Linux on 搁浅St的blog

修复ubuntu终端中文显示和输入的问题

Mon, 24 Apr 2017 13:37:01 +0000

我在管理服务器的时候,一般在win下面使用xshell和xftp两个软件,来进行管理和上传文件.不过一直有个头疼的问题:如果文件名是中文的,上传之后,在ftp软件中看到的是正常的,在xshell终端中看到的却是乱码;而且,在xshell中无法输入中文,所以我在vi中修改文件的时候一般只使用英文.

昨晚没事,就查了一下资料,修复了这个问题.

1 目标

本文的目标主要是修复中文文件名乱码和中文输入的问题,本文的目标不是把整个系统的所有语言体系都改成中文,只是单纯的修复中文输入问题和中文文件名显示问题.

2 环境

服务器环境: Ubuntu Server 16.04 lts 本地环境: windows7 软件环境: Xshell 和 Xftp

3 修改配置

与中文编码相关的配置主要包括: 本地编码和服务器编码.我们首先设置服务器端编码:

3.1 服务器编码配置

首先,我们使用xshell连接登录服务器,然后在终端中输入locale命令,得到结果如下:

$ locale
LANG=
LANGUAGE=C:
LC_CTYPE="POSIX"
LC_NUMERIC="POSIX"
LC_TIME="POSIX"
LC_COLLATE="POSIX"
LC_MONETARY="POSIX"
LC_MESSAGES="POSIX"
LC_PAPER="POSIX"
LC_NAME="POSIX"
LC_ADDRESS="POSIX"
LC_TELEPHONE="POSIX"
LC_MEASUREMENT="POSIX"
LC_IDENTIFICATION="POSIX"
LC_ALL=

各个选项的含义如下:

语言符号及其分类(LC_CTYPE)
数字(LC_NUMERIC)
比较和排序习惯(LC_COLLATE)
时间显示格式(LC_TIME)
货币单位(LC_MONETARY)
信息主要是提示信息,错误信息, 状态信息, 标题, 标签, 按钮和菜单等(LC_MESSAGES)
姓名书写方式(LC_NAME)
地址书写方式(LC_ADDRESS)
电话号码书写方式(LC_TELEPHONE)
度量衡表达方式(LC_MEASUREMENT)
默认纸张尺寸大小(LC_PAPER)
对locale自身包含信息的概述(LC_IDENTIFICATION)。

关于locale更多的信息,请查看Locale-wiki 我们要修复的是中文文件名的显示和中文输入的问题,所以我们接下来只需要设置LC_CTYPE即可.

查看系统支持的编码方式:

locale -a

看看输出内容中是否包含zh_CN.utf-8,如果不包含的话,我们需要添加这个配置项

sudo locale-gen zh_CN.utf-8

修改后,我的输出内容如下,已经包含zh_CN.utf-8 接下来,修改LC_CTYPE的值,使用export LC_CTYPE='zh_CN.UTF-8',命令来修改. 直接执行export LC_CTYPE='zh_CN.UTF-8'那么只对当前会话有效, 所有用户(永久):修改/etc/profile 当前用户(永久):修改~/.bashrc

建议直接修改/etc/profile文件,这样所有用户都可以使用. 修改完成后,退出登录,重新登录一次,再输入locale命令,可以得到如下输出:

LANG=
LANGUAGE=C:
LC_CTYPE=zh_CN.UTF-8
LC_NUMERIC="POSIX"
LC_TIME="POSIX"
LC_COLLATE="POSIX"
LC_MONETARY="POSIX"
LC_MESSAGES="POSIX"
LC_PAPER="POSIX"
LC_NAME="POSIX"
LC_ADDRESS="POSIX"
LC_TELEPHONE="POSIX"
LC_MEASUREMENT="POSIX"
LC_IDENTIFICATION="POSIX"
LC_ALL=

应该就可以输入中文了

3.2 本地配置

在windows中,中文的默认编码是GBK,所以为了避免出现在ftp中看着正常,在xshell中看着乱码的问题.我们要修改xftp中的编码方式.打开xftp,文件->属性->选项,勾选上使用UTF-8编码.

3.3 编码转换

上面的修改完成后,基本可以解决之前提到的目标.新上传的文件肯定是正常的,但是之前上传的文件依旧是乱码,所以我们需要使用工具转换一下.

sudo apt-get install convmv

用法很简单:

convmv -f GBK -t UTF-8 --notest ./*

其中,-f表示源编码;-t表示目标编码;如果没有--notest选项,这条命令只会检测,不会执行;后面跟着需要操作的文件目录;如果需要递归执行,可以加上-r选项.

打完收工

参考文献

将hexo部署到自己的个人服务器上

Sat, 08 Apr 2017 19:22:22 +0000

本文假设你已经配置好了hexo了,这是前提

前面两篇文章主要是用来配置自己的服务器.服务器部署完成后,后面就可以开始写博客了.但是每次hexo d推送到gihub的服务器上了,还需要手动将文件复制到自己的服务器对应网站的根目录,对的,要手动,当然不能忍.

1 ugly的解决办法

于是我写了一个脚本,在服务器上定时去访问我的github,如果检测到文件有变动,就把github的内容clone到服务器上,然后再布置到网站根目录. 代码很简单,就这几行.主要是检测/archives/index.html这个文件的大小是否变化了,选择它,是由于这个文件较小,而且每次发布新文章大小都会发生变化.

#!/bin/sh
cd ~/blogsync
length=`ls -l github.json| awk '{print $5}'`
curl -o github.json  https://raw.githubusercontent.com/huirong/huirong.github.io/master/archives/index.html
newlength=`ls -l github.json| awk '{print $5}'`
test $length -eq $newlength && exit 0 #if same so quit
git clone https://github.com/huirong/huirong.github.io.git huirongis_me
rm -fr ~/www/huirongis_me
mv huirongis_me ~/www/

这样搞法,是不需要手动了,但是做不到实时,而且,如果你没有新增或删减文章,其他的改动,可能不会反应在/archives/index.html,那他就不会自动去更新了.

2 完美的搞法

既然有ugly的解决方法,自然有完美的解决方法.本文主要是参考使用 Git Hook 自动部署 Hexo 到个人 VPS. 这个方法的原理,用一句话总结就是:在自己的服务器上搭建一个git服务器,然后依靠git hook程序,将git仓库代码更新到自己的网站根目录.

2.1 在vps上安装git

我的服务器是ubuntu 16.04 lts,安装git服务非常简单

sudo apt-get install git

2.2 创建git用户

这一步的原因是,我们需要一个小权限的账号来操作git.比如我们后面会限制这个git账号,不让他登录shell等等.

sudo adduser git

我们在服务器的ubuntu执行这条命令就好了,非常简单,而且还帮你在home下建立了对应的目录. 接下来要配置git用户的认证,有两种办法:

给git用户设置一个密码,以后每次执行hexo d的时候,会要求你输入密码,才能继续操作
给git用户配置ssh证书,当把公钥传到服务器后,每次hexo d免密,直接操作完成

2.3 设置密码登录

设置密码使用Linux命令passwd即可

sudo passwd git

上述命令执行完成后,按照提示输入两次密码,即配置完成

2.4 配置ssh证书

配置ssh证书,设置的时候比较麻烦,但是后面每次使用比较简单.后面再说原因.

2.4.1 生成ssh证书

首先,我们需要生成证书,这一步我们在自己本地电脑进行.注意:生成证书不在服务器上操作,在自己本地电脑上进行.

Mac或者Linux 对于Mac或者LInux用户,直接使用系统自带的终端就好 windows: 对于windows用户,hexo配置完成后,你应该有一个执行shell命令的软件,比如我的是github desktop自带的shell程序,或者你自己安装的git shell,也是可以的,大概长这样

首先,我们打开shell程序,输入以下命令

ssh-keygen -t rsa -b 4096 -C "你的email地址"

接着提示让我们输入文件保存的路径,如果你不输入就按照默认的保存,输入完成,回车下一步,提示我们输入密码,这个密码只是证书的密码,即,当使用这个证书登录的时候要输入的密码,它不是服务器用户的密码,而是单纯给ssh证书设置的密码. 我这里选择不设置,直接回车,提示确认起码,再回车证书生成完毕. 我们进入刚才证书保存的目录,可以看到id_rsa和id_rsa.pub两个文件(也有可能是其他名字,反正一个有pub一个没pub),分别就是私钥和公钥.

PS:其实生成证书这一步,在服务器上,或者任何一个机器上都可以,只要你最后把这个公钥传到服务器,用这个私钥链接你的服务器就行,这里为求简单,在本地的git shell中生成

2.4.2 上传公钥

接下来,我们还是在本地终端操作.将上一步生成的id_rsa.pub文件内容追加到服务器的authorized_keys中. OpenSSH提供了一个命令ssh-copy-id,直接将文件添加到服务器,简直不能更方便用法如下:

ssh-copy-id git@yourserver

比如我输入ssh-copy-id -i ~/.ssh/id_rsa.pub git@bblove.me,这里的yourserver可以输入域名或者ip,-i用来指定具体的公钥文件,适用于存在多个公钥或者找不到公钥的情况,最好手动指定它.输入该命令后,会要求你输入服务器上git用户的密码.

如果此法不通,你可以直接在服务器上编辑authorized_keys文件,把id_rsa.pub内容追加到文件后面即可请务必确认authorized_keys文件的权限是rw-------,如果不是,使用chmod 600 authorized_keys来修改.

2.4.3 测试ssh连接

接下来,我们还是在本地终端操作.我们测试一下,看是否能成功连接到服务器.主要使用ssh -T git@yourserver命令来测试,此处git是指用户名,yourserver填你的服务器域名或者ip即可.测试结果如下:

如果测试不成功,他会返回给你错误提示.如果像我上图这样,那就是测试成功了,需要手动ctr+c,让git终端回复到正常输入命令的状态.下面附上github的测试结果,与我的vps略有不同,反正都是成功的.

2.4.4 ssh测试失败

如果你测试失败,可能有多方面的原因,客户端或者服务器都有可能.

2.4.4.1 客户端ssh配置

接下来,还是在本地终端操作.我们首先检查一下客户端ssh的配置,文件的位置在/etc/ssh/ssh_config,我们使用vi /etc/ssh/ssh_config命令打开和编辑该文件.本文服务器域名是bblove.me,请检查你的ssh_config文件,是否存在一条Host *记录,并且该记录的IdentityFile值,是否是你刚才生成的那个私钥的地址. 这个配置文件的意思是,针对某个Host,程序使用IdentityFile指定的私钥文件去进行ssh连接. 如果我们上一步测试ssh连接失败,有可能就是针对我们自己的域名,我们未指定正确的私钥文件.附上我的ssh_config文件的内容,

这也就意味着,我们可以针对多个网站各自配置不同的ssh证书,比如我github一套,自己服务器一套.当然偷懒的话,也可以所有网站使用一套ssh证书.只需要添加配置Host *的配置即可.你的配置文件内容可能和我的不同,关注下host和IdentityFile的内容就好. PS:如果host配置了*,请务必保证它在其他域名配置的后面,因为系统是从前到后匹配,所以*必须在具体域名的后面.

2.4.4.2 服务器ssh配置

接下来,我们在服务器上操作.我们检查一下服务器端ssh配置是否有误.文件的位置在/etc/ssh/sshd_config,我们使用sudo vi /etc/ssh/sshd_config打开和编辑该文件.例如我的ubuntu虚拟机的内容经过修改后,就是这样的:

# Package generated configuration file
# See the sshd_config(5) manpage for details

# What ports, IPs and protocols we listen for
#这个是用来指定ssh端口的,不用改
Port 22
# Use these options to restrict which interfaces/protocols sshd will bind to
#ListenAddress 10.105.224.192
#ListenAddress 10.105.224.192
Protocol 2
# HostKeys for protocol version 2
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_dsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_ed25519_key
#Privilege Separation is turned on for security
UsePrivilegeSeparation yes

# Lifetime and size of ephemeral version 1 server key
KeyRegenerationInterval 3600
ServerKeyBits 1024

# Logging
SyslogFacility AUTH
LogLevel INFO

# Authentication:
LoginGraceTime 120
PermitRootLogin no
StrictModes yes

RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile	%h/.ssh/authorized_keys

# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes
# For this to work you will also need host keys in /etc/ssh_known_hosts
RhostsRSAAuthentication no
# similar for protocol version 2
HostbasedAuthentication no
# Uncomment if you don't trust ~/.ssh/known_hosts for RhostsRSAAuthentication
#IgnoreUserKnownHosts yes

# To enable empty passwords, change to yes (NOT RECOMMENDED)
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Change to no to disable tunnelled clear text passwords
PasswordAuthentication yes

# Kerberos options
#KerberosAuthentication no
#KerberosGetAFSToken no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes

# GSSAPI options
#GSSAPIAuthentication no
#GSSAPICleanupCredentials yes

X11Forwarding yes
X11DisplayOffset 10
PrintMotd no
PrintLastLog yes
TCPKeepAlive yes
#UseLogin no

#MaxStartups 10:30:60
#Banner /etc/issue.net

# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
AllowUsers chen git zhou
Subsystem sftp /usr/lib/openssh/sftp-server

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication.  Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
Ciphers aes128-cbc,aes192-cbc,aes256-cbc,aes128-ctr,aes192-ctr,aes256-ctr,3des-cbc,arcfour128,arcfour256,arcfour,blowfish-cbc,cast128-cbc
MACs hmac-md5,hmac-sha1,umac-64@openssh.com,hmac-ripemd160,hmac-sha1-96,hmac-md5-96
KexAlgorithms diffie-hellman-group1-sha1,diffie-hellman-group14-sha1,diffie-hellman-group-exchange-sha1,diffie-hellman-group-exchange-sha256,ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group1-sha1,curve25519-sha256@libssh.org
UseDNS no

我们只需要重点关注下这几个值,

PermitRootLogin no,也就是不允许使用root登录,这是为了安全起见
AuthorizedKeysFile %h/.ssh/authorized_keys,指定公钥存放的文件,这个要重点关注下,注意去掉前面的注释

其他的配置,基本不用修改.以上配置修改完成后,我们重启一下服务器端的ssh服务,使用命令sudo service ssh restart即可.最后,我们再回到客户端,测试一下ssh连接是否成功.ssh -T git@yourserver.还不行的话,你就去google查一查错误

2.5 配置服务器git仓库

上一步,我们配置好了客户端ssh连服务器,这一步我们回到服务器上去操作.

#在服务器新建一个文件夹,用来存放git仓库
sudo mkdir /home/chen/bblove
cd /home/chen/bblove
#进入文件夹,对git仓库进行初始化
sudo git init --bare blog.git
#初始化完成后,进入hooks文件夹
cd /home/chen/bblove/blog.git/hooks
#新建一个钩子程序,这个文件名可以自定义,我取名为post-receive
vi post-receive

我们在post-receive中,写入如下代码

#!/bin/sh
git --work-tree=/home/chen/www/bblove_me --git-dir=/home/chen/bblove/blog.git checkout -f

此处,--work-tree指的是你的网站根目录,--git-dir指的是你的git仓库的目录. 编辑完城后,wq退出并保存post-receive文件.下面给钩子程序加上可执行权限

#给钩子程序加上可执行权限
sudo chmod +x /home/chen/bblove/blog.git/hooks/post-receive

最后,修改git仓库权限,否则客户端无法提交代码到这个仓库

#接下来修改git仓库的权限
sudo chown -R git:git blog.git

此处还要注意一点,我们还要修改网站根目录的权限,否则钩子程序执行的时候,无法修改网站根目录的内容.

sudo chown -R git:git /home/chen/www/bblove_me

至此,服务器端配置完成

2.6 修改hexo的配置文件

终于,走到了这一步. 我们打开我们自己hexo博客根目录的_config.yml文件.

deploy:
- type: git
  repo: 'https://github.com/Jackroyal/Jackroyal.github.io.git'
  branch: master
- type: git
  repo: git@bblove.me:/home/git/bblove/blog.git
  branch: master

因为,hexo本身是支持多点发布的,所以我们每次deploy的时候,让他同时推到github和自己的服务器上去. 你只需要改 repo: git@bblove.me:/home/git/bblove/blog.git这一行,git@yourserver:/your-git-dir. ok,大功告成啦,赶快hexo d -g看看效果吧

参考文献

Nginx上多站点的https配置

Wed, 05 Apr 2017 13:09:24 +0000

更新

2017-06-13 修改证书生成目录,为方便后续的git push自动更新,将acme验证目录移出网站根目录

此处接上篇在ubuntu上安装和配置Nginx,本文在之前的基础上配置https.

1 环境和目标

服务器:ubuntu server 16.04.2 LTS 主要工具:xshell 本文的目标是使用Nginx的TLS SNI技术,使用一个服务器(即一个ip),给多个域名配置https.我有一个腾讯云服务器,买了两个域名,都指向这台服务器,我现在想两个域名都上https,而且www.bblove.me跳转到bblove.me,我只想使用bblove.me这个较短的域名. 但是不是所有的浏览器都支持SNI,下面的截图来自屈大的博客由于是个人博客,随意折腾,所以不犹豫,直接上https.

2 证书

我们使用Let’s Encrypt提供的免费证书,每次有90天的有效期,过期之后需要再更新,不过这对于程序员来说,根本就不是事儿对吧.点击ACME,我们使用ACME来自动获取证书.主要步骤分三步:

安装 acme.sh
生成证书
copy 证书到 nginx 具体步骤,参考github上的wiki ACME使用说明下面我简单说下我这边的配置:

2.1 安装acme.sh

安装的命令很简单

curl  https://get.acme.sh | sh

建议将脚本放在自己的home目录下,并且建立一个alias

acme.sh=~/.acme.sh/acme.sh

操作的目录都只会在~/acme.sh目录,不会污染系统其他的文件夹和目录

2.2 生成证书

脚本安装好后,下一步开始生成证书,生成证书的过程中,Let’s Encrypt需要对域名的所有权进行验证,这个很好理解,证书发行机构需要确定你是否对该域名拥有所有权.验证的方式有两种:

使用http验证 acme脚本会生成一个验证文件,并放到网站根目录,然后Let’s Encrypt会尝试访问这个文件,完成验证
使用DNS验证顾名思义,只需要在DNS设置中添加一条txt解析记录,即可

本文采用的是http验证,DNS验证就不细说了,想使用DNS验证的直接看 ACME使用说明

我一共有两个域名bblove.me和huirongis.me,主域名加上带www的子域名,也就是一共有4个域名. 生成证书有下面三种思路:

所有的4个域名都使用同一个证书,此法最简单,可以避免发生域名和证书不匹配的情况
www.bblove.me和bblove.me使用同一个证书,另外一个域名同理,也就是总共使用两个证书
使用4个不同的证书,这种情况比较复杂,如果想实现www跳转到不带www的,处理不好容易出现证书错误的问题

由于我最后只使用https://bblove.me这个域名,验证方式选择的http方式,bblove.me和huirongis.me指向不同的根目录,为了方便后续管理和维护,所以我选择方案二,即bblove.me和www.bblove.me共用一个证书,huirongis.me同理. 确定好方案后,下面开始生成证书,使用如下命令即可.

acme.sh --issue -d bblove.me -d www.bblove.me -w /home/chen/www/nginx_acme/bblove_me/ --force

其中-d表示域名,可以添加多个;-w表示网站的根目录,一条命令执行完成,即可得到证书. 顺利的话,执行结果如下(此处配图输入命令未更新,输出结果是一致的): 如果出错的话,在那条命令后面追加--debug,查看详细的信息,我有遇到过文件权限的错误,只要网站根目录权限和当前home目录对应的用户权限一样就可以了;我还遇到过验证不通过的问题,大家可以在浏览器中访问那个路径,看是否正常,类似http://bblove.me/.well-known/acme-challenge/dfdfdfdafdfdfdfdfdfdfdfd这样的格式

2.3 安装证书

在上一步中,我们已经成功的生成了我们要的证书.这一步我们将它安装在我们域名所对应的根目录中,操作很简单.

acme.sh --installcert -d bblove.me --keypath /home/chen/www/nginx_ssl/bblove_me/bblove_me.key --fullchainpath /home/chen/www/nginx_ssl/bblove_me/bblove_me.cer --reloadcmd "service nginx force-reload"

执行结果如图所示: 至此,证书部分已经操作完成,第二个域名操作同理.

#生成证书
acme.sh --issue -d bblove.me -d www.bblove.me -w /home/chen/www/nginx_acme/bblove_me/ --force
#安装证书
acme.sh --installcert -d bblove.me --keypath /home/chen/www/nginx_ssl/bblove_me/bblove_me.key --fullchainpath /home/chen/www/nginx_ssl/bblove_me/bblove_me.cer --reloadcmd "service nginx force-reload"

#生成证书
acme.sh --issue -d huirongis.me -d www.huirongis.me -w /home/chen/www/huirongis_me/ --force
#安装证书
acme.sh --installcert -d huirongis.me --keypath /home/chen/www/nginx_ssl/huirongis_me/huirongis_me.key --fullchainpath /home/chen/www/nginx_ssl/huirongis_me/huirongis_me.cer --reloadcmd "service nginx force-reload"

3 修改Nginx配置

证书生成完成后,我们需要修改Nginx配置,主要就是启用之前注释掉的HTTPS相关的配置以及,修改对应的目录. 下面是我的第一个站点的配置:

server {
    listen 80;
    server_name       www.bblove.me bblove.me;
    server_tokens     off;

    access_log /home/chen/www/nginx_log/bblove_me.log;
    #access_log        /dev/null;

    if ($request_method !~ ^(GET|HEAD|POST)$ ) {
        return        444;
    }

    location ^~ /.well-known/acme-challenge/ {
        alias         /home/chen/www/nginx_acme/bblove_me/.well-known/acme-challenge/;
        try_files     $uri =404;
    }

    location / {
        rewrite       ^/(.*)$ https://bblove.me/$1 permanent;
    }
}
server{
        listen 443 ssl http2 fastopen=3 reuseport;

        server_name bblove.me;
        server_tokens   off;
        access_log /home/chen/www/nginx_log/bblove_me.log;


        ssl_certificate /home/chen/www/nginx_ssl/bblove_me/bblove_me.cer;
        ssl_certificate_key     /home/chen/www/nginx_ssl/bblove_me/bblove_me.key;

		#使用openssl dhparam -out dhparams.pem 2048命令生成该文件,将下面配置注释也许
        ssl_dhparam    /home/chen/www/nginx_ssl/dhparams.pem;

        ssl_prefer_server_ciphers  on;


		#下面是推荐的加密算法配置,但是在我的机器上有bug,chacha20算法无法正常工作,所以我去掉了其中包含chacha20的算法
		# https://github.com/cloudflare/sslconfig/blob/master/conf
    	#ssl_ciphers                EECDH+CHACHA20:EECDH+CHACHA20-draft:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;
        ssl_ciphers                EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;


        ssl_protocols              TLSv1 TLSv1.1 TLSv1.2;

        ssl_session_cache          shared:SSL:50m;
        ssl_session_timeout        1d;

        ssl_session_tickets        on;
        ssl_stapling    on;
        ssl_stapling_verify     on;
        ssl_trusted_certificate /home/chen/www/nginx_ssl/bblove_me/bblove_me.cer;
        resolver        114.114.114.114 valid=300s;
        resolver_timeout        10s;
        if ($request_method !~ ^(GET|HEAD|POST|OPTIONS)$ ) {
                return           444;
        }
        if ($host != 'bblove.me'){
                rewrite ^/(.*)$ https://bblove.me/$1 permanent;
        }
        location / {
                root /home/chen/www/bblove_me;
                index index.html index.htm;
                add_header               Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";
                add_header               X-Frame-Options deny;
                add_header               X-Content-Type-Options nosniff;
                add_header               Cache-Control no-cache;
                add_header               x-xss-protection " 1; mode=block";
                add_header               x-content-type-options nosniff;
        }
}

下面是我第二个站点的配置:

server{
	listen 443 ssl http2;

	server_name www.huirongis.me huirongis.me;
	server_tokens	off;
	access_log /home/chen/www/nginx_log/huirongis_me.log;

	
	ssl_certificate	/home/chen/www/nginx_ssl/huirongis_me/huirongis_me.cer;
	ssl_certificate_key	/home/chen/www/nginx_ssl/huirongis_me/huirongis_me.key;
	#ssl_dhparam	/home/chen/www/nginx_ssl/huirongis_me/huirongis_me.cer;
	ssl_ciphers                EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;
	#ssl_ciphers                EECDH+CHACHA20:EECDH+CHACHA20-draft:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;
	ssl_prefer_server_ciphers  on;

	ssl_protocols              TLSv1 TLSv1.1 TLSv1.2;

	ssl_session_cache          shared:SSL:50m;
	ssl_session_timeout        1d;

	ssl_session_tickets        on;
	ssl_stapling	on;
	ssl_stapling_verify	on;
	ssl_trusted_certificate	/home/chen/www/nginx_ssl/huirongis_me/huirongis_me.cer;
	resolver	114.114.114.114 valid=300s;
	resolver_timeout	10s;
	if ($request_method !~ ^(GET|HEAD|POST|OPTIONS)$ ) {
        	return           444;
	}
	if ($host != 'huirongis.me'){
		rewrite ^/(.*)$ https://huirongis.me/$1 permanent;
	}	
	location / {
		root /home/chen/www/huirongis_me;
		index index.html index.htm;
	        add_header               Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";
		add_header               X-Frame-Options deny;
	        add_header               X-Content-Type-Options nosniff;
		add_header               Cache-Control no-cache;
		add_header		 x-xss-protection " 1; mode=block";
		add_header		 x-content-type-options nosniff;
	}
}
server {
    server_name       www.huirongis.me huirongis.me;
    server_tokens     off;

    access_log        /dev/null;

    if ($request_method !~ ^(GET|HEAD|POST)$ ) {
        return        444;
    }

    location ^~ /.well-known/acme-challenge/ {
        alias         /home/chen/www/nginx_acme/huirongis_me/.well-known/acme-challenge/;
        try_files     $uri =404;
    }

    location / {
        rewrite       ^/(.*)$ https://huirongis.me/$1 permanent;
    }
}

该配置的主体内容,都是参考的屈大的配置,但是由于屈大的是单站点,所以为了对应多站点,做了一些改动.

改动1: server的第一行listen fastopen=3 reuseport的选项,只能用在一个站点上,不能两个站点都加这段配置
改动2: ssl_dhparam 配置,另外一个站点我懒得弄了,你可以自己生成文件,两个站点都配上.

有些配置的含义和原理,屈大都给了详细的分析,想了解的可以去看看.

再贴一下本站目录结构:

4 修改http资源为https

ok,都这里基本都搞定了,应该可以看到小绿锁了.在chrome中按F12->console,查看原因.如果你的网站中包含其他第三方http资源,可能会没有看到小绿锁,只需要将http资源修改为https的就行,比如图片资源,本站使用新浪微博图床,只需要将原来的http格式的图片加个s,变成https就可以了.如果资源没有https的,那就需要将资源下载到服务器本地. 至此,整个网站的https配置完成.

5 问题和优化

现在还有问题没有解决:

加密算法的问题,我的服务器配置chacha20算法不成功,只要客户端协商的算法中有chacha20,服务器就会返回bad record mac错误,现在我只能把它禁用
证书的自动更新问题,由于我后期还配置了其他的东西,所以证书自动更新一直不成功,需要我手动去更新
将域名提交到https://hstspreload.org/,具体原理请参考合理使用

参考文献

在ubuntu上安装和配置Nginx

Wed, 05 Apr 2017 10:51:24 +0000

废话:最近一直想写博客,憋了好几篇,但是一直没时间,从年前拖到了年后,一直拖到4月份,真是伤不起,不过,总算开动了

1 系统环境

服务器:ubuntu server 16.04.2 LTS 主要工具:xshell

我这个服务器是腾讯云的主机,装的最新的ubuntu server lts发行版,32位系统.

2 系统安装

我这里是完全参考的屈大的教程,因为屈大教程会不断更新,所以我这里就不赘述,直接贴地址 https://imququ.com/post/my-nginx-conf.html

ps:由于屈大的Nginx配置是https一步到位,我的建议是,刚开始玩的话,先把所以https相关的配置注释掉,等一切顺利跑起来了,后期再加上https的内容

Nginx全局配置,直接抄屈大的就行,只需要把最后一行,改成你自己的服务器的路径

    include            /home/jerry/www/nginx_conf/*.conf;

web站点配置注释掉https相关内容后,如下(我修改了屈大部分目录的路径,原理一样的):

server{
        listen 80;

        server_name bblove.me www.bblove.me;
        server_tokens   off;
        access_log /home/chen/www/nginx_log/bblove_me.log;


#        ssl_certificate /home/chen/www/nginx_ssl/bblove_me/bblove_me.cer;
#        ssl_certificate_key     /home/chen/www/nginx_ssl/bblove_me/bblove_me.key;
#        ssl_dhparam    /home/chen/www/nginx_ssl/dhparams.pem;
#        ssl_prefer_server_ciphers  on;
#        ssl_ciphers                EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;

#       ssl_protocols              TLSv1 TLSv1.1 TLSv1.2;

#       ssl_session_cache          shared:SSL:50m;
#        ssl_session_timeout        1d;

#       ssl_session_tickets        on;
#        ssl_stapling    on;
#        ssl_stapling_verify     on;
#        ssl_trusted_certificate /home/chen/www/nginx_ssl/bblove_me/bblove_me.cer;
        resolver        114.114.114.114 valid=300s;
        resolver_timeout        10s;
        if ($request_method !~ ^(GET|HEAD|POST|OPTIONS)$ ) {
                return           444;
        }
#        if ($host != 'bblove.me'){
#                rewrite ^/(.*)$ https://bblove.me/$1 permanent;
#        }
        location / {
                root /home/chen/www/bblove_me;
                index index.html index.htm;
                add_header               Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";
                add_header               X-Frame-Options deny;
                add_header               X-Content-Type-Options nosniff;
                add_header               Cache-Control no-cache;
                add_header               x-xss-protection " 1; mode=block";
                add_header               x-content-type-options nosniff;
        }
}

上面的配置完成后,使用sudo service nginx reload,重新加载配置文件,如果没有生效,就重启一下服务器.如果服务出错,可以使用sudo service nginx status查看是哪一行的配置出错,修改以后再reload. 到此步,服务器应该就配置好了,可以使用ip访问你的服务器了http://x.x.x.x,此处如果无法访问,请查看安全组配置,检查是否开放了80端口

3 修改DNS配置

我使用的DNSPOD的服务,直接去管理后台,添加两条解析记录,将www和@添加A记录,指向自己的服务器ip. 如果你不添加www的话,那访问你的博客只能使用bblove.me访问.添加两条记录的话,www.bblove.me和bblove.me都可访问你的博客. 而且,后面配置https的时候,如果要上HSTS的功能,就必须要配置www. 配置好之后,可能要等一会儿才会生效到这一步,你的服务器应该就可以使用域名访问了,http://域名

4 本站目录设置

本站因为后期会布置多站点,所以设置目录结构如下,www目录下包含两个域名对应的网站根目录,同时还设置了配置文件的目录,日志文件的目录,https证书相关目录等,如图所示.

5 结尾

我把多站点配置和https配置放到下一篇博客,这篇就简单讲这么多吧.

小建议:

配置Nginx的时候善用sudo service nginx status,这个用来定位错误很方便
如果使用云服务器,比如腾讯云的话,需要修改安全组策略,把80端口和443端口放开
如果想查看端口是否打开,可以使用站长工具-在线端口扫描

HTTP1.0和HTTP1.1的区别

Fri, 25 Mar 2016 13:36:53 +0000

今天研究了下HTTP,还是挺有意思的. 接下来,就比较一下两者的区别.

1 长连接

这个应该是变化最大的一个了.在1.0的版本中,如果客户端请求头没有设置Connection: Keep-Alive的话,那么每次请求完成都会立即断开连接,然后客户端又要重新建立一个HTTP连接.假设一个网页包含了10个图片,那么为了请求图片,客户端必须要发送10次请求,无疑这对带宽和资源是极大的浪费,TCP的优势就没有体现出来. 在HTTP1.1中,keep-Alive已经被弃用(但是大多数服务器和浏览器都还保留这个选项).在1.1的版本中,持久连接默认就是启用的,除非你显式在响应头部包含Connection: close,客户端收到响应后才会关闭连接.

2 host头域

在HTTP1.0中认为每台服务器都绑定一个唯一的IP地址,因此,请求消息中的URL并没有传递主机名(hostname).但随着虚拟主机技术的发展,在一台物理服务器上可以存在多个虚拟主机(Multi-homed Web Servers),并且它们共享一个IP地址. HTTP1.1的请求消息和响应消息都应支持Host头域,且请求消息中如果没有Host头域会报告一个错误(400 Bad Request).此外,服务器应该接受以绝对路径标记的资源请求.

3 请求方法

(HTTP1.0没有定义任何具体的1xx status code, HTTP1.1有2个)
100 Continue
101 Switching Protocols
203 Non-Authoritative Information
205 Reset Content
206 Partial Content
302 Found (在HTTP1.0中有个 302 Moved Temporarily)
303 See Other
305 Use Proxy
307 Temporary Redirect
405 Method Not Allowed
406 Not Acceptable
407 Proxy Authentication Required
408 Request Timeout
409 Conflict
410 Gone
411 Length Required
412 Precondition Failed
413 Request Entity Too Large
414 Request-URI Too Long
415 Unsupported Media Type
416 Requested Range Not Satisfiable
417 Expectation Failed
504 Gateway Timeout
505 HTTP Version Not Supported

4 内容长度

通常,HTTP应答消息中发送的数据是整个发送的,Content-Length消息头字段表示数据的长度.数据的长度很重要,因为客户端需要知道哪里是应答消息的结束,以及后续应答消息的开始.但是在一些动态网页中,由于网页是动态生成的,所以没法计算出准确的Content-Length,这样导致的后果是:如果 Content-Length 比实际长度短,会造成内容被截断;如果比实体内容长,会造成 pending,浏览器一直转圈圈. 所以在HTTP1.1中引入了Transfer-Encoding,如果一个HTTP消息(请求消息或应答消息)的Transfer-Encoding消息头的值为chunked,那么,消息体由数量未定的块组成,并以最后一个大小为0的块为结束. ps:如果同时设置了Content-Length 和Transfer-Encoding,那么Transfer-Encoding的优先级更高,Content-Length会被忽略.

5 缓存

在HTTP/1.0中,使用Expire头域来判断资源的fresh或stale,并使用条件请求(conditional request)来判断资源是否仍有效.例如,cache服务器通过If-Modified-Since头域向服务器验证资源的Last-Modefied头域是否有更新,源服务器可能返回304(Not Modified),则表明该对象仍有效;也可能返回200(OK)替换请求的Cache对象.
此外,HTTP/1.0中还定义了Pragma:no-cache头域,客户端使用该头域说明请求资源不能从cache中获取,而必须回源获取.
HTTP/1.1在1.0的基础上加入了一些cache的新特性,当缓存对象的Age超过Expire时变为stale对象,cache不需要直接抛弃stale对象,而是与源服务器进行重新激活(revalidation).
HTTP/1.0中,If-Modified-Since头域使用的是绝对时间戳,精确到秒,但使用绝对时间会带来不同机器上的时钟同步问题.而HTTP/1.1中引入了一个ETag头域用于重激活机制,它的值entity tag可以用来唯一的描述一个资源.请求消息中可以使用If-None-Match头域来匹配资源的entitytag是否有变化.
为了使caching机制更加灵活,HTTP/1.1增加了Cache-Control头域(请求消息和响应消息都可使用),它支持一个可扩展的指令子集：例如max-age指令支持相对时间戳;private和no-store指令禁止对象被缓存;no-transform阻止Proxy进行任何改变响应的行为.
Cache使用关键字索引在磁盘中缓存的对象,在HTTP/1.0中使用资源的URL作为关键字.但可能存在不同的资源基于同一个URL的情况,要区别它们还需要客户端提供更多的信息,如Accept-Language和Accept-Charset头域.为了支持这种内容协商机制(content negotiation mechanism),HTTP/1.1在响应消息中引入了Vary头域,该头域列出了请求消息中需要包含哪些头域用于内容协商.

参考文献

1 HTTP 协议中的 Transfer-Encoding 2 HTTP/1.1与HTTP/1.0的区别

digitalocean下ubuntu切换内核,使用锐速

Thu, 28 Jan 2016 16:59:10 +0000

最近在网上看到,锐速可以用来给服务器加速,然后有人用这个软件来给翻墙服务器加速,据说效果还不错,今天就折腾一下.

我去锐速官网注册了账号,可惜,在官方支持的linux版本中并没有我这个内核版本.我用的是3.13.0-37-generic的32位版本,锐速官网并没有支持.32位版本支持的相对较少,支持的最新版本是3.13.0-29-generic. 所以没办法,只能把我的ubuntu降级回去,还是小折腾了一下.下面就来说下降级

实验环境：

digitalocean的云服务器 Linux OS: Ubuntu Version: 14.04 Kernel: 3.13.0-37-generic Bits: 32-bit

实验步骤

ssh登录服务器,然后安装新内核,blablabla… 你要是这样想就跟我一样,想错了. 因为我们使用的是digitalocean的云服务器,不是普通的个人单机,所以那套方法不顶用,我照着那个方法,安装了新的内核,然后更新grub,怎么弄都没用,最后才找到答案. 争取的做法: 1 登录你的digitalocean控制台 2 点击setting->kernel,效果如下图 3 点击下拉列表,找到你要的kernel,比如我要的是Ubuntu 14.04 x32 vmlinuz-3.13.0-29-generic,然后点击change,等一会儿,页面会自动刷新,内核更新就成功了 4 重要的一步,我就是这步有点问题,又浪费了点时间.更新完内核,我们发现自己的服务器查看内核的时候并没有变化,我们首先想到的是重启服务器.我们直接在终端sudo reboot.但是启动以后,你会发现还是没有变化,什么鬼? 真正的答案是,我们现在终端关机,也即是执行sudo poweroff,先关机.然后我们在控制台的power选项卡中,有个power on的按钮,我们启动服务器,就发现内核已经更新了. ok 打完收工

参考文献

1 How to Upgrade Ubuntu 12.04 LTS to Ubuntu 14.04 LTS 2 How To Update a DigitalOcean Server’s Kernel

git使用笔记(2)

Wed, 04 Nov 2015 16:52:25 +0000

上一篇笔记,只写了些git的基础操作,这篇写一下稍微高阶一点的操作,实际项目的时候可能经常会用到.

撤销操作

撤销操作,我经常会用到,有时候写的代码没有考虑周全,或者有疏漏,需要重新提交什么的.

1 撤销工作空间最近的修改

应用场景:比如上次push以后的完整干净的目录,工作空间没有任何修改,暂存区也没有任何修改,如下图: 这时候,你手贱,改了一下其中的一个文件,但是这次更改是没有意义的.我们继续使用git status来查看我们现在想撤销这次修改. 解决方法:现在这个修改只是工作区的修改,我们要撤销很简单执行

git checkout a.txt

搞定

2 撤销暂存区最近的修改

应用场景:假如在上面说的那种情况下,你手贱改错了文件,而且你没有撤销,你还执行git add a.txt,将修改提交到暂存区了.具体情况如下图现在我们要从暂存区撤回那个修改解决办法:我们使用git reset HEAD a.txt,将文件从暂存区撤出来,又回到上面的工作空间被修改的状态,如图 ps:上面的命令也可以用下面的命令,语法格式是git reset <path>,括号中填路径

git reset a.txt

总的来说,git reset <path>就是git add <path>的反向操作

3 撤销提交到本地仓库的修改

应用场景:假如你在1.2还没有回头,一路手贱下去,将暂存区的修改commit到本地仓库了我们现在要从仓库撤销这次没用的提交解决方法:

1.3.1 方案一再新建一次提交

我们可以新建一次提交,然后让所修改的文件回到之前的状态,执行

git revert HEAD

含义很简单,逆转,这样你的log里面会多一次提交,然后文件也回到的之前的状态

#3.2 方案二干净的撤销上一次commit 上面的方案一对于一个强迫症来说,不能忍啊,本来就是一次错误的提交,为了弥补这个错误,我却还要多提交一次,完全不能忍受. 方案二,我们使用git reset命令.我们执行

git reset HEAD^

这个命令表示重置HEAD指针,我们要指向上一次提交(也就是取消最近的一次,HEAD表示当前指针,HEAD^是上一次,HEAD^^是上上次,HEAD^^^是上三次),git reset命令可以添加--mixed,--soft,--hard三种参数,--soft程度最轻,只会撤销提交,对当前暂存区和当前工作空间不会有任何更改,默认的参数是--mixed,他会将暂存区的文件撤销

git reset --soft :取消了commit  

git reset --mixed（默认） :取消了commit ，取消了add

git reset --hard :取消了commit ，取消了add，取消源文件修改

3.3 方案三修改最后一次提交

首先强调,下面说的实在本地仓库的操作. 应用场景:对于上面提到的错误的提交,我们还可以修改他的内容,删除我们错误的修改,将它恢复到原来的样子,我们可以使用

git commit --amend

这个方法是将当前暂存区快照提交,也就是你后面的修改合在一起,然后再提交.最后查看log的时候,会只有一次提交,前面的一次提交就被删除,在log中只看到这次提交. 用具体例子来说.

git commit -m "这是第一次提交"
#commit完,我们修改工作空间的内容,然后再执行
git add b.txt
git commit --amend
#这条命令会弹出一个编辑窗口,你可以修改提交信息
#假设我们将提交信息修改为"这是第二次提交"

接着当我们使用git log来查看的时候,你只会看到提交信息是"这是第二次提交". 解决方法: 我们先将文件内容恢复到上一次(当前是HEAD,上一次就是HEAD^)提交时候的样子,然后执行git commit --amend,看到如下错误提示,就是说这次文件没有任何修改(废话,我已经恢复正确的样子了,当然一模一样了),默认是不允许空提交的,你只有强制使用--allow-empty才行,或者执行方案二

4 总结

盗图一张,总结上面说的内容打完收工

附言

PS:现在再来解释开头说的,这是本地仓库的操作. 因为,我们本地仓库执行了git commit后,所做的更改只会在本地,如果接着执行了git push那么,所做的更改就会被提交到git,在上面的例子中那么首先提交到github的就是"这是第一次提交".这时候,当你执行完git commit --amend的时候,本地仓库的上次提交会被删除,也就是不存在提示信息为"这是第一次提交",此时本地仓库完成了修改,你想提交到github,就会报错了.如图所示解决方法就是,Force 没错,强制提交git push -f,这样他就会像本地一样,删除上一次提交,添加这一次提交

友情链接

1 修改提交信息 2 如何撤销在git上的各种修改,好文 3 git revert和git reset的区别 4 git常用命令介绍,带效果图的

git使用笔记(1)

Wed, 04 Nov 2015 12:17:04 +0000

git也用了一段时间了,还是写点笔记,记录一下.

准备条件

首先假装你已经安装好了git

在Linux下我用的是ubuntu,安装非常easy,使用sudo apt-get install git
在windows下在windows下安装,就使用git-downloads,点击下载,安装,就ok. ps:如果你足够幸运,可以试试github的windows版,这个的好处是,带有图形化界面.

1 初始化git设置

新装好git后,我们先配置个人的用户名和email,这两条配置很重要,因为在git的日志中,都会带上这两条信息.

$ git config --global user.name "John Doe"
$ git config --global user.email johndoe@example.com

如果用了--global选项，那么更改的配置文件就是位于你用户主目录下的那个，以后你所有的项目都会默认使用这里配置的用户信息。如果要在某个特定的项目中使用其他名字或者电邮，只要去掉--global选项重新配置即可，新的设定保存在当前项目的.git/config文件里。

2 新建第一个仓库

建立第一个仓库有两种方式,一种是完全新建一个仓库,第二种是克隆一个现有仓库.

2.1 完全新建一个仓库

你先切换到你想建项目的地方,比如f:/blog/,然后执行

git init

初始化后再在当前目录新建一个名为.git的目录,git所有的东西都存在这里面.当然我们不用管.

2.2 克隆一个现有仓库

这个也是很easy,直接一条命令搞定

git clone https://github.com/Jackroyal/blog.git

他会在你的当前目录新建一个blog文件夹,在blog文件夹里面他会把相关的文件都下载下来,就可以用了.

3 提交更新

3.1 提交工作空间文件到暂存区

执行touch a.txt,我们在目录中新建一个文件名叫a.txt,然后我们修改它的内容. 接下来,我们来查看下状态

git status

执行结果如下图: 就像图片中提示的,我们新加的a.txt是未跟踪文件,我们执行

git add a.txt

我们把a.txt添加到暂存区,再次执行git status,查看状态,执行结果如图所示

3.2 将暂存区文件保存到本地仓库

假如你要做的修改已经改完,已经保存到暂存区了,我们准备提交到本地仓库.执行

git commit -m "这是提交内容"

参数-m,就是添加说明,方便以后查看,你就可以知道自己做了哪些更改

3.3 将本地仓库内容提交到远程仓库

上面的步骤都弄好以后,我们提交到远程仓库

 git push origin master

然后就行了,一个基本的流程就是这样. 推荐看看下面友情链接里面的那本书,pro git

友情链接

1 pro git中文书籍在线版

ubuntu 14.04 安装denyhosts

Tue, 28 Apr 2015 20:19:23 +0000

起因

因为之前服务器两次被黑，妈蛋。今天在上google+的时候，无意中看到一个维护vps的帖子，就顺手把我的服务器维护下。之前被黑经历也很简单，因为方便管理的缘故，我给root用户设置了密码，没错，是弱口令，一扫不要一分钟就可以出来的那种。我在那篇帖子中看到denyhosts这货。东西很简单，分析你的日志，如果有人连续登陆几次密码都错误，那么把他的ip添加到denyhost当中，禁止它继续扫描。这货还很多功能，可以设置禁止时间以后，自动解禁；可以配置自动解禁的次数;还可以配置用户密码尝试的次数，给管理员发邮件等。

安装

1、下载源码包,解压源码包

wget http://sourceforge.net/projects/denyhosts/files/denyhosts/2.6/DenyHosts-2.6.tar.gz
tar zxvf DenyHosts-2.6.tar.gz
cd DenyHosts-2.6

2、安装部署

python setup.py install
cd /usr/share/denyhosts/
cp denyhosts.cfg-dist denyhosts.cfg
cp daemon-control-dist daemon-control

3、编辑配置文件denyhosts.cfg

sudo vi denyhosts.cfg

几个常见的参数如下所示：

PURGE_DENY：当一个IP被阻止以后，过多长时间被自动解禁。可选如3m（三分钟）、5h（5小时）、2d（两天）、8w（8周）、1y（一年）；
PURGE_THRESHOLD：定义了某一IP最多被解封多少次。即某一IP由于暴力破解SSH密码被阻止/解封达到了PURGE_THRESHOLD次，则会被永久禁止；
BLOCK_SERVICE：需要阻止的服务名；
DENY_THRESHOLD_INVALID：某一无效用户名（不存在的用户）尝试多少次登录后被阻止；
DENY_THRESHOLD_VALID：某一有效用户名尝试多少次登陆后被阻止（比如账号正确但密码错误），root除外；
DENY_THRESHOLD_ROOT：root用户尝试登录多少次后被阻止；
HOSTNAME_LOOKUP：是否尝试解析源IP的域名；```

一般我们就用默认就好，我们只需要改两个地方：
### 第一个，我们注释掉第12行，启用第15行，修改以后结果如下(原因是ubuntu中的log不在/var/log/secure中，而是在/var/log/auth.log中)
![修改后的denyhosts.cfg](/images/692869a3gw1erll3zp3xpj20id0b5q63.jpg)
### 第二个，我们启用第64行，也就是设置，ip被禁止后，禁止5天，这个时间你可以自行设置
去掉前面的`# `,就行了，修改后结果如下
```bash
 63 # purge entries older than 5 days
 64 PURGE_DENY = 5d
 65 ###################################################################### #
 66

4、编辑配置文件daemon-control

因为在ubuntu系统中，有些文件不在预设的位置，所以我们需要编辑这个文件我们只需要改第14行就好了，修改/usr/bin/denyhosts.py为/usr/local/bin/denyhosts.py，修改后结果如下

 13 
 14 DENYHOSTS_BIN   = "/usr/local/bin/denyhosts.py"
 15 DENYHOSTS_LOCK  = "/var/lock/subsys/denyhosts"
 16 DENYHOSTS_CFG   = "/usr/share/denyhosts/denyhosts.cfg"
 17 
 18 PYTHON_BIN      = "/usr/bin/env python"
 19

5、运行

运行，额，错误一堆啊，我们执行sudo ./daemon-control start,然后得到如下错误

starting DenyHosts:    /usr/bin/env python /usr/local/bin/denyhosts.py --daemon --config=/usr/share/denyhosts/denyhosts.cfg
DenyHosts could not obtain lock (pid: )
[Errno 2] No such file or directory: '/var/lock/subsys/denyhosts'

我们可以去/var/lock下面的确看不到subsys这个文件夹，那我们就手动创建他

mkdir -p /var/lock/subsys

继续执行sudo ./daemon-control start，应该就会成功 ps：如果还不成功，他缺什么文件我们就用touch新建这个文件，如果说file exists,我们就删除那个文件

6、添加到开机启动

第一种是将DenyHosts作为类似apache、mysql一样的服务，这种方法可以通过 /etc/init.d/denyhosts 命令来控制其状态。方法如下：

cd /etc/init.d
ln -s /usr/share/denyhosts/daemon-control denyhosts
# 上面的操作就把他变成了一个服务 我们可以使用service denyhosts start来启动服务
# 下面把他添加到开机自启动，我们这里需要安装一个软件来实现
# ubuntu中没有chkconfig命令，网上的教程是用的chkconfig，具体操作查看后面的参考文献1，ubuntu中对应的是update-rc.d，但是不好用，所以我用sysv-rc-conf 
sudo apt-get install sysv-rc-conf
sudo sysv-rc-conf

我们设置运行级别2345，编辑以后如下所示按q，退出并保存

第二种是将Denyhosts直接加入rc.local中自动启动（类似于Windows中的“启动文件夹”）：

echo '/usr/share/denyhosts/daemon-control start' >> /etc/rc.local

参考文献

1 通过DenyHosts阻止SSH暴力攻击教程

2 /var/log/secure not present in 14.04 ,is there any alternative?

python学习笔记--socket编程端口复用

Wed, 18 Mar 2015 08:47:02 +0000

最近在学习socket编程,遇到一个问题: 我先bind一个端口后,如果通过ctr+c关闭进程.接下来执行程序的时候,就会提示socket.error: Address already in use.

照例google一番,找到这个.博主说的情况和我的一样. 我还在stackoverflow上找到这个. 修改后代码如下:

    server_socket = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    # 下面这行是关健
    server_socket.setsockopt(socket.SOL_SOCKET, socket.SO_REUSEADDR, 1)

    server_socket.bind(('', PORT))
    server_socket.listen(5)

然后就搞定了.

下面的代码是socket编程敲得两个小例子,基于socket的聊天小程序都是别人的东西,只是练习一下,源地址在本文最后.

多线程版本服务器端程序server2.py

# !/usr/bin/env python
# -*- coding:utf-8-*-
__author__ = 'chen'


import socket,sys
from thread import *

HOST = ''
PORT = 8888

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
print 'socket created'

try:
    s.bind((HOST, PORT))
except socket.error, msg:
    print 'bind failed.Error code: |||%S Message: %s' %(str(msg[0]), msg[1])
    sys.exit()


print 'socket bind complete'

s.listen(10)
print 'socket now listening'

def clientthread(conn):
    conn.send('welcome to the server.Type something and hit enter\n')

    while True:
        data = conn.recv(1024)
        reply = 'ok...' + data
        if not data:
            break
        conn.sendall(reply)
    conn.close()

while 1:
    conn, addr = s.accept()
    print 'connected with %s : %s' %(addr[0],str(addr[1]))

    start_new_thread(clientthread, (conn,))

s.close()

直接telnet连接socket,就可以调试

telnet localhost 8888

改良版,带广播的聊天室程序server3.py

# !/usr/bin/env python
# -*- coding:utf-8-*-
__author__ = 'chen'

import socket, select

def broadcast_data(sock, message):
    for socket in CONNECTION_LIST:
        if socket != server_socket != sock:
            try:
                socket.send(message)
            except msg:
                socket.close()
                CONNECTION_LIST.remove(socket)

if __name__ == "__main__":
    CONNECTION_LIST = []
    RECV_BUFFER = 4096
    PORT = 5000
    server_socket = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    server_socket.setsockopt(socket.SOL_SOCKET, socket.SO_REUSEADDR, 1)
    server_socket.bind(('', PORT))
    server_socket.listen(5)

    CONNECTION_LIST.append(server_socket)
    print "chat server started on port %s" % str(PORT)

    while 1:
        read_sockets, write_sockets,error_sockets = select.select(CONNECTION_LIST, [], [])

        for sock in read_sockets:
            if sock == server_socket:
                sockfd,addr = server_socket.accept()
                CONNECTION_LIST.append(sockfd)
                print "client (%s, %s) connected" % addr

                broadcast_data(sockfd, "[%s:%s] entered room\n" % addr)

            else:
                try:
                    data = sock.recv(RECV_BUFFER)
                    if data:
                        print  "[%s:%s]" % (str(sock.getpeername()), data)
                        broadcast_data(sock, "[%s:%s]" % (str(sock.getpeername()), data))
                except msg:
                    print msg
                    broadcast_data(sock, "client (%s, %s) is offline "% addr)
                    print "client (%s,%s) is offline " % addr
                    sock.close()
                    CONNECTION_LIST.remove(sock)
                    continue
    server_socket.close()

客户端程序client3.py

# !/usr/bin/env python
# -*- coding:utf-8-*-
__author__ = 'chen'

import socket,select,string,sys

def prompt():
    sys.stdout.write('[you]')
    sys.stdout.flush()

if __name__ == "__main__":
    if(len(sys.argv)<3):
        print 'usage: python client3.py hostname port'
        sys.exit()

    host = sys.argv[1]
    port = int(sys.argv[2])

    s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    s.settimeout(2)

    try:
        s.connect((host, port))
    except:
        print 'unable to connect'
        sys.exit()

    print 'connected to remote host. start sending messages'
    prompt()

    while 1:
        rlist = [sys.stdin, s]

        read_list, write_list, error_list = select.select(rlist, [], [])

        for sock in read_list:
            if sock == s:
                data = sock.recv(4096)
                if not data:
                    print '\nDisconnected from chat server'
                    sys.exit()
                else:
                    sys.stdout.write(data)
                    prompt()

            else:
                msg = sys.stdin.readline()
                s.send(msg)
                prompt()

参考文献

1 Python Socket 网络编程 2 Python Socket 编程——聊天室示例程序

shadowsocks的安装和配置--在ubuntu和ubuntu中

Mon, 09 Mar 2015 22:26:21 +0000

最近我的vpn一直在抽风，几乎没法正常使用，而且我的chrome也是各种花屏，我快疯了，没办法，只能改用shadowsocks了。搭建过程分为两部分:服务端和客户端(这里是主要是ubuntu的客户端)。

1 系统环境

服务器:DigitalOcean上的Ubuntu 14.04 LTS 客户端:Ubuntu 14.04 LTS

2 服务器端安装和配置

这里主要是参考github的官方说明通过ssh登陆的服务器上去,这里不在赘述如何登陆. 以下主要针对linux服务器,windows服务器查看这里

安装

Linux不同的发行版本执行的命令如下

Debian / Ubuntu:

apt-get install python-pip
pip install shadowsocks

CentOS:

yum install python-setuptools && easy_install pip
pip install shadowsocks

配置

sudo vi /etc/shadowsocks.json

配置文件的内容大致如下:

{
    "server":"你的服务器的ip",
    "server_port":8388,
    "local_address": "127.0.0.1",
    "local_port":1080,
    "password":"你设置的密码",
    "timeout":300,
    "method":"aes-256-cfb",
    "fast_open": false
}

参数名称解释 server 安装shadowsocks服务器ip server_port 服务器端口号 local_address 本地服务器默认是127.0.0.1 local_port 本地监听的端口号 password 密码 timeout 超时时间,单位是秒 method 加密方法默认是: “aes-256-cfb"可以用其他加密方法 fast_open 是否使用TCP_FASTOPEN,默认为不使用 workers number of workers, available on Unix/Linux

运行

前台运行的命令 ssserver -c /etc/shadowsocks.json 后台运行 ssserver -c /etc/shadowsocks.json -d start ssserver -c /etc/shadowsocks.json -d stop ps:我上述两条命令都会出错,这两条命令来自官方的github,我用的是下面的 nohup ssserver -c /etc/shadowsocks.json > aa.log

开机自启

我们把它写入/etc/rc.local中就可以完成开机自启动了.

sudo vi /etc/rc.local  # 打开rc.local文件
# 然后在exit前面加入下面这一行
# nohup /usr/local/bin/ssserver -c /etc/shadowsocks.json > aa.log

ps:这里我之前犯了一个错误,没有写ssserver的绝对路径,导致开机无法自启动,但是手动执行的话,又是可以执行的

3 客户端的安装和配置

客户端按理说和服务器端类似,安装shadowsocks,但是我的就是这个出了问题.

1) 安装相关软件

shadowsocks有各种客户端版本,各个系统都有.在ubuntu下带图形化界面的有shadowsocks-qt5,还可以直接用命令行.

图形化:

sudo add-apt-repository ppa:hzwhuang/ss-qt5
sudo apt-get update
sudo apt-get install shadowsocks-qt5

*PS:*我的电脑安装这个以后,会自动卸载我的chrome *PPS:*我刚才又试了一次,我在安装了命令行模式的shadowsocks以后,现在不会卸载我的chrome,总算正常了

The following extra packages will be installed:
  libbotan-1.10-0 libqrencode3 libqtshadowsocks libzbar0
The following packages will be REMOVED:
  libbotan-1.10-0:i386 libqtshadowsocks:i386 libzbar0:i386
The following NEW packages will be installed:
  libbotan-1.10-0 libqrencode3 libqtshadowsocks libzbar0 shadowsocks-qt5
0 upgraded, 5 newly installed, 3 to remove and 19 not upgraded.
Need to get 1,280 kB of archives.
After this operation, 662 kB of additional disk space will be used.
Do you want to continue? [Y/n]

命令行模式:

sudo apt-get install python-pip python-dev build-essential 
sudo pip install  pip
sudo apt-get install python-m2crypto
sudo pip install shadowsocks

我因为之前在环境中就安装过pip,所以我只需要执行倒数第三个和第四个命令. 但是我的倒数第四个命令pip install shadowsocks一直报错:

Exception: Traceback (most recent call last):
File "/usr/lib/python2.7/dist-packages/pip/basecommand.py", line 122, in main
  status = self.run(options, args)
File "/usr/lib/python2.7/dist-packages/pip/commands/install.py", line 278, in run
  requirement_set.prepare_files(finder, force_root_egg_info=self.bundle, bundle=self.bundle) 
File "/usr/lib/python2.7/dist-packages/pip/req.py", line 1177, in prepare_files 
  url = finder.find_requirement(req_to_install, upgrade=self.upgrade) 
File "/usr/lib/python2.7/dist-packages/pip/index.py", line 256, in find_requirement
  page_versions.extend(self._package_versions(page.links, req.name.lower())) 
File "/usr/lib/python2.7/dist-packages/pip/index.py", line 432, in _package_versions 
  for link in self._sort_links(links): 
File "/usr/lib/python2.7/dist-packages/pip/index.py", line 422, in _sort_links 
  for link in links: 
File "/usr/lib/python2.7/dist-packages/pip/index.py", line 769, in links 
  for anchor in self.parsed.findall(".//a"):
AttributeError: 'Document' object has no attribute 'findall'

Storing debug log for failure in /root/.pip/pip.log

网上搜索一番,在这里找到答案. 解决方法很简单,执行easy_install pip,就ok(貌似是把pip重新安装了一次).

2) 客户端运行

shadowsocks图形化的比较简单,这里不表. 命令行模式,启动如下:

sslocal -s 服务器ip -p 8388 -k 密码

启动成功后会有如下输出:

2015-03-10 11:12:59 INFO     loading libcrypto from libcrypto.so.1.0.0
2015-03-10 11:12:59 INFO     starting local at 127.0.0.1:1080

3) 浏览器代理设置

一般来说我们不希望shadowsocks做全局的翻墙,那样,访问国内的速度也会变慢,我们在chome浏览器中安装switchysharp,来管理代理.具体设置如下所示:

enjoy it!

后记

安卓客户端安装,点我点我

参考文献

1 这是一篇好博客 http://mushapi.com/shadowsocks-install-config-using.html 2 shadowsocks使用说明 3 修复我pip问题的一个issue

致谢

这个网站可以下载google play的apk,对于我等天朝良民来说,可真是个好东西 https://apps.evozi.com/apk-downloader/?id=com.github.shadowsocks

我们家笨笨的博客弄好了,欢迎访问

kali安装后设置

Wed, 04 Mar 2015 14:14:57 +0000

kali安装好了，还有几件事要做我们用root的身份登进去系统

1 更新软件源

官方自带的软件源速度相对比较慢，资源也少一些，我们添加一些国内的源进去 vi /etc/apt/sources.list （可自由选择，不一定要全部）：

# 官方源
deb http://http.kali.org/kali kali main non-free contrib
deb-src http://http.kali.org/kali kali main non-free contrib
deb http://security.kali.org/kali-security kali/updates main contrib non-free

# 激进源，新手不推荐使用这个软件源
deb http://repo.kali.org/kali kali-bleeding-edge main
deb-src http://repo.kali.org/kali kali-bleeding-edge main

# 中科大kali源
deb http://mirrors.ustc.edu.cn/kali kali main non-free contrib
deb-src http://mirrors.ustc.edu.cn/kali kali main non-free contrib
deb http://mirrors.ustc.edu.cn/kali-security kali/updates main contrib non-free

# 阿里云kali源
deb http://mirrors.aliyun.com/kali kali main non-free contrib
deb-src http://mirrors.aliyun.com/kali kali main non-free contrib
deb http://mirrors.aliyun.com/kali-security kali/updates main contrib non-free

保存之后运行： apt-get update # 刷新系统 apt-get dist-upgrade # 安装更新

2 安装中文输入法和字体

安装字体 apt-get install ttf-wqy-microhei ttf-wqy-zenhei 执行以下命令 apt-get install fcitx fcitx-googlepinyin

3 安装vpn

kali默认情况下vpn是无法使用的，需要安装相关组件

apt-get install network-manager-openvpn
apt-get install network-manager-openvpn-gnome
apt-get install network-manager-pptp
apt-get install network-manager-pptp-gnome
apt-get install network-manager-strongswan
apt-get install network-manager-vpnc
apt-get install network-manager-vpnc-gnome
/etc/init.d/network-manager restart

4 网卡管理显示“device not managed”

vi /etc/NetworkManager/NetworkManager.conf 修改managed=false为managed=true 然后重启网络管理 service network-manager restart

5 安装chrome浏览器

apt-get install google-chrome-unstable

kali和ubuntu双系统安装

Tue, 03 Mar 2015 21:17:41 +0000

时间忽快忽慢，一转眼，年过完了，又回来学校了，又一个多月没有push了，重新回到github。今天我们家笨笨给我找了点kali的资料，索性就把kali捡起来，第一步安装kali的系统。此处背景不再介绍，直奔主题。kali的安装过程和ubuntu的安装过程类似，应该说原理上是一模一样的，只是界面有些不同。我的电脑当前已经安装了win8和ubuntu，现在需要再加一个kali的系统，三系统共存。大体分为如下几个步骤：

1 下载kali镜像

2 刻录u盘

3 安装kali

1 下载kali镜像

这步很简单，我们去kali的官网下载https://www.kali.org/downloads/,下载对应的版本。我这里下载的是第一个64位版本（http://cdimage.kali.org/kali-1.1.0/kali-linux-1.1.0-amd64.iso）,因为是在ubuntu下，我们可以顺手校验一下文件的hash值，防止文件损坏。在终端中输入 sha1sum /home/chen/kali-linux-1.1.0-amd64.iso 查看输出是否是40a1fd1d4864e7fac70438a1bf2095c8c1a4e764，若正确，则第一步完成。

2 刻录u盘

如果采用硬盘安装的话，我们需要在win下面操作，使用easybcd来编辑grub引导，还需要解压文件，相对比较麻烦，我这里采用u盘安装，相对比较简单。和安装ubuntu不同，我之前在win下用UltraISO来刻录, 如图所示，便捷启动是可以不修改的，直接默认，点击写入就行。我今天在刻录kali的时候，发现这样写的u盘无法启动，开机的时候会提示failed to boot from USB disk with error: gfxboot.c32: not a COM32R Image boot:的错误。解决方法有两个 1 linux的用mkusb，windows的用Win32DiskImager 来制作U盘启动具体用法： https://wiki.ubuntu.com/Win32DiskImager/iso2usb https://help.ubuntu.com/community/mkusb 2 在win下用UltraISO来刻录，记得更改便捷启动的设置，如图所示，点击便捷启动->选择写入新的启动器引导扇区——>syslinus——>写入

我采用的是法一，我在ubuntu中用mkusb来刻录

3 安装kali

下面开始安装kali（以下图片是我用virtualbox虚拟机中安装拍摄的）

1 引导成功以后，开机画面如图所示

我们选择Graphical install,图形化安装，也可以选择install那是文字界面安装

2 选择语言，地区

语言：选择 chinese（simplified）简体中文 地区：选择 中国

3 配置网络名称和domain

这个代表你的电脑在网络上的名称，比如win默认的就是pc-2000123131，也就是别人在网上邻居中看到你的电脑的名称。我们就用默认的localhost domain我们留空不管他，下一步

4 设置root密码

我们设置两次一样的密码就行，不要忘记了

5 磁盘分区

我们选择第三项手动 分区，这里我们一共分三个区，一个300M的/boot分区，一个2048M的swap分区，其他的分为一个/（你也可以把/home单独分区出来），因为分区方法类似，所以我只讲一个/boot和swap分区的步骤 boot分区 注意:选择可启动标志，我们只有/boot设置为开，其他分区的这个选项都是关 设置完成后，选择分区设定结束，点击继续

交换空间 注意:交换空间是一种文件类型，其他的分区是属于载点 设置完成后，选择分区设定结束，点击继续

等分区完成，就选择分区设定结束并将修改写入磁盘，点击继续，就开始安装kali

6 启动引导

当系统快安装完成的时候，会出现grub安装的选择,如图所示

因为我的系统是win8和ubuntu和kali多系统共存，当前是由win来引导（当前系统由谁引导就看开机看到的第一个系统选择是谁的，如果是红色的ubuntu选项，那就说明由ubuntu引导）。我这里选择否的话，那么我就需要去win里面手动添加kali的引导（使用easybcd来操作）。如果你是ubuntu来引导系统的话，一样需要手动去添加kali的引导（这里我还不会）。所以我选择是，这样装完三个系统都可以正常开机了。

到此所有的安装结束。

参考文献

1 安装kali 系统 http://blog.sina.com.cn/s/blog_779dcd090102va9c.html 2 kali系统安装图文教程，kali系统安装图文

致谢

这里，要感谢我最亲爱的笨笨http://huirong.github.io

Linux下使用github

Mon, 19 Jan 2015 00:53:48 +0000

我的惰性真是病入膏肓了，已经整整3周没有在github上提交东西了，今天看了《模拟游戏》，索性又捡起来了。下面来总结一下linux下github的使用，也算是给自己一个备份，因为我自己也是老忘记。

使用环境：Ubuntu 14.04

1 安装git相关软件

我的Ubuntu里面没有自带git相关软件，所以我们首先需要安装它，很简单。

sudo apt-get install git

2 初始化git的设置

接下来，进行初始化设置，也就是设置你的github账号和密码

git config --global user.name "zhangsan"# 其中的“zhangsan”输入的就是你注册时候的用户名，这步是设置你提交时候默认的用户名
# 之后设置提交时候默认的邮箱，在命令行输入：
git config --global user.email "haha@qq.com"
# 其中的“haha@qq.com”就是你注册时候用的邮箱，当然也可以用别的邮箱，用别的邮箱的时候你必须在github的主页上设置里面把用的邮箱添加进去

3 开始使用github

1 首先你的github上应该有一个库，如果没有的话，就去github网站上新建一个库，或者fork一个别人的项目，以下的操作都是建立在这个基础上，假设存在一个库https://github.com/Jackroyal/test.git. 如果你的github上已经有库了，可以忽略第1步直接进入第2步 2 我们在本地新建一个文件夹(命名随你便，我取名叫做test_git)

mkdir test_git

3 将远程的库复制下来，我们使用git clone命令来完成

# 如果你的环境不在test_git目录
# cd test_git
# 如果在test_git中
git clone https://github.com/Jackroyal/test.git# 他会在你的本地新建一个test文件夹
cd test
# 接下来新建一个测试文件
touch test.md
# 修改测试文件的内容
vi test.md
# 提交刚才所做的更改
git add .
git commit -m "首次提交"

3 push提交到github

git remote add origin https://github.com/Jackroyal/test.git
git push

之后会提示你输入用户名密码，你输入你github账号和密码就行了打完收工，睡觉后面会陆续介绍hexo在Linux下的使用

参考文献

1 ubuntu 下 github 简单的使用教程 2 Github入门级使用攻略

Linux on 搁浅St的blog

修复ubuntu终端中文显示和输入的问题

1 目标

2 环境

3 修改配置

3.1 服务器编码配置

3.2 本地配置

3.3 编码转换

参考文献

将hexo部署到自己的个人服务器上

1 ugly的解决办法

2 完美的搞法

2.1 在vps上安装git

2.2 创建git用户

2.3 设置密码登录

2.4 配置ssh证书

2.4.1 生成ssh证书

2.4.2 上传公钥

2.4.3 测试ssh连接

2.4.4 ssh测试失败

2.4.4.1 客户端ssh配置

2.4.4.2 服务器ssh配置

2.5 配置服务器git仓库

2.6 修改hexo的配置文件

参考文献

Nginx上多站点的https配置

1 环境和目标

2 证书

2.1 安装acme.sh

2.2 生成证书

2.3 安装证书

3 修改Nginx配置

4 修改http资源为https

5 问题和优化

参考文献

在ubuntu上安装和配置Nginx

1 系统环境

2 系统安装

3 修改DNS配置

4 本站目录设置

5 结尾

HTTP1.0和HTTP1.1的区别

1 长连接

2 host头域

3 请求方法

4 内容长度

5 缓存

参考文献

digitalocean下ubuntu切换内核,使用锐速

实验环境：

实验步骤

参考文献

git使用笔记(2)

撤销操作

1 撤销工作空间最近的修改

2 撤销暂存区最近的修改

3 撤销提交到本地仓库的修改

1.3.1 方案一 再新建一次提交

3.3 方案三 修改最后一次提交

4 总结

附言

友情链接

git使用笔记(1)

准备条件

1 初始化git设置

2 新建第一个仓库

2.1 完全新建一个仓库

2.2 克隆一个现有仓库

3 提交更新

3.1 提交工作空间文件到暂存区

3.2 将暂存区文件保存到本地仓库

3.3 将本地仓库内容提交到远程仓库

友情链接

ubuntu 14.04 安装denyhosts

起因

安装

1、下载源码包,解压源码包

2、安装部署

3、编辑配置文件denyhosts.cfg

4、编辑配置文件daemon-control

1.3.1 方案一再新建一次提交

3.3 方案三修改最后一次提交