公司还有个同事没阳，但是小朋友昨天阳了。对于没阳过的人，口罩是保护自己。对于阳过的人，如果担心复阳，越阳越差的传言，那也是保护自己。

搬瓦工美国第一次用就已经不行，电信 ip 同样不行，够狠。只闻其声，不见其影。

这是他妈的什么爱情，哈哈。我看得都想笑，小朋友闹家家?情绪这么不稳定。。。

从 2014 年用到至今的用户，你说稳不稳。
经验还是得传授一下不然都搞不清楚问题在哪。

1 。搬瓦工只有一个问题不能烂用 cpu 不然会被限制，限制以后是否会导致服务进程崩溃不确定，我就是那个以前一直在 vps 编绎 openwrt 的人。。。直到今年才用虚拟机解决。
2 。出问题先 ssh 登录用 ps -aux|grep apache 判定相应的服务进程是否存在。
*/1 * * * * /patch/sh/stunnelcheck.sh

stunnelcheck.sh
#!/bin/sh
PATH=/bin:/usr/bin:/sbin:/usr/sbin

#num=`pidof sslh-select|awk '{printf "%s ",$3}'`

num=`pidof stunnel|tr ' ' '\n'|wc -l`
if [ "$num" -lt "2" ]; then
/patch/stunnel.sh &
echo "`(date +"%m/%d/%Y %T")` stunnel restart successfully_" >> /tmp/log
fi

#以上我认为是真正属于搬瓦工的问题

3 。曾经的 ss ，这软件我在 2015 年 1 月 1 日就弃用了。因为 socks5 是能远程 dns 解析的，可是这个软件当天出问题了。
至于 SS 后继的问题就是被人反应烂发邮件，原因未知。从那一刻起就把所有的有可能的端口都 DROP 就是防止好心办坏事。
-A OUTPUT -p tcp -m multiport --dports 24,25,50,57,105,106,109,110,143,158,209,218,220,465,587 -j DROP
-A OUTPUT -p udp -m multiport --dports 24,25,50,57,105,106,109,110,143,158,209,218,220,465,587 -j DROP
-A OUTPUT -p tcp -m multiport --dports 21,22,23,993,995,1109,24554,60177,60179 -j DROP
-A OUTPUT -p udp -m multiport --dports 993,995,1109,24554,60177,60179,61234 -j DROP

4 。好人做不得，以前喜欢在这里分享自己的服务器，结果这里有很多坏人直接就进行 DDOS 被搬瓦工判定下线。

5 。IBM 曾经有个广告大意是服务器上一张图片都能导致服务器流量浪费。更直接的情况就是有些分享固件的朋友被人用脚本恶意下光流量。
所以还需要花时间去了解 iptables quota 的使用，防止服务器被人恶意下爆。

6 。网络扫描也是让人烦恼，那就做陷阱让它来踩
-A INPUT -i eth0 -m recent --update --name hack --mask 255.255.255.255 --rsource -j DROP
-A INPUT -i eth0 -p udp -m multiport --dports 80,161,1863,5060 -m state --state NEW -m recent --set --name hack --mask 255.255.255.255 --rsource -j DROP
-A INPUT -i eth0 -p tcp -m multiport --dports 20,23,25,53,110,135,137:139,161,445,1080,2323,3128,3306,3389 -m state --state NEW -m recent --set --name hack --mask 255.255.255.255 --rsource -j DROP

7 。电信线路问题，之前的电信线路存在高速到只有 10KB/s 的变化过程。当然这是好多年的事情了，家里是有公网 ip 的而且每天都定时更换不同的 ip 。但是即便这样，在判断完服务器服务进程都正常的情况，依然换了 3 个不同公网 ip 都访问不了。当然第 4 个就解决了，所以有条件还是得多方判定，到底是电信的问题还是墙的问题，有条件还是是得建立多地代理，此路不通还有其它路。让条条大路通搬瓦工。

8 。技术要过关，怀疑电信线路有累积流量问题。那就
iptables -t nat -A PREROUTING -i eth0 -p tcp -m multiport --dports 123,234,345 -j REDIRECT --to-ports 456
然后本地使用 cron 来随机连接不同端口来解决流量累积问题

搬瓦工还有一个问题，有些 ip 确实性能不行。在 2018 年尝试换了一个 144.34 开头的 ip ，就一直从 2018 年用到至今了。用的 DC2 QNET 。

昨天我也这么觉得，
可是

Access denied
You do not have access to chat.openai.com.

The site owner may have set restrictions that prevent you from accessing the site.

Ray ID: 79a16c049b3d2f52
Timestamp: 2023-02-15 22:18:53 UTC

iptables -p tcp -s 电视 ip -d 升级 ip -j REJECT --reject-with tcp-reset
iptables -s 电视 ip -d 升级 ip -j REJECT --reject-with icmp-net-unreachable

这种对于 openwrt 就简单了
直接 dnsmasq
address=/qq.com/127.0.01 #这个地址还是是比 0.0.0.0 更可靠，消亡时间更快。之前是解决 office2016 升级用。

其它的就是对电视进行分析它连哪些外部 ip 域名，然后用 nslookup 之类的取得 ip 。以目前 CDN 的存在这种方式误伤率相当高的。又是 dnsmasq 更灵活调用 ipset ，ipset=/qq.com/BdstIP
然后
iptables -p tcp -s 电视 ip -d 升级 ip -j -j REJECT --reject-with tcp-reset
iptables -s 电视 ip -d 升级 ip-j REJECT --reject-with icmp-net-unreachable

哈哈，ros 真看不上。哪有原生 linux 好用。随便搞个优酷 yk1 也能跑满 100mbps 。没有 1000mbps 带宽，不知道 erx 能带多大的带宽。

腾讯有人工？
话说现在都要手机登录。之前一个用了 22 年的 qq 至今密码正常，看似也就几个月不登录。能登录 qqmail ，可是这个狗屎腾讯就是手机要扫码验证验证来验证去进入死循环就是没有应有的寻回过程，登录不了自己的 qq 号。这个 7 位的号就这样寻不回来了。
我就是在侮辱腾讯程序员的智商。

之前笔记本使用外接 dpi 接口显示器遇到，不一定通用。
大意是 windows 如果不能正常侦测，关机时会记住最后一次状态。所以预先用
displayswitch /internal 再 shutdown
当然有时还是得按笔记本电源键休眠再打开才能亮。系统装了 benq 的显示器驱动。
之前重装，拔电池都不能解决，现在只能说找到怎么让它亮起来的方法，至今没完美解决。

这种要嘛牙疼要嘛身体过度劳累。我的方法就是刷牙时洒点盐，既可以当磨擦剂又可以消炎。最夸张的时候牙疼用金银花都压不住。可是用盐刷了，不冲，2 天就好了。

哈哈，穷人的方法。。。

其实之前使用移动 4G 路由，针对这种问题最好的解决方案就是

使用 softether 将 vps 和公司的网络直接做 L2 级联桥接，然后分别桥接到 wlanx 接口。就可以简化使用人员的难度，直接给他一个刷了 openwrt 的设备，他通过连接不同的 SSID ，就可以接入不同的内网，而无需要关注其它设置上的问题。

国内使用没有任何限制，可以 l2tp+openvpn+自带客户端。

之前是电信联通网络不通，晚上高峰 10~50KB/s ，甚至不是本市直联，跑到省会城市中转。

这些年基本上家里的 mtk7620 路由连接移动专线 erx TAP 接口，l2tp 在 2.5MB/s 。也就是国内网间应该是没有限制了。

过墙就不好说了。去年 10 月份开始出现疑似端口流量累积限制，现在路由每 30 分钟更换连接服务器端的端口，再加上它是可以级联到其它线路进行借道。真正的是条条大路通罗马，四通八达。。。

softether 最好的 VPN 。

忘了还有 stunnel,目前用 haproxy 端口复用在 tcp80 。这么多年就剩下 softether+stunnel 了，直接可以安装在 openwrt 路由，其它的都是旁门左道软件。。。不知所谓的实现。。。

Softether 才是针对墙设计的。它能做到直联 /借助中间网络，条条大路通罗马。当然从去年开始已经变成 30 分钟连接不同端口，电信公网依然是 24x7 稳定。
其它就是看看国外的社区 mesh 固件，可以在 tplink 像 tl wdr4310 直接连到德国的社区。

Openwrt 默认 dnsmasq 应该是没啥好调节的。
不过我自己倒是去了 ipv6 支持，包括 ifconfig 里 ipv6 地址。
能 ping ，nslookup 不了 dns 服务器还是应该检查一下网络配置，dns 服务器到底是网关还是外部服务器。

长年用下面的方法拦截任何不使用网关的 dns 查询，才能使用 dnsmasq 对 dns 的一些控制。
iptables -t nat -A prerouting_rule -s 192.168.0.0/16 -p udp -m udp --dport 53 -j DNAT --to-destination 192.168.8.253

这个软件给我的困扰就是开机后台加载了进程，前台却看不到窗口。找个时间看能不能不让自动加载，或者一了百了直接删除

懂啥？
追女人不付出，别人一说你就打退堂鼓，下一个呢？
少聊天多出来动动。