VPNCykoGM: A Python repository from consatan

本项目是我对之前VPNCyko项目的改写，使用VPNC连接Cisco IPSec服务器并采用autoddvpn项目提出的gracemode，另外加入了一个以前写的检查域名是否被墙及DNS污染的脚本。

本项目基于以下配置：

路由器：华硕RT-N66U，我认为是目前可以刷Tomato的最好的路由器
固件：Tomato by Shibby，目前使用的是K26USB-1.28.RT-N5x-MIPSR2-102-AIO-64K.trx
VPN：@cosbeta的VPN服务，服务器多、速度快，价格便宜量又足
宽带：我家用的是长城宽带……

##参考文档

[BLT]FQX的Blog，之前的VPNCyko项目赤裸裸抄袭了这篇文章和其中的代码
@Paveo的blog，作为一个Falcop用户，虽然买不起VIG，但是向你致敬
autoddvpn项目，学习并改写了其中gracemode部分的代码，将gfwListGen.py修改为了本项目中的update.py，用于下载gfwlist并更新vpnup.sh
DNSPython，运行update.py需要的库，本项目中的dns目录就是DNSPython 1.10.0

##本项目实现了

开机自动连接Cisco IPSec服务器，效率比常见的OpenVPN高很多
通过修改vpnc连接配置文件，防止vpnc断线（暂时没有启用vpncwatch，昨天到今天早上12个小时没有断线）
抄袭[BLT]FQX的Blog中的双路由表设置，家里的下载专用机（192.168.1.33）除了Google、IMDB等路线外不走VPN（避免耗费VPN流量和带来封账号风险）
使用jimmyxu的chnroutes项目中提到的iproute2方案，几秒搞定gracemode的1000多条路由
使用OpenDNS的DNSCrypt对抗DNS污染，仅将几个明显被DNS污染的域名用DNSCrypt解析

##通过ssh访问路由器在Terminal中：

ssh-keygen
cat ~/.ssh/id_rsa.pub

将id_rsa.public中的内容拷贝到路由器访问管理界面的Authorized Keys中，之后在Terminal中：

ssh root@192.168.1.1

就可以登陆路由器了。或者直接通过Telnet访问也可以。

##通过ssh登陆，安装opkg mkdir /jffs/opt mount -o bind /jffs/opt /opt

将这上面这一行mount -o bind /jffs/opt /opt加到路由器JFFS管理界面的Execute When Mounted中，这样路由器每次mount jffs的时候都会自动加载/opt

cd /opt
wget http://wl500g-repo.googlecode.com/svn/ipkg/entware_install.sh
chmod +x ./entware_install.sh
./entware_install.sh

##将本项目文件复制到路由器中出于节省空间的考虑，这里使用curl而不是git获取项目文件：

opkg install curl
mkdir /jffs/vpnc
cd /jffs/vpnc
curl -kL https://github.com/cykor/VPNCykoGM/tarball/master | tar zx
cd cykor-VPNCykoGM-xxxxxxx
mv * ..

##安装python并更新vpnup.sh 如果路由器的Flash空间不够安装python，可以跳过本步，在OS X或者Linux下用项目中的update.py生成。根据网络速度，生成/更新一次可能要半个小时的时间。

opkg install python
cd /jffs/vpnc
./update.py

本项目中的update.py修改自autoddvpn项目的gfwListGen.py，作用是自动下载最新版的gfwList并生成/更新vpnup.sh中的路由规则。

##安装DNSCrypt DNSCrypt原理很简单，通过建立一条到OpenDNS的SSL链路（443端口）进行域名解析，并在本地提供查询代理服务器（entware中缺省配置是65053端口）。这样只要在DNSMasq中指定被污染的域名通过本地的DNSCrypt代理解析，就可以彻底摆脱53 UDP端口上的污染信息。

opkg install dnscrypt-proxy

这样安装后DNSCrypt是会随路由器自动启动的，不过现在可以手工启动一下看看有没有问题：

/opt/etc/init.d/S09dnscrypt-proxy start

如果有问题，首先确认与208.67.220.220链接不存在问题，另外编辑一下/opt/etc/init.d/S09dnscrypt-proxy，将ARGS这行改为这样应该就可以了：

ARGS="--local-address=127.0.0.1:65053 --daemonize"

##设置DNSMasq 不建议使用update.py生成的gfwdomains直接设置dnsmasq，这个文件包含了所有gfwList里面的域名，其中大多数域名并没有被污染，全部启用的话会影响CDN加速，降低DNS解析的效率。所以本项目中缺省使用运营商配置的DNS解析（观察一段如果有问题可以改用114DNS），apple相关域名通过中华电信DNS解析，只有Twiiter、Facebook等明确发现有DNS污染的网站才使用DNSCrypt解析。不过这样带来的问题是，由于OpenDNS的IP也可能被封锁，因此要待VPN链接建立后重启DNSCrypt进程才能解析，而且可能随着VPN链路的稳定性影响解析，好在dnsmasq本身有cache（本项目中设为2048条记录）。

具体需要做的就是将本项目中的dnsmasq中的内容粘贴到路由器DHCP/DNS管理界面里面Dnsmasq Custom configuration中，勾选Use internal DNS和Prevent DNS-rebind attacks，保存设置即可。

##安装VPNC 首先安装vpnc：

opkg install vpnc

通过opkg安装vpnc是没有vpnc-script的。本项目中的script.sh是根据nslu2的ipkg源里面vpnc_0.5.3-1_mipsel.ipk的vpnc-script精简和修改的，主要是去掉了与在路由器上运行无关的代码、修改resolve文件的部分，将设置缺省路由修改为调用vpnup.sh添加路由。请注意确保script.sh加上了可执行权限：

chmod a+x script.sh

##配置IPSec VPN账号根据本项目中的sample.conf修改新建配置文件，内容如下：

IPSec gateway 服务器地址
IPSec ID 服务商提供的组ID
IPSec secret 服务商提供的组密码
Xauth username 你的用户名
Xauth password 你的密码
DPD idle timeout (our side) 0		#关闭vpnc 5.x中有问题的DPD功能
NAT Traversal Mode cisco-udp		#设置NAT穿越模式
Script '/jffs/vpnc/script.sh'		#让vpnc调用script.sh作为vpnc-script

##最后的准备在路由器脚本管理界面的WAN Up中加入

vpnc /jffs/vpnc/sample.conf
/opt/etc/init.d/S09dnscrypt-proxy restart

告诉路由器在外网链接建立后运行vpnc，并重启DNSCrypt进程。虽然并不必要，但是现在 重启路由器吧！ 享受大功告成的感觉！

##附1：关于双路由表的配置本项目中双路由表是在script.sh中调用rtables.sh实现的，为路由器中设置了固定IP的192.168.1.33设置一张novpn的路由表。如果不需要这样的功能，在script.sh中将下面这一行注释或删掉就可以了：

-70-	/jffs/vpnc/rtables.sh

##附2：使用check.sh配置自己需要走VPN的域名本项目中提供一个check.sh脚本，使用起来很简单：

cd /jffs/vpnc
./check.sh xxx.com

这个脚本的作用是：

通过比较缺省DNS和DNSCrypt返回的结果，检查一个无法访问的域名是否被污染。如果被污染了，则生成dnsmasq配置的建议，把这一行直接粘贴到路由器DHCP/DNS管理界面里面Dnsmasq Custom configuration中即可。之所以不自动添加，是因为有的时候不同DNS解析的结果不同，但都是正确的IP，这时需要肉眼判断一下再决定。
根据DNSCrypt解析的结果，将访问这个域名的路由直接加入路由表，这样不需要重启路由器就可以访问了。
将访问这个域名的路由追加到vpnup.sh最后，这样下次路由器重启时也会自动添加这条路由。
将域名加入known_gfw_domains，下次运行update.py时会读取这个文件并补充路由规则。

##附3：vpnc-disconnect的问题使用opkg安装vpnc后，在我的Tomato Shibby中是无法正常使用vpnc-disconnect的。不过只要将vpnc-disconnect脚本中的

pid=/var/run/vpnc/pid

修改为

pid=/var/run/vpnc.pid

即可。当然一般情况下是用不到vpnc-disconnect的。

consatan/VPNCykoGM