哎，其实跟公司里行为管理设备差不多，各种详细的访问日志，举例入坑都是些菜鸟黑客吧。
有些人喜欢探究别人的隐私，一份详细日志就如文中描述可以判断一个人的爱好，有些人说自己每天在努力工作其实通过 url 链接就知道根本无心工作。这种设备不当使用，前网管就是因为被发现监控领导邮件被开除的，那网康设备有 160g 的本地硬盘容量，布这种设备本来就是 sb 行为，一个不当的人选将导致公司机密，多少员工的隐私被一个小小的网管掌握。更搞笑的是，人家网康技术人员直接可以远程更改设备设置，那么问题来了能改设置就不能拷贝数据吗，布暑这种东西就是把木马装在公司内部。不该上网的用户还是得简单粗暴直接拔线。

2012 年的 狩猎

一个小女孩的谎言引发的中年落泊男人眼里流露出一无所有，很深刻的电影豆瓣头条评论就很精辟。

1567 有用
麻绳 2013-03-28
这电影要是早两年看，不会有这么深感触。很多情况下，真相是什么对围观者并不重要，他们需要的只是一个支点，让自己站在虚妄的道德制高点上，得意一时是一时，反正过几天他们就会遗忘，任由真相被新的猎奇淹没，微博上这样的人和事比比皆是。

以前就算过一个 500G 每月流量 vps ， 200kb/s 差不多就消耗玩， 15G 能干嘛。。。
另外真得从防火墙， fq 软件，甚至是使用常规的 80 443 的端口。 ss 也有人说没问题，也有人说有问题。 gfw 那东东是有返回探测功能的。最近从 stunnel 窗口上也会看到一些 ssl3 ssl2 之类的连接协议，真的搞不懂客户端怎么会出现自己都不采用的协议协商过程，其实用的是 TLS1.2 而且应用了 pki 认证。服务器端验证客户端身份，客户端验证服务器端 CA 。双重保险想中间人的可能性还是非常低的。 ss 只有 psk 认证吧。
只是感觉使用的网络太不安全了，各种黑科技。。。

https://www.stunnel.org/auth.html

是 openconnect client ，

vps 上用了锐速，已经屏蔽 udp 端口。在 windows 系统 anyconnect 可以轻易全速,但在 openwrt 下面用 openconnect 看 youtube 却连 1000kbps 都达不到，对比 stunnel 却可以在 openwrt 达到全速。

换成 softether 就这样了，这样也好，用一个 softether 就可以在 openwrt 即实现 server 功能，又可以实现 client 连接。

http://i4.tietuku.com/c0ad416245edc5d9.png

前年注册的 vultr ，去年才开始 paypal 充值 5$，然后点了人家 aff 顺便拿了 20$优惠 30 日使用完，结果充 5$送 5$没了， 10 天后邮件告诉我你这是重复帐号， 20$是给新用户的，当然没提 5$的事。
上次帐号因为退款被封，又申请了一个 vultr ，充 5$送 5$，两天后 5$消失了，懒得计较这些该死的优惠，让人很不爽。虽然也见一个人说自己充 5 送 5$已经用 8 个月，不知道他怎么这么好运。

上次用本地电信 dns 做为上游，这些年被第三方 dns 折腾早就没第三方 dns 概念。结果出现敏感域名返回国内百度或阿里的 ip ，仅这点 chinadns 就失效了。
后来干脆所有的 g f wlist 用 dnsmasq
server=/google.com/8.8.8.8
ipset=/google.com/outwall
ipset 指定 iphash 也是有问题的，需要维护庞大的未知被封域名。可能有些根本就只是以 ip 存在导致使用 google player 很有问题。
后来简化成
server=/google/8.8.8.8
ipset nethash 所有国外的路由表，这样可以保证敏感域名的访问，国外非敏感域名 ip 解析是正确，这样都可以正常访问，感觉国外的 ip 全部走 vpn 比直接访问快。

前年用了 10 天 s ，结果 2015 年 1.1 号竟然出现不能访问的问题， 1.2 的更新是 dns issues ，马上就弃用换成 stunnel 。因为 socks4a 以上版本就支持远程 dns 查询，怎么也无法和 dns 联系在一起。
另外一种路由器全局翻，上网查一下 dnsmasq ipset 吧，需要通过加密隧道远程访问 dns 服务器。

http://dl.xxshe.com/cisco_anyconnect/

可以试试这里提供的 anyconnect 客户端。一般 ocserv.conf 添加，就可以做到全局路由。只是因为在 openwrt 下 openconnect 性能实在太差了，才换成 softether 。 windows 系统还是非常快的。
route = 0.0.0.0/128.0.0.0
route = 128.0.0.0/128.0.0.0

一个不懂得尊重别人的人还想获得别人的尊重，小孩子吗，整天只会骂人。

这 PublicID 就该取消，这么害怕为自己说的话负责，活着干嘛。

这篇文档看不出什么问题，而且也强调了使用全局路由。

可以尝试 anyconnect ，确定路由问题可以通过
Windows
tracert 学校 ip 确定是否走了 vpn 网关
linux
traceroute ip

另外这 openconnect 在 openwrt 下性能好差， 1000kbps 都没，今天换成 softether 全速。

以前用这家的时候最早用的是 centos 7 内置 sendmail ，当时还架了个 wordpress ，发现会有发邮件功能。后来装了 debian 8,HOHO 系统干净得一踏糊涂。

如果你准备用做公共用途，最好了解一下 iptables 防火墙设定，屏蔽向外发邮件端口

# iptables -S OUTPUT
-P OUTPUT ACCEPT
-A OUTPUT -p tcp -m multiport --dports 24,25,50,57,105,106,109,110,143,158,209,218,220,465,587 -j DROP
-A OUTPUT -p udp -m multiport --dports 24,25,50,57,105,106,109,110,143,158,209,218,220,465,587 -j DROP
-A OUTPUT -p tcp -m multiport --dports 21,22,23,993,995,1109,24554,60177,60179 -j DROP
-A OUTPUT -p udp -m multiport --dports 993,995,1109,24554,60177,60179,61234 -j DROP
-A OUTPUT -m state --state INVALID -j DROP

# iptables -S INPUT #最小的只允许特定访问端口结构的防火墙，用了一整年才发现默认不设置-P INPUT DROP 的话，仍然是所有端口都开放的。。。


-P INPUT DROP
-A INPUT -p icmp -m icmp --icmp-type 8 -m limit --limit 10/sec -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 15 -m limit --limit 10/sec -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -m state --state INVALID -j DROP
-A INPUT -i lo -m state --state NEW -j ACCEPT
-A INPUT -i vpns+ -j ACCEPT
-A INPUT -i tap_sof+ -j ACCEPT
-A INPUT -p ipv6 -j ACCEPT
-A INPUT -p tcp -m multiport --dports 22,22241 -j ACCEPT #注意修改随机 ssh 端口
-A INPUT -p tcp -m multiport --dports 80,443-j ACCEPT
-A INPUT -p udp -m multiport --dports 500,4500 -j ACCEPT
-A INPUT -j LOG --log-prefix INPUT_DROP_


可以用
iptables-save > /tmp/fw.lst #保存现有防火墙规则
然后 vi /tmp/fw.lst 对照添加相应规则
iptables-restore /tmp/fw.lst #导入新的防火墙

搞错了从后台重置吧
Kiwivm/Root shell - interactive

800 ￥的差价好吧，现在买电脑够用就行，如果只是办公，确定不玩游戏之类的，现在的电脑也不存在更新换代之类的。当然是 G3240,这个型号我给同事的老爸老妈配过 4 台 3.1G 的主频，打牌 QQ ，绝对是 cpu 过剩剩剩剩。

配 i5,显卡之类的就有要求了。办公足够了。

这原来这么值钱啊。以前经手考试报名，每年都 2000 人左右，什么信息没啊，姓名，家庭地址，身份证，手机号。。。然后头疼的就是怎么消除这些纸质资料，烧，在办公场所怎么烧。最近还是直接丢给收破烂的。。。

不是很清楚，以前学校用得就是基于 web 开发的教务和考务系统，当时添加新功能的时候电大还组织过一次新系统培训，所以应该是统一的数据库。

有背景的吧，以前电大的教务系统好像就是高教还是什么组织统一实施的，然后上海地区要试验一些新功能，就将系统开发权限给了上海电大，下面的学校仍然是用得上海电大统一的数据库，只是各个学校有自己独立的教务系统和考务系统。

具体大家看这里吧
AP 帶機數和傳播距離這兩個哲學問題
http://forum.anywlan.com/thread-375620-1-1.html
看起来已经有一个新的技术来解决这个问题 11ac 提出的 MU-MIMO

平时在工作中最简单的就是 ping 网关，确定延迟，然后在多 AP 覆盖环境，互相踢除弱信号确定延迟变化。当然延迟跟流量也是有一定关系的，在有线环境流量 100%全速传输时可以接近 600ms 的延迟。所以 QOS 设备限速也能一定程度缓解这种问题。 AC 太高级了没见识过，这种高价货不是每个领导都愿意花钱的。

2 公里的覆盖太恐怖了，一些双频 AP 也就带个 200 而且这些还是实验室数据理论环境，现实中 2 公里这得多大干扰啊，而且还不能限制客户端接入。其实看看上海虹桥火车站就可以了，那里的 wifi 根本不能用，连接都接不进去，还不如 3g 信号。