iptables 命令是 Linux 上常用的防火墙软件，是 netfilter 项目的一部分。可以直接配置，也可以通过许多前端和图形界面配置。这篇文章主要介绍 iptables 的安装，添加规则，清除规则，开放指定端口，屏蔽指定 IP，IP 段，等等基本功能。

iptables/ip6tables - administration tool for IPv4/IPv6 packet filtering and NAT

安装

Ubuntu/Linux Mint 系系统：

sudo apt-get install iptables

iptables 防火墙用于创建过滤规则和 NAT（网络地址转换） 规则，几乎所有 Linux 发行版都能使用。 iptables 的结构 iptables -> Tables -> Chains -> Rules ，简单地，Tables 由 Chains 组成，Chains 又由 Rules 组成。

Table 组成

iptables 具有 Filter，NAT，Mangel，Raw，security 这几种内建表：

• filter 表，存放所有防火墙相关操作默认表
• NAT 表，用户网络地址转换

Filter 表

Filter 是 iptables 默认表，内建链

• INPUT 链，处理来自外部的数据
• OUTPUT 链，处理向外发送的数据
• FORWARD 链，将数据转发到本机的其他网卡设备

NAT 表

三种内建链：

• PREROUTING 链，处理刚到达本机并在路由转发前的数据包。它会转换数据包中的目标 IP 地址（destination ip address），通常用于 DNAT
• POSTROUTING 链，处理即将离开本机的数据包，将会转换数据包中的源 IP 地址（source ip address），通常用于 SNAT（source NAT）
• OUTPUT 链，处理本机产生的数据包

Mangel 表

Mangle 表用于指定如何处理数据包，它能改变 TCP 头中的 QoS 位，5 个内建链：

• PREROUTING
• INPUT
• FORWARD
• OUTPUT
• POSTROUTING

Raw 表

Raw 表用于处理异常，具有两个内建链：

• PREROUTING
• OUTPUT

几个状态

• NEW – meaning that the packet has started a new connection, or otherwise associated with a connection which has not seen packets in both directions, and
• ESTABLISHED – meaning that the packet is associated with a connection which has seen packets in both directions,
• RELATED – meaning that the packet is starting a new connection, but is associated with an existing connection, such as an FTP data transfer, or an ICMP error.

iptables 规则

关键点：

• Rules 包括一个条件和一个目标
• 如果满足条件，就执行目标 target 中的规则或者特定值
• 如果不满足条件，就判断下一条 rule

下面是 target 中指定的特殊值：

• ACCEPT 允许防火墙接受数据包
• DROP 防火墙丢弃包
• QUEUE 防火墙将数据包移交到用户空间
• RETURN 防火墙停止执行当前链后续 rules，并返回到调用链中

查看规则

查看已添加的 iptables 规则

iptables -t filter --list           # 使用 -t 来指定表，默认为 filter 表
iptables -L -n
iptables -nvL --line-numbers

解释

• -t: 指定 table
• -n：只显示 IP 地址和端口号，不将 IP 解析为域名

将所有 iptables 以序号标记显示

iptables -L -n --line-numbers

在输出结果中可以看到如下字段：

• num 指定链中规则编号
• target 前文中提及的 target 指定值
• prot 协议 tcp, udp,icmp 等
• source 数据包源 IP 地址
• destination 数据包目标 IP 地址

常用参数

常见的一些命令选项

-A

使用 -A 命令追加新规则，其中 -A 表示 Append，新规则将追加到链尾。

iptables -A [chain] [firewall-rule]

解释：

• -A chain 指定要追加规则的链
• firewall-rule 具体的规则参数

下面是描述规则的基本参数

-p 协议

可以使用 -p 来指定规则协议，比如 tcp,udp, icmp 等等，使用 all 来指定所有协议。

另外也可以使用协议值（比如 6 代表 tcp）来指定协议，映射关系可以查看 /etc/protocols

-s 源地址

使用 -s 来指定数据包的源地址，参数可以使用 IP 地址，网络地址，主机名

• -s 192.168.1.101 指定 IP
• -s 192.168.1.10/24 网络地址
• 如果不指定 -s 表示所有地址

-d 目标地址

-d 来指定目的地址，参数和 -s 相同

-j 执行目标

-j 代表 jump to target，指定了当与规则匹配时如何处理包

可能值为 ACCEPT，DROP，QUEUE，RETURN，也能指定其他链（chain) 来作为目标

-i 输入接口

-i 代表输入接口，-i 指定了要处理来自哪个接口的数据包，这些包即将进入 INPUT，FORWARD，PREROUTE 链。

比如 -i eth0 指定了要处理通过 eth0 进入的数据包，如果不指定 -i 参数那么将处理所有接口的数据包。

• ! -i eth0 处理所有经由 eth0 以外的接口进入的数据包
• -i eth+ 将处理所有经由 eth 开头的接口进入的数据包

也可以使用 --in-interface

-o 输出

-o 代表 output interface, -o 制定了数据包由哪个接口输出，这些数据包即将进入 FORWARD，OUTPUT，POSTROUTING 链

如果不指定 -o 选项，那么系统上所有接口都可以作为输出接口

• ! -o eth0 那么将从 eth0 以外的接口输出
• -i eth+ 那么将仅从 eth 开头的接口输出

也可以使用 --out-interface 参数

–sport 源端口

针对 -p tcp 或者 -p udp 缺省情况下，将匹配所有端口。可以指定端口号或者端口名，比如

• --sport 22
• --sport ssh
• --sport 22:100 # 使用冒号匹配端口范围

上述关系可以再 /etc/services 文件中查阅。

同理 --dport 是指定目的端口。

-P 设置内置 Chains

比如关闭所有 INPUT FORWARD OUTPUT:

注意: 这几行命令不要轻易在服务器执行。

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP

新建或者删除 Chain

使用 -N，比如：

iptables -t nat -N SHADOWSOCKS
iptables -t nat -X SHADOWSOCKS
iptables -t nat -E SHADOWSOCKS SS
iptables -t nat -F SHADOWSOCKS

解释：

• -N 新建 Chain
• -X 删除
• -E 重命名
• -F 删除 Chain 中所有规则

清理规则

清除已有 iptables 规则

iptables -F     # 删除所有的规则，刷新所有链
iptables --flush     # 刷新所有链
iptables -t NAT -F      # 有些发行版 `-F` 命令并不会清除 NAT 表中的规则
iptables -X     # 删除表中所有非默认链

允许本地回环接口（即运行本机访问本机）:

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT

允许所有本机向外的访问：

iptables -A OUTPUT -j ACCEPT

允许访问 22 端口，允许某 IP 访问指定端口，以 22 端口为例命令是：

iptables -A INPUT -p tcp --dport 22 -j ACCEPT                         # 允许所有的 IP 访问 22 端口
iptables -A OUTPUT -p tcp --dport 22 -j ACCEPT                        # 允许 22 端口发送数据
iptables -I INPUT -s 123.45.6.7 -p tcp --dport 22 -j ACCEPT           # 允许某个 IP 访问
iptables -I INPUT -s 123.45.6.7 -p tcp --dport 22 -j DROP             # 禁止某个 IP 访问
iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT       # 允许 IP 段访问

允许外部访问 80 端口

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

允许 FTP 服务的 21 和 20 端口

iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 20 -j ACCEPT

如果有其他端口稍微修改上述语句中的端口号即可

允许已建立的或相关连的通行

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

禁止访问

禁止其他未允许的规则访问

注意：如果 22 端口未加入允许规则，SSH 链接会直接断开

屏蔽单个 IP 的命令是

iptables -I INPUT -s 123.45.6.7 -j DROP

封整个段即从 123.0.0.1 到 123.255.255.254 的命令

iptables -I INPUT -s 123.0.0.0/8 -j DROP

封 IP 段即从 123.45.0.1 到 123.45.255.254 的命令

iptables -I INPUT -s 124.45.0.0/16 -j DROP

封 IP 段即从 123.45.6.1 到 123.45.6.254 的命令是

iptables -I INPUT -s 123.45.6.0/24 -j DROP

屏蔽某 IP 访问指定端口，以 22 端口为例命令是

iptables -I INPUT -s 123.45.6.7 -p tcp --dport 22 -j DROP

删除规则

要知道如何删除已添加的 iptables 规则，首先要查看规则 sudo iptables -L -n --line-numbers

比如要删除 INPUT 里序号为 8 的规则，执行：

iptables -D INPUT 8

保存和恢复配置规则

保存生效的配置，让系统重启的时候自动加载有效配置（iptables 提供了保存当前运行的规则功能）

iptables-save > /etc/iptables.rules

恢复规则可以使用：

iptables-restore < /etc/iptables.rules

但是系统并不会在启动时自动执行该规则，所以需要在 /etc/network/if-pre-up.d/ 目录中添加脚本

#!/bin/bash
iptables-restore < /etc/iptables.rules

让系统在开机时自动加载规则

其他应用

防止 DDos

iptables -A INPUT -p tcp --dport 80 -m limit --limit 30/minute --limit-burst 100 -j ACCEPT

解释：

• -limit 30/minute: 最大每个分钟 30 个连接
• limit-burst 100: 用来表示只有达到这个连接数量之后才会触发 limit/minute 限制

端口转发

下面的例子，将 422 端口的流量转发到 22 端口，意味着 incoming ssh 连接可以从 22 端口或者 422 端口：

iptables -t nat -A PREROUTING -p tcp -d 192.168.2.104 --dport 422 -j DNAT --to 192.168.2.104:22

另外也要显示的让 422 流量通过

iptables -A INPUT -i eth0 -p tcp --dport 422 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 422 -m state --state ESTABLISHED -j ACCEPT

reference

• https://www.vpser.net/security/linux-iptables.html
• https://wiki.archlinux.org/index.php/Iptables
• https://lesca.me/archives/iptables-tutorial-structures-configuratios-examples.html
• https://gist.github.com/wen-long/8644243
• https://www.thegeekstuff.com/2011/06/iptables-rules-examples/

Samba，是种用来让 UNIX 系列的操作系统与微软 Windows 操作系统的 SMB/CIFS（Server Message Block/Common Internet File System）网络协议做链接的自由软件。¹ Samba 能够为选定的 Unix 目录（包括所有子目录）创建网络共享。该功能使得 Windows 用户可以像访问普通 Windows 下的文件夹那样来通过网络访问这些 Unix 目录。

samba 有两个守护进程，smbd 和 nmbd，是 samba 的核心进程。nmbd 进程允许其他计算机浏览 Linux 服务器，smbd 进程在 SMB 服务请求到达时进行处理，并对共享的资源进行协调。

安装

sudo apt install samba

命令

smbd

启用 smb

sudo service smbd start

Samba 进程，使用 -D 参数开启守护进程。

或者

sudo /etc/init.d/samba start

smbpasswd

smbpasswd 命令属于 samba ，能够实现添加或删除 samba 用户和为用户修改密码。

语法

smbpasswd [option] [username]

smbpasswd（选项）（参数） 选项

-a：向 smbpasswd 文件中添加用户；
-c：指定 samba 的配置文件；
-x：从 smbpasswd 文件中删除用户；
-d：在 smbpasswd 文件中禁用指定的用户；
-e：在 smbpasswd 文件中激活指定的用户；
-n：将指定的用户的密码置空。

用户名：指定要修改 SMB 密码的用户。

添加用户

首先在 /etc/passwd 中添加一条，按照此格式：用户名：密码：uid:gid: 用户描述：主目录：登陆 shell

einverne:*:1000:65534:einverne:/var:/bin/false

然后添加 Samba 用户：

smbpasswd -a einverne

修改用户密码

smbpasswd einverne

配置

Samba 的配置文件地址在 /etc/samba/smb.conf

[global]
    netbios name = OpenWrt
    display charset = UTF-8
    interfaces = 127.0.0.1/8 lo 192.168.1.1/24 ipv6 address/60 br-lan
    server string = OpenWrt Samba Server        # 服务器说明，显示了 samba 版本信息，可自定义
    unix charset = UTF-8
    workgroup = WORKGROUP	# Windows 默认
    host allow =                                # 可以把 ip 写全或只写前几位，表示允许访问服务端的客户端，与 hosts deny 刚好相反
    browseable = yes
    deadtime = 30		# This is useful to stop a server's resources being exhausted by a large number of inactive connections
    domain master = yes
    encrypt passwords = true
    enable core files = no
    guest account = root
    guest ok = yes
    #invalid users = root
    local master = yes
    load printers = no
    log file = /var/log/samba/%m.log            # 日志文件位置
    max log size = 50                           # 文件大小设置，单位是 M
    map to guest = Bad User
    max protocol = SMB2
    min receivefile size = 16384
    null passwords = yes
    obey pam restrictions = yes
    os level = 65
    passdb backend = smbpasswd                  # 用户名密码存放方式
    preferred master = yes
    printable = no
    security = user                             # 设置 samba 的安全等级
    smb encrypt = disabled
    smb passwd file = /etc/samba/smbpasswd
    socket options = TCP_NODELAY IPTOS_LOWDELAY SO_RCVBUF=40960 SO_SNDBUF=40960
    syslog = 2
    strict allocate=no
    use sendfile = yes
    writeable = yes
    large readwrite = yes
    aio read size = 40960
    aio write size = 40960
    read raw = yes
    write raw = yes

[Home]
    path = /home/user			# 目录
    browseable  = no
    writable = yes              # 是否可写
    valid users = %S            # 具有合法登陆身份的用户登陆时，家目录变为自己的家目录

# 创建了一个 Share 名为 OpenWrt
[OpenWrt]
    path = /mnt/sda1			# 目录
    valid users = root			# 允许 root 读写操作
    read only = no				# 允许写
    guest ok = no				# 不允许匿名
    create mask = 0777			# 新文件权限
    directory mask = 0777		# 新文件夹权限

[public]                        # 公共目录访问
    comment = Public Stuff      # 注释
    path = /home/samba
    public = yes
    writable = yes
    write list =+staff          # 该目录除了 staff 的组员拥有读写权限外，其他用户仅可读

Samba 安全等级可选值有 4 种

• user 由提供服务的 samba 服务器负责检查账户及密码（默认）
• share 无需共享密码，任何人都可以访问 samba 资源
• server 该级别下，身份验证由 windows 主机或者 samba 负责
• domain 身份验证由另一台 windows 主机负责

用户名密码存放方式设置可选值有 3，默认为 tdbsam，位置 /var/lib/samba/private/passwd.tdb

• smbpasswd 使用 /etc/samba/smbpasswd 给系统用户设置 samba 密码，这种方式，用户必须为系统用户
• tdbsam 使用数据库文件 passdb.tdb，可用 smbpasswd -a 创建 samba 用户，也可用 pdbedit 创建
• ldapsam 使用 ldap 方式验证用户

其中如果选择使用 tdbsam 那么用户管理可以使用如下方法

pdbedit -a username              新建 samba 账户
pdbedit -x username              删除 samba 账户
pdbedit -L                               列出 samba 用户列表，读取 passdb.tdb
pdbedit -Lv                             列出 samba 用户列表详细信息
pdbedit -c “[D]” -u username  暂停该 samba 用户账号
pdbedit -c “[]” -u username     恢复该 samba 用户账号

配置参数只读配置

正如上面提到的，创建一个新的名为 Openwrt 的共享，需要有些配置，有些配置看名字就能够看出，但是有一些有些复杂。

如果想要创建一个只读的，任何人都可以访问的分享：

[Share]
    path = /media/movie
    comment = this is folder sync from bt
    read only = yes
    guest ok = yes
    create mask = 0777			# 新文件权限
    directory mask = 0777		# 新文件夹权限

参数：

• create mode – 这个配置定义新创建文件的属性。Samba 在新建文件时，会把 dos 文件的权限映射成对应的 unix 权限，在映射后所得的权限，会与这个参数所定义的值进行与操作。然后再和下面的 force create mode 进行或操作，这样就得到最终 linux 下的文件权限。
• force create mode – 见上面的描述。相当于此参数所设置的权限位一定会出现在文件属性中。
• directory mode – 这个配置与 create mode 参数类似，只是它是应用在新创建的目录上。Samba 在新建目录时，会把 dos–>linux 映射后的文件属性，与此参数所定义的值相与，再和 force directory mode 相或，然后按这个值去设置目录属性。
• force directory mode – 见上面的描述。相当于此参数中所设置的权限位一定会出现在目录的属性中。
• 说明一点，上面的 create mode 和 create mask 参数是同义词，用哪个都可以；而 directory mode 和 directory mask 参数是相同的。

用户名密码共享

公共的共享可能会有安全问题，所以可以通过用户名密码来管理权限。如果要创建一个用户名密码访问的共享，配置

[PasswordShare]
    path = /home/samba
    writable = yes          # 是否可写
    public = yes            # 是否公开
    browseable = yes        # 是否允许在工作组
    create mode = 0655
    directory mode = 0755   # 设置不同的用户登陆后创建的文件和文件夹权限
    valid users = user,user1,@share    # 允许访问该共享的用户名（多个用户或者组中间用逗号隔开，组用“@组名”表示）

若希望每个人创建的内容都可以被其他人修改，则设置为 0770, 若希望每个人创建的内容只能被自己修改，分别设置 create 为 0655 和 directory 为 0755

useradd user
useradd user1
groupadd share
usermod -aG share user
usermod -aG share user1
mkdir /home/samba
chmod 777 /home/samba
chgrp share /home/samba
echo "example" >  /home/samba/file1.txt
smbpasswd -a user
smbpasswd -a user1

客户端

客户端验证 Linux 访问 samba：

smbclient -L 192.168.2.200/publicshare  -u user     # 密码是自己设置的密码，查看共享内容
smbclient //192.168.2.200/publicshare -U user       # 密码是自己设置的密码，ls 可看到共享的详细内容

客户端挂载命令为（客户端需安装 cifs-utils)

mount -t cifs -o username=einverne,password=xxxxx //192.168.2.200/publicshare /home/samba

reference

• https://www.samba.org/samba/docs/man/manpages-3/smb.conf.5.html
• http://man.linuxde.net/smbpasswd
• https://wiki.openwrt.org/doc/uci/samba
• https://www.samba.org/samba/docs/man/manpages-3/smb.conf.5.html
• https://gist.github.com/lanceliao/b21cc1b54236c6eadfbb

又到了一年的年末，翻开去年的记录，吃惊的发现去年竟然只看过 16 本。今年年初的时候，计划阅读 100 本书，也的的确确一直坚持了一年，中途可能因为工作耽误了一些进度，但也一直坚持到现在。然而遗憾的是到目前为止，距离 2016 年结束还有短短一个礼拜的时候，又发生了和去年一样的问题，欠下了 10 本左右的债。

耳边总有人说，“为什么总要在意那几个数字？”，而对我而言，那不仅仅是那几个数字，他是年初的一句承诺，对整个年度的一句承诺，如果不能达到这个承诺，那过去说过的话还有什么意义。

今年的书单印证了一句话“因为一本书，爱上一个人，迷上一个类型”，我也曾经在 G+ 上说过，多少年了，还是在三年级到初中的那段时间疯狂的迷过 Verne，多少年的时间里因为学业，因为各种，再难爱上一位作家，再难爱上一段文字。而今年因为一本《解忧杂货铺》让我知道了东野圭吾，也打开了我认知的另一扇窗户。今年的近 90 本中有很大一部分都是东野的作品。而有趣的事，和东野的经历一样，让我们结识悬疑推理的经历竟然如此的相似，这一段经历可以参考 《我的晃荡的青春》，东野的青春竟然也如此的淘气和真实。

而我从年初，从东野最著名的小说开始读《嫌疑人 X 的献身》、《白夜行》在到加贺恭一郎系列，再甚至到不怎么出名，甚至默默无闻的早期作品《以眨眼干杯》《沉睡森林》，再到毒舌三部曲《毒笑小说》《黑笑小说》《怪笑小说》，东野圭吾的书读不到尽头也几乎没有重复，这让我佩服的五体投地。

按时间排序读过

• 解忧杂货铺 五星
• 白夜行 五星
• 空中杀人现场，短篇，四星
• 嫌疑人 X 的献身，五星
• 秘密 五星
• 放学后 四星
• 恶意 五星
• 流星之绊 五星
• 彷徨之刃 五星，强烈推荐
• 幻夜 四星
• 信 五星
• 单恋 四星
• 时生 四星
• 名侦探的守则 四星
• 圣女的救济 五星
• 宿命 四星
• 超杀人事件 五星，短篇可以看看
• 名侦探的诅咒 四星
• 浪花少年侦探团 四星
• 再见了忍老师 四星
• 十一字杀人 四星
• 没有凶手的杀人夜 四星
• 分身 四星
• 同级生 四星
• 只差一个谎言 四星
• 祈祷落幕时 四星
• 虚无的十字架 五星
• 湖畔杀人事件 四星
• 布鲁特斯的心脏 三星
• 毒笑小说 五星
• 从前我死去的家 四星
• 新参者 五星
• 黑笑小说 五星
• 天空之蜂 四星
• 美丽的凶器 四星
• 濒死之眼 四星
• 杀人之门 四星
• 以眨眼干杯 四星
• 毕业 四星
• 学生街杀人 四星
• 我的晃荡的青春 四星
• 红手指 四星
• 谁杀了她 四星
• 怪人们 四星
• 麒麟之翼 四星
• 梦幻花 四星
• 变身 五星
• 假面饭店 四星
• 天使之耳 五星
• 沉睡的森林 四星

今年的书摘如果都放到这边可能有些多，甚至没有什么必要，有些内容经过整理和摘录，我都放到了 Evernote 中。有些比较长的内容，也有格式化。

其他小说

• 围城，毕竟有些年代，不过依然值得一读
• 追风筝的人，带领我走进阿富汗
• 灿烂千阳，追风筝同作者的书，依然讲述阿富汗的故事
• 岛上书店，毕竟畅销书，明年可以按比例提高产销书比例

技术

但回头看自己今年的书单，深感技术类书籍占比略少，去年至少系统的看过 Bash，和基础 Linux，而今年除了看一些基础的 Java 知识，再没有系统地学习一项内容，除了年末恶补了一些 Spring MVC 和 Redis， HBase 的相关知识。因此在制定明年的计划时要讲技术书籍内容比例提高到 10% 左右，有些书值得反复阅读思考和实践，技术类的书既有消费品也有值得反复品味的内容。

今年读过的技术类书：

• Effective Java 五星，所有 Java 编程者都应该读一读
• Java 与 模式，稍显啰嗦，但是讲的非常细致
• Maven 实战，熟悉 Maven 入门速成
• Redis 入门指南，入门书籍，不讲求细节和实现原理
• 其他的都没有完整的读完，明年一定要提高一定的比率。

摄影

而其他摄影的类：

• 摄影师的视界，迈克尔弗里曼摄影构图与设计，讲构图的书，还是值得一看，只是还没有来得及实践
• 穿透黑暗夜景和暗光摄影，匆匆读过，夜间摄影还是需要一些技巧
• 昨天的中国，在学校法盟偶然遇见的一本纪实摄影，顶赞

设计

• 设计准则，第一次参加读书会时借阅的书，讲到一些日常生活中的设计，当要装修的时候再参阅
• 设计心理学

其他

• 人在欧洲，真的是讲人在欧洲的一些见闻和思考感悟
• 民主的细节，五星强烈推荐
• One Billion Customers ，五星强烈推荐
• 黑客与画家，其实早读过，今年又翻出来推荐给一些人，和画家一样做创造性的工作才有价值
• 乖，摸摸头，小故事，有人说的”鸡汤“
• 秦始皇的秘密，也是听人推荐一口气读完的，当故事看吧
• 断舍离，整理啊
• 怦然心动的人生整理魔法 1,2 第一部比较笼统，第二部比较仔细，第二部中的衣服整理法则好好
• 从你的全世界路过，畅销书，小故事看吧
• TED 演讲的 8 个秘诀
• 失控，大部头的书，好像就记得蜜蜂了。
• 三人行，第一次见到那么排版的书籍， 针对同一个主题，两岸三地不同世界的人不同的故事。

还有一些就不列 了。

今天突然收到 Google Play Store 发来的邮件通知，说违反社区准则，原因是没有隐私政策说明。全文如下：

Our records show that your app, {Application Name}, with package name {package name}, currently violates our User Data policy regarding Personal and Sensitive Information.

Policy issue: Google Play requires developers to provide a valid privacy policy when the app requests or handles sensitive user or device information. Your app requests sensitive permissions (e.g. camera, microphone, accounts, contacts, or phone) or user data, but does not include a valid privacy policy.

Action required: Include a link to a valid privacy policy on your app’s Store Listing page and within your app. You can find more information in our help center.

Alternatively, you may opt-out of this requirement by removing any requests for sensitive permissions or user data.

仔细研读几遍之后发现其实只要增加一条链接，说明一下隐私政策。其实主要的原因就是应用中使用到了 android.permission.GET_ACCOUNTS,android.permission.READ_CONTACTS 这俩权限，都是 Firebase SDK 里卖弄登陆要用到的。

仔细研究了一番 Google 的隐私政策， Instagram 的隐私政策 。

然后随着大概意思拷贝了一份。

Pdnsd 是用来缓存本地DNS信息的 DNS 服务器。和 BIND 和 dnsmasq 相比，Pdnsd 在重启之后依然可以保存 DNS 缓存，名字中的 p 表示 persistent。

Installation

Ubuntu/Debian 系下使用如下命名安装：

sudo apt install pdnsd

Ubuntu 18.04 中 pdnsd 似乎并没有在仓库中。

Configuration

默认配置地址 /etc/pdnsd.conf。

下面配置示例，后面的分号不可缺少。

配置示例：

global {                                                                        
        perm_cache=1024;        # 要缓存多少DNS信息                                                
        cache_dir="/var/pdnsd";                                                 
#       pid_file = /var/run/pdnsd.pid;                                          
        run_as="nobody";                                                        
        server_port = 1053;                                                      
        server_ip = 127.0.0.1;  # Use eth0 here if you want to allow other       
                                # machines on your network to query pdnsd.       
        status_ctl = on;                                                         
#       paranoid=on;       # This option reduces the chance of cache poisoning   
                           # but may make pdnsd less efficient, unfortunately.   
#       query_method=udp_tcp;                                                    
        query_method=tcp_only;  # 使用 TCP 方式去查询 DNS 服务器                                                 
        min_ttl=15m;       # Retain cached entries at least 15 minutes. 缓存 DNS 最短有效期         
        max_ttl=1w;        # One week. 缓存 DNS 信息最长有效期                                           
        timeout=10;        # Global timeout option (10 seconds).                 
        neg_domain_pol=on;                                                       
        udpbufsize=1024;   # Upper limit on the size of UDP messages.            
}                                                                                

server {                                                                         
    label= "googledns";                                                          
    ip = 8.8.8.8, 8.8.4.4;                                                       
    timeout=30;                                                                  
    interval=30;                                                                 
    root_server = on;                                                            
    uptest = ping;                                                               
    ping_timeout=50;                                                             
    purge_cache=off;                                                             
    exclude=.cn, .douban.com, .taobao.com                                         
}             

Pdnsd 读取配置时，优先级从上到下，上面的 DNS 服务器配置优先于下一层。

DNS servers

pdnsd 需要至少知道一个上游 DNS 服务器用来收集信息

• label，用来标示服务器，随意，但最好写上服务器名字
• ip，DNS 服务器地址，可以分多行，也可以使用逗号分割

/etc/resolve.conf 中指定了一些DNS服务器地址，在配置 pdnsd 的时候，修改为

nameserver 127.0.0.1

测试

启动 pdnsd 服务

/etc/init.d/pdnsd start 
nslookup www.douban.com 127.0.0.1

或者

dig @localhost -p port www.douban.com

如果返回正常，和 webdnstools 比照，则说明配置成功

清空本地缓存

sudo pdnsd-ctl dump   # Print information stored in the cache about name.
sudo pdnsd-ctl empty-cache

查看端口占用

sudo netstat -anp | more

pdnsd 只能优化 DNS 解析，并不能避免 DNS 污染。

reference

• https://wiki.archlinux.org/index.php/pdnsd
• https://debian-administration.org/article/390/Speedup_DNS_requests_with_a_local_cache
• https://wordpress.youran.me/pdnsd/

最近 Evernote, WizNote 纷纷宣布收费，一时间让我手足无措，原本按部就班的一些流程纷纷被打破。但是笔记和摘录总是那样的顺其自然，在翻看自己曾经摘录过得一些整理法则的时候，发现其中有些问题确实自己也已经犯下，在电脑玩物的《Evernote 超效率数位笔记术》书中，作者总结了“Evernote 用户最容易犯的 10 个错误”：¹

1. 无目的的存储: 收集资料的目的性是非常重要的，所谓的目的应该紧紧围绕自身的现实需要，如果漫无目的地搜集，将来使用到的几率是非常低的，对于你自身的提高和发展毫无裨益。
2. 过度分散: 这个可能在利用 Evernote 当做 GTD 执行系统中出现。
3. 不愿意舍弃: 参考“断舍离”整理法，需要放弃“把东西占为己有的观念”，现在能够收集到的有价值的资料一定会在网络上更新与流通保存，你一定能够在网络上再次找到需要用到的时候才去寻找，能够得到更新更准确的资料。不会过期的资料便是你自己的心得、感想、经验与故事。笔记本不是仓库，而是用于行动的工具，收纳的东西越少，你的人生就越轻松。
4. 笔记之间不流动: 可以参考建立笔记中枢的做法。
5. 笔记方式太枯燥: 有的时候拍照或者录音会更方便快捷。
6. 没有在行动中使用: 终究是习惯问题，想不起来记笔记，或者干脆会忘掉，这一点我就非常佩服日本人，看日剧中那种随身携带行事记录的人就特别敬佩，可以随时查看某个过去的时间做过什么，在哪里。
7. 过度在意版面编排: 需要专注于笔记内容，舍弃其他多余的东西。
8. 停留在文档处理思维: 放弃处理文档时候细琐、分散、独立的思维，需要更多的整理沟通。
9. 没有把记忆交给 Evernote: 没有形成一有想法就记录下来的习惯，是没有办法真正释放记忆的压力，也就不用说用好 Evernote 了。
10. 过度整理: 笔记的整理时一个长期的过程，也需要根据自己的实际需要来增加或者删减内容，不需要苛求一开始就整理得漂亮详细，一切都需要根据实际需要来进行操作，目的是为了以后能够用到。如果不能用到，便是在做无用功。

对于这些错误，最严重的就是第一条，因为 Evernote 和 WizNote 的网摘插件实在太好用，在摘录了大片的内容之后，就忘记整理总结，躺在笔记本中就“死亡”了。幸而这些天这么折腾让我想起了那些笔记墓地，也正好抽出时间来整理一下。正像最后写的那样，”笔记是为了在以后用到，如果用不到，那便是在做无用功”。

建立合理的分类

早之前就总结过分类和标签，这两者在使用上还是有些区别的，最直观的区别就是一篇笔记只能属于一个分类，而可以归属于多个标签。分类是方便我们整理，而标签是便于我们检索和记忆，同样分类是给我们自己看的，而标签是给机器看的。因而建立一个合理的分类是非常必要的。之前看电脑玩物使用标签整理法，在我个人使用一段时间之后便放弃了，转而使用分类管理，而在过程中打上标签。

根据自己的使用，可以将笔记划分为不同的分类：

• Notes 通用的未处理笔记，包括大部分文摘，网摘
• Archive，归档，当笔记无法分类时，归到此类，处理完之后归档
• 读书笔记，看书时做的记录，通常一本书一篇
• 豆瓣影评，电影观后感，或者电影相关资料
• 蜂窝游记，平时有些游玩准备，或者游记，图片之类
• 微信收藏，微信公众号中值得看第二遍的内容
• 我的邮件，通过邮件收藏的内容，通常由 InoReader 中内容发送过来
• 购物清单，又包括许多子分类

等等分类，每篇文章，在未处理之前都在未分类中，在处理完之后都有自己的归属。

标签管理

这里使用购物清单来作比喻，对于使用记事本来做类似 TODO list 这样的事情来说，没有比使用标签来得更加方便的事情。大部分人可能已经习惯了 List 这样的 Todo 清单，但是对于一件需要长期进行的计划来说，单一的清单可能已经完全不能满足需求。因此才出现了 Trello 这样的多 Board 的清单列表。而对于记事软件比如 Evernote 或者 Wiznote 来说，没有了 Trello 这样的多列待办清单，使用 Tag 来模拟也是可以轻易的实现的。

我的标签命名方式从电脑玩物学来，使用如下：

• !01.GTD
• !01. 重要
• !02. 今日事
• $02.Shopping
• $01. 想要
• $02. 调查
• $03. 不需要
• $04. 满足

对于这样的分类能够一目了然并且能轻松快速的找到想要的内容。而使用“！”这样的方式不仅增加了趣味，也让标签更加形象，”$” 就表示和购物相关。

而对于购物清单的子标签中分成想要，调查，不需要，满足四个标签，对于我自己，当在平时浏览网页，阅读 RSS，或者好友推荐，甚至广告中获取某一个产品时，优先添加到想要的标签中。而第二个调查标签为自己在调查想要的产品时可能主动浏览或者搜索的重要内容。而调查的内容可能有两种归宿，一种是在调查过程中发现确实不需要，最后将内容添加到不需要中，另外一种就是为最后列出了需要购买的几点理由，而不得不买时，将内容拖到满足中，并完成购物。当且仅当物品出现在调查中，并且有几点强烈需求时才能将其拖入到满足中。

对于文档标题，使用物品内容 + 型号 + 价格来标识。对于同一件物品使用尽量同一个文档来保存。比如文档” Dji Marvic Pro 6999“ 在想要中记录。然后可能会调查他的摄像分辨率，飞行高度等等参数然后记录。当然最重要的是列出需要购买的理由，不单纯仅限于玩一玩啊。

reference

前段时间处理和广告相关的业务，接触到一些名词，网上也有一些解释，归纳下也好。

CPM （Cost Per Mille）

Mille is Latin for “thousand” ，千人浏览计费（impressions）， 1000人观看价值。 1元/CPM 表示，每千人次观看 banner 广告，则收费1元。每CPM 收费标准不一，国际每 CPM 收费 5美元到200美元不等。一般网络中热门位置广告横幅，视频插播广告，移动端 banner 广告等等通常使用 CPM 收费模式。

对于广告载体，如果有大流量并且广告投放商更加关注品牌曝光率而不是直接进行交易，CPM比较合适。

CPC （Cost Per Click）

点击一次计费，对于大品牌广告投放商来说，这明显是不划算的方式，不可预估广告花费。CPC 是购买广告低风险的一种方式，只需要为有效点击付费。 Google 的 AdSense 就是最大的 CPC 市场。

CPA （Cost Per Action)

按广告投放实际效果，按有效订单或者有效回访问卷或者有效注册会员等等而定，不限制广告投放的数量。CPA 方式下会计算 effective CPA，简称 eCPA，用来计算投资回报。也就是说，如果通过广告卖出了 5 份产品，那么 eCPA 是 $50 / 5 sales = $10 per sales. 如果能够从每笔交易中获取超过 $10 的利润那将是一份成功的广告投放，而如果没有，那么则需要重新思考市场策略。

CPI (Cost Per Install)

每次安装成本计费，常见于手机App 安装。

三方广告监测公司

秒针，admaster， Double Click 等。

reference

• https://www.zhihu.com/question/20416888
• https://written.com/blog/51/cpm-cpc-cpa-pricing-online-media

根据 Tampermonkey 在Google Code页面的介绍，Tampermonkey 是一款在 Google Chrome 和 Chromuim 浏览器中提供“油猴子脚本”支持的工具。Tampermonkey 是 Google Chrome 中最流行的一款脚本管理插件。它的 API 完全兼容“油猴子脚本”，它还加入更多的 Chrome 本身不支持的用户脚本功能，比如 GM_registerMenuCommand 和 GM_xmlhttpRequest 这两个函数。

安装地址： Chrome Web Store

Tampermonkey is a tool that provides Greasemonkey script support for Google Chrome and Chromium Browser. It's API is fully compatible to Greasemonkey, including GM_registerMenuCommand, GM_xmlhttpRequest with cross domain support and access to the unsafeWindow object.

什么是浏览器用户脚本 (Userscript)？

当用户浏览网页时，会从服务器上下载脚本，并在本地运行，这种脚本我们会称之为网页脚本。与网页脚本不同的，用户脚本本身就在客户机上，不需要下载，而且如果不对其做限制，可用在所有网页上。浏览器用户脚本通常使用 Javascript 语言编写。

通过编写用户脚本，可以很大程度上提高上网体验。譬如使用 Userscript 可以实现网页自动翻页、文字翻译、页面预读、看图增强等等有用、有趣的功能。

Userscript 虽然很自由很强大，但出于安全性原因，使用的时候会有些限制，如 Userscript 不能操作文件、不能操作剪贴板等。
参考

Tampermonkey 功能

1. 管理和编辑所有的用户脚本
2. 点击启动和禁用脚本
3. 在不同 Chrome 中同步所有的脚本
4. 通过 URL 搜索用户脚本（确保启用 TamperFire）

Features:
 - manage and edit all your userscripts
 - enable and disable your scripts with 2 clicks
 - easily sync you scripts between different Chrome instances
 - search scripts from userscripts.org by URL (with TamperFire enabled)

使用 Tampermonkey 同步脚本

1. 将"Config mode"切换到"Advanced"
2. 找到"TESLA BETA"启动"Enable TESLA","type"选用“Chrome sync（Beta）”，save
3. 这样所有的脚本都不会丢失了，不会发生我重装系统丢失所有脚本的情况了。

Tampermonkey 何时同步：
1) before every TM update check
2) whan a script is changed locally
3) when TM starts
4) every 5h (will become configurable)
参考

安装脚本过程

找到你想要安装的用户脚本，例子中使用“Download YouTube Videos as MP4”脚本，更多推荐脚本可以看我这篇文章，一下在 Chrome 中执行。

到了这个界面可以点击右上角的“Install”，然后会自动调用 Tampermonkey

点击“OK”

这个界面可以看到脚本要求的权限和版本信息等等信息。点击“OK”整个安装过程就结束了。
最后晒晒我的脚本

如果想要深入了解一下油猴子用户脚本，可以参考一下这本书《深入浅出 Greasemonkey》

参考以下文章

• http://www.iplaysoft.com/greasemonkey.html
• http://pcedu.pconline.com.cn/soft/wl/brower/1206/2839052.html
• http://www.cnblogs.com/kuber/archive/2010/04/08/Why_Userscripts_Is_Not_Better_Than_Extensions.html

作为一个坚定的 Android 使用者，最近想要尝试一下 iOS，只有尝试过之后才有对比，有对比才能比较出好坏。于是乎记录下从一个 Android 重度使用者，转用 iOS 遇到的一些问题和解决方案。以下行文的结构按照提出问题，寻求解决的过程及最后的解决方案来规划。

从Android手机恢复通讯录，短信，通话记录

通过设置 Google 账号同步联系人，但是短信和通话记录暂时无法找到方法备份恢复。幸而我的所有通讯录都有云备份，轻松的通过账号登陆就可以完成通讯录的迁移，但是因为短信和通话记录相对不是太重要，所以暂时还不需要迁移过去。并且 Android 端的短信和通话记录通过 SMS Backup+ 备份到了 Gmail 和 Google Calendar，所以也不存在丢失问题。

Apple ID 不同国家切换

直接使用苹果AppleId官网，可以轻松注册美区账号。在手机首次登陆时，选择 none，不使用信用卡登陆即可。原本有一个美区的账号的，但是手贱转回了国内，无奈只能再注册一个了。

而苹果 iTunes 账号分区和 Google Play Store 分区的困难程度也还是差不多的，但是明显 iOS 上切换账号起来比较麻烦。

App 迁移

最重要的部分都在于此，但是因为平时使用的应用，基本都是跨平台的，因此也没有遇上什么比较困难的问题，登陆应用内的账号，云同步一下数据基本就完事了。这里要分享一些 must have app，基本都是跨平台的

• LastPass ，所有的密码 迁移到了 Bitwarden
• Google Photos，所有的 Photos
• Dropbox，所有的文档 迁移到了 [[Syncthing]], NextCloud
• 网易云音乐，所有的音乐 自建 [[Plex Server]]，迁移到了 [[Plexamp]]
• WizNote，所有的笔记 迁移到了 [[Obsidian]]

所有的这些，我登陆一下账号，我想要的数据都来了。而剩下的其他社交类，工具类，修图类基本都能找到。

更改 Home 键功能

对于iPhone 的Home 键，我实在是无法习惯，可能是我被 Android 的 back 键和多任务切换的 recent 键惯坏了。但在 iOS 上返回操作和多任务切换在我看来是非常费劲的一件事情。iOS 的返回操作在我努力使用一天之后，大部分的情况下可以使用“从屏幕左边缘向右滑动“来进行返回操作，但对于我这样一个右手使用者来说，单手操作非常非常吃力，并且有的时候，比如在照片浏览的时候这样的操作却又是无用的。而对于弹出窗口，完成返回的操作按钮可能出现在左边，也可能出现在右边，这让返回操作异常困难，经常需要双手或者异常困难的手势去完成一个返回或者完成的操作。

比如下面的几张截图，需要完成一个返回或者完成的操作，左边，右边，滑动都出现了。并且当从一个应用跳转到另外一个应用的时候，你会注意到状态栏多出一个返回来，而那个返回”竟然是可点击“的，可以用来返回上一个应用。这对于我这个 Android 重度使用者来说完全无法适应，原本使用 Back 键能够完成的事情，现在需要我选择三四种方式，还需要分不同场合选择使用。

再说回到 Home 键本身， Home 键有如下的操作方式：

• Tap，轻触不按下，识别指纹，或者解锁手机
• Double Tap，连触，将屏幕拉下，适用于单手操作
• Press，按下，返回主界面，类似于 Android Home 键
• Double Press，双击，切换多任务，类似于Android 多任务键
• Long Press，开启 Siri
• Triple Press 可以在 accessibility 中开启。

这些操作在 Android 系统上分别为四个按键，而在 iOS 端全部糅合到一个按键中，难怪我实在无法适应 Home 键。当然 Android 的 Back 键在推出的时候，也有很多人，甚至开发者也会产生疑惑，甚至开发文档有整整一页说明返回按键的流程，但是依然不妨碍用户使用它。甚至在很早的时候我在看到 Android 和 Chrome 中按钮设置的时候，就感觉到 Android 和 Chrome 的按钮设置太像了。Chrome 很简洁，保留的按钮并不多，但是返回按钮，主页按钮，以及标签页都在非常重要的位置，而这三个按钮也正是 Android 得以保留的三个按钮。

而 Android 的这个按钮让用户得以在应用中跳转而不会迷失，我甚至给举例，比如我在 Google+ 中看到有一个 YouTube 视频，我点开会自动跳转到 YouTube App 播放该视频，然后我看到说明区域有链接，我点击查看详情，跳转到 Chrome App，在查看文章的时候，我看到有活动申请，于是点击邮箱地址跳转到 Gmail App，写完邮件，我甚至可以使用 back -> Chrome -> back -> YouTube -> back -> Google+，来返回到原来浏览的地方。而这一点我是无法在 iOS 上完成的，也不敢想象，我要多累才能回去。当然那个例子是一个极端的情况，但是日常中我会经常需要跳转。

总结

总之在最后，iOS 和 Android 各有各的优劣，而最近几年的更新也是相互借鉴，Android 借鉴 iOS 的权限管理， iOS 借鉴 Android 的通知系统，而对于我们消费者来说，两者只要适合我们，为我们所用，都是很好的 Smart Phone。

而下面是几点 iOS 让我刚到非常惊喜的

Smooth and faster

界面和整体非常流畅，动画几乎没有卡顿，但也有遇到在 Setting 界面卡住不动，在 App Store 列表卡住的情况。但是总体来说较 Android 而言，确实非常顺滑。并且一直被提及的跟手程度，其实也是稍微有优势的，只是近年来差距越来越小了。

通知接受很快

这也是非常赞的一点，这当然和 Apple 收紧通知发送有关，PC，iOS，Android 三端相同网络环境，经常是 iOS PC 受到消息很久之后 Android 才能受到消息。

Siri VS Google Now

这一点确实令人比较惊喜， Siri 在中文支持上竟然还可以，可能 Apple 给中文适配的比较多吧，同时功能也很稳定，不像 Google Now，有的时候就不理我了。

在移动设备上有很多方式来追踪用户的地理位置信息，下文会展开。然而并没有一种方式能够很容易作弊，对于日常普通用户而言模拟地理位置可以实现但是相对成本较高。因而综合使用以下的定位方法，可以让模拟地理位置信息变得非常困难。

有以下技术可以用来实现GPS定位：

• GPS Reporting ，这是相对来说成本较“昂贵”的定位方法，一般来说 GPS 需要消耗更多的电量来提供GPS芯片读取卫星信号。GPS 信号可以编程通过修改GPS芯片驱动来改变获取到的位置，这种方式甚至不需要修改设备。

• GSM Reporting 通常是最常见的定位方法，通过距离最近的三个信号塔，三角定位。在这种方式下，模拟位置相对较难。或许可以通过修改设备硬件，或者通过伪造基站来达到伪造定位，当成本也相对较高。并且，一般来说通信是加密的，也会造成不少困扰。

• LAN Reporting 这种方式通常能够提供高精度的室内定位。

• WAN Reporting 这种方式就是简单的 IP 定位，这种方式也是最容易破解的。这种方式也是通常移动设备上网页常见的定位用户方法。

• Others 除了以上提到的常见定位方法，还有一起其他的定位方法，比如“惯性导航系统” , 这种方式不需要额外的传输手段，它使用内部的传感器和地图来确定位置，具体来说就是“使用加速器和陀螺仪来测量物体加速度和角速度，并使用计算机来连续估算 运动物体的位置、姿态和速度。通常不需要外部参考系，常被用在飞机，导弹， 潜艇和各种航天器中。” 摘自维基 。

其他可以考虑的因素是，大部分的地理位置数据会保存在移动设备的某个地方。因此开发者可以通过获取用户上一次的地理位置信息来判断当前的位置信息是否正确。比如你可能1min前还在北京海淀，然后现在定位信息在美国华盛顿，这样的位置变化可能有些问题。

以上翻译自Security StackOverflow (Bluetooth, RFID, Inertial nav, experimental, etc)

检测 Android 模拟位置

在讲完实现定位方式之后，探讨一下 Android 对于模拟 GPS 的检测方法。

Developer Mode Mock Location

在 6.0 以前在开发者选项中有模拟位置的选项可选，开发者可以用过模拟位置来伪造地理位置信息。这种方式可以被很多方法检测到。比如：

public static boolean isMockSettingsON(Context context) {
  // returns true if mock location enabled, false if not enabled.
  if (Settings.Secure.getString(context.getContentResolver(),
                                Settings.Secure.ALLOW_MOCK_LOCATION).equals("0"))
     return false;
  else
     return true;
 }

第二种方式是检测安装的应用中是否有应用使用了 android.permission.ACCESS_MOCK_LOCATION 权限。

public static boolean areThereMockPermissionApps(Context context) {
  int count = 0;
  PackageManager pm = context.getPackageManager();
  List<ApplicationInfo> packages =
     pm.getInstalledApplications(PackageManager.GET_META_DATA);
  for (ApplicationInfo applicationInfo : packages) {
     try {
        PackageInfo packageInfo = pm.getPackageInfo(applicationInfo.packageName,
                                                    PackageManager.GET_PERMISSIONS);
        // Get Permissions
        String[] requestedPermissions = packageInfo.requestedPermissions;
        if (requestedPermissions != null) {
           for (int i = 0; i < requestedPermissions.length; i++) {
              if (requestedPermissions[i]
                  .equals("android.permission.ACCESS_MOCK_LOCATION")
                  && !applicationInfo.packageName.equals(context.getPackageName())) {
                 count++;
              }
           }
        }
     } catch (NameNotFoundException e) {
        Log.e("Got exception " + e.getMessage());
     }
  }
  if (count > 0)
     return true;
  return false;
  }

通过这两个方法能够减少一定程度非 root 机模拟位置的可能性。

root 手机

而对于root机型，几乎无法从根源上反作弊，对于出来四年的 Ingress 也几乎无法避免作弊的问题，目前可知的 Ingress 对于位置欺骗的反作弊方式有：

• 速度限制， 35 miles per hour 大概是 55km/h
• 交叉验证 SSID，通过匹配数据库中记录的 SSID 来确定位置

摘自StackOverflow

而对于这两种方式 Ingress 官方并没有明确的文档指出，基本通过玩家黑盒测试得出。而对于最新出的 Pokemon Go，在全球作弊成风的情况下官方直接禁用了 Root 机型。因此目前对于 root 机型的反作弊我还是没有找到可用的方法。