@Cu635 现在系统层面我对证书设置的是白名单制，只信任最常见的 CA ，总数不超过 10 个。翻翻 mozilla ，巨硬和苹果的默认信任都超过 100 了，里面有一个老鼠屎就坏一锅。 CA 现在反而成了最薄弱的环节，巨头们是时候提供一个 checkbox 让用户自己选择信任那些 CA 了。

@raysonx 用 ndp proxy 可以解决但太麻烦了，每次陌生主机都要上去加一个。不知道有没有自动的 ndp proxy ，跑客户端服务器模式的。

@raysonx 好像正如你说的那样，我昨天折腾了一下午 ipsec ，发现 vultr 转发出去的 ipv6 流量有去无回，对端其实回应了但 vps 主机端抓包看到的都是 icmpv6 在找目的主机。 这样看来还是 linode 做的到位，等下发 ticket 看看能不能给我加个路由。

@Cu635 startcom ，最新消息是 wosign 官网说明完全买下了 startcom 。

@dreamcountry 一直在鼓捣 ipv6 ，刚发现好像 vultr 日本所有的 ipv4 都被墙了， 169 第 3 跳丢光。


#mtr -y0 112.64.28.1 -rwc 100

Start: Mon Sep 19 15:56:56 2016
HOST: linux-jp Loss% Snt Last Avg Best Wrst StDev

1. AS??? ??? 100.0 100 0.0 0.0 0.0 0.0 0.0

2. AS20473| AS-CHOOPA - Choopa, LLC, US vl199-br1-cer.tyo1.choopa.net 0.0% 100 0.4 3.4 0.3 129.8 14.6

3. AS2914| NTT-COMMUNICATIONS-2914 - NTT America, Inc., US ae-18.r02.tokyjp03.jp.bb.gin.ntt.net 0.0% 100 1.2 1.5 1.0 5.2 0.5

4. AS2914| NTT-COMMUNICATIONS-2914 - NTT America, Inc., US ae-10.r30.tokyjp05.jp.bb.gin.ntt.net 1.0% 100 6.3 1.6 1.2 6.3 0.7

5. AS2914| NTT-COMMUNICATIONS-2914 - NTT America, Inc., US ae-6.r22.osakjp02.jp.bb.gin.ntt.net 3.0% 100 8.7 9.3 8.4 33.6 2.9

6. AS2914| NTT-COMMUNICATIONS-2914 - NTT America, Inc., US ae-8.r20.osakjp02.jp.bb.gin.ntt.net 0.0% 100 10.3 9.0 8.4 38.3 3.0

7. AS4837| CHINA169-BACKBONE CNCGROUP China169 Backbone, CN 219.158.39.197 0.0% 100 77.6 76.3 73.8 80.6 1.2

8. AS4837| CHINA169-BACKBONE CNCGROUP China169 Backbone, CN 219.158.97.89 0.0% 100 85.0 85.3 83.1 90.9 1.2

9. AS??? ??? 100.0 100 0.0 0.0 0.0 0.0 0.0


发了 ticket 秒回：

We have received reports of similar behavior/performance from your specific geographical region. Our testing to date indicates this is an issue at the regional ISP level, which is 100% outside of our control. All Vultr infrastructure is performing optimally.

You'll need to snapshot your instance and redeploy it if you wish to obtain a new IPv4 address, as we cannot manually assign IPv4 addresses. Please make sure that you set your instance's network adapter to DHCP mode before taking the snapshot, as static IP assignments will need to be corrected otherwise. We appreciate your understanding regarding this matter.

问过了 默认分配的 64 前缀 ip 地址就是地址块，试了一下后面的随便填都能通，比 linode 还简便。

我知道可以激活 ipv6 地址，然后给两个 ipv6 地址，但是否分配地址块我不清楚。

@yexm0 我的补丁的问题？ 不打补丁也只能发 10 个包？

@yexm0
修改 asn.c ，新增一个 get_asn_name 函数。 随手改的，自己用，没有测-y 非 0 的情况。基于 mtr-0.85_p20140126 版本，其他版本估计也能直接打这个补丁。原作者-y 0 参数的输出都是 hardcode 6 位 AS 输出，因为 asn name 不定长，所以这样改有可能后面的项会移位。如果原作者想真正加这个功能恐怕会改其他输出的代码。


--- asn.c.bak 2016-09-02 11:25:32.733209580 +0800
+++ asn.c 2016-09-17 19:59:55.710935263 +0800
@@ -56,16 +56,18 @@
int ipinfo_no = -1;
int ipinfo_max = -1;
int iihash = 0;
-char fmtinfo[32];
+char fmtinfo[96];
+char fmtinfo2[96];
extern int af; /* address family of remote target */

-// items width: ASN, Route, Country, Registry, Allocated
-int iiwidth[] = { 6, 19, 4, 8, 11}; // item len + space
+// items width: ASN, Route, Country, Registry, Allocated
+int iiwidth[] = {66, 19, 4, 8, 11}; // item len + space
int iiwidth_len = sizeof(iiwidth)/sizeof((iiwidth)[0]);

typedef char* items_t[ITEMSMAX + 1];
items_t items_a; // without hash: items
char txtrec[NAMELEN + 1]; // without hash: txtrec
+char txtrec2[NAMELEN + 1];
items_t* items = &items_a;


@@ -129,7 +131,7 @@
txtlen = NAMELEN;

if (iihash) {
- if (!(txt = malloc(txtlen + 1)))
+ if (!(txt = malloc(txtlen + 1 + 96)))
return NULL;
} else
txt = (char*)txtrec;
@@ -156,6 +158,76 @@
return p;
}

+char * get_asn_name(char *asn) {
+ char lookup_key[NAMELEN];
+ char asn1[6];
+
+ unsigned char answer[PACKETSZ], *pt;
+ char host[128];
+ int len, exp, size, txtlen, type;
+
+ if (!asn)
+ return NULL;
+
+ strcpy(asn1, asn);
+
+ if (snprintf(lookup_key, NAMELEN, "AS%s.asn.cymru.com", asn) >= NAMELEN)
+ return NULL;
+
+ if(res_init() < 0) {
+ fprintf(stderr,"@res_init failed\n");
+ return NULL;
+ }
+ memset(answer, 0, PACKETSZ);
+ if((len = res_query(lookup_key, C_IN, T_TXT, answer, PACKETSZ)) < 0) {
+ return UNKN;
+ }
+
+ pt = answer + sizeof(HEADER);
+
+ if((exp = dn_expand(answer, answer + len, pt, host, sizeof(host))) < 0) {
+ printf("@dn_expand failed\n"); return NULL;
+ }
+
+ pt += exp;
+
+ GETSHORT(type, pt);
+ if(type != T_TXT) {
+ printf("@Broken DNS reply.\n"); return NULL;
+ }
+
+ pt += INT16SZ; /* class */
+
+ if((exp = dn_expand(answer, answer + len, pt, host, sizeof(host))) < 0) {
+ printf("@second dn_expand failed\n"); return NULL;
+ }
+
+ pt += exp;
+ GETSHORT(type, pt);
+ if(type != T_TXT) {
+ printf("@Not a TXT record\n"); return NULL;
+ }
+
+ pt += INT16SZ; /* class */
+ pt += INT32SZ; /* ttl */
+ GETSHORT(size, pt);
+ txtlen = *pt;
+
+
+ if(txtlen >= size || !txtlen) {
+ printf("@Broken TXT record (txtlen = %d, size = %d)\n", txtlen, size); return NULL;
+ }
+
+ if (txtlen > NAMELEN)
+ txtlen = NAMELEN;
+
+ pt++;
+ strncpy(txtrec2, (char*) pt, txtlen);
+ txtrec2[txtlen] = 0;
+
+ strcat(asn, strrchr(txtrec2, ITEMSEP));
+ return strrchr(txtrec2, ITEMSEP);
+}
// originX.asn.cymru.com txtrec: ASN | Route | Country | Registry | Allocated
char* split_txtrec(char *txtrec) {
if (!txtrec)
@@ -187,6 +259,7 @@
for (j = i; j <= ITEMSMAX; j++)
(*items)[j] = NULL;

+ get_asn_name((*items)[0]);
if (i > ipinfo_max)
ipinfo_max = i;
printf("ipinfo_no=%d\n", ipinfo_no);
@@ -281,7 +354,7 @@
char *ipinfo = get_ipinfo(addr);
char fmt[8];
snprintf(fmt, sizeof(fmt), "%s%%-%ds", ipinfo_no?"":"AS", get_iiwidth());
- snprintf(fmtinfo, sizeof(fmtinfo), fmt, ipinfo?ipinfo:UNKN);
+ snprintf(fmtinfo, sizeof(fmtinfo2), fmt, ipinfo?ipinfo:UNKN);
return fmtinfo;
}

@yexm0 我自己随便改的代码

尽管天朝现在很豪，航天技术 top3 ，但已经过了那种国家射星全民高潮的时代了。

tune2fs -l /dev/sdxy

看 inode count 还有吗，有可能是大量小文件把 inode 用光了 也会造成无法写新文件。

15 楼正解，苹果机的 AC 顶级网卡。有速度还稳定， linux 由 BCM 大厂固件支持。当然也支持黑苹果。

@fayh http://www.2cycd.com/thread-9835-1-1.html


@chrishine 不明白为什么那么多喷发型的，一个拖延了 10 年的游戏从设计初到现在沙盘化没有被取消已经算很有诚意了， SE 应该知道如果把这个项目取消了投到氪金手游上短期会收入多得多。

@tidezyc 所以这次再加一个 cname 便于墙识别放行，我还是觉得 google 应该是沟通过了。不过我是瞎猜，再观察一段时间。

@mathgl go 写的梯子？ 反正以前 python 被封好像是因为 go - a -g -e -n -t

@tidezyc 对，我就是这个意思，但都这样方式通知了 怀疑应该是和墙沟通好了，就像以前 python.org 。

我想知道怎么绕的，难道就是换个 ip ？ 还是说和墙商量好了？

为什么主流的操作系统不提供一个简便的 CA 开关，让用户选择信任哪些 CA ，就像 IOS 越狱后那个插件。现在都是靠一些插件， msc ， linux 甚至要重新编译代码才行。而且巨硬会后台更新证书（不是 windows update ），这样 CA 证书的增删改更不透明。

@kamen
@mornlight
估计 baidu 是故意的吧，让你申诉留手机号