嗯,今天早上事情不多,我们接着聊。

昨天可能讲得稍微深入了一点,不好,我下面还是尽量讲浅一点。

关键是,我写这个主题有个原则,想尽量给大家讲清楚道理,尽量让大家知其然还要知其所以然。

原因是这样的,我希望这个实验计划能是一个具有实用价值的,普通工薪阶层家庭自己就能获得的一个家庭化信息解决方案,得花钱不多,技术门槛不高才行。但同时,我的方案也得让人相信,这是可行的,是安全的。

我猜测啊,有朋友可能会看到这个主题,然后照方子抓药,专业的网管啊,IT行内人士,应该问题不大,但是也可能有不是IT专业的人也想弄,可能以后会遇到一点问题,还是需要一点自己的判断能力,因此,讲点原理有好处。

说点经验值吧,家庭用户在遇到计算机这类比较复杂设备出现故障,损坏的时候,一般处理的办法并不多,大多数都是找客服一修了之。

但是呢,这并不绝对,虽然不多,但只要具有一些简单的知识,其实自己还是可以操作的,比如最简单的替换法,就是通过逐步替换某些设备和元器件,板卡,逐步判定损坏的地方,然后做换件处理,这是家庭里面常用的,这其实在我们单位上也经常用。

这个简单判断呢,我的理解就是需要懂一点原理,只要来龙去脉,才能做,至于原理的实现,板卡、程序具体工作细节,家庭用户一般就不必了解这么细了,只要知道哪个坏了换哪个就好了。

不要认为客服可以包打一切,尤其是很多DIY的电脑,服务更是谈不上,动不动就抱着电脑打车去电脑城其实成本很高的,自己学点基础,做个简单判断,找到损坏的板卡,然后去电脑城买一块,不抱电脑,也就不用打的,多省事儿,还省钱,大家说是不是?

好,我们接着讲,昨天我哩哩啦啦讲了一大堆,其实备有有个隐含意思,就是家庭信息安全。我相信每个家庭都有隐私的,如果一个家庭信息中心不能保证安全性,恐怕意义就不大了,再方便,也没人敢用。

所以,我从一开始就认为,不解决安全问题,这个方案估计有点不靠谱,我自己都不敢用,呵呵。

嗯,网络设备,一定会和网络打交道,这个网络安全非常重要,其实大家说的最多的***什么的,我倒没太担心。太大路货了,也没什么技术含量,一般家庭的信息价值不大,别看你视为隐私,搁到商业上看,充其量是个炒作题材而已,所以高端***估计也懒得做这些事儿。

防范成本也低,百多块钱买套正版杀毒,估计就足以了,我不是买金山毒霸了嘛。别看杀毒软件大家你骂我我骂你,其实技术都差不多,一个时代的技术水平都有个平均线,只要做这一行,都差不多了,没有质的区别。所以不必担心,闭着眼睛选一套好了。

再说***防范,一个傻瓜式的小路由器其实足以,比任何防火墙都好用,随便你什么手段,我不开端口映射服务,我看你怎么办,呵呵,我气死你。

人说我攻克你的小路由器密码,自己登陆来开端口映射,嗯,现在的小型家用路由器都有个优点,WAN端口禁止Admin登陆,就是说,要想维护,必须从内网的计算机登陆,从公网是没有办法登陆的,这就足够啦。买的时候问一下,让客服帮你设置一下就好了。

所以,我关注的安全重点主要就是两点,敏感信息在网上传递的报文安全,以及家里小服务器的登陆安全。

报文安全需要***,就是隧道技术。

嗯,要不要做点科普呢?还是简单讲一点吧。

传统的网络传输,用的是socket,简单点呢,大家把它也理解成一个洞好了。当我们计算机和其他计算机建立连接,其实就是把本机一个socket和对方一个socket连接起来,构成一个洞。

我们从洞这边丢东西进去,就从那边出来了,那边丢的也会从这边冒出来,就这么简单。

但是这样不安全啊,这个东西丢进去,咋说呢,和快递公司似的,接收的快递员会传给运输员,可能还要航空托运,到地方之后呢,有当地的快递员收获,再转交给接收方,大概这么个道理。

这就带来一个问题,就是我们的这个东东如果不包装一下,裸奔,这要是普通东西还好办,这要是一摞子钞票就麻烦了,难保中间不会有人顺手牵羊啊,就算不顺手牵羊,起码沿途所有人都知道,你送了一摞子钞票给别人,你很有钱,这是不是就是隐私暴露了?

所以我们习惯性的,一般要在钞票上面加个信封,我封上你看不见,这是个办法,但是呢,也有些好奇心比较重的人,比如说美国的中央情报局啊之类的,他们有一些办法,可以把信封打开,看看,甚至换掉,再封回去,接收方看不出来,你也不知道,呵呵。

所以大家就开始想办法,一般呢,业界已经有很多成熟的信封算法,加密强度很高,有的甚至搞到让美国人自己都没办法,这种信封保护性就比较安全。

后来呢,大家觉得这样太麻烦了,所以,比如说我们家,和我朋友家,我们专门安排一个人,负责封信封,发信,或者收信,拆信封,大家只管把要送的东西给他,从他手里接东西好了。

嗯,大家发现点什么没有?原来我们发信收信,是直接和快递员打交道,现在多了一层,有个收发专员在负责这件事,但是对我们来说,收发专员选择什么信封,我们不关心,我们只知道,找他和找快递员一样方便,甚至更安全,就好了。

这样看来呢,其实收发专员也变成了一个洞,东西丢进去,钻出来,和原来的socket洞一样方便,只是,他会把东西包装好再送,这个洞里面的东西别人看不见,好比一个隧道一样,这就是***隧道技术。

不过我前面说了,***如果用传统模型,很贵的,家庭一般负担不起,没有实战意义,所以,最好呢,应该把P2P技术和***技术结合到一起来玩,就比较好玩了。

一开始我不知道有这种产品的,我准备自己来的。

不过,那段时间我正在找DDNS方案,在花生壳网站上闲逛,无意中看见向日葵,就进去学习了一下,嗯,不错,正是我要用的。

嗯,还是批评花生壳一下,这个向日葵其实是个很好用的东西,但是它宣传力度不够,文档写得也太专业了,知道的用户恐怕不多,会用的更少。

算了,我来给你写宣传文档吧,呵呵,你的东西好用,我自然要给你免费宣传。嗯,不好用就批评,选别家,我是典型的用脚投票。呵呵。

windows的远程桌面其实并不是一个很新的概念,很古老的时候,我记得是90年代,Norton写的pcAnyWhere就是干这个的,唉,其实这种卖卖我也干过,98年的时候我用VB练习socket开发,就写了一段程序,可以把另外一台计算机的磁盘目录列出来,然后删除,修改什么的,基本上是一回事。

到02年的时候,我做多媒体语音教室,教师机可以遥控学生机桌面,指导操作,基本上把这个远程桌面都实现了的,加个钩子,鼠标键盘都搞定,还有实时语音流,呵呵。

后来成熟了,VNC都成了标准了,也成了开源库,阿猫阿狗都可以写个产品出来,灰鸽子什么的不说了,基本上都是开源库上偷一点,改一改,再做点隐蔽工作,基本上就好了,没什么技术含量的。

但是,所有这些都没有解决跨越公网传输的问题,我记得当年有个***写得那叫一个笨,看好啊,每天,嗯,定时,向某个公网服务器发包,查询今后一天的计划任务,然后按任务执行,发包的时候,居然调用了一个通用控件,更绝的是,那个控件是个盗版,每次运行就自动弹出一个对话框,说请买正版。

那个虚拟机我留了好长一段时间,呵呵,每次无聊了就饶有兴致地调出来,看它自己YY,然后看着屏幕上的对话框逐渐增多,最后虚拟机挂死了事。呵呵。

为啥,那个宿主计算机也在某个内网,受控的这台计算机呢,没法直接通讯,所以编程序的人就设定二者在某个被攻陷的公网服务器上交互数据。说来也真可怜,那会的***难啊。

注意一个细节,这类远程控制软件一般都有两个版本,server端和client端,但实际上用起来的时候,和大家理解的是反着的,server端,往往就是受感染的计算机,或者说受控端,client端反而是控制端,就是***的计算机,它可以下命令,让server端做事情,当然,也可以看到所有的磁盘文件。

所以我玩向日葵的时候,习惯性地就去找这两个版本,没想到和我想的不一样,它其实只有客户端,没有server端,有一个,很假,基本没什么用,客户端就够用了。

我也就是发现了它这个特性,才开始思考,它底层到底是什么机制,我记得学P2P的时候听过一句话,在P2P的世界里面,没有主从差别。嗯,差不多,我可以断定它底层用了P2P机制,那么穿越网关应该问题不大。

说起来容易,用起来还是蛮难的,我一月份的时候好几天都干到凌晨4点,在测试它的各项特性。最后结果还比较满意。

向日葵简单说就是同时使用了P2P和***技术的一个免费远程访问解决方案。

在向日葵的世界里,最重要的是葵码,我开始最纠结就是这个,因为不知道它真实的含义,最后才搞明白,其实就是在它那个***的世界里面的虚拟网卡的MAC地址,唉,费了我半天劲。

每个花生壳通行证,可以开通向日葵,然后可以注册最多88个计算机,每个计算机服务器会自动生成一个葵码,就是说,这个虚拟的局域网里面最多可以放88台计算机,可以啦,一个家庭连虚拟机算上,哪有88台。别以为虚拟机不要钱,那个要吃内存的,8G内存能运行多少个,大家自己算算。

一般说来可以部署两种网络,就是集散网和对等网,大家自便。集散网呢,就是指定一个专用服务器,所有计算机只能和这个服务器通信,对等网就放开了,大家随便聊。

下载一个向日葵客户端,以葵码登陆,葵码自己去网站注册计算机申请。然后系统就会多一个虚拟网卡,这个网卡呢,会被自动分配一个静态IP地址,确实是静态的,只要葵码不变,就不会改,看见没,静态IP问题解决了,而且是免费的。应该是172.24.55这个网段的。

之后,大家就该干嘛干嘛了。

在这个虚拟网络里面,没有路由器,没有防火墙,没有网关,彼此可以任意通信,远程登录啊,svn源代码传输啊,随便。嗯,而且别人看不见。

这些报文都被底层协议栈层层包裹加密,到目的地再解密,最要命的是,它底层根本就是无连接的UDP协议,随意路由,在互联网的任何一个路由节点都不太可能看见连续的数据流,全在乱跑。够安全了吧,呵呵。

无视防火墙和网关,只要配置别太BT,基本上都可以随意穿越,我们单位的网络是用的赛门铁克公司的整体解决方案,每天开机必须输入用户名和密码才能上网,不过,向日葵不受这个影响,每次开机我发现,我这边密码还没有输入呢,也就是还没有获得上网授权的时候,向日葵那边已经兴高采烈地告诉我,通了,可以连接家中服务器了。呵呵,够方便。

当然不是没有代价的,层层加密,多重路由的结果就是速度偏慢哈,我测了一下,大概只有10来k的速度,传送源代码和远程桌面可以,大流量的比如电影不行。嗯,也不绝对,我曾经在茶馆里面,用我的电信手指头+epc做3G上网,然后点播小服务器上的评书,听了一下午,没感觉有什么抖动啊,卡住的现象,放音频流应该问题不大。

算是基本够用吧。

呵呵,这就是我为自己的私有云计划搭配的高安全性信息传输解决方案。

嗯,可能有些朋友会说,花生壳不是亏死了,其实不太亏,P2P的原理我说过的,其实它的服务器就负责两台计算机开始连接握手那点流量,并不多,成本很低。

嗯,所以我在想,一旦实验成熟,准备实现公网某些服务的时候,还是给花生壳交点钱吧,呵呵,它为我服务了,该获得报酬的。

这个故事有下文的。

在今年初的部门会议上,最后,我说送大家一点小礼物,就是把这个方案介绍给同事们,当时领导们眼睛都亮了。

我们贵州,还有其他一些地方,都有维护业务,以前由于这些设备没有上网,每次都要派人去出差,成本很高。

有了这个方案,我们随后进行了部署,现在基本上已经不用出差了,每次办公室计算机直接远程登录就好了,这节约了不少出差费的,呵呵。玩能玩出钱来。

还有就是今年在新疆,我在修改代码,我小弟在西安修改代码,我们就利用家里的svn做代码同步,发版,很方便。这个故事后面还要讲。

嗯,差不多,先这样吧。

预知后事如何,且听下回分解。