Month: April 2011

New Openvpn Router

重新买了一个wrt54gs，因为buffalo的wbr2-g54s坏了，本来我以为是电源坏掉，拿去万用表测了下电压和电流都是很正常的数值，只能怀疑是板子烧了，未作深究，拆开看了下，也没有看到哪个地方烧糊了。考虑到DDWRT很大程度上是基于wrt54g系列设计的，使用Openvpn也不会有问题。

如果你有一枚3G上网卡，又有一只3G路由器，恰好你还有一张若干年前的中国移不动WAP包月卡，而且你还有一个运行在公网上，端口在443的Openvpn服务器，嗯，你知道我要做什么。

将3G上网卡插上3G路由器，使用3G路由器拨CMWAP，然后将3G路由器的LAN口插上网线，另一头插进wrt54gs的internet口，不好意思它没有WAN口，然后在wrt54gs上拨Openvpn，相当不幸的是，DDWRT固件中的Openvpn没有代理服务器的设置，所以我们需要自定义配置文件，但是呢，并不是说DDWRT中Openvpnclient的设置界面是毫无用处的，你需要在那个界面中把ca.crt，client.crt和client.key的内容输入进去，根据官方文档所述，可以将自定义的配置加入startup-scripts，不过经过我的测试，从来没有成功过，但通过telnet终端界面，是可以运行的，很显然，下面这个配置，看得懂的自然就看得懂，看不懂的解释了也看不懂，所以我就不解释太多，第一句解释下，DDWRT每次重启会丢失时间，因为大家知道嘛，网络设备的时间是通过ntp获取的，不正确的系统时间会导致证书验证错误而致无法正确连接，也就是我之前提及的数字证书问题。

date 041220302011
killall openvpn
echo “client
dev tun
proto tcp
remote 202.202.0.188 443
http-proxy 10.0.0.172 80
http-proxy-timeout 30
http-proxy-retry
http-proxy-option AGENT “NokiaN90-1/3.0545.5.1 Series60/2.8 Profile/MIDP-2.0 Configuration/CLDC-1.1″
resolv-retry infinite
nobind
persist-key
persist-tun
ca /tmp/openvpncl/ca.crt
cert /tmp/openvpncl/client.crt
key /tmp/openvpncl/client.key
ns-cert-type server
comp-lzo
verb 3
redirect-gateway def1″ > /tmp/openvpncl/openvpn.conf
killall openvpn
openvpn –config /tmp/openvpncl/openvpn.conf –route-up /tmp/openvpncl/route-up.sh –down /tmp/openvpncl/route-down.sh &

连接的速度一般，不是很快，看看网页聊聊扣扣，看个电影要先缓冲一个小时，但这里是北京市二环，附近就是大唐电信，可见中国移不动的TD-SCDMA实在是不过如此。

Opening Windows to a Wider World

Opening Windows to a Wider World

这个广告词我觉得写得不错，如前述，在FreeBSD下频繁的读写ext3分区有导致分区dirty的可能，所以我把接入磁盘阵列的操作系统换成了Centos5.5，使用LiveCD灌到U盘，然后通过VNC，局域网网络安装，没有图形界面，速度很快，十几分钟就欧了，这台笔记本配置很低，一枚VIA的800Mhz处理器，2G内存，80G硬盘，我最中意它的是因为它作为一台笔记本，是没有风扇的~大大减少了物理损坏的可能。装好Centos，yum了一个samba3x上去，mount上磁盘阵列，修改好配置文件，发现总是启动failed，我英明的查看了一下samba日志，然后上网搜了搜~

[2011/04/01 15:28:20,  0] smbd/server.c:main(1275)
smbd version 3.3.8-0.52.el5_5.2 started.
Copyright Andrew Tridgell and the Samba Team 1992-2009
[2011/04/01 15:28:20,  0] lib/messages_local.c:messaging_tdb_init(96)
ERROR: Failed to initialise messages database: Permission denied
[2011/04/01 15:28:20,  0] lib/messages.c:messaging_init(204)
messaging_tdb_init failed: NT_STATUS_ACCESS_DENIED

搜索的结果是，出现这些个错误的原因林林种种，什么数据库错误，编码问题，但很明显都不是我要的结果，就在我准备放弃的时候，我看见有人在其它的问题上抱怨SElinux……电光火石间，我意识到了这个问题。

究其根本，是因为以前在安装Centos服务器的时候，考虑到使用Oracle数据库的可能，都装上了图形界面，而且我习惯性的在装好之后把SElinux和iptables都禁用掉，这次只安装了命令行，木有安装图形界面，于是，SElinux和iptables都在那运行着……找到了问题，解决起来就很简单，把SElinux直接disable掉（/etc/sysconfig/selinux），然后chkconfig iptables off，chkconfig ip6tables off，reboot。

终于可以顺利的启动Samba服务，接下来进行配置，参考原来mybookworld中的配置文件，简单的说呢就是，有一些目录大家可读可写，有一些目录大家可读不可写，有一些目录大家不可读不可写，有一些目录我可读可写，嗯，还没晕的话说明你逻辑思维能力很强。

smb.conf配置如下：

[global]
server string = MyBookWorld Version %v
netbios name = mybookworld
workgroup = WORKGROUP
interfaces=192.168.151.5/24 127.0.0.1/8
security=user
smb passwd file=/etc/samba/smbusers
guest account=www
log file=/var/log/log.%m
max log size=50
dns proxy=No
unix charset = utf8
lock directory=/var/lock
pid directory=/var/lock
use sendfile=Yes
map to guest = Bad User
create mask = 755
map hidden = Yes

[dummy-1]
include=/etc/samba/shares.inc

其中，包含了一个配置文件，shares.inc，这个文件中含有所有的共享目录设置，配置如下：

[PRIVATE]
path=/shares/PRIVATE
force user=www
valid users=kenbaby
write list=kenbaby

[MOVIE]
path=/shares/MOVIE
force user=www
guest ok=Yes
valid users=kenbaby www
write list=kenbaby
read list=www

[PUBLIC]
path=/shares/PUBLIC
force user=www
valid users=www kenbaby
write list=www kenbaby
guest ok=Yes

这个配置文件很简单，英文过了四级的都能看懂，第一个PRIVATE目录，只允许kenbaby进行读写，写入的文件权限赋给www用户，第二个MOVIE目录，所有用户都可以读取，但只有kenbaby可以写入，同样，写入的文件权限赋给www用户，第三个目录PUBLIC，所有的用户都可以进行读写。将写入的文件权限赋给www用户，很好的保证了文件在磁盘上的权限统一在一个用户下，前面的smb.conf配置文件中，已经将www用户指定为来宾用户，也就是说，在Windows PC访问共享的时候，默认的Guest用户就能够直接访问，不用输入用户名和密码了。

最后一步，添加系统用户和samba用户，首先是添加系统用户：

groupadd www
useradd www -g www
groupadd kenbaby
useradd kenbaby -g kenbaby

系统用户无需初始化密码，这样它们也无法通过shell登入操作系统。然后我们添加samba用户，由于www用户是指定的来宾帐户，不需要设置密码，我们只需要为kenbaby用户添加密码即可。

smbpasswd -La kenbaby

添加完成后，重新启动smb服务即可访问共享啦！当然，如果要使用netbios name，还需要启动nmbd服务（/etc/init.d/nmbd restart）