晨，网站访问突然变得非常困难，最初怀疑机房的路由出问题（曾经出过一次），和机房联系后更换了路由，但问题仍旧。

中午，偶然发现有大量处于SYN_RECV状态的链接，google后怀疑遭到SYN Flood攻击。

查询处于SYN状态的连接数，可以用这个命令：

netstat -atn | grep -c SYN

查询连接最多的ip：

netstat -atn | grep “SYN” | awk  ‘{print $5}’ | awk -F’:’ ‘{print $1}’ | sort -nr | uniq -c | sort -nr | head

发现有若干ip的连接数在200以上，基本确定为SYN攻击。

然后开始用手工方式BAN掉这些IP：

iptables -A  INPUT -p tcp -s 攻击者ip –dport 80 -j REJECT

因为在上班，没有更多时间处理，只能隔一阵子BAN一些连接数超过50的IP，勉强维持网站的访问。

9.19凌晨

在几位朋友的帮忙下，改了一个脚本，把上述工作改成了自动执行。每隔一分钟检查SYN状态下连接数过高的ip，然后BAN掉。
9月19日

脚本非常有效，除load稍高之外，访问正常。

9月20日

攻击方发现SYN无效后，改为使用WAIT状态的连接攻击。这个相对好办，只要把上述代码中的SYN改成 “SYN\|WAIT”即可。如：

netstat -atn | grep -c “SYN\|WAIT”

9月22日

攻击加剧，可能是攻击方调用了更多的机器发动攻击。服务器load高达800-900，ssh完全无法登录。

通知机房停掉了电信ip，对方果然不知道这机器的网通ip。电信ip停掉后，顺利地通过网通ip登入Shell。

暂时没有更好的办法，改了一些shell内核参数，包括启用syn cookie等，然后把自动BAN IP的脚本改为超过30个慢连接就BAN。

但这样很容易误杀，比如一些学校、公司和网吧用户，他们是同一网站ip的。

这样改了之后又勉强撑住。

9月23日

终于找到一个治本的办法：使用nginx当apache的反向代理。

nginx是老毛子开发的一个web服务器和反向代理，把它架在apache的前面，作为前端web服务器。

因为它本身具有防慢连接的机制（原理不说了，google一大堆），所以先把所有对80端口的访问交由nginx来处理。

对于图片/js/css等静态文件，由nginx直接返回，不交给apache。

而php文件才交给apache处理。

TIP：这么做还有一个好处，如果把nginx的connection设为keep-alive，而apache设为close，整体效率还会高很多。

这么一来，居然效果奇好。apache的进程数直接从200+降为15左右，而nginx本身的进程才2个，系统load直接下降。

而且对慢连接，即使有几个ip的WAIT状态链接高达1000+也对网站访问毫无影响。

TIP：记得把apache设为只侦听127.0.0.1的访问，以免外部直接绕过nginx冲击apache。

这里有一篇文章讲这个结构：http://kovyrin.net/2006/05/18/nginx-as-reverse-proxy/

© Shark for Shark UI, 2009. | Permalink | 2 comments | Add to del.icio.us
Post tags:

Feed enhanced by Better Feed from Ozh

淘宝网（taobao.com），100%支付Firefox。

Firefox是我们UED团队最喜爱的浏览器之一，是前端开发工程师必备的开发利器。能通过Firefox的兼容性检查，是我们的前端技术开发的基本标准。

由于各种原因，支付宝暂停了对firefox的支持（支付宝的解释主要是安全性，但我个人觉得这不是说Firefox不安全，而是支付宝目前在Firefox上缺乏与IE控件同等安全级别的工具）。我个人觉得有理由相信支付宝早晚还是会要支持Firefox的（无论从公司国际业务的需求还是对国家信息安全的角度考虑）。

不知道该新闻是否有断章取义的情况，如果没有的话，我觉得作为Mozilla在国内的官方机构，说这样的“狠话”是有欠考虑的。作为一款伟大的开源浏览器，在Firefox上，一定可以解决银行级别的安全性问题。但目前的现实情况是，Firefox在国内的使用人群非常小，对和很多商业公司来说，专为Firefox开发一套银行安全级别的软件，并不是一件划算的事。但这种情况同样又反过来影响了Firefox人群的扩展。

Web标准运动与Firefox互相借力，都得到了很好的发展，这是Firefox在下一步发展时必须学习的成功经验。特别是在中国，Mozilla更应该与各家商业公司良好地合作，解决目前影响Firefox发展的若干重要技术问题（并不一定是Firefox软件本身的问题），才有更大的空间。

PS.在这一点上，必须表扬Apple中国。由于Safari还不是我们的兼容性标准测试的一环，所以淘宝首页在Safari上出现了一些问题，但Apple立即就找到我们，与我们一起解决问题。

开源软件社区中一向有一种论调，就是：开源软件不在乎有没有人用，我们只在乎创造一个好软件。

对某些软件，比如Linux来说，非常适用，因为它从没想过要代替Windows，也没想过要和Windows抢市场。

但对Firefox来说，自从它诞生的那一天起，就背负着Netscape的遗志。市场占有率，是必须考虑的问题！

© Shark for Shark UI, 2008. | Permalink | 14 comments | Add to del.icio.us
Post tags:

Feed enhanced by Better Feed from Ozh

在使用Gimp的过程中，最不习惯的还不是它的多窗口界面，而是已经深入骨骸Photoshop快捷键。用了这么多年的Photoshop，现在基本上可以在没有菜单、没有工具列、没有面板的情况下对付大多数的操作。 因为太习惯了，所以在Gimp下总是按错键，这让人无比恼火。一气之下就试图自己来重新设置一遍它的快捷键（首选项>界面>快捷键），不过无奈工程实在有点浩大……

Google吧，嘿，还果然有！这位老兄提供了他修改过的快捷键配置文件，试试了还真是不错，大多数的常用功能都包括了，这下子就爽多了呀。

下载这个文件：ps-menurc.txt。

然后把它改名为“menurc”，注意没有扩展名。再拷贝到GIMP的文件夹中：

Linux：~/.gimp-2.2

Windows：C:\Documents and Settings\<user name>\.gimp-2.2

ps.这个文件是按Photoshop 6设置的，适用于Gimp2.2。新出的Gimp 2.4是不是能用，我就不知道了^_^

这位老兄还列了张大表，把Photopshop的功能和Gimp作了对比。真的要佩服老外的认真劲儿，我觉得工程浩大的事，他还是做得这么仔细认真。致敬！

© Shark for Shark UI, 2007. | Permalink | 2 comments | Add to del.icio.us
Post tags: Gimp, Photoshop, shortcut

Feed enhanced by Better Feed from Ozh

这两件事，一件和钱相关，一件和赚钱相关。和钱相关的就是网银、支付宝。在目前全民巴菲特的时节，没有网银是很痛苦的。同时作为一个淘宝小二，不能用支付宝就更加痛苦了……不过这件事情还得暂且放一边吧，不是那么容易解决的。这第二件和赚钱的相关的，就是俺的吃饭家伙，网页设计软件了。

HTML/CSS/JavaScript编辑好说，在Web标准盛行的年代，我们都用“手”code了。用来code的软件linux下好多，vim和gEdit都是非常非常好的工具。

头大的还是图像编辑，用了N种自称可挑战photoshop的软件（包括windows平台的）后，我就根本不抱希望能找到一个有photoshop五成功力的软件。说来说去，开源软件里也还是只有Gimp可以给我一些信心。

我对Gimp的信心来自于开源社区里的一些设计师和设计项目（比如tango），我就不信他们给开源软件做的设计都是用Photoshop。Gimp一定还是有它的两把刷子，只是我还不会用罢了。

另外，还有一个小工具很不错，叫Gimpshop。它会把Gimp改装得尽可能接近Photoshop，对我这样企图从Photoshop转过来的用户，不装它对不起党啊……

这是我装好Gimpshop，再稍加设置后的效果：

我决定，本blog的所有设计、再开发工作，统统要在开源环境下实现。请广大人民群众用雪亮的眼睛监督我，谢谢！^_^

© Shark for Shark UI, 2007. | Permalink | 4 comments | Add to del.icio.us
Post tags: gEdit, Gimp, Gimpshop, Linux/Ubuntu, Photoshop, Tango, ubuntu, vim, 杂谈设计

Feed enhanced by Better Feed from Ozh

cd $HOME
mkdir .ssh
cd .ssh
touch authorized_keys
chmod go-w $HOME $HOME/.ssh $HOME/.ssh/authorized_keys

在本地终端中执行：

ssh-keygen -t rsa

连续三次回车

rsync -avrz  --progress "/home/shark/.ssh/id_rsa.pub" sharkui@www.sharkui.com:/home/sharkui/.ssh/authorized_keys

注意替换其中的shark、sharkui、www.sharkui.com为你自己的本地用户名、Dreamhost用户名、Dreamhost主机名。

然后执行发布命令：

rsync -avzP --delete --exclude=wp-config.php /var/www/ sharkui@www.sharkui.com:/home/sharkui/sharkui.com/

同样请注意替换其中的用户名和主机名。

/var/www是我的本地测试路径， –exclude=wp-config.php表示不发布wp-config.php文件，因为两边的数据库配置是不一样的，发上去就麻烦了。

© Shark for Shark UI, 2007. | Permalink | One comment | Add to del.icio.us
Post tags: dreamhost, Linux/Ubuntu, publish, rsync, ssh, ubuntu

Feed enhanced by Better Feed from Ozh