Category Archives: Linux
Network Connect 是 Juniper 公司出品的配合其安全硬件 VPN 解决方案的软件包，很多公司使用这个 VPN 解决方案，一般需要使用 RSA Token 动态密码登录。Network Connect 支持 Windows 和 Linux 操作系统，但很遗憾的是，它只支持 32 位 Linux。下面以 Ubuntu 为例，介绍如何
在 64 位 Linux 上安装并使用 Juniper Network Connect
1. 安装浏览器 Java 插件（64位）；
$ sudo apt-get install icedtea-plugin
虽然看起来只安装了一个软件包，但实际上可能会下载依赖的 OpenJDK 的一系列软件包。这是为了在 Firefox 下能够正确启动 Network Connect 的安装过程。
2. 修改 root 密码；
$ sudo passwd
由于 Ubuntu 默认不使用 root 用户，下面自动安装 Network Connect 软件时候又必须提供 root 密码，所以这里必须先初始化 root 的密码。
3. 打开 Firefox，访问 VPN 网站。
像在 Windows 下那样，先登录进入 VPN 页面，再点击 start，启动 Network Connect 的自动安装过程。过程中会弹出一个很丑的终端，安装时需要输入 root 密码，但是最终必定是无法弹出 Network Connect 小图标，也连接不上。
4. 下载脚本 junipernc[1]，并且安装到执行目录 /usr/bin 中；
$ wget http://mad-scientist.net/junipernc -O junipernc $ chmod 755 junipernc $ sudo mv junipernc /usr/bin
5. 安装 Network Connect 二进制程序依赖的 32 位动态链接库；
NC 具体的可执行程序是 ～/.juniper_networks/network_connect/ncsv ，是 32 位的可执行程序。如果不安装它依赖的 32 位动态链接库[2]，该程序是执行不了的。
$ sudo apt-get install libc6-i386 lib32z1 lib32nss-mdns
6. 执行 junipernc 脚本，会跳出各种对话框，对应填入各种参数；
$ junipernc --nojava
URL 就填入 VPN 网站的域名，USER 就是自己的用户名，REALM 比较麻烦，需要自己查看 VPN 网站登录页面的源代码，看对应 REALM 域实际表单提交的 value 是什么，填进去即可。
--nojava 的意思是，只执行 VPN 连接，不启动 Network Connect 小锁图标的 Java 程序。因为该 Java 程序要求 32 位 Java 环境。
连接失败会有提示；连接成功后，junipernc 会一直停在那里，终止连接可以使用 Ctrl-C 命令行，或者 sudo killall -9 ncsv。
6-1. 修改 junipernc 配置；
junipernc 有两个配置文件，一个是 ～/.vpn.default.cfg，保存着用户手工输入的配置；一个是 ~/.vpn.default.crt，这个是从网站上下载下来的证书。
这样，一般的 VPN 连接功能就实现了。如果希望启动 Network Connect 小锁图标并监控 VPN 的流量信息，就需要
在 64 位 Ubuntu 上安装 32 位 Java 环境[3]
如果不是特别需要，不建议折腾下面这套东西。
a. 到 Oracle 网站上下载 32位 Java 的 tar 包；
到这个地址：http://www.oracle.com/technetwork/java/javase/downloads/index-jsp-138363.html#javasejdk下载例如 jre-7u3-linux-i586.tar.gz 的 Linux JRE 包。重要的特征是那个 i586。
b. 解压并安装到 jvm 目录，调整默认 java 的链接到 32位 JRE。
$ tar xzvf jre-7u3-linux-i586.tar.gz $ sudo mv jre1.7.0_03 /usr/lib/jvm $ sudo update-alternatives --install /usr/bin/java java /usr/lib/jvm/jre1.7.0_03/bin/ java 73 $ sudo update-alternatives --config java
最后一个命令会给出一个 Java 的列表，如下所示，选择 jre1.7.0_03 对应的编号即可。
There are 2 choices for the alternative java (providing /usr/bin/java). Selection Path Priority Status ------------------------------------------------------------ 0 /usr/lib/jvm/java-6-openjdk/jre/bin/java 1061 auto mode 1 /usr/lib/jvm/java-6-openjdk/jre/bin/java 1061 manual mode * 2 /usr/lib/jvm/jre1.7.0_03/bin/java 73 manual mode Press enter to keep the current choice[*], or type selection number: 2
c. 验证 java 可以执行且版本正确（其实依赖上面的第 5 步）；
$ java -version java version "1.7.0_03" Java(TM) SE Runtime Environment (build 1.7.0_03-b04) Java HotSpot(TM) Server VM (build 22.1-b02, mixed mode)
d. 安装 32位 JRE 可能依赖的 32位动态链接库。
$ sudo apt-get install ia32-libs
这个包会依赖非常多的 32位链接库，安装过程会比较漫长。
参考文章：
[1] Using Juniper Network Connect on Ubuntu
[2] Debian6(64位)搞掂Juniper VPN
[3] Installing 32 bit java now that ia32-sun-java6-bin is not available
在对系统问题进行排查时，我发现了一个奇怪的现象：明明是对方断开请求，系统却报告一个查询失败的错误，但从用户角度来看请求的结果正常返回，没有任何问题。
对这个现象深入分析后发现，这是一个基于 epoll 的连接池实现上的问题，或者说是特性 :)
首先解释一下导致这个现象的原因。
在使用 epoll 时，对端正常断开连接（调用 close()），在服务器端会触发一个 epoll 事件。在低于 2.6.17 版本的内核中，这个 epoll 事件一般是 EPOLLIN，即 0x1，代表连接可读。
连接池检测到某个连接发生 EPOLLIN 事件且没有错误后，会认为有请求到来，将连接交给上层进行处理。这样一来，上层尝试在对端已经 close() 的连接上读取请求，只能读到 EOF，会认为发生异常，报告一个错误。
因此在使用 2.6.17 之前版本内核的系统中，我们无法依赖封装 epoll 的底层连接库来实现对对端关闭连接事件的检测，只能通过上层读取数据时进行区分处理。
不过，2.6.17 版本内核中增加了 EPOLLRDHUP 事件，代表对端断开连接，关于添加这个事件的理由可以参见 “[Patch][RFC] epoll and half closed TCP connections”。
在使用 2.6.17 之后版本内核的服务器系统中，对端连接断开触发的 epoll 事件会包含 EPOLLIN | EPOLLRDHUP，即 0x2001。有了这个事件，对端断开连接的异常就可以在底层进行处理了，不用再移交到上层。
重现这个现象的方法很简单，首先 telnet 到 server，然后什么都不做直接退出，查看在不同系统中触发的事件码。
注意，在使用 2.6.17 之前版本内核的系统中，sys/epoll.h 的 EPOLL_EVENTS 枚举类型中是没有 EPOLLRDHUP 事件的，所以带 EPOLLRDHUP 的程序无法编译通过。
我的工作需要天天跟报表数据打交道，在交换的文件中，一般时间的字段内容都是 Unix 时间。为了检查数据的正确性，不可避免地需要转换 Unix 时间到人类可读的字面时间。
下面想分享的是一个在 Shell 下转换 Unix 时间到字面的小方法。与前面几篇一样，这个小 shell 函数仍然可以放在 ~/.bashrc 中方便快捷使用。
# 转换 Unix 时间到本地时间字符串
function ctime()
{
date -d "UTC 1970-01-01 $1 secs"
}
使用方法很简单：
$ ctime 1234567890 Sat Feb 14 07:31:30 CST 2009
对 date 命令熟悉的同学会说，date 不是已经有直接转 Unix 时间的参数了吗？
$ date -d @1234567890 Sat Feb 14 07:31:30 2009
但是不好意思的是，小弟有时候用的 date 程序好老，不支持 @ 符号。
$ date --version date (coreutils) 5.2.1 Written by David MacKenzie. Copyright (C) 2004 Free Software Foundation, Inc. This is free software; see the source for copying conditions. There is NO warranty; not even for MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.
PS: 写完这篇博文，我又想到了一个有趣的事情，既然很多 Linux 64 位版本的 time_t 已经是 long long 格式了，那么 date 命令有没有 year 2038 问题呢？
下面是 date (coreutils) 5.2.1 在 64 位服务器上的尝试结果：
$ date +%s -d "Tue Jan 19 11:14:07 CST 2038" 2147483647 $ date +%s -d "Tue Jan 19 11:14:08 CST 2038" 2147483648 $ date +%s -d "Tue Jan 19 11:14:09 CST 2999" 32473710849 $ ctime 2147483647 Tue Jan 19 11:14:07 CST 2038 $ ctime 2147483648 Sat Dec 14 04:51:44 LMT 1901 $ ctime 32473710849 Mon Mar 28 07:33:53 LMT 1910
看来字面时间和 Unix 时间之间互转存在着问题啊！但是用 Ubuntu 11.04 的 date (GNU coreutils) 8.5 尝试就不存在这个问题了。
服务器冗余和分拆是互联网服务中经常用来缓解访问压力的手段，那么检查或者管理多台同构服务器也是互联网行业工程师们绕不开的操作。经常面临的问题是：如何高效地在多台服务器上执行相同的命令，进行批量系统操作或问题检查。 Windows 下的 ssh 客户端 XShell 和 SecureCRT … Continue reading
分享几个觉得有用的小 shell 函数。 1. scppath 在进行一些跨机器的操作时，每次 scp 总要手动去拼那个路径，首先从 … Continue reading
今天小弟在重构代码中的一个脚本模块，其中涉及到日志功能。上午花了点儿时间想出了个在 shell 打日志的技巧，觉得值得写一下。 希望要实现的效果是：实现一个 write_log 命令，给一条出错消息作为输入，write_log 记录日志时自动加上 时间戳、脚本文件名和行号。形如： … Continue reading
环境：Linux Dist: CentOS 4.3，locale: en_US.UTF-8， .vimrc: set fencs=gbk … Continue reading
由于工作环境的问题，最近越来越感觉到 screen 命令的可贵，下面总结一点使用 screen 命令的小技巧。 最常用的参数组合： screen -ls … Continue reading
我要跟女友交换一下笔记本电脑，她不常用 Linux，而我的 Ubuntu 分区占了好几十 G 空间，因此我想还是删了再给她吧。 我的电脑有两个系统：Windows Server … Continue reading
Platform: Dell Latitude D630, Nvidia NVS 135M, Intel … Continue reading