基于某些众所周知的原因，在天朝上网非常需要勇气和技术。 今天在跟某人聊天时了解到Chrome竟然没办法使用proxy进行DNS查询<1>， 导致DNS查询结果持续被污染。 虽然用proxychains能把一切流量塞进代理里面， 不过用proxychains启动浏览器的话，各种自动代理插件就失效了，所以这是个得不偿失的方法。 青蛙晚上的时候突然想到iptables是不是可以把DNS查询流量转发进ssh tunnel呢？ 上网google一番之后，发现这是可行的，而且其实用不到iptables，只要nc就够了。

要用SSH Tunnel转发DNS流量，最大的问题是要把DNS协议使用的UDP协议转换为TCP协议，然后在proxy端还要转换回来。 所以目前青蛙想到的方案有一个很大的缺陷，就是如果ssh服务器上不提供nc命令的话，下面的操作是没法完成的。

首先，用SSH连接ssh服务器，这里青蛙打了一套组合拳，ssh -L + -D组合，分别负责DNS流量和普通数据流量：

ssh -D1080 -L5353:127.0.0.1:5353 user@ssh-server

-L 参数的目的是在本地机器上打开一个5353端口，发送到这个端口的数据都会被转发到ssh服务器上的5353端口上。

然后，在ssh服务器上执行：

server$ mkfifo /tmp/fifo
server …

Mutt真的是神器，越用越觉得爽。 可惜命令行模式的工具都有个弊端：跟X交互能力比较弱， 例如Mutt就木有邮件提醒功能。

之前在Gnome2的年代里还有 mail-notification 可以对付用（这玩意占用系统资源狂多，似乎是通过监视文件更改来提醒的）， 在Gnome3之后这个工具就完全不工作了，而且又没有后续版本。

青蛙抛弃Gnome，换成KDE之后，也没有找到KDE下的邮件提醒工具，于是一直酝酿着自己写一个。

实现邮件提醒功能，无非就是监控邮箱变更，可以在几个点检查：

• 直接使用POP/IMAP协议检查服务器端
• 监视MTA动作
• 监视MDA动作
• 监视MUA动作
• 监视邮箱文件/目录更改

直接访问服务器是最直接的办法，但是既然MTA都把邮件收下来了， 再去监视服务器就有点绕腾了，这种方法监视gmail/hotmail之类的邮箱还是很不错的。

监视MUA的动作， adam8157同学 就是这么做的， 监视Mutt startusbar的特殊字符串，通过Mutt的filter发送notify消息。

监视邮箱文件/目录变化就是 mail-notification 的做法了，但是如果不想轮询的话，大概需要内核开启inotify支持。

监视MTA动作，青蛙没有仔细研究，似乎还是需要MDA的某些行为处理， 所以青蛙直接用了在MDA里加入提醒脚本的方法。

监视MDA动作，就是青蛙的做法 …

原始文件地址：

http://www.xmind.net/share/gfrog1/install-xmind-in-fedora-with-deb-package/

青蛙的新VPS是基于nginx的，仅仅是因为传言nginx在小内存，大压力的时候表现好一些。

当然，为了获得这点好处，还是要付出一些代价的。 例如nginx没有apache的htaccess，对每个目录的控制都需要写到nginx的配置文件中， 这样对普通用户来说十分的不方便。

哦，有点跑题，继续说https的问题，其实给nginx配置https也不复杂， 按照网上现成的模板，改一下自己的域名和目录位置就好了。

下面是一个完整的示例[1][2]：（来自这里）

upstream test.com {
    server 192.168.1.2:80;
}

server {
    server_name test.com;
    include port.conf;

    ssl on;
    ssl_certificate server.crt; # ${nginx_install_dir}/conf/server.crt
    ssl_certificate_key server.key; # ${nginx_install_dir}/conf …

今天的Tip是关于虚拟化的。

问题的起因是青蛙当时使用的VirtualBox的网络配置很不方便， guset系统启动之后不能改网络连接类型不说（后来的版本做了改进，但是用着还是不够舒服）， NAT模式下还不能直接跟Host系统通信。

于是青蛙痛下决心，学习了一下Linux tap和br设备的用法， 写了一个小脚本来搞定虚拟机的网络问题。

这个脚本同样也可以用于KVM的虚拟机。

这个脚本会根据配置文件建立一系列的tap设备， 然后桥街到几个br设备上去，然后在br上设置好IP， 如果需要NAT功能则配置iptables规则。

脚本文件在这里：

http://gfrog.googlecode.com/hg/script/vnet.sh

配置文件如下：

USER=gfrog           #指定建立tap设备时所用的用户名
VNET_NUM=2         #需要建立的虚拟网络数
EXITIF=eth0           #SNAT的出口接口

#以下是每个虚拟网络的配置
[vnet1]
VETH_NUM=4          #虚拟网络中包含的tap设备数
VNET_IP=11.11.1.1/24  #虚拟网络br设备上配置的ip地址
DONAT=no                  #是否需要做nat

[vnet2 …

今天继续关于ssh的话题。

青蛙本来想把今天这个主题放在昨天一起讲的，但是这两个Tip的关联不大，最后决定还是分开说。

在平时上网过程中，有可能遇到某个服务器（我们叫他S）无法访问的问题。

但是如果另外一台主机（叫做P）可以访问到S，并且我们还有P上面的ssh权限，那就可以把P当作跳板，直接访问到S。

假设要访问S上面的http（80）服务，那就执行如下命令：

ssh user@P的地址 -L 8080:S的地址:80

这个命令会在本地打开8080端口，将连接转发到S的80端口上，这样就达到了从本地直接访问S的目的。

事实上ssh的-L参数主要是用来建立一条客户端到服务器之间的安全隧道，以便安全的传输数据。

今天的Tip主题是ssh。

经常有人问，为什么Linux里面的ssh那么难用呢， 就不能有个像secureCRT那样有地址簿的东西么。

答案是，有，而且不需要其他的软件，ssh自己就能搞定。

要实现这个功能，首先要在~/.ssh里面建立一个config文件，并设置600权限。

`touch ~/.ssh/config
chmod 600 ~/.ssh/config`

然后在这个文件中加入以下内容（以10.1.1.1为例）

Host 1                     #指定主机名，这个名称可以任意，取对自己方便的就可以
HostName 10.1.1.1    #指定主机的IP，这里是10.1.1.1
User aaa                  #默认登录的用户名
Port 22                    #主机上sshd的端口号

以后，访问10 …