VLAN 是二层的概念，因此在进行路由（三层）的时候，数据帧头（vlan tag）已被剥离，在完成路由后，如果出接口是trunk类型，新的vlan tag（目标vlan的tag）会被添加到数据帧头再发出
参考：
Thursday, April 20, 2023
Friday, February 10, 2023
Windows时间同步注意点
Windows时间服务是Active
Directory域正常运行的基础功能。AD主身份验证协议Kerberos使用W32Time（Windows时间）时间服务来正常运行。在AD环境中，时间同步是按照严格的层次结构进行的：加入域的电脑和服务器从距离最近的域控制器获取时间，所有域控制器与拥有FSMO角色的PDC
Emulator的单个DC同步
PDC模拟器（Primary Domain Controller）与外部时间源同步时间。外部时间源通常是一个或多个公共NTP服务器
所有版本的Windows都有W32Time服务，这个服务用于和AD同步时间。一台电脑可以同时作为NTP服务端和客户端，默认情况下，加域的客户端电脑使用Windows时间服务来同步时间而不是使用NTP
Windows时间服务的默认情况如下：
- 完成Windows原版系统安装后，NTP客户端在电脑已启动，并用于和外部时间源同步时间
- 当电脑加域后，同步类型会改变，域中所有客户端电脑和成员服务器会自动和DC同步时间
- 当成员服务器提升为DC后，NTP服务端会启动，该服务器使用具有PDC角色的DC作为时间源
- PDC emulator 是整个组织的主要时间服务器，它会和外部时间源同步（或者和CMOS的硬件时间同步）
- 这个方案在大多数情况下都有效，不需要干预。但是，Windows中时间服务的结构可能不遵循域层次结构
使用GPO配置PDC DC的NTP：（注意此域策略只作用于域控制器）
Computer Configuration > Administrative Templates > System > Windows Time Service > Time Providers
- Configure Windows NTP Client: Enabled (NtpServer: ntp.aliyun.com,0x1 Type: NTP)
- Enable Windows NTP Client: Enabled
- Enable Windows NTP Server: Enabled
使用GPO配置客户端时间同步：
Computer Configuration > Administrative Templates > System > Windows Time Service > Time Providers
- Enable Windows NTP Client: Enabled (NtpServer: dc.xxx.com,0x9 Type: NT5DS)
NTP和NT5DS的区别：
- NTP——与外部时间服务器同步
- NT5DS——根据域层次结构执行同步，在加域的电脑上默认使用
参考：
https://theitbros.com/configure-ntp-time-sync-group-policy/
http://www.sysadminlab.net/windows/configuring-ntp-on-windows-using-gpo
Wednesday, December 7, 2022
C2960-48TT-L 升级固件
从 IOS12 升级到 IOS15
1. 下载IOS软件，链接https://software.cisco.com/download/home/279963518/type/280805680/release/15.0.2-SE11（须先登录 Cisco 账户）
2. 通过 TFTP 传输 .bin 文件到交换机 flash
copy tftp://192.168.1.10/c2960-lanbasek9-mz.150-2.SE11.bin flash:/c2960-lanbasek9-mz.150-2.SE11.bin3.
启用中断以免用到
(config)#boot enable-break更改启动镜像文件
(config)#boot system flash:/c2960-lanbasek9-mz.150-2.SE11.bin保存
(config)#do write重启
(config)#do reload
参考：
https://www.nazaudy.com/how-to-upgrade-the-ios-version-in-cisco-switch-c2960s
Thursday, April 1, 2021
Web Application Potentially Vulnerable to Clickjacking (nginx)
在 nginx 配置文件添加：
add_header X-Frame-Options SAMEORIGIN;
三个选项：
DENY
表示该页面不允许在 frame 中展示，即便是在相同域名的页面中嵌套也不允许。
SAMEORIGIN
表示该页面可以在相同域名页面的 frame 中展示。
ALLOW-FROM URI
表示该页面可以在指定来源的 frame 中展示。
注: 在网页中设置meta标签是无用的!例如，<meta http-equiv="X-Frame-Options" content="deny"> 是没有效果的。不要使用这种方式。需要在下面的配置实例中配置HTTP Header的方式来进行配置，X-Frame-Options才会起作用。
参考：
https://www.imperva.com/learn/application-security/clickjacking/
https://www.jianshu.com/p/51cc683402f0
nginx SSL 安全密码套件
ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!3DES:!MD5:!PSK
nginx.service: PID file /var/run/nginx.pid not readable (yet?) after start: No such file or dir
需要 Systemd 等待 nginx 创建 PID 文件之后再往下执行
1. 在服务配置文件 /usr/lib/systemd/system/nginx.service 添加一行：
ExecStartPost=/bin/sleep 0.1
2. 然后执行：systemctl daemon-reload
参考：
https://www.programmersought.com/article/95721475597/
Monday, March 8, 2021
CentOS 7 SSH 登录安全性加固
vi /etc/ssh/sshd_config
# 禁止 Root 账号登录
PermitRootLogin no
# 版本
Protocol 2
systemctl restart sshd
vi /etc/pam.d/sshd
# 在 auth 部分添加一行
# even_deny_root 表示同样限制 root 账号# file 用于指定统计次数用的文件，默认是 /var/log/tallylog
auth required pam_tally2.so even_deny_root deny=5 unlock_time=300 file=/var/log/tallylog
# 如果不生效，则在 account 部分再添加一行account required pam_tally2.so
vi /etc/profile.d/auto-logout.sh
# 添加一行
readonly TMOUT=300
参考：
https://man7.org/linux/man-pages/man8/pam_tally2.8.html
https://mp.weixin.qq.com/s/IR96o6bgNH0Yzd88AwdLUQ
https://www.tecmint.com/use-pam_tally2-to-lock-and-unlock-ssh-failed-login-attempts/