主页 / user-131452

divB's questions

Martin Hope
divB
Asked: 2025-01-13 15:01:09 +0800 CST
  • 13

我与服务器 (owner-api.teslamotors.com) 建立了 SSL 连接，该连接通过 wget、curl 或 openssl s_client 挂起。我展示的是 curl 版本，因为它提供了最多的调试消息：

# curl -iv https://owner-api.teslamotors.com 
*   Trying 18.203.70.200:443...
* Connected to owner-api.teslamotors.com (18.203.70.200) port 443 (#0)
* ALPN: offers h2,http/1.1
* TLSv1.3 (OUT), TLS handshake, Client hello (1):
*  CAfile: /etc/ssl/certs/ca-certificates.crt
*  CApath: /etc/ssl/certs

ClientHello 之后它就挂起了。TCP 连接已成功建立（也已通过 telnet/nc 确认）。其他网络连接（包括我尝试过的任何 SSL 连接）都可以正常工作。除了owner-api.teslamotors.com:443。

我发现这个帖子谈论的是 MTU，听起来有些牵强。但我减少了服务器 MTU，它就起作用了！它适用于任何 <= 1420 的 MTU。

服务器使用以太网 (MTU 1500) 连接到 Mikrotik 路由器，然后从那里通过 WireGuard 隧道 (MTU 1420)。我知道这可能不是最佳选择，因为来自服务器 >1420 的任何 IP 数据包都需要分段。但是，这与任何 L4 协议无关。TCP 上的 SSL 不应该关心分段和 MTU。然而，这个主机关心。

我在 Mikrotik 盒子上运行了数据包捕获，流量没有列出任何异常：

图像

典型的 TCP 握手是第 1-3 次，然后是 ClientHello（第 4-5 次）和 ServerHello（第 6-7 次）。没有数据包大小接近 MTU，也没有其他 ICMP 消息表明存在碎片等问题。

根据评论，以下是 tracepath 输出：

# tracepath owner-api.teslamotors.com
 1?: [LOCALHOST]                      pmtu 1500
 1:  XX.XX.56.210                                          0.410ms 
 1:  XX.XX.56.210                                          0.198ms 
 2:  XX.XX.56.210                                          0.138ms pmtu 1420
 2:  XX.XX.56.185                                        151.394ms 
 3:  no reply
 4:  100.100.200.1                                       157.220ms 
 5:  10.75.0.193                                         154.068ms 
 6:  10.75.2.53                                          161.950ms asymm  7 
 7:  decix1.amazon.com                                   152.107ms asymm  8 
 8:  decix2.amazon.com                                   153.068ms 
 9:  no reply
 [...]

我真的不知道这里到底发生了什么。

为什么这个 SSL 连接失败？

networking
Martin Hope
divB
Asked: 2024-09-29 16:16:45 +0800 CST
  • 5

我已经设置了 Intel ME (v11.8.92) 并使用 MeshCommander 进行访问。

只要我在 VGA 端口连接了外接显示器，远程桌面 (KVM) 就能正常工作。但如果我断开外接显示器（也关闭电源），KVM 屏幕仍是黑色的。有时一开始我会看到一个闪烁的破折号（应该是 BIOS）。

这是正常的吗？是否有一个设置可以启用 KVM，无论是否连接了外部显示器？

keyboard-video-mouse
Martin Hope
divB
Asked: 2024-05-17 05:39:18 +0800 CST
  • 4

有没有什么解决方案不仅可以代理 NTLM，而且可以将输入端的 HTTP Basic Auth 转换为输出端的 NTLM？

背景：使用 NTLM Auth 的内部 SharePoint 服务器应该可以通过 Apache 反向代理进行访问。问题是 NTLM 是有状态的，mod_proxy 无法处理它。现在，带有 mod_proxy 的 Apache 可以只提供基本身份验证（并通过 passwd 文件或类似文件进行身份验证）并代理到另一个内部基本身份验证到 NTLM 转换器。这只是读取我们的 http 身份验证凭据并将其传递到 SharePoint 服务器。

reverse-proxy
Martin Hope
divB
Asked: 2024-01-17 16:19:37 +0800 CST
  • 5

给定公共 /24 前缀，通过 BGP 宣布，192.0.2.0/24。我已将此前缀拆分为各种较小的网络。我想使用 1-2 个服务器作为需要静态 IP 的 DNS 服务器（正向和反向）。由于此 IP 需要作为 NS 记录进入父区域，因此更改 IP 并不简单（并且需要 2.0.192.in-addr.arpa 管理员的支持）。

各种网络通过 p2p 链路/隧道和 OSPF 相互连接。其中一个网络是 192.0.2.208/28，我想使用 192.0.2.212 作为 DNS 服务器。DNS 服务器将是一个虚拟机，我希望能够灵活地将其移动到不同位置的另一个网络，例如 192.0.2.232/29 中的 192.0.2.234。通常，这不仅需要更改 IP，还需要与 2.0.192.in-addr.arpa 的所有者协调 NS 记录更新。

我正在考虑从前缀中选择一个 /32 地址，比如 192.0.2.255/32。然后可以将该地址分配给虚拟设备或作为第二个 IP。但除非 DNS 服务器成为路由器（和/或也运行 OSPF），否则我需要处理静态路由，这听起来也很麻烦。

对于这种情况，最好的解决方案是什么？几乎任何其他服务都可以通过 DNS 进行寻址，因此 IP 本身并不那么重要。但对于 DNS 服务器来说却是这样。

domain-name-system
Martin Hope
divB
Asked: 2016-08-25 10:51:16 +0800 CST
  • 4

我有 2x3TB 的 GPT 磁盘和一个 zpool，在第一个磁盘 (sda4) 上使用 2.7TB 分区，在第二个磁盘 (sdb4) 上使用 1TB。

原因是最初两个磁盘都只有 1TB，我依次用 3TB 替换了它们。但是在我拥有 1x1TB 和 1x3TB 的时间里，我将 3TB 的剩余部分用于我现在要删除的不同分区。

我在 Linux 上使用最新的 ZFS (0.6.5.7-8-wheezy)。将池大小调整为完整 2.7TB 的正确方法是什么？

autoresize目前已关闭。这是 和 的当前lsblk输出zpool status：

# lsblk
NAME    MAJ:MIN RM   SIZE RO TYPE  MOUNTPOINT
sda       8:0    0   2,7T  0 disk
├─sda1    8:1    0     1M  0 part
├─sda2    8:2    0  14,5G  0 part
│ └─md0   9:0    0  14,5G  0 raid1 /
├─sda3    8:3    0   4,2G  0 part
│ └─md2   9:2    0   4,2G  0 raid1 [SWAP]
└─sda4    8:4    0   2,7T  0 part
sdb       8:16   0   2,7T  0 disk
├─sdb1    8:17   0     1M  0 part
├─sdb2    8:18   0  14,5G  0 part
│ └─md0   9:0    0  14,5G  0 raid1 /
├─sdb3    8:19   0   4,2G  0 part
│ └─md2   9:2    0   4,2G  0 raid1 [SWAP]
├─sdb4    8:20   0 912,9G  0 part
└─sdb5    8:21   0   1,8T  0 part

# zpool status
  pool: zpradix1imain
 state: ONLINE
status: Some supported features are not enabled on the pool. The pool can
        still be used, but some features are unavailable.
action: Enable all features using 'zpool upgrade'. Once this is done,
        the pool may no longer be accessible by software that does not support
        the features. See zpool-features(5) for details.
  scan: resilvered 687G in 6h2m with 0 errors on Fri Dec 26 18:39:27 2014
config:

        NAME                                                STATE     READ WRITE CKSUM
        zpradix1imain                                       ONLINE       0     0     0
          mirror-0                                          ONLINE       0     0     0
            ata-WDC_WD30EZRZ-00WN9B0_WD-WCC4E7CL5U9D-part4  ONLINE       0     0     0
            ata-WDC_WD30EZRX-00D8PB0_WD-WMC4N0E6K1AW-part4  ONLINE       0     0     0

作为第一步，我将删除 sdb5 并将 sdb4（通过 gdisk）调整为 2.7TB 并重新扫描分区表（然后两个磁盘将具有相同的分区布局）。

但是之后？

linux filesystems zfs zfsonlinux
Martin Hope
divB
Asked: 2015-08-27 10:34:19 +0800 CST
  • 1

使用 Routerboard 450G 我想配置 5 个以太网端口，如下所示：

  • ether1：vlan3，未标记
  • ether2：vlan1，未标记
  • ether3：vlan2，未标记
  • ether4：vlan2，未标记
  • ether5：vlan1-vlan3，已标记

在 vlan1 内，设备应具有 IP 10.7.1.3/24。

但是，当我想 ping 路由器板时，它无法访问。我通过以下方式配置了设备：

  1. 在交换中包含 ether1：
/interface 以太网交换机打印
标志：I - 无效
 # NAME TYPE MIRROR-SOURCE MIRROR-TARGET SWITCH-ALL-PORTS
 0 switch1 Atheros-8316 无 无 是
  1. 一起切换所有端口：
/interface 以太网打印
标志：X - 禁用，R - 运行，S - 从
 # NAME MTU MAC-ADDRESS ARP MASTER-PORT SWITCH
 0 R ether1 1500 E4:8D:8C:18:D5:A1 启用无 switch1
 1 S ether2 1500 E4:8D:8C:18:D5:A2 启用 ether1 switch1
 2 S ether3 1500 E4:8D:8C:18:D5:A3 启用 ether1 switch1
 3 S ether4 1500 E4:8D:8C:18:D5:A4 启用 ether1 switch1
 4 RS ether5 1500 E4:8D:8C:18:D5:A5 启用 ether1 switch1
  1. 配置端口1-4去除VLAN标签，配置端口5添加；设置默认 VLAN ID：
/interface 以太网交换机端口打印
标志：I - 无效
 # NAME SWITCH VLAN-MODE VLAN-HEADER DEFAULT-VLAN-ID
 0 ether1 switch1 安全始终剥离 3
 1 ether2 switch1 安全始终剥离 1
 2 ether3 switch1 安全始终剥离 2
 3 ether4 switch1 安全始终条带 2
 4 ether5 switch1 安全添加，如果丢失 0
 5 switch1-cpu switch1 fallback leave-as-is 0
  1. 将 VLAN 连接在一起。可以看出，ether2和ether5是通过vlan1连接的：
/interface 以太网交换机 vlan 打印
标志：X - 禁用，I - 无效
 # 切换 VLAN-ID 端口
 0 开关 1 3 以太 1
                                                                                            以太5
 1 个开关 1 1 个以太 2
                                                                                            以太5
 2 开关 1 2 以太 3
                                                                                            以太4
                                                                                            以太5
  1. 最后，将 IP 地址添加到 ether2：
/ip 地址打印
标志：X - 禁用，I - 无效，D - 动态
 # 地址网络接口
 0 10.7.1.3/24 10.7.1.0 以太2

端口 5 直接连接到输出 vlan1-vlan3 标记的托管交换机。路由器板无法ping通。

我错过了配置中的某些内容还是我理解错误的概念？（据我了解，将 IP 添加到 ether2 就足够了，因为它已切换到 ether5 上的 vlan1）

switch