zhangqing

双链路智能切换、配置静态路由，Track与NQA联动

作者 
#
nqa entry liantong 1
 type icmp-echo
  destination ip 210.12.30.*
  frequency 1000
  next-hop ip 210.12.30.*
  reaction 1 checked-element probe-fail threshold-type consecutive 5 action-type trigger-only
#
#启动探测。
 nqa schedule liantong 1 start-time now lifetime forever
#
#配置Track项1，关联NQA测试组（管理员为liantong，操作标签为1）的联动项1。
track 1 nqa entry liantong 1 reaction 1
#

#
nqa entry dianxin 2
 type icmp-echo
  destination ip 119.57.*.*
  frequency 1000
  next-hop ip 119.57.*.*
  reaction 1 checked-element probe-fail threshold-type consecutive 5 action-type trigger-only
#
#启动探测。
 nqa schedule dianxin 2 start-time now lifetime forever
#
#配置Track项2
track 2 nqa entry dianxin 2 reaction 1
#

track关联路由：
[H3C]ip route-static 0.0.0.0 0 GigabitEthernet0/2 210.12.30.* track 1 
Route has been modified.
[H3C]ip route-static 0.0.0.0 0 GigabitEthernet0/3 119.57.*.* track 2 preference 61
Route has been modified.

以上配置在实际过程中是这么操作的：

  1. 线路正常情况下，NQA探测结果一直OK，所以不会触发机关；
  2. 一旦线路故障了，NQA可以在5s内连续检测到5次FAILED，立即触发机关；
  3. 机关被触发，立即联动电信静态路由失效；
  4. 电信静态路由失效，联通线路立刻全权接管，整个过程在5s以内完成；
  5. 如果NQA探测成功，机关触发取消，电信出口默认路由自动恢复。

注意事项：

如果配置了策略路由，因为策略路由优先，所以在策略路由里也要加上NQA检测。否则线路中断后流量还会按照策略路由指定的下一条走，网络就会中断掉。如下：

#
acl advanced 3005
 rule 5 permit ip source 192.168.25.55 0.0.0.255
#
#
policy-based-route dianxin permit node 0
 if-match acl 3005
 apply next-hop 119.57.*.* track 2
#

#
interface GigabitEthernet0/0
 port link-mode route
 combo enable copper
 ip address 192.168.17.1 255.255.255.0
 tcp mss 1280
 ip policy-based-route dianxin
#

 

具体原理及名词结束见官网：
http://www.h3c.com/cn/d_201904/1175399_30005_0.htm#_Toc7358782

使用pritunl访问GoogleFacebook等

作者

1、首先下载相应客户端：

Windows：pritunl

macOS：Pritunl.pkg

2、客户端安装完成后打开，导入对应的用户文件（Q我获取），如下图：

3、连接成功后即可以访问GoogleFacebook了。注意此方式会转发所有本地流量，所以访问境内网站可能会比不使用快些。

Ubuntu 16.04 配置 L2TP over IPSec VPN 服务器

作者

VPN 即 Virtual Private Network（虚拟专用网），简单来说，就是在公共网络上搭建一条虚拟的私有链路，可以通过该链路加入到远程的私有网络环境中。所以常用来帮助员工在办公室外安全地访问企业内部网。
创建私有链路需要使用隧道技术，用到的协议包括点对点隧道协议（PPTP），第2层隧道协议（L2TP）等。macOS 系统已经不再支持 PPTP 类型的 VPN。

一、安装软件包
sudo apt-get install strongswan xl2tpd ppp lsof

IPSec 是组建安全的 VPN 时使用的一个加密和认证标准，而 strongSwan 是一个完全支持 IKEv1 和 IKEv2 的 IKE 后台进程。

二、修改配置文件
1. 修改系统转发配置

在 /etc/sysctl.conf 文件末尾添加以下内容：

net.ipv4.ip_forward = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.rp_filter = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv4.conf.default.send_redirects = 0
net.ipv4.icmp_ignore_bogus_error_responses = 1

 

启用配置：

sudo sysctl -p
2. 配置 strongswan(IPSec)

在 /etc/ipsec.conf 文件末尾添加如下内容：

version 2 

config setup
conn L2TP-PSK-noNAT
    authby=secret
    #shared secret. Use rsasig for certificates.

    auto=add
    #the ipsec tunnel should be started and routes created when the ipsec daemon itself starts.

    keyingtries=3
    #Only negotiate a conn. 3 times.

    ikelifetime=8h
    keylife=1h

    ike=aes256-sha1,aes128-sha1,3des-sha1

    type=transport
    #because we use l2tp as tunnel protocol

    left=%any
    # VPN 服务器的 IP 地址，'%any' 表示任意地址 

    leftprotoport=17/1701
    right=%any
    rightprotoport=17/%any

    dpddelay=10
    # Dead Peer Dectection (RFC 3706) keepalives delay
    dpdtimeout=20
    #  length of time (in seconds) we will idle without hearing either an R_U_THERE poll from our peer, or an R_U_THERE_ACK reply.
    dpdaction=clear
    # When a DPD enabled peer is declared dead, what action should be taken. clear means the eroute and SA with both be cleared.

 

配置共享密钥 /etc/ipsec.secrets：

%any : PSK "PASSWORD"

%any 针对任意服务器地址，PASSWORD 需要改为足够安全的长密码

3. 配置 xl2tpd

在 /etc/xl2tpd/xl2tpd.conf 文件末尾添加如下内容：

[global]
ipsec saref = yes
saref refinfo = 30

;debug avp = yes
;debug network = yes
;debug state = yes
;debug tunnel = yes

[lns default]
ip range = 192.168.100.100 - 192.168.100.200
local ip = 192.168.100.1
refuse pap = yes
require authentication = yes
;ppp debug = yes
pppoptfile = /etc/ppp/options.xl2tpd
length bit = yes

local ip 表示 VPN 虚拟网络的网关，ip range 表示客户端连接 VPN 服务器时能分配到的 IP 地址
在 /etc/ppp/options.xl2tpd 文件中添加如下内容：

require-mschap-v2
ms-dns 192.168.0.50
ms-dns 114.114.114.114
auth
mtu 1200
mru 1000
crtscts
hide-password
modem
name l2tpd
proxyarp
lcp-echo-interval 30
lcp-echo-failure 4

 

修改 ms-dns 为需要 vpn 客户端使用的 dns 服务器

4. 添加用户

修改 /etc/ppp/chap-secrets 文件：

starky l2tpd password1 * bob l2tpd password2 *

格式为：用户名、服务、密码、限制 ip 。

以上的配置完成以后，重启服务就可以使用客户端连接了。不过此时还不能通过该 VPN 访问互联网，需要部署 IP 转发（使用 iptables ）。

三、配置转发

输入下面的指令，开启 gre 协议，并打开服务器 47 和 1723 号端口。

sudo iptables -A INPUT -p gre -j ACCEPT 
sudo iptables -A INPUT -p tcp --dport 1723 -j ACCEPT   
sudo iptables -A INPUT -p tcp --dport 47 -j ACCEPT

 

开启一个 NAT 转发

sudo iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o wlp4s0 -j MASQUERADE

wlp4s0 表示当前服务器使用的网卡设备名。可以通过 ifconfig 命令查看

通过上面的指令，iptables 做了这样一件事：将所有从服务器上传出的源地址为 192.168.100.1-255 的数据包源 ip 改成服务器的 ip 。

四、连接测试

首先需要重启服务：

sudo ipsec restart
sudo service xl2tpd restart

 

然后就使用客户端连接试试吧！
若连接失败，可查看以下log：

/var/log/syslog
/var/log/auth.log

 

Linux如何快速生成大文件

作者

dd命令

dd if=/dev/zero of=file bs=1M count=20000

会生成一个20G的file 文件，文件内容为全0（因从/dev/zero中读取，/dev/zero为0源）。

此命令可以生成一个实际的20G的文件，文件会写入硬盘，文件产生的速度和硬盘读写速度有关系，读写速度越快，产生文件越快。

如果只想产生一个大文件的数据，但是并不需要占用磁盘空间，则可以使用如下命令：

dd if=/dev/zero of=file bs=1M count=0 seek=20000

此时创建的文件在文件系统中的显示大小为20G，但是并不实际占用磁盘，因此创建速度与内存速度相当。

seek的作用是跳过输出文件中指定大小的部分，这就达到了创建大文件，但是并不实际写入的目的。

当然，因为不实际写入硬盘，所以你在容量只有20G的硬盘上创建100G的此类文件都是可以的。

centos上安装和使用lrzsz上传下载文件

作者

以下测试使用在xshell是ok的。

第一种方法：

直接安装lrzsz

yum install -y lrzsz

第二种方法

源码安装：

lrzsz官网

https://ohse.de/uwe/software/lrzsz.html
下载并解压

cd /usr/local/
wget https://ohse.de/uwe/releases/lrzsz-0.12.20.tar.gz
tar zxvf lrzsz-0.12.20.tar.gz

进入到lrzsz-0.12.20目录

配置安装路径

cd lrzsz-0.12.20/

解决缺少GCC编译器：yum install gcc gcc-c++ gcc-g77

./configure --prefix=/usr/local/lrzsz-0.12.20
make
make install

创建软链接：
cd /usr/bin/
ln -s /usr/local/lrzsz-0.12.20/bin/lrz rz
ln -s /usr/local/lrzsz-0.12.20/bin/lsz sz

不想麻烦懒得看就直接把以下代码放到sh文件，一键执行：

  cd /usr/local/
  wget https://ohse.de/uwe/releases/lrzsz-0.12.20.tar.gz
  tar zxvf lrzsz-0.12.20.tar.gz
  cd lrzsz-0.12.20/
  yum install gcc gcc-c++ gcc-g77
  ./configure --prefix=/usr/local/lrzsz-0.12.20
  make
  make install
  cd /usr/bin/
  ln -s /usr/local/lrzsz-0.12.20/bin/lrz rz
  ln -s /usr/local/lrzsz-0.12.20/bin/lsz sz

 

执行上传

rz
执行下载

sz filename

WAP722E的AP由fit转fat模式

作者

1、目前是瘦fit模式，WAC上可以正常上线。首先配置可以Telnet到该AP。

V5设备在AC上telnet上ap的命令 
[H3C]_h 
[H3C-hidecmd]wlan ap-execute apname telnet enable 
[H3C-hidecmd]wlan ap-execute apname exec-control enable 
<AC>telnet AP-IP %Telnet AP的IP地址

2、

1. 从新华三的官网下载对应AP型号的胖版本，下载到电脑后，需修改文件名，以WAP621为例子，修改对应的启动文件名wa2600a_fat.bin，需要注意文件名称修改正确。

AP型号和使用版本关系：

 

AP-mode	版本名称
H3C WAP621	wa2600a_fat.bin
H3C WAP722	wa4300_fat.bin
H3C WAP722E
H3C WAP722S	wa4300s_fat.bin
H3C WAP712C
            

 

   

2.  电脑网卡设置为：192.168.0.1/255.255.255.0 ，如下例子打开TFTP服务器，把软件版本WA2600a_fat.bin放到电脑桌面上，TFTP服务器目录指向电脑桌面，然后点击确定


3. 创建AP的ip地址，AP设置地址为192.168.0.2 255.255.255.0，和电脑同一个网段，保证电脑和AP网络可达。以下标黑部分为设备自动打印部分，标红加粗的命令是需要手动输入。

<H3C> system

   [H3C] interface vlan1

   [H3C-Vlan-interface1] ip address 192.168.0.2 255.255.255.0

   [H3C-Vlan-interface1] quit

4. 通过TFTP上传胖AP：wa2620a_fat.bin，192.168.0.1是电脑的ip，

 <H3C> tftp 192.168.0.1 get wa2600a_fat.bin

  File will be transferred in binary mode.

  Downloading file from remote tftp server, please wait........................................................................................................................

  TFTP:  4602950 bytes received in 115 second(s).

  File downloaded successfully.

备注：如果提示FLASH空间不足已放下新版本请将老版本删除，删除后请勿重启，否则设备已无系统，只能通过bootrom升级。

<H3C>delete /unreserved wa2600a_fit.bin      

 //如果空间不够，可以删除原有的软件版本释放存储空间

<H3C> tftp 192.168.0.1 get wa2600a_fat.bin

5. 加载BOOTROM

<H3C> bootrom update file wa2600a_fat.btm（此步忽略）

please wait ...

Bootrom is updated!

6. 加载主机软件

<H3C> boot-loader file wa2600a_fat.bin main

<H3C> reboot

7. 重启设备完成后就可以使用默认的管理地址192.168.0.50登录AP进行管理了。登录AP的默认用户名是admin，密码是h3capadmin。

华三论坛相同问题：https://zhiliao.h3c.com/questions/dispcont/70912#99875t

附赠胖版本包：WA4300-CMW520-R1509P03-FAT

使用TeamViewer远程连接Android手机并控制

作者

话不多说、为啥用这个TeamViewer，因为至少免费。哈哈，不想免费可以使用国产软件向日葵。

1、控制端：

安装TeamViewer就好，iOS在App Store里搜索TeamViewer安装即可。

也可以在web端或Windows客户端，自行注册登录吧：https://login.teamviewer.com/LogOn

2、安卓被控制端：（亲测三星samsung_SM-G9550是ok的，纯国产手机可能无法使用Googleplay）

需要使用VPN在Googleplay里搜索Teamviewer HOST下载安装，

安装完手机端的TeamViewer host后，一般会提示安装插件Add-On。默认安装即可。

3、在控制端登录即可操作控制啦。希望你们也可以成功