跳至主要内容

深入理解GFW:DNS污染

原文地址是深入理解GFW:DNS污染，帖子写于2009年，对作者表示感谢

翻墙新手们往往遇到这样的问题：我明明已经设置了socks代理为127.0.0.1:xxxx，为什么还是上不去youtube？这时经验丰富的翻墙高手就会告诉你：firefox需要设置network.proxy.socks_remote_dns为true，也就是远程解析域名。这是怎样一回事呢？为什么要远程解析？这就涉及到了GFW的DNS污染技术。
DNS（Domain Name System）污染是GFW的一种让一般用户由于得到虚假目标主机IP而不能与其通信的方法，是一种DNS缓存投毒攻击（DNS cache poisoning）。其工作方式是：对经过GFW的在UDP端口53上的DNS查询进行入侵检测，一经发现与关键词相匹配的请求则立即伪装成目标域名的解析服务器（NS，Name Server）给查询者返回虚假结果。由于通常的DNS查询没有任何认证机制，而且DNS查询通常基于的UDP是无连接不可靠的协议，查询者只能接受最先到达的格式正确结果，并丢弃之后的结果。对于不了解相关知识的网民来说也就是，由于系统默认使用的ISP提供的NS查询国外的权威服务器时被劫持，其缓存受到污染，因而默认情况下查询ISP的服务器就会获得虚假IP；而用户直接查询境外NS（比如OpenDNS）又可能被GFW劫持，从而在没有防范机制的情况下仍然不能获得正确IP。然而对这种攻击有着十分简单有效的应对方法：修改Hosts文件。但是Hosts文件的条目一般不能使用通配符（例如*.blogspot.com），而GFW的DNS污染对域名匹配进行的是部分匹配不是精确匹配，因此Hosts文件也有一定的局限性，网民试图访问这类域名仍会遇到很大麻烦。

观测DNS污染

“知己知彼，百战不殆”。这一节我们需要用到前面提到的报文监听工具，以及参考其DNS劫持诊断一节。在Wireshark的filter一栏输入udp.port eq 53可以方便地过滤掉其他无关报文。为了进一步减少干扰，我们选择一个并没有提供域名解析服务的国外IP作为目标域名解析服务器，例如129.42.17.103。运行命令nslookup -type=A www.youtube.com 129.42.17.103。如果有回答，只能说明这是GFW的伪造回答，也就是我们要观测和研究的对象。

伪包特征

经过一番紧密的查询，我们可以发现GFW返回的IP取自如下列表：
4.36.66.178
203.161.230.171
211.94.66.147
202.181.7.85
202.106.1.2
209.145.54.50
216.234.179.13
64.33.88.161
关于这八个特殊IP，鼓励读者对这样两个问题进行探究：1、为什么是特定的IP而不是随机IP，固定IP和随机IP各自有什么坏处；2、为什么就是这8个IP不是别的IP，这8个IP为什么倒了GFW的霉？关于搜索这类信息，除了www.google.com之外，www.bing.com有专门的搜索IP对应网站的功能，使用方法是输入ip:IP地址搜索。www.robtex.com则是一个专门收集域名解析信息的网站。欢迎读者留下自己的想法和发现:lol:。
从Wireshark收集到的结果分析（实际上更好的办法是，将结果保存为pcap文件，或者直接使用tcpdump，由tcpdump显示成文本再自行提取数据得到统计），我们将GFW发送的DNS污染包在IP头部的指纹特征分为两类：
  • 一型：
    • ip_id == ____（是一个固定的数，具体数值的查找留作习题）。
    • 没有设置“不分片”选项。
    • 没有设置服务类型。
    • 对同一对源IP、目标IP，GFW返回的污染IP在上述8个中按照给出的顺序循环。与源端口无关、与源IP目标IP对相关。
    • TTL返回值比较固定。TTL为IP头部的“Time to Live”值，每经过一层路由器这个值会减1，TTL为1的IP包路由器将不再转发，多数路由器会返回源IP一条“ICMP time to live exceed in transit”消息。
  • 二型：
    • 每个包重复发送3次。
    • 没有设置“不分片”选项。
    • 设置了“保障高流量”服务类型。
    • (ip_id + ? * 13 + 1) % 65536 == 0，其中?为一个有趣的未知数。ip_id在同一个源IP、目标IP对的连续查询之间以13为单位递减、观测到的ip_id的最小值和最大值分别为65525（即-11，溢出了!）和65535。
    • 对同一对源IP、目标IP，GFW返回的污染IP在上述8个中按照给出的顺序循环。与源端口无关、与源IP目标IP对相关。
    • 对同一对源IP、目标IP，TTL返回值时序以1为单位递增。TTL在GFW发送时的取值有64种。注：源IP接收到的包的TTL被路由修改过，所以用户观测到的TTL不一定只有64种取值，这是由于网络拓扑变化的原因导致的。一型中的“比较固定”的“比较”二字也是考虑到网络拓扑偶尔的变化而添加的，也许可以认为GFW发送时的初始值是恒定的。
（以上结果仅保证真实性，不保证时效性，GFW的特征随时有可能改变，尤其是时序特征与传输层特征相关性方面。最近半年GFW的特征在很多方面的变化越来越频繁，在将来介绍TCP阻断时我们会提到。）
还可以进行的实验有：由于当前二型的TTL变化范围是IP个数的整数倍，通过控制DNS查询的TTL使得恰好有GFW的返回（避免动态路由造成的接收者观察到的TTL不规律变化），观察IP和TTL除以8的余数是否有对应关系，在更改源IP、目标IP对之后这个关系是否仍然成立。这关系到的GFW负载平衡算法及响应计数器（hit counter）的独立性和一致性。事实上对GFW进行穷举给出所有关于GFW的结果也缺乏意义，这里只是提出这样的研究方法，如果读者感兴趣可以继续探究。
每次查询通常会得到一个一型包和三个完全相同的二型包。更换查询命令中type=A为type=MX或者type=AAAA或者其它类型，可以看到nslookup提示收到了损坏的回复包。这是因为GFW的DNS污染模块做得十分粗制滥造。GFW伪造的DNS应答的ANSWER部分通常只有一个RR组成（即一条记录），这个记录的RDATA部分为那8个污染IP之一。对于二型，RR记录的TYPE值是从用户查询之中直接复制的。于是用户就收到了如此奇特的损坏包。DNS响应包的UDP荷载内容特征：
  • 一型
    • DNS应答包的ANSWER部分的RR记录中的域名部分由0xc00c指代被查询域名。
    • RR记录中的TTL设置为5分钟。
    • 无论用户查询的TYPE是什么，应答包的TYPE总是设置为A（IPv4地址的意思）、CLASS总是设置为IN。
  • 二型
    • DNS应答包的ANSWER部分的RR记录中的域名部分是被查询域名的全文。
    • RR记录中的TTL设置为1天。
    • RR记录中的TYPE和CLASS值是从源IP发送的查询复制的。
其中的术语解释：RR = Resource Record：dns数据包中的一条记录；RDATA = Resource Data：一条记录的数据部分；TYPE：查询的类型，有A、AAAA、MX、NS等；CLASS：一般为IN[ternet]。

触发条件

实际上DNS还有TCP协议部分，实验发现，GFW还没有对TCP协议上的DNS查询进行劫持和污染。匹配规则方面，GFW进行的是子串匹配而不是精确匹配，并且GFW实际上是先将域名转换为字符串进行匹配的。这一点值得特殊说明的原因是，DNS中域名是这样表示的：一个整数n1代表以“.”作分割最前面的部分的长度，之后n1个字母，之后又是一个数字，若干字母，直到某次的数字为0结束。例如www.youtube.com则是"\x03www\x07youtube\x03com\x00"。因此，事实上就可以观察到，对www.youtube.coma的查询也被劫持了。

现状分析

  • 4.36.66.178，关键词。whois：Level 3 Communications, Inc. 位于Broomfield, CO, U.S.
  • 203.161.230.171，关键词。whois：POWERBASE-HK位于Hong Kong, HK.
  • 211.94.66.147，whois：China United Network Communications Corporation Limited位于Beijing, P.R. China.
  • 202.181.7.85，关键词。whois：First Link Internet Services Pty Ltd.位于North Rocks, AU.
  • 202.106.1.2,whois：China Unicom Beijing province network位于Beijing, CN.
  • 209.145.54.50，反向解析为dns1.gapp.gov.cn，新闻出版总署的域名解析服务器？目前dns1.gapp.gov.cn现在是219.141.187.13在bjtelecom。whois：World Internet Services位于San Marcos, CA, US.
  • 216.234.179.13，关键词。反向解析为IP-216-234-179-13.tera-byte.com。whois：Tera-byte Dot Com Inc.位于Edmonton, AB, CA.
  • 64.33.88.161，反向解析为tonycastro.org.ez-site.net, tonycastro.com, tonycastro.net, thepetclubfl.net。whois：OLM,LLC位于Lisle, IL, U.S.
可见上面的IP大多数并不是中国的。如果有网站架设到了这个IP上，全中国的Twitter、Facebook请求都会被定向到这里——好在GFW还有HTTP URL关键词的TCP阻断——HTTPS的请求才构成对目标IP的实际压力，相当于中国网民对这个IP发起DDoS攻击，不知道受害网站、ISP是否有索赔的打算？
我们尝试用bing.com的ip反向搜索功能搜索上面那些DNS污染专用IP，发现了一些有趣的域名。显然，这些域名都是DNS污染的受害域名。
  • 例如倒霉的edoors.cn.china.cn，宁波中国门业网，其实是因为edoors.cn被dns污染。一起受害的还有chasedoors.cn.china.cn，美国蔡斯门业（深圳）有限公司。
  • 还有*.sf520.com，似乎是一个国内的游戏私服网站。www.sf520.com也是一个私服网站。可见国内行政体系官商勾结之严重，一个“国家信息安全基础设施”竟然还会用来保护一些网游公司的利益。
  • 此外还有一些个人blog。www.99tw.net也是一个游戏网站。
  • 还有www.why.com.cn，名字起得好。
  • 还有www.999sw.com 广东上九生物降解塑料有限公司生物降解树脂|增粘母料|高效保水济|防洪 邮编:523128……这又是怎么一回事呢？不像是被什么反动网站连坐的。还有人问怎么回事怎么会有那么多IP结果。
  • www.facebook.comwww.xiaonei.com，怎么回事呢？其实是因为有人不小心把两个地址连起来了，搜索引擎以为这是一个链接，其实这个域名不存在，但是解析的时候遭到了污染，就以为存在这个域名了。
  • 倒霉的www.xinsheng.net.cn——武汉市新胜电脑有限公司，因为www.xinsheng.net被连坐。

DNS劫持的防范和利用

之前我们已经谈到，GFW是一套入侵检测系统，仅对流量进行监控，暂没有能力切断网络传输，其“阻断”也只是利用网络协议容易被会话劫持（Session hijacking）的弱点来进行的。使用无连接UDP的DNS查询只是被GFW抢答了，真正的答案就跟在后面。于是应对GFW这种攻击很自然的想法就是：
根据时序特性判断真伪，忽略过早的回复。
通常情况对于分别处于GFW两端的IP，其RTT（Round-trip time，往返延迟）要大于源IP到GFW的RTT，可以设法统计出这两个RTT的合适的均值作为判断真伪的标准。另外由于GFW对基于TCP的DNS请求没有作处理，于是可以指定使用TCP而不是UDP解析域名。也可以通过没有部署GFW的线路到没有被DNS污染的NS进行查询，例如文章一开始提到的“远程解析”。但黑体字标出的两个条件缺一不可，例如网上广为流传的OpenDNS可以反DNS劫持的说法是以讹传讹，因为到OpenDNS服务器的线路上是经由GFW的。
本质的解决办法是给DNS协议增加验证机制，例如DNSSEC（Domain Name System Security Extensions），客户端进行递归查询（Recursive Query）而不查询已经被污染了的递归解析服务器（Recursive/caching name server）。然而缺点是目前并非所有的权威域名解析服务器（Authoritative name server）都支持了DNSSEC。Unbound提供了一个这样的带DNSSEC验证机制的递归解析程序。
另外GFW的DNS劫持还可能被黑客利用、带来对国际国内互联网的严重破坏。一方面，GFW可能在一些紧急时刻按照“国家安全”的需要对所有DNS查询都进行污染，且可能指定污染后的IP为某个特定IP，使得全球网络流量的一部分直接转移到目标网络，使得目标网络立刻瘫痪。当然我们伟大的祖国郑重承诺“不率先使用核武器”…另一方面，GFW将伪造的DNS返回包要发送给源IP地址的源端口，如果攻击者伪造源IP，会怎样呢？将会导致著名的增幅攻击：十倍于攻击者发送DNS查询的流量将会返回给伪源IP，如果伪源IP的端口上没有开启任何服务，很多安全配置不严的系统就需要返回一条ICMP Port Unreachable消息，并且将收到的信息附加到这条ICMP信息之后；如果伪源IP的端口上开启了服务，大量的非法UDP数据涌入将使得伪源IP该端口提供的服务瘫痪。如果攻击者以1Gbps的速度进行查询，一个小型IDC（DNSpod被攻击事件）甚至一个地域的ISP也会因此瘫痪（暴风影音事件）。攻击者还可能设置TTL使得这些流量恰好通过GFW产生劫持响应，并在到达实际目标之前被路由丢弃，实现流量“空对空不落地”。攻击者还可能将攻击流量的目标IP设置伪造成与伪源IP有正常通信或者其他关联的IP，更难以识别。这样实际上就将一个国家级防火墙变成了一个国家级反射放大式拒绝服务攻击跳板。
最为严重的是，这种攻击入门难度极低，任何一个会使用C语言编程的人只要稍微阅读libnet或者libpcap的文档，就可能在几天之内写出这样的程序。而GFW作为一套入侵防御系统，注定缺乏专门防范这种攻击的能力，因为如果GFW选择性忽略一些DNS查询不进行劫持，网民就有机可乘利用流量掩护来保证真正的DNS通信不被GFW污染。尤其是UDP这样一种无连接的协议，GFW更加难以分析应对。“反者道之动，弱者道之用。”

参考文献

  1. 闫伯儒, 方滨兴, 李斌, 王垚. "DNS欺骗攻击的检测和防范". 计算机工程, 32(21):130-132,135. 2006-11.
  2. Graham Lowe, Patrick Winters, Michael L. Marcus. The Great DNS Wall of China. 注：这篇文章虽然试图通过统计特性了解GFW，但由于实验条件控制不佳、实验结果观察不细致，加上缺乏对GFW的整体观，故没有提供什么有意义的结论。然而美国同学的这种科学态度与实验精神值得我们学习和思考。事实上，这篇文章仍然提供了珍贵的历史资料，读者不妨按照本文逻辑来分析这篇参考文献。阅读过这篇文献的敏感的读者还将在我们后续的文章中看到熟悉的数字。
  3. KLZ毕业. 入侵防御系统的评测和问题. 注：本文对DNS污染包的分类就是从这篇文章的分类继承而来。

Popular posts from 产品随想的博客

产品爱好者周刊 第21期：你好，2022！

  Products 玛拉蒂家具/座椅： https://www.maratti.com.cn/ 上海的一家办公家具供应商，公司实际坐过，非常舒服 DocuSign:  https://www.docusign.com/ 给PDF电子签名，看评价有不错的声誉 https://bridges.torproject.org/ 获取Tor网桥 塞冬： https://www.zhihu.com/people/qiancai_saidong 此人的长文分析，挺有insight，来自北大 公众号平台已沉默 客观来说，韩国有什么地方超越了日本和中国？ - 塞冬的回答 - 知乎 https://www.zhihu.com/question/60428819/answer/369420091 高端造船、芯片闪存、显示技术 Design 折叠屏设计的一些思考： 10多年前互联网的网站设计： https://mp.weixin.qq.com/s/OdFjta4Wetp1p67bRrmYqw https://archive.ph/TdI1L Business & Market data 未来人口四倍于中国的非洲，我们该如何面对： https://mp.weixin.qq.com/s/7V2IgW3db1uRR3_wa8S1OQ 在数十年后，非洲也会是类似于印度、东南亚那样的机会 周深在节目中唱歌：一般2首，120W+ 一个有些违反认知的事实是，1966年的上海综合工业实力媲美台湾、香港。 https://metrics.torproject.org/userstats-relay-country.html Tor的运营系列数据 牢记：中国还是一个人均中位数年收入只有2.2万元、90%的三口之家年收入低于20万、20%的三口之家年收入低于1万8的发展中大国。 全国人均GDP尚未达到1万美元（欧洲落后地区水平），最富裕的京沪人均GDP也刚摸到2万美元门槛（欧洲中等偏下水平） 美国家庭收入中位数是42万人民币（税前），家庭税前年收入75万人民币可以打败3/4的美国家庭，120万可以打败90%，160万可以打败95%（2017-2018，基于2014美国普查数据预估，如下图） 超低生育率养成记:  https://mp.weixin.qq.com/s/C80z...
阅读全文

树莓派打造淡入闹钟，让电台轻轻的叫你起床

 原文地址：https://www.hscbook.com/article/raspberrypi-alarmclock/，对作者表示感谢 16年入了一个树莓派B+版折腾了一下就放在角落里积灰了，我这天天总睡懒觉的人被冰冷的闹钟吓得激醒是非常痛苦的，某天打扫房间发现了被我打入冷宫的树莓派就顺手拿出来打造成淡入闹钟+晨起天气预报+晚间电台播放。 简介 · 早上7点定时从低音量的 青苹果 电台（早上电台没有节目，只有音乐）逐步提升音量轻轻的音乐声叫你起床，3分钟后语音播放今天的天气预报，一个小时后结束播放。 · 晚上10点开始低音量播放 青苹果 电台（现在电台播放情感节目）提醒你准备碎觉了，最后一个小时候结束播放并对你说声晚安！ 准备工作 必要材料 1.男/女，聪明大脑一块 2.五指手一双 3.能上网的树莓派一个 4.音响一套 安装树莓派系统 本文采用的是树莓派官方指定系统，小白of圣手党推荐使用好方便照葫芦画瓢是吧。 这里就不教了，网上一搜一大堆的教程。 ·  百度经验 ·  树莓派入手体验和系统安装 ·  树莓派入门之装系统 安装必要程序 Vlc 播放器 执行 sudo apt-get install vlc Mplayer 播放器 执行 sudo apt-get install mplayer Cron 计划任务 执行 sudo apt-get install cron 开始部署 获取代码 下载我上传的代码  Github   Coding 将 Morning 文件夹上传到树莓派的 Home 文件夹里 修改文件 申请和风天气KEY  申请地址 ，申请百度开发者语音转换a/s key  申请地址 修改 Morning/weather.py 文件第31/65行处的“和风天气KEY”替换为你的和风天气KEY 1 2 3 4 5 6 7 8 9 10 11 12 13 14 28 ... else : fp = open(fn, 'w' ) url_city = 'http...
阅读全文

产品随想 | 周刊 第40期：献出心脏，直到高墙倒塌

标题来自本期的一个链接，觉得充满理想主义，献给大家！ Products Movie Robot   https://github.com/pofey/movie_robot 定时自动从豆瓣电影的想看、在看、看过中获取影音信息，然后去PT站（支持多家站点）自动检索种子，找到最佳资源后按豆瓣电影分类提交到BT下载工具下载。在下载前，会自动检查你的Emby中是否已经存在。 工具超赞，一次搭建，可以很长一段时间躺平，但针对我这样对4K、HDR有高要求用户，可能不大行 Plash   https://github.com/sindresorhus/Plash Make any website your Mac desktop wallpaper 将任意网站，定义为Mac桌面 https://github.com/sindresorhus/Plash/issues/1，网友给的一些网站，也比较有意思 HomeBank   http://homebank.free.fr/zh/index.php 自由、开源的会计软件 GnuCash   https://www.gnucash.org/ https://github.com/Gnucash/gnucash 自由开源，多平台的财务软件，且有很好看的官方App，since 1998 beancount   https://github.com/beancount/beancount Beancount: Double-Entry Accounting from Text Files. 纯文本的复式记账工具 rimerc: rimer's dictionary & config   https://github.com/Bambooin/rimerc Rime输入法在各个平台的配置 Natural Selection Labs   https://github.com/NaturalSelectionLabs DIYGod主导的聚焦Web3的项目，非常有雄心，保持关注！ PineTab   https://www.pine64.org/pinetab/ The Open Source ARM 64-bit Tablet 自由开源的64位平板电脑（在28...
阅读全文

产品爱好者周刊 第7期:1984

 产品爱好者周刊 第7期 Products Procreate: 艺术创作App https://procreate.art/ 与iPad, Apple Pencil搭配，可以创作出十分绚烂的画作 Callin: a social podcasting app. iPhone only for now. 创始人是PayPal的COO，红杉A轮 The Motley Fool:  https://www.fool.com/ 查看公司财报数据电话会议纪要 Pantherbar Windows上的PopClip Rivos Inc:  https://semianalysis.substack.com/p/rivos-inc-a-chip-off-the-old-block 一家RISC-V创业公司，创始工程师团队非常豪华，都有几十年的芯片设计经验 BackUp： https://archive.md/79FWx https://poet.so/ 将Twitter转换为好看的截图（预设模板） Ventoy： https://github.com/ventoy/Ventoy U盘启动制作工具，几乎能启动所有的系统 Thread Reader： https://threadreaderapp.com/ 能将Twitter Thread转化为一个完整的网页Link，以方便按顺序查看 可以通过在Twitter里@+unroll，来触发，会得到一条私信链接 Design 台积电发展历程的可视化： https://theinitium.com/project/20210915-project-taiwan-tsmc-semiconductor-history/ 端传媒可能是最好的中文互联网媒体了 News Privateer Space：Steve Wozniak准备新开的太空公司，充满期待，这是一个热爱开源、分享的技术大师 https://www.businessinsider.com/steve-wozniak-privateer-space-company-elon-musk-apple-cofounder-2021-9 Ideas Apple's Mistake:  http://paulgraham.com/apple.html 备份链...
阅读全文

Steve Jobs on the iTunes Music Store: The Unpublished Interview

A candid talk with Apple's CEO on a landmark day in its history. By Laura Locke  |  Wednesday, December 7, 2011 at 1:15 am Steve Jobs announces the iTunes Music Store. On April 28th, 2003, moments before I was about to interview Steve Jobs at San Francisco’s Moscone Center, I was jittery. Anticipation? Nerves? Excitement? You bet. All of those visceral emotions were firing. Knowing Jobs’ storied reputation as an irascible and exacting Silicon Valley CEO had me on edge. But I had prepared a tight set of questions. Secretly, I was hoping he might enjoy the line of inquiry. In turn, I would have a lively and candid report for my editors at TIME. What I didn’t know was that the interview was taking place on what would turn out to be one of the most important days in Apple’s history: The launch of the iTunes Music Store. Once again, Ste...
阅读全文

2018各行业应届生薪资不完全样本往期汇总-职场红领巾

文章来源自职场红领巾公众号2018.4.21日推送，在此表示感谢 产品岗 百度商业产品 14K*14 拼多多产品管培 12K*14 今日头条产品 16K*18 头条PM整个Package接近300K/年 美团产品Offer 14K*16 base上海 百度产品研究生 11.5K*14.6 base 上海 京东产品17K*13 百度产品 220K/年 网易 产品培训生 硕士 15K*18 SP base杭州 不知名互联网公司校招PM 12K*15 base北京 技术岗 微软 软件工程师 本科 260K/年 蚂蚁金服算法工程师 20K*16 拼多多开发本科400K/年 商汤科技本科技术岗 14K/月 税前 海康威视研究院 算法工程师 220K/年 微信算法岗 SP 360K/年 的package 今日头条 程序员 研究生 10K/月 base北京 滴滴程序员 16K*16 亚马逊 小四年经验 研发 50K/月 Facebook应届毕业生  软件开发工程师   打包 115k$/年（30%-40%税） base湾区 京东算法 普通Offer 234K/年 运营岗 滴滴北京运营岗 硕士 12K*15 奖金另算 网易游戏运营 150K/年 左右 网易运营 8K*13（奖金0~3个月） 网易新闻运营8K/月 腾讯游戏运营 本科6K/月 上海京东时尚本科8K/月 京东运营岗 11K/月 base北京亦庄总部 今日头条 渠道营销运营 6K/月（加房补） 网易考拉 活动运营 13K*16 OFO城市运营管培13K*14 爱范儿运营 8K/月 滴滴长三角某二线城市运营管培生 薪资 7.6K*13 +每个月40%绩效 货车帮 数据运营 12K/月 卡宾电商 管培 10K/月 含浮动绩效 曹操专车 运营管培生  加各种补贴税前5.4K/月  base杭州 京东金融海龟回来8K/月 北京蓝港互动...
阅读全文

万物皆可RSS

All Credit to: 原作标题：可能是目前最全的RSS订阅源了 原作链接：https://www.runningcheese.com/rss-subscriptions 以下为节选： 一般网站和博客： 1). 通常在顶部菜单、右侧菜单、底部菜单等地方会有RSS图标。 2). 如果没有，可以尝试在网站地址后面加上/rss或者/feed，有时会出现在二级域名里。 3). 如果还没有，可以使用奶酪制作的小书签来自动查找RSS订阅源， 订阅到Feeder  ， 订阅到Inoreader ， 订阅到Feedly 4). 如果还是没有，可能网站没有提供RSS订阅。可以借用  Fivefilters.org  或者  Feedity.com 来制作订阅源。 5). 对于一些只提供了摘要RSS的网站，可以使用  FeedEx.Net  来制作全文RSS。 论坛： 一般会有 RSS 图标，如果没有，在网址后面加上 ?mod=rss。 比如网址  http://bbs.kafan.cn/forum-215-1.html ，其 rss 地址为  http://bbs.kafan.cn/forum-215-1.html?mod=rss 微博： https://rsshub.app/weibo/user2/博主ID，比如  https://rsshub.app/weibo/user2/1195230310 微信公众号： 在  瓦斯阅读  搜索要订阅的公众号名称，就会有专门的RSS订阅地址。 简书： https://rsshub.app/jianshu/user/作者ID，比如  https://rsshub.app/jianshu/user/yZq3ZV B站： https://rsshub.app/bilibili/user/video/UP主ID，比如  https://rsshub.app/bilibili/user/video/2267573 贴吧： 精品贴订阅：https://rsshub.app/tieba/forum/good/贴吧吧名（支持中文），比如  ht...
阅读全文

树莓派3开无线热点变身为智能无线网关（IPv4+IPv6）

原文地址 树莓派3开无线热点变身为智能无线网关（IPv4+IPv6） ，对作者表示感谢 无线上六维不是梦，折腾了两天终于终于弄好了～撒花～ 这个暑假一直在外实习，回到学校发现实验室已经没有了我的位置。。悲催的被赶到另一个实验楼，这个实验楼主要放的是各种服务器，因此IP比较紧张，以前我自带一个交换机，IP地址随便用，而且都是有线，IPv6默认都可以用，但这边我只分得一根网线，只有一个固定的IPv4的IP，倒是IPv6没有限制（不过后来测试发现还是有些限制）。对于我这么多设备根本不够用嘛。正好看到树莓派3上市了，自带wifi，CPU升级到A53，是服务器级的U了，立刻买了一个回来，当作我的网关。 这里我用树莓派搭的其实是一个NAT的路由器，把WAN的ipv4和ipv6都共享给内网LAN ,由于是在学校，我的IPv4的地址是固定的，而IPv6的地址动态分配（前缀是固定的），所以不要盲目跟着教程做。这里使用的树莓派是3代树莓派，系统是2016-09-23的raspbian jessie，板载wifi，不需要考虑驱动的问题，如果不是，那么先自行解决驱动问题，这里WAN外网是eth0，LAN内网是无线wlan0，如果接口不一致请自行替换，后面不再做解释。 准备工作 整个过程分为两步，先开IPv4的热点access point，再共享IPv6的热点access point，热点都不是采用bridge方式进行的连接。 固定IP(IPv4) 后面的树莓派默认使用dhcpcd进行ip的配置，因此网上好多关于配置树莓派固定IP的方法都是有点问题（很早的时候是配置/etc/network/interfaces）， 我们现在配置dhcpcd的配置文件进行固定IP的配置 ,打开配置文件/etc/dhcpcd.conf 1 sudo vim /etc/dhcpcd. conf 里面内容不少，感兴趣可以查一下，这里直接拖到最下，根据自己的情况加入下面的内容 1 2 3 4 interface eth0 static ip_address= 211.187 .224 .79 / 24 static routers= 211.187 .224 .16 static domain_name_servers...
阅读全文

产品随想 | 周刊 第103期：站在艺术和科学的交会点

"If work is to become play, then tools must become toys." 30-plus years of HyperCard, the missing link to the Web   https://arstechnica.com/gadgets/2019/05/25-years-of-hypercard-the-missing-link-to-the-web/ 其中最宝贵的是这句教训："I grew up in a box-centric culture at Apple. If I'd grown up in a network-centric culture, like Sun, HyperCard might have been the first Web browser. My blind spot at Apple prevented me from making HyperCard the first Web browser." MOVIE-WEB   https://github.com/movie-web/movie-web A small web app for watching movies and shows easily 随机搜索了下，命中率非常高，很好用诶 LunarBar 的开发   https://github.com/LunarBar-app/LunarBar/blob/main/DEV.md 用心的文档，能够看到 NeXT HQ   https://allaboutstevejobs.com/pics/pics_places/next/next_hq 可惜没有看到传说中的悬浮楼梯 Peter Q. Bohlin   https://en.wikipedia.org/wiki/Peter_Bohlin?useskin=vector 这位居然参与了这么多Apple Store的设计！！！ The San Remo's board voted in 2000 to impose a six-month time limit for apartment renovations, imposing heavy fines on resid...
阅读全文

[海外建筑生活] MIT建筑系

原文链接： [海外建筑生活] MIT建筑系 发表于：寄托天下 2009-1-18 作者：dadazhe 前些日子和版大聊天,他让我写点关于mit的情况.　趁着寒假的尾巴,随便介绍点. mit的建筑系分为marchI　marchII　和Smarch,　分别是三年半,两年半和两年. 前两这都是naab认证的,也就是说毕业以后可以考注册建筑师.　smarch比较特殊,分为五个方向,你必须选择一个,分别是　urbanism,　computation,　theory&history,　building　technology, visual arts.
阅读全文