mac安装MySQL-python报错:EnvironmentError: mysql_config not found
原创 2017年04月19日 17:30:56 2912
使用命令 pip install MySQL-python==1.2.5安装MySQL-python时报错：
报错信息： mysql_config not found
查找不到mysql_config 文件。
在网上搜了下，很凌乱。
源博客：http://stackoverflow.com/questions/25459386/mac-os-x-environmenterror-mysql-config-not-found
只是做了一些提示，我这里把我解决的过程总结一下：
1.确保安装了python;
2.确保你安装了mysql ,没有安装的话可以在这里下载安装包安装：https://dev.mysql.com/downloads/connector/python/
3.运行命令修改环境变量：export PATH=$PATH:/usr/local/mysql/bin
4.安装MySQL-python:pip install MySQL-python==1.2.5
这种方式解决了我的问题：
执行
ln -s /usr/local/mysql/bin/mysql_config /usr/local/bin/mysql_config
将mysql_config链接到/usr/local/bin目录下
Mac 开发的神秘面纱：后娘养的嫡长子
本来，标题是「揭开 macOS 开发的神秘面纱」，可想想，以我目前对 macOS 开发的理解，还是去掉「揭开」二字吧 😂。
本文不是系统性的文章，更像是 随笔 。回想自己过去 1.6 年的 macOS 开发历程，挑些有意思的来说。如果想看完就去挖 macOS 这座金矿（如果是的话），你会失望的； 且作佚事来读吧 。
注：严格地说，应该叫作「 macOS 开发 」，因为去年起，苹果将 Mac 操作系统更名为 macOS；不过，苹果电脑依旧以 Mac 命名，如 MacBookPro，故而 Mac 开发也说得过去；再加上，以小写字母开头作为文章名，总觉得怪怪的，是以本文混用「Mac 开发」与「macOS 开发」。
0) Mac 是「后妈的嫡长子」
说 Mac 是嫡长子，是因为 苹果就是做电脑起家的 。虽说后来 iPod、iPhone 风生水起，但嫡长子的血统还是纯正的；而 iOS 正是基于 macOS 开发的。这里的故事很多，感兴趣可以读读《乔布斯传》之类的书或文章。
可惜的是， 有了 iPhone 这棵摇钱树之后，Mac 电脑靠边站了 ，macOS 自然也被冷落，不到万不得已，不更新；即使更新，也像挤牙膏一样。
Mac 哪里被冷落了？多了去了。
比如，我每周都会收到一款苹果给开发者的邮件，本意是告知本周 App 的活跃程度。而我每次收到的邮件内容都是这样的：
因为我尚未上架 iOS 应用、只有 macOS App；而 在苹果看来，macOS App 岂能叫 App ？！ 是以，这里的数据是空的……
其它的，不胜枚举。
1) Mac 是个小市场
有多小？
先说说硬件 ，这是 2016 第四季度出货量对比：
设备 出货量 营收 Mac 537 万 72 亿美元 iPhone 7,830 万 543 亿美元
不论是出货量、还是营收，均是零头。
再来看看 App 的数量：
从 AppShopper 的数据来看， 不足 3 万的 macOS App 数量，不到 iOS App 的 1% ；对，是「百分之一」， 零头的零头 。
当然，这里主要统计的是上架 MAS (Mac App Store) 的应用，在 MAS 之外也有很多。不过，2 个数量级的差异，没跑。
现说说操作系统占比：
据 MarketShare 的数据， macOS 仅占 6.12%，仅有 Windows 用户的 6.7%.
其中， macOS 版本的分散程度 ，虽比 Windows 好很多，但也 不如 iOS:
看到这里，是不是觉得有些心凉， 觉得 Mac 好可怜有没有……
不过，Mac 电脑确实是在慢慢增加的，知名度也在变高。比如， 国内现代都市剧中出现的电脑，大多都是 Mac ；苹果也刚刚宣布 全球 Mac 活跃用户有 1 亿 。
2) Swift or Objective-C
我开发的应用 (Klib、iPic、iPic Mover、iPaste、iTimer、iHosts )，全部基于 Swift；不过，即使你也打算基于 Swift，还是建议对 Objective-C 有基本的了解。 因为，毕竟 Objective-C 是苹果一直以来使用的开发语言，绝大多数的文档、教程，都是基于 Objective-C 的。
虽说可以很容易地改编为 Swift、或被 Swift 调用，但这就像是：你有一本英文词典，理论上就可以直接看英文文章，因为看见不懂的单词可以查嘛；但也知道，这不现实，毕竟你总不能每个单词都查吧？
所以：
- 如果你已经有 Objective-C 基础，就直接使用 Objective-C 开发 Mac 应用好了。要不要学 Swift？看你自己心情，我不提供建议；
- 如果你并没有 Objective-C 基础，建议你先学学 Objective-C 基础，然后再学 Swift，并基于 Swift 开发。
## 3) Mac 文档及教程
官方文档主要有这些：
实际上，由于我们一般是「 面向 Google 编程 」，一般遇到问题都是先搜索，不太需要记录这些网址。只是，如果你想系统性、深入地学习某个点时，可以正向地从官方文档入手。
不过，对于 苹果的开发文档 ，友情提醒： 并不怎么好 。如果套用这句话：「为什么懂得这么多道理，却仍过不好这一生？」
便是：「 为什么我看了所有 Mac 文档，却仍无法开发 Mac 应用？ 」
文档更多是偏向对某个具体知识点的介绍，而如果想系统性地入门 macOS，最好是通过一本好的书，以及自己的练习。由于 iPhone 的热销，市面上 iOS 的书，可谓汗牛充栋。而 macOS 的书呢？呵呵 。
我自己是看《 Cocoa Programming for Mac OS X 》这本书入门 macOS 开发的，这几乎是我在 2015 年能找到的唯一一本基于 Swift 的 macOS 开发教程。另外一本是 Swift Development with Cocoa ，跟这本书没法比。
其他 macOS 的书，我看的不多，也没什么好推荐的。如果你有觉得哪本书不错，欢迎留言告诉我。
4) macOS 数据结构及持久化
首先要说的是， 虽说是 macOS 开发，但实际上很多基础的东西都是通用的 ，比如 JSON 格式、MySQL 数据库等等。
另外， macOS 和 iOS 相比 ，像 TouchBar 这种独有的东西，并不多； 更多的是通用的 ，或者说是并行的两套。
使用 plist 文件存储数据：
- 默认仅支持简单的数据结构；此方式仅适合保存少量数据，如偏好设置中的 On/Off 选项
- 可使用
UserDefaults管理默认的 plist 文件。注意：沙盒模式和普通模式下默认的 plist 文件的位置不同 - 可在命令行中使用
defaults命令来管理 plist 文件中的数据 可使用 Xcode 打开 plist 文件进行管理
序列化后存储：对于自定义类型，适配
NSSecureCoding协议后，可使用NSKeyedArchiver转换为Data格式进而，可存储在普通文件中，也可存储于 plist 文件中
Core Data:Core Data 本质上是对数据访问方式的封装
对于简单的数据结构，使用 Core Data 会带来额外的复杂度，并不划算。对于复杂的应用，Core Data 可以显著减少代码量
持久化方面，Core Data 提供了对象-关系映射 (ORM) 的功能，不编写任何SQL语句，即可将数据保存在 SQLite 数据库文件中，也能还原到内存中
CloudKit:存储方面，CloudKit 本质上类似于云端的关系数据库
除了存储，CloudKit 更有用的场景，是在多设备、macOS 与 iOS 间同步数据。比如，系统自带的 Notes 等应用，均是通过 CloudKit 来存储、同步数据。其中，通知机制可以最小化需要同步的数据量
再有，就是提供基于 CloudKit 的共享功能
注：数据持久化存储方式有非常多，也要视具体的需求而定；这里仅提及一些常用的方式。
5) macOS 界面开发
我们所说 macOS 开发，通常默认指开发「有界面及交互的、能运行在 macOS 上的应用」， 其核心，就在于界面及交互 。
我们也常听到 Cocoa，那 什么是 Cocoa 呢？ 援引《Cocoa Programming for OS X》中的介绍：
Cocoa is your application’s interface to the window server to receive events and draw to the screen. At the same time it has access to the Unix layer where it can make lower level calls.
也就是说， Cocoa 是这样一个中间环节：负责衔接你的应用与窗口系统，同时也可直接操作系统底层。
界面的开发，是个无底洞 ；可以是个简单的单窗口应用，也可以是 Pages、iMovie 这样复杂的应用。
对于初学者，建议从菜单栏程序入手 。可以暂时绕开窗口、控件这些复杂的话题，又可以创建出能解决实际问题的一些应用。比如，iPic 主交互即位于菜单栏：
这部分，可参见我之前写的教程： Status Bar App 教程是 16 年 4 月写的，现在来看有些可能已经过时，比如当时是基于 Swift 2.2；不过整体还是可以参考的。
回到界面的开发。首先， 要理解 App 的整体生命周期。 尤其是 App 启动时，都做了哪些事、先后顺序及依赖是什么。
然后， 实际的工作，就是搞定界面布局，以及熟悉一个个控件的用法 ，如 NSButton、NSTextField、NSTableView 等等。 建议的学习步骤：
- 先随意玩玩，能让控件跑起来；一些控件复杂，跑不起来也不用觉得沮丧
- 如果官方有 Programming Guide，认真读一遍
- 如果官方有示例程序，学习之，熟悉正确的用法
- 过一遍 API Reference，了解控件所有的可能性和局限
- 解决自己实际的问题，真正用起来 我一般的开发步骤：
6) macOS 设计模式之解耦
随着程序变得复杂，代码变多，也很容易交织在一起。对于进一步开发和维护，是非常头痛的事。
怎么避免这样的情况呢？其中一个思路是： 解耦 。
抽象的说，就是 把复杂的东西拆成一个个独立的模块，然后通过一些方式让这些模式有机地组合在一起 。
有哪些方式呢？顺着这个思路，我列出一些概念。
MVC模式 (Model-View-Controller)
- 这一模式在界面开发里大量使用，比如你经常看到的 XXViewController，就是其中的 Controller 部分。
简单的说，就是 把界面与逻辑分离 。界面部分，如布局、样式等。通常，代码量最多的，都是在 Controller 中。View 与 Controller 之间， 通过引用、绑定来传递数据 ，即将数据显示在界面中、从界面读取用户产生的数据。
Delegate有两个角度来理解代理。以 NSWindowDelegate 为例，可理解为 Window 本身有丰富的可定制性，程序可选择性地实现某些功能、特性。
另一个角度是，同样对于 NSWindowDelegate，对事件（如窗口即将关闭）的响应，Window 本身是不知道的，或者说是具体的业务相关的。Window 自己做不到，只能委托给自己的「代理」去决定。比如，当窗口即将关闭时，程序提示用户保存未保存的数据。
Callback对于非实时的操作，可以使用 Callback 回调的方式，来解耦调用者和执行者之间的等待。
比如，程序在从网络下载图片时，可能需要 1ms，也可能需要 2s，程序总不能傻等着。于是，程序告诉下载的模块：我去忙别的事了，你下载好了告诉我。怎么告诉？就是通过 Callback 回调机制实现。
与之关联的概念，如代码块。
Notification对于「 如果……就…… 」这样的逻辑，比较适合的是通知机制。
这里的通知，不止是从网络上推送下来的通知，也可以是程序内部的通知。
比如，用户在偏好设置的界面中完成账户升级后，在程序内发出账户类型变更的通知；程序的主窗口之前注册以监听这一通知，便可根据账户类型实时调整界面。
7) 发布 macOS 应用
自己辛苦开发的程序，通常是愿意让更多人来用的。如果能赚点小钱，当然更好啦。
7.0) macOS 应用签名
对于简单的程序，可以复制到别的电脑上运行，但最好还是要对程序进行签名。尤其是使用 CloudKit 等一些苹果特性的程序，必须签名。
怎么签名呢？前提是交钱。也就是， 必须每年交给苹果 $99 的人头税，才能成为苹果开发者 ，进而给应用签名。
7.1) MAS 与沙盒模式
在 MAS (Mac App Store) 上提交的应用，必须运行在沙盒模式中。
沙盒模式有诸多限制 ，比如，默认不能访问用户的任何文件、一些接口无法使用等等。 和 iOS 的沙盒模式相比，macOS 的沙盒模式还是宽松很多的 。以访问文件的权限为例，应用可以申请访问如 Downloads 等指定目录。向谁申请呢？苹果，而不是用户。一旦通过（虽然并不容易），便可直接访问该目录，无需用户授权。
事实上， 沙盒模式确实限制了程序的发挥空间 ，一些应用（如屏幕取词翻译、截图工具）干脆无法上架，或者额外开通「Accessibility」权限才能正常工作。而据说苹果已不再放行需要此权限的应用上架。
7.2) MAS 付费方式
苹果支持多种内购方式，要想通过应用收费，最简单的方式是： 设置程序必须付费才能下载 。这样，程序内无需区分免费版与高级版，无需做任何功能限制，代码简单。苹果系统保证了，使用哪个 Apple ID 下载的应用，只能在使用哪个 Apple ID 上登录的电脑上使用。比如， 你自己购买了某个付费应用，直接把 .app 复制到朋友的电脑上，是无法运行的 。
不过，这一方式也有局限：用户在付费之前，无法体验到产品的所有功能，也就很难决定是否要付费。对于这一局限，一些程序的做法时：在产品官网提供一个全功能、但仅能运行一段时间（如 7 天）的 体验版 。这样，用户可以在体验所有功能后，决定是否购买。
再进一步，就是 免费版 + 内购的模式 。用户可免费下载应用，但应用仅开放基础功能，需要内购才能使用高级功能。这样，既能最大化地获取用户，又能适时地收费，我的所有应用都采用此方式，相信也是未来一段时间的趋势。
对于内购，又分为一次性购买和订阅制 。一次性购买容易理解；订阅制可以有按月、季度、年等不同周期。对于订阅制，又分为自动续订和手动续订。目前，苹果对于订阅制、尤其是自动续订的订阅制，审核较严。
另外，还有 消耗型内购 ，这种在游戏中较为常见，比如花钱买装备，或者为账户充值等。
对于内购的开发 ，还是比较繁琐的，比如要处理展示、购买、用户购买后退款、恢复、订阅续订、订阅未续订导致过期等等逻辑。好在， 我封装了 IAPHelper ，可以很方便地处理这些逻辑（如下代码为购买部分）； 开源 ，可以 Pod 方式集成，已经在我的产品中应用多年，大家可放心使用。
IAP.purchaseProduct(productIdentifier, handler: { (productIdentifier, error) in if let identifier = productIdentifier { // The product of 'productIdentifier' purchased. } else if let error = error as? NSError { if error.code == SKError.Code.paymentCancelled.rawValue { // User cancelled } else { // Some error happened } }
})
7.3) 不完美的 MAS
之前苹果与微信怒怼的打赏分成事件，想必让更多朋友知道了： 凡是应用从用户收到的钱中，苹果均要收 30% 的拔毛费。
MAS 的诸多限制，以及不菲的拔毛费，让很多知名的 macOS App 纷纷下架，如 Sketch、Dash 等等。
不过， 要在 MAS 之外发布，还是要做很多事情的 ，比如下载、支付、退款、激活码等等。对于小程序，还是挺繁琐的，并不划算。另外，毕竟 MAS 还能带来一些自然流量。
如果在 MAS 之外发布，还有一点需要注意： .app 程序本质上是一个文件夹 。如果需要在网络上传送（如作为邮件的附件），最好是进行压缩，甚至是制作 .dmg 文件，我使用的是 create-dmg 这个小工具，非常方便，生成的样式也简单大方。
基于上面的原因，目前我的应用全部在 MAS 上发布，尚未在 MAS 之外发布。
尾巴
macOS 开发的话题还有非常多，比如 Storyboard、绑定、动画、并发、Undo、Pasteboard、Drag & Drop、本地化、单元测试等等，本文不可能全部提及。并且，写起来也好累，毕竟必须对这些点有完全的掌握，才可能写出来。暂时先挖坑放着，以后再填。
对 macOS 开发感兴趣？欢迎留言交流。
原文：「 自在开发 」公众号 (ID: IndieDev)
Ubuntu 下 OpenVPN 配置
安装OpenVPN
一下命令安装openvpn
sudo apt-get -y install openvpn libssl-dev openssl
安装完成后查看相应版本：
openvpn --version
查看版本的目的是后面下载相应的openvpn客户端文件的时候，最好下载相应的版本，否则可能会报错。
安装证书工具
sudo apt-get -y install easy-rsa
制作证书
sudo mkdir /etc/openvpn/easy-rsa/
#把/usr/share/easy-rsa/目录下的所有文件全部复制到/etc/openvpn/easy-rsa/下
sudo cp -r /usr/share/easy-rsa/* /etc/openvpn/easy-rsa/
sudo vi /etc/openvpn/easy-rsa/vars
# These are the default values for fields
# which will be placed in the certificate.
# Don't leave any of these fields blank.
export KEY_COUNTRY="CN"
export KEY_PROVINCE="HB"
export KEY_CITY="wuhan"
export KEY_ORG="hansap"
export KEY_EMAIL="pengjunjie@hansap.com"
export KEY_OU="hansap"
# X509 Subject Field
export KEY_NAME="hansapextra"
实际上这里KEY_NAME是OpenVPN的名字，
然后使用source vars命令使其生效，如下：
source vars
#运行source vars的时候会有提示，需要使用clean all来清洗，执行clean-all命令会删除，当前目录下的keys文件夹。
./clean-all
制作CA证书
在easy-rsa目录下
./build-ca
输出的全部回车即可。这时在keys目录下面 /etc/openvpn/easy-rsa/keys/可以查看到 ca.crt 和 ca.key
把该CA证书的ca.crt文件复制到openvpn的启动目录_etc_openvpn下，如下：
cp keys/ca.crt /etc/openvpn/
ll /etc/openvpn/
制作Server端证书
在easy-rsa目录下面执行
./build-key-server hansapextra
中间有个密码，可以保持为空
这个时候/etc/openvpn/easy-rsa/keys会生成Server端证书 hansapextra.crt,hansapextra.csr,hansapextra.key
创建交换文件
在easy-rsa目录下执行
./build-dh
在目录/etc/openvpn/easy-rsa/keys会生成 dh2048.pem
把vpnilanni.crt、vpnilanni.key、dh2048.pem复制到_etc_openvpn/目录下，如下：
cp keys/hansapextra.crt keys/hansapextra.key keys/dh2048.pem /etc/openvpn/
制作客户端证书
在目录easy-rsa下
./build-key extraclient
一直确认，后面输入密码可以为空
在目录/etc/openvpn/easy-rsa/keys会生成extraclient.crt,extraclient.csr,extraclient.key
配置Server端
Server端的配置文件默认可以从openvpn的样例中拷贝
cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz /etc/openvpn/
cd /etc/openvpn/
#拷贝过来后解压
gzip -d server.conf.gz
root@vpnserver:/etc/openvpn# grep -vE "^#|^;|^$" server.conf
port 1194
proto tcp
dev tun
ca ca.crt
cert hansapextra.crt
key hansapextra.key # This file should be kept secret
dh dh2048.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "route 192.168.11.0 255.255.255.0"
push "route 172.16.0.0 255.255.0.0"
keepalive 10 120
comp-lzo
persist-key
persist-tun
status openvpn-status.log
verb 3
做一点解释
- proto tcp 代表使用tcp的连接，tcp稳定一些。
- dev 使用tun模式。这样更使用与使用路由模式，而tap适合于使用将ip出去。
- server 10.8.0.0 255.255.255.0 这里可以随便配置一个子网，注意这里只能填写子网，这个子网是客户端分配的网段。
- push "route 192.168.11.0 255.255.255.0" 这里会推送两个路由，后面会讲这个路由怎么用
完成后可以启动
/etc/init.d/openvpn start
netstat -tunlp |grep 1194
#使用status也可以查看状态
/etc/init.d/openvpn start
配置Client 端
windows上配置
将client的ctr 和 key 文件，以及ca.crt文件拷贝到客户端，配置client.conf到客户端。
cp extraclient.crt extraclient.key ca.crt /home/firephoenix/
cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf /home/firephoenix/
配置修改
williamtekiMacBook-Pro:Downloads valentine$ grep -vE "^#|^;|^$" client.conf
client
dev tun
proto tcp
remote 61.183.247.97 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert extraclient.crt
key extraclient.key
ns-cert-type server
comp-lzo
verb 3
安装openvpn for windows客户端，我们可以从这个地址下载，如下：http://build.openvpn.net/downloads/releases/
建议和前面查询的版本相同的版本，如2.3.2版本。
将ca.crt,client.conf,extraclient.crt,extraclient.key 四个文件放到一个文件夹中，然后再讲这个文件夹拷贝到c:\Program Files\OpenVPN\config\文件夹下面。
启动OpenVPN的客户端之后就可以看到connect。
配置网络
固定：修改_etc_sysctl.conf，取消这一行的注释：
net.ipv4.ip_forward= 1
然后使之立即生效
sysctl -p
证书的管理
证书有效期管理
默认的OpenVPN配置，客户端证书有效期是10年。如何自定义客户端证书的时间呢？其实比较简单，编辑vars文件，找到export KEY_EXPIRE=3650这一行，把默认的3650，改为你想设置的天数即可。编辑后保存，运行一次vars，设置好环境变量，再用build-key生成客户端证书，即可。这样一来，客户端证书的有效期，就是你所设置的有效期了。
客户端证书的吊销
和PPTP VPN不一样，PPTP VPN直接删除客户端帐号，就可以了。在OpenVPN中，是通过revoke操作，吊销客户端证书，来实现禁止客户端连接OpenVPN的。
具体的方法如下：
#进入OpenVPN配置文件所在目录
#执行vars，初始化环境
. vars
#使用revoke-full命令，吊销客户端证书
./revoke-full clientName
#clientName是被吊销的客户端证书名称
命令执行后，我们能在keys目录中找到一个文件，名叫：crl.pem ，这个文件中包含了吊销证书的名单。然后，在服务端配置文件中，加入如下一行：
crl-verify crl.pem
最后一步，重启OpenVPN服务，即可
配置管理日志
默认情况下，openvpn server的配置会将日志写入_var_log/syslog 中，这种配置比较难管理，在openvpn中也添加了配置日志的部分。
# By default, log messages will go to the syslog (or
# on Windows, if running as a service, they will go to
# the "\Program Files\OpenVPN\log" directory).
# Use log or log-append to override this default.
# "log" will truncate the log file on OpenVPN startup,
# while "log-append" will append to it. Use one
# or the other (but not both).
;log openvpn.log
log-append openvpn.log
这样在_etc_openvpn/openvpn.log 下面就可以看到相应的登陆日志了。
配置mysql集成OpenVPN用户验证
安装数据库
root@vpnserver:~# apt-get install mysql-server libpam-mysql sasl2-bin
配置数据库
root@vpnserver:~# mysql -uroot -p
#建库
CREATE DATABASE `openvpn` DEFAULT CHARACTER SET utf8 COLLATE utf8_general_ci
mysql> use openvpn
mysql> GRANT ALL ON openvpn.* TO 'openvpn'@'localhost' IDENTIFIED BY '********';
mysql> CREATE TABLE IF NOT EXISTS `user` (
-> `username` char(32) COLLATE utf8_unicode_ci NOT NULL,
-> `password` char(128) COLLATE utf8_unicode_ci DEFAULT NULL,
-> `active` int(10) NOT NULL DEFAULT '1',
-> `creation` timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP,
-> `name` varchar(32) COLLATE utf8_unicode_ci NOT NULL,
-> `email` char(128) COLLATE utf8_unicode_ci DEFAULT NULL,
-> `note` text COLLATE utf8_unicode_ci,
-> `quota_cycle` int(10) NOT NULL DEFAULT '30',
-> `quota_bytes` bigint(20) NOT NULL DEFAULT '10737418240',
-> `enabled` int(10) NOT NULL DEFAULT '1',
-> PRIMARY KEY (`username`),
-> KEY `idx_active` (`active`),
-> KEY `idx_enabled` (`enabled`)
-> ) DEFAULT CHARSET=utf8 COLLATE=utf8_unicode_ci;
Query OK, 0 rows affected (0.02 sec)
mysql> CREATE TABLE IF NOT EXISTS `log` (
-> `username` varchar(32) COLLATE utf8_unicode_ci NOT NULL,
-> `start_time` timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP,
-> `end_time` timestamp NOT NULL DEFAULT '0000-00-00 00:00:00',
-> `trusted_ip` varchar(64) COLLATE utf8_unicode_ci DEFAULT NULL,
-> `trusted_port` int(10) DEFAULT NULL,
-> `protocol` varchar(16) COLLATE utf8_unicode_ci DEFAULT NULL,
-> `remote_ip` varchar(64) COLLATE utf8_unicode_ci DEFAULT NULL,
-> `remote_netmask` varchar(64) COLLATE utf8_unicode_ci DEFAULT NULL,
-> `bytes_received` bigint(20) DEFAULT '0',
-> `bytes_sent` bigint(20) DEFAULT '0',
-> `status` int(10) NOT NULL DEFAULT '1',
-> KEY `idx_username` (`username`),
-> KEY `idx_start_time` (`start_time`),
-> KEY `idx_end_time` (`end_time`)
-> ) DEFAULT CHARSET=utf8 COLLATE=utf8_unicode_ci;
mysql> exit
修改openvpn配置
nano /etc/pam.d/openvpn
auth sufficient pam_mysql.so user=openvpn passwd=******** host=localhost db=openvpn table=user usercolumn=username passwdcolumn=password where=active=1 sqllog=0 crypt=1
account required pam_mysql.so user=openvpn passwd=******** host=localhost db=openvpn table=user usercolumn=username passwdcolumn=password where=active=1 sqllog=0 crypt=1
其中数据库、用户名、密码按照自己的实际情况设置。
crypt 表示密码在数据库中加密存储的方式，含义如下：
0 (or “plain”)：不加密，明文存储。不推荐使用。
1 (or “Y”)：使用crypt(3)函数，相当于MySQL 中的ENCRYPT()函数。
2 (or “mysql”)：使用MySQL 的PASSWORD()函数。PAM 可能与MySQL 的函数不同，不推荐使用。
3 (or “md5″)：使用MD5。
4 (or “sha1″)：使用SHA1。
编辑/etc/default/saslauthd
nano /etc/default/saslauthd
把START=no改成START=yes。
重新启动saslauthd。
/etc/init.d/saslauthd restart
先测试一下配置是否正确，先添加在mysql里面添加一个test用户，密码也是test。
mysql -uopenvpn -p
mysql>
USE openvpn;
INSERT INTO user(username, password) VALUES('test', ENCRYPT('test'));
exit
退出以后，运行
testsaslauthd -u test -p test -s openvpn
如果提示
0: OK "Success."
说明验证通过，如果验证没通过的话，检查一下_var_log/auth.log，看看是什么原因导致的错误。
配置pam验证模块
复制Openvpn的pam验证模块到Openvpn目录：
cp /usr/lib/openvpn/openvpn-plugin-auth-pam.so /etc/openvpn/
重新编辑server.conf
#增加这个配置
# user/password auth from mysql
plugin /etc/openvpn/openvpn-plugin-auth-pam.so openvpn
username-as-common-name
;client-to-client
# record in database，这两行主要做用户登陆记录和流量管控，我们这里不做流量管控，可以修改一下。
script-security 2
client-connect ./connect.sh
client-disconnect ./disconnect.sh
在disconnect里面在端口之后会记录相应的VPN流量。
流量记录
新建一个/etc/openvpn/connect.sh文件。
nano /etc/openvpn/connect.sh
输入以下内容：
#!/bin/bash
DB='openvpn'
DBADMIN='openvpn'
DBPASSWD='password'
mysql -u$DBADMIN -p$DBPASSWD -e "INSERT INTO log(username,start_time,trusted_ip,trusted_port,protocol,remote_ip,remote_netmask,status) VALUES('$common_name',now(),'$trusted_ip',$trusted_port,'$proto_1','$ifconfig_pool_remote_ip','$route_netmask_1',1)" $DB
新建/etc/openvpn/disconnect.sh文件。
nano /etc/openvpn/disconnect.sh
输入以下内容：
#!/bin/bash
DB='openvpn'
DBADMIN='openvpn'
DBPASSWD='password'
mysql -u$DBADMIN -p$DBPASSWD -e "UPDATE log SET end_time=now(),bytes_received=$bytes_received,bytes_sent=$bytes_sent,status=0 WHERE trusted_ip='$trusted_ip' AND trusted_port=$trusted_port AND remote_ip='$ifconfig_pool_remote_ip' AND username='$common_name' AND status=1" $DB
mysql -u$DBADMIN -p$DBPASSWD -e "UPDATE user SET active=0 WHERE user.username IN (SELECT username FROM (SELECT log.username AS username, quota_bytes FROM user, log WHERE log.username='$common_name' AND log.username=user.username AND log.status=0 AND TO_DAYS(NOW())-TO_DAYS(start_time)< =quota_cycle GROUP BY log.username HAVING SUM(bytes_received)+SUM(bytes_sent)>=quota_bytes) AS u);" $DB
上面的数据库用户名密码替换成你设置的数据库用户名密码。
赋予文件可执行的权限。
chmod +x /etc/openvpn/connect.sh
chmod +x /etc/openvpn/disconnect.sh
其主要作用是：在用户连接时，在数据库log 表中新建一条记录，记录用户的IP 地址、端口号、连接时间等信息。在用户断开连接时，更新刚才添加的记录，记下用户的断开连接时间、发送数据量、接收数据量等。然后，对用户的流量进行判断，若超过配额，则将用户锁定（active=0）。
user 表中的quota_cycle 是用户的流量计算周期，quota_bytes 是用户每个周期内最多允许的流量。connect.sh 和disconnect.sh 脚本文件中调用了OpenVPN 的环境变量。OpenVPN 在执行脚本时，自动各种设置了环境变量，供脚本使用。
使用cron 每天对用户进行检查
以上操作在用户超过流量时自动将用户锁定。每天还应该执行一次检查，把已经恢复流量的用户解锁。可以通过cron实现此功能。
建立文件/etc/cron.daily/openvpn
nano /etc/cron.daily/openvpn
内容如下：
#!/bin/bash
DB='openvpn'
DBADMIN='openvpn'
DBPASSWD='password'
mysql -u$DBADMIN -p$DBPASSWD -e "UPDATE user SET active=1" $DB
mysql -u$DBADMIN -p$DBPASSWD -e "UPDATE user SET active=0 WHERE user.username IN (SELECT username FROM (SELECT log.username AS username, quota_bytes FROM user, log WHERE log.username=user.username AND log.status=0 AND TO_DAYS(NOW())-TO_DAYS(start_time)< =quota_cycle GROUP BY log.username HAVING SUM(bytes_received)+SUM(bytes_sent)>=quota_bytes) AS u);" $DB
mysql -u$DBADMIN -p$DBPASSWD -e "UPDATE user SET active=0 WHERE enabled=0" $DB
同样把上面的数据库用户名密码替换成你设置的数据库用户名密码。
其思路是：先默认将所有用户解锁，然后将超过流量的用户锁定。同时，管理员可以通过user 表中的enabled 字段手工禁用用户。
赋予文件可执行权限：
chmod +x /etc/cron.daily/openvpn
修改saslauthd 的缓存时间。
saslauthd 默认有一段较长的缓存时间，在用户通过认证后的一段时间里，可以再次通过认证而不需要重新查询数据库。这样不利于实现对超流量用户的立即锁定。saslauthd 启动时有一个-t 参数，可以设置其超时时间。
修改/etc/default/saslauthd文件
nano /etc/default/saslauthd
saslauthd 启动时有一个-t 参数，可以设置其超时时间，最后一行的OPTIONS，添加-t 60。
OPTIONS="-c -m /var/run/saslauthd -t 60"
客户端的安装
Windows用户直接下载Windows Installer即可，安装按默认安装就可以了。
接下来在服务器上拷贝三个证书文件下来，分别是ca.crt，client1.key，client1.crt，放到C:\Program Files\OpenVPN\config\目录下，新建一个myvpn.ovpn文件，用记事本打开
client
dev tun
proto udp
remote 服务器ip 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client1.crt
key client1.key
#这里需要一定要增加，否则无法访问
auth-user-pass
push "dhcp-option DNS 208.67.222.222"
push "dhcp-option DNS 208.67.220.220"
ns-cert-type server
redirect-gateway
keepalive 20 60
comp-lzo
verb 3
mute 20
route-method exe
route-delay 2
非流量监控管理
在disconnect.sh 中去掉相应字段即可
#!/bin/bash
DB='openvpn'
DBADMIN='openvpn'
DBPASSWD='password'
mysql -u$DBADMIN -p$DBPASSWD -e "UPDATE log SET end_time=now(),bytes_received=$bytes_received,bytes_sent=$bytes_sent,status=0 WHERE trusted_ip='$trusted_ip' AND trusted_port=$trusted_port AND remote_ip='$ifconfig_pool_remote_ip' AND username='$common_name' AND status=1" $DB
#mysql -u$DBADMIN -p$DBPASSWD -e "UPDATE user SET active=0 WHERE user.username IN (SELECT username FROM (SELECT log.username AS username, quota_bytes FROM user, log WHERE log.username='$common_name' AND log.username=user.username AND log.status=0 AND TO_DAYS(NOW())-TO_DAYS(start_time)< =quota_cycle GROUP BY log.username HAVING SUM(bytes_received)+SUM(bytes_sent)>=quota_bytes) AS u);" $DB
将最下面的定期清理相应的超过流量的客户
tips： 这里面应该有个小bug，可以留到后面进行修改，在用户disconnect的时候，仅搜索了4个字段，用户的ip、端口、远程ip、用户名。但是可能出现跨天的情况，而update找到的是第一个，可能日志状态后续会混乱。这里后面还是应该加上相应的时间，至少需要保持更新用户几天之内的。
证书管理
用上面的方法，通过mysql连接的时候，依然需要客户端证书，才能进行登录。
所以针对安全考虑，可以分发不同的证书给不同的组织，然后针对某些组织，再分配相应的账号密码进行安全验证。
证书有效期
默认的OpenVPN配置，客户端证书有效期是10年。如何自定义客户端证书的时间呢？其实比较简单，编辑vars文件，找到export KEY_EXPIRE=3650这一行，把默认的3650，改为你想设置的天数即可。编辑后保存，运行一次vars，设置好环境变量，再用build-key生成客户端证书，即可。这样一来，客户端证书的有效期，就是你所设置的有效期了。
给客户的一些证书可以修改为30天过期，过期之后可以删除再重新生成新的证书
吊销证书
和PPTP VPN不一样，PPTP VPN直接删除客户端帐号，就可以了。在OpenVPN中，是通过revoke操作，吊销客户端证书，来实现禁止客户端连接OpenVPN的。
具体的方法如下：
#进入OpenVPN配置文件所在目录
#执行vars，初始化环境
. vars
#使用revoke-full命令，吊销客户端证书
./revoke-full clientName
#clientName是被吊销的客户端证书名称
命令执行后，我们能在keys目录中找到一个文件，名叫：crl.pem ，这个文件中包含了吊销证书的名单。然后，在服务端配置文件中，加入如下一行：
crl-verify /etc/openvpn/easy-rsa/keys/crl.pem
注意这里路径要对，要么是相对路径，否则openvpn server会起不起来
最后一步，重启OpenVPN服务，即可。
制作客户端说明文档
[[OpenVPN 客户端说明文档]]
制作一个给外部的客户端和用户名密码
生成客户端证书
cd /etc/openvpn/easy-rsa/
./build-key extraclient
将 client文件拷贝出
将 client替换到文件中，修改相关内容
Linux 调试三剑客——strace,lsof,tcpdump
Brendan D. Gregg 专注 Linux performance & tuning 许多年，其博客 brendangregg.com 里关于分析和调优的干货琳琅满目。一篇名为 Linux Performance 文章全面而详细的整理了常用工具，覆盖了硬件、存储、网络乃至应用，如下图：
能掌握上图的十八般武艺固然最好，从定位分析的角度来说，我认为三个高级而常用的命令是 strace, lsof 和 tcpdump。
strace
strace - trace system calls and signals
据说，对一个经验丰富的 Linux C/C++ 工程师，他通过 strace 即可分析多数软件的大致实现方式。Linux 进程空间可分为用户空间和内核空间，程序通常运行在用户态，它需要通过 系统调用 访问内核空间。系统调用的重要性不言而喻，凡是涉及到进程、文件管理、设备管理和通信等的操作都必须依赖系统调用完成，如下：
- Process Control: load_execute_end_abort_create_terminate process, get_set process attributes, wait for time_event_signal, allocate/free memory
- File management: create_delete_open_read_write_reposition file, get_set file attributes
- Device Management: request_release_attach_detach device，read_write_reposition, get_set device attributes
- Communication: create_delete connection, send_receive messages, transfer status information
strace 追踪进程产生的所有系统调用，包括参数、返回值和执行消耗的时间，很多是涉及到内核和资源层面的操作都需要系统调用完成，所以 strace 在诊断以下场景非常有效：
strace 的通常使用方式如下：
strace -f -F -T -tt -o output.txt straced_cmd -f 跟踪 fork 产生的子进程
-F 跟踪 vfork 产生的子进程
-tt 在输出中的每一行前加上时间信息,微秒级
-T 显示每一个调用所耗的时间
-o 输出到指定文件 output.txt
例如：
$ strace -T -tt -f -F ls
14:17:18.096447 execve("/bin/ls", ["ls"], [/* 31 vars */]) = 0 <0.000191>
14:17:18.097156 brk(0) = 0x1852000 <0.000196>
14:17:18.097554 access("/etc/ld.so.nohwcap", F_OK) = -1 ENOENT (No such file or directory) <0.000088>
14:17:18.097836 mmap(NULL, 8192, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_ANONYMOUS, -1, 0) = 0x7f6056b52000 <0.000186>
14:17:18.098242 access("/etc/ld.so.preload", R_OK) = -1 ENOENT (No such file or directory) <0.000097>
14:17:18.101519 open("/etc/ld.so.cache", O_RDONLY|O_CLOEXEC) = 3 <0.000131>
对于守护进程，strace 的使用为：
strace -T -tt -e trace=all -o output.txt -p daemon_pid
lsof
Unix philosophy: everything is a file.
Linux/Unix 的 文件类型 有以下 7 种：
- Regular file
- Directory
- Symbolic link
- Named pipe
- Socket
- Device file
- Door
lsof 用于查看进程打开的文件，使用方式如下：
# 查看某个进程打开的文件
lsof -p pid # 查看某个文件被哪些进程打开
lsof file_name
例如：
# 1250 为 nova-api 的 pid
$ lsof -p 1250
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
nova-api 1250 nova cwd DIR 252,0 4096 133223 /var/lib/nova
nova-api 1250 nova rtd DIR 252,0 4096 2 /
nova-api 1250 nova txt REG 252,0 3345416 274069 /usr/bin/python2.7
nova-api 1250 nova mem REG 252,0 31720 407980 /usr/lib/python2.7/dist-packages/Crypto/Cipher/_AES.x86_64-linux-gnu.so
......
nova-api 1250 nova 5w FIFO 0,9 0t0 12796 pipe
nova-api 1250 nova 6u IPv4 12864 0t0 TCP *:8773 (LISTEN)
nova-api 1250 nova 7u IPv4 12891 0t0 TCP *:8774 (LISTEN)
nova-api 1250 nova 8r CHR 1,9 0t0 6683 /dev/urandom
nova-api 1250 nova 9u IPv4 12986 0t0 TCP *:8775 (LISTEN)
nova-api 1250 nova 17u 0000 0,10 0 6631 anon_inode~ bash
又如，查询 _var_log_nova_nova-api 被哪些进程打开：
$ lsof /var/log/nova/nova-api.log
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
nova-api 1250 nova 3w REG 252,0 2086779 133272 /var/log/nova/nova-api.log
nova-api 2235 nova 3w REG 252,0 2086779 133272 /var/log/nova/nova-api.log
nova-api 2247 nova 3w REG 252,0 2086779 133272 /var/log/nova/nova-api.log
nova-api 2255 nova 3w REG 252,0 2086779 133272 /var/log/nova/nova-api.log
tcpdump
tcpdump 和 wireshark 类似，都是抓包工具，windows 用户多用 wireshark，linux 用户多用 tcpdump。tcpdump 允许用户拦截和显示发送或收到过网络连接到该计算机的TCP/IP和其他数据包，从数据链路层、网络层、传输层乃至应用层，覆盖了多种常用协议，并提供了丰富的过滤功能，使用如下：
过滤网卡：
过滤 IP：
tcpdump net 10.10.10.1
tcpdump src net 10.10.10.1
tcpdump dst net 10.10.10.2
过滤 port：
tcpdump port 80
tcpdump src port 80
tcpdump dst port 80
过滤 protocol：
tcpdump arp
tcpdump icmp
tcpdump ip
tcpdump udp
tcpdump tcp
常用表达试：
& or 'and'
|| or 'or'
! or 'not'
抓取所有经过 eth0，目的地址是 10.10.10.1:80 的 TCP 数据：
$ tcpdump -i eth0 (tcp) and (dst port 80) and (dst net 10.10.10.1)
Copyright © 2020 鄂ICP备16010598号-1