发布于2019的文章

Mar 21

Tomato 固件 SSH 不能连接解决一例

Software | 没有评论 » | Trackback | FavLinks | 4,077 次阅读

Linksys EA6900 刷 FreshTomato，opkg 装 openssh-server （其实是想装 openssh-sftp-server）重启后 SSH 连接不能。telnet 上去发现 dropbear 未启动，手动启动出错：

dropbear -F -E
Early exit: Bad buf_getptr

搞了几个小时，定位问题在 dropbear 的密匙文件，把其它路由器上正常的文件覆盖此路由器 /etc/dropbear/ 下三个文件，则 dropbear 能正常启动。最终解决办法：

nvram unset sshd_hostkey
nvram unset sshd_ecdsakey
nvram unset sshd_dsskey
nvram commit
reboot

原理：这三个密匙都是生成后保存在 nvram 中的，启动时如果没有这三个文件，系统会重新生成。

参考：

https://www.linksysinfo.org/index.php?threads/how-can-i-save-etc-dropbear-during-a-reboot.30485/
http://tomatousb.org/forum/t-311630/how-do-you-change-the-dropbear-host-key-files
https://www.linksysinfo.org/index.php?threads/struggling-to-set-up-ssh-on-shibby.73096/

:twisted: :twisted: :twisted:


Mar 20

PopoBox 的 ANYKA AK9806

PHP, Software | 没有评论 » | Trackback | FavLinks | 3,130 次阅读


Mar 18

Korn - 'Sabotage' Featuring Slipknot live in London 2015

Entertainment | 没有评论 » | Trackback | FavLinks | 4,478 次阅读


Mar 03

Tomatoware 静态编译支持 TLSv1.3 的 Curl 最新版(OpenSSL)

Router, Internet, Software | 没有评论 » | Trackback | FavLinks | 2,658 次阅读

好吧，Tomatoware 1.7 已经基于 OpenSSL 1.1.1b 编译，本文可以不看了。

~~~~~


:mrgreen: :mrgreen: :mrgreen:


Jan 25

Tomatoware 下静态编译支持 TLSv1.3 的 kdig

Software | 没有评论 » | Trackback | FavLinks | 3,006 次阅读

kdig 是 knot-dns 中的类似 dig 的工具，使用 TLSv1.3 DoT 查询比起 dig 来要方便许多。静态编译它花了很多功夫，最终还是在 Tomatoware 作者的指导下才成功。

kdig 依赖：libedit, libunistring, gmp, nettle, gnutls，其中后三者 Tomatoware 都已自带，前两个需要下载源码编译。（注：Tomatoware 带的 gnutls 编译时未带证书，所以静态编译出来的 kdig 在运行时要指定 ca-file=/path/to/certfile，我个人为了偷懒是重新编译了带证书的 gnutls）

#libedit
./configure --prefix=/mmc/s --enable-shared=no

#libunistring
./configure --prefix=/mmc/s --enable-shared=no

#gnutls:
#opt
./configure --prefix=/mmc --enable-local-libopts --without-p11-kit --with-included-libtasn1 --enable-static --with-included-unistring --disable-doc --with-system-priority-file=/opt/etc/gnutls/default-priorities --with-default-trust-store-file=/opt/etc/ssl/certs/ca-certificates.crt --with-default-trust-store-dir=/opt/etc/ssl/certs --with-unbound-root-key-file=/opt/etc/unbound/root.key

/opt/etc/ssl/certs/ca-certificates.crt 这个证书文件可以通过 Entware 的 opkg install ca-bundle 来安装。

然后开始编译 knot-dns，我们只要其中的工具 kdig：

#knot-dns:
./configure --prefix=/opt --disable-daemon --disable-modules --disable-documentation --disable-fastparser --without-libidn
make V=99 LDFLAGS="-zmuldefs -all-static"

make V=99 用来查看编译中的详细信息，-zmuldefs 处理编译中出现的重复定义错误。

这个编译过程会出错停在开始编译 kdig 的时候，注意最后一句 gcc 相关的编译出错：

libtool: link: gcc -g -O2 -Wall -Werror=format-security -Werror=implicit -Wstrict-prototypes -zmuldefs -static -o kdig utils/kdig/kdig-kdig_exec.o utils/kdig/kdig-kdig_main.o utils/kdig/kdig-kdig_params.o ./.libs/libknotus.a /mmc/src/knot/knot-2.7.5/src/.libs/libknot.a -L/mmc/lib /mmc/src/knot/knot-2.7.5/src/.libs/libdnssec.a /mmc/lib/libedit.a -lncurses /mmc/lib/libgnutls.a -lnettle -lhogweed /mmc/lib/libgmp.a /mmc/lib/libintl.a /mmc/lib/libiconv.a -lc

复制下来，然后把外部调用的库用 -Wl,--whole-archive 和 -Wl,--no-whole-archive 包围起来，进入 src 目录手动编译：
cd src
gcc -g -O2 -Wall -Werror=format-security -Werror=implicit -Wstrict-prototypes -zmuldefs -static -o kdig utils/kdig/kdig-kdig_exec.o utils/kdig/kdig-kdig_main.o utils/kdig/kdig-kdig_params.o ./.libs/libknotus.a /mmc/src/knot/knot-2.7.5/src/.libs/libknot.a -L/mmc/lib /mmc/src/knot/knot-2.7.5/src/.libs/libdnssec.a -Wl,--whole-archive /mmc/lib/libedit.a -lncurses /mmc/lib/libgnutls.a -lnettle -lhogweed /mmc/lib/libgmp.a /mmc/lib/libintl.a /mmc/lib/libiconv.a -lc -Wl,--no-whole-archive

这样就可以编译出静态版本的 kdig 了：

file /opt/bin/kdig
/opt/bin/kdig: ELF 32-bit LSB executable, ARM, EABI5 version 1 (GNU/Linux), statically linked, no section header

测试：

kdig +tls -d @1.1.1.1 quakemachinex.com
;; DEBUG: Querying for owner(quakemachinex.com.), class(1), type(1), server(1.1.1.1), port(853), protocol(TCP)
;; DEBUG: TLS, received certificate hierarchy:
;; DEBUG: #1, C=US,ST=California,L=San Francisco,O=Cloudflare\, Inc.,CN=cloudflare-dns.com
;; DEBUG: SHA-256 PIN: TdBczz+YjD3Q/taSfHXL5n4LnRxzJk0WG0JAX7nRu6s=
;; DEBUG: #2, C=US,O=DigiCert Inc,CN=DigiCert ECC Secure Server CA
;; DEBUG: SHA-256 PIN: PZXN3lRAy+8tBKk2Ox6F7jIlnzr2Yzmwqc3JnyfXoCw=
;; DEBUG: TLS, skipping certificate PIN check
;; DEBUG: TLS, skipping certificate verification
;; TLS session (TLS1.3)-(ECDHE-SECP256R1)-(ECDSA-SECP256R1-SHA256)-(AES-256-GCM)
;; ->>HEADER<<- opcode: QUERY; status: NOERROR; id: 50261
;; Flags: qr rd ra; QUERY: 1; ANSWER: 1; AUTHORITY: 0; ADDITIONAL: 1

;; EDNS PSEUDOSECTION:
;; Version: 0; flags: ; UDP size: 1452 B; ext-rcode: NOERROR
;; PADDING: 402 B

;; QUESTION SECTION:
;; quakemachinex.com. IN A

;; ANSWER SECTION:
quakemachinex.com. 4 IN A 113.67.73.162

;; Received 468 B
;; Time 2019-01-25 08:57:44 CST
;; From 1.1.1.1@853(TCP) in 66.2 ms


[5/6]  < 1 2 3 4 5 6 >