Web开发 – 采蕨

搭建 WireGuard VPN

2019-03-27 / 1 Comment

WireGuard 是 ason A. Donenfeld 开发的一款点对点 VPN 协议，非常先进并且开源。在老司机的强烈推荐下，忍不住折腾了一番。本文旨在整理折腾记录并存档。

注：笔者的用的服务器是 GCE 上的 VM 实例，采用 Debian 9 发行版。其他发行版的安装过程可以参考 WireGuard Installstion 。

安装 WireGuard

首先需要安装当前 Linux 内核对应的 linux_headers：

1 2	apt update apt install linux-headers-$(uname -r) -y

由于 WireGuard 比较新，尚在 Debian 不稳定版的源里，需要手动导入：

echo "deb http://deb.debian.org/debian/ unstable main" > /etc/apt/sources.list.d/unstable.list

printf 'Package: *\nPin: release a=unstable\nPin-Priority: 150\n' > /etc/apt/preferences.d/limit-unstable

apt update

apt install wireguard-dkms wireguard-tools resolvconf -y

WireGuard 服务端配置

开启 IPV4 流量转发：

1 2	echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf sysctl -p

创建 WireGuard 配置文件夹，并生成服务端和客户端密钥对：

mkdir -p /etc/wireguard && chmod 0777 /etc/wireguard

cd /etc/wireguard

umask 077

wg genkey | tee server_privatekey | wg pubkey > server_publickey

wg genkey | tee client_privatekey | wg pubkey > client_publickey

我们还需要使用 ifconfig 命令获取服务器的网卡名称并记录下来，下面以 eth0 为例。

生成服务器配置文件 /etc/wireguard/wg0.conf

# eth0 换成实际网卡名， ListenPort为端口号

# 以下内容一次性粘贴执行，不要分行执行

echo "

[Interface]

PrivateKey = $(cat server_privatekey)

Address = 10.0.0.1/24

PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

ListenPort = 50814

DNS = 8.8.8.8

MTU = 1420

[Peer]

PublicKey = $(cat client_publickey)

AllowedIPs = 10.0.0.2/32 " > wg0.conf

这样服务端就算配置完成，可以启动 WireGuard了，使用方法如下：

# 启动 WireGuard

wg-quick up wg0

# 停止 WireGuard

wg-quick down wg0

# 查看WireGuard运行状态

设置 wireguard 开机自启：

1	systemctl enable wg-quick@wg0

WireGuard 客户端配置

客户端也同样需要安装 WireGuard，例如笔者所使用的 ArchLinux 上安装步骤如下：

1	pacman -S wireguard-arch wireguard-tools

在配置服务端时，我们在服务器上分别创建了服务端和客户端的密钥对，这样也便于我们生成客户端的配置文件：

# Endpoint是服务器 ip 和服务端配置文件中设置的端口号

# 以下内容一次性粘贴执行，不要分行执行

echo "

[Interface]

PrivateKey = $(cat client_privatekey)

Address = 10.0.0.2/24

DNS = 8.8.8.8

MTU = 1420

[Peer]

PublicKey = $(cat server_publickey)

Endpoint = 1.2.3.4:25108

AllowedIPs = 0.0.0.0/0, ::0/0

PersistentKeepalive = 25 " > client.conf

生成后的客户端文件在服务器上，我们可以将其拷贝到 PC 客户端，或者通过生成二维码的方式导到移动客户端：

1 2	apt install qrencode -y qrencode -t ansiutf8 < /etc/wireguard/client.conf

这样使用手机客户端直接扫描生成二维码就可以快速完成配置。

多个 WireGuard 客户端

由于同一个客户端配置只能同时用于一台设备连接，所以如果需要同时使用多个客户端的话，可以建立多个客户端配置。

停止服务端的 WireGuard：

1	wg-quick down wg0

生成新的客户端密钥对：

1	wg genkey \| tee client0_privatekey \| wg pubkey > client0_publickey

在服务端配置文件中加入新的客户端公钥，并重新定义一段 AllowedIPs：

# 一次性复制粘贴，不要分行执行

echo "

[Peer]

PublicKey = $(cat client0_publickey)

AllowedIPs = 10.0.0.3/32" >> wg0.conf

新建一个客户端文件，使用新客户端密钥的私钥：

# 一次性复制粘贴，不要分行执行

echo "

[Interface]

PrivateKey = $(cat client0_privatekey)

Address = 10.0.0.3/24

DNS = 8.8.8.8

MTU = 1420

[Peer]

PublicKey = $(cat server_publickey)

Endpoint = 1.2.3.4:50814

AllowedIPs = 0.0.0.0/0, ::0/0

PersistentKeepalive = 25 " > client0.conf

注意这里的 Address 与上面服务端新加的 AllowedIPs 保持一致，Endpoint 和之前的一样，为服务端的 IP 和 ListenPort。

搞好服务端和新增客户端的配置后，再重新启动服务端的 WireGuard：

1	wg-quick up wg0

导出客户端配置文件方式依然可以采用上面介绍的方法导入到客户端。如果还需要添加新的 Peer，再次使用同样的方法操作即可。

经过实测，WireGuard 比笔者在另一台相同配置的 VM 实例上搭建的 V2Ray 结合 BBR 加速还要快，体验非常棒。

参考教程

在 apache 上部署 python 项目

2019-02-17 / Leave a Comment

最近在用 python 搞微信公众号开发，由于公众平台强制要服务器 80 端口，手头又没有空闲的资源，于是想到通过现有的 apache 来跑 python 程序。通过检索找到了 mod_wsgi 这样一个 apache 扩展模块，恰好能满足需求。

简单科普一下：WSGI（Web Server Gateway Interface）是专为 Python 定义的 Web 服务器和 Web 应用程序或框架之间的一种简单而通用的接口。mod_wsgi 实现了 WSGI 标准，可以支持任何兼容该标准的 Python 应用。

一、安装 apache 开发包

首先需要安装 apache 开发包，因为 mod_wsgi 的安装需要依赖模块编译工具 apxs。

1	yum install -y httpd httpd-devel

修改 /etc/httpd/conf/httpd.conf 中 servername 等配置项，使得 http://{server-ip}:{port} 能够正常访问。

1	service httpd start

二、升级 python 版本

CentOS 6 上的 Python 版本是 2.6.6，太过于老旧，很多新的模块无法使用。因此，我们需要拉源码包编译安装最新的 2.7 版本。

这里有一个坑：pip 需要依赖 Python 的 zlib 及 openssl 相关模块，而这些模块的编译以来于系统的相应开发库。因此必须先安装 zlib 和 openssl 开发库，然后再编译安装 Python，否则这些 python 模块不会参与编译。

yum -y install zlib* openssl-devel

wget https://www.python.org/ftp/python/2.7.15/Python-2.7.15.tgz

tar -zxvpf Python-2.7.15.tgz

cd Python-2.7.15

./configure --enable-shared

make && make install

安装后，将原有 python 替换为新版本：

1	ln -sf /usr/local/bin/python2.7 /usr/bin/python

执行 python -v，检测是否为新版本。如果报错：

1	python: error while loading shared libraries: libpython2.7.so.1.0: cannot open shared object file: No such file or directory

则需要将 python2.7 的运行库路径加速动态装载器的搜寻路径：

1	echo "/usr/local/lib" >> /etc/ld.so.conf.d/python2.7.conf

然后通过 ldconfig 更新共享库的缓存即可：

ldconfig

注意：由于 yum 依赖于 python，我们需要让其使用 python2.6 版本，不然会报错。

1 2	vi /usr/bin/yum #!/usr/bin/python --> #!/usr/bin/python2.6

三、安装 mod_wsgi 模块

这个 python 的模块需要通过 pip 安装，因此需要先升级 pip。通过一行命令搞定：

1	curl https://bootstrap.pypa.io/get-pip.py -o get-pip.py && python get-pip.py

与上面 python 的安装相似，我们需要让其成为系统默认的版本：

1	ln -sf /usr/local/bin/pip /usr/bin/pip

然后通过 pip 安装 mod_wsgi 和 web.py：

1	pip install mod_wsgi web.py

apache 中加载 wsgi 模块，在 /etc/httpd/conf/httpd.conf 中一堆的 module 后加入：

1	LoadModule wsgi_module modules/mod_wsgi.so

四、部署 python 程序

在 /etc/httpd/conf/httpd.conf 中加入下面配置：

WSGIScriptAlias /wx /var/www/wx/main.py/

Alias /wx/static /var/www/wx/static/

AddType text/html .py

Order deny,allow

Allow from all

</Directory>

其中，wx 为 web 程序目录。main.py 的代码为：

import web

urls = ('/.*', 'code')

class code:

def GET(self):

return "Hello, world."

application = web.application(urls, globals()).wsgifunc()

测试 http://{server-ip}:{port}/wx/ 访问正常，说明配置 ok。

搬瓦工 VPS 搭建 V2Ray 服务器

2019-01-18 / Leave a Comment

不知不觉已到 2019 年，功夫网也进化得越来越强大了。所谓魔高一尺，道高一丈，梯子界新秀 V2Ray 登场了，以其强大的实力超越 SS/SSR，成为爬墙首选。

关于 V2Ray 的详细介绍可以官方文档，本文主要介绍其安装及使用方法。

一、设定时区

由于 V2Ray 需要客户端与服务端的时间一致（时间差不能超过 2 分钟），因此我们要把服务器的时区改为中国时区：

1	cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime

然后通过 ntp 同步一下时间：

1 2	yum install -y ntp ntpdate us.pool.ntp.org

设置完成后，检查一下当前时间是否与当地时间一致即可：

date

二、服务端安装与配置

安装 V2Ray 很简单，只需要一行命令就能搞定：

1	wget https://install.direct/go.sh && bash go.sh

因为笔者用的是 CentOS 6，使用的是 Sysvinit 服务管理系统，不被脚本支持，因此需要手工加入服务脚本。将下述代码保存为/etc/init.d/v2ray，并添加执行权限。

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

#!/bin/sh

# v2ray Startup script for v2ray

# chkconfig: - 24 76

# processname: v2ray

# pidfile: /var/run/v2ray.pid

# description: V2Ray proxy services

### BEGIN INIT INFO

# Provides: v2ray

# Required-Start: $network $local_fs $remote_fs

# Required-Stop: $remote_fs

# Default-Start: 2 3 4 5

# Default-Stop: 0 1 6

# Short-Description: V2Ray proxy services

# Description: V2Ray proxy services

### END INIT INFO

DESC=v2ray

NAME=v2ray

DAEMON=/usr/bin/v2ray/v2ray

PIDFILE=/var/run/$NAME.pid

LOCKFILE=/var/lock/subsys/$NAME

SCRIPTNAME=/etc/init.d/$NAME

RETVAL=0

DAEMON_OPTS="-config /etc/v2ray/config.json"

# Exit if the package is not installed

[ -x $DAEMON ] || exit 0

# Read configuration variable file if it is present

[ -r /etc/default/$NAME ] && . /etc/default/$NAME

# Source function library.

. /etc/rc.d/init.d/functions

start() {

local pids=$(pgrep -f $DAEMON)

if [ -n "$pids" ]; then

echo "$NAME (pid $pids) is already running"

RETVAL=0

return 0

echo -n $"Starting $NAME: "

mkdir -p /var/log/v2ray

$DAEMON $DAEMON_OPTS 1>/dev/null 2>&1 &

echo $! > $PIDFILE

sleep 2

pgrep -f $DAEMON >/dev/null 2>&1

RETVAL=$?

if [ $RETVAL -eq 0 ]; then

success; echo

touch $LOCKFILE

else

failure; echo

return $RETVAL

}

stop() {

local pids=$(pgrep -f $DAEMON)

if [ -z "$pids" ]; then

echo "$NAME is not running"

RETVAL=0

return 0

echo -n $"Stopping $NAME: "

killproc -p ${PIDFILE} ${NAME}

RETVAL=$?

echo

[ $RETVAL = 0 ] && rm -f ${LOCKFILE} ${PIDFILE}

}

reload() {

echo -n $"Reloading $NAME: "

killproc -p ${PIDFILE} ${NAME} -HUP

RETVAL=$?

echo

}

rh_status() {

status -p ${PIDFILE} ${DAEMON}

}

# See how we were called.

case "$1" in

start)

rh_status >/dev/null 2>&1 && exit 0

start

;;

stop)

stop

;;

status)

rh_status

RETVAL=$?

;;

restart)

stop

start

;;

reload)

reload

;;

echo "Usage: $SCRIPTNAME {start|stop|status|reload|restart}" >&2

RETVAL=2

;;

esac

exit $RETVAL

加入开机启动，并开启服务：

chmod a+x /etc/init.d/v2ray

chkconfig v2ray on

service v2ray start

配置文件路径 /etc/v2ray/config.json，其中最关键的字段是 “inbound”:

"inbound": {

"port": 23154,

"protocol": "vmess",

"settings": {

"clients": [

{

"id": "03ac9b8c-e112-c99d-e723-b77225403286",

"level": 1,

"alterId": 64,

"security": "aes-256-gcm"

}

]

}

三、客户端安装与配置

V2Ray 官方提供 Linux/MacOS/Windows 平台的客户端，配置方式比较简单，填入服务端的 ip, port 和 id 即可。Android 平台可以使用 v2rayNG 这款客户端，其 UI 与配置文件均与 SS 客户端相似。

四、启用 BBR 加速

BBR 是 Google 于 2016 年推出的一个基于 Linux 内核的拥塞控制算法，通过优化 TCP 底层协议来实现网速加速。BBR 同锐速（ServerSpeeder）有些类似，其他类似的工具及性能对比可以参考这篇文章。

由于搬瓦工家的 Vps 使用的 OpenVZ 虚拟化架构，无法安装原版的 BBR。有人通过内部流量转发的变通方式将其移植到了 OpenVZ 平台，并修改了部分魔性参数，使其加速性能比原版还好。

查看 VPS 虚拟化架构可以使用 virt-what 这个命令行工具：

1 2	yum install -y virt-what virt-what

移植到 OpenVZ 的 BBR 可以通过 rinetd 或者 haproxy 进行流量转发，笔者使用其 rinetd 版本，加速效果显著。安装只需要一行命令：

1 2	wget --no-check-certificate https://github.com/tcp-nanqinlang/lkl-rinetd/releases/download/1.1.0/tcp_nanqinlang-rinetd-centos.sh bash tcp_nanqinlang-rinetd-centos.sh

安装过程中会让你选择需要加速的端口号，按提示输入即可。BBR 每次开机会随系统自启，无需其他设置。

2024 年 4 月
一	二	三	四	五	六	日
1	2	3	4	5	6	7
8	9	10	11	12	13	14
15	16	17	18	19	20	21
22	23	24	25	26	27	28
29	30