使用AWS CodeDeploy的几点注意事项

AWS CodeDeploy是亚马逊云计算提供的服务之一，用来将代码更容易地部署到EC2实例或私有云实例中。

它能够根据用户配置，从S3或Github上获取最新代码，并按照用户提供的appspec.yml配置文件，在不同的hook事件阶段执行不同的脚本文件，从而使代码部署过程自动化。

比如你可将多个EC2实例分为Dev，QA，PRD三组，通过结合CodeDeploy和其他CI工具(如Jenkins），自动化完成持续交付（部署到Dev/QA实例上），持续部署（部署到PRD实例上）的任务。

在使用CodeDeploy的过程中，有以下几点事项需要注意：

• 所有EC2实例上必须安装CodeDeploy Agent服务，EC2实例之所以会响应CodeDeploy服务，都是由CodeDeploy Agent来完成工作的。
• 默认CodeDeploy Agent是通过root用户安装的，所以appspec.yml中执行脚本时，默认是以root用户身份执行。而我们的代码中用到了PM2，执行PM2命令（如pm2 start）时，需要在appspec.yml中指定以ec2-user用户执行脚本，否则相关命令执行时，会导致EC2实例cpu持续占用100%，最终导致超时而部署失败。
• sudo: sorry, you must have a tty to run sudo问题。在sh脚本中，如有需要sudo执行的命令，则需在所有EC2实例的/etc/sudoers文件中，注释掉“Default requiretty”一行。
• /bin/bash^M: bad interpreter: No such file or directory问题。这是因为在windows操作系统上修改了.sh文件，导致文件末行编码不同，而在linux机器上无法执行。解决办法是在linux机器上重新保存该文件，或在windows上用sublime打开该文件，View->Line Endings->选择Unix，保存即可。

Amazon EC2上通过NFS共享目录的注意事项

背景：拟在Amazon EC2上部署nodejs应用集群。假设nodejs部署在A和B两台机器上，通过前端的ELB（Elastic Load Balancer）分发请求到A和B机器上，两台机器分别对请求做无状态响应，这样就要求A和B机器存取完全相同的数据。由于nodejs应用需要读写本地硬盘目录（对响应速度要求高，无法采用S3存储），而Amazon目前提供的存储方案中，只有EBS（Elastic Block Storage）存储可以挂载到具体机器上以提供本地路径，所以只能选取EBS作为应用集群的存储位置。但EBS类似SAN，只能挂载到一个EC2实例机器中，如果直接挂到A或B上的话，另一台机器就无法读取其中数据。所以采用的方案是启动第三个EC2实例机器C，将EBS挂载到C机器上后，该机作为NFS服务器共享EBS的挂载目录，A和B机器作为NFS客户端，分别加载共享出来的EBS路径到各自对应目录，从而保证nodejs集群能够实时读写相同的数据。如下图所示：

问题：在C机器上挂在EBS存储卷后，修改/etc/exports文件设置了NFS共享，并且有rw, no_root_squash选项。但在A机器和B机器上通过修改/etc/fstab文件并mount -a后，发现能够加载C机器上的EBS存储到指定目录，但写入文件时提示无权限。

解决办法：确保C机器（NFS服务器）上，EBS挂载路径的所有者，与A和B机器（NFS客户端）上准备写入数据的用户要拥有相同的UID和GID。具体来说，这三台机器都是从Amazon Linux的AMI启动的，所以默认用户都是ec2-user（非root用户）。C机器上EBS挂载点是/data，一开始该目录的所有者和组均为root（因为在根目录下建立目录需要root权限），所以导致在A和B机器上加载该共享目录后，加载目录的所有者和组也均为root用户。这样A和B机器上运行nodejs的ec2-user用户就无法写入数据了。解决的具体办法是在C机器上运行”sudo chmod –R ec2-suer:ec2-user /data”命令后，在A，B机器上重新加载NFS共享目录即可。

参考：How to properly set permissions for NFS folder? Permission denied on mounting end.

目前Amazon EC2上推出了公测版的EFS（Elastic File System）存储，类似NAS，在可以提供本地存储路径的前提下，还可以挂载到多台EC2实例上。但目前只有US West(Oregon)一个区域可用。在EFS全面推出前，采用上述方案，可保证应用集群横向扩展的情况下，依然能存取相同的数据。缺点是C机器是单故障点；但数据存储在单独的EBS上，至少保证数据的生命周期不依赖具体的EC2实例机器。

北京联通，DigitalOcean和Shadowsocks

最近家里宽带换成了北京联通20M，相比之前的宽带通，质量确实高了不少，国外网站和公司vpn的速度明显快了很多。但比较奇怪的是自己搭在DigitalOcean上的Shadowsocks速度没有太大提升，有时反而还不如以前。

首先公司网络里测试Shadowsocks的时候速度比较理想，也非常稳定，说明不是DigitalOcean的问题；自己家里上国外网站速度明显快了不少，而且只要能访问的网站速度都比较快，说明北京联通也没有问题。那问题只可能是北京联通与DigitalOcean之间水土不服了。

之前自己的vps一直放在DigitalOcean的旧金山机房，因为国内这个机房的口碑普遍比较好。但在家里打开newnaw.com和自己博客的时候也能感觉到速度不如以前了，难道是联通到这个机房度的问题？ping了一下DigitalOcean在旧金山的测速页面：

11%丢包率，平均响应也都在310ms以上……感觉联通到旧金山机房确实有问题，看看其他的机房吧。DigitalOcean去年在亚洲开通了新加坡机房，但之前就看到过，据说到国内的速度不稳定，还不如其他机房。抱着试试看的心态，也ping了一下新加坡的测速页面：

平均响应时间172ms，快了几乎一倍。立刻去新建了一个vps，机房选择新加坡，之后上面部署了Shadowsocks测试了一下速度，youtube的4k视频都可以流畅观看了，有点小感动…

测试后发现Shadowsocks的速度比较稳定，于是就在DigitalOcean上创建snapshot，转移之到新加坡机房，重建vps…整个操作很简单，DigitalOcean便利性还是很好的。

后来又用traceroute试了一下新加坡机房的测试页面，发现并不像网上所说，会先绕去北美一圈，然后才到新加坡，而是直接从日本到了新加坡：

那单从传输距离来说，新加坡明显还是比旧金山近很多，也就解释了为什么新加坡机房速度会比较快了。

Shadowsocks是国内的clowwindy写的工具，在goagent沦陷，ssh速度偏慢的情况下确实给大家带来了非常大的便利。前两天中文维基百科也不能愉快地从国内访问了，借网络上一张图看看，世界前30的网站我们还能上几个……希望这已经是最坏的时候了。

从Internet访问没有外网ip的NAS服务器的解决办法

　　最近家里买了一台NAS服务器，用来完成多项任务，比如存储和管理大量的照片，用做24小时离线下载机器等。但其中NAS比较吸引我的一个功能是，能够随时随地从外网访问家里NAS机器上的数据，并且能够在外地游玩的时候，把照片通过互联网随时传到家里的NAS机器上备份并腾出设备空间继续拍照。
　　这样做的前提是你的路由器得有一个外网ip。有了外网ip后，可通过设置路由器的端口转发，再设置一个DDNS域名就可随时访问家里的NAS了。但恰好自己使用的网络是鹏博士集团下的一家公司（宽带通，长城宽带都是），恰好他们以转卖二手带宽，不给拨号用户外网ip而著称。他们给你的拨号ip实际是经过多层NAT转发的一个大局域网ip。为了实现目的，必须解决所谓的NAT穿透/NAT打洞/内网穿透问题。
　　一开始搜到了花生壳，最近刚好除了内网版，号称可以实现没有公网ip的情况下访问你的内网设备。测试了一下果然可以，但需要交年费，并且限制流量，要想用更多的流量就得交更多的钱，弃用之。
　　最后找到了ssh的反向端口转发（reverse port forwarding）功能，这是常被忽略但是非常强大的一个用途。原理是在本地机器的端口和远程机器的端口建立映射关系，这样访问远程机器指定端口时，所有请求都会被加密并传输到本地机器的端口上，本地机器响应后将结果在转发回远程机器的端口，整个过程看起来就像远程机器做出响应一样，强大之处是远程机器可以直接绕过防火墙和各种NAT转发，准确找到你的内网机器。
　　具体做法很简单，只需要一个命令：
　　ssh -NfR <remote port>:localhost:<local port> remoteuser@remoteserver
　　其中remote port是要接受请求的远程机器端口，local port是要做出响应的本地机器的端口， remoteserver是远程机器的地址，remoteuser是负责转发的具体用户。比如家里的NAS端口是8080，你的vps外网地址1.2.3.4，那么可以通过在你的NAS上执行ssh –NfR 8888:localhost:8080 user1@1.2.3.4命令后，访问vps的8888端口来访问家里的NAS机器了。
　　几个需要注意的问题：1. 需要设置远程机器ssh配置文件中的GatewayPorts参数来达到允许任意地址机器来使用这个转发规则的目的，  否则上述命令只允许在远程机器本机上的请求通过，centos上操作见此；2. 该命令执行后，如果一段时间内没有请求被转发，则ssh反向连接会自动断开，这时候就需要autossh之类的工具来维持这个连接（实时监测，断开后自动重连），具体使用方法可以搜到很多例子；3. ssh通过autossh自动重连时不可能每次都手动输入用户密码，所以需要改用key authentication的方式连接（将本地机器的用户公钥添加到远程机器用户的~/.ssh/authorized_keys文件中）。
　　虽然鹏博士的实际出口网速很慢，但在大局域网下迅雷下载能满10M/s，可在线看1080p视频，性价比还是挺高的，明年不用换高价的宽带了。。。
　　PS: 此方法可用于其他场景，比如回家后远程访问公司机器上的资料，给外网客户演示公司内网机器上的demo等。
　　参考资料：

• Bypassing corporate firewall with reverse ssh port forwarding
• 实战 SSH 端口转发

Nexus 7电池充电慢耗电快的解决办法

最近发现前两年买的Nexus 7一代出现了充电非常慢（充满电整个需要10个小时以上），并且充满后使用耗电超快的问题，以为是电池寿命到了，想看看别人是怎么解决的，最后在youtube上找到一个解决办法，测试后确实解决了电池问题，电池又和新的差不多了。
解决办法就是：在充电的时候，把充电器一头的usb线（usb线两头中大头的那一边）反复插拔若干次。看起来很奇怪，但确实解决了此问题。