无语 softether + ocserver 都正常连上了。晕晕晕。

不行， google 的结果说有些 conoha 的一些早期用户没问题，后面的用户有人反应 openvpn 没问题，其它的 pptp softethervpn 都是禁止的，而且最关键的一点是，防火墙上隐蔽了 vpn 的相关协议和端口，晕死。用 nmap 也扫不到 udp 4500 ，太坑了。。。如果这样的话，网上即便有重装系统的方法，防火墙端口却不受自己控制。。。

Starting Nmap 6.49BETA6 ( https://nmap.org ) at 2015-11-20 19:44 ?D1ú±ê×?ê±??
NSE: Loaded 131 scripts for scanning.
NSE: Script Pre-scanning.
Initiating NSE at 19:45
Completed NSE at 19:45, 0.01s elapsed
Initiating NSE at 19:45
Completed NSE at 19:45, 0.00s elapsed
Initiating Ping Scan at 19:45
Scanning xxx.xxx.xxx.xxx [4 ports]
Completed Ping Scan at 19:45, 0.44s elapsed (1 total hosts)
Initiating Parallel DNS resolution of 1 host. at 19:45
Completed Parallel DNS resolution of 1 host. at 19:45, 0.01s elapsed
Initiating SYN Stealth Scan at 19:45
Scanning v163-44-152-172.a00d.g.sin1.static.cnode.io (xxx.xxx.xxx.xxx) [1000 ports]
Discovered open port 22/tcp on xxx.xxx.xxx.xxx
Discovered open port 111/tcp on xxx.xxx.xxx.xxx
Discovered open port 1723/tcp on xxx.xxx.xxx.xxx
Discovered open port 5555/tcp on xxx.xxx.xxx.xxx
Discovered open port 992/tcp on xxx.xxx.xxx.xxx
Discovered open port 990/tcp on xxx.xxx.xxx.xxx
Discovered open port 1080/tcp on xxx.xxx.xxx.xxx
Discovered open port 465/tcp on xxx.xxx.xxx.xxx
Discovered open port 179/tcp on xxx.xxx.xxx.xxx
Completed SYN Stealth Scan at 19:45, 9.66s elapsed (1000 total ports)
Initiating UDP Scan at 19:45
Scanning v163-44-152-172.a00d.g.sin1.static.cnode.io (xxx.xxx.xxx.xxx) [1000 ports]
Discovered open port 111/udp on xxx.xxx.xxx.xxx
Discovered open port 123/udp on xxx.xxx.xxx.xxx
Increasing send delay for xxx.xxx.xxx.xxx from 0 to 50 due to max_successful_tryno increase to 5
Increasing send delay for xxx.xxx.xxx.xxx from 50 to 100 due to max_successful_tryno increase to 6
Warning: xxx.xxx.xxx.xxx giving up on port because retransmission cap hit (6).
Increasing send delay for xxx.xxx.xxx.xxx from 100 to 200 due to 11 out of 13 dropped probes since last increase.
UDP Scan Timing: About 7.84% done; ETC: 19:51 (0:06:04 remaining)
Increasing send delay for xxx.xxx.xxx.xxx from 200 to 400 due to 11 out of 11 dropped probes since last increase.
Increasing send delay for xxx.xxx.xxx.xxx from 400 to 800 due to 11 out of 11 dropped probes since last increase.
UDP Scan Timing: About 11.10% done; ETC: 19:54 (0:08:09 remaining)
UDP Scan Timing: About 14.01% done; ETC: 19:56 (0:09:18 remaining)
UDP Scan Timing: About 16.83% done; ETC: 19:57 (0:09:58 remaining)
Discovered open port 500/udp on xxx.xxx.xxx.xxx
Discovered open port 53/udp on xxx.xxx.xxx.xxx

18:41 stunnel tcp 流量还是全速的，就是不知道为什么常用的 softether ocserv 没一个成功， vpn 看情况也无力解决。。。

搜 conoha 时就注意到有些用户反应服务器不能建 vpn ，虽然仍然看到部分用 openvpn 的用户成功了。今天搭的第一个软件 softethervpn 已经失败，这个一贯 3 分钟解决的软件，却不知道这个 Network system 是什么原因，继续 ocserv

---------------------------------------------------
SoftEther VPN Operation Environment Check Tool

Copyright (c) SoftEther VPN Project.
All Rights Reserved.

If this operation environment check tool is run on a system and that system passes, it is most likely that SoftEther VPN software can operate on that system. This check may take a while. Please wait...

Checking 'Kernel System'...
Pass
Checking 'Memory Operation System'...
Pass
Checking 'ANSI / Unicode string processing system'...
Pass
Checking 'File system'...
Pass
Checking 'Thread processing system'...
Pass
Checking 'Network system'...
Connect Failed. (0)
Fail

Some checks failed. Please check the operation environment of this system. If SoftEther VPN Server / Bridge were to be executed on this system, troubles may occur.

The command completed successfully.


--------------------------------------------------------------------
The preparation of SoftEther VPN Server is completed !

我也来个小尾巴，试试日本的。
https://cloud.z.com/jp/zh/signup/?token=wEvzVfYaOd2rd7HhMBytbllv9tguceuMr3jUp3PQJ1hFL.Jx_.0-G70

很多教程都忽略了防火墙的默认状态。
一般省事点都是
iptables -P INPUT DROP
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

以下针对 ocserv 的回复， vpn 防火墙部分都差不多，由于 ocserv 会新建 vpns0 vpns1 ，所以 vpns+是通配符

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -m state --state INVALID -j DROP
-A INPUT -i lo -m state --state NEW -j ACCEPT
-A INPUT -i vpns+ -j ACCEPT #大多数教程都少了这条，导致无法进行 dns 查询

-A POSTROUTING -o venet0 -j MASQUERADE

pptp ，怎么这东西还是这么多人用。

vpn 的话 l2tp 没问题，但是还是推荐 ocserv 提供的 anyconnect ，主要优势在于端口可以随意指定， udp 流量夸张，客户端丰富，连接非常稳定。 softethervpn 提供的 l2tp 目前只有手机端正常， windows 还是会被干扰，而 SSTP 似乎是有 linux 下的客户端，还是建议 ocserv ，可以更改端口就是一个很大的优势。

ss 的话， 8 月份就爆出返回探测的时候有问题，虽然前段时间用了一下最新的 libev 版本，但是 windows-gui 客户端还是老提示 timeout ，不大用这个。

用 stunnel 吧， v5.26 版直接内置 sock5 实现
https://www.stunnel.org/config_windows.html

stunnel 是个很安全的软件，它有 linux windows openwrt 的客户端，用了 3 张自签证书，基于 pki 认证 1.pem 用于服务器端 verify 3 验证客户端身份， verify 2 用于客户端验证服务器端加密用证书。所以它是个很安全的防止中间人攻击的方案。又是 linode ，看论坛的反应， linode 还不如搬瓦工。。。搬瓦工的掉包率 1%不到。

client = yes
;compression = zlib

socket = r:TCP_NODELAY=1
socket = l:SO_LINGER=1:60
socket = r:SO_OOBINLINE=no
;socket = a:SO_REUSEADDR=yes
TIMEOUTconnect = 10

RNDbytes = 1024
RNDfile = r:/rnd.txt
RNDoverwrite = yes
debug = 6

sslVersion = all
;options = NO_TLSv1.2
options = NO_TLSv1.1
options = NO_TLSv1
options = NO_SSLv3
options = NO_SSLv2

;ciphers = ECDHE-RSA-AES128-SHA256 ECDHE-RSA-AES256-SHA384
;ciphers = ECDHE-RSA-AES256-GCM-SHA384
;ciphers = ECDHE-RSA-AES128-GCM-SHA256

cert = 1.pem
verify=2
CAfile = stunnel.pem
checkHost = XXX.XXX.XXX.XXX


[server1]
accept = 127.0.0.1:1081
connect = XXX.XXX.XXX.XXX:1723

>at 23:00 "shutdown -s -t 0 -f"
新加了一项作业，其作业 ID = 1

>at
状态 ID 日期 时间 命令行
-------------------------------------------------------------------------------
1 今天 23:00 "shutdown -s -t 0 -f"

>at 1 /delete

这真的很平常，难以理解的是那些吃胡萝卜干，省出两个月工资去买 iphone 的人。还有那土豪金。。。以前记得有个人说过买 iphone 保值，以后就算卖了还值个 2 千。

psping
https://technet.microsoft.com/en-us/sysinternals/psping.aspx

排序，计算的是 ping 的延迟命中数量。不像 windows ping ，刚还开始还以为是渐涨的。

哈，我都不敢说了，上次说 nghttpx 快，现在一过 20:00 TLs1.2 都没流量。。。

。。。放着计划任务不用。

普通环境就开机批处理加载 at 实际上终止计划任务仍然运行不了 at 。

https://www.v2ex.com/t/235392
http://linuxmantra.com/2010/06/how-to-stop-syn-flood-attack-using-iptables.html
ddos 不是 iptables 防得住的，以前就拿到一个 ip 可能前人把它做成 dns 服务器， iptables drop 53 端口还是收到警告邮件，最后只能换 ip ，这日志也交待不清是别人 ddos 服务器，还是服务器 ddos 别人。

倒是经常用 stunnel ，按实例的话它都能把 google tcp 53 加密到本地，不知道 tcp 80 是否可行。然后它的 verify 3 就是用来对客户端证书进行认证用的，只是看起来还是不如浏览器方便。

这个网站还活着 www.cn-dos.net

批处理这东西比 shell 难多了。。。一点都没 shell 好用，经常想破脑袋，最后算了还是看看有什么 windows 版的 gnu 工具。