不习惯本地 isp 以外的 dns ，用 chinadns 上游使用本地 dns 时会出现两种情况，敏感域名返回国内 百度或者阿里的 ip ，不敏感域名仅是封锁 ip ，这种情况 chinadns 失效了。

使用 ipset 载入 g f w list 黑名单也是有些问题的，比如 android 下的 google play 看不到图片，有部分 ip 明显连接有问题并没通过 vpn 。

基于上面的原因，现在 g f w list 的域名通过 vpn 连接 8.8.8.8 连接
for i in `cat /gfwb`;do echo server=/$i/8.8.8.8>>/etc/dnsmasq.conf;done

建立 ipset nethash ，将所有国内的路由段写入
ipset test outwall4 192.168.8.253
if [ $? -eq 1 ];then ipset -N outwall4 nethash; for IP in $(cat /da/ocserv/cn1.lst);do ipset -A outwall4 $IP;done;fi

所有非国内 ip 段全部走 vpn ，安逸了
iptables -t mangle -I PREROUTING 2 -m mark --mark 0x0/0xff00 -m set ! --match-set outwall4 dst -j MARK --set-xmark 0xfe00/0xff00
iptables -t mangle -I OUTPUT -m mark --mark 0x0/0xff00 -m set ! --match-set outwall4 dst -j MARK --set-xmark 0xfe00/0xff00

nslookup 任意不存在的域名，将解出来的 ip ，添加到 dnsmasq.conf 就可以了。

bogus-nxdomain=60.191.124.236

描述有误，

其实就是想选择性的智能翻，但是使用 chinadns 一些 国外域名通过本地 isp dns 服务器， 返回的查询结果竟然是 百度或者阿里之类的 ip ，记得半年前 pdnsd 还没这个问题的。目前又退回到通过 vpn 网关 dns 来查询黑名单域名，所以智能不了又得维护一份黑名单。

最近也试图使用全局 vpn ，尝试了 chinadns 调用本地 isp dns ，结果很多国外网站返回的都是国内 百度 阿里之类的域名。看起来现在只能使用 域名黑名单方式直接查询远程 dns 。。。哎，上个网真烦。

ip138.com IP 查询(搜索 IP 地址的地理位置)

您查询的 IP:37.61.54.158

本站主数据：阿塞拜疆
参考数据一： RIPE

在一个无法无天的环境，连 dns 都可以随意污染的地方，指望有法可依，有法必依真是笑话，法在哪里。

这家网络不知道怎么回事，最后只能指定 4.2.2.1 ，好不容易翻出去，结果 youtube 调取的资源又指回墙内打开无门，怕怕。好像即便调整了 dns ，国内的很多网站也打开有问题，也不知道用了什么高科技，有点担心它的网络安全。

那我们忠城什么，金钱。

看来想组建一个可靠的团队，也许习惯了团队游戏的奉献，眼里真得无法容忍很多做法，因为很多做法直接导致 game over 。

可以选择支付宝支付的。

公司 2014 年 4 月份充值过一次谷歌搜索 2 万，大概是 11 月份还 12 月份返回 1 万 8 千多元到财务。。。就是这么长的时间才花掉 2 千不到。而这 2 千可是在百度只能烧一天的额度，而且基本是 9:00-13:00 就烧没了。那时候百度已经烧掉 94 万了。。。

这个问题挺难回答的，不知道怎么回答好。

最近搬瓦工发生的一个奇怪问题，走的广州出口。早上醒来平板可以 l2tp ，晚上反正这几天不大清楚几点不可以 l2tp 的，差不多都是在 21 点测试的奇怪连不上。现在 18:30 已经发现 2 台都不能 l2tp 了。由于这一整年都没发生过这种问题根本无法往搬瓦工服务器上想，只能是电信的问题。现在就剩下 ocserv 可以全天使用了。

今天试图在 openwrt 通过 openconnect 全局翻墙， openconnect 这东西倒不受 gfw 影响，但是持续大流量几小时以后换来的就是大丢包。。。无奈啊。。。

现在不知道电信是否已经找到封锁流量的方法了，首先能肯定的是电信存在分时段流量限制。一代神器 net_speeder 最初测试它时有 500kb/s ，后来 300kb/s ，后来 200kb/s,18 点测试两台搬瓦工的都在 100kb/s 以下， HOHO 。大有温水煮青蛙最后来个 0kb/s 的趋势。而且昨天注意到采用 net_speeder 时，只要有流量产生，服务器端收到的 tcp reset 差不多高达 100 包 /s 以上，客户端倒只有 2 包 /s 左右。
iptables -I INPUT -d vpsip/32 -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,URG RST -j DROP

很多问题最后只能归结于线路不好。。。没给电信交更多的钱换来的就是劣质服务。


z.com 的线路还可以的，用过一段时间新加坡的，稳定从上海走 CN2 。就算不用锐速都是有速度的，不用它价格接近 60 元 /月，另外就是网络不知道用了什么高科技，用新加坡的流量使用 google 却提示在上海要吗在广东， dns 指回墙内反而导致有些网站访问有问题。还有一件怪事，明明有 400kb/s 的下载流量，看 youtube 却徘徊在 1000kbps ，哈哈我也不知道为什么老提到 youtube 1000kbps 这种怪问题。。。

另外一家就是 vultr 了， 5$/每月 vultr 东京不像 z.com 。它是必须装上锐速才有速度的，流量方面在我最后测试的差不多 10 天，有时候也就那样了， youtube 800kbps 的情况都有可能发生，可能的问题就是丢包导致的，那天测试时搬瓦工 tcp 丢 13%，它丢了 30%以上。大多数时间总体比搬瓦工好。可以优先考虑。

正常，这才符合大公司

一些没网络管控的，比如开放淘宝，很多员工拿着工资，用着公司的资源在公司开淘宝店。因为这个问题领导要求 24 小时禁止访问，我倒好中午 12:00-13:00 开放一小时，因为这个原因被领导扣工资。。。

严格的网络管制没法让人聚精会神的工作，至少没让人把心思花在别的地方上，上 V2EX 也是很分心的好吧。。。一些更高要求的公司，只有 lan ，各种 usb 封锁，想上网只有一台公共电脑。

我们那时候玩的时候还没 centos ，印象中 redhat 7 是买过的第一套正版软件。。。那些年玩 linux 也挺无所适从的，因为 kde 原因最终选择了 turbolinux ，现在不知道还有这个发行版不。是的当年大多数时间都停留在选择哪种发行版了，中文字体，输入法之类的。当时还没有 yum apt-get 之类的在线更新系统，基本上都要靠自己掌握打包方法 rpm spec 还有那特殊的 slackware 打包方法，没事就在那折腾 kmplayer 。玩 linux 挺烦的，每种系统还有自己发行版开头的命令，电脑上要装 N 个发行版就要记多套命令，有天终于醒悟桌面还是折腾 windows 吧，统一省心。
好多年以后见很多 java 程序员装的 Ubuntu,这段时间基本没折腾 linux 了，更多的是靠以前学的 shell 折腾第三方 linux 路由固件，反而是在这些系统深化了网络管理方面的知识。
去年玩 vps ，第一个问题又是该选择什么样的 linux 操作系统。。。虽然最终确定为 centos 7 ，不过这个发行版也挺老旧的，发现 openwrt 上的编绎环境都比它新很多，目前都选择 debian 系列，自己用哪来什么商业软件支持，不想再为烦人的选择发行版折腾了，以后没特殊变化坚持 debian 。

从此和 vultr ramnode 无缘，这两家都是申请退款就删除帐号

说起 vultr 去年申请了帐号，因为没有 paypal 没法支付。今年就用老邮箱支付了 5$然后拿了 20$ 30 天的试用，忘了是否支付 5$才有 20$的试用。结果 10 天后告诉我 The system has flagged this account as being a duplicate and the promotional credit has been removed because it is valid for new customers only.
很郁闷有种给人甩的感觉，申请退款$ 2.31 就变成
I have closed your account and refunded the remaining balance as requested. If you experienced any issues with our service or if you have any additional feedback on how we can further improve our platform, please let us know by replying to this ticket!

人家换一个 ip 后，你怎么解决

屏蔽所有的邮箱端口才是终极解决方案吧。让你发不成。
localhost:/tmp# iptables -S OUTPUT
-P OUTPUT ACCEPT
-A OUTPUT -p tcp -m multiport --dports 24,25,50,57,105,106,109,110,143,158,209,218,220,465,587 -j DROP
-A OUTPUT -p udp -m multiport --dports 24,25,50,57,105,106,109,110,143,158,209,218,220,465,587 -j DROP
-A OUTPUT -p tcp -m multiport --dports 21,22,23,993,995,1109,24554,60177,60179 -j DROP
-A OUTPUT -p udp -m multiport --dports 993,995,1109,24554,60177,60179,61234 -j DROP
-A OUTPUT -m state --state INVALID -j DROP

没办法，这种问题都不知道怎么杜绝。

这么多年一直用基于 ip 的防火墙，根本没用过基于内容的防火墙。像这种应用不开放网络又用不了，只能删了不用。以前用 maxthon 先别说它自动同步我的书签，每次访问时老是提示页面证书出错也挺让人烦，害怕的。最后只能删了 maxthon ， qq 浏览器安上内存占用 200 多 MB 的 firefox 。说起 qq 浏览器也是有问题的，当年它和 360 打架时，我是排斥 360 的所以路由器里直接屏蔽掉 360 两个网址， qq 浏览器倒好， android ios 下的版本都可以正常访问 360 网站， NB 竟然可以绕过本地网络设置。

遇到这种问题，只能删删删以后坚决不用。想不到任何办法可以杜绝这种问题。

你提供的 wifi ，弹出一个 web 认证页面。上面可以用 tab 标签页面罗列各种 app 使用说明，并带上一个跳转到 app 下载链接的过程，这个链接当然可以存储在路由器本地，这个过程完成了 web 登录认证，又让 app 自动下载，然后用户安装完 app 就可以通过 3g 网络连上互联网了完成最后的注册。
还有这种推广啊，世界真是无奇不有。。。

看半天地推。。。。

一个理想的方案就是购置 3g 网卡+openwrt 路由器，然后 openwrt 的 chilli 我倒是玩过的，可能简单点的叫 nodogsplash ，这样现场用户连接

现在哪这么高级，同时布了 ipv4 和 ipv6 的防火墙，来自 ipv6 的扫描之类的可以说 0 ， ip6tables 上根本没任何计数增长，一年了永远是 0 。也许黑客还没进化。
平时用 ipv6 还是多一种连接方式，以前当代理用通过各种免费 ipv6 tunnel 连接，没体会到 ipv6 有多好，有些学校说是 ipv6 免费，更多的据说是计费软件不支持 ipv6 吧。