要复习一下计网捏，ping 和 tcp 的层级都不一样🐶

我在自己的 homelab 上是用 wireguard 将 198.41.192.0/24 和 198.41.200.0/24 代理出去

iptables 结合 xray 可以

vscode 里面的 thunderclient 插件

日本生可乐（：

把代码粘贴进去
https://www.codeconvert.ai/python-to-golang-converter
转换成 golang 再跨平台编译

用谷歌搜索编程相关的东西，例如 golang 实现 oauth
site:github.io golang oauth

我见过类似的技术，不过是用在 apt 攻击上的。黑客将一个域名托管到 cloudflare ，主控端通过 dns 的 txt 记录进行指令下发，受控端通过解析不同的子域名来回传命令执行结果。两者之间通过 doh 协议进行通信，在流量检测界面只能够看到一个和 cloudflare.com 这个高可信域名的通信日志。
https://outflank.nl/blog/2018/10/25/building-resilient-c2-infrastructues-using-dns-over-https/

最近不是护网吗，去报名参加蓝队刷刷简历呗，然后看看能不能找一找像绿盟和 qax 这种乙方安全企业进去实习

@icaolei clash 的 relay 后的节点可以用轻量一点的协议比如 ss-aes-128-gcm 这种,不需要继续用 vmess+tls+ws+cdn 这种高消耗的协议

2. wireguard 运行在远程服务器上
如果服务器的 IP 没有被 CF 屏蔽,那么直接 kizzx2/wireguard-socks-proxy 生成一个本地 socks5 端口
docker-compose.yml 如下

```
version: '3'
services:
proton-jp-wg:
image: kizzx2/wireguard-socks-proxy
container_name: proton-jp-wg
volumes:
- .:/etc/wireguard/:ro
ports:
- "1080:1080"
cap_add:
- NET_ADMIN
```

如果服务器的 IP 被 CF 屏蔽,那么只能通过 CF 的官方客户端进行链接,将客户端设置成代理模式,默认监听在 40000 端口

服务器上启动一个 xray,将流入的流量转发的上述的端口即可

1. wireguard 运行在本地,目标是链接到 cloudflare 的 warp
本地 xray 配置如下,利用 xray 的 dokodemo-door 协议将 162.159.192.1:2408 即 engage.cloudflareclient.com:2408 映射到 127.0.0.1:2408
```json
{
"log": {
"loglevel": "debug"
},
"inbounds": [
{
"listen": "127.0.0.1",
"port": 2408,
"protocol": "dokodemo-door",
"settings": {
"address": "162.159.192.1",
"port": 2408,
"network": "udp"
},
"tag": "warp"
}
],
"outbounds": [
{
"protocol": "socks",
"settings": {
"servers": [
{
"address": "127.0.0.1",
"port": 7890
}
]
},
"streamSettings": {
"network": "tcp"
},
"tag": "clash"
}
],
"routing": {
"rules": [
{
"type": "field",
"inboundTag": ["warp"],
"outboundTag": "clash"
}
]
}
}
```

本地 wireguard 配置如下,用 https://github.com/ViRb3/wgcf 生成配置

```
[Interface]
PrivateKey = xx
Address = 172.16.0.2/32, 2606:4700:110:8adb:2a:bdd6:4df:282e/128
MTU = 1280

[Peer]
PublicKey = xx
AllowedIPs = 173.245.48.0/20, 103.21.244.0/22, 103.22.200.0/22, 103.31.4.0/22, 141.101.64.0/18, 108.162.192.0/18, 190.93.240.0/20, 188.114.96.0/20, 197.234.240.0/22, 198.41.128.0/17, 162.158.0.0/15, 104.16.0.0/13, 104.24.0.0/14, 172.64.0.0/13, 131.0.72.0/22, 2400:cb00::/32, 2606:4700::/32, 2803:f800::/32, 2405:b500::/32, 2405:8100::/32, 2a06:98c0::/29, 2c0f:f248::/32
Endpoint = 127.0.0.1:2408
```

本地 clash 添加一个名为 UDP 的代理策略组,组中的代理需要支持 UDP 转发,在路由规则中增加下面这条规则
```
- DST-PORT,2408,UDP
```
依次运行 clash,xray,wireguard 即可

我之前 lightsail 用的 debian 系统，在终端里面输 reboot 好像不会自动进行重启，要到控制台手动重启才能正常启动

googleplay 下载 ReadEra 即可

@misaka00001 pythkn -> python

cloudflare 会对常见工具的 tls 指纹进行阻挡，例如 curl ，wget ，pythkn 的 request 库，你需要对工具的 tls 指纹进行 patch

关于 ping 的问题，aws 的防火墙好像是默认禁止 ping 入站的

因为你执行上面的命令后，warp 接管了所有流量，导致 ssh 无法入站
可以用 warp-cli set-mode proxy 将 warp 转换为 socks 代理模式，再进行 connect