近期发现Ubuntu基于ip rule add fwmark … lookup …所做的策略路由无法正常使用，而Debian正常。抓包的特征就是，出网数据包能应用到策略路由，也能抓到回应的数据包，但回应的数据包被内核丢弃，不会送达user space。 而ip rule add from … lookup …则正常。 查找资料得知是rp_filter的影响（见此：https://www.kernel.org/doc/Documentation/networking/ip-sysctl.txt），继而发现Ubuntu的/etc/sysctl.d是有 […]
分类：操作系统
Linux Policy-based site-to-site IPsec VPN动态IP的配置及内网穿透的应用（StrongSwan）
上一篇文章提到了一点StrongSwan的配置。 本文继续使用StrongSwan。 StrongSwan的left和right是支持使用域名的，利用此可以实现动态IP的支持；上一篇文章用了type=transport模式转发UDP端口构建L2TPv3，如果没有L2组网的需求，其实可以直接利用type=tunnel模式实现L3转发。 网络拓扑： 上图中的路由器lan-router1和lan-router2都是通过pppoe接入互联网的，域名lan-router1.router和lan-router2.router通过ddns分别解析到了各自pppoe0的IP地址上；server1和server […]
Linux L2TPv3以及ip-xfrm的配置
L2TPv3：http://man7.org/linux/man-pages/man8/ip-l2tp.8.html ip-xfrm：http://man7.org/linux/man-pages/man8/ip-xfrm.8.html 这两个都是kernel内置的功能，通过这两个可以直接构建加密的VPN。 本文尝试使用ip-xfrm创建加密的隧道，并基于此隧道构建L2TPv3 VPN。 1. 生成密钥与ID 不使用StrongSwan，手动配置ip-xfrm时需要用到：
|
1 2 3 4 |
HASH_KEY=0x`dd if=/dev/urandom count=32 bs=1 2> /dev/null | xxd -p -c 64` ENCRYPT_KEY=0x`dd if=/dev/urandom count=32 bs=1 2> /dev/null | xxd -p -c 64` ID=0x`dd if=/dev/urandom count=4 bs=1 2> /dev/null | xxd -p -c 8` echo -e "HASH_KEY=${HASH_KEY}\nENCRYPT_KEY=${ENCRYPT_KEY}\nID=${ID}" |
复制上面四行命令后输出的内容，粘贴到left和right […]
[Updated] libvirt & qemu change VNC password without restart
文章【libvirt & qemu无需重启（在线）更改VNC密码】已于2019-02-17更新。 有两个方法，一个是通过libvirt的virDomainUpdateDeviceFlags接口，另一个是通过qemu-monitor。 以下把“DOMAIN_NAME”替换为虚拟机的名称，“YOU_NEW_VNC_PASSWORD”替换为你的新密码。 通过virDomainUpdateDeviceFlags接口 使用libvirt管理虚拟机的情况下，这个方法是首选，libvirt官方是不推荐使用了libvirt的情况下操纵qemu-monitor的。 首先编写VNC graphic的XML […]
qemu with pool/volume storage: Could not open ‘xxxxxxx’: Permission denied
volume信息：
|
1 2 3 4 |
# virsh vol-list test Name Path ------------------------------------------------------------------------------ test.qcow2 /virt/test.qcow2 |
虚拟机disk配置：
|
1 2 3 4 5 6 7 8 9 |
# virsh dumpxml Test ... <disk type='volume' device='disk'> <driver name='qemu' type='qcow2'/> <source pool='test' volume='test.qcow2'/> <target dev='vda' bus='virtio'/> <address type='pci' domain='0x0000' bus='0x00' slot='0x04' function='0x0'/> </disk> ... |
启动虚拟机：
|
1 2 3 |
# virsh start Test error: Failed to start domain Test error: internal error: process exited while connecting to monitor: 2019-02-06T12:54:47.722297Z qemu-system-x86_64: -drive file=/virt/test.qcow2,format=qcow2,if=none,id=drive-virtio-disk0: Could not open '/virt/test.qcow2': Permission denied |
查看syslog：
|
1 2 3 4 |
# cat /var/log/syslog ... kernel: [ 6551.331932] audit: type=1400 audit(1549457961.800:209): apparmor="DENIED" operation="open" profile="libvirt-5831a051-78ee-43b4-a15d-6e520b1b3ab7" name="/virt/test.qcow2" pid=27204 comm="qemu-system-x86" requested_mask="r" denied_mask="r" fsuid=0 ouid=0 ... |
似乎没找比较好的方法解决此问题。 一个选择是弃用type=’volume’，改成type=’file’。 另一种选择是关闭apparmor：
|
1 2 3 4 5 |
# vim /etc/libvirt/qemu.conf ... security_driver = "none" ... # systemctl restart libvirtd |
&n […]
libvirtd: virNetTLSContextValidCertificate:994 : Unable to verify TLS peer: No certificate was found.
|
1 2 3 |
Jan 29 06:20:12 debian libvirtd[3363]: 2019-01-29 11:20:12.116+0000: 3363: error : virNetTLSContextValidCertificate:994 : Unable to verify TLS peer: No certificate was found. Jan 29 06:20:12 debian libvirtd[3363]: 2019-01-29 11:20:12.116+0000: 3363: warning : virNetTLSContextCheckCertificate:1125 : Certificate check failed Unable to verify TLS peer: No certificate was found. Jan 29 06:20:12 debian libvirtd[3363]: 2019-01-29 11:20:12.116+0000: 3363: error : virNetTLSContextCheckCertificate:1128 : authentication failed: Failed to verify peer's certificate |
使用TLS连接libvirtd时，默认需要验证客户端是否拥有由CA签名的证书，详见libvirtd配置文件（/etc/libvirt/libvirtd.conf）：
|
1 2 3 4 5 6 7 8 9 |
# Flag to disable verification of client certificates # # Client certificate verification is the primary authentication mechanism. # Any client which does not present a certificate signed by the CA # will be rejected. # # Default is to always verify. Uncommenting this will disable # verification - make sure an IP whitelist is set #tls_no_verify_certificate = 1 |
取消此行的注释即可关闭此验证（当然你得启用其它身份认证途径）：
|
1 |
#tls_no_verify_certificate = 1 |
也可选择以让CA给客户端签发证书：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 |
# 自行修改CA私钥与证书的路径 CA_KEY_FILE_PATH="/etc/pki/libvirt/private/cakey.pem" CA_CERTIFICATE_FILE_PATH="/etc/pki/CA/cacert.pem" # 客户端私钥，CSR，证书保存路径 PKI_PREFIX="/tmp/client_pki/" CLIENT_PRIVATE_KEY_FILE_PATH="${PKI_PREFIX}/clientkey.pem" CLIENT_CSR_FILE_PATH="${PKI_PREFIX}/clientcsr.pem" CLIENT_CERTIFICATE_FILE_PATH="${PKI_PREFIX}/clientcert.pem" oldUmask=$(umask) umask 0077 mkdir -p ${PKI_PREFIX} # 生成客户端私钥 openssl genrsa -out ${CLIENT_PRIVATE_KEY_FILE_PATH} 2048 # 生成客户端CSR，根据自己需要自行修改subjects openssl req -new -key ${CLIENT_PRIVATE_KEY_FILE_PATH} -subj "/C=CN/ST=China/L=China/O=China/OU=China/CN=ClientCommonName" -out ${CLIENT_CSR_FILE_PATH} # CA通过CSR签发证书，根据需要自行修改有效期 openssl x509 -req -in ${CLIENT_CSR_FILE_PATH} -CA ${CA_CERTIFICATE_FILE_PATH} -CAkey ${CA_KEY_FILE_PATH} -CAcreateserial -out ${CLIENT_CERTIFICATE_FILE_PATH} -days 3650 # 把CA证书放进去 cat ${CA_CERTIFICATE_FILE_PATH} > ${PKI_PREFIX}/cacert.pem umask ${oldUmask} # 把${PKI_PREFIX}传送到客户端 # scp -r ${PKI_PREFIX} username@host:~/libvirt-server-pki |
完成上面的操作后，把整个${PKI_PRE […]
gnome-terminal: Error creating terminal: Timeout was reached
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 |
$ gnome-terminal --disable-factory # Error creating terminal: Timeout was reached $ tail /var/log/syslog Jan 9 15:11:32 mint dbus-daemon[1594]: [session uid=1000 pid=1594] Activating via systemd: service name='org.a11y.Bus' unit='at-spi-dbus-bus.service' requested by ':1.73' (uid=1000 pid=2265 comm="/usr/lib/gnome-terminal/gnome-terminal-server --ap" label="unconfined") Jan 9 15:11:32 mint systemd[1515]: Starting Accessibility services bus... Jan 9 15:11:32 mint at-spi-bus-launcher[2266]: No protocol specified Jan 9 15:11:32 mint dbus-daemon[1594]: [session uid=1000 pid=1594] Successfully activated service 'org.a11y.Bus' Jan 9 15:11:32 mint systemd[1515]: Started Accessibility services bus. Jan 9 15:11:32 mint at-spi-bus-launcher[2266]: No protocol specified Jan 9 15:11:32 mint at-spi-bus-launcher[2266]: dbus-daemon[2271]: Activating service name='org.a11y.atspi.Registry' requested by ':1.0' (uid=1000 pid=2265 comm="/usr/lib/gnome-terminal/gnome-terminal-server --ap" label="unconfined") Jan 9 15:11:32 mint at-spi-bus-launcher[2266]: No protocol specified Jan 9 15:11:32 mint at-spi2-registr[2273]: Could not open X display Jan 9 15:11:32 mint at-spi-bus-launcher[2266]: dbus-daemon[2271]: Successfully activated service 'org.a11y.atspi.Registry' Jan 9 15:11:32 mint at-spi-bus-launcher[2266]: SpiRegistry daemon is running with well-known name - org.a11y.atspi.Registry Jan 9 15:11:32 mint at-spi-bus-launcher[2266]: No protocol specified Jan 9 15:11:32 mint at-spi2-registr[2273]: AT-SPI: Cannot open default display Jan 9 15:11:32 mint dbus-daemon[1594]: [session uid=1000 pid=1594] Activating via systemd: service name='org.freedesktop.portal.Desktop' unit='xdg-desktop-portal.service' requested by ':1.75' (uid=1000 pid=2265 comm="/usr/lib/gnome-terminal/gnome-terminal-server --ap" label="unconfined") Jan 9 15:11:32 mint systemd[1515]: Starting Portal service... Jan 9 15:11:32 mint dbus-daemon[1594]: [session uid=1000 pid=1594] Activating via systemd: service name='org.freedesktop.portal.Documents' unit='xdg-document-portal.service' requested by ':1.77' (uid=1000 pid=2278 comm="/usr/lib/xdg-desktop-portal/xdg-desktop-portal " label="unconfined") Jan 9 15:11:32 mint systemd[1515]: Starting flatpak document portal service... Jan 9 15:11:32 mint dbus-daemon[1594]: [session uid=1000 pid=1594] Activating via systemd: service name='org.freedesktop.impl.portal.PermissionStore' unit='xdg-permission-store.service' requested by ':1.78' (uid=1000 pid=2282 comm="/usr/lib/xdg-desktop-portal/xdg-document-portal " label="unconfined") Jan 9 15:11:32 mint systemd[1515]: Starting sandboxed app permission store... Jan 9 15:11:32 mint dbus-daemon[1594]: [session uid=1000 pid=1594] Successfully activated service 'org.freedesktop.impl.portal.PermissionStore' Jan 9 15:11:32 mint systemd[1515]: Started sandboxed app permission store. Jan 9 15:11:32 mint at-spi-bus-launcher[2266]: dbus-daemon[2271]: Activating service name='org.a11y.atspi.Registry' requested by ':1.2' (uid=1000 pid=2277 comm="/usr/bin/gnome-terminal.real --app-id com.canonica" label="unconfined") Jan 9 15:11:32 mint dbus-daemon[1594]: [session uid=1000 pid=1594] Successfully activated service 'org.freedesktop.portal.Documents' Jan 9 15:11:32 mint systemd[1515]: Started flatpak document portal service. Jan 9 15:11:32 mint at-spi-bus-launcher[2266]: No protocol specified Jan 9 15:11:32 mint at-spi2-registr[2290]: Could not open X display Jan 9 15:11:32 mint at-spi-bus-launcher[2266]: dbus-daemon[2271]: Successfully activated service 'org.a11y.atspi.Registry' Jan 9 15:11:32 mint at-spi-bus-launcher[2266]: SpiRegistry daemon is running with well-known name - org.a11y.atspi.Registry Jan 9 15:11:32 mint at-spi-bus-launcher[2266]: No protocol specified Jan 9 15:11:32 mint at-spi2-registr[2290]: AT-SPI: Cannot open default display Jan 9 15:11:32 mint dbus-daemon[1594]: [session uid=1000 pid=1594] Activating via systemd: service name='org.freedesktop.impl.portal.desktop.gtk' unit='xdg-desktop-portal-gtk.service' requested by ':1.77' (uid=1000 pid=2278 comm="/usr/lib/xdg-desktop-portal/xdg-desktop-portal " label="unconfined") Jan 9 15:11:32 mint systemd[1515]: Starting Portal service (GTK+/GNOME implementation)... Jan 9 15:11:32 mint xdg-desktop-portal-gtk[2306]: No protocol specified Jan 9 15:11:32 mint xdg-desktop-portal-gtk[2306]: Unable to init server: Could not connect: Connection refused Jan 9 15:11:32 mint [2306]: cannot open display: :0 Jan 9 15:11:32 mint systemd[1515]: xdg-desktop-portal-gtk.service: Main process exited, code=exited, status=1/FAILURE Jan 9 15:11:32 mint systemd[1515]: xdg-desktop-portal-gtk.service: Failed with result 'exit-code'. Jan 9 15:11:32 mint systemd[1515]: Failed to start Portal service (GTK+/GNOME implementation). Jan 9 15:11:57 mint xdg-desktop-por[2278]: Failed to create file chooser proxy: Error calling StartServiceByName for org.freedesktop.impl.portal.desktop.gtk: Timeout was reached Jan 9 15:11:57 mint xdg-desktop-por[2278]: g_dbus_interface_skeleton_set_flags: assertion 'G_IS_DBUS_INTERFACE_SKELETON (interface_)' failed Jan 9 15:11:57 mint xdg-desktop-por[2278]: invalid (NULL) pointer instance Jan 9 15:11:57 mint xdg-desktop-por[2278]: g_signal_connect_data: assertion 'G_TYPE_CHECK_INSTANCE (instance)' failed Jan 9 15:11:57 mint xdg-desktop-por[2278]: g_dbus_interface_skeleton_export: assertion 'G_IS_DBUS_INTERFACE_SKELETON (interface_)' failed Jan 9 15:11:57 mint kernel: [ 230.225288] show_signal_msg: 18 callbacks suppressed Jan 9 15:11:57 mint kernel: [ 230.225292] xdg-desktop-por[2278]: segfault at 8 ip 0000556bffa8c7c8 sp 00007ffe13916dd0 error 4 in xdg-desktop-portal[556bffa79000+7c000] Jan 9 15:11:57 mint at-spi-bus-launcher[2266]: dbus-daemon[2271]: Activating service name='org.a11y.atspi.Registry' requested by ':1.0' (uid=1000 pid=2265 comm="/usr/lib/gnome-terminal/gnome-terminal-server --ap" label="unconfined") Jan 9 15:11:57 mint at-spi-bus-launcher[2266]: No protocol specified Jan 9 15:11:57 mint at-spi2-registr[2312]: Could not open X display Jan 9 15:11:57 mint at-spi-bus-launcher[2266]: dbus-daemon[2271]: Successfully activated service 'org.a11y.atspi.Registry' Jan 9 15:11:57 mint at-spi-bus-launcher[2266]: SpiRegistry daemon is running with well-known name - org.a11y.atspi.Registry Jan 9 15:11:57 mint at-spi-bus-launcher[2266]: No protocol specified Jan 9 15:11:57 mint at-spi2-registr[2312]: AT-SPI: Cannot open default display Jan 9 15:11:57 mint at-spi-bus-launcher[2266]: dbus-daemon[2271]: Activating service name='org.a11y.atspi.Registry' requested by ':1.0' (uid=1000 pid=2265 comm="/usr/lib/gnome-terminal/gnome-terminal-server --ap" label="unconfined") Jan 9 15:11:57 mint at-spi-bus-launcher[2266]: No protocol specified Jan 9 15:11:57 mint at-spi2-registr[2314]: Could not open X display Jan 9 15:11:57 mint at-spi-bus-launcher[2266]: dbus-daemon[2271]: Successfully activated service 'org.a11y.atspi.Registry' Jan 9 15:11:57 mint at-spi-bus-launcher[2266]: SpiRegistry daemon is running with well-known name - org.a11y.atspi.Registry Jan 9 15:11:57 mint at-spi-bus-launcher[2266]: No protocol specified Jan 9 15:11:57 mint at-spi2-registr[2314]: AT-SPI: Cannot open default display Jan 9 15:11:57 mint systemd[1515]: xdg-desktop-portal.service: Main process exited, code=dumped, status=11/SEGV Jan 9 15:11:57 mint systemd[1515]: xdg-desktop-portal.service: Failed with result 'core-dump'. Jan 9 15:11:57 mint systemd[1515]: Failed to start Portal service. |
Fix:
|
1 2 |
$ dbus-update-activation-environment --systemd DBUS_SESSION_BUS_ADDRESS DISPLAY XAUTHORITY $ gnome-terminal --disable-factory |
References: Gnome applications slow start due to failing services
Cygwin/X X Server TCP direct connection
网络上大都是SSH X11 Forward的资料，鲜有Client直连Server的，某些环境下，还是希望能直接一点。 安装Cygwin/X 首先要安装Cygwin/X，具体步骤，官方文档已经写得很清楚了：Installing Cygwin/X。 启动Cygwin/X X Server Cygwin/X X Server默认仅监听Unix Socket，非本地的Client连接需要启用TCP协议，加入启动参数”-listen tcp”即可，详见官方文档：xserver-nolisten-tcp-default。 可以通过修改快捷方式XWin Server加入该启动参数： […]
东莞城院校园网 – 网络共享限制解除工具
刚考完试那天，学校新版的网络刚好部署到了我的宿舍区，当天探究了一下，有了点发现，不过刚考完试，浪了好久，所以现在才弄。 来看本文的，相信都懂什么情况，我废话也少说。 注意事项 程序目前是预览版，校园网共享的检测也不好触发，因此未经我长时间测试，不保证效果，有兴趣，有需要的欢迎尝试使用，遇到问题可在本文留言或在GITHUB上提交ISSUE。 程序需要一直运行才能解除限制，且只能解除运行了此程序的计算机的限制，也就是说，你在你的Windows计算机上运行了此程序，和你使用同一个网络，但未运行此程序的计算机理论上还会受到限制，但即使使用了相同网络的其它设备受到了限制，运行了此程序的计算 […]
Windows远程桌面自定义证书
首先准备需要使用的证书，如果证书不是PKCS #12格式的，需要先转换，可以通过OpenSSL完成：
|
1 |
openssl pkcs12 -export -out <OUTPUT_FILE>.pfx -inkey <INPUT_KEY_FILE>.key -in <INPUT_CERTIFICATE_FILE>.cer |
执行certlm.msc（注意不是certmgr.msc），打开本地计算机的证书管理器： 转到个人证书，在窗口右边空白处右键 – 所有任务 – 导入： 然后选择PKCS #12格式的证书文件进行导入。 导入完毕后，在证书列表双击导入后的证书，查看其指纹，并复制： 接下来以管理员身份执行cmd或者powershell，执行命令： [crayon-5e2615a6650f59303 […]