1.Snort基本指令 入侵侦测模式
2.通过 NAT TCP 打洞使 qBittorrent 获得公网 IPv4 的检检测连接性体验
3.netfilter 链接跟踪机制与NAT原理
4.WireGuard 教程：使用 DNS-SD 进行 NAT-to-NAT 穿透
5.网络检测小工具
6.手把手教你10分钟快速搭建webrtc

Snort基本指令 入侵侦测模式

       以下是Snort基本指令在入侵侦测模式下的详细解释，以及相关选项和配置：

       要启用入侵侦测模式，测源你可以使用以下命令：

       ./snort -dev -l ./log -h ..1.0/ -c snort.conf

       这里的检检测snort.conf是包含规则的配置文件，用于定义要检测的测源网络活动。

       如果你只想查看网络流量而不希望获取连接层详细信息，检检测可以使用:

       ./snort -d -h ..1.0/ -l ./log -c snort.conf

       Snort提供了几种警告模式:

       -A fast: 快速警告模式，测源pttool源码提供即时反应。检检测

       -A full (默认): 完整警告模式，测源提供详细信息。检检测

       -A unsock: 将警告发送到UNIX套接字，测源供其他系统监控。检检测

       -A none: 关闭警告功能。测源

       -A console: 将警告显示在终端机上。检检测

       要进行线上模式操作，测源不通过libcap抓取封包，检检测而是通过防火墙，使用:

       ./snort -Qd -h ..0.0/ -l ./log -c snort.conf

       对于Linux防火墙设置，例如使用iptables，可以添加以下规则:

       iptables -t nat -A PREROUTING -j QUEUE

       编辑Snort检测规则的示例是:

       alert tcp any any -> ..1.0/

       规则的组成部分包括:

       标头：定义动作，如“alert”表示警示。

       协定：如“tcp”指明通讯协议。

       进阶规则编辑：如“include”指令用于引用其他规则文件，以及变量定义和使用。

       Snort的配置通常在配置文件中完成，你可以通过命令行选项或配置文件设置许多参数和选项。

扩展资料

       在年，Martin Roesch先生用C语言开发了开放源代码(Open Source)的入侵检测系统Snort.直至今天，Snort已发展成为一个多平台(Multi-Platform),实时(Real-Time)流量分析，网络IP数据包(Pocket)记录等特性的强大的网络入侵检测/防御系统(Network Intrusion Detection/Prevention System),即NIDS/NIPS.Snort符合通用公共许可(GPL——GUN General Pubic License),在网上可以通过免费下载获得Snort,并且只需要几分钟就可以安装并开始使用它。snort基于libpcap。

通过 NAT TCP 打洞使 qBittorrent 获得公网 IPv4 的连接性体验

       在国内，许多用户因运营商限制无法获取公网 IPv4，对 PT 玩家的连接性构成困扰。此时，源码差值怎么编写TCP 打洞成为解决问题的有效途径。客户端与Tracker的通信过程依赖于客户端上报的IP地址和监听端口。正常情况下，Tracker通过TCP报文获取客户端的IPv4地址，但当客户端位于NAT环境时，情况复杂化。

       如果BT客户端在路由器上运行，可以直接通过公网地址和端口被连接。然而，如客户端在子网设备上，必须通过TCP打洞技术。在这种情况下，客户端需要配置路由器以实现NAT穿透，让其他客户端通过运营商的公网地址连接到私有子网的端口。

       当公网IPv4不可得时，情况更为棘手。运营商设备的NAT会限制外部连接，无法直接穿透。此时，仅完全圆锥形NAT（Full Cone NAT）允许TCP打洞。通过理解NAT类型，我们可以利用Natter或NATMap这类工具，建立并保持NAT映射关系，以实现连接性。

       在qBittorrent场景中，关键在于上报给Tracker的正确端口。由于客户端受限，可能需要修改源码或采用间接策略。比如，通过NATMap获取NAT映射，然后用iptables规则将本地端口转发到实际用于服务的端口。在我的GitHub仓库有详细的教程和脚本，供参考和下载。禾匠源码语言

       注意，如果NATMap和qBittorrent运行在不同设备上，还需要调整iptables转发和qBittorrent API中的本地地址配置。

netfilter 链接跟踪机制与NAT原理

       内核版本:2.6.

       在Linux内核的网络过滤框架中，conntrack是关键组件，它通过5个主要的处理链来管理数据包：NF_IP_PRE_ROUTING，NF_IP_LOCAL_IN，NF_IP_FORWARD，NF_IP_LOCAL_OUT，和NF_IP_POST_ROUTING。这些链对应着数据包的不同生命周期阶段。此外，还有4个操作表：filter，nat，mangle和raw，其中filter用于常规过滤，nat则负责地址转换等。

       数据包的流程从进入防火墙开始，经过一系列处理，根据目的地决定是转发、接收或丢弃。对于本地数据包，其流程分为接收和发送两个方向；对于远程目的地，处理涉及到转发。conntrack通过跟踪连接状态，记录每个数据包的源和目的，这对于SNAT和DNAT功能至关重要。

       连接跟踪的核心是ip_conntrack结构，它维护连接记录，每个连接对应一个ip_conntrack_tuple_hash，存储源和目的地址信息。连接跟踪表是一个散列结构，存储所有连接记录。地面波指标源码不同协议的处理由ip_conntrack_protocol数组管理，通过ip_conntrack_in函数，数据包进入时会进行连接跟踪的检查和初始化。

       以SNAT为例，当数据包从内网到公网，通过源地址转换，netfilter首先查找转换规则，然后使用连接跟踪信息更新数据包的源地址，同时维护状态跟踪，确保应答数据包能正确发送。NAT的实现依赖于conntrack，如FTP和ICMP等复杂协议可能需要额外模块处理。

       总的来说，conntrack与NAT密切相关，前者是后者实现的基础，它们共同确保了网络数据包的正确路由和转换。深入理解这些机制需要查阅源代码和相关资料。

WireGuard 教程：使用 DNS-SD 进行 NAT-to-NAT 穿透

       原文链接： fuckcloudnative.io/post...

       WireGuard 是由 Jason A. Donenfeld 等人创建的下一代开源 *** 协议，旨在解决许多困扰 IPSec/IKEv2、Open*** 或 L2TP 等其他 *** 协议的问题。 年 1 月 日，WireGuard 正式合并进入 Linux 5.6 内核主线。

       利用 WireGuard 我们可以实现很多非常奇妙的功能，比如跨公有云组建 Kubernetes 集群，本地直接访问公有云 Kubernetes 集群中的 Pod IP 和 Service IP，在家中没有公网 IP 的情况下直连家中的设备，等等。

       如果你是第一次听说 WireGuard，建议你花点时间看看我之前写的 WireGuard 工作原理。然后可以参考下面两篇文章来快速上手：

       如果遇到某些细节不太明白的，再去参考 WireGuard 配置详解。

       本文将探讨 WireGuard 使用过程中遇到的一个重大难题：如何使两个位于 NAT 后面（且没有指定公网出口）的客户端之间直接建立连接。

       WireGuard 不区分服务端和客户端，最新战法源码下载大家都是客户端，与自己连接的所有客户端都被称之为Peer。

       1. IP 不固定的 Peer

       WireGuard 的核心部分是 加密密钥路由（Cryptokey Routing），它的工作原理是将公钥和 IP 地址列表（AllowedIPs）关联起来。每一个网络接口都有一个私钥和一个 Peer 列表，每一个 Peer 都有一个公钥和 IP 地址列表。发送数据时，可以把 IP 地址列表看成路由表；接收数据时，可以把 IP 地址列表看成访问控制列表。

       公钥和 IP 地址列表的关联组成了 Peer 的必要配置，从隧道验证的角度看，根本不需要 Peer 具备静态 IP 地址。理论上，如果 Peer 的 IP 地址不同时发生变化，WireGuard 是可以实现 IP 漫游的。

       现在回到最初的问题：假设两个 Peer 都在 NAT 后面，且这个 NAT 不受我们控制，无法配置 UDP 端口转发，即无法指定公网出口，要想建立连接，不仅要动态发现 Peer 的 IP 地址，还要发现 Peer 的端口。

       找了一圈下来，现有的工具根本无法实现这个需求，本文将致力于不对 WireGuard 源码做任何改动的情况下实现上述需求。

       2. 中心辐射型网络拓扑

       你可能会问我为什么不使用 中心辐射型（hub-and-spoke）网络拓扑？中心辐射型网络有一个 *** 网关，这个网关通常都有一个静态 IP 地址，其他所有的客户端都需要连接这个 *** 网关，再由网关将流量转发到其他的客户端。假设 Alice 和 Bob 都位于 NAT 后面，那么 Alice 和 Bob 都要和网关建立隧道，然后 Alice 和 Bob 之间就可以通过 *** 网关转发流量来实现相互通信。

       其实这个方法是如今大家都在用的方法，已经没什么可说的了，缺点相当明显：

       本文想探讨的是Alice 和 Bob 之间直接建立隧道，中心辐射型（hub-and-spoke）网络拓扑是无法做到的。

       3. NAT 穿透

       要想在Alice 和 Bob 之间直接建立一个 WireGuard 隧道，就需要它们能够穿过挡在它们面前的 NAT。由于 WireGuard 是通过 UDP 来相互通信的，所以理论上 UDP 打洞（UDP hole punching） 是最佳选择。

       UDP 打洞（UDP hole punching）利用了这样一个事实：大多数 NAT 在将入站数据包与现有的连接进行匹配时都很宽松。这样就可以重复使用端口状态来打洞，因为 NAT 路由器不会限制只接收来自原始目的地址（信使服务器）的流量，其他客户端的流量也可以接收。

       举个例子，假设Alice 向新主机 Carol 发送一个 UDP 数据包，而 Bob 此时通过某种方法获取到了 Alice 的 NAT 在地址转换过程中使用的出站源 IP:Port，Bob 就可以向这个 IP:Port（2.2.2.2:） 发送 UDP 数据包来和 Alice 建立联系。

       其实上面讨论的就是完全圆锥型 NAT（Full cone NAT），即一对一（one-to-one）NAT。它具有以下特点：

       大部分的 NAT 都是这种 NAT，对于其他少数不常见的 NAT，这种打洞方法有一定的局限性，无法顺利使用。

       4. STUN

       回到上面的例子，UDP 打洞过程中有几个问题至关重要：

       RFC 关于 STUN（Session Traversal Utilities for NAT，NAT会话穿越应用程序）的详细描述中定义了一个协议回答了上面的一部分问题，这是一篇内容很长的 RFC，所以我将尽我所能对其进行总结。先提醒一下，STUN 并不能直接解决上面的问题，它只是个扳手，你还得拿他去打造一个称手的工具：

       STUN 本身并不是 NAT 穿透问题的解决方案，它只是定义了一个机制，你可以用这个机制来组建实际的解决方案。 — RFC

       STUN（Session Traversal Utilities for NAT，NAT会话穿越应用程序）STUN（Session Traversal Utilities for NAT，NAT会话穿越应用程序）是一种网络协议，它允许位于NAT（或多重NAT）后的客户端找出自己的公网地址，查出自己位于哪种类型的 NAT 之后以及 NAT 为某一个本地端口所绑定的公网端口。这些信息被用来在两个同时处于 NAT 路由器之后的主机之间建立 UDP 通信。该协议由 RFC 定义。

       STUN 是一个客户端－服务端协议，在上图的例子中，Alice 是客户端，Carol 是服务端。Alice 向 Carol 发送一个 STUN Binding 请求，当 Binding 请求通过 Alice 的 NAT 时，源 IP:Port 会被重写。当 Carol 收到 Binding 请求后，会将三层和四层的源 IP:Port 复制到 Binding 响应的有效载荷中，并将其发送给 Alice。Binding 响应通过 Alice 的 NAT 转发到内网的 Alice，此时的目标 IP:Port 被重写成了内网地址，但有效载荷保持不变。Alice 收到 Binding 响应后，就会意识到这个 Socket 的公网 IP:Port 是 2.2.2.2:。

       然而，STUN 并不是一个完整的解决方案，它只是提供了这么一种机制，让应用程序获取到它的公网 IP:Port，但 STUN 并没有提供具体的方法来向相关方向发出信号。如果要重头编写一个具有 NAT 穿透功能的应用，肯定要利用 STUN 来实现。当然，明智的做法是不修改 WireGuard 的源码，最好是借鉴 STUN 的概念来实现。总之，不管如何，都需要一个拥有静态公网地址的主机来充当信使服务器。

       5. NAT 穿透示例

       早在 年 8 月...

网络检测小工具

       在日常工作中，作为桌面运维人员，经常面临同事们的网络问题困扰。其实，大部分问题往往只是小误会，如上网行为管理未认证、误连访客WiFi或网络设备未开启等。为了解决这一繁琐问题，我开发了一个小工具，用户只需简单操作，就能获取网络检测结果。

       工具在Windows环境下直接运行，它会在同目录下生成一个名为"网络检测结果.txt"的文件，其中包含了详细的检测信息，如内部IP地址（内网网段）、外部IP地址（通过NAT的公网IP）、DNS地址（可能是自动或手动设置）以及丢失率（ping测试的包丢失情况）。通过分析这些数据，我们可以判断出大致的问题所在。

       例如，如果检测结果显示IP和DNS正常，但无法打开网页，可能是DNS服务器或缓存的问题。此时，可以尝试清空DNS缓存（在Windows下使用ipconfig /flushdns）；如果所有测试都正常，但用户无法访问部分特定网址，可能是外部线路问题，比如网络出口的切换策略影响了访问。

       源代码已经分享，如果需要获取可执行文件，只需在后台发送'网络检测小工具'即可。这个小工具不仅简化了网络故障排查，也提高了问题解决的效率，让日常运维工作更为便捷。

手把手教你分钟快速搭建webrtc

       搭建Webrtc步骤详解：

       为了快速搭建Webrtc，我们参考了logan的GitHub项目，提供了Android和H5客户端，以及Java搭建的信令服务器。首先，基于Android的示例可以使用webrtc_android项目，而iOS端的开发将在后续补充。在PC端，我们利用H5和Java搭建的信令服务器进行点对点通信。

       搭建流程如下：

       **NAT检测与流媒体中继**

       使用谷歌官方提供的coturn作为STUN服务，完成NAT检测与流媒体中继。

       **使用自研信令服务器（Java Springboot）

**       为了实现客户端之间的通信，我们使用Java Springboot开发信令服务器。

       **客户端开发

**       客户端已经开发了安卓与H5（基于谷歌浏览器），实现了app-to-app、app-to-PC、PC-to-PC的点对点通信，目前尚不支持多人视频通话。

       **注意事项

**

       **PC的H5使用adapter.js实现屏幕共享

**       在PC端的H5应用中，通过使用谷歌提供的adapter.js可以实现屏幕共享功能，同时在具备摄像头或麦克风的条件下，也能实现视频通话。

       **浏览器兼容性测试

**       当前测试结果显示，Chrome浏览器支持良好，理论上Firefox浏览器也应兼容。对于Safari浏览器，可能需要打开特定设置进行测试，由于缺少苹果设备，该测试尚未完成。

       Webrtc的原理与架构

       Webrtc是由谷歌主导的开源流媒体传输和编解码框架。其主要架构包括：

       **NAT类型检测服务器

**

       **流媒体中继服务器

**

       **信令交换服务器

**

       **客户端流媒体编解码

**       客户端使用谷歌开源的编解码库进行音视频编解码。

       搭建环境

       搭建Webrtc所需的环境包括：服务器（CentOS 7.9，JDK 1.8），PC端（Windows ，JDK 1.8），以及安卓端（Android 9.0）。

       安装与配置步骤

       **安装依赖

**       使用命令安装所需的软件包。

       **获取并编译coturn服务

**       从GitHub下载coturn源码，进行编译与安装，并配置服务器。

       **生成证书与配置服务器

**       生成服务器证书，并配置coturn服务以启动。

       测试与验证

       **使用ICE测试

**       在Chrome或Firefox浏览器中进行ICE测试，验证STUN服务器的正常运行。

       **搭建信令服务器

**       使用Java Springboot搭建信令服务器，完成客户端间的通信。

       **客户端配置与测试

**       在客户端配置信令服务器地址和coturn服务器参数，进行点对点通信测试。

       优化与扩展

       **兼容性优化

**       优化客户端对音频共享的支持，提高兼容性。

       **多人视频通话功能

**       开发多人视频通话功能，实现更多场景下的实时通信。

       **动态密码功能

**       实现动态密码功能，增强通信的安全性。

       学习资源与实践

       欲深入了解Webrtc的开发与实践，可访问FFmpeg/WebRTC/RTMP/NDK/Android音视频流媒体高级开发的学习资源，免费获取更多音视频学习资料包、大厂面试题、技术视频和学习路线图。