地址：http://nod32.williamgates.biz
　　用户名：williamgates
　　密码：nodnod

　　密码可能常常修改，修改规则未定，一旦不能升级请及时来看本帖，所有修改都将在本帖发布。

Related posts:

1. 再谈不要乱改Android的hosts文件
2. 慎改Android的Hosts文件
3. 在国行双网机（如i909/i809）上使用Android Market购买app研究小结

　　一、安装unrar
　　nod32升级的第一步就是下载update.ver文件，这是一个更新包的列表文件，用于增量升级。要命的是这个文件是rar包——天知道他们怎么想的——绝大多数商业的虚拟主机由于版权的原因不可能预装rar，所以我们只能自己装一个。
　　首先创建一个目录，建议在public_html之外，即无法通过apache访问到的目录，用于存放rarlinux程序文件。然后从官方网站下载rarlinux

http://www.rarlab.com/rar/rarlinux-3.6.0.tar.gz

　　解压

tar zxvf rarlinux-3.6.0.tar.gz

　　这里要注意的是，Debian系统用3.6以下或以上的版本都会出现库文件错误，只有3.6不需要任何折腾就能使用，反正只是用来解压缩一个文件，还是老老实实用3.6吧。
　　解压之后得到rar目录，unrar就在目录中，无须安装，由于没有权限，就不要用make install了，反正不安装也能用。

　　二、编写升级脚本
　　这里使用php脚本自动从升级服务器下载文件，假设wget在系统中路径是/usr/bin/wget，unrar（刚才解压出来的地址）是/home/rar/unrar，我们升级文件的绝对路径为/home/public_html/nod32/，实际公开的地址是nod32.a.com，上层升级服务器是nod32.b.com/nod32/，用户名a，密码b（以上全都是虚构），那么脚本如下（抄袭自drl的jindui，根据我的情况略有修改，并修改了一处BUG）

　　文件”v3.php”

< ? 
$base='/home/public_html/nod32/';
$LOCALDIR = $base;
$UPDATEDIR = $base;
$TEMPDIR = $base.'tmp/';
$WGET = "/usr/bin/wget  --user-agent='ESS Update (Windows; U; 32bit; VDB 1924; BPC 3; OS: 6.0.6000 SP 0.0 NT; CH 1.1; LNG 1033; x32c;' ";
$UNRAR = '/home/rar/unrar';
$UPDATE_SERVER = 'http://nod32.b.com/'; 
$updateurl="${UPDATE_SERVER}/nod32/update.ver";
 
include("nod32.php");
?>

　　文件”nod32.php”

< ? 
$UNRAR = '/home/rar/unrar';
$update="${UPDATEDIR}update.ver";
$updatetmp="${UPDATEDIR}update.tmp";
$USER = 'a';
$PASS = 'b';
 
 
//$ignore = array('fr.nup', 'ge.nup', 'it.nup', 'jp.nup', 'pl.nup', 'pt.nup', 'sk.nup', 'sp.nup', 'hr.nup', 'hu.nup', 'nl.nup'); 
if (!is_dir($LOCALDIR)) 
    mkdir($LOCALDIR); 
if (!is_dir($UPDATEDIR)) 
    mkdir($UPDATEDIR); 
if (!is_dir($TEMPDIR)) 
    mkdir($TEMPDIR); 
//copy($update,$updatetmp);
exec("$WGET -t 15 -T 60 -N -nH -nd -P $UPDATEDIR $updateurl", $output, $ret); 
/*$md51=exec("md5 -q $update");
$md52=exec("md5 -q $updatetmp");
unlink($updatetmp);
 
if($md51==$md52) {
         echo "no update need   !";
        exit;
 
}*/
if ($ret > 0) { 
    echo 'Failed while downloading update.ver.'; 
    exit; 
} 
 
exec("$UNRAR x -y -o+ {$UPDATEDIR}update.ver {$TEMPDIR}", $output, $ret); 
 
$content = file_get_contents("{$TEMPDIR}update.ver"); 
 
preg_match_all("/file=(\/[\/a-z0-9\-\_\.]+)\W+size=([0-9]+)\W/ise", $content, $matches);
 
$list = '';
foreach($matches[1] as $num=>$file) {
    $file = substr(trim($file),1);//这句话我修改了一下，将字符串开头的"/"去掉了
//否则地址会有两个"/"，造成文件大小无法比对，每次都会重新下载全部的文件）
    $size=$matches[2][$num];
    $filesize=filesize($base.$file);
    if($size!=$filesize){
        $list .= "{$UPDATE_SERVER}$file\r\n";
    }
    else {
        echo "the file size of   $file  is same, skip \n";
    }
}
 
/*
preg_match_all("/file=(.+?)\n/ie", $content, $matches); 
 
$list = ''; 
foreach($matches[1] as $match) { 
    $match = trim($match); 
    $last = substr($match, -6); 
 
    if (!in_array($last, $ignore)) 
        $list .= "{$UPDATE_SERVER}$match\r\n"; 
} */
 
#file_put_contents('list.txt', $list); 
$handle = fopen("list.txt", "w");
fwrite($handle, $list);
fclose($handle);
 
exec("$WGET --http-user=$USER --http-passwd=$PASS -t 15  -T 60 -m -nH -P $LOCALDIR -i list.txt", $output, $ret); 
 
if ($ret > 0) { 
    echo 'Failed while downloading files.'; 
    exit; 
} 
 
echo 'Updated successfully.'; 
?>

　　现在从浏览器访问v3.php（这两个脚本无所谓放在哪里，只要是能通过apache访问到的目录就行，建议单独设置目录以便我们下面说的安全保护），就已经可以成功下载文件了。

　　三、安全保护
　　为了不让普通用户主动运行升级脚本，也不让别人可以查看你的上层升级服务器的地址，我选择了密码保护，直接在HostMonster的控制面板里设置就行了，否则自己写文件有点麻烦。对你存放v3.php和nod32.php的目录设置一个用户名和密码，我们这里假设用户名是abc，密码是123。将一个单独的子域名（例如abc.a.com）指向这个目录。用浏览器访问就会弹出提示输入用户名密码的对话框。这无所谓，反正我们只要用lynx就行——一个Linux命令行下的浏览器（其实wget也行）。
　　运行这个命令

/usr/bin/lynx -cfg=/dev/null -source -auth=abc:123 http://abc.a.com/v3.php

　　其中-cfg参数是指定配置文件，这里指定为空（否则会出错），-source表示纯字符串输出，-auth是密码验证的功能。
　　可以看到输出一串结果，说明下载成功或者文件已存在不用下载。
　　然后用同样的方法对下载来的文件存放的目录即本例中的/home/public_html/nod32/设置一个密码，是用来发布给别人升级时用的，记得不要和前面那个一样哦。

　　四、定时运行任务
　　要让php脚本定时运行，虽然也可以用CGI方式运行php，但是我还是倾向于用浏览器，这样较为安全。
　　编写一个nod32.sh文件（假设你的sh在/bin/，lynx在/usr/bin/，不清楚的话可以用whereis sh查到），同样放在apache无法取到的目录下，假设还是放在/home/rar/

#!/bin/sh
/usr/bin/lynx -cfg=/dev/null -source -auth=abc:123 http://abc.a.com/v3.php

　　然后在虚拟主机的控制面板里设置Cron任务，更新频率每12小时吧，命令为

/bin/sh /home/rar/nod32.sh

　　这样就完成了，你的程序会自动定时去上层服务器下载升级文件并存放在/home/public_html/nod32/，你只需要设置nod32.a.com指向该目录，就可以公开发布这个地址了。

　　最后，公布一下我自己建的NOD32升级服务器
　　

Related posts:

1. 慎改Android的Hosts文件
2. 在国行双网机（如i909/i809）上使用Android Market购买app研究小结
3. 再谈不要乱改Android的hosts文件

www.example.com/tag/中文

　　不能正常访问，会产生404或500错误，或者其他的错误。
　　而对于这样的链接（链接2）：
　　

www.example.com/?tag=中文

　　WordPress就能够正确解析。

　　原因：参见这篇文章和这篇文章，这是URL编码问题造成的。对于上面的链接1，这是一个PathInfo，对于链接2，这是一个QueryString。事实证明，对于UTF-8的页面，IE和FF都会正确发送PathInfo和QueryString（而不像有些文章中说的，他们在不同的设置下会有错误的反应），但服务器端，IIS会将PathInfo转换成GBK编码从而造成错误，于是Windows下的此类问题只需要转回来就行了；但是Linux下，Apache不支持中文PathInfo，要么通过这篇文章中的方法来对Apache进行改造，要么只能像我一样，Linux主机无法使用中文permalink。于是，我们只能寻找绕路的方法。

　　解决方案分析：
　　一、转换编码（参见这篇文章）
　　原理是，IIS会将PathInfo中的UTF-8转换成GBK，而QueryString中就不会转换，故而为了使用Permalink，采用以下方法：
　　打开wp-includesclasses.php文件，找到第44行和第50行：

if ( isset($_SERVER['PATH_INFO']) )
  $pathinfo = $_SERVER['PATH_INFO'];
else
  $pathinfo = '';
$pathinfo_array = explode('?', $pathinfo);
$pathinfo = str_replace("%", "%25", $pathinfo_array[0]);
$req_uri = $_SERVER['REQUEST_URI'];

改为

if ( isset($_SERVER['PATH_INFO']) )
  $pathinfo = mb_convert_encoding($_SERVER['PATH_INFO'], "UTF-8", "GBK");
else
  $pathinfo = '';
$pathinfo_array = explode('?', $pathinfo);
$pathinfo = str_replace("%", "%25", $pathinfo_array[0]);
$req_uri = mb_convert_encoding($_SERVER['REQUEST_URI'], "UTF-8", "GBK");

　　局限：只对Windows主机、且必须是Windows下的IIS主机有效。

　　二、修改rewrite.php（参见这篇文章）
　　这是网上最常见的方法，原理是，让WordPress在对其他内容使用Permalink的时候，对tag不使用，而使用链接2的QueryString模式发送中文编码：

1
2
3
4
5
6
7
8

function get_tag_permastruct() {
if (isset($this->tag_structure)) {
return $this->tag_structure;
}
if (empty($this->permalink_structure)) { //-----this line need change------
$this->tag_structure = ”;
return false;
}

把第5行改为

if (!empty($this->permalink_structure)) {

　　局限：没有起到Permalink的“漂亮”作用，如果不能自己修改WP的文件就没办法了。

　　三、修改tag base（参见这篇文章，经过我研究改造）
　　原理同上，只要让WordPress在打开了Permalink功能后继续对tag不理不问就行了。那么，欺骗WordPress，让它用链接2的格式来显示Permalink，可行么？可行，因为WordPress可以自定义Permalink的形式：
　　在WordPress的 Settings – Permalinks – Tag base 中填上
　　

/?tag=

　　注意”"不能少，引用原文中的写法不对。另外要注意每次输入”"，WP都会再次转义为”\”，所以每次点提交都会把”"翻一倍，点两次就是”\\”，所以不要多点，一次就对了。
　　这个方法的结果是使得链接变成这个样子
　　

www.example.com/?tag=/中文/

　　多出来的斜杠对于服务器丝毫没有影响，还是被视为QueryString，效果同上。
　　局限是链接变得更加不好看了，更为致命的是插件生成的Sitemap中，tag链接会变成错误的形式，如果你很在乎Sitemap，请不要使用这个方法，除非你真的无法修改自己的rewrite.php文件。

　　但是当你使用WP-SuperCache或者类似的缓存插件时，它会加入自己的rewrite规则，所有请求先由自己判断，不在缓存中或者不符合缓存规则才交由WordPress处理。但问题在于，它不支持中文URL的解析，哪怕是QueryString也不行。于是我们必须绕过它。
　　这是WP-SuperCache在.htaccess文件里所添加的rewrite规则

RewriteEngine On
RewriteBase /
 
RewriteCond %{REQUEST_METHOD} !=POST
RewriteCond %{QUERY_STRING} !.*s=.*
RewriteCond %{QUERY_STRING} !.*p=.*
RewriteCond %{QUERY_STRING} !.*attachment_id=.*
RewriteCond %{QUERY_STRING} !.*wp-subscription-manager=.*
RewriteCond %{HTTP_COOKIE} !^.*(comment_author_|wordpress|wp-postpass_).*$
RewriteCond %{HTTP:Accept-Encoding} gzip
RewriteCond %{DOCUMENT_ROOT}/wp-content/cache/supercache/%{HTTP_HOST}/$1/index.html.gz -f
RewriteRule ^(.*) /wp-content/cache/supercache/%{HTTP_HOST}/$1/index.html.gz [L]
 
RewriteCond %{REQUEST_METHOD} !=POST
RewriteCond %{QUERY_STRING} !.*s=.*
RewriteCond %{QUERY_STRING} !.*p=.*
RewriteCond %{QUERY_STRING} !.*wp-subscription-manager=.*
RewriteCond %{QUERY_STRING} !.*attachment_id=.*
RewriteCond %{HTTP_COOKIE} !^.*(comment_author_|wordpress|wp-postpass_).*$
RewriteCond %{DOCUMENT_ROOT}/wp-content/cache/supercache/%{HTTP_HOST}/$1/index.html -f
RewriteRule ^(.*) /wp-content/cache/supercache/%{HTTP_HOST}/$1/index.html [L]

　　我们要做的就是不让它去判断中文tag链接，在两个 RewriteCond %{REQUEST_METHOD} !=POST 后面分别加入这样一句：

RewriteCond %{QUERY_STRING} !.*tag=.*

　　含义是如果QueryString中含有tag字样，请不要解析（交给下一条规则，一般来说就是WordPress的index.php了）。

　　结论：
　　Windows+IIS主机下，通过方案一可以完美解决中文tag问题
　　Linux+Apache主机下，不能使用中文Permalink，除非修改Apache，否则只有用方案二和方案三绕行。
　　方案二是较为推荐的方法，但是搭配WP-SuperCache使用的时候，需要自己在.htaccess文件中加入一条不处理tag链接的规则。

Related posts:

1. 在国行双网机（如i909/i809）上使用Android Market购买app研究小结
2. 慎改Android的Hosts文件
3. 再谈不要乱改Android的hosts文件

　　首先，由于IPowerWeb的MySQL主机前一段时间的问题，数据库访问慢得要命，我不得不把环境换成php5，换上WordPress的mysqli数据库连接，于是我面临在php5下面打开Zend Optimizer的挑战。挑战在于，由于服务商没有提供默认打开Zend Optimizer的配置文件，我根本不知道Zend Optimizer的路径……

　　首先，尝试用php4环境下的IPower提供的默认配置文件，内容是

[Zend]
zend_optimizer.optimization_level=15
zend_optimizer.encoder_loader=0
zend_extension_manager.optimizer=/usr/local/Zend/Zend-2.5.7/lib/Optimizer-2.5.7
zend_extension_manager.optimizer_ts=/usr/local/Zend/Zend-2.5.7/lib/Optimizer_TS-2.5.7
zend_extension=/usr/local/Zend/Zend-2.5.7/lib/ZendExtensionManager.so
zend_extension_ts=/usr/local/Zend/Zend-2.5.7/lib/ZendExtensionManager_TS.so

　　从phpinfo的显示来看，似乎是成功了，但是总觉得不爽，总觉得哪里有问题。

　　突然想到一招，用phpspy可以看到自己主机空间的其他目录，而不是被chroot在自己的根目录里。果然，进入/usr/local/Zend/，看到Zend-2.5.7，Zend-2.6.2，lib等目录。进入lib，发现有各个版本的Optimizer目录，这些目录下还有对应不同php版本的目录。于是就简单了，查一查zend_extension和zend_extension_manager.optimizer这两个设置项的含义就明白了，zend_extension是为了引用extension_manager，而zend_extension_manager.optimizer指示extension_manager调用Zend Optimizer。于是我写上

[Zend]
zend_optimizer.optimization_level=511
zend_optimizer.encoder_loader=0
zend_extension=/usr/local/Zend/lib/ZendExtensionManager.so
zend_extension_ts=/usr/local/Zend/lib/ZendExtensionManager_TS.so
zend_extension_manager.optimizer=/usr/local/Zend/lib/Optimizer-3.2.0
zend_extension_manager.optimizer_ts=/usr/local/Zend/lib/Optimizer_TS-3.2.0

　　那个511是我个人觉得合适的值，这个值的含义很容易搜到，就不详述了。注意zend_extension_manager.optimizer不能写到具体的.so文件，只能写到相应版本的Optimizer目录，连下面的php版本对应的目录都不能写进去。
　　事实证明，IPowerWeb提供的php4环境下的默认值虽然能用，但也不如我上面这个来得好。上面这个对php4和5都通用。
　　最后你应该看到phpinfo里面有这样的内容（版本可能有不同）

This program makes use of the Zend Scripting Language Engine:
Zend Engine v2.2.0, Copyright (c) 1998-2007 Zend Technologies
　　with Zend Extension Manager v1.0.11, Copyright (c) 2003-2006, by Zend Technologies
　　with Zend Optimizer v3.2.0, Copyright (c) 1998-2006, by Zend Technologies

　　这样就大功告成了。

　　所以以后如果虚拟主机有什么扩展软件等需要查询安装地址（例如ImageMagicK），就用phpspy上到主机的根目录去查查路径就好了。

Related posts:

1. 慎改Android的Hosts文件
2. 在国行双网机（如i909/i809）上使用Android Market购买app研究小结
3. 再谈不要乱改Android的hosts文件

Related posts:

1. 慎改Android的Hosts文件
2. 在国行双网机（如i909/i809）上使用Android Market购买app研究小结
3. 再谈不要乱改Android的hosts文件

　　一、虚拟主机的其他应用
　　除了Blog，php空间当然可以有点别的用处，比如：

　　1、网盘
　　1500G容量的空间，当然可以用来存放点东西，但是php下的网盘程序或者是文件分享程序（区别在于是否提供提取码，供别人下载），基本上没有特别著名和权威的。
　　如果要用有提取码的，我推荐使用“拓网文件上传共享系统V1.0”（该公司现在似乎已经遗忘了这个php产品，已经全面转向asp产品了），这个东西的免费版可以从网上随意下到，但是不支持用户管理（也就是谁都可以上传，建议在上传页面用.htaccess文件设一个密码）。它提供了上传、管理文件和提取码的功能。
　　如果只是要一个自己保存文件的东西，这个更适合：Uploader，搜索“Uploader Samoa汉化版”即可下载到。这个提供了用户管理，但是不提供给别人下载的功能，只是自己使用而已；但是你可以通过直接提供地址、或者使用WordPress的WP-DownloadManager插件来实现类似于提取的下载。
　　注意，要上传文件，请确保php.ini中的file_uploads为ON，并且以下几项最好达到或者超过我所说的数值：

max_execution_time = 600
max_input_time = 180
memory_limit = 64M
post_max_size = 210M
upload_max_filesize = 200M

　　2、WebFTP
　　顾名思义就是在网页上使用的FTP软件，但是我高估了它的作用，以为”保存到本地“的功能意味着可以”保存到服务器“，结果在服务器上安装之后，发现还是只能下载到我的电脑上，实现”从一台服务器下载另一台服务器的文件“还需要别的方法（下面会说）。
　　虽然如此，但精致的界面和功能还是让我想要推荐一下这个软件：net2ftp，我觉得其实可以在校园网或者单位内网安装这个东西，可以省去大部分人使用FTP客户端的麻烦。

　　3、文件转移
　　我想从英国的主机商那里把我以前上传的一些文件转移过来（好几G，下载到本地再上传到美国估计要几天时间），条件是：

• 两台主机之间对传很快，控制者（我）进行中转则很慢
• 两者的FTP都不支持FXP
• 两者都是php空间，所有的文件都可以通过http或者FTP来下载
• 两者都不提供SSH

　　这种时候应该怎么让做呢？首先想到的是上面那个网页FTP，但是不如人愿；然后想到的是利用Cron来调用wget，但是IPower控制面板中的Cron似乎在权限上做了一点限制（或者是我不会用吧），未能成功；第三想到的是利用php调用系统命令，或者php自己的下载功能来下载，但我是php代码盲，看懂一半还行，写几乎一句都写不出来，所以决定上网寻找已经做好的工具……还真有
　　（1）Rapidget（也叫a2b)
　　这个玩意明确写着唯一的功能就是在一个服务器上，从另一个服务器下载文件……非常小巧，但做得很不错，能自己选择保存路径、能使用代理、还有进度条，唯一的问题是它是基于php的自身函数来下载文件的，所以受php.ini中文件大小、运行时间和内存等的限制。由于网上已经很难下载到，连作者都不提供下载了，所以我放上来给大家。Note: There is a file embedded within this post, please visit this post to download the file.

　　（2）PhpSpy
　　这是一个php后门程序，可以管理文件，最重要的是可以执行命令。所以把这个程序上传，并且上传一个URL.dat的要下载文件的文件名列表（用FTPRush在源FTP上列出），用

wget -i URL.dat -B http://Example.com/example/

　　就好了，其中-i表示从文件读取要下载的文件链接；-B从文件读取的链接需要加上前缀（因为我在URL.dat里只放了文件名）。这个方法比前一个方法更适合于下载大量文件，而且由于调用系统命令，不受php的内存等限制。但过于多的文件还是要考虑超时问题，建议把php.ini中的超时设长一点，并且以此不要下载太多的文件。下载地址http://www.4ngel.net/
　　我就是用了这第二种方法，一个小时不到就把4G多的文件转移过来了。两者之间对传的速度超过2M/s（Rapidget测的）。

　　当然，php空间可以装论坛、CMS等各种玩意，这些东西网上广为流传，我这里就不介绍了。

　　二、IPowerWeb空间的Bug
　　1、Zend问题
　　我知道旧版本的Zend和php5不兼容，所以当你选择php版本为php5的时候，默认的php.ini文件中没有Zend一项，而且IPower提供的Zend模块也不够新，加上了Zend的内容估计也不能运行。
　　但是php4默认不开Zend也太不够厚道了，但是当你选了php5再改回php4的时候，默认的文件就有Zend这一项了，我也不知道怎么搞的……反正无论如何，如果你发现自己的站点没有打开Zend，在php.ini的末尾加入以下内容（路径仅适用于IPowerWeb的虚拟主机，其他空间请自行修改路径）

[Zend]
zend_optimizer.optimization_level=15
zend_extension_manager.optimizer=/usr/local/Zend/Zend-2.5.7/lib/Optimizer-2.5.7
zend_extension_manager.optimizer_ts=/usr/local/Zend/Zend-2.5.7/lib/Optimizer_TS-2.5.7
zend_extension=/usr/local/Zend/Zend-2.5.7/lib/ZendExtensionManager.so
zend_extension_ts=/usr/local/Zend/Zend-2.5.7/lib/ZendExtensionManager_TS.so

　　2、phpMyAdmin问题
　　IPowerWeb空间的瓶颈似乎在Web服务器和MySQL服务器之间的连接，从Web服务器登录数据库实在是缓慢，导致装在Web服务器中的phpMyAdmin（比如WordPress的WP-phpMyAdmin插件）几乎从来不能正常运行。我的建议是：一、用IPower控制面板中的那个phpMyAdmin，反正默认都是UTF8，用起来也没啥问题；二、像我一样喜欢追求新版本的，请自行修改php.ini以提供够大的内存和够长的超时时间……(要修改的条目前面已经说过了）

　　3、Session问题
　　这是最致命的问题，当你装上我这里提到的Uploader，”拓网上传系统“和WP-phpMyAdmin之后会发现，前者如果不记录登陆状况就会自动跳出，后两者根本无法登陆，我仔细研究发现是session无法启用的问题。但是上网搜遍了，都说session问题是php.ini中配置的问题，但是这么专业的公司怎么会在默认配置文件中写错呢？
　　事实证明，不要迷信权威，要自己试验，我把[Session]节中的session.save_path由默认的var/tmp-sessions(好象是这个，忘了）改成了我在虚拟主机的web根目录下建的一个目录，并且把权限改为777，果然能用了！看来，要在IPower空间中使用session，请自行建立一个目录并且把完整地址（控制面板中左栏显示的很长的那个Linux下的完整地址）设为session.save_path。

　　至此，整个IPowerWeb空间已经搞定，我的Blog也运行自如了，最后一集是感慨和废话……敬请期待。

Related posts:

1. 慎改Android的Hosts文件
2. 在国行双网机（如i909/i809）上使用Android Market购买app研究小结
3. 再谈不要乱改Android的hosts文件

一、configure的时候要注意参数

• 如果要使用HTTPS，要加上–enable-ssl（我加了才发现用不到……）
• 如果要在定义ACL的时候使用arp选项（即使用MAC地址来判定用户）需要加上–enable-arp-acl
• 如果要允许解析的URL中出现下划线，要加上–enable-underscore，因为默认情况下Squid会认为带下划线的URL是非法的，并拒绝访问该地址。这个我没试过

二、ACL配置
如果不加载第三方工具，ACL配置是Squid中唯一的访问控制方法。这个东西的功能其实跟CCProxy的身份控制差不多（但是没有用户名密码认证功能），但是配置起来要更复杂也更强大。

配置格式：acl aclname acltype string1

常用的定义类型：
• src ip-address/netmask
  src addr1-addr2/netmask
  用来源的IP地址定义，一个ip#即mask方式就是网络，cidr方式就是单个ip
• acl aclname dst ip-address/netmask
  目标地址
• acl aclname arp mac-address
  后悔编译的时候没加–enable-arp-acl参数，这个功能很有用的
• acl aclname dstdomain .foo.com
  类似于CCProxy的访问限制，例如可以限制只能访问.cn的站点、不能访问.xxx的站点等等
• acl aclname dstdom_regex [-i] xxx
  用正则，不过……谁这么无聊呢……
• acl aclname http_status 200 301 500- 400-403
  根据HTTP Response返回值，这个很有效，比如规定302Moved就不访问
• acl aclname port
  端口
• acl aclname proto
  协议
• acl aclname method
  方式，例如只能GET不能CONNECT
• acl aclname browser [-i] regexp
  这个也太强了……限制浏览器用户代理标志类型

还可以规定mime类型、响应时间等等等等……绝对强大

我的ACL设置：
很简单的设置，没有用复杂的功能限制

以下是默认的，直接使用了：

acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443 563
acl Safe_ports port 80		# http
acl Safe_ports port 21		# ftp
acl Safe_ports port 443 563	# https, snews
acl Safe_ports port 70		# gopher
acl Safe_ports port 210		# wais
acl Safe_ports port 1025-65535	# unregistered ports
acl Safe_ports port 280		# http-mgmt
acl Safe_ports port 488		# gss-http
acl Safe_ports port 591		# filemaker
acl Safe_ports port 777		# multiling http
acl CONNECT method CONNECT

以下是我修改的：

http_access allow CONNECT all 
#默认是这句http_access deny CONNECT !SSL_ports
#这样才能支持使用HTTPS地址前缀，也才能在下级生成Socks、FTP等代理
acl LilyStudio src ip1 ip2
#两个ip地址是我要让其允许访问的
http_access allow LilyStudio
http_access deny all

要注意，acl 定义的name是全局的，也就是说不能重复定义一个name，即

acl a src 210.29.240.1
acl a src 210.29.240.2

只会有后一条起作用

经过这样的配置，Squid就能完整地运行了，下面我们来看看在校园网内部署的时候，必不可少的二级代理的功能

三、二级代理的使用
首先，要使用上级代理可以这样写配置文件

cache_peer proxy1 parent port1 port2 proxy-only login=user:pwd no-query default

• 其中proxy1是上级代理的IP地址，port1是其http端口号，port2是icp端口号（打开的话，一般为3130，在此我们使用0，禁用
• parent表示这是一个父代理（后面会提到兄弟代理）
• login的作用是给上级代理的用户验证
• proxy-only表示不进行本地缓存，直接将这个缓存服务器的内容转发给客户
• no-query表示不发送icp信息
• default表示这个代理是“最后的”选择，即如果所有线路都不通就发送给它，特别在不使用icp的时候有用

　　Squid还支持所谓的兄弟代理（Sibling类型），对于父代理，Squid会一直向其要数据（如果没有本地缓存），等不到回应就无动作或返回超时；对于兄弟代理，Squid先从其上寻找数据，找不到则自己直接去访问数据，简而言之兄弟代理是另一个缓存而已。

以下这段是转的：

一般 Squid Server 运作的模式是：
1. 当 Squid Server 没有资料时，会先向 Sibling 的 Squid Server 要资料，如果 Sibling 没资料，就跳过它直接向 Parent 要。
2. 向 Parent 要资料，然後一直等，直到 Parent 给它资料为止(Parent 自己有的资料或上 internet 去拿)。
3. 没有 Parent 时，就自己上 internet 去拿。
4. 如果这三者都拿不到资料，才向用户端回报拿不到资料。

　　一般而言，把网路上一层的 Squid Server 设成 Sibling 是不错的选择，因为网路上一层的 Squid Server 服务对象较多，其硬体较强，离我们比较近，速度也比较快；万一要不到资料，我们还可以自己上 internet 去拿。那什么时候设 Parent？当您的出口只有一个，或上一层 Squid Server 拿不到资料，自己也一定拿不到，只好将上一层 Squid Server 设为 Parent。

四、二级代理中的http CONNECT的问题

首先要确保Http_access中，

#http_access deny CONNECT !SSL_ports

这句话要注释掉

然后要写这个（查了官方FAQ才知道的）

never_direct allow all

所有的访问都不会被直接转向，都必须通过cache_peer
否则所有的GET会被发往上级代理，而CONNECT则会被发往目标地址，由于我们需要所有的情况都使用二级代理，所以需要如此设置

Related posts:

1. 慎改Android的Hosts文件
2. 在国行双网机（如i909/i809）上使用Android Market购买app研究小结
3. 再谈不要乱改Android的hosts文件

1. Change all instances of /site to /glftpd/site in your config file
把glftpd.conf配置文件中所有的路径都换成绝对路径，在此，我是 /jail/glftpd

2. Add the pwd_path and grp_path settings to the config file:
pwd_path /glftpd/etc/passwd
grp_path /glftpd/etc/group
修改passwd和group文件的路径，配置文件中默认没有这两行的

3. Change datapath from /ftp-data to /glftpd/ftp-data
还是改路径

4. Edit /glftpd/etc/passwd and change every user’s homedir from /site to /glftpd/site.
修改passwd文件，将家目录改成绝对路径

5. Edit /glftpd/ftp-data/users/default.* and change the HOMEDIR line from /siteto /glftpd/site.
修改新建用户的默认家目录

6. You also need to change paths in some help files in /glftpd/ftp-data/help,possibly some more in /glftpd/ftp-data/text.
我看了所有的这些文件，应该没什么要改的

后面是最关键的：

Make a user, lets say root
site adduser root root *@127.0.0.1
site grpadd wheel root group (or root, depending on the OS you are running)
 
Now go edit /glftpd/etc/passwd, you will see that glftpd has the 0:0 uid and gid
just give it 10:100 or 20:200 and give root 0:0, also change root's homedir -
default is /site, change it to /.
 
Now edit the group file and move the number of glftpd to 100 or 200 and change roots to 0.

　　看到了么，我就是在这发现了突破口！原来glftpd的用户也是可以自定义UID和GID的，那么我只要修改passwd文件，让所有的管理员都拥有root（这样不安全）或者原来的数据所有者（ncftpd的管理员帐户）的GID和UID就行了。我就是这么做的

　　这样，我既可以访问 /jail 以上的目录（/home/ftp/），不用mount了，也可以继续使用原来的数据，不用chmod和chown了。只要使用相同UID和GID的帐号，两个FTPD完全可以共存。（本来准备把所有文件下载再上传呢……谢天谢地）

　　要说明的是，你当然可以使用0:0做你的管理员帐号的UID和GID，但是这样不太安全，加上glftpd一直有chroot泄漏的传言（据说已修复），所以还是设定一个特定的用户为妙。另外，这样不再能使用glftpd的一个特色功能：设定用户的delown和renameown权限，因为所有用户看起来都一样了。但经过实际实验，基于路径的权限分配是没有问题的，基于flag的权限分配也很正常，但是有可能会在site who的时候，看到一个本不属于某个组的成员，显示在这组里（比如我的一个DirAdmin显示成SuperAdmin），但是不会真正拥有权限，放心。

Related posts:

1. 在国行双网机（如i909/i809）上使用Android Market购买app研究小结
2. 再谈不要乱改Android的hosts文件
3. 慎改Android的Hosts文件