个人电脑信息安全指南

　　由于笔记本电脑的普及，越来越多的用户发现个人电脑信息安全的重要性，当你的电脑被盗、被抢、被黑，或者因为不可抗拒力被他人获得，如何才能保证自己电脑信息的损失最小化，并且自己的秘密信息不被他人所获得，这值得所有的笔记本电脑用户关注，“艳照门”事件给普通的个人电脑使用者敲响了警钟：谁没有一些重要的资料？谁没有一些只属于自己的“秘密”？从担忧甚至会产生一些“恐惧”，谁也不知道什么时候又会什么不可预期的事件发生在自己身上，因此，针对个人电脑的安全问题，我这里总结一套安全方案，供大家参考。

　　一、本地信息分类和分级

　　要想管理个人信息，先要将自己的信息进行分类，个人信息主要包括：邮件、文档（DOC、XLS、PPT、PDF、TXT）、文件（其他类型）、照片文件、视频文件等。

　　接着，将这些信息按照安全等级，分为三级，最机密的信息为“绝密”，其次为“秘密”，没有保密性的文件为“普通”。

　　二、帐号安全

　　系统不加入域，本地电脑只设置一个管理员，并设置一个密码，进入系统需要密码登录，常用的网络服务帐号也需要使用密码登录，关于本地电脑和网络服务帐号的密码安全性，请参考月光博客的另一篇文章《十个常用网络密码的安全保护措施》。

　　目前的网络服务使用Google的服务最为安全，用户需要有两个Google账户，一个是自己最常用的Google帐号，用于普通、秘密的邮件或文件操作，并使用此帐号对外联系。另一个是绝密的Google帐号，所有定义为“绝密”信息的邮件和文档均保存在这个绝密Google帐号中，不保留任何信息在本地电脑，不保存绝密Google账户密码到本地，只使用隐身窗口或隐私模式访问此绝密Google账户。

　　三、日常操作

　　文件的处理工具分别是：邮件 - Gmail；文档 - Google Docs；即时通讯 - Gtalk（Gmail内置）；其他文件 - Dropbox、TC，WinRAR等。

　　在日常的文件操作中要注意，尽量使用国外大公司的网络服务，并具有数据导出功能，以免因为服务关闭问题导致数据丢失，推荐Google的服务。

　　邮件和文档尽量放在服务器上，尽量少用邮件客户端，多用Gmail和Google Docs服务。

　　大量文件可使用Dropbox等云存储服务保存，绝密信息的文件也可以使用另一个Dropbox账户同步，同步完成后，关闭Dropbox，并将本地文件删除。如果需要本地备份秘密或绝密文件，需要使用文件加密技术，最简单的方法是，使用WinRAR等工具进行加密码压缩，密码设置8位以上的长密码。

　　上网尽量使用Firefox的隐私模式和Chrome的隐身模式，迫不得已才可使用IE，IE的安全设置是：1、“Internet选项”-“设置”-“历史记录”－“网页保存在历史记录中的天数”-设置为0天；2、“Internet选项”-“高级”-“安全”-“关闭浏览器时清空Internet临时文件夹”。

　　四、紧急事件的处理步骤

　　当你的电脑丢失，或者因不可抗拒力而被人获取，那么你应该如何进行紧急操作，防止个人信息被他人获取呢。

　　首先最重要的，是立刻修改常用Google帐号密码，在浏览器上可以点这里修改，手机通过手机浏览器也可以登录Google进行密码修改。由于绝密Google帐号没有保存密码在本地，并且一直是通过隐私模式访问，因此相对安全。

　　其次，修改Dropbox密码，并登录Dropbox后断开丢失电脑的权限，防止他人修改你的网络文件。

　　然后，再修改一下其他网络应用的密码，例如SNS、微博客、博客等系统，通常会保存密码到本地，修改其密码后，用户就必须重新登陆才能访问。

　　整个电脑信息安全方案我用下图来表示，点击可看到大图。

　　经过这些操作处理之后，即使我们的电脑丢失了，别人只能获得电脑本地的普通文件，而无法获得保存在服务器上的重要秘密文件，这样我们就避免了自己的秘密数据资料被他人获取，从而保证了用户个人电脑的信息安全。

Foursquare被屏蔽

　　我在两周前写的文章《中国互联网地图发展前景分析》曾经乐观地认为Foursquare这类基于位置的LBS（Location Based Service 地理位置服务）应用在中国运营没有太多风险，因为用户去的最多的地方是商家，敏感区域（如军事基地）用户进不去，也就没法Checkin了，事实证明我错了。

　　Foursquare是一家基于用户地理位置信息的手机服务网站，用户可以向好友分享自己当前所在地理位置等信息。利用Foursquare服务，手机用户可“Checkin”某个地点，该地点可为任何一家饭店、好友家庭居住地或一家商店等等。相应检入过程非常迅速。用户完成检入过程后，Foursquare将根据用户检入时的位置，向用户返回该地点附近的其他信息。并通过Twitter、 Facebook等流行的社交网络平台把自己的位置发布出去。

　　为了激励用户频繁使用其服务，Foursquare在网站上推出了多项具有游戏机制的服务，比如经常在某个场所Check-in的用户将成为该处的Mayor，从而激励用户频繁使用该服务。许多商家也会根据该游戏机制来开展促销活动，根据用户“Checkin”的次数，给予用户相应的折扣。

　　地理位置服务商Foursquare的游戏机制一直深受用户欢迎，但今天却在中国无法访问了，traceroute最后一个IP是“北京市（电信骨干网）电信”，手机用户已经无法在Foursquare上Checkin了。

　　据分析，Foursquare遭到屏蔽原因，可能是因为中国用户到敏感区域Checkin，由于Foursquare许可用户发布点评类的信息，导致该敏感区域出现大量敏感信息，因此遭到屏蔽。

　　相比之下，传统不基于LBS的点评网反而不会出现这样的信息，因为商家的信息是固定的，用户不可能主动标记商家。而目前的社会化LBS应用中，全部内容均为用户贡献，在国内，凡是UGC（User Generated Content /用户创造内容）的网站均具有不可控的风险，国内做LBS的兄弟们还是早点洗洗睡吧。

Google搜索推出自定义背景功能

　　据谷歌官方博客报道，Google今天推出一项新功能，可以让用户将自己喜爱的照片或图像设置为Google搜索的背景图，以达到个性化界面的功能，用户可以选择从自己的计算机，自己的Picasa网络相册或公共画廊的Picasa照片中选择一张图片做为背景。

　　早先Google已经在个性化网页iGoogle提供搜索页面背景图切换功能，这次将页面图片背景功能加入到传统的搜索页面中，与Google重视速度的一贯传统不太符合，当然用户可以选择不加背景图。

　　目前这个功能已经在英文版的Google中实现了，进入英文版Google界面，点击左下角的“Change background image”链接，就会出现如下图选择图片的界面。

　　选择好用户喜欢的图片后，Google的搜索界面就会变成另一副样子。对于其他语言的Google用户，也将会在未来的几天内看到这个新功能。

　　有趣的是，微软的Bing（必应）就是以个性化搜索页面背景作为其特色，微软Bing的工作人员就认为，Google的自定义背景图的新界面，是在抄Bing的创意，并认为其做的不如Bing好，因为Bing的背景图每天都会自动变化。下图是Bing的自定义背景图片界面。

　　另：据谷歌众包论坛站长的邮件，由于Google背景图使用的是Picasa相册的图片，因此在中国无法直接访问，需要修改HOSTS文件才能看到图片。

中国团购网站的野蛮时代

　　无论是Blogger、Youtube、Facebook、Twitter，都引发了中国创业者的大量复制。迅速窜红的社会化团购网站Groupon仍然延续了这种趋势，不过这次创业者的复制速度明显要快得多，短短三个月内，国内团购网站已多达150家左右，多数团购网站更是集中在北京、上海、广州和深圳等地区，有网友戏称“百团大战”。

　　市场的钱景固然一片美好，不过在表面的风光之下，团购网站似乎正在陷入一种无法自拔的境地。

　　1.同质化太严重

　　国内的团购类网站，和Groupon基本都长得一模一样。更为严重的是，他们都是完全照搬Groupon的团购模式，通过低价吸引用户、通过用户吸引商家。

　　这样的竞争最后就会变成资本和资源的肉搏战，如果不找到一种独特的商业模式，很难从中脱颖而出。

　　2.门槛太低 成本太高

　　团购网站之所以在国内如春笋出土般快速涌现，最为称道的一点就是进入门槛低，几万块钱找几个技术人员很快就可以做出来。

　　但正是由于进入门槛低，竞争对手的数量就会空前庞大，这意味着市场就会变成消费者市场，因为你需要花费更多的成本去推广和争取消费者，这部分成本将会是网站开发成本的数倍。

　　如果没有足够的资金和资源支持，预计大量团购类网站会快速死掉，这个临界点很可能会在半年以后。

　　天欲使其灭亡，必先使其疯狂。来得越猛，死得越快，就是这个理。

　　3.粘性太低 回头客太少

　　国内团购网站都主打低价模式，大多数用户是冲着低价这个点来的。那么如果另外一个网站有更低的价格，那么用户会很轻易地背叛，虽然很多团购网站通过积分等方式提高用户粘性，但是这仍然是团购网站无法回避的伤痛。

　　反之，对于商家来说，团购网站的用户大多是冲着低价来的，大多数人回家的第一件事情就是看看明天还有什么低价团购。这意味着商家的低价策略，并不一定能够换来忠实的回头客。在新鲜劲儿过去之后，团购网站对于商家的吸引力将会进一步降低。

　　4.利润率低 难受资本青睐

　　虽然有句对VC的调侃是：越有风险越要投资，没有风险绝不投资。但是对于目前模式尚不清晰的国内团购网站来说，资本大多持保守态度。

　　假设商家在这里团购了100条牛仔裤，每条赚10块钱也才1000块钱，想要抵消运营成本都很难。你不要指望着商家提供更多的数量，因为也许真的是卖得越多，赔得越多。利润率太低，是卡在团购网站喉咙的一根尖刺。

　　假设风险投资投入一千万，那么按照现在团购网站的阵势，估计没个五六年都很难收回投资。而且这还是顺利从一百多家团购网站中突围的预期，如果是直接在竞争中不敌，那么投资方的钱就等于直接打了水漂。

　　——结束的分割线——

　　在团购类网站风风火火的表面，不知道掩盖了多少的腥风血雨、明枪暗箭。我们倒不如转换一下思维，做一下团购网站的周边配套服务。

　　别人做网购，咱们做快递；别人做汽车，咱们做维修；别人做手机，我做周边。差异化竞争和逆向思维，绝对是攻城略地的神兵利器。

　　来源：XJP投稿，原文地址。

苹果在哪里超越了微软？

　　5月26日，苹果的总市值超越微软，从而成为全球市值最大的技术公司，这是一个标志的事件，标志着苹果的重新崛起。

　　苹果和微软，这两家全球最伟大的公司，有过许许多多的恩恩怨怨，1980苹果公司上市，5年后随即进入世界500强，这是当时最快的记录。而就在苹果进入世界500强的时候，微软推出Windows零售版，次年微软上市，公司市值5亿200万美元。之后两家公司一直诉讼不断，而两个公司的创始人乔布斯和盖茨也可以说是亦敌亦友。

　　乔布斯经历过创业的辉煌，随后被微软打败，在公司的权力斗争中黯然离开苹果，创建著名的3D动画公司Pixar以及NeXT公司，1997年苹果又以收购NeXT公司的方式让乔布斯重回到苹果。重回苹果的乔布斯不负众望，公司股价节节攀升。真可谓是高潮迭起，跌宕起伏，大起大落。

　　苹果的第一次失败，是被IBM的兼容机打败的，也正是因为兼容，导致了微软的崛起，以至于后来鼎鼎有名的WInTel联盟的出现。这个时期的苹果野心太大，什么都想自己吃，不愿意和业界一起分享，但这个蛋糕太大了，苹果没能一口吃下，反而把自己差点噎死。或者这和乔布斯追求完美的性格有关，他希望所有的东西都是自己做的，他希望由苹果公司出来的产品一定是最完美的，所以才会拒绝让其它公司的参与。

　　1997年，乔布斯卷土重来，这一次还是走精品路线，把一个个产品做到极致，这一次的乔布斯成功了。回顾两次同样走精品路线的成功与失败，我想可以这么理解，在一个市场还在萌芽状态的时候，走精品路线会被走平民路路线的产品打败，而当市场已经开始同质化严重的时候，这个时候就需要细分市场，高端路线也会成功。

　　回顾苹果的历史，就是一部创新史，苹果将创新发挥到了极致，我们今天用的计算机，许许多多的功能都是从苹果而来的，包括现在的Windows图形界面，也是抄袭苹果的。而我们现在用的Windows7，很多让我们惊艳的效果，其实在Mac系统中很早就已经出现了。

　　和许多的公司喜欢把产品线做得很长不同，重回苹果的乔布斯在缩短产品线，苹果现在的产品主要是Mac（笔记本电脑Macbook和台式机iMac）、iPhone（手机）、iPad（平板电脑）、iPod（Mp3播放器），但每一个都是同类产品的王者。他把每一个产品都做到了极致，不管是电脑，还是Mp3播放器，现在已经是竞争白热化没有技术含量可言的东西了。可是苹果硬是把Mp3这种满街都是的电子产品，做成了一个精品。实际上，这就是典型的市场细分，当一个市场已经很混乱的时候，细分市场及高端路线就更容易占据有利地位，但前提是你得真的把产品做到了极致，而非像咱们很多企业的忽悠。

　　苹果的产品已经不是一个电子产品，它是一种文化，是一种精品文化的代名词。所以苹果不害怕山寨，对于能买得起苹果的人，不会愿意去买山寨的产品，因为山寨的产品无法做到像苹果的产品一样的品质。对于买不起苹果的人，这群人不是我的用户群，你愿意买山寨就买吧，我也不指望所有人都买我的产品。

　　毫无疑问，微软也是一家非常伟大的公司，微软的问题在于他什么都想吃，微软的产品多得让人惊奇，包括开发软件、办公软件、桌面操作系统、服务器操作系统、游戏、硬件、数据库、即时通信、搜索等等产品，好像还要迈进杀毒软件的领域。微软在这些产品中都取得了很好的成绩，大部都是数一数二的佼佼者。和苹果走的精品路线完全相反，微软走的是大众化的平民路线，产品在用户的普及度很高。但他的触角太广了，他太庞大了，他的行动太迟缓了，未来的微软如果把公司分出去成为控股公司，这样会不会更有活力一点呢？

　　我想，苹果在股市上的超越，并非意味着苹果超越了微软，只能说明苹果选择的精品战略的成功，只能说明苹果细分市场的成功。苹果和众多硅谷公司的今天，也和自由竞争、创新以及政府对创新的保护、明确游戏规则有很大的关系，感谢竞争，才让我们有如此丰富多彩的产品；感谢创新和对创新的保护，才让产品不被山寨这种恶性竞争扼杀在摇篮之中；感谢明确游戏规则，才让我们知道哪些可以做哪些不可以做。

　　来源：涂雅投稿，原文链接，网站转载请注明来源于涂雅并保留原文链接，否则视为侵权。

富士康：尊重劳动，让教育回归原点

　　前两天在月光博客看到一篇非常精彩的博文是涂雅先生分析富士康12连跳的原因。文章中层层分析，最终落脚到真正的原因：我们失败的教育。对于这个找原因的思路和结论，特别欣赏。

　　我们的教育已经迷失。那么什么应该是我们教育的原点呢？通过这个原点，可以寻找到我们日常生活的幸福，我们愉快合作，顺利工作的方式。

　　两三年前，在朋友的劝说下，我下载了Firefox游览器，安装了ScrapBook插件，没想到由此唤起了利用开源软件写写编编网站的兴趣，从写代码到图片编辑，我乐此不疲。一发不可收，小时候的动手爱好，全面复苏了。或许这是我的小宇宙爆发？总之，这种喜悦和踏实，充实和开阔，难以言表。

　　人多多少少都要有些爱好和兴趣，不仅是增加谈资，开阔话题，更是得到渗透在日常生活中的小小的长远的幸福。当你和朋友谈起兴趣的时候，无不光彩照人，容光焕发，一起从事共同兴趣的活动的时候，基本上都可以真性情，有豪情，互解互谅，开开心心，一把汗水一脸欢笑。

　　日常的爱好和兴趣，和我们的教育有关系吗？有，在兴趣中，我们体会到劳动的愉快和美好。教育本来可以让我们在成人后的工作中也能体会到劳动的价值和愉快，可惜目前的教育起到了反面的作用。回想一下中小学时候，每个人都要做的一件事：值班打扫教室。

　　大多数的你我都不会在回忆中认为值班扫地是件快乐和光荣的事吧。草草了事，得过且过，是大多数同学的态度吧。可是要知道啊，值班扫地，是学生时代中，最像我们大多数普通人，长大后在大多数普通公司，所从事的大多数普通工作。

　　世界上的工作，至少70%都是像值班扫地这种，默默地收拾整理，默默地为别人贡献的事情。

　　而我们的教育是不是没有给这些值班扫地的同学一个最起码的反馈呢？无论扫得干净不干净，第二天，无人关心，冷漠在我们的心中滋长。哪怕给是扫地的同学一个差评啊，都比冷漠要好几千倍。

　　如果每天班上都会对昨天扫地的结果一个评价，相信12年的值班扫地会让大多数的我们长大后都会有一个热爱整洁的好习惯，一个能够在大庭广众前自如表达的能力，更重要的是给我们一个尊重他人普通普通的劳动，和尊重自己普普通通的劳动的好品德。

　　这远比知识重要。劳动是人类获取知识，得到智慧的源泉。

　　尊重劳动，无知的你我也会自学成才。蔑视劳动，所有的知识都将是你我的牢笼。

　　尊重劳动吧，这是兴趣爱好的伴侣。如果你是运动型的，就让汗水自由挥洒，心情像鸟儿飞翔一样，这也是劳动。如果你喜欢静，就闻着墨香，挥斥方遒，心血在你的作品中结晶，这也是劳动。想唱就唱，想跳就跳，这也是劳动。什么是劳动？劳动就是挥洒你的活力！

　　尊重劳动吧，劳动会让你变得识货，变得内行，进而变得有品味，有腔调。劳动会告诉你，哪些产品真正好用，值不值价。

　　尊重劳动吧，这是美德和进步的基础。你会欣赏精益求精，会发现自己的长处和他人的长处，然后有梦想，愿意翻山越岭去寻找合作的朋友，能够开始精诚合作之旅，体会彼此的甘苦。所谓美德和进步就藏在这个过程之中。

　　尊重劳动，你会坦然面对自己的无知和不足，并且在错误和失败之中，逐步改善，你会体会到真正的学习乐趣。让“学海无涯苦作舟”的“苦”字滚到一边去。学习和探索，本来就是我们普通人的人性和天赋，根本不是天才所独享的乐趣。

　　尊重劳动，不光是他人的劳动成果，也包括自己的劳动成果。只要是勤勤恳恳的劳动，都是光荣的，顶天立地的。劳动都是高贵的。

　　尊重劳动，在这种风气之中，每个人都可以通过自己的汗水创造出自己的尊严。如果你的梦想还能和现实结合的不错，那么你还就可以创新，带领和召唤同样热爱劳动的你我，完成一个作品，一个事业，丰厚的报酬会随之而来。（怎么，这和海外渐成气候的开源软件精神，暗中吻合？）

　　尊重劳动吧，你我天生都不是懒人。

　　尊重劳动，这应该是我们教育的原点。

　　有了尊重劳动的精神，我们方才可以体会到日常生活的幸福，方才可以有真正有诚信的合作，方才可以有可能做出越来越好的产品。

　　有了尊重劳动的精神，才会知道盗版和山寨，多么伤害其他的劳动者，更是多么蔑视自己的劳动和践踏自己的尊严。

　　有了尊重劳动的精神，你还会发现，其实也不用费尽心思去盗版和山寨。你劳动和创新的精神，可以赢得其他劳动者的尊敬和协作。

　　从尊重劳动出发吧，让我们的教育提供一个平台，让孩子从小开始从摸爬滚打中领悟如何合作，如何把梦想和现实联系，如何创造出美好生活。知识的学习只是辅助，人与人的合作精神才是学校教育最宝贵的财富。

　　今天是六一儿童节，祝节日快乐。

　　来源：读者投稿，原文地址。

如何区分国内上网环境中不同的人为网络故障

　　众所周知，在国内上网会遇到各种各样不同的人为网络故障，使得我们无法正常访问很多网站。但由于很多人并不熟悉网络，很多时候会无法区分不同的网络故障，导致明明是网络故障，却认为是服务器故障；或明明是服务器故障，却认为是网络故障的情况。我觉得有必要说明一下不同网络故障的特征，以及区分它们并解决它们的方法。

　　在国内上网环境中，我们经常遇到的网络故障有：DNS劫持、DNS污染、IP封锁、服务器防火墙IP过滤、服务器宕机、基于关键词的TCP连接重置、无状态的TCP连接重置、SSL证书过滤、SSL劫持、HTTP会话劫持等网络故障。下面我就依次进行说明：

　　1、DNS劫持

　　DNS劫持会导致我们访问了一些不存在的或不稳定的网站的时候，访问到的却是电信114搜索（详见月光博客《断网后互联星空的浏览器劫持》）或访问Google却显示了Baidu的主页（详见月光博客《Google博客搜索摇身一变成百度》）。

　　如果需要确认自己是否处在DNS劫持的环境中，我们可以在Windows命令行cmd中使用Windows自带的网络诊断工具nslookup查找一个不存在或不稳定的域名进行一下网络诊断：

　　C:>nslookup www.SomeRandomDomainName.com

　　Server: ns-pd.online.sh.cn

　　Address: 202.96.209.133

　　Non-authoritative answer:

　　Name: www.SomeRandomDomainName.com

　　Address: 218.83.175.155

　　我们看到，www.SomeRandomDomainName.com本应该是一个不存在的域名，DNS服务器应该告诉我们这个域名不存在，但我们却看到DNS服务器告诉我们这个域名的IP为218.83.175.155（不同地区的114搜索的IP都不同，可能得到的IP并不是218.83.175.155，而是自己所在地区的114搜索的服务器IP地址），而这个IP却是114搜索的IP，导致我们在浏览器中访问这个网站时看到的是114搜索的网页。

　　如果需要解决DNS劫持的问题，可以把自己的域名解析服务器换乘国外的，比如OpenDNS（详见月光博客《使用OpenDNS解决DNS域名劫持》）或Google DNS（详见月光博客《Google推出免费DNS服务》）。

　　解决之后我们再次使用nslookup查找一下这个网站：

　　C:>nslookup www.SomeRandomDomainName.com

　　Server: google-public-dns-a.google.com

　　Address: 8.8.8.8

　　*** google-public-dns-a.google.com can't find www.SomeRandomDomainName.com: Non-existent domain

　　我们看到DNS服务器正确的告诉了我们这个域名不存在，我们不会被劫持到114搜索了。

　　不过，正如《使用OpenDNS解决DNS域名劫持》中最后一段所说的那样，“但是对于DNS污染的劫持，使用OpenDNS也无法解决问题”。那么接下来，我就介绍一下DNS污染。

　　2、DNS污染

　　由于DNS劫持可以通过把域名解析服务器更换为国外的来解决问题，所以系统需要使用DNS污染来封锁一些域名。这样，即使使用国外的域名服务器也得不到服务器的正确IP，所以也就无法访问这些服务器了。比如现在著名的微博客始祖twitter主页就遭到了DNS污染。

　　如果需要确认域名遭到了DNS污染而不是其他的故障，首先要了解，DNS劫持是由国内的域名服务器完成的，所以我们把域名服务器换成国外的就可以解决问题；而DNS污染是由系统完成的，所以即使更换了域名服务器，系统仍旧可以发送伪造的域名解析结果替换正确的解析结果。所以我们可以通过使用一个不存在的国外IP作为我们的域名服务器进行诊断究竟是DNS劫持还是DNS污染。我们仍旧通过使用nslookup进行网络诊断，选一个不存在的国外IP为144.223.234.234：

　　C:>nslookup twitter.com 144.223.234.234

　　DNS request timed out.

　　timeout was 2 seconds.

　　*** Can't find server name for address 144.223.234.234: Timed out

　　Server: UnKnown

　　Address: 144.223.234.234

　　Name: twitter.com

　　Address: 93.46.8.89

　　我们看到，由于144.223.234.234不存在，理应没有任何返回。但我们却得到了一个错误的IP：93.46.8.89。我们再测试一下刚才被DNS劫持的IP的情况：

　　C:>nslookup www.SomeRandomDomainName.com 144.223.234.234

　　DNS request timed out.

　　timeout was 2 seconds.

　　*** Can't find server name for address 144.223.234.234: Timed out

　　Server: UnKnown

　　Address: 144.223.234.234

　　DNS request timed out.

　　timeout was 2 seconds.

　　DNS request timed out.

　　timeout was 2 seconds.

　　*** Request to UnKnown timed-out

　　我们看到，www.SomeRandomDomainName.com 没有返回结果，那么它没有被DNS污染。

　　如果要解决DNS污染，我们只能使用各种加密代理进行远程DNS解析、VPN或利用系统的漏洞了。

　　3、IP封锁

　　这里IP封锁指的是国内把国外服务器的IP加入了系统的黑名单，导致大部分地区甚至全国无法直接访问服务器。由于系统是分布式的，所以有可能出现部分地区可以访问，部分地区不能访问的情况。比如现在知名的云存储服务Dropbox的主页，就是遭到了IP封锁。

　　首先我们把域名服务器设置为国外的，排除了DNS劫持的问题。之后我们诊断一下dropbox的域名是否遭到了DNS污染：

　　C:>nslookup www.dropbox.com 144.223.234.234

　　DNS request timed out.

　　timeout was 2 seconds.

　　*** Can't find server name for address 144.223.234.234: Timed out

　　Server: UnKnown

　　Address: 144.223.234.234

　　DNS request timed out.

　　timeout was 2 seconds.

　　DNS request timed out.

　　timeout was 2 seconds.

　　*** Request to UnKnown timed-out

　　显然也没有遭到DNS污染。那么接下去我们可以在没有过滤ICMP协议的网络环境中（有些小区宽带和有些公司的内部网络过滤了ICMP协议，无法使用tracert），我们可以在Windows命令行cmd中使用Windows自带的网络诊断工具tracert进行一下网络诊断是网站遭到了IP封锁还是其他的故障：

　　C:>tracert -d www.dropbox.com

　　Tracing route to www.dropbox.com [174.36.30.70]

　　over a maximum of 30 hops:

　　1 18 ms 19 ms 26 ms 58.35.240.1

　　2 15 ms 20 ms 29 ms 58.35.240.1

　　3 13 ms 10 ms 14 ms 124.74.20.45

　　4 14 ms 14 ms 15 ms 124.74.209.137

　　5 10 ms 15 ms 14 ms 61.152.86.58

　　6 * * * Request timed out.

　　7 * * * Request timed out.

　　8 * * * Request timed out.

　　 ……

　　我们看到，最后一个IP为61.152.86.58（不同地区的IP不一样），之后就不通了，显然在61.152.86.58附近遭到了IP封锁。那么我们打开ip138查一下61.152.86.58是谁在掌控：

　　您查询的IP:61.152.86.58

　　* 本站主数据：上海市 电信

　　* 参考数据一：上海市 电信

　　* 参考数据二：上海市 电信

　　显然，问题在上海电信这里（其他地区可能是地区的本地电信），而不是dropbox服务器的问题。

　　4、服务器防火墙IP过滤和服务器宕机

　　把这两点放在一起写是因为这两种情况的对外表现是一样的。但和IP封锁却有很大区别。IP封锁的最后一个可达IP是中国的，而服务器防火墙IP过滤和服务器当机时的最后一个可达IP却是国外的。比如我们拿75.101.142.137做试验，之前在上面部署过alexa的网站，现在这个IP上暂时没有服务器（可以看成服务器宕机）：

　　C:>tracert -d 75.101.142.237

　　Tracing route to 75.101.142.237 over a maximum of 30 hops

　　1 25 ms 18 ms 18 ms 58.35.240.1

　　2 25 ms 42 ms 27 ms 58.35.240.1

　　3 10 ms 15 ms 14 ms 124.74.37.9

　　4 49 ms 59 ms 12 ms 124.74.209.129

　　5 14 ms 14 ms 14 ms 61.152.86.142

　　6 10 ms 14 ms 15 ms 202.97.35.154

　　7 14 ms 15 ms 14 ms 202.97.34.126

　　8 194 ms 195 ms 194 ms 202.97.51.138

　　9 171 ms 170 ms 173 ms 202.97.50.54

　　10 215 ms 179 ms 175 ms 63.146.27.133

　　11 279 ms 280 ms 278 ms 67.14.36.6

　　12 * * * Request timed out.

　　13 249 ms 249 ms 244 ms 72.21.199.40

　　14 254 ms 254 ms 254 ms 72.21.222.157

　　15 250 ms 250 ms 249 ms 216.182.232.53

　　16 270 ms 270 ms 273 ms 216.182.224.22

　　17 272 ms 269 ms 289 ms 75.101.160.35

　　18 * * * Request timed out.

　　19 * * * Request timed out.

　　20 * * * Request timed out.

　　我们看到最后一个可达IP为75.101.160.35，然后我们查一下这个IP是谁的呢：

　　您查询的IP:75.101.160.35

　　* 本站主数据：美国

　　* 参考数据一：美国

　　* 参考数据二：美国 华盛顿州金县西雅图市亚马逊公司

　　显然，这个是服务器故障。

　　如果要解决IP封锁，我们只能通过加密代理、VPN或利用系统的漏洞进行访问这些网站了。

　　5、基于关键词的TCP连接重置

　　国内的系统在人们通过http协议访问国外网站时会记录所有的内容，一旦出现某些比较“敏感”的关键词时，就会强制断开TCP连接，记录双方IP并保留一段时间 （1分钟左右），我们的浏览器也就会显示“连接被重置”。之后在这一段时间内（1分钟左右），由于我们和服务器的IP被摄查系统记录，我们就无法再次访问这个网站了。我们必须停止访问这个网站，过了这段时间再次访问没有这些关键词的网页，就又能访问这个网站了。

　　由于这些特征，我们判断是否遭到了基于关键词的TCP连接重置的情况也比较容易。如果浏览器显示“连接被重置”，并且在一段时间内无法再次访问这个网站，之后过了这段时间访问这个网站上没有这些关键词的网页又能访问的时候，我们就是遭到了基于关键词的TCP连接重置的故障。

　　正是因为http协议是明文传输的，所以才能基于关键词进行TCP连接重置。所以如果网站支持https加密访问，我们可以通过https方式访问网站，从而解决这个问题。但如果网站不支持https方式访问，我们只能通过加密代理、VPN或利用系统的漏洞进行访问了。而且国内的系统对付https也不是没有其他手段了。除了IP封锁外，还有无状态的TCP连接重置、SSL证书过滤、SSL劫持等手段，下面进行依次介绍。

　　6、无状态的TCP连接重置

　　由于https是加密传输数据的协议，系统无法知道通过https协议传输了什么内容，但又不允许民众使用https访问“有害信息”，所以系统只要监测到（系统只是知道访问了这个网站的https协议，并不知道其中传输的内容）访问了指定网站的https协议（比如Google Docs的https访问方式），就会强制断开TCP连接。这样，这些网站的https协议在国内就无法直接使用了，很多人被迫使用http协议，从而传输的所有内容被系统所记录。

　　无状态的TCP连接重置的结果也是浏览器显示“连接被重置”，只不过无论访问这个服务器上的任何网页都会被重置。如果要解决这个问题，也只能依靠加密代理、VPN或利用系统的漏洞了。

　　7、SSL证书过滤

　　和无状态的TCP连接重置一样，由于https是加密传输数据的协议，系统无法知道通过https协议传输了什么内容，但又不允许民众使用https访问“有害信息”，除了域名污染和无状态的TCP连接重置防止无法审查内容外，还有SSL证书过滤的审查手段。由于https传输过程中，SSL证书却是明文传输的，所以可以监测SSL证书是否掰发给指定域名的。如果确实如此，那么就强制断开TCP连接，浏览器也会显示“连接被重置”。SSL证书过滤只发生在使用https访问网站的时候。

　　SSL证书过滤的情况比较少。如果需要解决这个问题，也只能依靠加密代理、VPN或利用系统的漏洞了。

　　8、SSL劫持

　　断开https连接虽然能阻止民众访问“有害信息”，但并不知道访问了什么有害信息。基于这一点，针对https的弱点（信任所有证书颁发机构CA），CNNIC申请成为了顶级证书颁发机构（Root CA），从而可以发假证书进行中间人攻击，从而破解https传输的内容。详见月光博客《破解Google Gmail的https新思路》。

　　如果遭到了SSL劫持，很难发现。我们通过https访问国外网站的时候必须每次检查一下证书是否为国内的证书颁发机构颁发。如果为国内的证书颁发机构颁发，那么很可能遭到了SSL劫持，必须马上停止继续访问。

　　如果要解决SSL劫持，我们可以去浏览器中禁止比如CNNIC那样的国内证书颁发机构的证书（比如《CNNIC，我不信任你》）。但这并不能完全解决问题，如果某一天一个不知名的国内证书颁发机构参与了SSL劫持就很难发现。最终我们还需要依赖加密代理或VPN。

　　9、HTTP会话劫持

　　HTTP会话劫持是修改正常的http返回结果，可以在其中加入广告，甚至是病毒木马。而一般上网被http会话劫持加入广告，很有可能认为是网站自己的广告。由于http协议是明文传输的，http会话劫持也就可以做到。月光博客中《电信级的网络弹出广告》、《获取了电信恶意弹出广告的罪证》和《谁控制了我们的浏览器？》也有详细介绍http会话劫持。HTTP会话劫持通常是ISP为了推送广告而实施的，但并不排除这一手段今后会被系统所利用。

　　要解决HTTP会话劫持，月光博客中也提供了一种解决思路——《解除ADSL弹出广告的方法》。使用浏览器插件屏蔽广告能解决部分问题，也不能完全解决问题。如果要从技术手段解决HTTP会话劫持，一种办法是使用加密代理和VPN访问所有的网站，包括国内的，但也不能完全解决问题，如果HTTP会话劫持是在服务器附近的路由器上设置的，这种方法也无法解决；另一种办法是针对不同的HTTP会话劫持，我们通过刷路由器固件的方式再劫持回来（dd-wrt和tomato路由器固件支持自定义，可能可以把HTTP会话再劫持回原来的数据），或者针对不同的HTTP会话劫持，使用不同的本地应用层代理服务器进行广告过滤。

　　在国内常见的人为网络故障都介绍完了，同学们都可以区分不同的故障了并加以解决吗？

　　来源：读者投稿。 作者Twitter：@davidsky2012，作者Google Reader： https://www.google.com/reader/shared/lehui99