Blog

apt-get update
apt-get –y install gcc
apt-get –y install build-essential
apt-get –y install zlib1g-dev
apt-get –y install libssl-dev

wget -O ofcssh.tar.gz https://github.com/brl/obfuscated-openssh/tarball/master #下载安装包
tar zxvf ofcssh.tar.gz
cd brl-obfuscated-openssh-ca93a2c
./configure
make
make install
#如果没有错误发生，你将能看到:
#SSH进程在    /usr/local/sbin/sshd
#ssh客户端在  /usr/local/bin/ssh
#配置文件放在 /usr/local/etc

1. 假设你将22端口作为SSH的默认端口
2. 我们将在常规的SSH进程之后安装一个新的obfuscated SSH
3. 我们将分配1234作为新的obfuscated ssh 进程的新端口

mv /usr/local/sbin/sshd /usr/sbin/sshd_ofc
cp /etc/ssh/sshd_config /etc/ssh/sshd_ofc_config       #新建一个SSH服务和配置文件
sed -i "s/Port /#Port /g"  /etc/ssh/sshd_ofc_config    #端口22被常规SSH服务占用，所以端口选项不需要了，在前面加"#"
sed -i "s/UsePAM /#UsePAM /g" /etc/ssh/sshd_ofc_config #因为obfuscated-openssh不支持UsePAM选项，所以也将其关掉
echo "ObfuscatedPort 1234" >> /etc/ssh/sshd_ofc_config
echo "ObfuscateKeyword yourkeyword" >> /etc/ssh/sshd_ofc_config
  #在配置文件中增加obfuscated ssh的端口和密钥设置
  #“1234”和“yourkeyword”都是可以自定义设置的
  #注意“ObfuscatedPort 1234”将监听VPS上所有的端口
  #如果你希望只监听一个固定的IP地址，你可以加上这个：
  #echo "ListenAddress x.x.x.x" >> /etc/ssh/sshd_ofc_config
  #(将 x.x.x.x 替换成你所需要的IP地址)

  /usr/sbin/sshd_ofc -f /etc/ssh/sshd_ofc_config
  #如果一切顺利，请运行“netstat -an”命令，你将会看到：
  #sshd_ofc服务正在使用1234端口

  echo "/usr/sbin/sshd_ofc -f /etc/ssh/sshd_ofc_config" > /etc/init.d/ssh_ofc
  chmod +x /etc/init.d/ssh_ofc
  ln -s /etc/init.d/ssh_ofc /etc/rcS.d/S42ssh_ofc

但自2012年十八大召开以来，GFW大幅度升级，几种重要的翻墙手段均被屏蔽，无论是pptp，l2tp的vpn还是openvpn，甚至连ipv6的翻墙方法都被屏蔽掉。 我给朋友们在VPS上建的一个vpn服务器亦难逃劫难，此时我不得不开始寻找更新的以及更稳定的翻墙方法。 在这里，请我荣幸的再次问候一下方校长的母亲及其全家，你们养育了一个好孙子。

通过尝试各种方法后居然发现自己最早使用的SSH代理是比较稳定的翻墙方法，可谓绕了一大圈之后又回到了起点，SSH代理虽然没有VPN翻墙的速度快，但它所具备几个优势却是无可比拟的：

• SSH可以通过浏览器插件导入规则，将国内无需翻墙的网站分开浏览，只让那些被GFW屏蔽的网站通过代理访问，能有效的提高浏览的效率和质量；而VPN作为全局代理，如果要实现上述功能需要进行复杂的路由设置；
• 不像openvpn或者ipv6等技术需要进行复杂的设置，让一些不具备网络技术以及linux命令的新手也能快速入门使用；
• 获得SSH的渠道非常多，购买虚拟主机或者VPS之后就可以通过SSH实现翻墙，同时，免费帐号也很多，渠道广泛。

不过他的缺点也是同样存在的：

• SSH速度不如VPN快，而且也存在经常掉线的问题；
• SSH能基本满足PC，Mac等各平台的电脑翻墙应用，但手机上使用则不如VPN广泛，就目前市场占有量最大的两大手机平台IOS和Android来说，前者目前是无法使用SSH的，广大的iphone和ipad用户悲剧，而基于Linux平台的android手机要使用SSH则必须要获得root权限，这对于女生和一些小白来说又是一个麻烦的事情。
• 不像无界、自由门等免费的翻墙代理，SSH要想获得良好的翻墙体验，需要租赁虚拟主机或者VPS才可以达到，会产生一定的费用，虽然金额很小，但各位可以清楚的看到对于目前没有这方面的消费意识的国人还是极难接受的。

总而言之，目前SSH代理是目前最成熟也是最稳定的翻墙方法，但会不会随着方校长专业知识的不断精进，GFW会不会也不断升级，“道高一尺、魔高一丈”开始屏蔽SSH，引入白名单，甚至有朝一日真的砍断海底光缆，建立大中华局域网呢？目前仍不得而知，但我相信没有任何东西可以阻挡对于自由之光的追寻以及无限知识的渴求和欲望。

网上关于SSH代理的文章不胜枚举，我也不再占用篇幅大量复述，但大多数都是基于FireFox浏览器的，而我除了在使用办公OA网站以及网银的时候已经全面转向速度更快，占用内存更小的chrome浏览器。
大部分的文章都介绍的是用proxyswitchy！这款Chrome浏览器插件配合MyEntunnel使用，安装之后导入规则却发现twitter、youtube和facebook网站无法浏览，起初以为是Chrome不支持远程DNS解析的原因，但后来查阅月光博客的一篇文章时发现Chrome早已支持。后来无意中发现了Switchysharp这款Chrome插件，也可以浏览它的google project网站; 并顺利的解决了上述问题，并成功导入了在线规则： http://autoproxy-gfwlist.googlecode.com/svn/trunk/gfwlist.txt

具体的使用方法和proxyswitchy一致，详细内容可以自己百度，如果有问题可以留言。

最后，我在这里提供一个免费的香港ip（北京联通ping值只有70ms）的SSH帐号免费供各位试用，该帐号使用的截至日期是2013年3月17日，如有兴趣的请发送邮件到cbuntu@gmail.com。E

• 3月11日中午吃完饭还是像往常一样通过SSH翻墙浏览网站，发现状态栏脚上的 MyEnTunnel 不断报错，重启浏览器和电脑无效，使用Ｐutty登录也报错 “network error：timeout” ，当时以为是公司的防火墙升级后屏蔽（因为公司路由规则是屏蔽购物和社交网站的），将无线网切换到中国联通的免费wifi（地处 CBD 国贸，信号满格）依然无法登陆，但ping是正常的，发现问题严重，开始搜索解决办法。
• 发现使用 telnet IP 22 命令也无法登录，关掉Winodows自带的防火墙以及在控制面板-服务中启动了telnet服务依然无法登陆 putty，这时候开始怀疑是否是 GFW 屏蔽了SSH的22端口。
• 上 weibo 搜索果然如此，从3月初起，GFW在全面封杀vpn服务后再度升级，GFW深度包检测发现SSH端口有除了正常登录以外的大量 TCP 转发之后就会封掉端口，导致大量的 linode 美国以及日本机房的SSH服务的22端口被GFW屏蔽，Weibo 上不少人建议更改端口应对上述问题。

以Linode的主机为例，因为无法通过 SSH 连接 VPS ，只能通过 Linode shell （Lish）登录系统，Lish的具体使用方法详见： http://library.linode.com/troubleshooting/using-lish-the-linode-shell Mac或者Linux主机可以直接键入命令登录：

ssh [lish-username]@[host-id].linode.com 

windows用户还是通过putty客户端登录：

用户名需要填写为Linode的console access中的“lish via ssh”，对应填入密码，保持原有端口不变（默认22）；

登录后修改sshd配置文件中的内容SSH端口：

sudo nano /etc/ssh/sshd_config

将其中的Port 22 更换为其他自定义端口，然后重启SSH服务：

sudo /etc/init.d/ssh restart

再将Putty、MyEnTunnel等客户端的端口改成相应的就可以顺利登录了。

不过许多网友都说更换端口也是权宜之计，许多更换了端口的朋友再次被屏蔽，更换端口后我发现掉线的几率明显增大，也不知道能撑几天，如果再次被屏蔽，估计我只能向Linode客服发ticket申请更换IP地址了。

生命不止　翻墙不息。E

我将端口更改后当天晚上在用SSH代理翻墙的时候就发现MyEnTunnel不断掉线，用Putty登录再度告知失败，明白GFW将新端口也封杀掉了，立即用Lish登录Linode VPS更改新的端口，依然无效，同时发现VPS的IP无法访问，Ping命令失败，这一下不仅仅是SSH无法登陆的问题，整个网站都无法访问了。

赶紧给Linode的客服发 Ticket，客服让我提供主机到本地的双向MTR的网络诊断报告，五分钟后客服给了一个新的 IP，我更换后重启主机，发现还是 Ping 不通，继续找客服；客服无奈的回复：今晚日本机房大面积出现问题，建议我更换新的机房。

考虑到中日紧张的关系以及 GFW 对 Tokyo 机房越来越严苛的管控，我将机房签到了 Fremont 机房，它位于米国加州，毗邻太平洋，从地理位置上看，无疑是兲朝访问速度最快的机房了，登录域名服务商，更改了域名解析，一切又恢复正常，速度也还差强人意。

逃避不是办法，如果继续 SSH 代理翻墙，很快就会重蹈 Tokyo 机房的覆辙，于是我还是乖乖的让 22 不要跑其他流量了，于是又开始寻找其他翻墙的方法。

如果说目前还有什么较完美的免费翻墙工具，个人认为Goagent应该算是了，网站地址如下：

里面有详细的安装和使用说明，按图索骥，整个过程还是十分简单的。

经过测试，速度和SSH不相上下，也可以使用我在《目前最稳定的翻墙组合chome+Myentunnel+Switchysharp》中使用浏览器插件组合，通过名单机制有效的提高浏览效率，也推荐给各位朋友。

但Goagent在翻越公司防火墙的时候却表现出来了苍白无力，部分网页无论如何更改设置都无法正常浏览。

我又想起了SSH代理，正好此时一位朋友留言建议我使用Obfuscated-openssh方式登录SSH，否则就是逃到大洋彼岸也会被再次封杀，于是我又开始了漫漫翻墙路

要使用新的方法，首先要弄清楚为何高度加密的SSH链接方式为何还会被GFW封杀呢？下面应该解释的比较清楚：

（图片来源：http://www.goleng.com/?p=665）

很明显，要躲避GFW对SSH协议的封杀，最重要的是对客户端和服务器端进行handshake握手的过程进行加密，使得GFW无法甄别SSH协议连接来达到翻墙的目的。

既然弄清了封杀的原理，就很好理解Obfuscated-openssh工作的机制了，下面我们就来看一下如何在虚拟主机上配置 SSH 的混淆加密，详见《用Obfuscated-OpenSSH解决SSH代理屏蔽的问题（中》。