Lixx

`.org` 域名从 2026 年 6 月 1 日起涨价

Wed, 20 May 2026 11:30:00 +0000

Spaceship

根据 Spaceship 发送给用户的邮件显示，从 2026 年 6 月 1 日起，.org 域名的注册、续费、转移价格从之前的 $9.80 变为 $11.39

💡 提示

Spaceship 的价格不包含 $0.20 / year 的 ICANN fee

Types	Previously Pricing	New Pricing	Changes
registrations / reactivations / renewals / transfers	$9.80	$11.39	+1.59

Cloudflare

根据 Cloudflare 控制台的域名注册页面和域名续费页面显示，从 2026 年 6 月 1 日起，.ORG 域名的注册价格从 $7.50 变为 $8.50 , 域名的转移/续费价格从 $10.13 变为 $11.20

Types	Previously Pricing	New Pricing	Changes
Registration	$7.50	$8.50	+1.00
Renewal / Transfer	$10.13	$11.20	+1.07

无须 Grub2, 使用 EFIStub 直接通过 UEFI 启动 Debian

Sun, 01 Jun 2025 09:35:21 +0000

默认情况下，Debian 的启动过程分为主板启动 Grub2, 再由 Grub2 启动 Linux 两部分。

然而从 Debian Wheezy 起，Debian Linux 内核包含了一个自己的 BootLoader 叫作 EFI stub （或者叫作 EFI boot stub ）。因此可以从 UEFI 直接启动内核，而不需要额外的 bootloader 例如 Grub2.

要实现以上所述，需要进行一些设置，大致可以分为以下两步：

复制 kernel 和 initrd 到 EFI 分区
创建 UEFI 启动条目

复制 kernel 和 initrd 到 EFI 分区

根据 EFIStub - Debian Wiki ， UEFI 启动只能从 EFI 分区加载文件。因此需要将内核文件和 initrd 文件放置到 EFI 分区。

使用 lsblk 查看分区挂载情况：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


$ lsblk

NAME MAJ:MIN RM SIZE RO TYPE MOUNTPOINTS
...
nvme0n1 259:0 0 476.9G 0 disk
|-nvme0n1p1 259:1 0 976M 0 part /boot/efi
|-nvme0n1p2 259:2 0 977M 0 part /boot
`-nvme0n1p3 259:3 0 475G 0 part
 |-Debian-root 254:0 0 31.3G 0 lvm /
...

手动复制内核和 initrd

默认情况下，Debian 的内核和 initrd 文件位于 Boot 分区，即 /boot/ 下，如：

1
2
3
4


$ ls -Alhs /boot/{vmlinuz,initrd}*

45M -rw-r--r-- 1 root root 45M Dec 31 03:37 /boot/initrd.img-6.12.63+deb13-amd64
12M -rw-r--r-- 1 root root 12M Dec 31 03:37 /boot/vmlinuz-6.12.63+deb13-amd64

复制内核文件

1

sudo cp --verbose "/boot/vmlinuz-$(uname -r)" /boot/efi/EFI/debian/vmlinuz.efi

复制 initrd 文件

1

sudo cp --verbose "/boot/initrd.img-$(uname -r)" /boot/efi/EFI/debian/initrd.img

自动复制内核和 initrd

自动化复制内核

创建文件 /etc/kernel/postinst.d/zz-update-efistub

`1`	`sudo nano /etc/kernel/postinst.d/zz-update-efistub`

填入内容：

1
2
3
4


#!/bin/bash
set -e

cp --verbose "$2" /boot/efi/EFI/debian/vmlinuz.efi

授予执行权限：

`1`	`sudo chmod +x /etc/kernel/postinst.d/zz-update-efistub`

自动化复制 initrd

创建文件 /etc/initramfs/post-update.d/zz-update-efistub

1
2


sudo mkdir -p /etc/initramfs/post-update.d/
sudo nano /etc/initramfs/post-update.d/zz-update-efistub

填入内容：

1
2
3
4


#!/bin/bash
set -e

cp --verbose "$2" /boot/efi/EFI/debian/initrd.img

授予执行权限：

`1`	`sudo chmod +x /etc/initramfs/post-update.d/zz-update-efistub`

警告
根据 EFIStub - Debian Wiki ，以上脚本会在每一个 kernel 或 initrd 更新时被执行，根据更新操作的顺序可能会导致复制错误版本的文件到 EFI 分区，可能无法正常启动系统。因此建议保留其他启动手段如 Grub2 或 rEFInd 作为备用。

测试脚本是否正常运行

执行：

1

sudo dpkg-reconfigure linux-image-$(uname -r)

从输出的日志中，可以看到前面创建的脚本被运行，内核文件和 initrd 文件被复制到 EFI 分区。

1
2
3
4


update-initramfs: Generating /boot/initrd.img-6.12.63+deb13-amd64
'/boot/initrd.img-6.12.63+deb13-amd64' -> '/boot/efi/EFI/debian/initrd.img'
/etc/kernel/postinst.d/zz-update-efistub:
'/boot/vmlinuz-6.12.63+deb13-amd64' -> '/boot/efi/EFI/debian/vmlinuz.efi'

创建 UEFI 启动条目

本文使用 efibootmgr 为例创建 UEFI 条目，使用其他工具或方法也是可行的。

使用 efibootmgr 创建 UEFI 启动条目，如：

1
2
3
4
5


sudo efibootmgr --create \
 --disk /dev/sdX --part YY \
 --label "LABEL_NAME" \
 --loader /EFI/debian/vmlinuz.efi \
 --unicode "root=BLOCK_DEVICE_IDENTIFIER ro quiet initrd=\\EFI\\debian\\initrd.img"

--disk 指定硬盘设备。
--part 指定硬盘第几个分区为 EFI 分区。
--label 指定自己喜欢的名字，会显示在主板开机启动项菜单中。
BLOCK_DEVICE_IDENTIFIER 填写系统根目录 / 所在分区的标识符，一般是 UUID=******* 的形式。可以通过 lsblk -f 或者 blkid 查询。也可以参照 Grub2 的配置文件进行设置 sudo cat /boot/grub/grub.cfg | grep -i 'root='

该命令在不指定 --index 参数的情况下，创建的条目将会被放在启动顺序 0 的位置, 即开机时第一个启动。

示例

以我的电脑为例，我的硬盘为 /dev/nvme0n1, 第 1 个分区为 EFI 分区。因为我将根分区安装在 LVM 中，参考 Grub2 的配置文件写作 root=/dev/mapper/Debian-root

1
2
3
4
5


$ sudo cat /boot/grub/grub.cfg | grep -i 'root='

...
 linux /vmlinuz-6.12.63+deb13-amd64 root=/dev/mapper/Debian-root ro quiet
...

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


$ sudo efibootmgr --create \
 --disk /dev/nvme0n1 --part 1 \
 --label "Debian EFIstub" \
 --loader /EFI/debian/vmlinuz.efi \
 --unicode "root=/dev/mapper/Debian-root ro quiet initrd=\\EFI\\debian\\initrd.img"

BootCurrent: 0000
Timeout: 2 seconds
BootOrder: 0000,0002,0010,0011,0012,0013,0018,0019,001A,0017,0016,001B
Boot0002* debian HD(1,GPT,c7bzfazx-bap4-q7ch-bd3m-bucyj939s4hq,0x800,0x1e8000)/File(\EFI\debian\shimx64.efi)
...
Boot0000* Debian EFIstub HD(1,GPT,c7bzfazx-bap4-q7ch-bd3m-bucyj939s4hq,0x800,0x1e8000)/File(\EFI\debian\vmlinuz.efi)root=/dev/mapper/Debian-root ro quiet initrd=EFI\debian\initrd.img

可以看到新增了一个 Boot0000 的条目，名为 Debian EFIstub 。

而 Boot0002 debian 是原有 Grub2 的 UEFI 启动条目。

测试

完成以上设置后，正常情况下，重启电脑，成功通过 UEFI 直接启动 Debian，而无须经由 Grub2 启动。

提示

根据 EFIStub - Debian Wiki 和 EFI boot stub CONs 的建议，最好保留例如 Grub2 这样 bootloader 以避免意外情况下无法启动系统。

有关 `efibootmgr`

显示所有 UEFI 启动条目

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


$ sudo efibootmgr -u

BootCurrent: 0000
Timeout: 2 seconds
BootOrder: 0000,0002,0010,0011,0012,0013,0018,0019,001A,0017,0016,001B
Boot0000* Debian EFIstub HD(1,GPT,c7bzfazx-bap4-q7ch-bd3m-bucyj939s4hq,0x800,0x1e8000)/File(\EFI\debian\vmlinuz.efi)root=/dev/mapper/Debian-root ro quiet initrd=EFI\debian\initrd.img
Boot0002* debian HD(1,GPT,c7bzfazx-bap4-q7ch-bd3m-bucyj939s4hq,0x800,0x1e8000)/File(\EFI\debian\shimx64.efi)
...
...
...

删除 UEFI 启动条目

本文写作时，efibootmgr 没有编辑条目的功能，但可以删除指定条目：

`1`	`sudo efibootmgr --delete-bootnum --bootnum YYYY`

批量删除所有名为 Debian EFIstub 的条目：

1

sudo efibootmgr | grep 'Debian EFIstub' | awk -F'Boot' '{print substr($2, 1, 4)}' | xargs -I {} sudo efibootmgr --delete-bootnum --bootnum {}

参考

PVE 配置 bonding 聚合网卡

Mon, 05 May 2025 10:30:49 +0000

我的需求是聚合有线网卡和 Wi-Fi 无线网卡。问了 AI ，AI 说不行。

我之前在 armbian 上用 netplan 进行过配置和尝试，结果是可行的。

以我的机器为例，我的有线网卡接口名为 eth0, 无线网卡接口名是 wlan0. 新建的聚合接口名会是 bond0.

系统信息

1
2
3


$ uname -a

Linux armbian 6.1.159-happy-new-year #1 SMP Wed Dec 31 14:07:28 UTC 2025 aarch64 GNU/Linux

加载 bonding 模块

1
2
3


sudo modprobe bonding
lsmod | grep bonding
echo "bonding" >> /etc/modules

interfaces 设置

`eth0` 设置

armbian 安装 pve 后，eth0 就已经变成 manual. 无须修改。

# /etc/network/interfaces

auto eth0
iface eth0 inet manual

`wlan0` 设置

添加 wlan0 的设置。

# /etc/network/interfaces

auto wlan0
iface wlan0 inet manual
 wpa-ssid "wifissidqwe123"
 wpa-psk "wifipskasdzxc"
 metric 666

`bond0` 设置

添加 bond0 的设置。

bond-slaves 填写被聚合网卡接口名。
bond-mode 填写 bond 模式。我需要的是 active-backup，因为我这个无线网卡有问题，只有 2.4Ghz，速度慢，还会断流、会丢包，仅作为备用。
bond-primary 填写主要接口，即流量优先从这个口传输。

# /etc/network/interfaces

auto bond0
iface bond0 inet manual
 bond-slaves eth0 wlan0
 bond-miimon 100
 bond-mode active-backup
 bond-primary eth0

`vmbr0` 设置

vmbr0 是 pve 默认的虚拟网桥，默认使用 eth0 作为网桥接口。这里改成我需要的 bond0.

1
2
3
4
5
6


# /etc/network/interfaces

auto vmbr0
iface vmbr0 inet static
- bridge-ports eth0
+ bridge-ports bond0

完整的 interfaces 配置

仅供参考，不要直接复制粘贴。

警告

谨慎设置，小心失联！

# /etc/network/interfaces

# network interface settings; autogenerated
# Please do NOT modify this file directly, unless you know what
# you're doing.
#
# If you want to manage parts of the network configuration manually,
# please utilize the 'source' or 'source-directory' directives to do
# so.
# PVE will preserve these directives, but will NOT read its network
# configuration from sourced files, so do not attempt to move any of
# the PVE managed interfaces into external files!

auto lo
iface lo inet loopback

auto eth0
iface eth0 inet manual

auto wlan0
iface wlan0 inet manual
 wpa-ssid "wifissidqwe123"
 wpa-psk "wifipskasdzxc"
 metric 666

auto bond0
iface bond0 inet manual
 bond-slaves eth0 wlan0
 bond-miimon 100
 bond-mode active-backup
 bond-primary eth0

auto vmbr0
iface vmbr0 inet static
 address 192.168.666.555/24
 gateway 192.168.666.1
 dns-nameservers 192.168.666.1
 bridge-ports bond0
 bridge-stp off
 bridge-fd 0
 hwaddress ether 84:c6:4d:ef:12:47

应用设置

我的设备没有显示接口，为了防止意外，我插了额外的一张 USB 无线网卡并配置好联网，以免失联。

在确保安全的前提下，重启 pve 主机。

不出意外的话应该不出意外。我的 pve 主机重启后可以正常联网，在我的 openwrt 路由器上可以看到 pve 主机对应的 lan 口处于启用状态， pve 主机也连接到 Wi-Fi 网络中。

测试

测试 bond 是否能够正常切换网卡，可以使用另一台设备持续 ping pve 主机，如：

ping -i 1 -W 1 192.168.666.555
ping -i 1 -W 1 192.168.666.555 -A

然后插、拔网线，查看 pve 主机是否有回应 ping。

例如：

我在 seq=10 时，断开了 pve 主机网线，随即看到 ping 的回应停顿了一下，随后延迟变大。

在 seq=20 左右，重新插上了网线，ping 回应没有停顿，过了一会，延迟变小。

通常来说，无线网卡的延迟大于有线网卡。因此在我的这个案例中，借助 ping 工具即可简单地观测 bond 网卡的切换情况。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33


$ ping -i 1 -W 1 192.168.666.555

PING 192.168.666.555 (192.168.666.555): 56 data bytes
64 bytes from 192.168.666.555: seq=0 ttl=64 time=1.187 ms
64 bytes from 192.168.666.555: seq=1 ttl=64 time=0.816 ms
64 bytes from 192.168.666.555: seq=2 ttl=64 time=0.897 ms
64 bytes from 192.168.666.555: seq=3 ttl=64 time=0.928 ms
64 bytes from 192.168.666.555: seq=4 ttl=64 time=0.992 ms
64 bytes from 192.168.666.555: seq=5 ttl=64 time=0.980 ms
64 bytes from 192.168.666.555: seq=6 ttl=64 time=0.970 ms
64 bytes from 192.168.666.555: seq=7 ttl=64 time=0.917 ms
64 bytes from 192.168.666.555: seq=8 ttl=64 time=1.050 ms
64 bytes from 192.168.666.555: seq=9 ttl=64 time=0.917 ms
64 bytes from 192.168.666.555: seq=10 ttl=64 time=0.947 ms
64 bytes from 192.168.666.555: seq=12 ttl=64 time=6.971 ms
64 bytes from 192.168.666.555: seq=13 ttl=64 time=3.994 ms
64 bytes from 192.168.666.555: seq=14 ttl=64 time=4.845 ms
64 bytes from 192.168.666.555: seq=15 ttl=64 time=4.862 ms
64 bytes from 192.168.666.555: seq=16 ttl=64 time=1.659 ms
64 bytes from 192.168.666.555: seq=17 ttl=64 time=1.638 ms
64 bytes from 192.168.666.555: seq=18 ttl=64 time=9.053 ms
64 bytes from 192.168.666.555: seq=19 ttl=64 time=3.115 ms
64 bytes from 192.168.666.555: seq=20 ttl=64 time=6.334 ms
64 bytes from 192.168.666.555: seq=21 ttl=64 time=7.020 ms
64 bytes from 192.168.666.555: seq=22 ttl=64 time=4.329 ms
64 bytes from 192.168.666.555: seq=23 ttl=64 time=1.063 ms
64 bytes from 192.168.666.555: seq=24 ttl=64 time=0.906 ms
64 bytes from 192.168.666.555: seq=25 ttl=64 time=0.920 ms
64 bytes from 192.168.666.555: seq=26 ttl=64 time=0.844 ms
64 bytes from 192.168.666.555: seq=27 ttl=64 time=0.896 ms
64 bytes from 192.168.666.555: seq=28 ttl=64 time=0.855 ms
64 bytes from 192.168.666.555: seq=29 ttl=64 time=0.918 ms
64 bytes from 192.168.666.555: seq=30 ttl=64 time=0.900 ms

初始化我的 Debian

Sat, 01 Mar 2025 10:19:14 +0000

前两天更新显卡驱动，把系统搞崩了。

不得已重装系统，顺便简单记录下来。

系统设置

禁用 root 账户

`1`	`sudo passwd -l root`

1
2


sudo usermod -s /usr/sbin/nologin root
# sudo usermod -s /bin/false root

禁止 root 账户登录 ssh

1
2


echo "PermitRootLogin no" >> /etc/ssh/sshd_config
sudo systemctl restart sshd

禁止使用密码登陆 ssh

# /etc/ssh/sshd_config
PasswordAuthentication no
PermitEmptyPasswords no

# /etc/ssh/sshd_config
Port 22222

`1`	`sudo systemctl restart sshd`

优化 swap 频率

1
2


echo "vm.swappiness=10" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

软件

必备软件

1
2
3
4


sudo apt install ca-certificates -y
sudo apt install apt-transport-https -y
sudo apt install curl -y
sudo apt install wget -y

常用软件

1
2


sudo apt install zsh -y
chsh -s /bin/zsh

1
2
3


sudo apt install mosh -y
sudo apt install htop -y
sudo apt install iperf3 -y

1
2
3
4
5


echo 'deb http://download.opensuse.org/repositories/shells:/fish:/release:/4/Debian_12/ /' | sudo tee /etc/apt/sources.list.d/shells:fish:release:4.list
curl -fsSL https://download.opensuse.org/repositories/shells:fish:release:4/Debian_12/Release.key | gpg --dearmor | sudo tee /etc/apt/trusted.gpg.d/shells_fish_release_4.gpg > /dev/null
sudo apt update
sudo apt install fish -y
chsh -s /usr/bin/fish

Flatpak

https://flatpak.org/setup/Debian

1
2
3


sudo apt install flatpak
sudo apt install plasma-discover-backend-flatpak
flatpak remote-add --if-not-exists flathub https://dl.flathub.org/repo/flathub.flatpakrepo

Keepassxc (flatpak)

密码、OTP、passkey、ssh-key 管理器

1
2


flatpak remote-add --user --if-not-exists flathub https://dl.flathub.org/repo/flathub.flatpakrepo
flatpak install --user flathub org.keepassxc.KeePassXC

Keepassxc 开启 ssh-agent 功能。
设置 ssh 的 ssh-agent 自动启动（kde system setting - Autostart）。

Syncthing

https://apt.syncthing.net

1
2
3


sudo mkdir -p /etc/apt/keyrings
sudo curl -L -o /etc/apt/keyrings/syncthing-archive-keyring.gpg https://syncthing.net/release-key.gpg
echo "deb [signed-by=/etc/apt/keyrings/syncthing-archive-keyring.gpg] https://apt.syncthing.net/ syncthing stable" | sudo tee /etc/apt/sources.list.d/syncthing.list

1
2


sudo apt update
sudo apt install syncthing -y

syncthing 配置目录： ~/.config/syncthing/

启用 syncthing 服务：

1

sudo systemctl enable --now syncthing@<username>

Zerotier

安装

1
2


curl -s 'https://raw.githubusercontent.com/zerotier/ZeroTierOne/main/doc/contact%40zerotier.com.gpg' | gpg --import && \
if z=$(curl -s 'https://install.zerotier.com/' | gpg); then echo "$z" | sudo bash; fi

加入网络

`1`	`zerotier-cli join <...>`

Hugo

https://github.com/gohugoio/hugo/releases

安装 hugo_extended

1
2
3


hugo_version=0.142.0
wget https://github.com/gohugoio/hugo/releases/download/v$hugo_version/hugo_extended_"$hugo_version"_linux-amd64.deb -O /tmp/hugo_extended.deb
sudo apt install /tmp/hugo_extended.deb

Sublime Text

https://www.sublimetext.com/download

https://www.sublimetext.com/docs/linux_repositories.html

1
2


wget -qO - https://download.sublimetext.com/sublimehq-pub.gpg | gpg --dearmor | sudo tee /etc/apt/trusted.gpg.d/sublimehq-archive.gpg > /dev/null
echo "deb https://download.sublimetext.com/ apt/stable/" | sudo tee /etc/apt/sources.list.d/sublime-text.list

1
2


sudo apt update
sudo apt install sublime-text -y

Thunderbird

https://www.thunderbird.net/en-US/thunderbird/all/

`1`	`flatpak install flathub org.mozilla.Thunderbird`

VS Code

https://code.visualstudio.com/Download

Chrome

https://www.google.com/chrome/

开发环境

Git

Github Cli （gh）

1
2
3
4
5
6
7
8


(type -p wget >/dev/null || (sudo apt update && sudo apt-get install wget -y)) \
	&& sudo mkdir -p -m 755 /etc/apt/keyrings \
 && out=$(mktemp) && wget -nv -O$out https://cli.github.com/packages/githubcli-archive-keyring.gpg \
 && cat $out | sudo tee /etc/apt/keyrings/githubcli-archive-keyring.gpg > /dev/null \
	&& sudo chmod go+r /etc/apt/keyrings/githubcli-archive-keyring.gpg \
	&& echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/githubcli-archive-keyring.gpg] https://cli.github.com/packages stable main" | sudo tee /etc/apt/sources.list.d/github-cli.list > /dev/null \
	&& sudo apt update \
	&& sudo apt install gh -y

登陆 Github

GH 登陆、自动设置 github 的 ssh key

`1`	`gh auth login`

设置 https 凭据管理器

`1`	`gh auth setup-git`

获取删库跑路权限

`1`	`gh auth refresh -h github.com -s delete_repo`

常用 Git 设置

# ~/.gitconfig
[credential "https://github.com"]
	helper =
	helper = !/usr/bin/gh auth git-credential
[credential "https://gist.github.com"]
	helper =
	helper = !/usr/bin/gh auth git-credential
[user]
	name = lixx
	email = no-reply@lixx.org
	signingkey = 114514CFM29803FUCM9102385NV73848VN3402CQ
[commit]
	gpgsign = true
[tag]
	gpgsign = true
[core]
	safecrlf = warn
	autocrlf = input
	editor = subl -w
[init]
	defaultBranch = main
[pull]
	ff = only
[alias]
	up = "!git checkout master;git fetch upstream master;git reset --hard upstream/master"

Python

Pyenv

python 版本管理器和虚拟环境管理器 pyenv

1

curl -fsSL https://pyenv.run | bash

添加 fish 配置

1
2
3
4
5
6


# ~/.config/fish/config.fish
set -Ux PYENV_ROOT $HOME/.pyenv
set -U fish_user_paths $PYENV_ROOT/bin $fish_user_paths

pyenv init - fish | source
status --is-interactive; and source (pyenv virtualenv-init -|psub)

准备构建环境

https://github.com/pyenv/pyenv/wiki#suggested-build-environment

1
2
3


sudo apt update; sudo apt install build-essential libssl-dev zlib1g-dev \
libbz2-dev libreadline-dev libsqlite3-dev curl git \
libncursesw5-dev xz-utils tk-dev libxml2-dev libxmlsec1-dev libffi-dev liblzma-dev

构建安装 Python

https://github.com/pyenv/pyenv/wiki#how-to-build-cpython-for-maximum-performance

1
2


PY_VERSION=3.11.11
env PROFILE_TASK='-m test.regrtest --pgo -j0' PYTHON_CONFIGURE_OPTS='--enable-optimizations --with-lto' PYTHON_CFLAGS='-march=native -mtune=native' pyenv install "$PY_VERSION"

pip 换源

https://mirrors.tuna.tsinghua.edu.cn/help/pypi/

全局更换

1

pip config set global.extra-index-url "https://mirrors.tuna.tsinghua.edu.cn/pypi/web/simple"

临时使用

`1`	`pip install -i https://mirrors.tuna.tsinghua.edu.cn/pypi/web/simple`

pipx

命令行工具管理器

1
2


sudo apt install pipx
pipx ensurepath

添加 completions

`1`	`register-python-argcomplete --shell fish pipx > ~/.config/fish/completions/pipx.fish`

poetry

依赖管理器

`1`	`pipx install poetry -i https://mirrors.tuna.tsinghua.edu.cn/pypi/web/simple`

添加 completions

`1`	`poetry completions fish > ~/.config/fish/completions/poetry.fish`

poetry 换源

项目设置

1
2


poetry source add --priority=primary mirrors https://mirrors.tuna.tsinghua.edu.cn/pypi/web/simple/
poetry source add --priority=supplemental mirrors https://mirrors.tuna.tsinghua.edu.cn/pypi/web/simple/

Node

fnm

安装 fnm

1

curl -fsSL https://fnm.vercel.app/install | bash

添加 completions

1

fnm completions --shell fish > "$HOME/.config/fish/completions/fnm.fish"

使用 fnm 安装 lts 版本 node

`1`	`fnm install --lts`

添加 shell 配置

fish

1
2


# ~/.config/fish/config.fish
fnm env --use-on-cd --shell fish | source

zsh

1
2


# ~/.zshrc
eval "$(fnm env --use-on-cd --shell zsh)"

pnpm

1

wget -qO- https://get.pnpm.io/install.sh | sh -

添加 completions

`1`	`pnpm completion fish > ~/.config/fish/completions/pnpm.fish`

切换淘宝源

全局设置

pnpm config set --global registry https://registry.npmmirror.com

或者

nrm use taobao

常用 npm 包

1
2
3
4


pnpm add -g nrm
pnpm add -g serve
pnpm add -g http-server
pnpm add -g surge

常用 npmrc 配置

# ~/.npmrc

init-author-name=lixx
init-author-url=https://lixx.org/
init-version=0.0.0
init-license=MPL-2.0

strict-ssl=true
git-tag-version=true
message=release: %s
sign-git-commit=true
sign-git-tag=true

home=https://npmmirror.com
registry=https://registry.npmmirror.com/

JetBrains 系列软件

通过 “JetBrains ToolBox” 下载 JetBrains 系列软件

https://www.jetbrains.com/toolbox-app/

这玩意会自动在 /home/<username>/.local/share/JetBrains/Toolbox/ 下蛋，不必手动安装到 bin/

Debian/Ubuntu 安装 Syncthing

Fri, 07 Feb 2025 07:03:52 +0000

通过 apt 安装最新版 Syncthing

相关文档

https://apt.syncthing.net/

安装必要的 apt 工具（如果无）

1
2


sudo apt-get update
sudo apt-get install apt-transport-https ca-certificates

添加 `apt.syncthing.net` apt 源

下载 syncthing.net 公钥

1
2


sudo mkdir -p /etc/apt/keyrings
sudo curl -L -o /etc/apt/keyrings/syncthing-archive-keyring.gpg https://syncthing.net/release-key.gpg

添加 apt 源

1

echo "deb [signed-by=/etc/apt/keyrings/syncthing-archive-keyring.gpg] https://apt.syncthing.net/ syncthing stable" | sudo tee /etc/apt/sources.list.d/syncthing.list

安装 Syncthing

1
2
3


sudo apt-get update
sudo apt-get install syncthing/syncthing
syncthing --version

1

syncthing v1.29.2 "Gold Grasshopper" (go1.23.4 linux-amd64) debian@github.syncthing.net 2025-01-11 16:38:29 UTC [noupgrade]

使用 systemd 配置 Syncthing 服务

相关文档

https://docs.syncthing.net/users/autostart.html#using-systemd

新建一个用户（如果需要）

`1`	`sudo adduser syncthinguser`

启用并启动 Syncthing 服务

1
2


systemctl enable syncthing@syncthinguser.service
systemctl start syncthing@syncthinguser.service

然后就可以通过浏览器访问默认的 Web GUI 地址 http://127.0.0.1:8384 对 syncthing 进行配置和使用。

修改配置文件

如果不使用 Web GUI，可以手动修改配置文件。默认的配置文件位于 ~/.local/state/syncthing/，修改后重启 syncthing：

`1`	`systemctl restart syncthing@syncthinguser.service`

检查

查看 syncthing 状态

`1`	`systemctl status syncthing@syncthinguser.service`

查看 syncthing 日志

`1`	`journalctl -e -u syncthing@syncthinguser.service`

查看所有被占用的端口
1

ss -tuln

通过 Cloudflare Tunnel 访问 Syncthing 的 Web GUI

因为懒得为 Syncthing 的 Web GUI 暴露公网端口、绑定域名、开启 https，使用 Cloudflare Tunnel 访问 Syncthing 的 Web GUI 是一个简单、安全的方法。

一般前提

要使用 Cloudflare Tunnel，一般需要：

拥有一个 Cloudflare 账号。
拥有一个可以绑定 Cloudflare 的域名。

创建、设置 tunnel

访问 Cloudflare One ，转到 Networks > Tunnels 页面。
点击 “Create a tunnel” 创建一个新 tunnel， tunnel 类型选择 “cloudflared”。
为 tunnel 起一个名字。
选择自己服务器的系统和架构，复制页面上的代码到服务器中运行，即完成安装 “cloudflared”。

the guide to install cloudflared
为 Web GUI 设置域名。URL 处填写 Syncthing Web GUI 的地址，例如 localhost:8384 (本地地址，不需要公网地址)。HTTP Host Header 填写localhost。

public hostname setting
保存 tunnel 即可。

不要忘记为 Web GUI 设置密码。

额外地，可以使用 Cloudflare Zero Trust（即 Access）进行进一步保护，例如在访问时要求 OTP 验证。

随后，即可以通过绑定的域名访问 Syncthing Web GUI。而无需配置 Web GUI 侦听公网地址、暴露公网端口、绑定域名。无需手动配置域名 dns 指向、无需手动配置 https。

Syncthing Web GUI via cloudflare tunnel

在 Debian 服务器上部署 Wavelog

Fri, 17 Jan 2025 07:39:18 +0000

简单记录在 DigitalOcean 的 Debian 服务器上使用 Linux + Nginx + PHP + MariaDB 部署 Wavelog 的过程。

软件版本

nginx version: nginx/1.22.1

PHP 8.2.26 (cli) (built: Nov 25 2024 17:21:51) (NTS)
Zend Engine v4.2.26, Copyright (c) Zend Technologies
 with Zend OPcache v8.2.26, Copyright (c), by Zend Technologies

mariadb Ver 15.1 Distrib 10.11.6-MariaDB, for debian-linux-gnu (x86_64) using EditLine wrapper

Wavelog Version: 1.9.1

创建 Droplets

首先在 DigitalOcean 网站上创建 Droplets 实例，很简单。选择需要的数据中心、系统版本、配置即可。

Choose Size

我比较喜欢使用新加坡数据中心、Debian 12、6 刀配置、SSH 登录、开启性能监控、开启 IPv6。

等待几分钟即创建完成，在控制面版查看并记录机器的 IP。

droplets dashboard

开机后连接上去，更新软件、安装 git。

1
2
3
4


sudo apt update
sudo apt upgrade
sudo apt install git
git -v

开启 DigitalOcean 的性能监控与警告（improved metrics monitoring and alerting）

1

curl -sSL https://repos.insights.digitalocean.com/install.sh | sudo bash

安装 nginx

1
2


sudo apt install nginx
nginx -v

安装 nginx 后，浏览器打开 http://<IP>:80/ 或者 http://[<IPv6>]:80/ 应该可以看到默认的 nginx 网页。

Welcome to nginx

安装 php-fpm

1
2
3


sudo apt-get install php-fpm
# sudo apt-get install php8.2-fpm
php -v

安装 wavelog 需要的 php 组件

https://github.com/wavelog/Wavelog/wiki/Installation#debian

`1`	`sudo apt install php-curl php-mysql php-mbstring php-xml php-zip php-gd`

配置网页服务

下载 wavelog

使用 git 下载 wavelog 到 /var/www/wavelog/

1

git clone https://github.com/wavelog/Wavelog.git /var/www/wavelog/ --depth 1

设置 wavelog 文件夹权限

1
2
3
4
5
6
7
8


directory=/var/www/wavelog

# debian
sudo chown -R www-data:www-data $directory

# change permissions of directories and files
sudo find $directory -type d -exec chmod 755 {} \;
sudo find $directory -type f -exec chmod 664 {} \;

Wavelog 官方的警告:

It is your responsibility to ensure you protect your system from intruders/attacks. These commands and permissions are just examples used to get Wavelog up and running and are not a guide on how to achieve a secure system. You should review these permissions after installation and make appropriate changes if you determine that finer-grained access control is needed.

关闭默认的 nginx 服务器配置

`1`	`sudo rm -rf /etc/nginx/sites-enabled/default`

复制一份默认的 nginx 服务器配置并启用

1
2


sudo cp /etc/nginx/sites-available/default /etc/nginx/sites-available/wavelog
sudo ln -s /etc/nginx/sites-available/wavelog /etc/nginx/sites-enabled/wavelog

编辑 nginx 服务器配置

借助 nano，vim 等工具远程编辑 wavelog 的配置文件：/etc/nginx/sites-available/wavelog。或者使用 WinScp，MobaXterm 等软件在本地编辑后上传。

默认的配置大概长这样

# /etc/nginx/sites-enabled/default
##
# You should look at the following URL's in order to grasp a solid understanding
# of Nginx configuration files in order to fully unleash the power of Nginx.
# https://www.nginx.com/resources/wiki/start/
# https://www.nginx.com/resources/wiki/start/topics/tutorials/config_pitfalls/
# https://wiki.debian.org/Nginx/DirectoryStructure
#
# In most cases, administrators will remove this file from sites-enabled/ and
# leave it as reference inside of sites-available where it will continue to be
# updated by the nginx packaging team.
#
# This file will automatically load configuration files provided by other
# applications, such as Drupal or Wordpress. These applications will be made
# available underneath a path with that package name, such as /drupal8.
#
# Please see /usr/share/doc/nginx-doc/examples/ for more detailed examples.
##

# Default server configuration
#
server {
 listen 80 default_server;
 listen [::]:80 default_server;

 # SSL configuration
 #
 # listen 443 ssl default_server;
 # listen [::]:443 ssl default_server;
 #
 # Note: You should disable gzip for SSL traffic.
 # See: https://bugs.debian.org/773332
 #
 # Read up on ssl_ciphers to ensure a secure configuration.
 # See: https://bugs.debian.org/765782
 #
 # Self signed certs generated by the ssl-cert package
 # Don't use them in a production server!
 #
 # include snippets/snakeoil.conf;

 root /var/www/html;

 # Add index.php to the list if you are using PHP
 index index.html index.htm index.nginx-debian.html;

 server_name _;

 location / {
 # First attempt to serve request as file, then
 # as directory, then fall back to displaying a 404.
 try_files $uri $uri/ =404;
 }

 # pass PHP scripts to FastCGI server
 #
 location ~ \.php$ {
 include snippets/fastcgi-php.conf;

 # With php-fpm (or other unix sockets):
 fastcgi_pass unix:/run/php/php-fpm.sock;
 # With php-cgi (or other tcp sockets):
 #fastcgi_pass 127.0.0.1:9000;
 }

 # deny access to .htaccess files, if Apache's document root
 # concurs with nginx's one
 #
 location ~ /\.ht {
 deny all;
 }
}


# Virtual Host configuration for example.com
#
# You can move that to a different file under sites-available/ and symlink that
# to sites-enabled/ to enable it.
#
#server {
# listen 80;
# listen [::]:80;
#
# server_name example.com;
#
# root /var/www/example.com;
# index index.html;
#
# location / {
# try_files $uri $uri/ =404;
# }
#}

主要修改以下几项：

listen 设置绑定的 IP 和端口：

1
2


 listen 80 default_server;
 listen [::]:80 default_server;

root 设置 wavelog 的文件目录：

1
2


- root /var/www/html;
+ root /var/www/wavelog;

在 index 项增加 index.php：

1
2


- index index.html index.htm;
+ index index.php index.html index.htm;

根据自己的需要在 server_name 中绑定域名：

1
2


- server_name _;
+ server_name log.example.com;

启用 PHP FastCGI：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


 # pass PHP scripts to FastCGI server
 #
 location ~ \.php$ {
 include snippets/fastcgi-php.conf;

 # With php-fpm (or other unix sockets):
- # fastcgi_pass unix:/run/php/php-fpm.sock;
+ fastcgi_pass unix:/run/php/php-fpm.sock;

 # With php-cgi (or other tcp sockets):
 # fastcgi_pass 127.0.0.1:9000;
 }

编辑完成后，可以使用 sudo nginx -t 检查配置是否出错，根据提示进行相应修改即可。随后使用 sudo nginx -s reload 重载 nginx 或者用 sudo systemctl restart nginx 重启 nginx，此时访问 IP 或者域名应该可以看到 Wavelog 的安装界面，表明 Nginx 和 PHP 的配置基本正常。

Wavelog Installer

添加官方推荐的 nginx 配置

https://github.com/wavelog/wavelog/wiki/Webserver-Configurations#nginx

参照 Wavelog 官方 wiki 给出的 nginx 配置，添加到自己的配置中。不要忘记检查和重载。

一个完整的配置的例子

# /etc/nginx/sites-enabled/wavelog

server {
 listen 80 default_server;
 listen [::]:80 default_server;

 root /var/www/wavelog;

 index index.php index.html index.htm;

 server_name wavelog.example.com;
 server_tokens off;

 location / {
 try_files $uri $uri/ /index.php?$query_string;
 }

 location = /favicon.ico {
 log_not_found off;
 }

 location = /robots.txt {
 log_not_found off;
 }

 location ~* \.(?:css(\.map)?|js(\.map)?|jpe?g|png|gif|ico|cur|heic|webp|tiff?|mp3|m4a|aac|ogg|midi?|wav|mp4|mov|webm|mpe?g|avi|ogv|flv|wmv)$ {
 expires 7d;
 }

 location ~* \.(?:svgz?|ttf|ttc|otf|eot|woff2?)$ {
 add_header Access-Control-Allow-Origin "*";
 expires 7d;
 }

 ## gzip (optional)
 # gzip on;
 # gzip_vary on;
 # gzip_proxied any;
 # gzip_comp_level 6;
 # gzip_types text/plain text/css text/xml application/json application/javascript application/rss+xml application/atom+xml image/svg+xml;

 location ~ \.php(/|$) {
 include snippets/fastcgi-php.conf;

 fastcgi_pass unix:/run/php/php-fpm.sock;
 include fastcgi_params;

 # fastcgi settings
 fastcgi_buffers 8 16k;
 fastcgi_buffer_size 32k;

 # fastcgi params
 fastcgi_split_path_info ^(.+\.php)(/.*)$;
 fastcgi_param DOCUMENT_ROOT $realpath_root;
 fastcgi_param SCRIPT_FILENAME $realpath_root$fastcgi_script_name;
 fastcgi_param PATH_INFO $fastcgi_path_info;
 }

 location ~ /\.ht {
 deny all;
 }
}

安装数据库

安装 MariaDB

1
2


sudo apt install mariadb-server
mariadb -V

启用 MariaDB 安全设置

使用 mysql_secure_installation 工具关闭一些默认设置，提高安全性。根据提示操作即可。

`1`	`sudo mysql_secure_installation`

mysql_secure_installation

创建数据库

进入 MariaDB 命令行界面。
1

sudo mariadb -u root -p
创建一个名为 wavelog_db 的数据库
1

CREATE DATABASE wavelog_db;
创建一个用户 wavelog_username，并设置密码 wavelog_password。
1

CREATE USER 'wavelog_username'@localhost IDENTIFIED BY 'wavelog_password';
建议使用高强度密码，并妥善保管密码。

向用户 wavelog_username 授予 wavelog_db 数据库的全部权限。

1

GRANT ALL PRIVILEGES ON wavelog_db.* TO 'wavelog_username'@'localhost';

退出 MariaDB 命令行界面。
1

QUIT

create database and user in MariaDB

安装 Wavelog

浏览打开你绑定 IP 或者域名，根据网页提示对 wavelog 进行初始化。

可以看到 Pre Checks 提示部分 PHP 设置不满足要求。

the Pre Checks in Wavelog Installer

修改 php-fpm 设置

打开 /etc/php/8.2/fpm/php.ini，使用搜索功能搜索相应的设置项，修改其值使其符合要求:

max_execution_time in php.ini

并重启 php-fpm :

`1`	`sudo systemctl restart php8.2-fpm`

再次打开 Wavelog install 继续进行安装。

Wavelog Pre Checks after setting php.ini

设定 Wavelog 使用的数据库和用户

将前面创建的数据库和用户填入 Wavelog 的数据库设置中。

the database setting in Wavelog Installer

完成安装

随后根据提示，填入用户信息，即可完成安装。

Wavelog Installation

额外的设置

设置 Wavelog 自动任务的 cron

https://github.com/wavelog/wavelog/wiki/Recommended-Cron-Jobs-and-Cronmanager

打开 crontab -e, 将

# Wavelog Master Cron
* * * * * curl --silent https://<URL-To-Wavelog>/index.php/cron/run &>/dev/null

打开 Wavelog 的 Cron Manager（https://<URL-To-Wavelog>/cron），显示 OK 即可。并在页面中启用自己需要的定时任务。

手动下载数据

新安装的 Wavelog 可能没有包含一些附加数据，例如 DXCC 地区数据、LoTW 用户数据、POTA 数据等等，可以在 Debug Information 页面（https://<URL-To-Wavelog>/debug）手动更新。如果开启了自动任务，也可以等待自动更新。

get extra data files

URL 美化

默认的 URL 中间会带着 /index.php/ ，参照 wiki ，在 application/config/config.php 将 $config['index_page'] 设置为 '' 空即可删除。

ugly URL

https://github.com/wavelog/wavelog/wiki/Webserver-Configurations#remove-indexphp-from-the-url-with-nginx-pretty-url

https://github.com/wavelog/Wavelog/wiki/Wavelog.php-Configuration-File#remove-indexphp-from-your-url

修改 `encryption_key`

根据 https://github.com/wavelog/wavelog/wiki/Wavelog.php-Configuration-File#configuration-items ，建议修改 $config['encryption_key'] 为更复杂的字符串。

建议

安全强化

一般情况下，安装完成后，网页服务器会暴露在公网中，服务器的所有者应当采取各种措施增强服务器的安全性，以免发生服务器被攻破、数据丢失、隐私泄露等问题。

通常来说，Wavelog 一般个人使用，没有必要将其暴露在公网当中。我个人偏向于使用 Cloudflare Tunnel 这类穿透工具进行反向代理、或者使用 Zerotier 这类组网工具进行组网以避免将服务器暴露在公网中，减少服务器被攻击的可能。

如果确需公开你的 Wavelog，你应当具备一定的服务器安全知识和技能，例如使用防火墙、配置 https、禁止通过 IP 访问、性能优化、备份数据等等。

在 Debian 构建 Transmission

Thu, 12 Dec 2024 12:40:01 +0000

安装依赖

https://github.com/transmission/transmission/blob/main/docs/Building-Transmission.md#prerequisites

基本依赖

`1`	`sudo apt install build-essential cmake libcurl4-openssl-dev libssl-dev`

可选依赖

https://github.com/transmission/transmission/issues/6873

v4.0.6 的 release 缺少了某个依赖，这里一并安装.

`1`	`sudo apt install libb64-dev libdeflate-dev libevent-dev libminiupnpc-dev libnatpmp-dev libpsl-dev libsystemd-dev`

下载最新的 Release

https://transmissionbt.com/download

https://github.com/transmission/transmission/releases/download/4.0.6/transmission-4.0.6.tar.xz

下载

`1`	`wget https://github.com/transmission/transmission/releases/download/4.0.6/transmission-4.0.6.tar.xz`

解压

`1`	`tar -xvJf transmission-4.0.6.tar.xz`

构建

1

cd transmission-4.0.6

只构建 daemon 和 web

1

cmake -B build -DCMAKE_BUILD_TYPE=Release -DENABLE_DAEMON=ON -DENABLE_GTK=OFF -DENABLE_QT=OFF -DINSTALL_WEB=ON -DENABLE_CLI=OFF -DENABLE_UTILS=ON

1
2


cd build
cmake --build . -j8

安装

`1`	`sudo cmake --install .`

启动

启用并启动 transmission-daemon 服务

1

sudo systemctl enable --now transmission-daemon

查看状态

`1`	`sudo systemctl status transmission-daemon`

为域名配置 DNSSEC

Mon, 04 Nov 2024 03:10:08 +0000

DNSSEC 使用公开发布的 DNS 记录的加密签名来保护您的域名，防止伪造 DNS 应答。

Cloudflare 开启 DNSSEC

假设域名已托管在 Cloudflare。

打开 Cloudflare 控制面板，转到对应的域名。

跳转到 DNS - Settings 页面，找到 DNSSEC，点击 setup。就会生成 DS 记录。如下：

DS Record example

在注册域名的服务商处添加 DS Record

在 Cloudflare 生成 DS 记录后，要在注册域名的服务商处进行相应的设置。

Namecheap

以 Namecheap 为例，打开对应域名的控制面板，转到 Advanced DNS - DNSSEC ,

将前面获得的 Key Tag, Algorithm, Digest Type, Digest 分别填入，然后保存即可。

DS Record setting in Namecheap

Spaceship

以 Spaceship 为例，在 Spaceship 控制面板转到 Advanced DNS ，选择对应的域名，转到 Dnssec 选项卡，

将前面获得的 Key Tag, Algorithm, Digest Type, Digest 分别填入，然后保存即可。

DS Record setting in Spaceship

等待生效

设置完成后，可能需要等待 10 分钟甚至 1 小时才能完全生效。

Check DNSSEC status in Cloudflare

Windows 清理重复网络名称

Sun, 27 Oct 2024 01:25:03 +0000

电脑用久了，发现网络名称后面会出现数字，比如 “网络 1”、“网络 23”、 “**** 5” 这样的网络名称。虽然没什么影响，但看着太丑了。

参考

https://www.howtogeek.com/364291/how-to-change-or-rename-the-active-network-profile-name-in-windows-10/

手动清理

通过手动删除对应的注册表内容，即可将这些带数字的的网络名称清理掉。

`1`	`HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles`

`1`	`HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Signatures\Unmanaged`

注入 reg 文件

手动进行删除比较麻烦，还有误操作的风险。将以下内容保存为 .reg 文件，双击执行即可。

1
2
3
4
5
6


Windows Registry Editor Version 5.00

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Signatures\Unmanaged]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Signatures\Unmanaged]

还可以配合其他工具例如计划任务，进行定时清理。

SSH Connection Reset by Github

Tue, 10 Sep 2024 02:14:25 +0000

今天起来敲代码，敲完之后发现无法推送至 Github

提示连接被重置、无法读取远程仓库、确认是否有正确的访问权限、确认仓库是否存在。

1
2
3
4
5
6


$ git push
Connection reset by 20.205.243.166 port 22
fatal: Could not read from remote repository.

Please make sure you have the correct access rights
and the repository exists.

仓库和权限肯定是有的，昨天晚上还在这个仓库进行操作，不会有问题。重新部署了 SSH 密钥也没有用。

使用 ssh -T git@github.com 检测，同样提示连接被重置。猜测是网络问题，尝试使用环境变量 *_PROXY 指定代理连接 github 依然失败。可能 git 或 ssh 不支持 *_PROXY 环境变量。

1
2


$ ssh -T git@github.com
Connection reset by 20.205.243.166 port 22

以此为关键词进行检索，找到了 https://zhuanlan.zhihu.com/p/690536358 ，根据这篇文章对 ~/.ssh/config 的 ProxyCommand 项进行配置：

1
2
3
4
5
6
7
8
9


# ~/.ssh/config

Host github.com
 port 22
 User git
 HostName github.com
 PreferredAuthentications publickey
 IdentityFile ~/.ssh/id_ed25519
 ProxyCommand connect -S 127.0.0.1:114514 -a none %h %p

增加 ProxyCommand 项后，问题消失，又可以顺利地推送代码了。

1
2


$ ssh -T git@github.com
Hi LIXX.org! You've successfully authenticated, but GitHub does not provide shell access.

Hello Hugo

Fri, 06 Sep 2024 10:57:56 +0800

Hello World!

Now, the blog have been migrated to Hugo.

提高 Linux 系统的 SSH 安全性

Sat, 10 Aug 2024 07:22:17 +0000

更改 sshd 默认端口

编辑 /etc/ssh/sshd_config，修改 Port 为高位、不常用端口号。

1
2


- #Port 22
+ Port 11451

重启 sshd

`1`	`sudo systemctl restart sshd`

禁用 root 用户，使用普通用户

新建新用户

`1`	`sudo adduser lixx`

sudo adduser lixx

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


root@lixx:~# sudo adduser lixx
Adding user `lixx' ...
Adding new group `lixx' (1000) ...
Adding new user `lixx' (1000) with group `lixx (1000)' ...
Creating home directory `/home/lixx' ...
Copying files from `/etc/skel' ...
New password:
Retype new password:
passwd: password updated successfully
Changing the user information for lixx
Enter the new value, or press ENTER for the default
 Full Name []:
 Room Number []:
 Work Phone []:
 Home Phone []:
 Other []:
Is the information correct? [Y/n] y
Adding new user `lixx' to supplemental / extra groups `users' ...
Adding user `lixx' to group `users' ...
root@lixx:~#

为新用户授予 `sudo` 权限

`1`	`sudo usermod -aG sudo lixx`

禁止 root 通过 ssh 登录

编辑 /etc/ssh/sshd_config，修改 PermitRootLogin 值为 no

PermitRootLogin no

重启 sshd

`1`	`sudo systemctl restart sshd`

使用密钥对登录。禁止使用密码登录

生成 ssh 密钥对

1
2
3
4
5


ssh-keygen -t ed25519 -f ~/.ssh/lixx_ed25519 -C "lixx_ed25519-20240810"

# -t 密钥类型
# -f 输出的密钥文件
# -C 自定义的标注

生成的密钥文件应当妥善保管。

上传公钥到服务器

将生成的公钥（~/.ssh/lixx_ed25519.pub）的文本内容复制粘贴到服务器的 ~/.ssh/authorized_keys 文件中。

禁止使用密码登录

编辑 /etc/ssh/sshd_config，修改 PasswordAuthentication 值为 no，禁用密码认证

PasswordAuthentication no
PermitEmptyPasswords no

重启 sshd

`1`	`sudo systemctl restart sshd`

mosquitto bridge 无法连接至 EMQX Cloud 服务器

Tue, 30 Jul 2024 20:34:01 +0000

问题

希望使用 mosquitto 的 bridge 功能，将本地 mqtt 服务器的信息转发至 EMQX Cloud 服务器上，但始终提示无法连接。Client local.client_id closed its connection.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


root@OpenWrt:~# mosquitto -c /etc/mosquitto/mosquitto.conf -v
1722342917: mosquitto version 2.0.18 starting
1722342917: Config loaded from /etc/mosquitto/mosquitto.conf.
1722342917: Opening ipv4 listen socket on port 1883.
1722342917: Opening ipv6 listen socket on port 1883.
1722342917: Bridge local.OpenWrt.emqx doing local SUBSCRIBE on topic mytopic
1722342917: Connecting bridge emqx (v6q9efjc.abc.cn-hangzhou.emqxsl.cn:8883)
1722342917: Bridge OpenWrt.emqx sending CONNECT
1722342917: mosquitto version 2.0.18 running
1722342918: Client local.OpenWrt.emqx closed its connection.
1722342924: Bridge local.OpenWrt.emqx doing local SUBSCRIBE on topic mytopic
1722342924: Connecting bridge emqx (v6q9efjc.abc.cn-hangzhou.emqxsl.cn:8883)
1722342924: Bridge OpenWrt.emqx sending CONNECT
1722342924: Client local.OpenWrt.emqx closed its connection.

解决办法

多次尝试后，无意中发现将 bridge_protocol_version 的值从默认的 mqttv311 修改为 mqttv50 即可解决。原因不详。

我在个人电脑上使用 MQTTX 通过 MQTTv3 连接 EMQX 实例是可以正常正常连接的。

1
2
3
4


# mosquitto.conf

- bridge_protocol_version mqttv311
+ bridge_protocol_version mqttv50

成功连接

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


root@OpenWrt:~# mosquitto -c /etc/mosquitto/mosquitto.conf -v
1722343382: mosquitto version 2.0.18 starting
1722343382: Config loaded from /etc/mosquitto/mosquitto.conf.
1722343382: Opening ipv4 listen socket on port 1883.
1722343382: Opening ipv6 listen socket on port 1883.
1722343382: Bridge local.OpenWrt.emqx doing local SUBSCRIBE on topic mytopic
1722343382: Connecting bridge emqx (v6q9efjc.abc.cn-hangzhou.emqxsl.cn:8883)
1722343382: Bridge OpenWrt.emqx sending CONNECT
1722343382: mosquitto version 2.0.18 running
1722343384: Received CONNACK on connection local.OpenWrt.emqx.
1722343384: Bridge local.OpenWrt.emqx sending SUBSCRIBE (Mid: 2, Topic: mytopic, QoS: 0, Options: 0x0c)
1722343384: Received PUBACK from local.OpenWrt.emqx (Mid: 1, RC:16)
1722343384: Received SUBACK from local.OpenWrt.emqx

小米盒子3s 刷机 Android TV 跳过谷歌登录和升级 8.0

Thu, 04 Jul 2024 22:06:48 +0000

没用的小米盒子 3s 不要扔，~~裹上鸡蛋液、沾上面包糠，下锅炸至金黄酥脆控油捞出，老人小孩都爱吃，隔壁小孩都馋哭了。~~

闲来没事给它刷个机吧，试试所谓 Android TV。

参考

小米盒子 3s 刷原生安卓系统详细步骤 https://www.znds.com/tv-1027245-1-1.html
小米盒子 3S(MDZ-19-AA)刷 Android TV 过程及跳过谷歌帐号登录 https://www.znds.com/tv-1164732-1-1.html
小米盒子 3S（MDZ-19-AA）的刷机教程！附刷机工具 https://www.znds.com/tv-1215651-1-1.html
亲测有效！小米盒子 3S Android TV 6 检测不到升级的解决方案 https://www.znds.com/tv-1208154-1-1.html
小米盒子 3S（mdz-19-aa）刷入 Android TV 6 升级 Android TV 9 经验 https://www.znds.com/tv-1208855-1-1.html

需要的工具

本文使用的设备是小米盒子 3s，机身标注型号为 MDZ-19-AA

双头 USB 线，用于连接电脑和小米盒子。
不大于 32GB 的 fat32 格式的 U 盘。
adb 软件。
固件包。（从上述链接中获取）
谷歌账号及带魔法的路由器。（可通过 adb 禁用谷歌开机向导进行跳过）
搞基搞机工具箱，方便禁用谷歌开机界面。（如果熟悉 adb 命令的话，直接用 adb 命令禁用也是一样的）

步骤

刷入 `MiBOX3S_queenchristina_r145` 降级

将 MiBOX3S_queenchristina_r145 中的文件复制至 U 盘。
U 盘插入小米盒子，断电。按住遥控器的主页键和菜单键，给小米盒子通电。
机器开始自动刷入降级包。

mibox3s downgrade

刷入 `dump_16AB.img`

在小米盒子的设置 - 账户与安全中打开 USB 调试。
小米盒子连接电脑。（在我的使用中，无需安装驱动）
将 dump_16AB.img 复制到小米盒子的根目录中。

打开 adb 命令行，输入：

1
2
3


adb root
adb remount
adb shell dd if=/sdcard/dump_16AB.img of=/dev/block/mmcblk0

耐心等待完成。

刷入 `MiBOX3_user_once_r750`

将 MiBOX3_user_once_r750 中的文件复制至 U 盘。
U 盘插入小米盒子，断电。按住遥控器的主页键和菜单键，给小米盒子通电，进入恢复模式。
进行双清。（wipe data 和 wipe cache）
点击 Apply update from EXT > Update from udisk > 选择刚刚放进去的固件刷入。

Apply update from EXT

跳过谷歌账户

完成上面的步骤后，系统已经变成 Android TV。但如果没有谷歌账号就无法进入系统。如果你有相应的条件，可以跳过本步骤。

setupwraith

本质上，开机的引导画面也是一个应用，所以可以通过 adb 禁用掉开机向导以跳过登录。但刷入的 Android TV 并没有开启调试功能，于是就需要一些迂回操作开启 adb 调试。

刷入 `MiBOX3_userdebug_once_r454`

将 MiBOX3_userdebug_once_r454 中的 update-once.zip 文件复制至 U 盘。
U 盘插入小米盒子，断电。按住遥控器的主页键和菜单键，给小米盒子通电，进入恢复模式。
点击 Apply update from EXT > Update from udisk > 选择 update-once.zip 刷入。

禁用 `****.Setupwraith`

发现开机界面依然存在，但是在这个包中 adb 调试已经默认打开了。
小米盒子连接电脑。
打开搞机工具箱，切换到应用管理界面，会看到开机界面的包名（包名大概为 ***.google.****.Setupwraith，我忘记截图了），点击“禁用”（安卓里一般称为“停用”）即可进入桌面。

gaoji tool applications manager

再次刷入 `MiBOX3_user_once_r750`

将 MiBOX3_user_once_r750 中的文件复制至 U 盘。
U 盘插入小米盒子，断电。按住遥控器的主页键和菜单键，给小米盒子通电，进入恢复模式。
点击 Apply update from EXT > Update from udisk > 选择 MiBOX3_user_once_r750 固件刷入。
完成后开机。此时就直接进入到桌面了，没有开机向导的阻拦，adb 也是开启状态。

mibox3s android TV 6.0

mibox3s android TV 6.0 storage

升级到 Android 8

下载 http://www.mediafire.com/file/fhh4zjspge6eh22/once-8.0-2167.7z/file
将 once-8.0-2167.7z 中的 update.zip 文件复制至 U 盘。
U 盘插入小米盒子，断电。按住遥控器的主页键和菜单键，给小米盒子通电，进入恢复模式。
点击 Apply update from EXT > Update from udisk > 选择 update.zip 刷入。
完成后，系统已经变成 8.0

mibox3s upgrade to 8.0

mibox3s android TV 8.0

论坛的两位楼主均称可以升级到 9.0，但我这里不显示，可能是我的网络不通或者年代久远升级服务已经关闭。

提示

上述步骤中涉及 4 个卡刷包，除第 1 个需要将两个文件（一个zip，一个xiaomi_upadte）复制到 U 盘进行刷入。其他 3 个可以将xiaomi_upadte删除，只复制zip文件，在 recovery 中进行手动选择刷入即可。所以可以在完成 1 个包刷入后，一次性复制 3 个 zip 文件进去（注意区分文件名，文件名也可以修改），节约时间避免反复传输文件。（一次性复制 4 个也可以，但要注意xiaomi_upadte中的内容和zip文件名对应，以及完成第 1 个刷入后删除要xiaomi_upadte）
刷回原版的方法详见前面参考的文章。

体会

确实比原来的小米系统要快一点，没有乱七八糟的广告。但毕竟也是很久的设备了，只是刷着玩，不要有太高的期待。
我这个盒子只能连上 2.4g 的 wifi，5g 的 wifi 能看见但连不上。不一定是盒子的问题，也可能是 wifi 设置问题。我 2.4g 的 wifi 是给物联网智能家居用的，所以规格设置得比较低，在盒子上看个超清的 IPTV 都比较呛（虽然超清也只有几个频道，不看也罢）。

kodi iptv in mibox3s

通过 Github Action 将 Python 包发布到 pypi

Wed, 26 Jun 2024 16:49:46 +0000

Desc

通过 Github Action 将自己的 Python 包自动化发布到 PyPI 。实际上 Python 官方在这方面的文档非常齐全，跟着官方教程点点鼠标、复制粘贴就可以完成。比那个什么 NPM 不知道高到哪里去了。

本文简单介绍基于 pyproject.toml 的通过 Github Action 进行打包和发布的大概步骤以及一些注意事项，至于一些细节、个性化的东西请看官方文档。

Reference

setuptools 的简单介绍 - https://setuptools.pypa.io/en/latest/userguide/quickstart.html
使用 pyproject.toml 配置 setuptools - https://setuptools.pypa.io/en/latest/userguide/pyproject_config.html
打包 Python 项目 - https://packaging.python.org/en/latest/tutorials/packaging-projects/
编写自己的 pyproject.toml - https://packaging.python.org/en/latest/guides/writing-pyproject-toml/
通过 Github Action 工作流发布 Python 包 - https://packaging.python.org/en/latest/guides/publishing-package-distribution-releases-using-github-actions-ci-cd-workflows/

前置准备

拥有 Github 账户；
注册 PyPI 账户并开启 2FA（双因素认证）；

安装和升级 `setuptools`、`build`

只是用于后面调试本地打包和调试 pyproject.toml。实际上使用 Github Action 打包，不需要在本地安装打包工具。

1
2


pip install --upgrade setuptools
pip install --upgrade build

pip 最好也更新一下。

目录结构

根据官方文档 https://packaging.python.org/en/latest/tutorials/packaging-projects/#creating-the-package-files ，使用 pyproject.toml 时，建议将代码放置在 src 目录下。

代码文件较多时，可以分包分成多个文件夹。如果只是小项目代码少，直接放在 src 目录下也是可以的。

<project_name>/
├── LICENSE
├── pyproject.toml
├── README.md
├── src/
│ └── <package_name>/
│ │ ├── __init__.py
│ │ └── <module_name>.py
│ └── <module2_name>.py
│ └── <module3_name>.py
└── tests/

编写 `pyproject.toml`

1
2
3
4
5


# pyproject.toml

[project]
name = "example_project_name"
version = "0.0.1"

打包只需要 name, version 字段。

其他的字段可根据文档自行添加：

本地调试打包

在项目目录下执行

`1`	`python -m build`

即可进行打包。输出的 tar 文件和 wheel 文件会在 dist 中。通过此步骤检查打包是否可以正常运行，及时调整，节省后面调整 CI 的时间。

打包完成后要记得检查 tar 文件里，各种文件是否齐全。设置不当可能一些文件没有打包进来。

配置 Github Action 工作流

创建工作流

本地打包没有问题就可以创建 Github Action 工作流。官方文档 https://packaging.python.org/en/latest/guides/ 里写得挺详细，步骤也很简单，也没有什么 Bug。直接用就可以了。

例如在 .github/workflows/ 目录下创建 publish.yml (记住这个名字，后面要用)。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77


name: Publish Python 🐍 distribution 📦 to PyPI

on:
 # 手动触发
 workflow_dispatch:

 # 推送 tag 是 v*.*.*时触发
 push:
 tags:
 - "v*.*.*"

 # 以下是推送到 main 分支时触发
 # push:
 # branches:
 # - 'main'

jobs:
 build:
 # 打包
 name: Build distribution 📦
 runs-on: ubuntu-latest

 steps:
 # clone 仓库
 - uses: actions/checkout@v4

 # 设置 Python环境和版本
 - name: Set up Python
 uses: actions/setup-python@v5
 with:
 python-version: "3.x"

 # 安装 build
 - name: Install pypa/build
 run: >-
 python3 -m
 pip install
 build
 --user

 # 打包你的项目
 - name: Build a binary wheel and a source tarball
 run: python3 -m build

 # 将打包得到的文件上传到 artifact
 - name: Store the distribution packages
 uses: actions/upload-artifact@v3
 with:
 name: python-package-distributions
 path: dist/
 retention-days: 1 # 1 天后删除 artifact

 publish-to-pypi:
 # 上传到 PPyPIypi
 name: >-
 Publish Python 🐍 distribution 📦 to PyPI
 if: startsWith(github.ref, 'refs/tags/') # 只在推送tag时，才发布到 PyPI
 needs:
 - build
 runs-on: ubuntu-latest
 environment:
 name: pypi
 url: https://pypi.org/p/<package-name> # 将 <package-name> with 改成你自己的项目名字
 permissions:
 id-token: write # IMPORTANT: mandatory for trusted publishing

 steps:
 # 从 artifact 下载打包的文件
 - name: Download all the dists
 uses: actions/download-artifact@v3
 with:
 name: python-package-distributions
 path: dist/

 # 通过 pypa/gh-action-pypi-publish 这个 action 发布到 PyPI
 - name: Publish distribution 📦 to PyPI
 uses: pypa/gh-action-pypi-publish@release/v1

官方文档中 https://packaging.python.org/en/latest/guides/publishing-package-distribution-releases-using-github-actions-ci-cd-workflows/ ，还有发布到 TestPyPI 和发布 Github Release 的工作流。原理相似的，这里不赘述。

设置 PyPI 的可信发布者

建立工作流后不要着急推送到仓库。先要到 PyPI 中设置可信发布者。

设置 PyPI 的项目名、Github 仓库的拥有者、Github 仓库名、工作流的文件名。 Gitub Action 的环境名可以不设置，但强烈建议设置（strongly encouraged）。

https://pypi.org/manage/account/publishing/

pypi_trusted_publisher

推送到 Github

完成上面的步骤就可以将工作流推送到 Github 上。

根据触发条件触发工作流，测试是否可以正常运行。

ci_publish_to_pypi

End

整个流程下来感觉没什么坑，连 token 都不需要设置。Python 官方的文档教程都很全面和清晰。跟 NPM 比起来，要简便很多。

吉比特 HG51e 光猫开启 telnet、获取超级密码的方法

Sun, 14 Apr 2024 12:00:15 +0000

参考

https://www.right.com.cn/forum/thread-8378369-1-1.html

中国移动吉比特 HG51e 光猫开启 telnet、获取超级密码。

开启 telnet

`1`	`http://192.168.1.1/webcmcc/telnet.html`

浏览器访问上面这个网址，即可开启 telnet 。

enable telnet for hg51e

获取超级密码

连接 telnet

使用 telnet 工具连接到光猫，我这里使用 MobaXterm，其他软件也是类似的。

端口 23，

用户名和密码输入光猫背面写的账号密码。

MobaXterm new session

查询超级密码

使用 cat 和 grep 指令读取这个 lastgood.xml文件，轻松拿到超级密码。

1

cat /config/work/lastgood.xml | grep aucTeleAccountPassword

或

1

cat /config/workb/backup_lastgood.xml | grep aucTeleAccountPassword

grep aucTeleAccountPassword

我这里是默认的超级密码，估计是因为我刚刚对光猫进行了恢复出厂设置、还没有下发新密码。在之前，我使用这个方法是可以获取到超级密码的。

关于部署和使用 AdGuard Home 的一些经验心得体会

Mon, 01 Apr 2024 20:40:42 +0000

AdGuard Home

https://github.com/AdguardTeam/AdGuardHome

简单地说，AdGuard Home 是一个 DNS 服务器软件。官方的描述是，你和你的设备的隐私保护中心，免费、开源、强大的屏蔽广告和跟踪器的 DNS 服务器。

得益于 AdGuard Home 的易用的图形化界面，即使是一个普通用户，也可以轻松地在自己的电脑或者路由器中部署自己的 DNS 服务器。

Openwrt 使用、设置 AdGuard Home

本文基于在 Openwrt 22 及 23 版本使用 AdGuard Home 的经验写就，不同版本可能略有不同。

安装

opkg 中有现成的 adguardhome 包，直接通过 luci 或者 ssh 安装即可。安装好后它会自动启动。

修改 Dnsmasq 默认端口

Openwrt 中默认使用 dnsmasq 作为 DNS 服务器，就会占用 DNS 的 53 端口。要使用 AdGuard Home 就需要做出一些修改，一般有两种方案：

一是继续使用 dnsmasq 使用 53 端口作为默认 DNS 服务器，AdGuard Home 使用其他端口。通过设置转发或者设置上游的方式将 AdGuard Home 作为 dnsmasq 的上游 DNS 服务器。但这样在 AdGuard Home 无法得知查询 DNS 的客户端，使得部分日志和统计功能变得无意义。
另外一种就是 AdGuard Home 使用 53 端口作为默认的 DNS 服务器，dnsmasq 则使用其他端口。

个人倾向于后者。

因此需要现在 network - DHCP and DNS 页面的 Devices & Ports 设置中将 dnsmasq 的 DNS 服务端口（DNS server port）从 53 修改为其他端口，例如 5353.

初始化配置

通过 opkg 安装 AdGuard Home 后，已自动将 AdGuard Home 添加为启动项并启动。浏览器打开 http://<路由器地址>:3000 即可进入 AdGuard Home 的初始配置界面。根据提示设定 AdGuard Home 网页服务的账号和密码、AdGuard Home 网页服务绑定的接口和端口、DNS 服务器绑定的接口和端口。

页面还有清晰的指引，告知用户如何在不同的终端设备上设定 DNS 查询使用 AdGuard Home。

出于安全考虑，应避免将网页服务、和 DNS 服务暴露在公网中。

出于安全考虑，应使用具有一定强度的密码。

如果希望通过 IPv6 使用 AdGuard Home，不要为 DNS 服务器绑定 IPv4 地址。

完成初始化配置后，AdGuard Home 会重启。

具体设置

完成初始化配置后，通过设定的网页地址和端口进入 AdGuard Home 控制面板。可以为 AdGuard Home 配置更多具体的设置，笔者不作详细介绍，只分享一些个人经验。

常规设置（General setting）

AdGuard 浏览安全、家长控制等功能由于国内众所周知原因无法启用，启用后可能无法上网。
日志保留时间以及统计数据保留时间不要设置太长，尤其是低配置的设备，容易崩。例如日志我只保留 1 小时，统计保留 24 小时。

加密设置（Encryption settings）

对于内网使用，一般不必设置加密。

DHCP 设置（DHCP settings）

个人并不是十分信任 AdGuard Home 的可靠性，因此不建议启用 AdGuard Home 的 DHCP 服务器。避免因为 AdGuard Home 崩溃，导致 DHCP 也无法使用。

DNS 设置（DNS settings）

知名的公共 DNS 服务器信息可从 Known DNS Providers 页面获取。
上游 DNS、后备 DNS、Bootstrap DNS 均建议使用 DOT、DOH、DOQ 等协议，避免 DNS 被劫持。
如果上游 DNS 使用域名形式且对应 IP 地址不经常变动，建议写进 host，节约从 Bootstrap DNS 服务器解析上游 DNS 服务器域名的时间。也能避免上游 DNS 的域名被污染（这里指的上游 DNS 的域名的解析结果被 Bootstrap 污染，与上游 DNS 提供的 DNS 是否被污染无关）。
设置私人反向 DNS：由于没有使用 AdGuard Home 的 DHCP 服务，AdGuard Home 无法解析私人反向 DNS（即将局域网地址反向解析为对应主机名，例如将 192.168.1.1 反向解析为 openwrt）。通过将 dnsmasq 的 DNS 地址（例如前文提到的 127.0.0.1:5353 或 [::1]:5353）作为私人反向 DNS 即可解决此问题。
本地主机查询：与上一项类似， AdGuard Home 可能无法解析本地域，可以添加例如 [/*.lan/]127.0.0.1:5353 到上游服务器中，以将本地域查询转发至 dnsmasq。
DNS 策略：如果选择使用最快的 IP 地址（Fastest IP Address）策略，建议使用少且快的上游 DNS 服务器，否则会起反效果。
默认客户端速度限制较低，如有需要可以适当提高。
开启 EDNS 客户端子网（ECS）理论上可以从支持 ECS 的上游 DNS 服务器获取到更合适的 IP 地址。
DNSSEC 对保护 DNS 有一些帮助，聊胜于无，建议开启。
过滤器封禁模式（Blocking mode）：决定以什么形式响应被过滤器过滤的主机名。一些应用，例如浏览器，当访问的主机名被封禁，例如如果 DNS 返回的形式是 0.0.0.0，一些应用可能不会及时中断连接，从而导致使用体验不佳。（未经严格验证，仅个人感觉。）
缓存大小可以根据设备的性能和个人喜好适当调整。

过滤器设置

类似于 host 封禁，可添加主流的广告屏蔽器列表达到屏蔽广告、跟踪器的效果，相当于一个前置过滤，无需终端设备的支持。
同样地，应该根据设备的性能添加适当的过滤器，不宜过多。
这种基于主机名的广告屏蔽器在实践中的效果聊胜于无，它更适合用于屏蔽跟踪器、恶意网站等等。如果需要更好的广告屏蔽效果，依然建议使用专门的广告过滤软件/插件。
在路由器上添加推荐的过滤器可能会遇到众所周知的网络问题，可以尝试使用镜像服务。

通过 DHCP 通报默认 DNS 地址

经过上述的设置，一个基于 AdGuard Home 的个人 DNS 服务器已经部署完成，但仍需要在各个设备上修改 DNS 地址。通过修改 DHCP 选项，可以让连接到路由器的设备默认使用指定的 DNS 服务器。

打开 network - interfaces 页面，编辑 lan 接口，转到 DHCP Server 选项卡，转到高级设定，可以看到有一项 DHCP 选项（DHCP-Options），底下的说明就介绍了如何设定向 DHCP 客户端通报的 DNS 地址，我们甚至不需要去查询 DHCP 的文档。

例如，在 DHCP 选项（DHCP-Options）中新增一项 “6,192.168.2.1”，意为向 DHCP 客户端通报应使用 192.168.2.1 作为 DNS 查询服务器。

建议设置两个地址，一个为 AdGuard Home 的地址，另一个则为公共 DNS 或者运营商的 DNS，避免因 AdGuard Home 崩溃造成无法访问网络。例如 “6,192.168.2.1,1.0.0.1”

设置 Openwrt 使用的 DNS

安装 AdGuard Home 一段时间后查看 AdGuard Home 的日志，发现有很多来自 localhost 的本地域查询、PTR 查询。一来不开启 DHCP 的 AdGuard Home 本身无法处理这些查询，而需要让 dnsmasq 处理。二来这样的意义不大的查询多了之后，会影响查看日志的观感和数据统计功能。

因此我建议将 openwrt 所使用的 DNS 修改为 dnsmasq，这样本地查询就不会出现在 AdGuard Home 的日志中。方法步骤如下：

让 dnsmasq 忽略上级网关通报的 DNS

在 network - DHCP and DNS 页面的 Resolv & Hosts Files 选项卡中，勾选忽略 resolv 文件 (Ignore resolv file)。这个文件是上级网关通报的默认 DNS，一般为运营商的 DNS。

如果不这样做，dnsmasq 将会把这些运营商 DNS 作为上游进行 DNS 查询。

将 dnsmasq 的上游设置 AdGuard Home

在 network - DHCP and DNS 页面的 Forwards 选项卡中，将 DNS 转发（DNS Forwards）设定为 AdGuard Home 的地址，例如 127.0.0.1 或 ::1 或 localhost。意为将其作为 dnsmasq 的上游 DNS。

如果不这样做，openwrt 本身将无法访问互联网主机。因为在上一步中已经将默认的 DNS 上游取消了。

将 Opnewrt 的 DNS 设置为 dnsmasq

openwrt 自身的 DNS 设定存储于 /etc/resolv.conf，如果它是一个链接，则将它删除重建。默认情况下，openwrt 使用127.0.0.1:53用作 DNS 查询，在前文中 53 端口已用作 AdGuard Home 的 DNS 监听端口， 5353端口才是 dnsmasq 的监听端口。将 /etc/resolv.conf 文件如下所示进行修改：

1
2
3
4
5


 search lan
- nameserver 127.0.0.1
+ nameserver 127.0.0.1:5353
- nameserver ::1
+ nameserver [::1]:5353

桥接模式下让 openwrt 可以访问光猫和互联网

Thu, 21 Mar 2024 15:12:51 +0000

在光猫拨号的情况下，openwrt 可以上网，也可以直接访问光猫的管理页面，也可以直接访问光猫下面连接的其他设备。但在光猫桥接模式下，openwrt 进行拨号，则无法直接访问光猫的管理页面。这时如果需要设置光猫就比较麻烦，需要连接光猫的 wifi 或者网线连接到光猫进行配置。

通过在 openwrt 进行一些设置，则可以通过 openwrt 直接访问光猫的管理页面。

一般前提

本文基于 openwrt 23.05 进行设置。不同版本的界面可能有所不同，但原理是相同的。
本文假设光猫和 openwrt 使用不同的网段（例如光猫的网段为 192.168.1.*，openwrt 的网段为 192.168.2.*），方便进行设置。
本位假设你已在 openwrt 中完成 pppoe 拨号上网的设置。
假设 wan 口的设备（device）名为 wan，接口（interface）名为 wan 及 wan6

步骤 1. 设备选择

笔者尝试使用 4 种方法配置 openwrt 让其可以同时访问光猫和互联网。经测试 4 种方法均可以正常使用。4 种方法的主要区别在于接口设置中的设备选择上，其他的步骤大同小异。

方案 1 - 使用 `wan` 设备

直接使用 wan 设备最简单，无需新增设备。

缺点是在网络 - 接口页面中，wan 接口和 to_modem 接口显示的使用流量相同，不便于查看，并不影响使用。而后面 3 种方案均没有这个问题。

在步骤 2 中新建接口时，设备（device）直接选择 wan 设备即可。

方案 2 - `macvlan` + `macvlan`

首先需要安装 macvlan 软件包。
在 network - devices 页面中新增 2 个 MAC VLAN 设备，基础设备（base device）选择 wan 设备。名字可以自定，默认是 wanmac0 和 wanmac1。mac 地址可以留空（每次启动时会自动生成），或自行指定 2 个不同的 mac 地址。

2 个 MAC VLAN 设备，一个用于 pppoe 拨号上网，另一个用于连接光猫。

注意：在接口设置中，要将接口 wan 和 wan6 的设备（device）设置为其中一个 MAC VLAN 设备，例如 wanmac1 设备。

在步骤 2 中新建接口时，将设备（device）设置另一个 MAC VLAN 设备，例如 wanmac0 设备。

方案 3 - `vlan` + `macvlan`

适合光猫启用了 vlan 绑定的情况，例如单线复用。本文假定你已完成了 vlan 的相关设置，故 vlan 的设置本文不赘述。

首先需要安装 macvlan 软件包。
与方案 2 类似，在 network - devices 页面新增 1 个 MAC VLAN 设备。基础设备（base device）选择 wan。名字可以自定，默认是 wanmac0。mac 地址可以留空（每次启动时启动生成），或自行指定 1 个 mac 地址。

vlan 设备用于 pppoe 拨号上网，MAC VLAN 设备则用于连接光猫。

在步骤 2 中新建接口时，设备（device）选择这个 MAC VLAN 设备，例如 wanmac0。

方案 4 - 双线接入

如果有富余的网线和端口，则可以考虑采用双线接入的方式，例如 openwrt 的 wan 口连接光猫的 lan1 口，用于拨号上网。openwrt 的 lan1 口连接光猫的 lan2 口（也可以是其他端口，自行设置），用于访问光猫网络。

在光猫管理界面的宽带设置中，将 lan2 解绑（也可以是其他端口，自行设置）。
在 openwrt 的 network - devices 页面将 br-lan 设备的桥接端口中，取消 openwrt 的 lan1 口（也可以是其他端口，自行设置）。
用网线连接 openwrt 的 lan1 口和光猫的 lan2 口。

在步骤 2 中新建接口时，设备（device）选择这个 lan1 口。

步骤 2. 接口设置

新建接口和设备选择

在 network - interfaces 页面中新增一个新的 interface （接口）：

名字（name）随意，例如：to_modem。
协议（protocol）选择“静态地址”。
设备（device）根据步骤 1 选择相应的设备。

接口设置

在基本设置中，填入 ipv4 地址、掩码、网关。这里说的 ip 地址、掩码、网关是 openwrt 相对光猫而言的，例如光猫的网段是 192.168.1.* ，那么地址应该 192.168.1.114514 (自行设定)。网关是光猫的地址，一般是 192.168.1.1 ，掩码一般为 /24 即 255.255.255.0 。

高级设置中，取消勾选使用默认网关（Use default gateway）。DNS 权重（DNS weight）和网关跃点（Use gateway metric）设置一个比 lan 接口的跃点大但比 wan 接口的跃点小的数字，例如 lan 的跃点设置 0，to_modem 接口的跃点设置 5，wan 接口的跃点设置 10.

跃点或网关设置不当，则可能会导致无法访问互联网。

防火墙设置中，可以选择 lan 区域或者 wan 区域。建议新建一个区域，例如 modem_zone 。

步骤 3. 防火墙设置

打开 network - firewall 页面，编辑 modem_zone 区域设置：

覆盖网络（Covered networks）：选择前面建立的 to_modem 接口。
允许从源区域转发（Allow forward from source zones）：选择 lan 区域。
开启伪装（Masquerading）。（建议开启。不开也行，但需要在光猫中设置路由）
开启 MSS 钳制（MSS clamping）。
入站（input）：根据自己的需求设置。建议拒绝或者丢弃，表示不允许光猫及光猫下的设备访问 openwrt。
出站（output）：根据自己的需求设置。表示是否允许 openwrt 访问光猫及光猫下的设备。设置接受。
转发（forward）：根据自己的需求设置。表示是否允许源区域设备访问光猫区域。可以接受。

步骤 4. 静态路由设置

转到 network - routing 页面，点击添加静态路由：

接口（inteface）：选择前面的新建的 to_modem 接口。
目标网络（target）：填写光猫的网段及掩码，例如 192.168.1.0/24。
网关（gateway）：填写光猫网关的 ip 地址，一般为 192.168.1.1。
跃点（Metric）：填写一个比 lan 接口的跃点大但比 wan 接口的跃点小的数字，例如笔者将静态路由的跃点设置为 5， lan 接口的跃点设置为 0，wan 接口的跃点设置 10 。

End

完成设置后，openwrt 路由器下的设备就可以直接访问光猫的管理页面了。

ping 光猫地址可以 ping 通：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


> ping 192.168.1.1

正在 Ping 192.168.1.1 具有 32 字节的数据:
来自 192.168.1.1 的回复: 字节=32 时间=1ms TTL=63
来自 192.168.1.1 的回复: 字节=32 时间=1ms TTL=63
来自 192.168.1.1 的回复: 字节=32 时间=1ms TTL=63
来自 192.168.1.1 的回复: 字节=32 时间=3ms TTL=63

192.168.1.1 的 Ping 统计信息:
 数据包: 已发送 = 4，已接收 = 4，丢失 = 0 (0% 丢失)，
往返行程的估计时间(以毫秒为单位):
 最短 = 1ms，最长 = 3ms，平均 = 1ms

在 window 下，可以通过 tracert 指令可以查看路由情况：

1
2
3
4
5
6
7
8
9


> tracert 192.168.1.1

通过最多 30 个跃点跟踪
到 cmcc [192.168.1.1] 的路由:

 1 1 ms 1 ms 1 ms openwrt [192.168.2.1]
 2 1 ms 1 ms 1 ms cmcc [192.168.1.1]

跟踪完成。

openwrt 宽带拨号频繁掉线重连: No response to 5 echo-requests

Fri, 15 Mar 2024 11:08:37 +0000

近日升级了 openwrt 的版本 23.05.4 并重新设置，发现宽带 pppoe 拨号频繁地断线重连，发生时间从几十秒到几分钟不等，已经影响到网络的正常使用，一些物联网设备也因此出错重启。

查看 openwrt 的日志发现，可能与 pppd 的这句 No response to 5 echo-requests 有关。

09:30:25 2024 daemon.info pppd[18184]: No response to 5 echo-requests
09:30:25 2024 daemon.notice pppd[18184]: Serial link appears to be disconnected.
09:30:25 2024 daemon.info pppd[18184]: Connect time 10.8 minutes.
09:30:25 2024 daemon.info pppd[18184]: Sent 598878 bytes, received 128821 bytes.
09:30:25 2024 daemon.notice ttyd[3380]: [ 09:30:25:3453] N: rops_handle_POLLIN_netlink: DELADDR
09:30:25 2024 daemon.notice ttyd[3380]: [ 09:30:25:3529] N: rops_handle_POLLIN_netlink: DELADDR
09:30:25 2024 daemon.err odhcp6c[18588]: Failed to send RS (Network unreachable)
09:30:25 2024 daemon.err odhcp6c[18588]: Failed to send RELEASE message to ff02::1:2 (Network unreachable)
09:30:25 2024 daemon.notice ttyd[3380]: [ 09:30:25:3619] N: rops_handle_POLLIN_netlink: DELADDR
09:30:25 2024 daemon.notice netifd: Interface 'wan6' is disabled
09:30:25 2024 daemon.notice netifd: Network device 'pppoe-wan' link is down
09:30:25 2024 daemon.notice netifd: Network alias 'pppoe-wan' link is down
09:30:25 2024 daemon.notice netifd: Interface 'wan6' has link connectivity loss
09:30:25 2024 daemon.notice netifd: Interface 'wan' has lost the connection
09:30:25 2024 daemon.notice netifd: wan6 (18588): Command failed: ubus call network.interface notify_proto { "action": 0, "link-up": false, "keep": false, "interface": "wan6" } (Permission denied)
09:30:26 2024 user.notice mwan3-hotplug[23451]: mwan3 hotplug on wan6 not called because interface disabled
09:30:26 2024 daemon.err odhcp6c[18588]: Failed to send SOLICIT message to ff02::1:2 (Network unreachable)
09:30:26 2024 daemon.notice netifd: Interface 'wan6' is now down
09:30:27 2024 user.notice mwan3-hotplug[24159]: mwan3 hotplug on wan not called because interface disabled
09:30:31 2024 daemon.notice pppd[18184]: Connection terminated.
09:30:31 2024 daemon.info pppd[18184]: Connect time 10.8 minutes.
09:30:31 2024 daemon.info pppd[18184]: Sent 598878 bytes, received 128821 bytes.
09:30:31 2024 daemon.notice pppd[18184]: Modem hangup
09:30:31 2024 daemon.info pppd[18184]: Exit.
09:30:31 2024 daemon.notice netifd: Interface 'wan' is now down
09:30:31 2024 daemon.notice netifd: Interface 'wan' is setting up now
09:30:31 2024 daemon.info pppd[24717]: Plugin pppoe.so loaded.
09:30:31 2024 daemon.info pppd[24717]: PPPoE plugin from pppd 2.4.9
09:30:31 2024 daemon.notice pppd[24717]: pppd 2.4.9 started by root, uid 0
09:30:37 2024 daemon.info pppd[24717]: PPP session is 46903
09:30:37 2024 daemon.warn pppd[24717]: Connected to CC:**:**:**:**:00 via interface wan.41
09:30:37 2024 kern.info kernel: [22535.653978] pppoe-wan: renamed from ppp0
09:30:37 2024 daemon.info pppd[24717]: Renamed interface ppp0 to pppoe-wan
09:30:37 2024 daemon.info pppd[24717]: Using interface pppoe-wan
09:30:37 2024 daemon.notice pppd[24717]: Connect: pppoe-wan <--> wan.41
09:30:37 2024 daemon.info pppd[24717]: CHAP authentication succeeded: Authentication Successful,Welcome!
09:30:37 2024 daemon.notice pppd[24717]: CHAP authentication succeeded
09:30:37 2024 daemon.notice pppd[24717]: peer from calling number CC:**:**:**:**:00 authorized
09:30:37 2024 daemon.notice pppd[24717]: local LL address fe80::****:f63a
09:30:37 2024 daemon.notice pppd[24717]: remote LL address fe80::****:3100
09:30:37 2024 daemon.notice ttyd[3380]: [ 09:30:37:5595] N: rops_handle_POLLIN_netlink: DELADDR
09:30:37 2024 daemon.notice pppd[24717]: local IP address 172.**.**.**
09:30:37 2024 daemon.notice pppd[24717]: remote IP address 172.**.**.**
09:30:37 2024 daemon.notice pppd[24717]: primary DNS address 211.**.**.**
09:30:37 2024 daemon.notice pppd[24717]: secondary DNS address 120.**.**.**
09:30:37 2024 daemon.notice netifd: Network device 'pppoe-wan' link is up
09:30:37 2024 daemon.notice netifd: Interface 'wan6' is enabled
09:30:37 2024 daemon.notice netifd: Network alias 'pppoe-wan' link is up
09:30:37 2024 daemon.notice netifd: Interface 'wan6' has link connectivity
09:30:37 2024 daemon.notice netifd: Interface 'wan6' is setting up now
09:30:37 2024 daemon.notice netifd: Interface 'wan' is now up
09:30:38 2024 user.notice mwan3-hotplug[25420]: mwan3 hotplug on wan not called because interface disabled
09:30:39 2024 user.notice firewall: Reloading firewall due to ifup of wan (pppoe-wan)
09:30:41 2024 daemon.notice netifd: Interface 'wan6' is now up
09:30:42 2024 user.notice mwan3-hotplug[26292]: mwan3 hotplug on wan6 not called because interface disabled
09:30:42 2024 user.notice firewall: Reloading firewall due to ifup of wan6 (pppoe-wan)

找到 wan 接口高级设置中有两个可能相关的选项 LCP echo failure threshold , LCP echo interval 。

结合页面上的描述和网络资料，这个功能会向上级设备发送所谓 LCP echo request ，上级设备回应则视为正常，上级设备不回应则视为失败，失败次数达到设定的阈值时则触发重连。

例如这篇文章 https://www.chiphell.com/thread-1352411-1-1.html 就提到华硕路由器默认开启这个功能，但国内某些运营商不会对 LCP echo request 进行回应导致路由器掉线重拨。

advance setting of wan interface

但在 openwrt 中 LCP echo failure threshold 的默认值为 0，根据页面上的描述，即忽略错误、不开启这个功能。我在配置路由器时也没有修改此项，按理说不应该会出现这个问题。

当我将 LCP echo failure threshold 修改为 0，LCP echo interval 修改为 3600。luci 没有显示可变更的内容。

我只能将 LCP echo failure threshold 修改为 10，LCP echo interval 修改为 3600。然后前面说的几分钟就断线重连的这种状况就没有再出现了，wan 接口稳定运行。

uptime of wan interface

出现问题的具体原因我没有细究，猜测可能 openwrt 的默认设置与 pppd 的默认设置有一些冲突，导致设置 LCP echo failure threshold 为 0 不生效。

在 VS Code 中添加 Git Bash 终端集成

Tue, 20 Feb 2024 20:28:21 +0000

最近重装了 vscode 和 git，发现在 vscode 中无法直接使用 git bash 终端。估计是因为没装到默认路径或者没添加 path 导致 vscode 找不到 git bash。

terminal profile option

解决方法

在 vscode 的 setting.json 中添加相应的设置即可。

ctrl + , 打开 Settings 页面。
1. 搜索 @feature:terminal profile window
2. 找到 Terminal › Integrated › Profiles: Windows,
3. 选择Edit in settings.json
  
  Terminal › Integrated › Profiles: Windows

在 settings.json 文件中，向 "terminal.integrated.profiles.windows": { } 对象中新增 git bash 的设置。

1
2
3
4
5


"Git Bash": {
 "source": "Git Bash", // A profile source that will auto detect the paths to the shell. Note that non-standard executable locations are not supported and must be created manually in a new profile.
 "path": "D:\\Scoop\\apps\\git\\current\\bin\\bash.exe", // A single path to a shell executable or an array of paths that will be used as fallbacks when one fails.
 "icon": "terminal-bash" // A codicon ID to associate with the terminal icon.
 }

其中起作用的 path 属性，source 和 icon 属性可删除，icon 也可以设置为自己喜欢的图标。注意将 path 属性设置为你自己的路径。一般位于 ......\\git\\bin\\bash.exe

settings.json example

保存设置后，应该就能在新建终端选项中看到 git bash 了。如果没有，则检查 path 属性的路径是否正确。

terminal profile option
如果有需要，可通过 Terminal › Integrated › Default Profile: Windows 将 git bash 设置为默认终端。

Terminal › Integrated › Default Profile: Windows

terminal profile option

git-bash (MINGW64) 速度慢

Wed, 03 Jan 2024 17:57:31 +0000

之前一直觉得在 Windows 上使用 git-bash (MINGW64)运行 hexo 速度慢。今天在 Windows 10 和 WSL 中分别测试了一下，结果表明这是真的，不是错觉。

Windows 10

在 Windows 10 中使用 git-bash 运行：

1
2
3
4


rm -rf public db.json
time pnpm build

# pnpm build = hexo generate

得到结果，用时约为 11 秒。

1
2
3


real 0m11.384s
user 0m0.000s
sys 0m0.015s

WSL

在 WSL 中 git clone 我的博客仓库，运行同样的命令：

1
2
3
4


rm -rf public db.json
time pnpm build

# pnpm build = hexo generate

用时仅为 6.5 秒，几乎相差一倍。

1
2
3


real 0m6.503s
user 0m11.209s
sys 0m1.927s

我分别进行了多次测试，数据差别不大。为了简洁只展示其中一次的数据。

不过，我一般使用 Github Action 进行构建博客，在 Windows 上速度如何，影响并不大。但是，如果其他的应用、工具也有这样问题，那么对效率影响还是挺大的。

HSTS 需注意跳转顺序

Wed, 03 Jan 2024 13:05:38 +0000

我很早就在我的网站上开启了这个功能。并加入了 hstspreload.org ，但今天偶然发现 HSTS Preload 并没有生效。原因是我之前迁移网站时，手贱将网站在 cloudflare 的页面规则修改了，导致不符合 hstspreload 的要求。

HSTS 是什么

HTTP Strict Transport Security 简称 HSTS。

简单来说，在网站中启用这个标头可以让浏览器只通过 https 协议进行访问，避免浏览器或用户访问 http 地址时被劫持。比仅配置 “HTTP 到 HTTPS（301）重定向” 要安全。

需要注意的问题

https 跳转

HSTS Preload 要求，域名应该由 http 跳转到对应的 https 。不能直接跳转到子域名。

而我的网站使用 www 子域名，我正好犯了这个错误，迁移时不慎将页面规则修改成：主域名 http 直接跳转到子域名 www 的 https ，导致不符合 HSTS Preload 的要求。

ERROR: HTTP redirects to www first

如果不使用主域名而是使用子域名（例如 www ），那么正确的跳转顺序应该为：

从主域名的 http 跳转到主域名的 https
再由主域名的 https 跳转到子域名 www 的 https。

过期时间

Cloudflare 推荐的过期时间为 6 个月，最大可设置的时间为 12 个月，但 hstspreload.org 要求最低 1 年，推荐 2 年。

所以在 Cloudflare 上开启 hsts 时，要注意将 hsts 的 max-age 设置为 12 个月。

cloudflare hsts setting

git 文件大小写问题

Wed, 03 Jan 2024 00:46:30 +0000

问题

今天偶然发现，对于已经在 git 中 commit 的文件，修改其文件名大小写，git 不会记录文件名的变化。上网搜索发现不少人都遇到过这个坑。

解决

对于已 commit 的文件，使用 git mv <src> <dest>，例如：

`1`	`git mv file_name.ts File_Name.ts`

然后进行 commit，push 即可。

后续

为免后患，可以修改 git 配置项。将 core.ignorecase 修改为 false

修改当前项目的设置

1
2


# git config core.ignorecase false
git config --local core.ignorecase false

修改全局设置

1

git config --global core.ignorecase false

git sparse checkout 的正确操作方式

Fri, 29 Dec 2023 19:13:51 +0000

网上有的文章修改 .git/info/sparse-checkout 以进行 sparse checkout，实际上 git 有自带的 sparse-checkout 命令。

操作步骤

带参数克隆仓库

1

git clone --no-checkout --sparse --filter=blob:none git@github.com:<username>/<repo>.git

参数	含义
`--no-checkout`	不 checkout 到 HEAD
`--sparse`	开启 sparse-checkout 功能
`--filter=blob:none`	不下载 blob 对象（重要，否则还是需要下载大量数据）

refs: git clone

进入目录

1

cd <repo>

指定需要 checkout 的目录

`1`	`git sparse-checkout add <path/to/>`

refs: git sparse-checkout

注意：默认情况下 sparse-checkout 为 cone 模式。默认情况下 sparse-checkout 会包含根目录下的文件。非 cone 模式存在诸多问题，因此 git 官方文档不建议使用非 cone 模式。详见文档。

进行 checkout

1

git checkout [<branch>]

可以看到下载的数据和等待的时间大大减少，

remote: Enumerating objects: 31, done.
remote: Counting objects: 100% (11/11), done.
remote: Compressing objects: 100% (11/11), done.
remote: Total 31 (delta 0), reused 0 (delta 0), pack-reused 20
Receiving objects: 100% (31/31), 616.91 KiB | 636.00 KiB/s, done.
Resolving deltas: 100% (1/1), done.
Updating files: 100% (32/32), done.
Already on 'main'
Your branch is up to date with 'origin/main'.

Windows 修改 Docker Desktop 安装位置和数据位置

Fri, 22 Dec 2023 14:03:46 +0000

在 Windows 下，Docker Desktop 的安装位置默认在 C 盘， WSL 的数据位置也默认在 C 盘。C 盘分区小就很难受了。

网上有通过修改注册表和建立链接来修改 Docker Desktop 安装位置的方法，也有通过导出导入 WSL 数据实现修改 WSL 数据位置的方法。但这些都比较麻烦，实际上 Docker 的安装程序有提供修改位置的接口，使用命令行安装即可指定安装位置和数据位置，并且官方文档有介绍，详见 Install Docker Desktop on Windows 。

命令行安装

下载 Docker Desktop Installer.exe 后，使用

1

"Docker Desktop Installer.exe" install

进行安装，同时根据自己的需要指定以下参数

--installation-dir=<path>
--hyper-v-default-data-root=<path>
--windows-containers-default-data-root=<path>
--wsl-default-data-root=<path>

即可指定安装位置以及数据位置。

示例

例如，在 git-bash 下运行：

1

'./Docker Desktop Installer.exe' install --installation-dir='D:\docker\docker' --wsl-default-data-root='D:\docker\wsl-data' --hyper-v-default-data-root='D:\docker\hyper-data' --windows-containers-default-data-root='D:\docker\windows-data'

Cloudflare Pages 推出构建缓存（Build cache）功能

Thu, 12 Oct 2023 00:13:09 +0000

今天无意中看到 Cloudflare Pages 新推出构建缓存（Build cache）支持，试用了一下，提升还是挺大的。

Cloudflare Pages Build cache (beta)

Cloudflare Pages 的官方文档 https://developers.cloudflare.com/pages/platform/build-caching/

Cloudflare Pages Build cache 类似于 Github Action 的 Cache，可以将依赖缓存起来以加快构建速度。目前还是 beta 状态，支持部分包管理器和框架，可以在自己的项目设置中进行开启。需要注意的是构建缓存（Build cache）依赖于 V2 构建系统（build system）。如果你正在使用 V1，需要先先升级到 V2.

注意这是 Cloudflare Pages 的构建缓存，不是 Cloudflare CDN 的缓存。

配置

配置界面目前很简单，只需要在在你的 pages 项目中的 “Settings > Builds & deployments > Build cache” 中点击开启即可。另外在设置中可以手动清除缓存（Clear cache）。

支持范围

根据官方文档，目前支持

yarn 1, npm, pnpm, bun 包管理器，（Cloudflare 将其称为 dependencies cache）
Gatsby, Next.js, Astro 框架。（Cloudflare 将其称为 build output cache）

限制

目前的缓存保留 7 天，每个项目最多 10GB 的缓存空间。

试用

开启前触发一次构建，开启后再触发一次构建，对比两次构建的速度。

我使用的是 pnpm 包管理器。

开启前

开启前，pnpm install 耗时 9.9s，所有的包都是通过下载（download）进行安装的。

09:01:12.995 Detected the following tools from environment: pnpm@8.7.1, nodejs@18.17.1
09:01:15.074 Installing project dependencies: pnpm install
09:01:16.011 Lockfile is up to date, resolution step is skipped
09:01:16.047 Progress: resolved 1, reused 0, downloaded 0, added 0
09:01:16.178 Packages: +490
09:01:16.179 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
09:01:16.723 Packages are hard linked from the content-addressable store to the virtual store.
09:01:16.724 Content-addressable store is at: /opt/buildhome/.pnpm-store/v3
09:01:16.724 Virtual store is at: node_modules/.pnpm
09:01:17.054 Progress: resolved 490, reused 0, downloaded 36, added 30
09:01:18.058 Progress: resolved 490, reused 0, downloaded 82, added 75
09:01:19.062 Progress: resolved 490, reused 0, downloaded 155, added 150
09:01:20.070 Progress: resolved 490, reused 0, downloaded 243, added 242
09:01:21.079 Progress: resolved 490, reused 0, downloaded 345, added 344
09:01:22.079 Progress: resolved 490, reused 0, downloaded 445, added 444
09:01:23.081 Progress: resolved 490, reused 0, downloaded 486, added 486
09:01:23.855 .../node_modules/****** postinstall$ ......
09:01:24.084 Progress: resolved 490, reused 0, downloaded 490, added 490, done
09:01:24.668 .../node_modules/****** postinstall: > ......
09:01:25.455
09:01:25.456 dependencies:
......
09:01:25.460 + ......
09:01:25.460
09:01:25.465 Done in 9.9s

开启后

开启后，pnpm install 耗时 3.4 秒。所有的包都是通过重用（reuse）进行安装。

可以看到日志中多出 Restoring from dependencies cache, Restoring from build output cache，值得注意的是这个过程将近 4 秒（我这里只有 dependencies cache）。

22:35:03.716 Restoring from dependencies cache
22:35:03.739 Restoring from build output cache
22:35:07.525 Success: Dependencies restored from build cache.

22:35:07.663 Detected the following tools from environment: pnpm@8.7.1, nodejs@18.17.1
22:35:09.726 Installing project dependencies: pnpm install
22:35:10.632 Lockfile is up to date, resolution step is skipped
22:35:10.668 Progress: resolved 1, reused 0, downloaded 0, added 0
22:35:10.791 Packages: +490
22:35:10.791 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
22:35:11.137 Packages are hard linked from the content-addressable store to the virtual store.
22:35:11.138 Content-addressable store is at: /opt/buildhome/.pnpm-store/v3
22:35:11.138 Virtual store is at: node_modules/.pnpm
22:35:11.669 Progress: resolved 490, reused 59, downloaded 0, added 56
22:35:12.669 Progress: resolved 490, reused 411, downloaded 0, added 410
22:35:13.635
22:35:13.635 dependencies:
......
22:35:13.637 + ......
22:35:13.638
22:35:13.645 Done in 3.4s
22:35:13.670 Progress: resolved 490, reused 490, downloaded 0, added 490, done

结果

可以看到 pnpm install 从 9.9 秒缩短到 3.4 秒，我认为这个速度提升还是挺大的。

我这个网站是小项目，依赖少，提升还不算明显。如果是稍大的项目，相信效果会更明显。

目前构建缓存（Build cache）这个功能支持的范围较少，也不能自定义缓存的内容，希望未来会有所改进。

ERR_PNPM_UNEXPECTED_PKG_CONTENT_IN_STORE

Sat, 02 Sep 2023 16:26:32 +0000

今天为一个仓库执行 pnpm i 时出现错误 ERR_PNPM_UNEXPECTED_PKG_CONTENT_IN_STORE 。在网络上一番搜索后无果。

从字面意思上看，pnpm 的 store 里出现了一些不应该出现的东西。

使用 pnpm store prune 后依然出错。

最后用 rm -rf $(pnpm store path) 解决，即强制删除整个 store。代价是要所有项目都要重新安装依赖。

用 Github CLI 删除仓库

Fri, 01 Sep 2023 09:12:17 +0000

一行命令快捷删除 Github 上的仓库，让删库跑路更简单。

背景

组织的仓库太多了。但我不喜欢在我的账户里保留太多仓库。我一般在使用的时候才 fork， pull request 被合并后就删除仓库。

但在网页上删除仓库实在是有点繁琐：

先要找到那个仓库
再点击设置
再点击删除
再点击删除对话框里的 “I want to delete the repository”
再点击删除对话框里的 “I have read and understand these effects”
最后还得输入或者复制仓库名进行确认。

再加上网络问题，以上过程就更折磨了。

解决方法

Github 有一款工具叫 Github CLI ，我之前一般用来克隆仓库和看 PR，突发奇想或许 Github CLI 可以删除仓库，查了一下 Manual 果然有这样的功能。

`gh repo delete`

官方文档 gh repo delete

获取权限

要先获取 delete_repo 权限，按提示操作，获取一次即可。

`1`	`gh auth refresh -s delete_repo`

删除仓库

1

gh repo delete [<repository>] [flags]

命令也简单，只输入 gh repo delete 的话就是删除当前仓库。也可以指定仓库。

加上 --yes 无需确认，直接删除。不加的话会让你确认。

示例

1
2


gh repo delete username/example-repo
gh repo delete username/example-repo --yes

警告

进行此类高风险操作（包括删除仓库、改变仓库可见性）时，强烈建议始终显式指定用户名和仓库名。不要依赖 gh 命令的默认仓库，以免误操作。

git 指令备忘

Sun, 02 Jul 2023 09:27:46 +0000

总是记不住命令，每次都要搜索。自己记录一下，方便查找。

git reset

git reset –hard

将本地仓库恢复至指定 commit 的状态。 commit 记录和文件都会丢失。

`1`	`git reset --hard fjf88323horjs2eofu23u03ji332uio532u4io32`

git reset –mixed

将本地仓库恢复到 git add 之前的状态。修改的内容会保留在工作区中。

1
2


git reset fjf88323horjs2eofu23u03ji332uio532u4io32
git reset --mixed fjf88323horjs2eofu23u03ji332uio532u4io32

git reset –soft

恢复到 git commit 之前（即 git add 之后）的状态。即修改的内容被暂存，但未提交。

`1`	`git reset --soft fjf88323horjs2eofu23u03ji332uio532u4io32`

git pull

从远程获取分支，并且与本地分支合并

简单来说，git pull 相当于 git fetch + git merge （实际上有差别）。

以下两个命令等效（默认设置下），拉取 origin 并合并

1
2


git pull
git pull origin

拉取远程仓库的 main 分支，并与当前分支合并

`1`	`git pull origin main`

拉取远程仓库的 main 分支，并与本地的 dev 分支合并

`1`	`git pull origin main:dev`

git remote

管理远程分支

添加一个名为 uptream 的远程分支

`1`	`git remote add uptream git@github.com:mdn/content.git`

将名为 uptream 的远程分支改名为 down

`1`	`git remote rename uptream down`

删除名为 down 的远程分支

`1`	`git remote remove down`

git submodule

删除子模块

网上很多文章写的要删除这个文件、编辑那个文件，把步骤搞得很复杂。其实并不需要，实际上只需要三步。

取消注册子模块
1

git submodule deinit submodulePath
此时，子模块从你的工作区以及 .git/config 中移除了，并未从配置中移除。此时可以通过 git submodule init, git submodule update 重新加载子模块.
从工作区和暂存区删除子模块
1

git rm -r submodulePath
此命令会同步删除 .gitmodules 内的相应内容.
删除 .git/modules/ 内的相应内容

增加子模块

`1`	`git submodule add <repo> <path>`

这时会增加子模块的配置，以及克隆子模块到本地。

加载子模块

克隆父仓库时是不会加载子模块的，一般需要手动加载。

1
2


git submodule init
git submodule update

更新子模块

当子模块有更新，需要更新时，可以进入子模块目录中，手动 git pull 拉去更新。

1
2


cd submodulepath
git pull origin main

或者，git submodule foreach 为所有子模块执行命令。

`1`	`git submodule foreach git pull origin main`

操作子模块仓库

子模块实际上就是一个完整的仓库。进入子模块的目录，按照正常流程操作即可。

WSL2 安装

Mon, 26 Jun 2023 11:15:15 +0000

关于 WSL 的安装，Microsoft Learn 写得已经比较完善了，网络上也有较多教程。我主要记录一下 WSL 手动安装的步骤。

Microsoft Learn - 安装 WSL - https://learn.microsoft.com/zh-cn/windows/wsl/install
Microsoft Learn - 旧版 WSL 的手动安装步骤 - https://learn.microsoft.com/zh-cn/windows/wsl/install-manual
Zhihu Robin - Win11 WSL2 安装+配置+迁移 - https://zhuanlan.zhihu.com/p/613427280
CSDN - win11 安装 WSL2 在非 C 盘及配置（图形界面+代理） - https://blog.csdn.net/weixin_45840825/article/details/127138564

安装方式

根据 Microsoft Learn 的说明，安装 WSL 有两种方式，

正常安装
手动安装

正常安装

根据 Microsoft Learn 的介绍，只需 wsl --install 即可完成安装。但我没有尝试过。

Microsoft Learn - 安装 WSL - https://learn.microsoft.com/zh-cn/windows/wsl/install

手动安装

Microsoft Learn - 旧版 WSL 的手动安装步骤 - https://learn.microsoft.com/zh-cn/windows/wsl/install-manual

WSL2 版本要求

Windows 10 (x64)：版本 1903 或更高版本，内部版本为 18362.1049 或更高版本。
Windows 10 (ARM64)：版本 2004 或更高版本，内部版本为 19041 或更高版本。
Windows 11。

在 运行(win+R) 或 Powershell 中输入 winver 即可查看版本。或者在设置中查看。

启用 WSL（适用于 Linux 的 Windows 子系统）

以管理员身份打开 PowerShell, 执行

1

dism.exe /online /enable-feature /featurename:Microsoft-Windows-Subsystem-Linux /all /norestart

这个步骤与在 程序与功能 - 启用或关闭Windows功能 中启用 适用于 Linux 的 Windows 子系统(WSL) 应该是等效的

启用虚拟机平台

以管理员身份打开 PowerShell, 执行

1

dism.exe /online /enable-feature /featurename:VirtualMachinePlatform /all /norestart

这个步骤与在 程序与功能 - 启用或关闭Windows功能 中启用 虚拟机平台 应该是等效的。

下载安装 Linux 内核更新包

下载并安装 Linux 内核更新包

适用于 x64 计算机的 WSL2 Linux 内核更新包 - https://wslstorestorage.blob.core.windows.net/wslblob/wsl_update_x64.msi
适用于 ARM64 计算机的 WSL2 Linux 内核更新包 - https://wslstorestorage.blob.core.windows.net/wslblob/wsl_update_arm64.msi

如果链接失效，请查阅【Microsoft Learn - 步骤 4-下载 Linux 内核更新包】 https://learn.microsoft.com/zh-cn/windows/wsl/install-manual#step-4---download-the-linux-kernel-update-package

这名字起得很奇怪，Microsoft Learn 文章里面叫做【Linux kernel update package】（Linux 内核更新包），但下载的文件是【wsl_update】（应该是 wsl 的更新包）。我也不知道到底是在更新什么。

将 WSL2 设置为默认版本

Powershell 执行

1

wsl --set-default-version 2

手动下载 Linux 发行版

Microsoft Learn 以及网络上的文章都会教你在 Microsoft Store 下载安装 Linux 发行版。但是这样安装会导致 Linux 被安装到 C 盘，如果 C 盘空间充足那也没什么所谓。C 盘空间不足的话就要通过其他办法安装。

将 Linux 安装在其他位置的两种方法：

Zhihu Robin - Win11 WSL2 安装+配置+迁移 - https://zhuanlan.zhihu.com/p/613427280

CSDN - win11 安装 WSL2 在非 C 盘及配置（图形界面+代理） - https://blog.csdn.net/weixin_45840825/article/details/127138564

我用的第二种办法，需要手动下载 Linux 发行版的安装包。

Linux 发行版下载链接可以在【Microsoft Learn - 下载发行版】 https://learn.microsoft.com/zh-cn/windows/wsl/install-manual#downloading-distributions 取得。

安装 Linux 发行版

直接安装

直接安装下载得到的.Appx或.AppxBundle文件与从 Microsoft Store 下载安装的效果是一致的，Linux 产生的文件会被放置在 C 盘。

解压安装

.Appx或.AppxBundle文件实质上就是一个压缩包

用压缩软件打开.Appx文件
将文件解压缩到你想安装的目录。
运行里面的可执行程序，如ubuntu.exe

正常情况下，等待片刻即可完成安装。安装后就能看到 Linux 的硬盘映像文件（vhdx）就存放在安装目录下。

vhdx in current dir

更新后出错（不支持此接口 Error code: Wsl/0x80004002）

更新

在我完成上面的安装后，wsl 和 ubuntu 已经可以正常运行。

在运行时，wsl 会提示更新。

1
2
3
4


适用于 Linux 的 Windows 子系统现已在 Microsoft Store 中可用!
你可以通过运行“wsl.exe --update”或通过访问 https://aka.ms/wslstorepage 进行升级
从 Microsoft Store 安装 WSL 将可以更快地获取最新的 WSL 更新。
有关详细信息，请访问 https://aka.ms/wslstoreinfo

出错

在我执行wsl.exe --update更新后，wsl 却无法运行了。

1
2


不支持此接口
Error code: Wsl/0x80004002

解决方法

在开始菜单或者 Microsoft Store 卸载 Windows Subsystem for Linux 即可。

Epic 批量撤回访问权限

Thu, 01 Jun 2023 16:22:24 +0000

看到 Epic 里有很多第三方应用程序可以访问自己数据，有点不爽，写了小脚本批量取消访问权限。

Epic–应用与账户–管理应用和绑定账户的许可 https://www.epicgames.com/account/connections

根据 Epic 的描述:

您可选择将自己的 Epic Games 账户与第三方应用程序链接。您可随时撤销第三方访问您数据的权限。您的密码和付款详细信息决不会被透露给第三方应用程序。

总所周知，epic 送了许多游戏。因此我在这个页面有很多应用。一个一个点击太麻烦了，于是随手用 JavaScript 写了小脚本批量撤销全部权限。

由于我一下子全撤销成功了，所以代码没有充分测试。不保证一定能用。

警告

脚本会撤销全部权限

请谨慎操作！！ 一切后果自负

使用方法

浏览器打开 epic 并登录，打开应用与账户页面https://www.epicgames.com/account/connections
打开浏览器的开发者工具(F12)
切换至控制台(Console)，粘贴代码，回车运行。

代码

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


const bt = () => {
 b = document.getElementsByClassName(
 'MuiButtonBase-root MuiButton-root MuiButton-text MuiButton-textPrimary MuiButton-disableElevation'
 );
 b[0].click();
 setTimeout(confirm, 500);
};
const confirm = () => {
 c = document.getElementsByClassName(
 'MuiButtonBase-root MuiButton-root MuiButton-contained MuiButton-containedPrimary MuiButton-containedSizeLarge MuiButton-sizeLarge MuiButton-disableElevation'
 );
 c[0].click();
};
setInterval(bt, 2000);
// 完成后记得手动关闭网页，否则代码会一直运行

无需桥接，机顶盒自带功能抓取 IPTV 节目源

Tue, 31 Jan 2023 22:56:26 +0000

无需桥接、无需交换机，机顶盒自带抓包功能抓取 IPTV 节目源。

网络上有很多关于抓取 IPTV 节目源的教程，他们大多需要使用交换机的镜像端口或者两张网卡桥接进行抓包，涉及到专门的设备和接线问题，操作起来还是有一定难度的。

实际上，部分机顶盒可能自带抓包功能，可以无需接线、无需复杂的设置就能抓包。

本文测试使用的机顶盒型号为 中兴ZTE 的 B860AV1T 。

查看机顶盒是否有此项功能

以 ZTE_B860AV1T 为例，在 设置 > 更多 页面中找到 U盘抓日志 这个选项，能找到并能打开即说明有抓包功能。

如果没有，那么本文不适合你的设备，请尝试其他抓包方法。

我没有遇到密码。部分网友反馈进入设置需要密码，如果有密码，尝试 1234, 123456, 0000, 000000, 10000 等简单密码。

设置

U盘抓日志

所需设备

U 盘（插在机顶盒上，用于存放抓包日志数据）
IPTV 机顶盒
电脑\计算机及 Wireshark 软件 (读取抓包日志数据)

抓包的具体操作步骤

1. 关机，拔网线，插 U 盘

首先关闭 IPTV 机顶盒，拔掉 IPTV 机顶盒的网线，插入 U 盘。

2. 开机，进入设置页面

此时开机，画面会出现转圈或者提示错误，无需理会，直接点击遥控器上的 设置 按钮，进入设置界面。

3. 开启抓包功能

在设置中找到抓包功能，并勾选以太网数据包，开启抓包。

4. 返回首页，观看直播

点击遥控器上的 首页 键或者 返回 键，等待页面加载。

点击 直播 键，直到可以正常观看电视节目。

5. 停止抓包，完成

进入 设置 页面，点击停止抓包。

至此抓包结束。正常操作下来，U 盘上就会出现 .pcap00 的数据包。

有这个文件，你就可以在 Wireshark 软件中读取抓包日志。

注意使用单分区的 U 盘。（多分区的 U 盘，如制作了 PE 的 U 盘会含有隐藏分区，你或你的机顶盒可能无法正确读取该 U 盘的数据）

提取节目源地址

后续步骤就是从 .pcap00 日志数据包中提取节目源地址。

关于提取节目源地址和使用节目源地址的方法，网上已经有很多文章了，这里不再赘述。

iptv potplayer

Win10 无网络问题

Fri, 13 May 2022 21:40:36 +0000

Windows10 能上网但显示未连接网络，任务栏显示小地球图标。

之前用的是 Windows10 LTSC 2019, 最近升级了 Windows10 LTSC 2021. 就出现了右下角显示未连接网络的问题，但实际上网络是正常的。

原因、原理

问题都出在一个叫 ncsi 的东西上，这是微软用来检测网络状况的一个工具。从注册表中可以看到检测方式有两种，一种是检测 DNS 连通状况，另一种是检测网页连通状况。

\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NlaSvc\Parameters\Internet

regedit

例如：

检测 DnsProbeHost 的 DNS 返回值是否等于 DnsProbeContent。
检测 http://${WebProbeHost}/${WebProbePath} 的 Response 返回值是否等于 WebProbeContent。

解决办法

关闭检测功能(不推荐，不实用)

通过配置 \HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NlaSvc\Parameters\Internet 下的 EnableActiveProbing 关闭这个检测功能。

据网友反馈，这样操作，一些应用依然会认为计算机没有联网而无法使用。

使用之前的检测地址

微软在某次更新中，使用了新的检测地址。而有一段时间这个检测地址被国内网络屏蔽了，导致 Windows 错误地提示未连接到互联网。不过现在应该已经解除屏蔽了。

上方图片即为之前的检测配置，对照修改就可。

下面为导出的 .reg 注册表项，可复制粘贴保存为 .reg 文件打开导入。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22


Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NlaSvc\Parameters\Internet]
"ActiveDnsProbeContent"="131.107.255.255"
"ActiveDnsProbeContentV6"="fd3e:4f5a:5b81::1"
"ActiveDnsProbeHost"="dns.msftncsi.com"
"ActiveDnsProbeHostV6"="dns.msftncsi.com"
"ActiveWebProbeContent"="Microsoft NCSI"
"ActiveWebProbeContentV6"="Microsoft NCSI"
"ActiveWebProbeHost"="www.msftncsi.com"
"ActiveWebProbeHostV6"="ipv6.msftncsi.com"
"ActiveWebProbePath"="ncsi.txt"
"ActiveWebProbePathV6"="ncsi.txt"
"CaptivePortalTimer"=dword:00000000
"CaptivePortalTimerBackOffIncrementsInSeconds"=dword:00000005
"CaptivePortalTimerMaxInSeconds"=dword:0000001e
"EnableActiveProbing"=dword:00000001
"PassivePollPeriod"=dword:0000000f
"StaleThreshold"=dword:0000001e
"WebTimeout"=dword:00000023

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NlaSvc\Parameters\Internet\ManualProxies]

诊断网络

一直以为 window 的诊断功能是没有作用的。但据一些网友反馈，前面两种方法都没有作用，使用诊断网络修复后却正常了。

修改 Host 文件

这是我遇到的情况，以上几种方法都尝试无果。

一番折腾后发现使用 AdGuardHome 的 dns 服务时，会提示未联网。但是使用自动 Dns 时，则不会提示。因此猜测是与 AdGuardHome 冲突了。

在 C:\Windows\System32\drivers\etc\hosts 中添加

131.107.255.255 dns.msftncsi.com
fd3e:4f5a:5b81::1 dns.msftncsi.com

自此问题解决

替换检测地址

根据检测的原理，可以选择合适的域名和网站替换掉微软的检测地址。

参数	含义	默认值
`DnsProbeHost`	dns 检测地址	`dns.msftncsi.com`
`DnsProbeContent`	dns 解析结果	`131.107.255.255`, `fd3e:4f5a:5b81::1`
—	—	—
`WebProbeHost`	web 检测域名	`www.msftncsi.com`
`WebProbePath`	web 检测路径	`ncsi.txt`
—	完整的检测地址	`http://www.msftncsi.com/ncsi.txt`
`WebProbeContent`	检测地址返回的内容	`Microsoft NCSI`

例如 dns.alidns.com 的 DNS 解析结果为 2400:3200::1, 2400:3200:baba::1, 223.5.5.5, 223.6.6.6

自行折腾去吧。

end

个人猜测这个东西和安卓系统上面的网络叹号是类似的。但是谷歌的那个检测地址是被墙了。

头部跟踪 / 头瞄简单总结

Tue, 10 May 2022 16:32:47 +0000

国内似乎对头瞄的使用不多，淘宝上的结果也很少。简单记录我了解到的一些头瞄方法。

人脸识别

https://github.com/AIRLegend/aitrack

https://github.com/xuhao1/FOXTracker

通过摄像头采集人脸，配合 opentrack 使用。实测 cpu 占用较高，电脑配置低的话会影响游戏，运行较慢。

iPhone Face ID

据万能的网友，iPhone 的 face id 也能用来做人脸识别，而且得益于 iPhone 的人脸识别硬件，识别能力更强。

Aruco 码

https://github.com/opentrack/opentrack

Aruco码

将 Aruco 码打印并固定在头上，通过摄像头识别 Aruco 码，配合 opentrack 使用。cpu 占用较低，效果也比人脸识别要好。

红外识别

自制有一定技术门槛，国内似乎没有商家专门做这样的产品，我找到的只有 trackir 的山寨版。简单来说就是使用几颗红外光 led 灯珠发射红外光，摄像头根据几点红外计算头部的运动情况，又分为主动红外和被动红外。动手能力强的值得一试，成本也不高。

传感器

前面介绍的都是通过摄像头采集信息，因此存在一定的使用范围，例如头部转动范围不能太大、效果会受环境光影响。

而传感器则没有这些限制，网上有人使用手机软件配合 opentrack 实现头部跟踪。

也有商业的产品，不过价格较高，不予考虑。

据网友的评价传感器的方式会发生偏移的情况，效果不是很理想。

使用 `gpg` 生成密钥以及对 git commit 签名

Thu, 10 Feb 2022 16:09:57 +0000

Signed Commit

Github 的 Commits 记录中的绿色 “Verified” 挺好看的，整一个。

使用 GPG Key 对 commit 签名即可在 Commits 记录中显示绿色 “Verified”。本文以 Github 为例。

环境

git version 2.35.1.windows.2

gpg (GnuPG) 2.2.29-unknown

windows 的 git 自带了 gpg, 无需单独下载安装。其他平台可能需要手动下载安装。

生成 GPG Key

输入指令。
1

gpg --full-generate-key

选择 key 类型，根据 Github 文档推荐选择默认，直接 enter。

Please select what kind of key you want:
 (1) RSA and RSA (default)
 (2) DSA and Elgamal
 (3) DSA (sign only)
 (4) RSA (sign only)
(14) Existing key from card
Your selection?

选择 RSA 长度，根据 Github 文档推荐选择 4096。

RSA keys may be between 1024 and 4096 bits long.
What keysize do you want? (3072) 4096

选择有效期，我这里选择一年

1
2
3
4
5
6
7


Please specify how long the key should be valid.
 0 = key does not expire
 <n> = key expires in n days
 <n>w = key expires in n weeks
 <n>m = key expires in n months
 <n>y = key expires in n years
Key is valid for? (0) 1y

输入名字和邮箱，注意邮箱必须使用 Github 绑定的邮箱，否则在 Github 中会提示验证失败。如果开启了 Github 的 “Keep my email addresses private” 功能，则必须使用 Github 提供 <id>-<username>@users.noreply.github.com 地址。
1 2 3 4

GnuPG needs to construct a user ID to identify your key. Real name: lixx.org Email address: lixx@test.org Comment:

信息无误则输入 O 确认。

1

Change (N)ame, (C)omment, (E)mail or (O)kay/(Q)uit? o

输入安全口令。

建议设置密码，以保护 GPG Key

完成生成。

记录 16 位的 key id，例如我这里是 71C5EA31976DCC31。

We need to generate a lot of random bytes. It is a good idea to perform
some other action (type on the keyboard, move the mouse, utilize the
disks) during the prime generation; this gives the random number
generator a better chance to gain enough entropy.

gpg: key '71C5EA31976DCC31' marked as ultimately trusted
gpg: revocation certificate stored as '/c/Users/lixx/.gnupg/openpgp-revocs.d/681E61312333B6D9CC0A219771C5EA31976DCC31.rev'
public and secret key created and signed.

pub rsa4096 2022-02-10 [SC] [expires: 2023-02-10]
 681E61312333B6D9CC0A219771C5EA31976DCC31
uid lixx.org <lixx@test.org>
sub rsa4096 2022-02-10 [E] [expires: 2023-02-10]

输出 GPG 公钥

使用 gpg --armor --export <key-id> 输出公钥，我的 key-id 为 71C5EA31976DCC31

`1`	`gpg --armor --export 71C5EA31976DCC31`

然后得到公钥

-----BEGIN PGP PUBLIC KEY BLOCK-----
.
.
.
-----END PGP PUBLIC KEY BLOCK-----

添加公钥到 Github

将上面得到的公钥添加到 Github 账户设置的 GPG keys 中。

设置 Git

使用命令行进行设置

在 Git 中设置要使用哪一个 GPG Key 的 id，我这里是 71C5EA31976DCC31
1

git config --global user.signingkey 71C5EA31976DCC31
设置 Git 用户名和邮箱。邮箱必须和 GPG Key 填写的邮箱以及 Github 绑定的邮箱相同，三者一致才能通过验证。
1 2

git config --global user.name lixx git config --global user.email lixx@test.org
设置 Git 默认对 commit 进行 GPG 签名。(如果你需要)
1

git config --global commit.gpgsign true
设置 Git 默认对 tag 进行 GPG 签名。(如果你需要)
1

git config --global tag.gpgsign true

直接设置 `gitconfig`

除了使用 git config 命令，也可以直接编辑 gitconfig，更为直观快捷。

全局 gitconfig: ~/.gitconfig
项目 gitconfig: ./.git/config

[user]
 name = lixx
 email = lixx@test.org
 signingkey = 681E61312333B6D9CC0A219771C5EA31976DCC31
[commit]
 gpgsign = true
[tag]
 gpgsign = true

提交 Commit

若没有开启默认对 commit 签名, 则需要使用 -S 参数对单个 commit 进行签名。

1

git commit -S -m "message_of_commit"

若已开启默认对 commit 签名，直接 commit 即可。

1

git commit -m "message_of_commit"

然后需要输入生成 GPG Key 时设置的安全口令（如果有设置）。
git push 推送到 Github 后，即可在网页 Commits History 中看到绿色的 Verified。

额外

常用指令

查看已存在的私钥 gpg --list-secret-keys --keyid-format=long
查看已存在的公钥 gpg --list-keys --keyid-format=long
删除私钥 gpg --delete-secret-keys <id>
删除公钥 gpg --delete-keys <id>
输出公钥(ascii 格式) gpg --armor --export <id>

提示

文中提到的 key id 既可以使用 16 位的短 id，也可以使用 40 位的长 id。
建议设置口令和有效期，降低 GPG 密钥丢失的危害。
~/.gnupg/ 文件夹需妥善保管。
命令行操作生成 GPG key 还是有一点繁琐的，建议使用 GPG GUI 更为方便，例如 “Kleopatra”。

在 Github 和 Gitee 配置多个 SSH Key

Thu, 10 Feb 2022 15:03:55 +0000

为 Github 和 Gitee 生成、添加、部署不同的 SSH Key。

环境

git version 2.35.1.windows.2

生成 SSH Key

在命令行中分别执行生成 ssh key 的指令：

1
2


ssh-keygen -t ed25519 -f ~/.ssh/github_ed25519 -C "Github-220210"
ssh-keygen -t ed25519 -f ~/.ssh/gitee_ed25519 -C "Gitee-220210"

-t 指定密钥的类型，这里选择 github 和 gitee 文档中都使用的 ed25519。

-f 指定密钥生成的目录和文件名，Windows 平台 ssh 的默认目录为USER/.ssh/, 文件名可以按需修改。

-C "comment" 中的 comment 根据自己的需要随意修改，只是作为一个标识。

配置 SSH Config

在 ssh 目录 ~/.ssh/ 中新建一个 config 文件，添加内容：

# github
Host github.com
HostName github.com
PreferredAuthentications publickey
IdentityFile ~/.ssh/github_ed25519

# gitee
Host gitee.com
HostName gitee.com
PreferredAuthentications publickey
IdentityFile ~/.ssh/gitee_ed25519

Host, Hostname 填写 Git 服务器域名。

IdentityFile 填写 SSH Key 私钥文件的位置。

配置 SSH Key 公钥

在 ~/.ssh/ 目录中找到对应的 *.pub 文件，复制其中的内容。
在 Github, Gitee 网站的 SSH keys 设置中添加相应的公钥。

测试 SSH 连接

1
2


ssh -T git@github.com
ssh -T git@gitee.com

测试结果：可以看到 SSH 已经连接成功.

1
2
3


Hi Lixx! You've successfully authenticated, but GitHub does not provide shell access.

Hi Lixx! You've successfully authenticated, but GITEE.COM does not provide shell access.

End

本文分别在 GitHub 和 Gitee 上配置了不同的 SSH Key(当然也可以配置相同的 SSH Key，但不推荐)，在其他 Git 服务器配置更多 SSH Key 的操作也是类似的。
对于 Github, 我建议使用 Github 的官方命令行 Github CLI（gh），可以快捷自动设置 SSH key、自动设置 https 仓库的凭据，非常方便。

域名一定要设置邮箱反垃圾规则

Fri, 28 Jan 2022 19:02:28 +0000

如果你有域名，不管是否使用域名邮箱，都要给域名设置反垃圾规则。

为什么要做反垃圾

以前不懂域名邮箱，开通之后就不管了。后来收到很多的退信通知，才意识到我的域名邮箱被伪造冒充用于发送大量垃圾邮件。

自己的个人邮箱也常常被垃圾邮件骚扰，没想到自己也成了垃圾邮件的帮凶。

另外自己的域名邮箱被伪造用来发送大量的垃圾邮件，也担心自己域名会被各邮件服务商拉进黑名单

因此如果你也有域名，不管是否使用域名邮箱，都要给域名设置反垃圾规则。

reject

域名邮箱反垃圾规则

SPF

发件人策略框架或 SPF 允许您指定被允许代表您的域发送电子邮件的所有 IP 地址和主机名。如果您没有在域中配置 SPF，您的电子邮件可能会被电子邮件接收者阻止或标记为垃圾邮件。(来自 Cloudflare)
DMARC

基于域的消息身份验证报告和一致性（或称 DMARC）告诉电子邮件接收者如何处理来自您的域的未通过电子邮件安全检查的传入电子邮件。您还可以指定一个报告电子邮件地址，来接收有关您的域中传出电子邮件的定期报告。(来自 Cloudflare)
DKIM

域密钥识别邮件（或称 DKIM）将公钥添加到您的 DNS 中，供电子邮件接收者验证您的传出签名电子邮件。(来自 Cloudflare)

简单来说，

这些规则是告诉收信方如何识别我方的邮件。
SPF 规则规定哪些服务器或 IP 可以使用该域名邮箱发送邮件。
DKIM 可以理解为使用非对称加密对邮件进行签名。
DMARC 规则则是告诉收信方如何处理未通过验证的邮件。
这三个规则都是通过 DNS 记录中的 TXT 记录实现

SPF

组成部分

参数	含义	选项
v	版本，必须放在第一项	一般为 `spf1`
include	发信服务器域名	可不填
ip4	发信服务器 ipv4 地址	可不填
ip6	发信服务器 ipv6 地址	可不填
all	告知收信方如何处理从未列出的服务器发送的电子邮件（这个参数必须在最后）	`-all` 表示从未列出的服务器发送的电子邮件应会被拒绝。 `~all` 表示从未列出的服务器发送的电子邮件应会被接受，但可能会被标记为垃圾邮件或不安全。 `+all` 表示收件人将接受所有电子邮件，即使验证失败。

SPF 记录中不能包含大写字母

示例

如果不使用域名邮箱，（使用该规则会让收信方拒绝一切发信人为 "*@lixx.org" 的邮件。）

DNS 记录主机名内容

TXT lixx.org v=spf1 -all
以腾讯企业邮箱为例（其他邮箱可在相应的邮件服务商获取相关的规则）

DNS 记录主机名内容

TXT lixx.org v=spf1 include:spf.mail.qq.com -all
如果是自建邮箱服务器，应该在 include 或 ip4 或 ip6 中包含自己服务器的地址
值得一骂的是，腾讯企业邮箱的文档中，使用的是 ~all ，也就是说不符合 SPF 规则的邮件还是会可能被收信方邮局接收。

DMARC

组成部分

参数	含义	选项
v	版本，必须放在第一项	一般为 `DMARC1`
p	收信方服务器对未通过验证的电子邮件采取的操作。	`none` 无操作 `quarantine` 软接收，可能会被标记为垃圾邮件或可疑邮件 `reject` 拒绝接收
aspf	严格的或者宽松的 SPF 身份校验模式	`r` 默认值，宽松 `s` 严格
adkim	严格的或者宽松的 DKIM 身份校验模式	`r` 默认值，宽松 `s` 严格
rua	接受 DMARC 报告的邮箱地址，收信方会反馈与你的域名邮箱有关的发信活动	可不填，建议使用专门的邮件地址

示例

该记录表示，未通过 SPF 验证或 DKIM 验证的邮件均会被收信方拒收，收信方会向 dmarc@test.org 发送聚合 DMARC 报告。

DNS 记录	主机名	内容
TXT	_dmarc	`v=DMARC1; p=reject; adkim=s; aspf=s; rua=mailto:dmarc@test.org`

DKIM

国内邮箱对 DKIM 的支持度似乎不高，笔者也没有使用过，没有调查就没有发言权，这里就不谈了。

示例

如果完全不使用域名邮箱，可以这样设置 DKIM 记录

DNS 记录	主机名	内容
TXT	*._domainkey	`v=DKIM1; p=`

小结

本文只是简单介绍了部分常用的 SPF 和 DMARC 规则，需要强调的是，这些并不是反垃圾规则的全部
如果完全不使用域名邮箱，可以这样设置：

DNS 记录	主机名	内容
TXT	lixx.org	`v=spf1 -all`
TXT	*._domainkey	`v=DKIM1; p=`
TXT	_dmarc	`v=DMARC1; p=reject; adkim=s; aspf=s`

Lixx

`.org` 域名从 2026 年 6 月 1 日起涨价

Spaceship

Cloudflare

无须 Grub2, 使用 EFIStub 直接通过 UEFI 启动 Debian

复制 kernel 和 initrd 到 EFI 分区

手动复制内核和 initrd

复制内核文件

复制 initrd 文件

自动复制内核和 initrd

自动化复制内核

自动化复制 initrd

警告

测试脚本是否正常运行

创建 UEFI 启动条目

示例

测试

提示

有关 efibootmgr

显示所有 UEFI 启动条目

删除 UEFI 启动条目

参考

PVE 配置 bonding 聚合网卡

系统信息

加载 bonding 模块

interfaces 设置

eth0 设置

wlan0 设置

bond0 设置

vmbr0 设置

完整的 interfaces 配置

应用设置

测试

初始化我的 Debian

系统设置

禁用 root 账户

禁止使用密码登陆 ssh

优化 swap 频率

软件

必备软件

常用软件

Flatpak

Keepassxc (flatpak)

Syncthing

Zerotier

Hugo

Sublime Text

Thunderbird

VS Code

Chrome

开发环境

Git

Github Cli （gh）

登陆 Github

获取删库跑路权限

常用 Git 设置

Python

Pyenv

pip 换源

pipx

poetry

poetry 换源

Node

fnm

pnpm

切换淘宝源

常用 npm 包

常用 npmrc 配置

JetBrains 系列软件

Debian/Ubuntu 安装 Syncthing

通过 apt 安装最新版 Syncthing

安装必要的 apt 工具（如果无）

添加 apt.syncthing.net apt 源

下载 syncthing.net 公钥

添加 apt 源

安装 Syncthing

使用 systemd 配置 Syncthing 服务

新建一个用户（如果需要）

启用并启动 Syncthing 服务

修改配置文件

有关 `efibootmgr`

`eth0` 设置

`wlan0` 设置

`bond0` 设置

`vmbr0` 设置

添加 `apt.syncthing.net` apt 源

修改 `encryption_key`

为新用户授予 `sudo` 权限