安装基础软件

1

sudo pacman -S bluez bluez-utils-compat

配对

• 注意,由于 BLE_SPP 无法完成连接,因此只达到可连接状态即可

即状态如下即可

1
2
3
4
5
6
7
8
9
10

# 命令行方式
# systemctl start bluetooth
# bluetoothctl
Agent registered
[bluetooth]# power on
[bluetooth]# agent on
[bluetooth]# scan on
... wait ...
[bluetooth]# scan off
[bluetooth]# pair <dev-mac>

创建虚拟串口

1

rfcomm bind 0 <dev-mac>

ls /dev/rfcomm0 可看到虚拟console设备

连接虚拟console 口

• 使用虚拟终端软件 minicom 连接虚拟终端 /dev/rfcomm0

  1	$ minicom -s #设置各项参数,串行设备,比特率等 进行连接

• 也可使用支持串口的终端,eg: tabby
  

效果

获取权限

1. 获取企业内部开发者权限
2. 创建钉钉应用—开通机器人
3. 机器人授予相关权限,请见钉钉开发者文档
4. 记录关键信息. 包括应用 Client ID Client Secret RobotCode
5. 机器人消息接收模式此项不需要勾选(此为服务端接受消息通道)

## 告警脚本实现

放置于zabbix server 的 alertscripts 相关目录下

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141

#! /usr/bin/python3
import json
import requests
import sys
import logging
import ast

# 配置常量
API_BASE_URL = "https://api.dingtalk.com/v1.0"
APP_KEY = "*************"
APP_SECRET = "************************"
ROBOT_CODE = "********************"

def get_access_token():
    url = f"{API_BASE_URL}/oauth2/accessToken"
    headers = {"Content-Type": "application/json"}
    data = {"appKey": APP_KEY, "appSecret": APP_SECRET}

    try:
        response = requests.post(url, json=data, headers=headers)
        response.raise_for_status()
        json_response = response.json()
        return json_response.get("accessToken")
    except requests.exceptions.RequestException as e:
        logging.error(f"Error getting access token: {e}")
        return None

def send_to_message(access_token, user_ids, msg_param_data):
    url = f"{API_BASE_URL}/robot/oToMessages/batchSend"
    headers = {"Content-Type": "application/json", "x-acs-dingtalk-access-token": access_token}
    data = {"robotCode": ROBOT_CODE, "userIds": user_ids, "msgKey": "officialMarkdownMsg", "msgParam": msg_param_data}

    try:
        response = requests.post(url, json=data, headers=headers)
        response.raise_for_status()
        print(response.text)
    except requests.exceptions.RequestException as e:
        logging.error(f"Error sending message: {e}")

def get_user_id(access_token, phone):
    url = f"{API_BASE_URL}/topapi/v2/user/getbymobile?access_token={access_token}"
    headers = {"Content-Type": "application/json"}
    data = {"mobile": phone}

    try:
        response = requests.post(url, json=data, headers=headers)
        response.raise_for_status()
        json_response = response.json()
        return json_response.get("result", {}).get("userid")
    except requests.exceptions.RequestException as e:
        logging.error(f"Error getting user ID: {e}")
        return None

def get_trigger_color(severity):
    color_dict = {
        "Not classified": "#808080",
        "Information": "#008000",
        "Warning": "#FFFF00",
        "Average": "#FFA500",
        "High": "#FF0000",
        "Disaster": "#8B0000",
        "default_color": "#808080"
    }
    return color_dict.get(severity, color_dict["default_color"])

def main():
    # 获取企业内部应用的accessToken
    access_token = get_access_token()

    if not access_token:
        logging.error("Failed to obtain access token. Exiting.")
        sys.exit(1)

    # 获取用户手机号
    phone_id = sys.argv[1]

    # 根据用户手机号获取userid
    user_id = get_user_id(access_token, phone_id)

    if not user_id:
        logging.error("Failed to obtain user ID. Exiting.")
        sys.exit(1)

    user_ids = [user_id]

    # 获取需要发送的消息
    subject = sys.argv[2]
    message = sys.argv[3]

    message_data = json.loads(message)

    # 把字符串转为字典
    message_dictionary  = ast.literal_eval(message)
    HOSTNAME = ': '.join(('> 告警主机',message_dictionary["HOSTNAME"]))
    HOSTIP = ': '.join(('告警地址',message_dictionary["HOSTIP"]))
    ITEMNAME = ': '.join(('监控项目',message_dictionary["ITEMNAME"]))
    ITEMLASTVALUE = ': '.join(('监控取值',message_dictionary["ITEMLASTVALUE"]))
    TRIGGERSEVERITY = ': '.join(('告警等级',message_dictionary["TRIGGERSEVERITY"]))
    TRIGGERSTATUS = ': '.join(('当前状态',message_dictionary["TRIGGERSTATUS"]))
    TRIGGERNAME = ': '.join(('告警信息',message_dictionary["TRIGGERNAME"]))
    EVENTTIME = ': '.join(('告警时间',message_dictionary["EVENTTIME"]))
    EVENTAGE = ': '.join(('持续时间',message_dictionary["EVENTAGE"]))
    EVENTID = ': '.join(('事件ID',message_dictionary["EVENTID"]))
    sendtext = '\n\n >'.join((HOSTNAME,HOSTIP,ITEMNAME,ITEMLASTVALUE,TRIGGERSEVERITY,TRIGGERSTATUS,TRIGGERNAME,EVENTTIME,EVENTAGE,EVENTID))


    # 获取触发器严重程度对应的颜色代码
    trigger_severity = message_data.get('TRIGGERSEVERITY', None)
    rgb_code = get_trigger_color(trigger_severity)

    msg_data = {
    "title": "zabbix告警消息",
    "text": ''.join(('<font color=' + rgb_code + ' ' + 'face="黑体">'
                     +
                        subject
                     +
                     '</font>' 
                     +
                     '\n\n'
                     + 
                     sendtext 
                     + 
                    '\n\n'
                    '#### [点击转到ZABBIX](https://zabbix.wenet.com.cn/)'
                    ))
    }

    # 将字典转换为 JSON 格式的字符串
    msg_data_string = json.dumps(msg_data)

    # 调用发送消息的接口
    send_to_message(access_token, user_ids, msg_data_string)

    # 设置日志记录
    logging.info(f"user_id: {user_id}")
    logging.info(f"subject: {subject}")
    logging.info(f"message: {message}")

if __name__ == "__main__":
    main()

zabbix 配置

1. 建立新告警媒介: ( 消息模板里面勾引问题以及问题恢复)
   
2. 动作中添加触发器动作:
   
   

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15

   主题: 发生故障: {EVENT.NAME} 消息: { "HOSTNAME":"{HOST.NAME}", "HOSTIP":"{HOST.IP}", "ITEMNAME":"{ITEM.NAME}", "ITEMLASTVALUE":"{ITEM.LASTVALUE}", "TRIGGERSEVERITY":"{TRIGGER.SEVERITY}", "TRIGGERSTATUS":"{TRIGGER.STATUS}", "TRIGGERNAME":"{TRIGGER.NAME}", "EVENTTIME":"{EVENT.DATE} {EVENT.TIME}", "EVENTAGE":"{EVENT.AGE}", "EVENTID":"{EVENT.ID}" }

3. 在具体用户上添加告警媒介
   

实现效果

参考链接

1. 如何优雅地用Python3发送Zabbix告警推送

win11 系统在内网进行pppoe拨号,拨号完成大概3-10秒后会立即断开连接. 在BRAS 看上看到是下线原因为 User-request ,尝试使用win10,linux,未出现相同故障,判断为系统因素.

排查如下:

1. 抓取数据包分析. 仅发现客户端主动发起PADT 报文.未见ppp 异常报文.
   
2. 查看win 下的事件查看器,仅有 Rasclient 客户端已停止信息.
3. 排查win11 pppoe 拨号模块, 确认拨号模块为 raspppoe.sys
4. 尝试更换其他版本win raspppoe.sys 进行拨号,发现无法拨号.
5. 怀疑win网络探测导致主动下线:
   查询win网络探测机制: NCSI active probes
6. 尝试禁用该探测机制
7. 不再出现拨号后掉线问题,确认win11 pppoe模块加入联网探测机制.

修复办法:

依据官网 NCSI active probes 相关注册表项目,写了一个简单bat脚本处理该问题.

下载下述文件运行
掉线修复

内容如下:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22

@echo off
%1 mshta vbscript:CreateObject("Shell.Application").ShellExecute("cmd.exe","/c %~s0 ::","","runas",1)(window.close)&&exit                ::以管理员的身份运行cmd，其中runas有提权的作用，成功后关闭退出

:main
cls                               ::清屏

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NlaSvc\Parameters\Internet" /v EnableActiveProbing /t REG_DWORD /d "0" /f
reg add "HKLM\Software\Policies\Microsoft\Windows\NetworkConnectivityStatusIndicator" /v NoActiveProbe /t  REG_DWORD /d "0" /f
reg add "HKLM\Software\Policies\Microsoft\Windows\NetworkConnectivityStatusIndicator" /v DisablePassivePolling /t REG_DWORD /d "0" /f

echo.-----------------------------------------------------------
echo.
echo.
echo 已修复掉线问题
echo.
goto end

:end
echo 请按任意键退出。
@Pause>nul          ::>nul表示不显示前面命令的结果信息

ipconfig /flushdns

吐槽

win11 是真的烂,这么重要的变更居然官网找不到任何信息,排查的时候简直把人头都想秃了!

服务器上搭建了KMS激活服务器，但是由于国外版权保护和DMCA 限制，我需要限制国外ip访问我的服务器1688 端口，网上大部分关于这方面问题的教程采取了ipset + iptables 的解决方案，暂无nftables解决方案，所以写一篇供大家参考。

获取nft_geoip 脚本

来源: https://wiki.nftables.org/wiki-nftables/index.php/GeoIP_matching

1
2
3

# mkdir /opt/script/nft-geoip
# git clone https://github.com/pvxe/nftables-geoip.git /opt/script/nft-geoip 
# mkdir -p /etc/nft.d

构建定时更新脚本

1

# sudo vim  /etc/systemd/system/nft-geoip.service

1
2
3
4
5
6
7
8

[Unit]
Description=Nftables GeoIP 

[Service]
User=root
Type=oneshot
ExecStart=/usr/bin/python3 /opt/script/nft-geoip/nft_geoip.py  --file-location /opt/script/nft-geoip/location.csv  -d -o /etc/nft.d/
ExecStartPost= /usr/sbin/nft -f /etc/nftables.conf

1

# sudo vim /etc/systemd/system/nft-geoip.timer

1
2
3
4
5
6
7
8
9
10

[Unit]
Description=Every Friday AM 3:00 renewal of  nftables geoip

[Timer]
OnCalendar=Fri *-*-* 03:00:00
RandomizedDelaySec=1h
Persistent=true

[Install]
WantedBy=timers.target

参考配置

nftables 引用geoip区域文件做区域限制
给出我的 inet filter input 示例以供参考：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49

#!/usr/sbin/nft -f
# vim:set ts=2 sw=2 et:

# IPv4/IPv6 Simple & Safe firewall ruleset.
# More examples in /usr/share/nftables/ and /usr /share/doc/nftables/examples/.

# A simple firewall

flush ruleset

table inet filter {
include "/etc/nft.d/geoip-def-all.nft"
include "/etc/nft.d/geoip-ipv4.nft"
include "/etc/nft.d/geoip-ipv6.nft"
    chain input {
        type filter hook input priority 0; policy drop;

        # insert geoip map
        meta mark set ip saddr map @geoip4
        meta mark set ip6 saddr map @geoip6

        # established/related connections
        ct state established,related accept

        # invalid connections
        # ct state invalid drop

        # loopback interface
        iif lo accept

        # ICMP & IGMP
        ip6 nexthdr icmpv6 icmpv6 type { destination-unreachable, packet-too-big, time-exceeded, parameter-problem, mld-listener-query, mld-listener-report, mld-listener-reduction, nd-router-solicit, nd-router-advert, nd-neighbor-solicit, nd-neighbor-advert, ind-neighbor-solicit, ind-neighbor-advert, mld2-listener-report } accept
        ip protocol icmp icmp type { destination-unreachable, router-solicitation, router-advertisement, time-exceeded, parameter-problem } accept
        ip protocol igmp accept
        ip protocol icmp accept

        # SSH (port 22)
        # recommend nftables geoip zones limit 
        meta mark $CN tcp dport ssh log prefix "cn-zones-ssh-accept" counter packets 0 bytes 0 accept 

        # HTTP (ports 80 & 443)
        tcp dport { http, https }  accept 
        # vlmcsd -- Windows Key Management Services
        # recommend nftables geoip zones limit 
        meta mark $CN tcp dport 1688  log prefix "cn-zones-kms-accept" counter packets 0 bytes 0  accept 
        # count and drop any other traffic 
        counter packets 0 bytes 0 drop 
    }
}

效果展示

如图：

错误示例：

网上有大量从apnic获取国内ip地址端的示例：

1

cn_ipv4=$(curl http://ftp.apnic.net/stats/apnic/delegated-apnic-latest | awk -F '|' '/CN/&&/ipv4/ {print $4 "/" 32-log($5)/log(2)}' )  

错误示例： cn_ipv6=$(curl http://ftp.apnic.net/stats/apnic/delegated-apnic-latest | awk -F ‘|’ ‘/CN/&&/ipv6/ {print $4 “/“ 32-log($5)/log(2)}’ )

1

cn_ipv6=$(curl http://ftp.apnic.net/stats/apnic/delegated-apnic-latest | awk -F '|' '/CN/&&/ipv6/ {print $4 "/" $5 }'  

ipv4 子网掩码可通过 32- 分配位数2的对数取余 获取，ipv6 掩码也这么算，明显是错误的,例如会算出这样一个奇怪的掩码：

1

240a:6000::/27.415

可见，大部分都，没有思考ipv4 地址端计算方式，
ipv6 合适的地址段表示：

1
2
3
4

apnic|CN|ipv6|2001:7fa:5::|48|20031106|assigned
转换为：
2001:7fa:5::-2001:7fa:5:ffff:ffff:ffff:ffff:ffff 
2001:7fa:5::/48 

F & A:

• 为何不使用iptables + ipset ？

debian 12 自带的防火墙为nft,并且主流发行版新版本后端都采用了nft,这篇文章是学习nft用法。另外nft 可以省略ip6tables 规则的书写，直接使用inet表覆盖了ip和ip6.

• 这个场景下nft 性能更好?

性能比较见 redhat-benchmarking-nftables
可见iptables如果规则写的好，不要有太多的jump和goto,性能甚至比nftables略胜一筹

• iptables 如何实现？

可以使用iptables + ipset 实现，你可以google搜索，相信相关blog很多。

Virtualbox直接运行物理分区的系统

1. 创建虚拟硬盘
   首先查看下分区情况，我的如下

   1 2 3 4

   /dev/nvme0n1p1 2048 2099199 2097152 1G EFI 系统 /dev/nvme0n1p2 2099200 3147775 1048576 512M Microsoft 保留 /dev/nvme0n1p3 3147776 4196351 1048576 512M Windows 恢复环境 /dev/nvme0n1p4 4196352 318769151 314572800 150G Microsoft 基本数据

1
2
3

#将当前用户加入到vboxusers,disk用户组
sudo usermod -G vboxusers,disk -a `whoami`
VBoxManage internalcommands createrawvmdk -filename windows.vmdk -rawdisk /dev/nvme0n1 -partitions 1,2,3,4 -relative

现在你得到了 windows.vmdk 和 windows-pt.vmdk 的虚拟磁盘
2. 加入虚拟磁盘到Virtualbox
移动 虚拟磁盘文件到 /opt/virtualbox/Windows 下，在Virtualbox中注册 管理—>虚拟介质管理—> 注册 windwos.vmdk
3. 启动虚拟机
注意下如果是EFI引导，记得虚拟机选项勾选，就ok了，同理windows下的D盘，E盘也可按照相同方法添加，不过多叙述！

参考：

https://superuser.com/questions/495025/use-physical-harddisk-in-virtual-box

一直在想入手一台国内服务器,做流量中继
9月3日,阿里云活动好像有漏洞,免费拿到了200元的免门槛代金券,果断入手一台

闲聊

1. 作为一个Archer怎么能忍受Linux发行版不是Arch呢?以及不想后台有阿里系的毒瘤监控,想要一个干干静静的系统,开始了我的折腾
2. 使用著名的vps2arch,digitalocean-debian-to-arch项目都不行,脚本根本跑不起来,不知道阿里做了啥操作
3. 常规操作 阅读凤凰酱的文章,按照阿里要求制作启动镜像,在用oss上传,啊 ,感觉步骤真繁琐,而且阿里肯定要在系统里塞私货
4. 然后我在archlinux-cngroup提问,非常感谢[Whyme Lyu]的回答,提供一种全新思路,本文基于谈话和文章补充整理而成
5. 大致流程:
   1. debian 改 grub.cfg 加 arch linux iso
   2. 启动arch iso载入到内存中
   3. 使用内存中的系统格式化物理磁盘
   4. 安装Arch linux

开始操作

默认系统: debain 9

准备操作

1. note: 内部主机特有的网络需要记录
   2.我们需要做的就是搞定内网网络就OK了. 使用 ip addr 查看内网地址和子网掩码,使用 ip route 查看网关地址 ### 敲黑板,这些信息之后需要使用,需要记录

开始

1. 下载Arch iso到根目录

   1 2	cd / wget https://mirrors.tuna.tsinghua.edu.cn/archlinux/iso/latest/archlinux-2019.09.01-x86_64.iso #下载最新Arch操作系统

2. 硬核,直接改 /boot/grub/grub.cfg

   1 2 3 4 5 6 7 8 9 10

   set timeout=60 menuentry 'ArchISO' --class iso { set isofile=/archlinux-2019.09.01-x86_64.iso loopback loop0 $isofile #archisolabel设置archiso文件驻留的文件系统标签。 #img_dev指明archiso文件驻留的设备 #img_loop是archiso文件在img_dev里的绝对位置 linux (loop0)/arch/boot/x86_64/vmlinuz archisolabel=ARCH20181201 img_dev=/dev/vda1 img_loop=$isofile initrd (loop0)/arch/boot/x86_64/archiso.img }

   这个时候Arch iso就直接添加到启动项了
   现在控制台vnc连接服务器,现在已经启动arch iso了

3. 格盘,装Arch
   df -h 看下挂载情况
   你会发现原来的物理磁盘已经挂载到了 /run/archiso/img_dev
   但是现在这个是只读的,需要使用 mount -o remount,rw /run/archiso/img_dev 重新可读挂载下,现在操作系统在内存上,所以可以放心的使用 rm -rf /run/archiso/img_dev/*了,等执行完成进去 ls -al看看,完全干净,nice!
   现在 常规操作 pacstrap /run/archiso/img_dev base base-devel
   后续 arch-chroot …..不在详细说明!
   另外阿里虚拟机系统是BIOS方式引导,grub如何安装,自行参照arch wiki
   多提一句 arch-chroot 进去之后最好装上 rng-tools并systemctl enable rngd --now 增加熵值,不然你会发现重启系统后直接 ssh 连接不上,原因就是随机数池耗尽,更多细节参见 Random number generation

4. 重启后,Arch linux真香,现在修复网络,还记得前面的重点吗?
   使用netctl配置网络,就是添加内网,OK之后,重启netctl服务,OK,现在使用ssh直接连接,你就得到了一个干净的Arch!

转载文章

替换云服务器操作系统为Archlinux

0x01. OpenWrt

简介:
OpenWrt项目是一个针对嵌入式设备的Linux操作系统。OpenWrt不是一个单一且不可更改的固件，而是提供了具有软件包管理功能的完全可写的文件系统。(划重点: Linux,可写文件系统)

0x01 .1如何使用OpenWrt

0. 准备工作:
   0.1 一个任意Linux发行版(如果你使用win,需要准备虚拟机)
   0.2 网线,路由器
1. 硬件基础
   支持的设备 见链接
2. 如何刷入高度危险风险提示:误操作可能导致路由器变砖(无编程器可能导致报废)某些设备支持直接刷入(eg:linksyswrt 系列
   某些不支持直接刷入(eg: 小米路由青春版
   相关信息可以查阅 goole 你的设备型号 openwrt来判断
   另外,推荐使用OpenWrt官方固件注意,版本最好为Current Stable Release(或自己构建),毕竟你不知道他人固件里有没有私货,还有一点就是下文中的SDK和刷入版本需要一致,不然会遇到编译出来的安装包无法安装的问题!!!OpenWrt官方固件刷入下载地址

0x02. 构建drcom安装包

1. (win: 打开虚拟机,选择nat网络模式,打开你的Linux发行版 查看发现版命令 lsb_release -a
2. 根据自己的Linux发行版安装必要的依赖
   参考链接
3. 下载OpenWrt SDK
   使用ssh 连接路由cat /proc/cpuinfo查看路由信息
   根据路由选择SDK (这里以常用的mtk7620芯片举例)
   下载地址: https://downloads.openwrt.org/

下载openwrt-sdk-18.06.1-ramips-mt7620_gcc-7.3.0_musl.Linux-x86_64.tar.xz注意是有gcc的!

1
2
3

$ wget https://downloads.openwrt.org/releases/18.06.2/targets/ramips/mt7620/openwrt-sdk-18.06.1-ramips-mt7620_gcc-7.3.0_musl.Linux-x86_64.tar.xz #mtk7620 SDK
$ tar -vxf openwrt-sdk*
$ cd openwrt-sdk*

接下来拉取drcom源码

1
2

$ git clone https://github.com/mchome/openwrt-dogcom.git package/openwrt-dogcom
$ git clone https://github.com/mchome/luci-app-dogcom.git package/luci-app-dogcom

接下来编译路由安装包

1
2

$ make package/openwrt-dogcom/compile
$ make package/luci-app-dogcom/compile

如果没有问题,现在就已经构建好了
现在可以去当前目录下的bin文件夹下找到dogcom.ipk,luci-app-dogcom.ipk,之后cd进该目录/在此处打开终端

4. 录屏教程

0x03 安装dogcom安装包,启动认证程序

1. 上传并安装dogcom软件

   1 2 3 4

   $scp dogcom*.ipk luci-app-dogcom*.ipk root@192.168.1.1:/rooot/ $ ssh root@192.168.1.1 root@OpenWrt:~# ls #查看文件是否上传成功 root@OpenWrt:~# opkg install dogcom*.ipk luci-app-dogcom*.ipk

2. 现在可以把网线插入路由器的wan口了
3. 修改配置文件
   1.登录路由器
   ssh root@192.168.1.1
   2.修改配置文件
   vim /etc/dogcom.conf

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15

   server = '192.168.255.249' username='***********' #校园网账号 password='***********' #校园网密码 CONTROLCHECKSTATUS = '\x20' ADAPTERNUM = '\x05' host_ip = '10.29.6.70' #主机地址 IPDOG = '\x01' host_name = 'boom' PRIMARY_DNS = '10.200.4.1' dhcp_server = '10.29.6.254' #楼层路由地址 AUTH_VERSION = '\x0a\x00' mac = 0xb025aa1 #mac地址，前面加0x host_os = 'Windows' KEEP_ALIVE_VERSION = '\xdc\x02' ror_version = False

   修改好了之后:wq保存退出
4. 启动drcom程序
   /etc/init.d/dogcom start && /etc/init.d/dogcom enable
5. 测试连通性
   方法一: ping baidu.com
   二: 打开 http://192.168.255.249/ 看是否在线
   三: ps |grep dogcom #看是否有dogcom进程

0x04 添加ipv6认证

概述:由于我校新加了ipv6认证,所以ipv6访问会出现一定问题.
经过观察,发现访问ipv6地址时浏览器会跳转到 http://192.168.255.249,所以抓了一次包,wireshark截图如下

所以ipv6认证方式显而易见,是通过一次GET请求来实现的,模拟这一过程就好!

依赖软件

opkg update && opkg install curl
如果遇到超时,需要换下openwrt的源
sed -i 's_downloads.openwrt.org_mirrors.tuna.tsinghua.edu.cn/openwrt_' /etc/opkg/distfeeds.conf

ipv6-auth脚本

vim /etc/ipv6-auth.sh

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21

#! /bin/sh
ip6=`ip address show | grep "2001" |awk '{print $2}' |cut -d '/' -f 1`
number=0
while [ -z "$ip6"]; do
    sleep 3
    ip6=`ip address show | grep "2001" |awk '{print $2}' |cut -d '/' -f 1`
    ((number ++));
    if [ $number -gt 6 ]; then
        break;
    fi
done
if [ -z "$ip6"  ]; then
    echo "get ipv6 address fail" > /tmp/ipv6.log
    logger -t IPV6 "get ipv6 address fail"
else
    curl -s -o /dev/null http://192.168.255.249/1.htm?mv6=$ip6&url=http://npupt.com/ 2>&1
    echo "ipv6 auth success" > /tmp/ipv6.log
    logger -t IPv6 "IPv6 auth sucess."
fi

exit 0

开机认证
/etc/rc.local

1

sh /etc/ipv6-auth.sh

另外ipv6认证维持时间据我观察好像是12小时
故还得写个定时任务
/etc/crontabs/root

1

0 */3 * * * /etc/ipv6-auth.sh #每三小时发送一次认证请求

重启路由器
测试 ping ipv6.google.com

但是这个时候只是路由器ipv6连通了,下面的设备ipv6依旧不通,鉴于认证方式基于ipv6地址,故无法采用ipv6 relay,ipv6 passthrougth技术,可选的只有ipv6 nat

0x05 ipv6 NAT

这部分参考了清华大学的openwrt ipv6讨论
见地址推荐阅读

1. 安装需求包
   opkg install ip6tables kmod-ipt-nat6 kmod-ip6tables kmod-ip6tables-extra luci-proto-ipv6 iputils-traceroute6
2. 开启默认通告

   1 2	uci set dhcp.lan.ra_default='1' uci commit dhcp

3. 加入nat6的路由表
   在/etc/firewall.user加上

   1 2 3 4 5

   WAN6=eth0 LAN=br-lan ip6tables -t nat -A POSTROUTING -o $WAN6 -j MASQUERADE ip6tables -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT ip6tables -A FORWARD -i $LAN -j ACCEPT

   WAN6和LAN分别改成外网IPv6和内网网卡(interface)的名字，注意不是防火墙区域(zone)的名字，也不是LuCI里面Network->Interfaces里面看到的名字，而是ifconfig看到的名字
4. 默认网关设置
   添加/etc/hotplug.d/iface/99-ipv6

   1 2 3 4 5 6

   #!/bin/sh [ "$ACTION" = ifup ] || exit 0 iface=wan6 [ -z "$iface" -o "$INTERFACE" = "$iface" ] || exit 0 ip -6 route add `ip -6 route show default|sed -e 's/from [^ ]* //'` logger -t IPv6 "Add IPv6 default route."

   记得加可执行权限
   chmod +x /etc/hotplug.d/iface/99-ipv6
5. 重启,收工
   如果没特殊情况,现在你的路由器可以下发ipv6地址了,并且ipv6可以连通了,但是针对某些网站(npupt.com)访问依旧会出现问题,这是由于ipv6 nat下发的是私有ipv6地址,经过转换之后出去的.所以浏览器默认你没有公网ipv6,导致couldflare防火墙认为你没有ipv6地址造成的.暂无解决办法(已解决,见下文)
6. 浏览器ipv6问题
   经过朋友提醒,浏览器有一个特性,它不认 fd开头

的ipv6地址,它认为你拿的是私有地址,所以浏览页面一直使用ipv4,也就造成npupt.com等只允许ipv6的网站上不去,所以把fd开头改成dd开头就好了!
#修改ipv6前缀 (修改ula_prefix那一行)

vim /etc/config/network

1
2

config globals 'globals'
        option ula_prefix 'dd86:acf7:b93b::/48'

0x06. 后记

个人文章,难免有错误,欢迎各位留言和指正!
当然如果你按照此文配置遇到了问题,欢迎留言,我会尽力帮助!233
完结了!!!

非常悲催,由于一次误操作,导致了我的Blog源文件丢失.然后由于本人懒散 😀 ,一直拖到现在才重建Blog.

新科技

1. 为了上次经验教训采用了github保存blog源文件
2. 采用了 Travis-CI 自动化部署 (😏)

具体流程

tarvis-ci服务器不断地监听blog主线开发的变更内容， 一旦有任何变更（可以理解为 git commit ）就自动调用测试和部署脚本。然后我的blog就自动更新了.
(好处就是可以直接在github web页面写文章了,而且也不需要担心多设备同步问题.2333 黑科技不? 😉