问题：使用securecrt通过ssh连接h3c的交换机，发现部分中文生僻字乱码，比如原文“湦元K”中的“湦”字是生僻字，原文显示乱码为“ぴ狵”

分析：securecrt的session设置中appearance的character encoding里选择gb18030编码，关闭securecrt程序后重试，还是乱码。在gb18030编码中查找“湦”字编码是“9ca4”，下一个字“元”编码是“d4aa”，“K”编码为“4b”，编码组合起来是“9ca4d4aa4b”，乱码中“ぴ”编码为“a4d4”，“狵”编码为“aa4b”，组合起来是“a4d4aa4b”，可见编码中“9c”被吞了，反查编码“9c”无结果。说明某个原因导致编码9c没有被识别，导致的乱码。

解决办法：在session设置中发现emulation的terminal默认是xterm，选择linux，重启securecrt即可解决乱码问题。

xterm是最古老的终端模拟，可能是某些原因把不能识别的一些字符编码做了丢弃处理，导致中文生僻字乱码。

批处理脚本一般都是纯文本文件，有些时候不希望使用者看到代码内容，这时候可以考虑封装成exe可执行文件。

封装工具有很多种，最简单的是使用winrar或者7z封装成自解压格式，但是这种方式有些小问题，比如会有解压过程一闪而过等。

其他常用的封装软件有：
bat2exe，其实也是7z的另一种格式，也会有解压过程
quickbfc，国外收费软件
bat to exe convert，好像是德国的开源软件，作者可能钟情ipfs，代码在ipfs上，需要下载编译，可以使用这个工具
其他还有advance bat to exe convert等。

这里以bat to exe convert演示，可以在这里下载

打开bat或者cmd文件，右侧选择图标文件，是否以管理员方式运行等，还可以在版本信息里设置exe文件属性中详细信息里的内容

点击转换就可以生成exe文件了

需求：vpn连接限制了可访问的ip和端口，想要使用windows的远程桌面

思路：
1，修改远程桌面默认3389端口为vpn可访问端口；
2，添加端口转发到远程桌面默认3389端口

实施：
1，使用rdpwrapper修改，或通过注册表修改，略。

2，添加新端口转发到3389端口，并设置防火墙放行新端口
命令如下：
端口转发：

netsh interface portproxy add v4tov4  listenaddress=0.0.0.0 listenport=%newport% connectaddress=127.0.0.1 connectport=3389

防火墙放行：

netsh advfirewall firewall add rule name="Allow VPN Remore Desktop" dir=in protocol=tcp localport=%newport% action=allow

批处理脚本：

@echo off&PUSHD %~DP0 &TITLE VPN可访问远程桌面端口设置
mode con cols=90 lines=30&COLOR f0
fltmc>nul&&(goto :message)||(echo;请以管理员身份运行，按任意键退出 &&goto :end)

:message
cls
echo;本程序需在终端计算机上运行
echo;本程序会将VPN可访问端口映射到远程桌面的3389端口，并添加相应防火墙规则
echo;
echo;按任意键继续，或点击右上角X退出
pause>nul
goto :port3389check


:port3389check
set portnum=3389
for /f "tokens=3 delims=: " %%a in ('netstat -an') do (
if "%%a"=="%portnum%" (goto :input))
echo;&echo 未检测到3389端口，请检查远程桌面服务&echo 按任意键退出&goto :end


:input
cls
echo;请输入您的VPN可访问端口并按回车
set/p userinput=端口：
echo %userinput%|findstr /r /c:"^[0-9][0-9]*$">nul
if errorlevel 1 (echo 请检查您输入的端口，按任意键开始重新输入&pause>nul&goto :input) else (
if %userinput% leq 65535 (if %userinput% geq 10000 (goto :vpnportcheck) else (echo 请检查您输入的端口，按任意键开始重新输入&pause>nul&goto :input) ) else (echo 请检查您输入的端口，按任意键开始重新输入&pause>nul&goto :input))
goto :end

:vpnportcheck
set vpnportnum=%userinput%
for /f "tokens=3 delims=: " %%a in ('netstat -an') do (
if "%%a"=="%vpnportnum%" (echo 检测到您输入的端口已被占用，按任意键退出&goto :end))
goto :portproxy

:portproxy
cls
echo;***步骤1：添加端口映射***
echo;如果360拦截，请选择“允许操作”
netsh interface portproxy add v4tov4  listenaddress=0.0.0.0 listenport=%userinput% connectaddress=127.0.0.1 connectport=3389
echo;
echo;***步骤2：添加防火墙规则***
echo;如果360拦截，请选择“允许操作”
netsh advfirewall firewall add rule name="Allow VPN Remore Desktop" dir=in protocol=tcp localport=%userinput% action=allow >nul
echo;
echo;成功,按任意键退出...
goto :end

:end
pause>nul

脚本说明：
0，github地址：https://github.com/trepwq/proxy-remote-desktop-port-batch
1，使用fltmc检查是否以管理员方式运行
2，检查3389端口是否在监听状态，使用了for循环匹配netstat -an命令结果中3389端口
3，检查输入的新端口是否合规，不能是非整数，不能是数字和其他字符组合，端口有范围，使用了findstr的正则匹配和if大小判断
4，检查新端口是否被占用，原理同2

网络拓扑：

                  InWall Internet
                          |
                          | 
     ikev2 客户端-------路由器-----openvpn mtu1400-----VPS-------OutWall Internet
                          |
                          |
                     ikev2服务器

故障现象：
ios的ikev2客户端打开境内外网站正常
windows的ikev2客户端境内网站正常，不能打开境外https网站，境外http网站大部分资源加载不全

排查：
windows连接vpn后，使用ipip.net查看出口公网ip，发现已经是ikev2 vpn服务器出口ip，ping 境外ip是通的，telnet检查443端口是通，curl测试发现卡在证书协商
据此基本可以确定是mtu引起的问题，使用命令ping -l 1370 -f 境外网址，不断调整包大小，发现最大mtu是1370

解决办法：
连接vpn后，使用命令
netsh interface ipv4 set subinterface "vpn名称" mtu=1350 store=persistent
修改windows ikev2 虚拟网卡mtu为1350
问题解决

总结：
一开始使用的是ios的ikev2客户端，都没有出现问题，查找资料发现苹果系的ikev2客户端默认mtu是1280，苹果选择这个mtu大小还有一个原因是ipv6的最小包大小是1280
ikev2服务器strongswan应该是可以设置mtu的，后续更新。

附：
strongSwan Android client: MTU 1400
MacOS / iOS built-in IPsec client: MTU 1280
Windows built-in IPsec client: MTU 1400
Cisco VPN client: MTU 1300

相关文章链接：
windows使用ikev2遇到的坑，及批处理batch脚本和powershell脚本
使用ping测试路径里设备的mtu
MTU woes in IPsec tunnels and how you can fix it

最近很多朋友尝试在vps或者云服务器上安装ros，由于服务器是公网ip，安全风险很大，在这里写一下安装routeros后的安全设置。如何在云服务器上安装routeros，可以参考 Google Cloud Platform（gcp）谷歌云安装Routeros 和 青云主机安装routeros，附一键安装routeros脚本

routeros安装完成首次启动是没有密码的，并且所有管理端口是开放的，也就是说，任何人只要先于你设置了密码，你就失去了控制权。

如果你是公有云（如阿里云，谷歌gcp等）的ecs上安装的话，先要设置安全组或者防火墙只允许自己宽带的公网ip访问，这样可以最大限度保证自己能在第一时间设置密码。如果是普通idc的vps的话，只能加快手速了。

1，使用webfig或者winbox登陆到routeros后，第一件事就是设置密码，路径是/webfig/#System:Password

2，关闭不需要的管理端口，路径是/webfig/#IP:Services，这里建议关闭除winbox和www的所有服务，并把开放的服务修改成其他端口号

3，修改管理员账号，/webfig/#System:Users，新建管理员，记得group选full取得所有权限，使用新管理员账号登陆routeros后禁用admin账号，避免输错管理员账号密码把自己关在外面

4，配置完其他后，记得在防火墙关闭公网dns查询，/webfig/#IP:Firewall.Filter_Rules.new，chain选input，protocol选udp，dst.port写53，in.interface选你的公网接口如ether1，最后action选drop。这样就能防止你的routeros被用来做ddos的放大攻击工具攻击别人，防止云服务商或者idc因为你的攻击行为（尽管非你本意）关闭你的服务器。