软件（卖软件本身）；BaaS一般类似于非关系数据库，但各家不通用，有时还有一些其它东西。 其他人的集合 https://github.com/ripienaar/free-for-dev https://github.com/AchoArnold/discount-for-student-dev https://github.com/qinghuaiorg/free-for-dev-zh   很久没更新了 https://github.com/vincenthou/free-for-china-dev   很久没更新了 https://github.com/ivmm/Student-resources https://www.freeforstudents.org/ https://github.com/255kb/stack-on-a-budget https://github.com/Ibexoft/awesome-startup-tools-list https://www.cokemine.com/ Paas https://www.heroku.com/   java go py docker https://www.pythonanywhere.com/   限制非常多，几乎就和虚拟主机差不多了，免费账户不允许访问白名单之外的网站。但好歹能提供一个自动https的web app https://cloud.google.com/appengine/docs/   标准环境有一点储存空间和流量，柔性环境(.NET)必须启用结算，且现在标准环境要启用一个API，也要求绑卡 https://fly.io/docs/pricing/   docker https://m3o.com/   go https://anvil.works/   py，前端Drag and Drop UI，后端和数据储存用的是该网站的库 https://www.kintohub.com/   node go py java php docker 免费3个实例但内存32MB？添加信用卡后每月免费$5 https://clustered.com/pri
阅读全文

打造一个可国内访问的Blogger（Blogspot）方法

发布于
  Blog‍‌‍‌​‌‌‌‌​‌​‍‌​‍‌‍‍​‌‌‍‌​‌‍​‍‌​​‍‌‌‌​‌‍‌‌​‍‍‍​‍‍‌​​‍‌‍‌​‍‌‍‍​‌‌‍‌​‌‍​‍‌​​‍​‍‍‍​‌‍‍‌ger,一个干爽、免费的博客发布平台，作为主流的发布，提供免费的托管，免去了Typecho&Wordpress高昂的服务器费用，避免了Hexo&Jekyll静态博客无后台的缺陷，与CSDN、简书相比，可以绑定域名，界面干净，无广告【当然可以自己放自己的广告】。 实际上，当今写博客的软件数不胜数，主要分为一下三类： 服务器部署：典型代表：Wordpress\Typecho 无服务器托管：典型代表：Hexo\Jekyll\Gidea\Hugo\Hola等等 集成型网站：Blogger、简书、CSDN、cnblog、wodemo等等 上面所有软件，优缺点都有，具体看个人选择 当然，个人认为Typecho适合做个人博客，Hexo可以作为要求不高的人。集成性网站最主要的是只要安安心心写文章，不用管后端乱七八糟的代码。当然，最有问题的是大多数都不支持绑定域名，而且经常往网站上塞广告，自定义范围也不够。 接下来，我们扯扯集成博客中的一股清流：Blogger Blogger.com是由Pyra Labs公司创立，是目前全球用户数量最多的个人网志服务提供商。Pyra Labs和Blogger.com均被Google公司收购，成为其旗下的一项服务内容。 Blogger提供免费主机Blogspot.com存放博客，用户不必写任何代码或者安装服务器软件或脚本，通过所见即所得界面轻松地创建、发布、维护和修改自己的网志。 Blogger允许有经验的用户自行设计博客界面，其模板支持使用HTML和CSS进行编辑 实际上，由于Blogger托管于谷歌，写作域名  www.blogger.com  和托管域名  *.blogspot.com  均被MainLand所Ban。但是接下来来，我会讲讲如何打造一个能在国内大陆访问的Blogger 1. 注册Blogger 众所周知，请善用技术上网。 用谷歌账号登录 ( https://www.blogger.com ) ，没有？不是⑧不是吧不是扒，都0202年了，还不会去注册一个谷歌账号？ 进入控制台，新建一个博客： 绑定域名,这一步随意,因为我们还要绑定一个自定义域
阅读全文

百度站长平台中接入Blogger博客

发布于
一、百度收录一直不更新 　　博客从wordpress换到blogger后，原主机空间的内容一直保留着，原文章的网址也没有完全失效。一个多月过去了，百度搜索中的收录情况全是以前的网址，转换成blogger博客后的文章链接几乎没有任何收录。 　　用了blogger自然顺带用上了谷歌的网站分析，相对百度统计而言，谷歌网站分析功能强大几个数量级的说。各种角度给你彻头彻尾的分析，地域上是全球的范围统计，不仅仅只看国内访问情况。有了这个，便对百度统计等不在意了。 二、百度站长平台接入blogger方法 　　这几天我在想，百度搜索中收录的为何一直都是以前的网址，怎样将以前基于WP程序生成的网址给消除掉呢？我想到了百度站长平台，以前用来提交死链，这次重新开启，打算将以前的网址作为死链全部提交到百度站长平台，想想可能对目前网站的更新及收录会有好处。 　　但是问题来了……验证网站。我们知道blogger后台不允许上传文件，那么百度站长平台中验证网站只有通过嵌入代码验证了。但是你直接将验证代码粘贴到xml文件中却不能识别，还好，在谷歌搜索中找到一篇文章（文章链接现在找不到了）提到如何解决这个问题，很简单： 　　1、复制百度站长平台验证代码： <meta name="baidu-site-verification" content="63dlkgfdfPL6" /> 　　2、进入blogger后台，选择”模版”–”自定义”–”高级”，弹出”添加自定义css”框，将上面代码原封不动的粘贴到此处，保存 　　3、再到百度站长平台进行验证，就好了。 三、向百度站长平台提交死链 　　百度站长平台中，对死链提交的方式也有两种，对于使用blogger建站来说，因不能上传文件，只能以链接规则方式提交死链。 　　原wordpress中生成的链接形式大概主要有以下几种： 　　1、页面链接：http://lawpai.com/page 　　2、分类目录链接：http://lawpai.com/category/fenlei 　　3、日期链接：http://lawpai.com/date/2016/08 　　4、文章链接：http://lawpai.com/1.html 　　使用规则提交，结合blogger生成的链接形式，只能将第1、2种链接处理掉，第3种链接与
阅读全文

Mifare Classic card(M1)卡破解过程

发布于
一次偶然原因，在网上看到关于一些Mifare Classic card卡的破解文章,发现成本不是很高,并且门槛也不太高（本人笨得很,没觉得低）觉得很有意思，准备入坑一波。正好我寝室有饭卡、洗澡卡和直饮卡,爲啥不试一试呢,嘿嘿.说干就干! 于是乎就在网上各种收集资料,(本人懒得很,不想去图书馆查资料)首先我们得搞懂M1卡的内部结构是吧，不然无从下手啊,所以我们先从结构说起吧. 可能文章有点长，着急的话可以直接跳过前面三个点 1.M1卡的存储内部结构： M1卡分爲16个扇区，每个扇区对应4块（块0-块3）,共64块，编号爲0-63.第0扇区的第0块用于存放厂商代码，已经固化无法更改。其馀区的第0-2块用于存放数据，块3爲控制块用于存放密码A、存取控制、密码B，结构如下：      A0 A1 A2 A3 A4 A5     FF 07 80 69    B0 B1 B2 B3 B4 B5      (密码A 6字节)     (存储控制 4字节)    (密码B 6字节) 并且每个扇区块3中的密码和存储控制全部都是独立的，独立控制本扇区的各种操作，每个扇区都能实现不同的功能，所以广泛用作一卡通。存储控制里面4字节的具体含义我也不是很清楚(不影响我们破解)，所以就不说出来误导大家了。 卡中每个块包含16字节，所以M1卡的容量=16扇区*4块*16字节=1024字节=1k  (M1卡的由来)。 知道了M1卡的大致结构我们就可以开始进行破解了，我在此收集了几种常见的破解手段。 2.M1卡的破解原理：   1）暴力破解： 暴力破解是最简单粗暴、不需要多少技术含量的，就是比较费时，但这并不妨碍大家对它喜爱之情。因爲M1是被动卡，需要读卡器爲之供能，一旦读卡器切断电源，卡中临时数据就会丢失，所以无论试错多少次密码都不会被锁定。特别是一些厂商偷懒用弱密码，花不了多少时间就能破解。 2）克隆卡片： 这算是最简单又实用的方法了。因爲M1卡加密扇区里面保存着各种数据，所以可以克隆一张带有同样数据的克隆卡。这就会用到一种叫UID卡的特殊M1模拟卡。前面说过，每张卡在0扇区的0块都会存放厂商代码，所以里面也保存了UID编号，是无法修改的。但是这种特殊的UID卡该区域没有设定保护，可以随意修改UID，因此可以制作一张与目标卡数据完全相同的克隆卡。 3）重放***： 重放***是基于M1卡的PRN
阅读全文

重新学习并解锁emby4.6.7,4.7.2版本

发布于
版本历史与建议 2022.6.4: 更新4.7.2版本. 更新docker镜像,更新双端文件,更新群晖一键脚本. 更新4.7.*版本群晖脚本的sb小bug.相比于4.7.1, emby官方 1.在媒体库选项中增加剧集介绍检测功能. 2.增加用户配置选项，可以跳片头. 3.修复从文件名中解析集数时的集数倒退问题. 4.修复家庭录像的文件名在文件名的最后一个点之后被截断的问题. 5.修复删除下载任务时重新下载的问题. 6.如果启用字幕选择，记住即使用户字幕模式被设置为默认为无. 从这个版本开始不再做所谓的美化包, 不再更新ubuntu脚本, 由于更新一次全端耗时太长,除非有重大更新,否则以后只能做到随缘更新了. 请各位手动关掉自动更新, 位置在 设置 - 自动更新 - 允许服务器自动重启以应用更新. 取消勾选然后点击保存. 2022.5.26: 更新4.7.1版本. 相比于4.7.0.60, 官方 1.修复了windows上不必要的ffmpeg依赖问题, 2.提升了内嵌中文字幕和音轨的体验, 3.修复了一堆错乱抽风的按钮(4.7.0.60版本所有人都会遇到), 4.歌词开始显示时间轴. 已经安装了4.7.0.60的同学可以考虑升级。 2022.5.20: 修复群辉一键脚本，更新ubuntu一键脚本的sb小bug，更新群晖命令。修复受到影响的docker镜像。 2022.5.19: 更新4.7.0.60正式版，更新群辉一键脚本，更新ubuntu一键脚本，更新docker，更新美化包。更新unraid模板。 2022.5.9: 更新群晖一键脚本到v1.2，解决运行脚本后套件无法启动的问题。更新4.7.38双平台测试版。 2022.4.8: 更新unraid模板, 默认加上了代理的字段, 需要自己设置好http和https代理地址。不需要的话请删掉这两个字段 前言 以前，emby开心用户靠neko.re老哥的第三方激活服务器和加速套件得以存活，今天，发现老哥的服务器已经全关了，意料之中，早晚的事，幸亏能用的时候就备份了老哥原来的返回格式。 1 2 3 4 5 6 7 8 //https://crackemby.mb6.top/admin/service/registration/validateDevice.php? {"cacheExpirationDays&qu
阅读全文