Olinl Blog

Olinl Blog - LVM 硬盘工具使用教程

代码可以重构，但那份热爱不该被“回收”。

写博客就像往深不见底的井里丢石头，有时候很久都听不到回声。但如果此刻的你正读到这里，说明那颗石头终于撞到了什么。

如果你也曾在这座“赛博荒岛”上停留，哪怕只是为了看一眼那个 UPS 监控的 Bug 怎么解，也请留下你的足迹。哪怕只是发一个 ping，我也能回你一个 pong。

证明一下，除了那些爬虫机器人，这个岛上真的有过人类。

CI/CD 手册：Jenkins 自动化发布全流程

Mon, 30 Mar 2026 00:00:00 GMT

一、部署 Jenkins#

Jenkins 有两种安装方式：

组件方式：直接安装在宿主机或虚拟机上，适合对环境隔离要求不高的场景。
Docker 方式：容器化部署，迁移方便，推荐优先选择。

本文以 Docker 方式为主，使用 docker-compose 管理容器配置。

Docker Compose 配置#

1
services:
2
  jenkins:
3
    image: jenkins/jenkins:lts       # 使用最新长期维护版本
4
    container_name: jenkins-docker
5
    restart: always
6
    privileged: true                  # 允许容器内调用宿主机 Docker
7
    user: root                        # 避免挂载目录权限问题
8
    ports:
9
      - "9001:8080"                   # Web UI 访问端口
10
      - "50000:50000"                 # Agent 节点连接端口
11
    volumes:
12
      - ./jenkins_home:/var/jenkins_home          # Jenkins 数据持久化
13
      - ./web_home:/web_home                      # 前端构建产物目录
14
      - /var/run/docker.sock:/var/run/docker.sock # 挂载宿主机 Docker Socket
15
      - /usr/bin/docker:/usr/bin/docker           # 挂载宿主机 Docker 命令
16
    environment:
17
      - TZ=Asia/Shanghai

展开收起

如果因网络限制无法拉取镜像，请自行配置 Docker 镜像加速地址。

获取初始密码#

容器启动后，访问 http://<服务器IP>:9001 进入初始化向导。初始管理员密码可通过以下命令获取：

Terminal window

1
# 在宿主机上直接读取（推荐）
2
cat jenkins_home/secrets/initialAdminPassword
3

4
# 通过 docker exec 读取
5
docker exec -it jenkins-docker cat /var/jenkins_home/secrets/initialAdminPassword

Jenkins 初始化向导页面

二、配置运行环境#

Jenkins 本身只是一个调度框架，真正编译代码需要配置对应的工具链。

安装必要插件#

进入 Manage Jenkins → Plugins → Available plugins，搜索并安装以下插件：

NodeJS Plugin：提供 Node.js / npm 编译环境
Maven Integration：提供 Maven 构建支持
SSH Pipeline Steps 或 Publish Over SSH：用于将构建产物推送到远程服务器

配置 JDK / Maven / Node.js#

进入 Manage Jenkins → Global Tool Configuration，分别配置 JDK、Maven 和 Node.js 的本地路径。注意不要勾选「自动安装」，使用预先下载好的本地版本，避免因网络问题导致构建失败。

各工具的推荐下载地址：

Terminal window

1
# JDK 1.8
2
https://repo.huaweicloud.com/java/jdk/8u201-b09/jdk-8u201-linux-x64.tar.gz
3
# JDK 17
4
https://mirrors.huaweicloud.com/openjdk/17/openjdk-17_linux-x64_bin.tar.gz
5

6
# Maven 3.9.9
7
https://archive.apache.org/dist/maven/maven-3/3.9.9/binaries/apache-maven-3.9.9-bin.tar.gz
8

9
# Node.js 22.x
10
https://nodejs.org/dist/v22.22.2/node-v22.22.2-linux-x64.tar.xz

更多版本请访问官方镜像站：

OpenJDK：https://mirrors.huaweicloud.com/openjdk/

Maven 3：https://archive.apache.org/dist/maven/maven-3/

Node.js：https://nodejs.org/en/about/previous-releases

Note

如需手动安装 JDK 或 Maven 并配置环境变量，参见：

配置完成后效果如下：

配置 JDK

配置 Maven

配置 Node.js

添加 Git 凭据#

如果源码托管在私有仓库，需要提前配置访问凭据。进入 Manage Jenkins → Credentials，点击 Add Credentials，根据实际情况选择用户名密码或 SSH Key 类型。

Caution

凭据（密码、SSH Key、Token）切勿硬编码在 Jenkinsfile 或构建脚本中，应统一通过 Jenkins Credentials 管理，在脚本中以变量形式引用，防止敏感信息随代码泄露。

三、Job 类型说明#

Important

对于前后端混合部署场景，强烈推荐使用 流水线（Pipeline） 类型，配合 Jenkinsfile 版本化管理部署逻辑，将构建流程纳入 Git 版本控制，便于回滚和团队协作。

Jenkins 提供了多种 Job 类型，根据项目复杂度按需选择：

类型	定位	适用场景
流水线 (Pipeline)	进阶首选	前后端混合部署、生产环境、需要版本化管理构建逻辑
Freestyle project	入门级	临时脚本、单一 Shell 命令测试
Maven 项目	后端专用	纯 Java/Spring Boot 项目，不涉及前端
多配置项目	兼容性测试	需要在多个 OS 或 JDK 版本下并行测试
文件夹 (Folder)	任务管理	Job 数量多时用于分类归档
多分支流水线	高级自动化	规范团队开发，自动为各 Git 分支创建独立流水线

流水线的核心优势在于：流程可视化、脚本可版本化管理，且支持复杂的条件逻辑（例如前端编译失败时自动终止后端发布）。Freestyle project 操作简单但配置无法入 Git，逻辑复杂后难以维护。

四、部署 Node.js 前端项目#

创建 Freestyle Job#

新建一个 Freestyle project，在源码管理中填入 Git 仓库地址。

在 Environment 选项卡中，勾选 Provide Node & npm bin/ folder to PATH，选择前面配置好的 Node.js 环境。

选择 Node.js 环境

进入 Build Steps，点击「增加构建步骤」，选择 Execute shell，填入以下构建脚本。

添加构建步骤

编写构建脚本#

以下脚本涵盖依赖安装、打包和产物同步三个阶段，根据实际项目调整变量即可：

Terminal window展开收起

1
# ---------- 基础配置（按需修改）----------
2
SOURCE_DIR="dist"          # 打包输出目录（如 dist、build）
3
TARGET_PATH="/web_home/"   # 宿主机 Nginx 静态文件目录
4

5
echo ">>> 阶段 1: 配置镜像源并安装依赖"
6
npm config set registry https://registry.npmmirror.com
7
npm install
8

9
echo ">>> 阶段 2: 执行构建 (产物目录: ${SOURCE_DIR})"
10
npm run build
11

12
echo ">>> 阶段 3: 同步产物至 Nginx 目录"
13
if [ -d "${SOURCE_DIR}" ]; then
14
    echo "确认发现产物目录: ${SOURCE_DIR}"
15
    mkdir -p ${TARGET_PATH}
16
    rm -rf ${TARGET_PATH}/*
17
    cp -r ${SOURCE_DIR}/* ${TARGET_PATH}/
18
    echo ">>> 发布成功！已同步至 ${TARGET_PATH}"
19
else
20
    echo "ERROR: 找不到目录 '${SOURCE_DIR}'，请检查 package.json 中 build 脚本的输出路径。"
21
    exit 1
22
fi

展开收起

Warning

rm -rf ${TARGET_PATH}/* 会清空目标目录下的所有文件。执行前请务必确认 TARGET_PATH 变量赋值正确，避免误删宿主机重要数据。

Tip

依赖缓存慢： 建议在 Jenkins Node 插件配置中为 npm 全局设置国内镜像源，避免每次构建都重新下载。
多环境打包： 如果有开发、测试、生产等多套环境，打包命令可能是 npm run build:prod 或 npm run build:test，请根据实际情况修改脚本。
Nginx 读取权限： Jenkins 以 root 用户运行，生成的 dist 目录权限也是 root。若 Nginx 以非 root 用户运行，需在脚本末尾追加 chmod -R 755 ${TARGET_PATH} 确保读取权限。

进阶：Node.js 项目的 Pipeline 实现#

如果你厌倦了在网页上点点点，可以使用 Pipeline 脚本。它的优势在于：哪怕 Jenkins 挂了，你的构建逻辑依然保存在代码仓库里。

1
// 在 Jenkinsfile 或 Pipeline 脚本中填入
2
pipeline {
3
    agent any
4
    environment {
5
        // 必须对应“全局工具配置”中的名称
6
        NODE_HOME = tool 'node22'
7
        WEB_HOME  = "/web_home"
8
    }
9
    stages {
10
        stage('环境准备与安装') {
11
            steps {
12
                // 使用 withEnv 正确注入 PATH，直接赋值 PATH 在 Pipeline 中不生效
13
                withEnv(["PATH+NODE=${NODE_HOME}/bin"]) {
14
                    sh "npm config set registry https://registry.npmmirror.com"
15
                    sh "npm install"
16
                    sh "npm run build"
17
                }
18
            }
19
        }
20
        stage('发布产物') {
21
            steps {
22
                // 这里的路径需与 Docker 挂载路径一致
23
                sh "rm -rf ${WEB_HOME}/* && cp -r dist/* ${WEB_HOME}/"
24
            }
25
        }
26
    }
27
}

展开收起

五、部署 Spring Boot 后端项目#

Note

Jenkins 以 root 用户运行时，Maven 构建生成的 jar 文件权限同为 root。通过 Docker 部署时，镜像内通常以非 root 用户运行，请确认 Dockerfile 中的用户与文件权限匹配，避免启动时出现权限拒绝错误。

创建 Maven Job#

新建 Job 时选择「构建一个 Maven 项目」类型。在 Environment 选项卡中指定 JDK 版本。

指定 JDK 版本

在 Build 配置中：

Root POM：默认填 pom.xml，如果 pom 文件不在根目录请填写相对路径
Goals and options：clean package -U -Dmaven.test.skip=true
Settings file：配置自定义的 Maven settings.xml（如需指定私有仓库或镜像源）

Maven 构建配置

编写构建脚本#

Maven 打包完成后，在 Build Steps 中追加一个 Execute shell 步骤，负责将 jar 包构建为 Docker 镜像并重新部署容器：

添加构建步骤

Terminal window展开收起

1
# ---------- 1. 基础参数配置（按需修改）----------
2
APP_NAME="my-app-dev"                          # 容器和镜像名称
3
DOCKERFILE_PATH="module/submodule"             # Dockerfile 所在的相对路径
4
IMAGE_TAG="my-org/${APP_NAME}:${BUILD_NUMBER}" # 镜像标签，使用构建号保证唯一性
5
NETWORK_MODE="host"
6
SPRING_PROFILE="dev"
7
SERVER_PORT="8080"
8

9
# ---------- 2. 构建 Docker 镜像 ----------
10
echo ">>> 阶段 1: 构建镜像"
11
cd ${DOCKERFILE_PATH}
12
docker build -t ${IMAGE_TAG} .
13
docker tag ${IMAGE_TAG} ${APP_NAME}:latest
14

15
# ---------- 3. 清理旧容器 ----------
16
echo ">>> 阶段 2: 清理旧容器"
17
if [ "$(docker ps -aq -f name=^${APP_NAME}$)" ]; then
18
    echo "发现旧容器 ${APP_NAME}，正在清理..."
19
    docker rm -f ${APP_NAME}
20
fi
21

22
# ---------- 4. 启动新容器 ----------
23
echo ">>> 阶段 3: 启动新容器"
24
docker run -d \
25
  --name ${APP_NAME} \
26
  --restart=always \
27
  --network ${NETWORK_MODE} \
28
  ${APP_NAME}:latest \
29
  --spring.profiles.active=${SPRING_PROFILE} \
30
  --server.port=${SERVER_PORT}
31

32
# ---------- 5. 验证部署结果 ----------
33
echo ">>> 阶段 4: 验证部署"
34
sleep 3
35
if [ "$(docker ps -q -f name=^${APP_NAME}$)" ]; then
36
    echo ">>> [SUCCESS] 服务 ${APP_NAME} 已启动，端口: ${SERVER_PORT}"
37
else
38
    echo ">>> [ERROR] 容器启动失败，最近 20 行日志："
39
    docker logs --tail 20 ${APP_NAME}
40
    exit 1
41
fi
42

43
# 清理构建过程产生的虚悬镜像
44
docker image prune -f

展开收起

Tip

Dockerfile 路径： cd ${DOCKERFILE_PATH} 是为了让 Docker 构建上下文正确，使 Dockerfile 内的 COPY 指令能找到编译好的 jar 文件。
镜像标签： 使用 ${BUILD_NUMBER} 作为版本号，可在 Jenkins 构建历史中精确追溯每次部署对应的镜像。
多模块项目： 如果是多模块 Maven 项目，DOCKERFILE_PATH 需要指向包含 Dockerfile 的子模块目录。

进阶：Spring Boot 项目的 Pipeline 实现#

对于后端项目，Pipeline 可以更优雅地管理 Docker 镜像的生命周期，实现“构建-打标-重启-清理”的丝滑循环。

1
pipeline {
2
    agent any
3
    environment {
4
        MAVEN_HOME = tool 'maven3.9'
5
        APP_NAME   = "hf-wy-contract-dev"
6
        PORT       = "31006"
7
    }
8
    stages {
9
        stage('Maven 打包') {
10
            steps {
11
                // 使用 withEnv 正确注入 PATH，直接赋值 PATH 在 Pipeline 中不生效
12
                withEnv(["PATH+MAVEN=${MAVEN_HOME}/bin"]) {
13
                    sh "mvn clean package -Dmaven.test.skip=true"
14
                }
15
            }
16
        }
17
        stage('Docker 构建与运行') {
18
            steps {
19
                sh """
20
                docker build -t ${APP_NAME}:${BUILD_NUMBER} .
21
                docker tag ${APP_NAME}:${BUILD_NUMBER} ${APP_NAME}:latest
22
                docker rm -f ${APP_NAME} || true
23
                docker run -d --name ${APP_NAME} --network host --restart always \
24
                ${APP_NAME}:latest --server.port=${PORT}
25
                """
26
            }
27
        }
28
    }
29
    post {
30
        success {
31
            sh "docker image prune -f" // 自动清理临时镜像，保持磁盘整洁
32
            echo "✅ 部署完成！"
33
        }
34
    }
35
}

展开收起

架构是冷的，但折腾的心是热的。

如果你也从这篇文章里感受到了那么一点点自动化带来的爽感，欢迎在评论区留个言。哪怕只是一个 +1，也能让这个孤独的博主觉得：

原来，真的有人在看啊。

《地球 Online》：这破游戏我是一天也待不下去了

Sun, 29 Mar 2026 00:00:00 GMT

说真的，要不是当初被那个“100% 沉浸式体验”的广告语给骗了，我绝不会下载这款名为《地球 Online》的删档内测版。

在体验了二十多年后，我决定写下这篇差评。如果你还没“建号”，听我一句劝：快跑！这游戏虽然号称拥有宇宙级画质和物理引擎，但内部代码已经烂透了。最离谱的是，这游戏居然没有存档功能，也没有退款通道，甚至连那个自称是“指引官”的 NPC（我爸妈）都经常表示：“我们也是第一次玩，这关我们也过不去。”

评价！#

Note

【地球online】：★☆☆☆☆

游戏的通关奖励竟然是去死

Tip

【地球online】：★☆☆☆☆

为什么不能手捏建模，选择性别

Important

【地球online】：★☆☆☆☆

帮别人注销账号会被管理员强行囚禁

Warning

【地球online】：★☆☆☆☆

必须氪金买衣服，原皮出去会被抓

Caution

【地球online】：★☆☆☆☆

居然买一个叫眼镜的东西才可以提升画质，这不是强制氪金吗

Note

【地球online】：★☆☆☆☆

货币为什么不是每天登陆就送

Tip

【地球online】：★☆☆☆☆

陪小萝莉看招募动画，导致脑部金属中毒被迫删档重开。

Important

【地球online】：★☆☆☆☆

多语言安装包下载缓慢，我将投诉这个bug

Warning

【地球online】：★☆☆☆☆

想跳过新手教程直接邀请新玩家被封号了

Caution

【地球online】：★☆☆☆☆

初始比其他玩家少一个操纵杆，比其他玩家多一个坑，可玩性不高。有操纵杆的玩家大部分都想和我做招募动画。

Note

【地球online】：★☆☆☆☆

玩家攻击性很高，殴打其他玩家会被GM关到小黑屋

Tip

【地球online】：★☆☆☆☆

我给小萝莉看招募动画并尝试邀请她招募新玩家怎么给我号封了。

Important

【地球online】：★☆☆☆☆

没建模没经济，没有赠送摇杆就算了，有很多npc都想和我做招募动画

Warning

【地球online】：★☆☆☆☆

开局不能自选性别，也没有初始捏脸，后期捏脸全是氪金内容。

Caution

【地球online】：★☆☆☆☆

获得一个“手机”的道具之后，可以每天看新玩家的招募动画，这点可以给到五星好评！

Note

【地球online】：★☆☆☆☆

游戏容易卡bug，上次去网吧通宵玩小游戏，差点卡出第三人称视角。

Note

【地球online】：★☆☆☆☆

听隔壁翠花说，女号玩了多年有Bug也一直不修复，每个月都无故扣血。

Tip

【地球online】：★☆☆☆☆

每个玩家初始金币不一样，找不到奖励高的悬赏任务只能挂机。

Important

【地球online】：★☆☆☆☆

玩了那么多年画质还越来越差，甚至出现卡顿。

Important

【地球online】：★☆☆☆☆

游戏逻辑有错误，比如角色移动速度快了，导致碰撞检测失效。

Warning

【地球online】：★☆☆☆☆

我这个冷门角色应该是被删了，至今零个攻略，制作者也不管。

Caution

【地球online】：★☆☆☆☆

招募动画前置任务说我魅力值太低，不能完成。用金币招募还会被封号，大部分有意思的内容都需要付费。

Note

【地球online】：★☆☆☆☆

贫瘠的地图大部分面积是都是海水，还不能从一个位置瞬移到另一个位置。

Tip

【地球online】：★☆☆☆☆

游戏没有老玩家回归，说明吸引力不足。也没有存档点，无法保存进度。

Important

【地球online】：★★★★☆

在心情低落的时候，可以通过一个叫手机的道具，观看新玩家的招募动画，用体力值获得大量的愉悦值，可惜不能一直使用，使用多了回扣生命值上限。

退款通道到底在哪？#

总的来说，《地球 Online》是一款画质满分、玩法零分、氪金度爆表、且没有后期保障的垃圾游戏。

最气人的是，因为是“删档内测”，只要你一旦下线（Game Over），你的所有成就、装备和金币都会被系统清零。

写在最后：

既然退款是不可能退款的，那大家就只能在评论区互相取暖了。

地球online评分：★ ☆ ☆ ☆ ☆

想退游了，没经济，没成绩，还没有摇杆😭每月还有掉血😭😭😭

一个字一个字敲出来的文章，为什么没人看？——写给“自闭”中的自己

Sun, 29 Mar 2026 00:00:00 GMT

emo了，让AI帮我写了…

就在刚才，我看着后台那张近乎平线的流量统计图，默默地关掉了浏览器。

心里的感觉用一个词形容最精准：自闭。

那篇文章，是我花了三个深夜，一个字一个字敲出来的。为了搞懂那个该死的 Bug，我翻了二十多页的英文文档，重构了五次代码。为了让排版更好看，我甚至去学了点 CSS。我掏心掏肺，把所有的避坑指南和心路历程都塞了进去。

我满心以为，这文章一发，不说全网爆火，起码也得有几十个技术同道来点个赞，探讨一下架构。

结果呢？寂静。死一般的寂静。

个位数的点击量里，大概还有三次是我自己刷新页面贡献的。评论区空空如也，连个机器人的广告都没有。

那一刻，真的怀疑人生。我这么折腾是为了什么？既然没人看，我写它干嘛？我有这时间去打把游戏、睡个大觉不好吗？

1. 流量的玄学 vs. 笔记的资产#

冷静下来后，我坐在椅子上，点了根烟（或者喝了口热水）。我突然意识到，我陷入了一个**“付出=回报”**的技术思维陷阱。

在技术世界里，1 + 1 永远等于 2。但在互联网文字的世界里，硬核干货 + 通宵达旦 往往等于 无人问津。

流量是玄学：它受制于标题是否抓眼、发布时间是否刚好、搜索引擎的算法偏好、甚至这几天是不是刚好有个更大的技术圈新闻冲淡了你的热度。
笔记是资产：但无论没人看，那段代码、那个架构、那些避坑的总结，都实实在在地存在了我的博客里。

写博客的第一受益人，永远是创作者自己。

哪怕全天下的人都不看，三个月后，当我再次遇到同样的问题却忘了怎么操作时，我会庆幸，初那个“一个字一个字敲文章”的自己，简直是个天才。它是我个人的知识库，是我不会丢失的第二大脑。

2. 创作者的“自我修养”：接受平庸，坚持表达#

我必须承认，我的文字大概还不够有趣，我的标题大概还不够诱人。在如今这个碎片化阅读的时代，让人静下心来看完一篇几千字的技术文，本身就是一件奢侈的事情。

但我不想因此就变得轻浮，不想为了流量去写那些言之无物的垃圾。

我可以接受文章没人看，但我不能接受自己停止表达。

写作不仅是输出，更是思考的整理。那些我一个字一个字敲出来的文字，帮我理清了模糊的概念，巩固了松动的知识。就算没有读者，文字本身也已经完成了它的使命。

3. 写给评论区的你（如果有的话）#

这是一个自建的独立博客，它像是一个孤独的赛博岛屿。

如果你是从搜索引擎意外漂流到这里，并且奇迹般地看到了这一段，谢谢你。你的每一次点击，都是对我那几个熬夜深夜的无声肯定。

也许此刻的你，也正因为某种付出没有得到回报而感到“自闭”。没关系，接受这种失落，然后继续前行。

流量是给别人看的，只有知识和心态，是自己的。

关掉流量统计，我要准备去敲下一篇“无人问津”的心血之作了。

💬 互动环节（如果真的有人）： 你有遭遇过那种“掏心掏肺却没人理”的时刻吗？无论是写文章、写代码、还是对某人。请在评论区大声喊出你的“自闭”经历，我们互相取暖。
喊个锤子，不会有人看的对吧

如何在 Ubuntu Server 上快速部署 Clash

Tue, 10 Mar 2026 00:00:00 GMT

在维护 Linux 服务器时，经常会遇到下载 GitHub 资源缓慢或无法访问外网 API 的情况。本文介绍一种轻量、临时、可随时清理的代理方案。

关于内核

本文使用的 Mihomo 是原 Clash.Meta 的后继项目。自 2023 年原版 Clash (clash-premium) 停止更新后，Mihomo 接手了 Meta 分支的维护，是目前社区最主流的 Clash 内核实现。下文中为了书写方便，仍统一称其为 “Clash”。

1. 环境准备#

首先，确认你的服务器 CPU 架构：

Terminal window

1
uname -m

如果是 x86_64，下载 amd64 版本。
如果是 aarch64（如树莓派、甲骨文 ARM），下载 arm64 版本。

2. 下载并解压#

以最新的 Mihomo (Clash Meta) 内核为例，执行以下命令：

Terminal window

1
# 下载二进制文件（以 amd64 为例）
2
wget https://github.com/MetaCubeX/mihomo/releases/download/v1.18.1/mihomo-linux-amd64-v1.18.1.gz
3

4
# 解压并重命名
5
gunzip mihomo-linux-amd64-v1.18.1.gz
6
mv mihomo-linux-amd64-v1.18.1 clash
7
chmod +x clash

3. 配置 Clash 运行环境#

Clash 运行至少需要两个文件：执行程序 clash 和配置文件 config.yaml。

3.1 准备配置文件#

订阅链接返回的本身就是一个 YAML 文档，直接把内容下载到当前目录即可：

Terminal window

1
curl -o config.yaml '你的订阅 URL'

订阅 URL 必须用单引号

务必用单引号包裹订阅 URL，否则其中的 &、? 等特殊字符会被 shell 解析，导致参数截断或后台执行。

3.2 确认端口信息#

在你的配置中，关键参数如下：

混合代理端口 (Mixed Port)：7890（同时支持 HTTP / SOCKS）
API 访问密钥 (Secret)：603705（用于 Clash REST API 的 Bearer 鉴权，不是网页登录密码）

4. 启动运行#

建议使用 nohup 让其在后台运行，即便断开 SSH 也不会停止：

Terminal window

1
# 在当前目录下启动，指定配置文件
2
nohup ./clash -f config.yaml -d . > clash.log 2>&1 &

查看运行日志：tail -f clash.log
停止运行：pkill -f 'clash -f config.yaml'

为什么不用 pkill clash

如果系统里还有其他含 clash 字样的进程（如 clash-verge、旧版 clash-premium），pkill clash 会一并误杀。通过 -f 精确匹配启动参数更安全。

日志会无限增长

上面的命令会让 clash.log 一直追加写入，长期运行可能吃光磁盘。临时使用场景下用完清理即可；长期运行请使用下面第 7 节的 systemd 方案（交给 journald 自动管理），或给 clash.log 配一条 logrotate 规则。

5. 激活服务器代理#

Clash 运行后，你需要告诉系统将流量转发到 7890 端口。

5.1 临时激活（当前会话有效）#

Terminal window

1
export http_proxy=http://127.0.0.1:7890
2
export https_proxy=http://127.0.0.1:7890

5.2 配置 no_proxy 白名单#

配完代理后，访问本机或内网服务也会被转发到 Clash，轻则走外网绕一圈，重则超时失败。需要把这些流量排除掉：

Terminal window

1
export no_proxy="localhost,127.0.0.1,::1"
2
# 如果还有内网服务、K8s Service，按需追加域名后缀或显式 IP
3
export no_proxy="$no_proxy,.svc,.cluster.local,192.168.1.100"

关于 CIDR

不同工具对 no_proxy 中 CIDR 网段的支持差异较大（如 curl 不支持 10.0.0.0/8 这种写法），推荐使用域名后缀（.internal、.svc）或显式 IP 更可靠。

5.3 验证代理是否真正生效#

仅凭 curl https://www.google.com 返回 200 并不能证明代理生效——某些地区裸连 Google 也能通。可靠的做法是比对出口 IP：

Terminal window

1
# 不走代理
2
unset http_proxy https_proxy
3
curl -s https://ipinfo.io/ip
4

5
# 走代理
6
export http_proxy=http://127.0.0.1:7890
7
export https_proxy=http://127.0.0.1:7890
8
curl -s https://ipinfo.io/ip

两次返回的 IP 应当不同，且第二次应为你订阅节点所在地的 IP。若两次一致，说明流量没走 Clash，回头检查端口监听和进程状态。

6. 常用工具的代理配置#

http_proxy / https_proxy 环境变量只对显式读取环境变量的程序生效（curl、wget、pip、npm 等）。下面这些工具需要单独配置。

6.1 Git#

Terminal window

1
# 推荐：仅对 GitHub 走代理，避免访问国内 Git 仓库（Gitee、Coding）时误走代理
2
git config --global http.https://github.com.proxy http://127.0.0.1:7890
3

4
# 或全局代理
5
git config --global http.proxy http://127.0.0.1:7890
6
git config --global https.proxy http://127.0.0.1:7890
7

8
# 取消代理
9
git config --global --unset http.proxy
10
git config --global --unset https.proxy

6.2 APT#

APT 不读 http_proxy 环境变量，需要写配置文件：

Terminal window

1
sudo tee /etc/apt/apt.conf.d/99proxy <<EOF
2
Acquire::http::Proxy "http://127.0.0.1:7890";
3
Acquire::https::Proxy "http://127.0.0.1:7890";
4
EOF

不用时直接 sudo rm /etc/apt/apt.conf.d/99proxy 即可恢复。

6.3 Docker#

Docker 代理分两层：

让 docker pull 走代理（作用于 Docker daemon）：

Terminal window

1
sudo mkdir -p /etc/systemd/system/docker.service.d
2
sudo tee /etc/systemd/system/docker.service.d/http-proxy.conf <<EOF
3
[Service]
4
Environment="HTTP_PROXY=http://127.0.0.1:7890"
5
Environment="HTTPS_PROXY=http://127.0.0.1:7890"
6
Environment="NO_PROXY=localhost,127.0.0.1"
7
EOF
8
sudo systemctl daemon-reload
9
sudo systemctl restart docker

让容器内进程走代理：需要配置 ~/.docker/config.json 的 proxies 段，或在 docker run 时通过 -e HTTP_PROXY=... 传入。

7. 进阶：注册为 systemd 服务#

nohup 适合临时验证，长期运行推荐托管给 systemd：开机自启、崩溃自拉、日志统一交给 journald。

7.1 移动文件到标准位置#

Terminal window

1
sudo mkdir -p /etc/clash
2
sudo mv clash /usr/local/bin/clash
3
sudo mv config.yaml /etc/clash/

7.2 创建 systemd 单元#

新建 /etc/systemd/system/clash.service：

1
[Unit]
2
Description=Clash (Mihomo) Proxy Service
3
After=network-online.target
4
Wants=network-online.target
5

6
[Service]
7
Type=simple
8
ExecStart=/usr/local/bin/clash -f /etc/clash/config.yaml -d /etc/clash
9
Restart=on-failure
10
RestartSec=5s
11
LimitNOFILE=1048576
12

13
[Install]
14
WantedBy=multi-user.target

7.3 启用并管理#

Terminal window

1
sudo systemctl daemon-reload
2
sudo systemctl enable --now clash      # 开机自启 + 立即启动
3

4
sudo systemctl status clash            # 查看状态
5
sudo systemctl restart clash           # 重启
6
sudo journalctl -u clash -f            # 实时日志

Tip

用 systemd 管理后，nohup、pkill 相关命令都可以忘掉了。日志由 journald 自动轮转，不用担心磁盘被写满。

8. 版本升级#

Mihomo 迭代频繁，升级只需替换二进制：

Terminal window

1
# 1. 在 https://github.com/MetaCubeX/mihomo/releases 查看最新版本
2
# 2. 下载并覆盖
3
wget https://github.com/MetaCubeX/mihomo/releases/download/v1.19.0/mihomo-linux-amd64-v1.19.0.gz
4
gunzip mihomo-linux-amd64-v1.19.0.gz
5
sudo mv mihomo-linux-amd64-v1.19.0 /usr/local/bin/clash
6
sudo chmod +x /usr/local/bin/clash
7

8
# 3. 重启服务（systemd 方案）
9
sudo systemctl restart clash

升级前建议备份一份旧二进制，方便回滚。

9. 常见故障排查#

现象	可能原因	对策
`curl: (7) Failed to connect to 127.0.0.1:7890`	Clash 进程没起来	`ps aux \| grep clash` 确认进程；查看 `clash.log` 或 `journalctl -u clash` 是否有报错
日志反复刷 `no available proxies`	订阅节点全部失联，或策略组未选中节点	更新订阅；检查 `config.yaml` 中 `proxy-groups` 配置
代理后仍访问不通境外站点	DNS 污染（本地解析到被污染 IP 后再走代理）	在 `config.yaml` 启用 `dns.enhanced-mode: fake-ip`
启动报 `bind: address already in use`	7890 / 9090 端口被其他进程占用	`ss -lntp \| grep 7890` 定位占用进程并释放
apt / docker 不走代理	这两者不读 `http_proxy` 环境变量	按本文第 6 节配置对应的代理方式
`curl -s https://ipinfo.io/ip` 两次返回相同	流量没走 Clash	检查环境变量是否生效（`echo $http_proxy`）、Clash 是否在监听 7890

安全小贴士#

端口暴露风险

真正决定 7890 端口是否”裸奔”的，不是配置里的 allow-lan，而是 bind-address 的监听地址 + 云厂商安全组规则。

如果 Clash 监听在 0.0.0.0:7890 且云安全组对公网放行，任何人都能拿你这台机器当免费跳板。建议把 bind-address 显式设为 127.0.0.1，或在云安全组里把 7890 锁死为仅本机 / 可信 IP 可访问。

任务结束后的清理

临时使用完毕后，别忘了执行 unset http_proxy https_proxy no_proxy 取消环境变量，并用 pkill -f 'clash -f config.yaml'（或 sudo systemctl stop clash）彻底关闭程序，避免遗留代理影响后续操作。

作者注

本教程适用于 Ubuntu Server 20.04 / 22.04 / 24.04 等主流 Linux 发行版。

将“上游项目”的更新合并到“我的项目”上

Sun, 08 Mar 2026 00:00:00 GMT

一、添加上游项目的本地分支索引#

1、从名为 upstream的远程仓库拉取 master分支的最新信息到本地

Terminal window

1
git fetch upstream master

此操作只会更新本地仓库的远程分支索引（如 upstream/master），不会自动修改你本地任何分支上的文件

2、使用 --force选项，强制创建一个名为 master-upstream的新本地分支（如果已存在则重置），并让其指向 upstream/master所对应的提交

Terminal window

1
git branch --force master-upstream upstream/master

这个分支相当于当前上游 master分支状态的一个快照。

3、列出所有名称匹配 master-upstream的分支

Terminal window

1
git branch --list master-upstream

4、显示 master-upstream分支最近的10条提交记录

Terminal window

1
git log --oneline master-upstream -n 10

二、上游项目的更新#

1、将上游仓库为upstream的最新提交记录拉到本地

Terminal window

1
git fetch upstream

更新所有远程跟踪分支（包括 upstream/master），但不会改动任何本地分支的工作内容。

2、强制重置 master-upstream分支，使其指向 upstream/master最新的提交

Terminal window

1
git branch -f master-upstream upstream/master

三、将更新合并到本地分支`master`#

1、切换到master分支

Terminal window

1
git switch master

2、将 master-upstream上的最新内容整合到 master分支

Terminal window

1
git merge master-upstream

四、解决任何冲突，完成合并后提交并推送代码到`master`#

Terminal window

1
git push origin master

小贴士：如何优雅地处理合并冲突？#

当你执行 git merge 看到提示 CONFLICT (content): Merge conflict in <file> 时，不要慌，按照这三步走：

找到“案发现场”

打开冲突的文件，你会看到 Git 自动标记的冲突区域：

1
<<<<<< HEAD
2
这里是你本地 master 分支的代码（你改动的内容）
3
======
4
这里是上游 master-upstream 分支的代码（别人改动的内容）
5
>>>>>> master-upstream

进行“人工裁决”

保留一方：删掉你不想要的那部分代码和所有的 <<<< ==== >>>> 标记。
整合双方：手动将两段代码逻辑合并在一起，然后删掉标记。
VS Code 技巧：如果你用 VS Code，代码上方会出现快捷按钮（Accept Current Change / Accept Incoming Change），点一下即可自动完成。

告诉 Git 冲突已搞定

修改并保存文件后，必须执行：

Terminal window

1
# 1. 将解决后的文件标记为已暂存
2
git add <文件名>
3

4
# 2. 完成合并提交
5
git commit -m "fix: 解决与上游分支的合并冲突"

如果合并过程太乱，你想重头来过，可以执行 git merge —abort 瞬间回到合并前的干净状态，就像什么都没发生过一样。

NAS 碎文件存储优化：VHDX 虚拟磁盘方案

Sun, 08 Mar 2026 00:00:00 GMT

Note

AI 生成说明：本篇文章由站长提供核心主体思路、方案对比维度及内容大纲，并由 AI 辅助润色与技术细节补充生成。

一、核心瓶颈：为什么 NAS 怕碎文件？#

在 NAS 存储中，处理 100 万个 1KB 的文件（如代码工程、网页素材、缩略图）远比处理 1 个 1GB 的视频文件困难，原因如下：

元数据灾难： 每一份文件都有文件名、创建时间、权限等“元数据”。NAS 在读取文件夹时，需要逐一扫描这些索引。文件越多，索引树越庞大，导致开启文件夹时极度卡顿。
协议延迟： 使用 SMB 协议访问 NAS 时，每传输一个文件都要进行一次“握手”请求。百万次握手产生的网络延迟叠加，会使传输速度从百兆降至几百 KB。
寻道压力： 机械硬盘（HDD）在读写碎文件时，磁头需要频繁进行物理跳跃（随机读写），这会导致磁盘 IOPS 迅速耗尽，产生读写瓶颈。

NAS 传输速度对比：大量碎文件 vs 单个大文件 VHDX

二、四大方案深度横向对比：ZIP vs ISO vs VHD vs VHDX#

针对“个人单机使用”的场景，我们将四种常见的封装方案进行对比：

特性	ZIP/7Z 压缩包	ISO 光盘镜像	VHD 虚拟磁盘	VHDX 虚拟磁盘 (推荐)
读写灵活性	极低（修改需重新打包）	只读（不可修改）	高（挂载后同本地硬盘）	极高（实时读写，最先进）
性能表现	读取需解压，速度慢	读取极快，无写入	较好	优秀（支持 4K 对齐优化）
容量上限	视文件系统而定	约 8TB	2 TB	64 TB
数据安全性	损坏可能导致全包失效	极高（不可变）	低（断电易损索引）	高（具备 Metadata 日志保护）
动态扩展	不支持	不支持	支持	支持（用多少占多少）

结论： VHDX 是目前 Windows 环境下个人管理碎文件的最优解，它兼顾了硬盘的灵活性和镜像文件的整洁性。

三、个人使用最佳实践：VHDX 方案详解#

VHDX（Virtual Hard Disk v2）是微软推出的现代虚拟硬盘格式，非常适合存放在 NAS 上：

动态扩展（Thin Provisioning）： 在创建时，你可以设定容量为 10TB，但在 NAS 上它初始只占用几百 KB。只有当你往镜像里存入文件时，它才会在 NAS 上真实增长体积。
本地化体验： 挂载 VHDX 后，Windows 会分配一个盘符（如 Z: 盘）。所有的碎片文件操作都在这个虚拟盘内部完成，NAS 只负责同步那个巨大的 .vhdx 文件块，从而绕过了 SMB 的小文件握手瓶颈。
文件系统建议： 建议在 VHDX 内部格式化为 NTFS，以获得最佳的日志恢复能力和压缩属性。

四、工具推荐：工欲善其事，必先利其器#

在将海量碎文件“装进” VHDX 镜像之前，选对搬运工具能节省数小时的时间。

1. FastCopy：海量碎文件的性能怪兽#

如果你有几万甚至几十万个碎片文件需要首次搬迁，FastCopy 是不二之选。它绕过了系统 API 的多余限制，利用多线程直接读写。

FastCopy 扫描预估阶段

实测：处理 83,238 个文件，扫描速度达 521.6 files/s

FastCopy 实际传输速率

实测：写入挂载的 VHDX 磁盘，速率高达 287.4 MB/s，彻底压榨带宽潜力

2. TeraCopy：稳健派的备份神器#

对于追求绝对安全的用户，TeraCopy 的错误处理机制更优。如果拷贝中途某个文件报错，它会跳过坏文件继续任务，而非像系统自带拷贝那样直接中断。

五、操作实操：实现“一键化”管理#

为了避免每次进入“磁盘管理”手动挂载，推荐以下两种方式：

1. 推荐工具：Simple VHD Manager (免费/绿色)#

这是一个轻量级管理工具，专门解决 VHDX 的挂载痛点，支持一键式操作。

一键添加： 将 NAS 上的 VHDX 文件拖入软件列表。
右键集成： 在软件设置中勾选“集成到右键菜单”。此后，你只需在 NAS 文件夹里对准 VHDX 文件 右键 -> 附加 (Mount)，驱动器会秒速出现。
自动挂载： 你可以将其设置为随系统启动自动挂载，让 NAS 上的碎文件库像本地硬盘一样常驻。

2. Windows 原生操作 (无需软件)#

一键挂载： 直接双击 NAS 上的 .vhdx 文件，系统会自动将其映射为一个新盘符。
一键卸载： 在“此电脑”中找到该盘符，右键 -> 弹出。

六、进阶维护与安全策略#

空间回收（瘦身）：

Caution

VHDX 动态扩展有一个特性——“只增不减”。即使你删除了镜像内的文件，NAS 上的文件体积也不会自动缩小。若需回收空间，需在挂载状态下使用 Windows 的驱动器优化工具或特定的 PowerShell 命令进行收缩。

避坑禁令（核心）：

Warning

绝对禁止两台电脑同时挂载同一个可写的 VHDX 文件。由于 VHDX 不是集群文件系统，双重写入会导致文件分配表立即崩溃，数据全失且无法恢复。

备份建议： 遵循 3-2-1 备份原则。虽然 VHDX 有日志保护，但它本质上还是一个大文件。建议定期将这个 .vhdx 文件备份到另一个独立的硬盘或云端存储中。

TrueNAS 全方位监控实战：Prometheus + Grafana 方案

Sun, 08 Mar 2026 00:00:00 GMT

TrueNAS 自带的 Reporting 模块能看当前状态，但历史数据保留有限、无法配置告警，遇到磁盘温度异常、ZFS 池容量缓慢增长、网络流量突增这类场景就不够用了。本文搭建一套独立的 Prometheus + Grafana 监控，对 TrueNAS 做长期采集与可视化。

1. 架构概览#

整条数据链路：

1
TrueNAS ──(Graphite 协议 @ 9109)──▶ graphite-prometheus ──(/metrics @ 9108)──▶ Prometheus ──(查询)──▶ Grafana

TrueNAS：原生支持以 Graphite 协议向外推送系统指标（CPU、磁盘、ZFS、网络等）。
graphite-prometheus：由 Supporterino/truenas-graphite-to-prometheus 提供，把 Graphite 推送协议转换为 Prometheus 可抓取的 /metrics 端点。
Prometheus：时序数据库，按间隔主动抓取转换器暴露的指标。
Grafana：从 Prometheus 查询数据并可视化。

为什么需要一个”转换器”

TrueNAS 只会 Graphite（推送模型），Prometheus 只认 HTTP pull（拉取模型）。两者协议和方向都不兼容，必须在中间夹一层 graphite-prometheus 做翻译。

2. 前置条件#

在 TrueNAS Web UI 中启用 Graphite 上报：

System Settings → Reporting → Exporters（或旧版 Reporting → Settings）

Type：Graphite
Destination：<监控主机 IP>:9109
Separate Instances：建议开启，便于多主机时按实例区分

开启后 TrueNAS 会以约 10 秒一次的频率向目标地址推送指标。

3. 编写 docker-compose.yaml#

Note

Docker Compose 安装与使用参见：Docker Compose 安装配置

在准备部署的宿主机上创建一个空目录，新建 docker-compose.yaml：

1
services:
2
  # 时序数据库：存储监控指标
3
  prometheus:
4
    image: prom/prometheus:latest
5
    container_name: prometheus
6
    restart: unless-stopped
7
    volumes:
8
      - ./prometheus.yml:/etc/prometheus/prometheus.yml
9
      - prometheus-data:/prometheus
10
    command:
11
      - '--config.file=/etc/prometheus/prometheus.yml'
12
      - '--storage.tsdb.retention.time=365d'
13
    ports:
14
      - "9090:9090"
15
    healthcheck:
16
      test: ["CMD", "wget", "--spider", "-q", "http://localhost:9090/-/healthy"]
17
      interval: 30s
18
      timeout: 5s
19
      retries: 3
20

21
  # 可视化面板：看硬盘和 ZFS 状态
22
  grafana:
23
    image: grafana/grafana:latest
24
    container_name: grafana
25
    restart: unless-stopped
26
    environment:
27
      - GF_SECURITY_ADMIN_PASSWORD=Aa123456
28
    ports:
29
      - "3000:3000"
30
    volumes:
31
      - grafana-data:/var/lib/grafana
32
    healthcheck:
33
      test: ["CMD", "wget", "--spider", "-q", "http://localhost:3000/api/health"]
34
      interval: 30s
35
      timeout: 5s
36
      retries: 3
37

38
  # TrueNAS Graphite → Prometheus 转换服务
39
  graphite-prometheus:
40
    image: ghcr.io/supporterino/truenas-graphite-to-prometheus:latest
41
    container_name: graphite-prometheus
42
    restart: unless-stopped
43
    ports:
44
      - "9109:9109/tcp"   # Graphite 接收端（TrueNAS 推送，TCP）
45
      - "9109:9109/udp"   # Graphite 接收端（TrueNAS 推送，UDP）
46
      - "9108:9108/tcp"   # Prometheus 抓取端
47
    healthcheck:
48
      test: ["CMD", "wget", "--spider", "-q", "http://localhost:9108/metrics"]
49
      interval: 30s
50
      timeout: 5s
51
      retries: 3
52

53
volumes:
54
  prometheus-data:
55
  grafana-data:

展开收起

关于镜像加速

上面使用的都是官方镜像地址（prom/...、grafana/...、ghcr.io/...）。在国内网络环境下如果拉取缓慢或失败，可使用你自己的镜像加速服务，把域名前缀加在 image 前即可，例如：your-accel.example.com/prom/prometheus:latest。请不要直接使用别人的私有加速域名，可能随时失效或泄露他人 token。

4. 编写 prometheus.yml#

在同一目录下创建 prometheus.yml：

1
global:
2
  scrape_interval: 15s
3

4
scrape_configs:
5
  - job_name: 'truenas'
6
    scrape_interval: 10s
7
    static_configs:
8
      - targets: ['10.0.0.16:9108']
9
    relabel_configs:
10
      - target_label: instance
11
        replacement: 'truenas'

请替换为你的实际 IP

把 10.0.0.16 替换为运行 graphite-prometheus 容器的宿主机 IP。如果 Prometheus 与 graphite-prometheus 在同一个 compose 网络里，也可以直接用 graphite-prometheus:9108 服务名互访。

5. 配置项说明#

下面逐项解释上述配置背后的考量，遇到问题或要做调整时可以对照。

5.1 `storage.tsdb.retention.time=365d`#

Prometheus 默认只保留 15 天数据。这里保留 365 天（一整年），方便做磁盘温度、SMART、ZFS 容量等长周期趋势分析。一年的数据大约占用 10–30 GB（视指标数量和抓取频率），需要为 prometheus-data 卷预留足够磁盘空间。如果磁盘紧张可以酌情缩短到 90d / 180d。

5.2 `scrape_interval: 10s`#

Prometheus 全局 scrape_interval 用官方推荐的 15s，但对 TrueNAS 这个 job 单独覆盖为 10s，对齐 TrueNAS Graphite 上报频率——更高的频率（比如 1s）会产生大量重复值、白白撑大 TSDB；更低则会漏点。

5.3 镜像均固定为 `:latest`#

所有镜像都显式写了 :latest，不省略 tag。省略 tag 虽然默认也是 latest，但显式写出更清晰，避免与工具链（如 Watchtower、Renovate）交互时产生歧义。生产环境建议进一步固定到具体版本号（如 prom/prometheus:v2.54.0），防止上游突然大版本升级带来破坏性变更。

5.4 端口协议（9109 / 9108）#

graphite-prometheus 的 9109 是 Graphite 协议接收端，Graphite 协议同时支持 TCP 明文和 UDP 明文。Docker Compose 的 "9109:9109" 默认只映射 TCP——如果 TrueNAS 配的是 UDP 推送，会出现”TrueNAS 发得出去但转换器收不到”的隐蔽问题。这里同时显式映射 /tcp 和 /udp，一次避免两种场景的坑。9108 是 Prometheus 抓取端，只走 HTTP/TCP。

5.5 Grafana 默认密码 `Aa123456`#

这个密码仅为演示方便，强度非常弱。部署完成后请立即登录 Grafana 改成复杂密码（推荐 16 位以上、包含大小写字母 + 数字 + 符号）。更规范的做法是把密码放在 .env 文件并用 ${GF_SECURITY_ADMIN_PASSWORD} 从 compose 读取，避免明文写入版本库。

5.6 Healthcheck#

三个服务都加了 healthcheck，每 30 秒探测一次：

prometheus：/-/healthy 端点
grafana：/api/health 端点
graphite-prometheus：/metrics 端点（能返回即视为存活）

配合 restart: unless-stopped，容器进程挂掉或卡死时能被自动重启。可以用 docker compose ps 查看每个服务的健康状态。

6. 启动与验证#

6.1 启动容器#

Terminal window

1
docker compose up -d
2
docker compose ps

三个容器的 STATUS 列应当显示为 running (healthy)。

6.2 端口与访问地址#

端口	服务	用途
3000	Grafana	可视化 Web UI（默认用户 `admin`）
9090	Prometheus	Prometheus Web UI（查询 + 查看 target 状态）
9108	graphite-prometheus	`/metrics` 端点，Prometheus 从这里抓
9109	graphite-prometheus	Graphite 协议接收端，TrueNAS 推到这里

6.3 确认数据链路通了#

浏览器打开 http://<服务器 IP>:9090/targets，truenas job 的 state 应当为 UP。
打开 http://<服务器 IP>:9090/graph，在查询框搜 truenas_，能看到一堆以 truenas_ 开头的指标，说明转换器在正常工作。
如果 target 一直 DOWN：先看 graphite-prometheus 的日志 docker logs graphite-prometheus，通常是 TrueNAS 没推数据、或目标 IP/端口写错。

7. 导入推荐的 Grafana 仪表板#

项目作者提供了一份现成的 TrueNAS SCALE 仪表板：

👉 truenas_scale.json

导入步骤：

登录 Grafana (http://<服务器 IP>:3000)。首次使用需要添加 Prometheus 数据源：
- 侧栏 → Connections → Data sources → Add data source → Prometheus
- URL：填 http://prometheus:9090（同 compose 网络内访问）或 http://<服务器 IP>:9090
- 拉到底点 Save & test，显示 Successfully queried 即可
侧栏 → Dashboards → New → Import
选择 Upload JSON file，上传下载好的 truenas_scale.json
在导入界面的数据源下拉里选刚才创建的 Prometheus，点 Import

导入后即可看到 TrueNAS 的 CPU、内存、ZFS 池、磁盘温度、网络流量等面板。后续可在此基础上按需调整 Panel，或在 Prometheus / Grafana 里按指标配置告警规则。

作者注

本文在 TrueNAS SCALE 24.x 上验证过；Core 版本的 Graphite 上报路径略有差异，但配置项名称一致，按 Web UI 提示操作即可。

NAS 变身播放机：Kodi Docker-Compose 硬解直通手册

Sat, 07 Mar 2026 00:00:00 GMT

FNOS 这类 x86 NAS 自带 HDMI 口，空着不插电视有点浪费。直接在 NAS 上跑一个 Kodi 容器、直通 Intel 核显做硬解，就能把 NAS 当成客厅播放机——媒体文件就在本地，不用经过网络中转，4K HEVC 播放 CPU 占用极低。本文记录完整部署流程，包括特权容器、网络模式、VA-API 硬解验证与遥控配置。

1. 前置条件#

FNOS 已经正常运行（飞牛 OS 或其他基于 Debian/Ubuntu 的 NAS 系统都适用）
NAS 宿主机 HDMI 接入电视或显示器——这是整套方案的基石，HDMI 没接东西就没有”直通”一说
CPU 带 Intel 核显（常见如 N100、N5105、J4125、11 代以上 i3/i5 等）；核显是 VA-API 硬解的硬件基础
Docker + Docker Compose 已安装
具备 SSH 终端访问权限

2. Docker Compose 配置#

在 NAS 上新建一个目录（比如 /vol1/1000/docker/kodi），创建 docker-compose.yaml：

1
services:
2
  syno-kodi:
3
    image: wjz304/syno-kodi:latest
4
    container_name: kodi
5
    privileged: true
6
    stdin_open: true
7
    tty: true
8
    restart: unless-stopped
9
    # 网络模式二选一（见 3.2 节对比），默认用 bridge 模式显式映射端口
10
    # network_mode: host
11
    ports:
12
      - "8080:8080"             # Kodi Web UI (Chorus2)
13
      - "9090:9090"             # JSONRPC over TCP
14
      - "9777:9777/udp"         # EventServer（Kore 遥控 App）
15
    volumes:
16
      - /dev/dri:/dev/dri       # Intel 核显（VA-API 硬解）
17
      - /dev/snd:/dev/snd       # 音频输出（ALSA）
18
      - /dev/input:/dev/input   # 键鼠 / 遥控输入
19
      - /run/udev:/run/udev:ro  # 设备热插拔事件
20
      - ./data:/root            # Kodi 配置持久化（~/.kodi）
21
      - /vol1/1000/download/media:/media  # 媒体库路径（按需替换）

展开收起

3. 配置项逐项说明#

3.1 `privileged: true` 的安全取舍#

privileged: true 等于把容器当半个 root 对待——能访问宿主机所有设备、加载内核模块、修改 sysctl。对 Kodi 这种只要用 GPU / 音频 / 输入设备的场景，属于过度授权。

推荐：先试用最小权限，实在不行再退回特权

对安全敏感时可以尝试用精确的 devices + group_add 替代 privileged：

1
# 去掉 privileged: true
2
devices:
3
  - /dev/dri:/dev/dri
4
  - /dev/snd:/dev/snd
5
  - /dev/input:/dev/input
6
group_add:
7
  - video
8
  - audio
9
  - input

如果改完 CEC、HDMI framebuffer 输出不正常，再退回 privileged: true——某些 DRM master 的场景确实需要特权才能拿到完整控制。

3.2 网络模式：bridge vs host#

Kodi 容器的网络模式是本文最值得展开的一处，两种模式各有明显的优缺点：

模式	优点	缺点
bridge（默认）	网络隔离性好、端口边界清晰；与其他容器/宿主机服务互不干扰	HDMI-CEC 设备发现可能失败；DLNA / UPnP / AirPlay / Bonjour 自动发现不工作；Kore App 局域网扫描可能扫不到
host（推荐）	CEC 正常；所有自动发现协议（SSDP、mDNS）工作；性能略好	容器直接用宿主机网络栈，端口冲突风险（必须确保宿主机 8080/9090 没被占用）；隔离性弱

推荐用 host 模式，除非你的 NAS 上已经有其他服务占用了 8080 等端口。切换方式：

1
# 取消这一行的注释
2
network_mode: host
3
# 同时把 ports: 段整块删掉（host 模式下端口映射不起作用）

Tip

如果不知道宿主机 8080 有没有被占用，先 ss -lntp | grep 8080 确认一下，再决定用哪个模式。

3.3 设备挂载说明#

挂载	作用
`/dev/dri`	Intel 核显节点，VA-API 硬解的入口
`/dev/snd`	ALSA 声卡设备，HDMI 音频输出
`/dev/input`	键盘 / 鼠标 / USB 遥控接收器
`/run/udev:ro`	让容器感知宿主机的设备热插拔事件（CEC、U 盘挂载）

严格讲，设备类挂载更适合用 devices: 段声明（语义更准确），但在 privileged: true 下写在 volumes: 里也能正常工作，功能等价。

3.4 数据卷说明#

./data:/root：Kodi 的全部用户数据会写到容器内 /root，映射到宿主机当前目录下的 data 子文件夹（即 ~/.kodi：媒体库数据库、刮削缩略图、插件、设置都在这里）。

Caution
删除 ./data 目录等于重置 Kodi——所有媒体库、观看进度、插件配置全部丢失，需要重新扫库。建议定期备份这个目录。
/vol1/1000/download/media:/media：FNOS 特有的存储路径约定：
- /vol1/ 是第一个存储池的挂载点
- 1000/ 是 UID 为 1000 的用户空间目录
- download/media/ 是具体的媒体文件夹
如果你不是 FNOS 用户，或者 UID 不同，替换成自己的媒体目录即可。通用写法：
```
1
- /mnt/media:/media
2
# 或
3
- /data/movies:/media
```

3.5 端口含义#

端口	协议	作用
`8080`	TCP (HTTP)	Kodi Web UI (Chorus2)，浏览器访问管理、看媒体库状态
`9090`	TCP	JSONRPC 远程控制接口（程序化调用用）
`9777`	UDP	EventServer，Kore 等遥控 App 发按键事件走这个端口

9777 必须加 /udp

9777 是 UDP 协议，Docker Compose 里 "9777:9777" 会默认当成 TCP 映射，结果是 Kore App 表面能连上但按键无效。务必写成 "9777:9777/udp"。

4. 启动与验证#

4.1 启动容器#

Terminal window

1
docker compose up -d
2
docker compose logs -f kodi

看到 Kodi is starting 或 Kodi 启动日志即表示容器跑起来了。

4.2 确认 HDMI 输出#

宿主机接好的电视 / 显示器上应该直接出现 Kodi 的启动画面（可能要先切到对应 HDMI 输入源）。黑屏时的排查：

宿主机 HDMI 线是否实际接着——FNOS 开机时如果能看到 bootloader 画面，说明硬件层 HDMI 工作正常
docker compose logs kodi 有没有 DRM / framebuffer 相关错误
FNOS 宿主机上有没有其他进程已经占用了显卡（部分 FNOS 版本自带桌面环境）

4.3 验证 VA-API 硬解#

第一步：容器内确认驱动可用

Terminal window

1
docker exec -it kodi vainfo

输出应该包含一堆 VAProfile* 条目（VAProfileH264*、VAProfileHEVCMain*、VAProfileVP9* 等）。若报 failed to initialize display 或 ERROR，说明 /dev/dri 权限或驱动没对上，检查 group_add 或退回 privileged: true。

第二步：在 Kodi 里启用 VAAPI

用电视遥控（或手机 Kore App、浏览器打开 http://<NAS IP>:8080）操作：

设置 → 系统 → 设置级别 切到”专家级”
设置 → 玩家 → 视频
启用 “允许硬件加速 – VAAPI”

第三步：实际播放验证

播放一段 4K HEVC 测试片源（Jellyfin 社区有免费测试片）
播放时按 Ctrl+Shift+O 打开调试浮层
看 VC:（video codec）那一行，出现 vaapi 即为硬解生效
另开 SSH 终端跑 top，正常播放 4K HEVC CPU 占用应该 <30%；如果接近 100% 说明还在走软解

5. 遥控与使用#

5.1 手机遥控（Kore，推荐）#

官方 Kore App（Android / iOS）是最顺手的方案：

Kodi 里 设置 → 服务 → 控制 → 启用”允许远程控制应用程序”和”允许其他设备的远程控制”
手机装好 Kore，确保和 NAS 在同一局域网
Kore 首次启动会自动扫描（bridge 模式下可能扫不到，手动添加：IP 填 NAS 地址，端口 8080）
首次连接 Kodi 在电视上弹出授权提示，确认即可

5.2 HDMI-CEC（电视遥控器）#

大多数支持 HDMI-CEC 的电视（Sony BRAVIA Sync / Samsung Anynet+ / LG SimpLink）：

建议使用 network_mode: host，CEC 走底层设备通信、host 模式更稳
电视设置里启用 HDMI-CEC 相关选项
Kodi 设置 → 系统 → 输入 → 外设 → 配置 CEC 适配器
之后直接用电视遥控器的方向键 / OK / 返回键即可操作 Kodi

5.3 键盘 / 鼠标#

因为挂载了 /dev/input，插在 NAS USB 口的任意键盘、鼠标、无线遥控接收器（如飞利浦、Rii mini）都能开箱即用。

6. 常见故障排查#

现象	可能原因	对策
HDMI 黑屏	宿主机其他进程占用了显卡 / DRM master	关掉 FNOS 自带的桌面服务；检查容器日志
有画面无声音	ALSA 设备权限 / 通道选错	容器内 `aplay -l` 列设备；Kodi 里把音频输出设到 `ALSA: HDMI`
画面卡顿、CPU 占满	VAAPI 未启用，走的软解	按 4.3 节重新检查 VAAPI
Kore 手机连得上但按键无响应	`9777` 端口没映射成 UDP	确认 compose 里是 `"9777:9777/udp"`
重启容器后媒体库丢失	`./data` 目录被清理或权限问题	检查 `./data` 是否存在并有写权限；备份该目录
中文字幕乱码	字体不支持中文字符集	Kodi 设置 → 外观 → 字体切到 “Arial”；或在容器内挂载 `wqy-microhei.ttc` 等中文字体
Kore 在局域网扫不到 Kodi	bridge 模式下 mDNS / SSDP 发现受限	改 `network_mode: host` 或在 Kore 里手动填 IP+端口
CEC 遥控器不工作	bridge 模式下 CEC 发现失败	改 `network_mode: host`

7. 初次使用：扫描媒体库#

Kodi 起来后默认是空的，需要把 /media 目录加进媒体库：

视频 → 文件 → 添加视频
浏览 → 选择 /media（即宿主机的 /vol1/1000/download/media）
设置该目录的内容类型（电影 / 剧集）
选择刮削器（TMDB 中文版对中文片名识别较好）
Kodi 开始扫描、下载元数据和封面

首次扫描会很慢

几百上千部视频的 NAS，首次刮削可能要几小时。挂在后台跑就行，./data/userdata/Database/ 下的 SQLite 文件会持续写入。

作者注

本文基于 FNOS + Intel 核显 x86 NAS 的典型配置写成。不同 NAS 硬件（不同代 Intel 核显、内核/驱动版本、wjz304/syno-kodi 的镜像版本）在 VAAPI 表现上可能有差异，最终以 vainfo 输出和实际播放时的 CPU 占用为准。

OpenClaw (小龙虾) 部署指南：打造企业级 AI 自动化助手

Sat, 07 Mar 2026 00:00:00 GMT

本文记录在 Windows WSL 子系统下部署 OpenClaw（社区昵称”小龙虾”）的完整流程：从导入 Ubuntu WSL 镜像、执行安装脚本、配置 gateway，到注册 systemd 开机自启与常用故障排查。

1. 前置条件#

Windows 10（版本 2004 及以上）或 Windows 11
已安装 WSL 2（未装可执行 wsl --install 安装）
预留 8 GB 以上 磁盘空间（Ubuntu 镜像 + OpenClaw 运行数据）
已下载好 Ubuntu WSL 镜像文件（如 ubuntu-24.04.4-wsl-amd64.wsl）

2. 导入 Ubuntu WSL 子系统#

在宿主机 PowerShell 中执行：

Terminal window

1
# 格式：wsl --import <自定义系统名称> <安装路径> <镜像文件路径>
2
wsl --import openclaw F:\openclaw "$env:USERPROFILE\Downloads\ubuntu-24.04.4-wsl-amd64.wsl"
3

4
# 进入 WSL 子系统
5
wsl -d openclaw

3. 安装 OpenClaw（在 WSL 内部）#

进入 WSL 子系统后，先装好基础依赖：

Terminal window

1
# 如果网络环境不好（apt 更新缓慢或失败），请自行更换 apt 源（tuna、阿里云等）
2
apt update
3
apt install -y curl zip unzip

执行 OpenClaw 官方安装脚本：

Terminal window

1
curl -fsSL https://openclaw.ai/install.sh | bash
2

3
# 将工具权限配置为完整模式
4
openclaw config set tools.profile full

curl | bash 的安全提醒

curl ... | bash 会把远程脚本直接喂给 bash 执行，一旦上游或你当时的 DNS 解析被污染，就相当于在本机执行了不可控的代码。如果对安全有要求，建议先下载审查再执行：

Terminal window

1
curl -fsSL https://openclaw.ai/install.sh -o install.sh
2
less install.sh           # 浏览脚本内容确认无异常
3
bash install.sh

4. 配置文件说明#

编辑 OpenClaw 配置文件：

Terminal window

1
nano ~/.openclaw/openclaw.json

4.1 推荐配置（本机使用）#

默认情况下推荐 bind: local，只监听本机回环，需要远程访问时用 SSH 隧道打通（见 4.3）。

1
{
2
  "gateway": {
3
    "port": 18789,
4
    "mode": "local",
5
    "bind": "local",
6
    "auth": {
7
      "mode": "token",
8
      "token": "your_token_here"
9
    },
10
    "tailscale": {
11
      "mode": "off"
12
    }
13
  }
14
}

4.2 开启局域网访问（谨慎使用）#

如果确实需要让局域网其他设备直连，修改为以下配置：

1
{
2
  "gateway": {
3
    "port": 18789,
4
    "mode": "local",
5
    "bind": "lan",
6
    "auth": {
7
      "mode": "token",
8
      "token": "your_token_here"
9
    },
10
    "controlUi": {
11
      "dangerouslyAllowHostHeaderOriginFallback": true,
12
      "allowInsecureAuth": true,
13
      "dangerouslyDisableDeviceAuth": true
14
    },
15
    "tailscale": {
16
      "mode": "off",
17
      "resetOnExit": false
18
    }
19
  }
20
}

展开收起

bind: lan + dangerously 开关的安全影响

上述配置会把 OpenClaw 暴露到整个局域网，同时关闭三重安全校验：

dangerouslyAllowHostHeaderOriginFallback：关闭 Origin 校验，允许任意来源调用
allowInsecureAuth：允许明文（非 HTTPS）认证
dangerouslyDisableDeviceAuth：禁用设备绑定

配置项里出现 dangerously 是作者对使用者最强的警告。结合 tools.profile full（完整系统工具权限），任何能访问 18789 端口的设备都能用这个 AI 助手在本机做任意事，包括读写文件、执行命令。

推荐替代方案：

本机使用：保留 bind: local（4.1 节），配合下面的 SSH 隧道
远程访问：开启 tailscale 段，基于身份认证的 Mesh VPN，比裸 lan 安全得多

4.3 SSH 隧道访问（推荐的远程用法）#

从其他机器访问时，SSH 隧道比 bind: lan 安全得多：

Terminal window

1
# 在客户端执行，把远程 18789 映射到本地 18789
2
ssh -N -L 18789:127.0.0.1:18789 user@10.0.0.53

这样本地浏览器访问 http://localhost:18789 就是在访问远端机器的 OpenClaw，且端口仅对你的 SSH 可见。

改完配置要重启服务

本节的配置修改都需要重启 OpenClaw 服务后才会生效。如果已经按第 5 节注册了 systemd 服务，执行：

Terminal window

1
sudo systemctl restart openclaw

5. 启动服务#

5.1 前台运行（首次调试）#

首次安装建议前台运行，确认一切正常：

Terminal window

1
source ~/.bashrc
2
openclaw gateway

终端会打印启动日志，能看到 Listening on :18789 之类的信息即为成功。按 Ctrl+C 退出。

5.2 注册为 systemd 服务（长期运行）#

前台运行正常后，推荐注册成 systemd 服务，方便开机自启与异常自拉。

先查找 openclaw 二进制的绝对路径（systemd 不读用户 PATH，必须写死）：

/usr/local/bin/openclaw

1
which openclaw

创建服务文件（把 ExecStart 里的路径换成上一步查到的值）：

Terminal window展开收起

1
sudo tee /etc/systemd/system/openclaw.service > /dev/null <<'EOF'
2
[Unit]
3
Description=OpenClaw Gateway Service
4
After=network.target
5

6
[Service]
7
Type=simple
8
User=root
9
WorkingDirectory=/root
10
ExecStart=/usr/local/bin/openclaw gateway
11
Restart=always
12
RestartSec=10
13

14
[Install]
15
WantedBy=multi-user.target
16
EOF
17

18
sudo systemctl daemon-reload
19
sudo systemctl enable --now openclaw
20
sudo systemctl status openclaw

展开收起

生产环境建议用专用用户，不要 root 跑

上面的服务文件 User=root 是为了匹配 WSL 默认导入的 root 环境（wsl --import 进去默认就是 root）。但 tools.profile full 给了 OpenClaw 执行命令、读写文件的完整能力——以 root 运行等于把整台机器的 root 权限交给 AI。

对安全有要求时，创建专用用户并把 OpenClaw 装到该用户下：

Terminal window

1
sudo useradd -r -m -s /bin/bash openclaw
2
sudo -iu openclaw bash -c 'curl -fsSL https://openclaw.ai/install.sh | bash'
3
sudo -iu openclaw openclaw config set tools.profile full
4
sudo -iu openclaw which openclaw     # 查询准确路径，一般是 /home/openclaw/.openclaw/bin/openclaw

然后把服务文件里改成：

1
User=openclaw
2
WorkingDirectory=/home/openclaw
3
ExecStart=/home/openclaw/.openclaw/bin/openclaw gateway

6. 访问 OpenClaw#

服务起来之后：

如果是 bind: local：在 WSL 本机浏览器打开 http://localhost:18789，或从宿主机/其他机器通过 SSH 隧道（见 4.3）访问
如果是 bind: lan：直接在局域网任意设备打开 http://<WSL 宿主机 IP>:18789
使用 openclaw.json 里配置的 token 登录 Web 控制台

Note

OpenClaw 具体的 Web UI 操作、工具使用示例与最佳实践超出本文部署指南的范围，建议参考官方文档或社区资料进一步了解。

7. 故障排查#

7.1 `Systemd user services are unavailable`#

安装时若输出：

1
Systemd user services are unavailable. Skipping lingering checks and service install.

这是 WSL 默认没启用用户级 systemd 导致的。两种解法：

方案 A：直接前台运行 openclaw gateway（见 5.1），开机启动需手动操作
方案 B（推荐）：按第 5.2 节注册为 system 级 systemd 服务（不是 user 级），不受此限制

7.2 改了配置后没生效#

配置文件修改后必须重启服务：

Terminal window

1
sudo systemctl restart openclaw

7.3 服务起不来 / 状态 failed#

查看详细日志：

Terminal window

1
sudo journalctl -u openclaw -n 100 --no-pager

常见原因：ExecStart 里的二进制路径不对（不同用户安装位置不同）、端口 18789 被占用、配置文件 JSON 语法错误。

8. 常用命令速查#

8.1 PowerShell（宿主机）#

Terminal window

1
# 进入 WSL 子系统
2
wsl -d openclaw
3

4
# 关闭 WSL 子系统
5
wsl -d openclaw --shutdown
6

7
# 查看已安装的 WSL 子系统列表
8
wsl -l -v

8.2 Linux（WSL 内部，systemd 服务方式）#

Terminal window

1
# 查看服务状态
2
sudo systemctl status openclaw
3

4
# 启动 / 停止 / 重启
5
sudo systemctl start openclaw
6
sudo systemctl stop openclaw
7
sudo systemctl restart openclaw
8

9
# 查看实时日志
10
sudo journalctl -u openclaw -f

作者注

本教程在 Windows 11 + WSL 2 + Ubuntu 24.04 环境下验证过。OpenClaw 本身的功能和使用方法请查阅其官方文档。

PowerShell SSH 效率手册：免密、别名与端口转发

Sat, 07 Mar 2026 00:00:00 GMT

Windows 10+ 自带的 OpenSSH 客户端已经很完善，配合 PowerShell Profile 和 SSH Config，运维里最常用的连服务器、免密、端口转发都能用一套干净的方式管理。本文记录我自己用得最顺手的一套配置。

1. 本地生成密钥（只需执行一次）#

在本地 PowerShell 运行：

Terminal window

1
# 确保 .ssh 目录存在（全新账户第一次使用 SSH 时必要）
2
if (!(Test-Path $HOME\.ssh)) { New-Item -ItemType Directory $HOME\.ssh | Out-Null }
3

4
# 生成 ed25519 密钥，-N '' 表示不设密码
5
ssh-keygen -t ed25519 -N '' -f "$HOME\.ssh\id_ed25519"
6

7
# 查看公钥内容
8
Get-Content $HOME\.ssh\id_ed25519.pub

为什么选 ed25519

ed25519 是目前推荐的密钥算法：公钥一行搞定、生成速度快、安全性更高。RSA 只在需要兼容十多年前的老系统时才需要考虑。

要不要给密钥加 passphrase？

上面用 -N '' 生成的是无密码私钥，方便但一旦文件泄露就直接失守。对安全要求更高可以去掉 -N ''、交互式输入一个 passphrase。然后用 ssh-agent 托管密钥，每次登录不用反复输 passphrase：

Terminal window

1
# 启用 ssh-agent 服务并设为开机自启（PowerShell 以管理员身份运行一次）
2
Start-Service ssh-agent
3
Set-Service ssh-agent -StartupType Automatic
4

5
# 把密钥加入 agent（只需执行一次，之后重启电脑也会自动加载）
6
ssh-add $HOME\.ssh\id_ed25519

2. 服务器端免密配置#

把公钥送上服务器有三种方式，推荐方式 A（一行命令，不依赖额外工具）。

2.1 方式 A：pipe 到 ssh 自动写入（推荐）#

Terminal window

1
Get-Content $HOME\.ssh\id_ed25519.pub | ssh user@1.2.3.4 "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"

命令会：读取本地公钥 → SSH 送到服务器 → 自动追加到 authorized_keys → 顺手把目录和文件权限都设对。执行时输一次密码，完成后下次起就免密。

2.2 方式 B：ssh-copy-id（OpenSSH 新版本自带）#

较新的 OpenSSH 客户端内置了 ssh-copy-id，效果和方式 A 一致但命令更短：

Terminal window

1
ssh-copy-id user@1.2.3.4

Windows 自带的 OpenSSH 不一定带这个命令（看版本），如果提示 The term 'ssh-copy-id' is not recognized，直接用方式 A。

2.3 方式 C：手动粘贴（兜底）#

登录服务器后手动执行（需要先把公钥内容复制到剪贴板）：

Terminal window

1
mkdir -p ~/.ssh && chmod 700 ~/.ssh && \
2
echo "这里粘贴公钥内容" >> ~/.ssh/authorized_keys && \
3
chmod 600 ~/.ssh/authorized_keys

免密配好后建议禁用密码登录

公钥登录正常工作后，推荐在服务器 /etc/ssh/sshd_config 里改成：

1
PubkeyAuthentication yes
2
PasswordAuthentication no

然后 sudo systemctl reload ssh（Debian/Ubuntu 是 ssh，CentOS/RHEL 是 sshd）。这样服务器只接受密钥登录，彻底消除密码被爆破的风险。

两条关键保险：

修改前务必先用密钥登录一次，确认公钥配置无误。
修改和 reload 期间保留一个已登录的 SSH 窗口别关——万一配置语法错、reload 失败或被防火墙误杀，可以从这个窗口里回滚，而不是被锁在门外。

3. SSH 端口转发的三种模式#

SSH 内置 3 种端口转发模式，分别应对不同场景：

模式	参数	方向	典型场景
本地转发	`-L`	本地 → 远程	访问远程内网 Web / DB
远程转发	`-R`	远程 → 本地	把本地服务暴露给远端（内网穿透）
动态转发	`-D`	SOCKS 代理	浏览器流量整条走 SSH

3.1 本地转发（-L）——最常用#

把远端能访问的资源映射到本地端口。比如服务器上跑着只监听 127.0.0.1:8080 的内部 Web 面板：

Terminal window

1
# 格式：ssh -L [本地端口]:[远端可访问地址]:[远端端口] 用户@服务器IP
2
# 示例：把服务器的 127.0.0.1:8080 映射到本地 8080
3
ssh -L 8080:127.0.0.1:8080 user@1.2.3.4

连上后，本地浏览器访问 http://localhost:8080 就是在访问服务器上的服务。

常用参数：

-N：只建隧道，不打开远程 shell
-f：执行命令前 fork 到后台（通常和 -N 一起用，让 SSH 进程进入后台运行）

3.2 远程转发（-R）——内网穿透#

方向相反：把本地能访问的服务暴露给远端。比如想让服务器访问你本地 3000 端口的服务：

Terminal window

1
# 把本地 localhost:3000 映射到服务器的 8000 端口
2
ssh -R 8000:localhost:3000 user@1.2.3.4

服务器上访问 http://127.0.0.1:8000 就是访问你本地的 3000，常用于给服务器演示本地 demo、接收 webhook 调试等。

-R 默认只监听 127.0.0.1

服务器上 -R 暴露出来的端口默认只绑定 127.0.0.1，外部机器访问不到。如果要让公网或局域网也能访问，需要在服务器 sshd_config 里开启 GatewayPorts yes——安全敏感，谨慎使用。

3.3 动态转发（-D）——SOCKS 代理#

把 SSH 当成本地 SOCKS5 代理：

Terminal window

1
# 在本地 1080 端口起 SOCKS5 代理，所有流量走服务器
2
ssh -D 1080 -N user@1.2.3.4

浏览器把代理设成 SOCKS5 127.0.0.1:1080 后，所有网页请求都会经服务器出口。相当于一条 SSH 连接就能当整套代理，临时用不需要单独装 Clash / v2ray 这类工具。

4. 短别名与自动端口转发：两种方案#

每次敲 ssh -L ... user@ip 又长又容易出错。下面两种方案都能做到”一个词解决”，按需选一种或两种搭配用。

4.1 方案一：SSH Config 文件（推荐）#

优点：声明式配置；命令行、Git、SCP 等各种 SSH 工具都认；一次配置终身受益。

步骤：

打开配置文件：
Terminal window
```
1
notepad $HOME\.ssh\config
```

写入内容：

1
# --- 基础服务器：只做登录 ---
2
Host s1
3
    HostName 1.2.3.4
4
    User user
5
    Port 22                # 非默认端口（如 22222）就改这里
6
    IdentityFile ~/.ssh/id_ed25519
7

8
# --- 带自动端口转发的同一台服务器 ---
9
Host s1-tunnel
10
    HostName 1.2.3.4
11
    User user
12
    Port 22
13
    IdentityFile ~/.ssh/id_ed25519
14
    # LocalForward [本地端口] [目标地址]:[目标端口]
15
    LocalForward 18789 127.0.0.1:18789
16
    LocalForward 3306 127.0.0.1:3306

展开收起

使用：

Terminal window

1
ssh s1              # 纯登录
2
ssh s1-tunnel       # 登录 + 自动把 18789 / 3306 映射到本地

用 IdentityFile 管理多密钥

如果不同服务器需要不同密钥（比如公司机和 HomeLab 分开），在每个 Host 块下单独写 IdentityFile，SSH 会按主机挑对应密钥，不会把所有私钥依次试一遍（那样很快就会撞到服务器端 MaxAuthTries 限制被拒绝）。

4.2 方案二：PowerShell Profile 函数#

优点：启动时可以打印友好提示、函数里能塞任意 PowerShell 逻辑（例如连前先 Test-NetConnection 探活）。

步骤：

打开 Profile：
Terminal window
```
1
notepad $PROFILE
```

写入函数：

Terminal window

1
# 1. 纯连接
2
function s1 { ssh user@1.2.3.4 }
3

4
# 2. 一键开启端口转发并显示提示
5
function s1-tunnel {
6
    Write-Host "------------------------------------------------" -ForegroundColor Cyan
7
    Write-Host "SSH 隧道已建立！" -ForegroundColor Green
8
    Write-Host "Web 应用: http://localhost:18789" -ForegroundColor Yellow
9
    Write-Host "数据库端口: 3306 -> 3306" -ForegroundColor Yellow
10
    Write-Host "提示: 保持此窗口开启，按 Ctrl+C 关闭隧道" -ForegroundColor DarkGray
11
    Write-Host "------------------------------------------------" -ForegroundColor Cyan
12
    # -N 表示不执行远程命令，仅做转发
13
    ssh -N -L 18789:127.0.0.1:18789 -L 3306:127.0.0.1:3306 user@1.2.3.4
14
}

让配置生效并使用：

Terminal window

1
. $PROFILE       # 立即加载本次会话
2
s1-tunnel        # 直接输入函数名

4.3 两种方案对比#

维度	Config 方式	Profile 方式
打字量	`ssh s1-tunnel`（中等）	`s1-tunnel`（最少）
可维护性	高（标准格式、跨工具通用）	一般（仅 PowerShell 生效）
自动化能力	声明式配端口，无逻辑	可写任意 PowerShell 脚本逻辑
推荐度	⭐⭐⭐⭐⭐	⭐⭐⭐（补充）

建议方案一为主、方案二为辅：能用 Config 解决的就用 Config，需要彩色提示 / 脚本逻辑时再走 Profile 函数。

5. 常见故障排查#

报错	原因	对策
`Permissions 0644 for 'id_ed25519' are too open`	本地私钥权限过松	PowerShell 运行 `icacls $HOME\.ssh\id_ed25519 /inheritance:r /grant:r "$($env:USERNAME):F"`，或手动在文件属性里只保留当前用户可读
服务器侧 `Permission denied (publickey)`	`~/.ssh` 或 `authorized_keys` 权限不对	服务器上执行 `chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys`
端口转发报 `bind: Address already in use`	本地端口被其他进程占用	PowerShell 里 `Get-NetTCPConnection -LocalPort 8080` 定位占用进程
能连上但卡很久才出提示符	服务器开了 `UseDNS` 但反向解析失败	服务器 `sshd_config` 里设 `UseDNS no` 后重启 sshd
没明显报错但连不上 / 认证反复失败	需要更详细调试信息	加 `-v` / `-vv` / `-vvv` 打印握手日志（见下方）

遇到复杂问题时的万能调试命令：

Terminal window

1
ssh -vvv s1-tunnel

输出会逐步打印 SSH 协议握手的每个阶段，对密钥不匹配、配置未生效、算法协商失败等问题定位非常有用。

作者注

本教程在 Windows 11 + OpenSSH 9.x 客户端上验证过。对端服务器可以是 Linux / macOS，SSH 协议两端一致，命令互通。

Docker Compose 工具使用教程

Tue, 03 Mar 2026 00:00:00 GMT

Compose 是用于定义和运行多容器 Docker 应用程序的工具。通过 Compose，您可以使用 YML 文件来配置应用程序需要的所有服务。然后，使用一个命令，就可以从 YML 文件配置中创建并启动所有服务。

Important

docker-compose是一个已不再维护的旧版本（V1），目前推荐使用docker compose是集成到 Docker CLI 中的新版本（V2），也是现在官方推荐使用的命令

对比维度	docker-compose (旧版 V1)	docker compose (新版 V2)
发布时间与状态	2014年首次发布，目前已停止维护。	2020年宣布，是当前活跃的版本，也是未来趋势。
技术实现	使用 Python 编写。	使用 Go 语言编写，与 Docker CLI 相同。
命令形式	独立的命令，使用连字符：docker-compose。	是 docker 命令的一个子命令，使用空格：docker compose。
安装与集成	需要单独安装，是一个独立的二进制文件。	已集成到 Docker Engine 或作为 CLI 插件，通常随 Docker 一起安装。
Compose 文件	需要在 YAML 文件中指定 version 字段（如 version: ‘3.8’）。	推荐忽略 version 字段，直接使用最新的 Compose 规范（services 顶级字段）。

一、安装旧版（不推荐）#

Linux 上我们可以从 Github 上下载它的二进制包来使用，最新发行的版本地址： https://github.com/docker/compose/releases

运行以下命令以下载 Docker Compose 的当前稳定版本：

Terminal window

1
sudo curl -L "https://github.com/docker/compose/releases/download/v5.0.1/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-compose

要安装其他版本的 Compose，请替换v5.0.1

Terminal window

1
# 将可执行权限应用于二进制文件
2
sudo chmod +x /usr/local/bin/docker-compose
3

4
# 创建软链（可选）
5
sudo ln -s /usr/local/bin/docker-compose /usr/bin/docker-compose
6

7
# 测试是否安装成功
8
docker-compose version
9
cker-compose version 1.24.1, build 4667896b

二、安装新版#

由于新版的Compose工具集成在Docker的Ctl里面，所以只需正常安装Docker后使用即可，下面是常见的Linux发行版的Docker安装方式：

「通用」：轩辕镜像站一键安装脚本：bash <(wget -qO- https://xuanyuan.cloud/docker.sh)
Docker 安装与配置指南（CentOS / Ubuntu / Alpine）

Ubuntu安装IntelliJ IDEA

Tue, 03 Mar 2026 00:00:00 GMT

📝 前言#

IntelliJ IDEA 是 Java 开发的首选 IDE，本文将详细介绍如何在 Ubuntu 系统中安装 IDEA，并完成桌面应用配置和环境变量设置。

环境说明：

操作系统：Ubuntu 22.04 LTS / 24.04 LTS
IDEA 版本：IntelliJ IDEA 2024.3.3 (或最新版)
安装位置：/opt/idea

一、下载 IntelliJ IDEA#

1.1 获取安装包#

访问 JetBrains 官方网站下载 Linux 版本：

Community Edition（社区版）：免费开源，选择 .tar.gz 格式
Ultimate Edition（旗舰版）：付费，功能更全

1.2 下载到本地#

Terminal window

1
# 进入下载目录
2
cd ~/Downloads
3

4
# 如果使用 wget 下载（以 2024.3.3 版本为例）
5
wget https://download.jetbrains.com/idea/ideaIC-2024.3.3.tar.gz

二、安装 IDEA 到 /opt 目录#

2.1 解压并移动文件#

Terminal window

1
# 解压下载的文件
2
tar -xzf ideaIC-2024.3.3.tar.gz
3

4
# 创建目标目录（需要 sudo）
5
sudo mkdir -p /opt/idea
6

7
# 移动解压后的文件到 /opt/idea
8
sudo mv idea-IC-243.23626.103/* /opt/idea/
9

10
# 修改所有权，让当前用户可以读写
11
sudo chown -R $USER:$USER /opt/idea
12
sudo chmod -R 755 /opt/idea

为什么要装到 /opt？

/opt 是 Linux 系统中存放第三方软件的标准目录

与其他系统软件隔离，便于管理

2.2 验证安装#

Terminal window

1
# 尝试启动 IDEA
2
/opt/idea/bin/idea.sh

如果能正常启动，说明安装成功。

三、配置环境变量#

为了方便在终端中启动 IDEA，添加环境变量：

3.1 编辑配置文件#

Terminal window

1
# 编辑 bash 配置文件
2
nano ~/.bashrc

3.2 在文件末尾添加#

Terminal window

1
# IntelliJ IDEA
2
export IDEA_HOME=/opt/idea
3
export PATH=$PATH:$IDEA_HOME/bin

3.3 使配置生效#

Terminal window

1
source ~/.bashrc

3.4 测试环境变量#

Terminal window

1
# 现在可以直接用命令启动
2
idea.sh

四、创建桌面快捷方式#

4.1 创建桌面配置文件#

Terminal window

1
# 为当前用户创建桌面快捷方式
2
nano ~/.local/share/applications/idea.desktop

4.2 写入配置内容#

1
[Desktop Entry]
2
Encoding=UTF-8
3
Version=1.0
4
Name=IntelliJ IDEA
5
GenericName=Java IDE
6
Comment=IntelliJ IDEA - 强大的 Java 集成开发环境
7
Exec=/opt/idea/bin/idea %f
8
Icon=/opt/idea/bin/idea.png
9
Terminal=false
10
Type=Application
11
Categories=Development;IDE;
12
StartupWMClass=jetbrains-idea
13
StartupNotify=true
14
Keywords=java;ide;development;programming

4.3 ⚠️ 重要：为什么用 `idea` 而不是 `idea.sh`？#

很多初学者会疑惑：bin 目录下有两个可执行文件 idea 和 idea.sh，该用哪个？

文件	类型	特点	适用场景
`idea`	二进制启动器	- 静默启动，无日志输出 - 不占用终端窗口 - 启动更快	桌面快捷方式（推荐）、日常使用
`idea.sh`	Shell 脚本	- 显示详细启动日志 - 会打开终端窗口 - 关闭终端会导致 IDEA 退出	调试启动问题、查看错误日志

简单来说：

双击桌面图标时，你肯定不希望弹出一个黑乎乎的终端窗口——所以用 idea
如果 IDEA 启动失败需要看错误信息，才用 idea.sh

验证一下：

Terminal window

1
# 对比两种启动方式
2
/opt/idea/bin/idea      # 静默启动，终端立即返回
3
/opt/idea/bin/idea.sh   # 占用终端，显示日志

4.4 各字段说明#

字段	作用
`Name`	应用菜单中显示的名称
`Exec`	启动命令，`%f` 支持从文件管理器打开文件
`Icon`	图标文件路径
`Categories`	应用菜单中的分类
`StartupWMClass`	让任务栏正确分组图标
`Keywords`	搜索关键词，方便查找

4.5 验证图标文件#

Terminal window

1
# 检查图标文件是否存在
2
ls -l /opt/idea/bin/idea.png
3

4
# 如果不存在，查找实际图标
5
find /opt/idea/bin -name "*.png" -o -name "*.svg"

如果图标文件名不同（如 idea.svg），修改 Icon= 行的文件名。

4.6 更新桌面数据库#

Terminal window

1
update-desktop-database ~/.local/share/applications/

五、测试配置#

5.1 从应用菜单启动#

点击 Ubuntu 左下角的”显示应用程序”
搜索 “IntelliJ IDEA”
点击图标启动（此时使用的是静默的 idea 命令）

5.2 从命令行启动#

Terminal window

1
# 使用环境变量启动（静默）
2
idea
3

4
# 或使用带日志版本（调试用）
5
idea.sh
6

7
# 或使用完整路径
8
/opt/idea/bin/idea
9
/opt/idea/bin/idea.sh

5.3 测试文件关联#

在文件管理器中选中一个 Java 文件，右键 → 选择”用其他应用打开” → 找到 IntelliJ IDEA，应该能正常打开。

六、常见问题排查#

6.1 权限不够#

Terminal window

1
# 如果出现权限错误
2
sudo chown -R $USER:$USER /opt/idea
3
sudo chmod -R 755 /opt/idea

6.2 图标不显示#

检查图标文件路径是否正确
尝试使用 .svg 格式的图标
确认文件名大小写

6.3 无法从菜单找到#

Terminal window

1
# 重新更新桌面数据库
2
sudo update-desktop-database /usr/share/applications/
3
update-desktop-database ~/.local/share/applications/

6.4 环境变量不生效#

Terminal window

1
# 重新加载配置
2
source ~/.bashrc
3

4
# 或重启终端

七、进阶配置#

7.1 为所有用户安装（可选）#

如果想为系统中的所有用户安装桌面快捷方式：

Terminal window

1
sudo nano /usr/share/applications/idea.desktop

（使用同样的配置内容）

7.2 创建命令行别名#

在 ~/.bashrc 中添加：

Terminal window

1
alias idea='idea'

然后 source ~/.bashrc，之后只需输入 idea 即可启动。

小技巧：如果你经常需要看日志，也可以创建两个别名：
Terminal window
1
alias idea='idea'        # 静默启动
2
alias idea-debug='idea.sh'  # 调试模式

📌 总结#

通过本文的步骤，你完成了：

✅ IntelliJ IDEA 的下载和解压
✅ 安装到 /opt 系统目录
✅ 环境变量配置
✅ 桌面快捷方式创建（使用 idea 二进制启动器）
✅ 理解 idea 和 idea.sh 的区别
✅ 文件关联支持

现在你的 Ubuntu 系统已经配置好了专业的 Java 开发环境，可以开始愉快的编码了！

视频压缩指南

Tue, 03 Mar 2026 00:00:00 GMT

一、前言#

由于入手了115网盘会员，我决定将本地NAS中积攒多年的视频文件，一股脑儿迁移到云端备份，顺便也把NAS里的文件好好梳理一番。

作为一个资深“囤囤鼠”玩家，我的NAS里堆满了各种游戏的录屏、直播回放，文件数量多到令人头疼。整理过程中，一个最大的拦路虎出现了：大量单个视频文件超过了115GB。而115网盘有个硬性门槛——不支持上传超过115GB的单个文件。

115网盘因文件过大无法上传

直接上传的路被堵死了，但办法总比困难多。我的解决思路是：既然文件太大，那就给它“瘦身”。不是简单地压缩，而是采用比原始视频更高效的编码格式进行重新编码，这样可以在几乎不影响画质的前提下，将文件体积大幅缩减。比如，一个273GB的直播录像，压缩后可以轻松控制在100GB以内。

下面，我就把这次“瘦身”迁移的完整操作和经验分享出来，希望能帮到同样被大文件上传问题困扰的你。

二、查看原视频信息#

在动手压缩之前，我们需要先了解原始视频的基本信息。这就像医生看病前的检查，能帮助我们制定最合适的”治疗方案”。

1. 为什么要先查看视频信息？#

不同的视频编码、分辨率、码率，压缩的潜力和采用的策略都不一样。比如：

如果视频已经是H.265编码，压缩空间就很小

如果是H.264编码的4K高码率视频，压缩空间就非常大

2. 用FFprobe查看视频信息#

FFmpeg家族中有一个小工具叫ffprobe，专门用来查看视频文件的详细信息：

Terminal window

1
ffprobe -v error -show_entries stream=codec_name,width,height,r_frame_rate,bit_rate -show_entries format=duration,bit_rate "你的视频文件.mp4"

输出示例：

Terminal window

1
codec_name=h264
2
width=2560
3
height=1440
4
r_frame_rate=60/1
5
bit_rate=61823000
6
duration=37877.100000

从这些信息中我们可以解读出：

编码格式：H.264（压缩空间巨大）
分辨率：2560x1440（2K）
帧率：60fps
码率：约61.8 Mbps（非常高）
时长：约10.5小时

关键判断：如果是H.264编码，意味着我们可以通过升级到H.265或AV1编码，在不明显降低画质的情况下，将文件体积缩小50%-70%。

三、实操#

1. 下载FFmpeg#

访问 FFmpeg 官网下载页面，选择适合你操作系统的版本:

Windows用户：选择”Windows builds by gyan.dev”或”BtbN”版本，下载压缩包

macOS用户：可以用Homebrew安装 brew install ffmpeg

Linux用户：直接用包管理器 sudo apt install ffmpeg

Windows

如果临时使用，可以直接打开 bin文件夹，在命令行里面使用 ffmpeg 命令即可

长期使用推荐配置环境变量

将下载的压缩包解压到某个目录，比如 C:\ffmpeg
右键点击”此电脑” → “属性” → “高级系统设置” → “环境变量”
在”系统变量”中找到”Path”，点击”编辑”
添加FFmpeg的bin目录路径，例如 C:\ffmpeg\bin
一路点击”确定”保存

验证安装：打开命令提示符，输入 ffmpeg -version，如果显示版本信息，说明安装成功。

2. 压缩方案#

编码格式	压缩效率	硬件支持	适用场景
H.264	基准	几乎所有设备	兼容性之王，但体积最大
H.265/HEVC	比H.264节省40-50%	2015年后设备普遍支持	当前最均衡的选择
AV1	比H.264节省50-70%	RTX 40/50系、Intel Arc、AMD RX 7000系	追求极致压缩，硬件较新

Note

AV1 硬件编码需要 RTX 40/50 系列、Intel Arc 或 AMD RX 7000 系列显卡。旧显卡只能使用 CPU 软编码（libsvtav1），速度较慢但压缩率更高。

|VP9 | 接近H.265 | 部分设备支持 | YouTube常用，但逐渐被AV1取代 |

H.265 vs AV1：怎么选？

H.265（HEVC）的优势：

兼容性好，2015年后的电视、手机、盒子基本都支持
编码速度快，硬件加速成熟
文件体积控制优秀

AV1的优势：

压缩率更高，同样画质下比H.265再小20-30%
开源免费，无专利授权费用
下一代视频编码标准

我的建议：

如果追求省心、要在多设备播放 → 选H.265
如果硬件较新（RTX 40/50系）、追求最小体积 → 选AV1

3. 使用AV1编码#

使用NVIDIA显卡进行硬编码

Terminal window

1
ffmpeg -i "input.mp4" -c:v av1_nvenc -cq 32 -preset p7 -c:a copy -movflags +faststart output_av1.mp4

参数详解：

-c av1_nvenc：调用NVIDIA显卡的AV1硬件编码器
-cq 32：质量参数，数值越小画质越好（推荐范围28-35）
-preset p7：编码预设，p7是最高质量（最慢）
-c copy：直接复制音频，不重新编码
-movflags +faststart：优化网络播放

使用CPU进行软编码

Terminal window

1
ffmpeg -i "input.mp4" -c:v libsvtav1 -crf 35 -preset 6 -c:a copy -movflags +faststart output_cpu_av1.mp4

参数解释：

-c libsvtav1：使用CPU的SVT-AV1编码器（软件编码）
-crf 35：画质参数（0-63），数值越小画质越好。35是平衡点，如果想更小可以调到40-45
-preset 6：速度预设（0-13），数字越小越慢、压缩率越高。6是平衡点，如果想更小用preset 4或2，但会慢很多

4. 使用H265编码#

使用NVIDIA显卡进行硬编码

Terminal window

1
ffmpeg -i input.mp4 -c:v hevc_nvenc -cq 28 -preset p7 -c:a copy -movflags +faststart output_h265_nvenc.mp4

参数详解：

-c hevc_nvenc：调用NVIDIA的H.265硬件编码器（GPU工作）

Tip

H.265 硬编码推荐 -cq 28-32，兼顾文件体积与画质。RTX 40/50 系列使用 -preset p7 仍保持较快速度。

-cq 32：质量参数，数值越小画质越好（推荐范围28-35）
-preset p7：NVIDIA预设，p1最快（质量最差），p7最慢（质量最好）。RTX 40/50系用p7依然很快
-c copy：直接复制音频，不重新编码
-movflags +faststart：优化网络播放

使用CPU进行软编码

Terminal window

1
ffmpeg -i input.mp4 -c:v libx265 -crf 24 -preset medium -c:a copy -movflags +faststart output_h265_cpu.mp4

参数解释：

-c libx265：调用x265软件编码器（CPU工作）
-crf 24：画质参数（0-63），数值越小画质越好。35是平衡点，如果想更小可以调到40-45
-preset medium：控制编码速度与压缩率的平衡。从快到慢：ultrafast → superfast → veryfast → faster → fast → medium → slow → slower → veryslow。越慢文件越小，但时间成倍增加多

5. CRF值参考表（不同分辨率）#

画质目标	720p	1080p	4K
近乎无损	14	16	18
高质量	18	22	24
中等质量	24	26	28
低质量	28	30	32

经验法则：CRF每增减6，文件大小大约翻倍或减半

5. 主流编码器命名大全#

软件编码器（CPU工作）

编码器名称	来源	编码格式
`libx264`	x264项目	H.264
`libx265`	x265项目	H.265/HEVC
`libsvtav1`	Intel SVT项目	AV1
`libaom-av1`	Alliance for Open Media（开放媒体联盟）参考实现	AV1
`librav1e`	纯Rust实现的AV1编码器	AV1
`libvpx-vp9`	Google VPx项目	VP9
`libvpx-vp8`	Google VPx项目	VP8

NVIDIA硬件编码器（GPU工作）

编码器名称	含义	硬件要求
`av1_nvenc`	NVIDIA硬件AV1编码	RTX 40/50系
`hevc_nvenc`	NVIDIA硬件H.265编码	GTX 10系以上（Maxwell架构以后）
`h264_nvenc`	NVIDIA硬件H.264编码	几乎所有NVIDIA显卡

Intel硬件编码器（核显/独显）

编码器名称	含义	硬件要求
`av1_qsv`	Intel QSV硬件AV1编码	Intel Arc独显或11代以上核显
`hevc_qsv`	Intel QSV硬件H.265编码	6代酷睿以上
`h264_qsv`	Intel QSV硬件H.264编码	几乎所有Intel核显

QSV是什么？Quick Sync Video，Intel的硬件加速技术品牌。

AMD硬件编码器

编码器名称	含义	硬件要求
`av1_amf`	AMD AMF硬件AV1编码	RX 7000系列
`hevc_amf`	AMD AMF硬件H.265编码	RX 400系列以上
`h264_amf`	AMD AMF硬件H.264编码	几乎所有AMD显卡

AMF是什么？Advanced Media Framework，AMD的硬件加速技术品牌。

Apple硬件编码器

编码器名称	含义	硬件要求
`hevc_videotoolbox`	Apple VideoToolbox H.265编码	M1/M2/M3系列或Intel Mac
`h264_videotoolbox`	Apple VideoToolbox H.264编码	几乎所有Mac

6. 如何查看你的FFmpeg支持哪些编码器#

列出所有编码器

Terminal window

1
# 查看所有编码器
2
ffmpeg -encoders
3

4
# 用grep筛选特定格式（Windows用findstr）
5
ffmpeg -encoders | grep -E "x265|nvenc|qsv|amf|svt"
6
# Windows版：
7
ffmpeg -encoders | findstr "x265 nvenc qsv amf svt"

查看编码器详细信息

Terminal window

1
# 查看libx265的详细参数
2
ffmpeg -h encoder=libx265
3

4
# 查看hevc_nvenc的详细参数
5
ffmpeg -h encoder=hevc_nvenc
6

7
# 查看libsvtav1的详细参数
8
ffmpeg -h encoder=libsvtav1

四、进阶技巧：预估压缩时间和最终大小#

1. 实时查看进度#

在FFmpeg命令执行时，屏幕上会不断更新类似这样的信息：

Terminal window

1
frame= 4690 fps=157 q=82.0 size=   99328KiB time=00:01:18.03 bitrate=10427.0kbits/s speed=2.61x

关键指标解读：

参数	含义	怎么看
speed=2.61x	编码速度	最核心指标，表示比实时播放快2.61倍
time=01:18.03	已处理时长	已经处理了1分18秒
fps=157	每秒处理帧数	数值越高越快
size=99MB	当前输出大小	可以用来推算最终文件大小

2. 估算总时间#

公式：总时长 ÷ speed值 = 预计编码时间

实测案例对比：

视频规格	速度	10小时视频所需时间	最终大小
1080p (RTX 5060)	6.87x	约1.5小时	约38GB
2K (RTX 5060)	2.61x	约4小时	约50GB
1080p (CPU编码)	0.2-0.5x	20-50小时	约25-30GB

五、常见问题与解决方案#

问题1：网络路径无法访问#

错误信息：

1
Error opening input file \\NAS\share\video.mp4: Invalid argument

解决方案：

映射网络驱动器（推荐）：
- 在资源管理器中右键点击”此电脑” → “映射网络驱动器”
- 选择一个盘符（如Z:），输入NAS路径
- 用 Z:\video.mp4 替代网络路径
复制到本地：
- 先将文件复制到本地硬盘，压缩完成后再拷回去

问题2：速度突然变慢#

可能原因：

散热问题导致显卡降频
后台有其他程序占用资源
读取源文件的硬盘速度跟不上

解决方法：

监控GPU温度（用MSI Afterburner等工具）
关闭不必要的后台程序
确保源文件和输出文件在不同硬盘上

问题3：压缩后无法播放#

原因：播放设备不支持AV1或H.265硬解

解决方案：

改用H.265编码（兼容性更好）
用VLC、MPC-BE等支持软解的播放器
升级播放设备

附录：常用FFmpeg命令速查表#

需求	命令
查看视频信息	`ffprobe -v error -show_format -show_streams input.mp4`
AV1硬件编码	`ffmpeg -i input.mp4 -c:v av1_nvenc -cq 32 -preset p7 output.mp4`
H.265硬件编码	`ffmpeg -i input.mp4 -c:v hevc_nvenc -cq 28 -preset p7 output.mp4`
截取片段测试	`ffmpeg -ss 00:10:00 -t 60 -i input.mp4 -c copy test.mp4`
仅复制不压缩	`ffmpeg -i input.mp4 -c copy output.mp4`

最后#

经过这次近10TB视频的迁移压缩，我总结了以下经验：

囤囤鼠的最终归宿是上云

本地NAS再大，也总有满的一天。115网盘的115GB限制看似麻烦，其实是逼着我们梳理文件、优化存储。经过这一轮压缩整理，我的NAS清爽多了，云端备份也更安心。

祝大家上传顺利，永不”文件过大”！

如果你在操作过程中遇到问题，欢迎在评论区留言交流。本文所有命令均经过实测，但具体参数可能需要根据你的视频源微调。

LVM 硬盘工具使用教程

Mon, 02 Mar 2026 00:00:00 GMT

LVM是Linux系统中用于管理磁盘分区的命令行工具。该工具通过纯软件方式将多个块设备组织为逻辑卷，支持在线调整逻辑卷空间并集成快照功能以实现数据备份。

版本差异说明

此操作在 CentOS 7 下进行。CentOS 6 默认文件系统为 ext4（使用 resize2fs 命令扩容），CentOS 7 起默认为 xfs（使用 xfs_growfs 命令扩容）。写入 fstab 时需注意对应文件系统类型。

ubuntu也可以使用此文档.

一、安装LVM#

Terminal window

1
# CentOS/RHEL系统
2
yum  install -y lvm2
3

4
# Ubuntu/Debian系统
5
apt install -y lvm2

二、命令大全#

这里就是常用的创建分区所有使用的命令了，注意部分命令例如lsblk 只会提及一次，如想查看完整操作请看下一小节。

Terminal window展开收起

1
# 查看磁盘分区情况（虚拟磁盘通常是vdx、sata磁盘是sdx、nvme是nvmex）这里使用vdb作为演示
2
lsblk
3
# 使用parted工具操作磁盘（格式化磁盘）
4
parted /dev/vdb
5
  # 查看磁盘信息
6
  print
7
  # 修改为gpt分区表
8
  mklabel gpt
9
  # 创建主分区(如果创建一个分区，最后一个为最大容量)
10
  mkpart primary 0 1045GB
11
  # 如果有错误就忽略，如果有覆盖选项就Y覆盖
12
  # 创建完成后可以再次运行print查看磁盘信息
13

14
  # 标记1分区为lvm
15
  set 1 lvm on
16
  # 退出分区工具
17
  quit
18
# 重读分区表 可以再次运行lsblk进行查看分区
19
partprobe /dev/vdb
20

21

22
# ---------------------------创建分区操作---------------------------
23

24
# PV操作
25
## 创建pv (vdb1就是lsblk的vdb下面的一个分区)
26
pvcreate -v /dev/vdb1
27
## 查看pv 这里主要查看创建的pv有没有成功创建，注意这里可能会包含系统的pv
28
pvdisplay
29

30
# VG操作
31
## 创建vg 这里的vg01就是创建的vg名称
32
vgcreate -s 4M vg01 /dev/vdb1
33
## 查看vg 这里同样会包含系统的vg
34
vgdisplay
35

36

37
# LV操作
38
## 创建lv 这里的vg01就是vg名称 lv01就是创建的lv名称
39
lvcreate  -l 100%FREE -n lv01 vg01
40
## 查看lv 这里同样会包含系统的vg
41
lvdisplay
42

43

44
# 格式化分区 主要演示格式化为ext4
45
## 主要语法为 mkfs.ext4 /dev/<vg名称>/<lv名称>
46
mkfs.ext4 /dev/vg01/lv01
47

48
# 进行挂载操作
49
mkdir /app
50
mount /dev/vg01/lv01 /app
51

52
# 永久写入挂载点
53
## 查看系统当前挂载信息
54
blkid

展开收起

Caution

写入 /etc/fstab 前务必确认 UUID 正确。错误的 UUID 或 fstab 条目会导致系统无法正常启动。建议先用 mount 命令测试挂载是否正常，再写入 fstab。

Terminal window展开收起

1
## 写入fstab文件
2
echo "UUID=<UUID> /app ext4 defaults 0 0" >> /etc/fstab
3

4

5
# ---------------------------扩容分区操作---------------------------
6

7
# VG操作
8
## 扩展vg，将pv全部扩展到vg下
9
##vgextend <VG Name> <PV Name>
10
vgextend vg01 /dev/vdb1
11
# 查看LV
12
lvdisplay
13

14
# LV操作
15
## 扩展lv，将vg全部扩展到lv下
16
lvextend -l +100%FREE <LV Path>

展开收起

Warning

缩容操作可能导致数据丢失！执行 lvreduce 前必须先卸载文件系统并缩小文件系统大小，否则会损坏数据。建议缩容前做好完整备份。

Terminal window

1
## 缩小lv分区
2
lvreduce -L 100G  <LV Path>
3

4
# 加载到系统
5
## 参数为 LV path，**被扩容的挂载点一定是LVM格式
6
xfs_growfs <LV Path>

删除分区操作

以下操作包含 lvremove、vgremove、rm -rf 等不可逆命令，执行前请确认数据已备份。删除 LV/VG 后数据将无法恢复。

Terminal window展开收起

1
# ---------------------------删除分区操作---------------------------
2

3
# 删除挂载点
4
## 如果fstab内有配置需要同步删除
5
umount -v /dev/vg01/lv01
6
## 删除目录（可选）
7
rm -rf /app
8

9
# LV操作
10
## 删除LV
11
lvremove /dev/vg01/lv01
12
## 查看LV
13
lvdisplay
14

15
# VG操作
16
## 删除vg
17
vgremove vg01
18
## 查看vg
19
vgdisplay

展开收起

三、扩容分区#

在实际环境时，我们会遇到，硬盘临时扩容的情况。

解决方式分为2种。

把临时扩容的部分创建一个分区，合并到 root 的 lv 里面去
扩容当前的 lv

方法1展开收起

1
# 1. 查看当前PV情况
2
pvdisplay
3

4
# 2. 创建新分区（比如 sda3），类型设为 Linux LVM (8e)
5
fdisk /dev/sda
6
# 创建新主分区 sda3，使用所有剩余空间
7
# t 设置类型为 8e
8
# w 保存
9

10
# 3. 刷新分区表
11
partprobe /dev/sda
12

13
# 4. 创建物理卷
14
pvcreate /dev/sda3
15

16
# 5. 扩展到现有卷组
17
vgextend debian-vg /dev/sda3
18

19
# 6. 扩展逻辑卷
20
lvextend -l +100%FREE /dev/debian-vg/root
21

22
# 7. 扩展文件系统
23
resize2fs /dev/debian-vg/root

展开收起

方法2展开收起

1
# 检查当前分区表：
2
fdisk /dev/sda
3
# 按 p 查看分区表。注意 sda5 是从哪个分区扩展的（通常是 sda2的扩展分区）。
4

5
# 删除并重建扩展分区（sda2）以包含所有空间：
6
## 在 fdisk 中，按 d 删除分区，先删 5（扩展分区内的逻辑分区），再删 2（扩展分区本身）。
7
## 按 n 创建新扩展分区（sda2），选择默认起始扇区，并将结束扇区设置为磁盘末尾（直接按回车使用最大空间）。
8
## 按 t 将分区类型设置为 5（Extended）。
9

10
# 重建逻辑分区 sda5：
11
## 在 fdisk 中，按 n 创建逻辑分区（sda5），Partition #5 contains a LVM2_member signature. N 使用默认起始扇区，结束扇区同样设置为磁盘末尾。
12
## 按 t 设置分区类型为 8e（Linux LVM）。
13

14
# 保存并退出：
15
## 按 w 保存更改并退出 fdisk。
16

17
# 通知系统分区表变更：
18
partprobe /dev/sda
19

20
# 扩展物理卷（PV）：
21
pvresize /dev/sda5
22

23
# 扩展swap
24
## 关闭 swap
25
swapoff -a
26
## 扩展lv
27
lvextend -L 4G /dev/debian-vg/swap_1
28
## 重新创建swap并启用
29
mkswap /dev/debian-vg/swap_1
30
swapon /dev/debian-vg/swap_1
31

32
#扩展逻辑卷（LV）：
33
lvextend -l +100%FREE /dev/debian-vg/root
34

35
# 调整文件系统大小：如果是 ext4 文件系统：
36
resize2fs /dev/debian-vg/root

展开收起

四、真机实践#

1. 查看当前磁盘#

1
[root@fsddxtclgj9vm900419 ~]# df -Th
2

3
Filesystem              Type      Size  Used Avail Use% Mounted on
4
/dev/mapper/centos-root xfs        44G  3.7G   41G   9% /
5
devtmpfs                devtmpfs  7.8G     0  7.8G   0% /dev
6
tmpfs                   tmpfs     7.8G     0  7.8G   0% /dev/shm
7
tmpfs                   tmpfs     7.8G  777M  7.0G  10% /run
8
tmpfs                   tmpfs     7.8G     0  7.8G   0% /sys/fs/cgroup
9
/dev/vda1               xfs      1014M  179M  836M  18% /boot
10
tmpfs                   tmpfs     1.6G   36K  1.6G   1% /run/user/0
11
tmpfs                   tmpfs     1.6G   40K  1.6G   1% /run/user/1001

2. 查看块分区#

1
[root@fsddxtclgj9vm900419 ~]# lsblk
2

3
NAME            MAJ:MIN RM  SIZE RO TYPE MOUNTPOINT
4
vda             252:0    0   50G  0 disk
5
├─vda1          252:1    0    1G  0 part /boot
6
└─vda2          252:2    0   49G  0 part
7
  ├─centos-root 253:0    0   44G  0 lvm  /
8
  └─centos-swap 253:1    0    5G  0 lvm  [SWAP]
9
vdb             252:16   0  974G  0 disk

可以看到 /dev/vdb 为新增的磁盘

3. 格式化磁盘#

Terminal window展开收起

1
[root@fsddxtclgj9vm900419 ~]# parted /dev/vdb
2

3
GNU Parted 3.1
4
Using /dev/vdb
5
Welcome to GNU Parted! Type 'help' to view a list of commands.
6

7
(parted) print
8

9
Error: /dev/vdb: unrecognised disk label
10
Model: Virtio Block Device (virtblk)
11
Disk /dev/vdb: 1046GB
12
Sector size (logical/physical): 512B/512B
13
Partition Table: unknown
14
Disk Flags:
15

16
(parted) mklabel gpt
17

18
(parted) mkpart primary 0 1045GB
19

20
Warning: The resulting partition is not properly aligned for best performance.
21
Ignore/Cancel? i
22

23
(parted) print
24

25
Model: Virtio Block Device (virtblk)
26
Disk /dev/vdb: 1046GB
27
Sector size (logical/physical): 512B/512B
28
Partition Table: gpt
29
Disk Flags:
30

31
Number  Start   End     Size    File system  Name     Flags
32
 1      17.4kB  1045GB  1045GB               primary
33

34
(parted) set 1 lvm on
35

36
(parted) print
37

38
Model: Virtio Block Device (virtblk)
39
Disk /dev/vdb: 1046GB
40
Sector size (logical/physical): 512B/512B
41
Partition Table: gpt
42
Disk Flags:
43

44
Number  Start   End     Size    File system  Name     Flags
45
 1      17.4kB  1045GB  1045GB               primary  lvm
46

47
(parted) quit
48

49
Information: You may need to update /etc/fstab

展开收起

以上 (parted) 开头的代表输入的命令，具体功能可以通过 help 查看

4. 重读分区表#

Terminal window

1
partprobe /dev/vdb

5. 重新查看块分区#

1
[root@fsddxtclgj9vm900419 ~]# lsblk
2
NAME            MAJ:MIN RM   SIZE RO TYPE MOUNTPOINT
3
vda             252:0    0    50G  0 disk
4
├─vda1          252:1    0     1G  0 part /boot
5
└─vda2          252:2    0    49G  0 part
6
  ├─centos-root 253:0    0    44G  0 lvm  /
7
  └─centos-swap 253:1    0     5G  0 lvm  [SWAP]
8
vdb             252:16   0   974G  0 disk
9
└─vdb1          252:17   0 973.2G  0 part

可以看到vdb下多了vdb1，这个用来创建pv

6. 创建PV#

1
[root@fsddxtclgj9vm900419 ~]# pvcreate -v /dev/vdb1
2
    Wiping internal VG cache
3
    Wiping cache of LVM-capable devices
4
    Wiping signatures on new PV /dev/vdb1.
5
    Set up physical volume for "/dev/vdb1" with 2041015592 available sectors.
6
    Zeroing start of device /dev/vdb1.
7
    Writing physical volume data to disk "/dev/vdb1".
8
  Physical volume "/dev/vdb1" successfully created.

扩容前提条件

PV 创建好之后，到这一步可以选择扩展或者新建挂载点。扩容的前提条件是扩容挂载点的磁盘格式必须是 LVM 格式，非 LVM 格式的分区无法直接扩容。

这里先演示新建挂载点然后删除挂载点并扩容

7. 新增LVM挂载#

查看PV#

1
[root@fsddxtclgj9vm900419 ~]# pvdisplay
2
  --- Physical volume ---
3
  PV Name               /dev/vda2
4
  VG Name               centos
5
  PV Size               <49.00 GiB / not usable 3.00 MiB
6
  Allocatable           yes (but full)
7
  PE Size               4.00 MiB
8
  Total PE              12543
9
  Free PE               0
10
  Allocated PE          12543
11
  PV UUID               CCUeq0-ZnG9-iUY8-dPOj-fVOa-XC10-ooGyle
12

13
  "/dev/vdb1" is a new physical volume of "973.23 GiB"
14
  --- NEW Physical volume ---
15
  PV Name               /dev/vdb1
16
  VG Name
17
  PV Size               973.23 GiB
18
  Allocatable           NO
19
  PE Size               0
20
  Total PE              0
21
  Free PE               0
22
  Allocated PE          0
23
  PV UUID               vUoC7C-MIP2-iwXr-0SWu-c2Wz-yb6o-qFrfo1

展开收起

注意看 VG Name，前面的是系统安装时选择LVM格式的，后面的还没有创建，所以 VG Name 为空

新建VG#

1
[root@fsddxtclgj9vm900419 ~]# vgcreate -s 4M vg01 /dev/vdb1
2
  Volume group "vg01" successfully created

查看VG#

1
[root@fsddxtclgj9vm900419 ~]# vgdisplay
2
  --- Volume group ---
3
  VG Name               vg01
4
  System ID
5
  Format                lvm2
6
  Metadata Areas        1
7
  Metadata Sequence No  1
8
  VG Access             read/write
9
  VG Status             resizable
10
  MAX LV                0
11
  Cur LV                0
12
  Open LV               0
13
  Max PV                0
14
  Cur PV                1
15
  Act PV                1
16
  VG Size               973.23 GiB
17
  PE Size               4.00 MiB
18
  Total PE              249147
19
  Alloc PE / Size       0 / 0
20
  Free  PE / Size       249147 / 973.23 GiB
21
  VG UUID               hb8zoy-kKjU-VXD5-EjCN-8hS2-MOzf-lq3O5j
22

23
  --- Volume group ---
24
  VG Name               centos
25
  System ID
26
  Format                lvm2
27
  Metadata Areas        1
28
  Metadata Sequence No  3
29
  VG Access             read/write
30
  VG Status             resizable
31
  MAX LV                0
32
  Cur LV                2
33
  Open LV               2
34
  Max PV                0
35
  Cur PV                1
36
  Act PV                1
37
  VG Size               <49.00 GiB
38
  PE Size               4.00 MiB
39
  Total PE              12543
40
  Alloc PE / Size       12543 / <49.00 GiB
41
  Free  PE / Size       0 / 0
42
  VG UUID               kSwsMj-4FKB-zwFq-7MBq-EfOD-rccg-HC59x9

展开收起

可以看到 vg01 为新建的VG

新建LV#

1
[root@fsddxtclgj9vm900419 ~]# lvcreate  -l 100%FREE -n lv01 vg01
2
  Logical volume "lv01" created

格式化LV#

Caution

格式化操作会清除分区上的所有数据，请确认分区正确且无重要数据。

格式化文件系统类型有xfs，ext4，这里测试使用ext4格式，默认centos7下使用xfs格式，centos6为ext4格式

1
[root@fsddxtclgj9vm900419 ~]# mkfs.ext4 /dev/vg01/lv01
2
mke2fs 1.42.9 (28-Dec-2013)
3
Filesystem label=
4
OS type: Linux
5
Block size=4096 (log=2)
6
Fragment size=4096 (log=2)
7
Stride=0 blocks, Stripe width=0 blocks
8
63782912 inodes, 255126528 blocks
9
12756326 blocks (5.00%) reserved for the super user
10
First data block=0
11
Maximum filesystem blocks=2403336192
12
7786 block groups
13
32768 blocks per group, 32768 fragments per group
14
8192 inodes per group
15
Superblock backups stored on blocks:
16
        32768, 98304, 163840, 229376, 294912, 819200, 884736, 1605632, 2654208,
17
        4096000, 7962624, 11239424, 20480000, 23887872, 71663616, 78675968,
18
        102400000, 214990848
19

20
Allocating group tables: done
21
Writing inode tables: done
22
Creating journal (32768 blocks): done
23
Writing superblocks and filesystem accounting information: done

展开收起

新建挂载点并挂载#

Terminal window

1
mkdir /app
2
mount /dev/vg01/lv01 /app

查看新增挂载后的块分区#

1
[root@fsddxtclgj9vm900419 ~]# lsblk
2
NAME            MAJ:MIN RM   SIZE RO TYPE MOUNTPOINT
3
vda             252:0    0    50G  0 disk
4
├─vda1          252:1    0     1G  0 part /boot
5
└─vda2          252:2    0    49G  0 part
6
  ├─centos-root 253:0    0    44G  0 lvm  /
7
  └─centos-swap 253:1    0     5G  0 lvm  [SWAP]
8
vdb             252:16   0   974G  0 disk
9
└─vdb1          252:17   0 973.2G  0 part
10
  └─vg01-lv01   253:2    0 973.2G  0 lvm  /app

可以看到新增磁盘以LVM格式挂载在 /app 下

永久写入挂载点#

Terminal window

1
blkid
2

3
#/dev/mapper/vg01-lv01 on /opt type ext4 (rw,relatime)
4

5
# echo "UUID=<UUID> /app ext4 defaults 0 0" >> /etc/fstab

Terminal window展开收起

1
[root@docker-server ~]# blkid
2
/dev/sda1: SEC_TYPE="msdos" UUID="F312-EB5D" TYPE="vfat" PARTLABEL="EFI System Partition" PARTUUID="7526c319-8c70-4fa9-ad1a-7a9a906c0f7c"
3
/dev/sda2: UUID="a169778d-bcee-41d3-899e-aa68e670eb54" TYPE="xfs" PARTUUID="b9de11c9-a9a8-46c7-8484-a3f0450f648f"
4
/dev/sda3: UUID="4WIoYK-aQng-dGMv-YYjq-RXaj-XKMV-o0RYCL" TYPE="LVM2_member" PARTUUID="b0ebc437-996e-4a3c-b6d3-cf5692413688"
5
/dev/sdb1: UUID="PHHm7S-6haw-EeGN-2xRl-Cxna-3C9N-4QlPIy" TYPE="LVM2_member" PARTLABEL="primary" PARTUUID="68320f1b-25b0-4070-8a22-79af2af7aa69"
6
/dev/mapper/centos-root: UUID="375718d4-698b-4709-b721-2c652a87c118" TYPE="xfs"
7
/dev/mapper/centos-swap: UUID="d7e852bb-0ef8-4545-a3cb-4fb12b8fb9ff" TYPE="swap"
8
# lvm
9
/dev/mapper/vg01-lv01: UUID="37bbfff9-76da-4515-a9e5-b8820ea523e5" TYPE="ext4"
10
/dev/mapper/centos-home: UUID="d3f5743c-588a-4bc1-bb6a-51775db4713e" TYPE="xfs"
11
[root@docker-server ~]# cat /etc/fstab
12

13
#
14
# /etc/fstab
15
# Created by anaconda on Wed Jul  3 21:16:34 2024
16
#
17
# Accessible filesystems, by reference, are maintained under '/dev/disk'
18
# See man pages fstab(5), findfs(8), mount(8) and/or blkid(8) for more info
19
#
20
/dev/mapper/centos-root /                       xfs     defaults        0 0
21
UUID=a169778d-bcee-41d3-899e-aa68e670eb54 /boot                   xfs     defaults        0 0
22
UUID=F312-EB5D          /boot/efi               vfat    umask=0077,shortname=winnt 0 0
23
/dev/mapper/centos-home /home                   xfs     defaults        0 0
24
/dev/mapper/centos-swap swap                    swap    defaults        0 0
25
# 写入
26
UUID=37bbfff9-76da-4515-a9e5-b8820ea523e5 /app ext4 defaults 0 0

展开收起

8. 删除LVM挂载点#

删除挂载点#

Terminal window

1
[root@fsddxtclgj9vm900419 ~]# umount -v /dev/vg01/lv01
2
umount: /app (/dev/mapper/vg01-lv01) unmounted

查看块设备#

1
[root@fsddxtclgj9vm900419 ~]# lsblk
2
NAME            MAJ:MIN RM   SIZE RO TYPE MOUNTPOINT
3
vda             252:0    0    50G  0 disk
4
├─vda1          252:1    0     1G  0 part /boot
5
└─vda2          252:2    0    49G  0 part
6
  ├─centos-root 253:0    0    44G  0 lvm  /
7
  └─centos-swap 253:1    0     5G  0 lvm  [SWAP]
8
vdb             252:16   0   974G  0 disk
9
└─vdb1          252:17   0 973.2G  0 part
10
  └─vg01-lv01   253:2    0 973.2G  0 lvm

可以看到 /app 挂载点删除了，删除 /app 目录

Terminal window

1
rm -rf /app

删除LV#

参数为 LV Path

1
[root@fsddxtclgj9vm900419 ~]# lvremove /dev/vg01/lv01
2
Do you really want to remove active logical volume vg01/lv01? [y/n]: y
3
  Logical volume "lv01" successfully removed

删除VG#

参数为 VG Name

1
[root@fsddxtclgj9vm900419 ~]# vgremove vg01
2
  Volume group "vg01" successfully removed

扩容VG#

参数为 VG Name 和 PV Name

1
[root@fsddxtclgj9vm900419 ~]# vgextend centos /dev/vdb1
2
  Volume group "centos" successfully extended

此时 PV /dev/vdb1 全部扩展到 VG centos下

查看LV#

Terminal window展开收起

1
[root@fsddxtclgj9vm900419 ~]# lvdisplay
2
  --- Logical volume ---
3
  LV Path                /dev/centos/swap
4
  LV Name                swap
5
  VG Name                centos
6
  LV UUID                PCx0yU-o9JZ-R92O-lI01-f8EU-DKyM-etst0H
7
  LV Write Access        read/write
8
  LV Creation host, time localhost.localdomain, 2018-12-24 16:46:31 +0800
9
  LV Status              available
10
  # open                 2
11
  LV Size                5.00 GiB
12
  Current LE             1280
13
  Segments               1
14
  Allocation             inherit
15
  Read ahead sectors     auto
16
  - currently set to     8192
17
  Block device           253:1
18

19
  --- Logical volume ---
20
  LV Path                /dev/centos/root
21
  LV Name                root
22
  VG Name                centos
23
  LV UUID                Idf9IO-AxkA-tS1C-FTgN-FsLT-d3Zk-7o1W5E
24
  LV Write Access        read/write
25
  LV Creation host, time localhost.localdomain, 2018-12-24 16:46:31 +0800
26
  LV Status              available
27
  # open                 1
28
  LV Size                <44.00 GiB
29
  Current LE             11263
30
  Segments               1
31
  Allocation             inherit
32
  Read ahead sectors     auto
33
  - currently set to     8192
34
  Block device           253:0

展开收起

通过查看，系统安装时选择的磁盘格式是LVM并且有两个分区，接下来扩展根分区

扩展LV分区#

参数为 LV Path

1
[root@fsddxtclgj9vm900419 ~]# lvextend -l +100%FREE /dev/centos/root
2
  Size of logical volume centos/root changed from <44.00 GiB (11263 extents) to <1017.23 GiB (260410 extents).
3
  Logical volume centos/root successfully resized

如果发现误操作，需要还原，可以通过以下命令缩小LV分区

Terminal window

1
lvreduce -L 1017.2G  /dev/centos/root

加载扩容到系统#

此时查看系统可以看到已经扩容，但没有加载到文件系统

Terminal window展开收起

1
[root@fsddxtclgj9vm900419 ~]# lsblk
2
NAME            MAJ:MIN RM    SIZE RO TYPE MOUNTPOINT
3
vda             252:0    0     50G  0 disk
4
├─vda1          252:1    0      1G  0 part /boot
5
└─vda2          252:2    0     49G  0 part
6
  ├─centos-root 253:0    0 1017.2G  0 lvm  /
7
  └─centos-swap 253:1    0      5G  0 lvm  [SWAP]
8
vdb             252:16   0    974G  0 disk
9
└─vdb1          252:17   0  973.2G  0 part
10
  └─centos-root 253:0    0 1017.2G  0 lvm  /
11
[root@fsddxtclgj9vm900419 ~]# df -h
12
Filesystem               Size  Used Avail Use% Mounted on
13
/dev/mapper/centos-root   44G  3.7G   41G   9% /
14
devtmpfs                 7.8G     0  7.8G   0% /dev
15
tmpfs                    7.8G     0  7.8G   0% /dev/shm
16
tmpfs                    7.8G  777M  7.0G  10% /run
17
tmpfs                    7.8G     0  7.8G   0% /sys/fs/cgroup
18
/dev/vda1               1014M  179M  836M  18% /boot
19
tmpfs                    1.6G   36K  1.6G   1% /run/user/0
20
tmpfs                    1.6G   40K  1.6G   1% /run/user/1001

展开收起

加载扩容到系统

参数为 LV path，被扩容的挂载点一定是LVM格式

1
[root@fsddxtclgj9vm900419 ~]# xfs_growfs /dev/centos/root
2
meta-data=/dev/mapper/centos-root isize=512    agcount=4, agsize=2883328 blks
3
         =                       sectsz=512   attr=2, projid32bit=1
4
         =                       crc=1        finobt=0 spinodes=0
5
data     =                       bsize=4096   blocks=11533312, imaxpct=25
6
         =                       sunit=0      swidth=0 blks
7
naming   =version 2              bsize=4096   ascii-ci=0 ftype=1
8
log      =internal               bsize=4096   blocks=5631, version=2
9
         =                       sectsz=512   sunit=0 blks, lazy-count=1
10
realtime =none                   extsz=4096   blocks=0, rtextents=0
11
data blocks changed from 11533312 to 266659840

说明：若使用ext4文件格式（centos6），是使用resize2fs命令来生效

查看磁盘

Terminal window

1
[root@fsddxtclgj9vm900419 ~]# df -h
2
Filesystem               Size  Used Avail Use% Mounted on
3
/dev/mapper/centos-root 1018G  3.7G 1014G   1% /
4
devtmpfs                 7.8G     0  7.8G   0% /dev
5
tmpfs                    7.8G     0  7.8G   0% /dev/shm
6
tmpfs                    7.8G  777M  7.0G  10% /run
7
tmpfs                    7.8G     0  7.8G   0% /sys/fs/cgroup
8
/dev/vda1               1014M  179M  836M  18% /boot
9
tmpfs                    1.6G   36K  1.6G   1% /run/user/0
10
tmpfs                    1.6G   40K  1.6G   1% /run/user/1001

Alpine Linux 极简安装流程与生产环境轻量化配置

Sun, 01 Mar 2026 00:00:00 GMT

起因：站长的服务都是部署在家里，通过Frp映射到公网上的，最近有服务器要到期了，研究了下阿里云的ECS计费，决定使用一款轻量级的Linux系统，购买阿里云 2vCPU 0.5GB的服务器，3年仅需300多，如果使用学生优惠券，基本免费。带宽按量付费，使用CDT（云数据传输），国内每个月20G免费流量，境外每个月220G免费流量。

然而，在 2vCPU 0.5GB 这个“螺蛳壳里做道场”的极限配置下，我们熟悉的 CentOS、Ubuntu 甚至 Debian 都显得有些“富态”了。它们安装后动辄占用数百 MB 内存，留给应用本身的空间已然不多。

我们的目标非常明确：在有限的资源内，榨干每一分性能。 这时，一个专为资源受限环境而生的系统进入了视野——Alpine Linux。它基础运行内存仅需 5-10 MB，安装后硬盘占用不到 100 MB，恰恰是这种超轻量级服务器的“天作之合”。选择 Alpine，不是追逐潮流，而是在极致性价比方案下的必然技术选择。

一、开始安装#

Alpine 60M镜像链接

1
https://dl-cdn.alpinelinux.org/alpine/v3.23/releases/x86_64/alpine-virt-3.23.2-x86_64.iso

1. 阿里云添加自定义镜像#

因为阿里云不提供Alpine的镜像，我们要使用自定义镜像，下面跟我一起配置吧

将镜像上传至阿里云OSS

由于我们需要自定义镜像，但是镜像又必须要通过OSS提供，所以我们需要临时性的创建一个OSS Bucket实例，来上传我们的ISO镜像。在实例成功创建后，我们可以将其删除，以避免不必要的扣费

首先，来到 OSS管理控制台，创建一个 Bucket，地域一定要选你服务器所在的区域，并且上传ISO，最后，复制URL备用

导入镜像

前往云服务器管理控制台，选择到所属的地区，然后选择右上角的导入镜像

注意，需要授权ECS访问OSS业务

然后正常填写，取消勾选“导入后执行检测” ，先不要点下一步

接下来勾选配置云盘属性，并且将 云盘容量设置为1GB ，确认无误，导入

2. 安装Alpine系统#

如果你使用阿里云自定义镜像进行安装了，需要使用vnc远程链接进行安装系统，别家的厂商也是一样。
进入云服务器管理控制台选择你刚买的ECS，接下来点击远程连接，展开更多，选择通过VNC远程连接

接下来就是愉快的敲命令环节~ （方括号内为默认值，你可以输入新值回车覆盖也可以直接回车应用默认值）

启动 Alpine 安装程序

1
localhost:~# setup-alpine

选择键盘布局

1
Select keyboard layout: [none] us
2
Select variant: [us]

设置主机名

1
Enter system hostname (fully qualified form, e.g. 'foo.example.org') [localhost] alpine-vps

设置网卡

1
Available interfaces are: eth0 lo
2
Which one do you want to initialize? [eth0]

设置 IP 获取方式

1
Ip address for eth0? (or 'dhcp', 'none', 'manual') [dhcp]

是否进行手动网络配置

1
Do you want to do any manual network configuration? [no]

设置 root 密码（输入时不会显示）

1
New password:
2
Retype password:

设置时区，或者（PRC）

1
Which timezone are you in? ('?' for list) [UTC] Asia/Shanghai

设置代理

1
HTTP/FTP proxy URL? [none]

选择软件仓库镜像。这个地方建议先输入 s 列出所有镜像，然后上下翻找找到阿里云镜像源，然后输入对应镜像源编号，否则如有选错

1
Which mirror do you want to use? (or '?' or 'done') [44]

不创建普通用户

1
Setup a user? (enter a username, or 'no') [no] no

选择 SSH 服务

1
Which SSH server? ('openssh', 'dropbear', or 'none') [openssh]

是否允许 root 通过 SSH 登录

1
Allow root ssh login? ('?' for help) [prohibit-password] yes

没有找到磁盘，是否安装至 vda 云盘，是

1
No disk available, Try boot media /media/vda ? (y/n) [n] y

选择要安装的磁盘

1
Which disk(s) would you like to use? (or '?' for help or 'none') [none] vda

选择磁盘使用方式

1
How would you like to use it? ('sys', 'data', 'crypt', 'lvm') [sys]

确认格式化磁盘

1
WARNING: Erase the above disk(s) and continue? [y/N] y

安装系统

1
Installing system on /dev/sda:
2
  Installing alpine-base...
3
  Installing busybox...
4
  Installing openssh...
5
  Installing openrc...

安装完成提示

1
Installation is complete. Please reboot.

重启系统

1
localhost:~# reboot

二、配置系统#

在安装完 Alpine 系统后，需要进行一些配置，才能正常使用。

1. 设置DNS#

一般情况下不需要，云厂商会帮你配置好

Terminal window

1
alpine-vps:~# setup-dns
2
DNS Domain name? (e.g. 'bar.com') nameserver
3
DNS nameserver(s)? [223.5.5.5] 1.1.1.1 8.8.8.8

2. 换源并更新#

Terminal window

1
# 配置社区阿里云源
2
cd /etc/apk
3
vi repositories
4
## 取消 community 仓库前面的注释符号（#）。
5

6
## 可选edge源
7
http://mirrors.aliyun.com/alpine/edge/community
8
http://mirrors.aliyun.com/alpine/edge/testing
9

10
# 更新系统及软件包
11
apk update
12
apk upgrade

3. 配置 IP 信息#

在这里可以将dhcp改为静态配置

Terminal window展开收起

1
# 编辑网络配置文件
2
vi /etc/network/interfaces
3
## 将默认的 DHCP 配置修改为静态 IP
4
auto eth0
5
iface eth0 inet static
6
   address 192.168.1.100
7
   netmask 255.255.255.0
8
   gateway 192.168.1.1
9
   dns-nameservers 8.8.8.8
10

11
# 配置 DNS（可选）
12
vi /etc/resolv.conf
13

14
nameserver 8.8.8.8
15

16
# 重启网络服务 使配置立即生效
17
ifdown eth0 && ifup eth0

展开收起

4. 安装基本软件包#

Terminal window

1
apk add --no-cache vim openssh util-linux bash bash-doc  bash-completion curl net-tools unzip zip jq openssl tar iproute2 lsblk htop

5. 校时#

Terminal window

1
# 设置时区
2
setup-timezone -z Asia/Shanghai
3

4
# 使用 chrony进行校时
5
## 安装 chrony
6
apk add chrony
7

8
## 启动服务并设置开机自启
9
rc-service chronyd start
10
rc-update add chronyd

三、系统相关命令#

这里记录了 Alpine 系统常用的命令

1. APK命令#

Terminal window展开收起

1
apk update  # 更新最新镜像源列表
2

3
apk search                 # 查找所有可用软件包
4
apk search -v              # 查找所用可用软件包及其描述内容
5
apk search -v '包名'       # 通过软件包名称查找软件包
6
apk search -v -d 'docker'  # 通过描述文件查找特定的软件包
7

8
apk add openssh                       # 安装一个软件
9
apk add openssh  vim  bash nginx      # 安装多个软件
10
apk add --no-cache mysql-client       # 不使用本地镜像源缓存，相当于先执行update，再执行add
11

12
apk info           # 列出所有已安装的软件包
13
apk info -a zlib   # 显示完整的软件包信息
14
apk info --who-owns /usr/sbin/nginx # 显示指定文件属于的包
15

16
apk upgrade            # 升级所有软件
17
apk upgrade openssh    # 升级指定软件
18
apk upgrade openssh  vim  bash nginx # 升级多个软件
19
apk add --upgrade busybox  # 指定升级部分软件包
20

21
apk del openssh      # 删除一个软件
22
apk del nginx mysql  # 删除多个软件

展开收起

2. rc服务命令#

Alpine 不使用 systemctl 而是 OpenRC，这对于习惯了 Ubuntu/CentOS 的人来说是最大的门槛。建议在“系统相关命令”部分加一个直观的对比表：

Terminal window展开收起

1
rc-update    # 主要用于不同运行级增加或者删除服务。
2
rc-status    # 主要用于运行级的状态管理。
3
rc-service   # 主用于管理服务的状态
4
openrc       # 主要用于管理不同的运行级。
5

6

7

8
rc-service <服务名> start    # 启动服务
9
rc-service <服务名> stop    # 停止服务
10
rc-service <服务名> restart  # 重启服务
11
rc-service <服务名> reload    # 重新加载配置（不重启）
12
rc-service <服务名> status    # 查看服务状态
13

14

15

16
rc-update add <服务名> <运行级别>    # 添加服务到开机自启
17
rc-update del <服务名>          # 删除服务的开机自启
18
rc-update show            # 查看所有开机自启的服务
19

20
# 运行级别说明
21
## boot - 系统启动时运行
22
## default - 默认运行级别（多用户模式）
23
## nonetwork - 无网络模式
24
## single - 单用户模式（维护模式）
25
rc-update add 服务名 boot      # 核心服务（如docker）
26
rc-update add 服务名 default    # 普通服务（如nginx、ssh）
27

28

29

30

31

32
tail -f /var/log/messages    # 查看所有系统日志
33
tail -f /var/log/messages | grep docker    # 查看特定服务的日志
34
ls /var/log/ | grep -E "(docker|nginx|ssh)"    # 查看服务自己的日志文件（如果有）

展开收起

四、FRP服务安装#

FRP 是一个反向代理工具，它可以将本地服务暴露到公网，实现远程访问。

下载FRP：https://github.com/fatedier/frp/releases

如果网络不好可以使用gh镜像站点

Terminal window

1
wget https://github.com/fatedier/frp/releases/download/v0.67.0/frp_0.67.0_linux_amd64.tar.gz

frpc展开收起

1
# 创建 OpenRC 服务文件
2
tee /etc/init.d/frpc <<'EOF'
3
#!/sbin/openrc-run
4

5
# 基础信息
6
name="frp client"
7
description="FRP Client with Infinite Auto-Restart"
8

9
# 执行程序和参数
10
command="/opt/frp/frpc"
11
command_args="-c /opt/frp/frpc.toml"
12
command_user="root"
13

14
# 核心守护配置
15
supervisor="supervise-daemon"
16
respawn_delay=10
17
respawn_max=0 # 无限次重试
18

19
# 依赖网络和 DNS
20
depend() {
21
    need net
22
    use dns
23
    after firewall
24
}
25

26
# 启动前的清理工作
27
start_pre() {
28
    # 强制清理可能锁死服务的 PID 文件
29
    rm -f /run/${RC_SVCNAME}.pid
30
    checkpath --directory --owner root:root /run/${RC_SVCNAME}
31
}
32

33
EOF
34

35
# 设置权限并添加服务
36
chmod +x /etc/init.d/frpc
37

38
# 启动服务
39
rc-service frpc start
40

41
# 停止服务
42
rc-service frpc stop
43

44
# 查看状态
45
rc-service frpc status
46

47
# 重启服务
48
rc-service frpc restart
49

50

51
# 开机自启
52
rc-update add frpc default

展开收起

frps展开收起

1
# 创建 OpenRC 服务文件
2
tee /etc/init.d/frps <<'EOF'
3
#!/sbin/openrc-run
4

5
# 基础信息
6
name="frp server"
7
description="FRP Server with Infinite Auto-Restart"
8

9
# 执行程序和参数
10
command="/opt/frp/frps"
11
command_args="-c /opt/frp/frps.toml"
12
command_user="root"
13

14
# 核心守护配置
15
supervisor="supervise-daemon"
16
respawn_delay=10
17
respawn_max=0 # 无限次重试
18

19
# 依赖网络和 DNS
20
depend() {
21
    need net
22
    use dns
23
    after firewall
24
}
25

26
# 启动前的清理工作
27
start_pre() {
28
    # 强制清理可能锁死服务的 PID 文件
29
    rm -f /run/${RC_SVCNAME}.pid
30
    checkpath --directory --owner root:root /run/${RC_SVCNAME}
31
}
32

33
EOF
34

35
# 设置权限并添加服务
36
chmod +x /etc/init.d/frps
37

38
# 启动服务
39
rc-service frps start
40

41
# 停止服务
42
rc-service frps stop
43

44
# 查看状态
45
rc-service frps status
46

47
# 重启服务
48
rc-service frps restart
49

50

51
# 开机自启
52
rc-update add frps default

展开收起

五、Docker安装#

Terminal window展开收起

1
# 启用cgroups
2
rc-update add cgroups boot
3
rc-service cgroups start
4
# 检查是否挂载
5
mount | grep cgroup
6

7
# 安装docker
8
apk add docker docker-compose
9

10
# 配置文件
11
## 创建配置目录
12
mkdir -p /etc/docker
13

14
## 配置daemon.json
15
cat > /etc/docker/daemon.json << 'EOF'
16
{
17
  "log-driver": "json-file",
18
  "log-opts": {
19
    "max-size": "5m",
20
    "max-file": "2"
21
  },
22
  "storage-driver": "overlay2",
23
  "default-ulimits": {
24
    "nofile": {
25
      "Name": "nofile",
26
      "Hard": 1024,
27
      "Soft": 512
28
    }
29
  },
30
  "max-concurrent-downloads": 1,
31
  "max-concurrent-uploads": 1
32
}
33
EOF
34

35
## 重启Docker使配置生效
36
rc-service docker restart

展开收起

Note

站长提示：在 512MB 内存的机器上，限制 Docker 并发下载数（设置为 1）至关重要，否则多个线程同时拉取镜像会瞬间撑爆内存导致系统卡死（OOM）。

max-concurrent-downloads: 1 能有效防止拉取镜像时因并发过高导致的 OOM（内存溢出）。

至此，一个极其轻量且功能完备的 Alpine 生产环境就搭建完成了。

CentOS 安装与服务器初始化配置完整指南

Sun, 01 Mar 2026 00:00:00 GMT

CentOS停更说明

CentOS操作系统已全面停止维护（EOL），继续使用会使系统暴露在新的安全漏洞之下，成为攻击目标，并可能违反相关安全合规要求。

阿里云：CentOS 操作系统

一、下载镜像#

Centos7镜像包：

1
# 华为云镜像站
2
https://mirrors.huaweicloud.com/centos/7/isos/x86_64/CentOS-7-x86_64-DVD-2009.iso

烧录镜像（二选一）

使用 Ventoy启动盘
使用 Rufus
使用 Balenaetcher
或者第三方镜像烧录工具

之后启动到U盘，进入安装流程，里面没什么可说的，都是可视化安装，下一步下一步即可。

二、开始安装#

网络配置可以在安装界面配置，也可以使用 dhcp 在安装完成后配置，但是开关一定要打开，不然无法使用SSH连接，如果在安装的时候没有网络，也可以关闭，然后后面手动开启网卡服务。

配置静态ip

如果root密码设置过于简单，需要点击两次完成才可继续安装。

三、系统配置#

在我们安装完成一个系统后，通常需要进行一些必要的优化

1. 修改 IP 地址#

可以先ping一下外网是否可以访问

Terminal window

1
ping baidu.com

Terminal window

1
# 网络正常
2
[root@harbor ~]# ping baidu.com
3
PING baidu.com (110.242.74.102) 56(84) bytes of data.
4
64 bytes from 110.242.74.102 (110.242.74.102): icmp_seq=1 ttl=51 time=20.2 ms
5
64 bytes from 110.242.74.102 (110.242.74.102): icmp_seq=2 ttl=51 time=20.0 ms
6
64 bytes from 110.242.74.102 (110.242.74.102): icmp_seq=3 ttl=51 time=26.6 ms
7
64 bytes from 110.242.74.102 (110.242.74.102): icmp_seq=4 ttl=51 time=20.0 ms
8
64 bytes from 110.242.74.102 (110.242.74.102): icmp_seq=5 ttl=51 time=20.0 ms
9
^C
10
--- baidu.com ping statistics ---
11
5 packets transmitted, 5 received, 0% packet loss, time 4004ms
12
rtt min/avg/max/mdev = 20.061/21.424/26.605/2.595 ms

如果没有打印延迟等信息，就说明网络是断开的。

查看网卡名称

Terminal window

1
#查看网卡，通常是ens开头的
2
ip addr

Terminal window

1
# 查看网卡名称为ens33
2
[root@172-0-0-12 ~]# ip addr
3
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
4
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
5
    inet 127.0.0.1/8 scope host lo
6
       valid_lft forever preferred_lft forever
7
    inet6 ::1/128 scope host
8
       valid_lft forever preferred_lft forever
9
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
10
    link/ether 00:0c:29:06:59:5c brd ff:ff:ff:ff:ff:ff
11
    inet 172.0.0.12/24 brd 172.0.0.255 scope global noprefixroute ens33
12
       valid_lft forever preferred_lft forever
13
    inet6 fe80::e1ff:d529:c8cb:6d1a/64 scope link noprefixroute
14
       valid_lft forever preferred_lft forever

修改网卡配置

Terminal window

1
# 修改网卡配置
2
# vi /etc/sysconfig/network-scripts/ifcfg-<网卡名称>
3
vi /etc/sysconfig/network-scripts/ifcfg-ens33

修改关键字段：

Terminal window

1
BOOTPROTO=static
2
ONBOOT=yes
3
IPADDR=192.168.1.100
4
NETMASK=255.255.255.0
5
GATEWAY=192.168.1.1
6
DNS1=8.8.8.8

BOOTPROTO=static - 静态ip
ONBOOT=yes - 启动时自动激活
IPADDR=192.168.1.100 - ip地址
NETMASK=255.255.255.0 - 掩码，通常为255.255.255.0
GATEWAY=192.168.1.1 - 网关
DNS1=8.8.8.8 - DNS地址

修改完成后保存，重启network服务

Terminal window

1
service network restart
2

3
# 对于使用旧版network服务的系统
4
/etc/init.d/network restart
5
/etc/init.d/network stop && /etc/init.d/network start

然后就可以正常联网了。

2. 更换yum源#

Tip

由于centos7已经停止服务，部分源已经无法访问，如果显示404等问题，请自行寻找可用源

Terminal window展开收起

1
# 备份yum源
2
mv /etc/yum.repos.d/CentOS-Base.repo /etc/yum.repos.d/CentOS-Base.repo.backup
3

4
# 下载国内yum源配置文件
5
## 如果无法使用可以手动创建文件然后复制进去
6
vi /etc/yum.repos.d/CentOS-Base.repo
7
## 阿里源（推荐）：
8
wget -O /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-7.repo
9
### 当wget无法使用时
10
#curl -o /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-7.repo
11
## 网易源：
12
wget -O /etc/yum.repos.d/CentOS-Base.repo http://mirrors.163.com/.help/CentOS7-Base-163.repo
13
### 当wget无法使用时
14
#curl -o /etc/yum.repos.d/CentOS-Base.repo http://mirrors.163.com/.help/CentOS7-Base-163.repo
15

16
# 清理yum缓存，并生成新的缓存
17
yum clean all
18
yum makecache
19

20
# 更新yum源
21
yum update -y

展开收起

3. 硬盘操作#

此操作可以借助lvm2工具，详细操作见另一篇文章：

4. 配置 SELinux#

SELinux 是 CentOS 7 的安全模块，它可以提高系统的安全性。但是，如果不正确配置，它可能会导致一些问题。以下是一些常见的 SELinux 配置

Terminal window

1
# 临时禁用SELinux
2
setenforce 0
3

4
# 永久禁用SELinux
5
vi /etc/selinux/config
6
## 修改为下面内容
7
SELINUX=disabled
8

9
#注意！修改后需重启系统才能生效

四、安装必要的软件包#

Terminal window

1
yum -y install  epel-release
2
yum -y install wget vim net-tools telnet lsof tree htop zip unzip iperf3

Note

wget：用于下载文件和网页
vim：用于编辑文本文件
net-tools：用于管理网络配置
telnet：用于测试网络连接
lsof：用于查看系统打开的文件
tree：用于查看目录结构
htop：用于更好的查看进程
zip、unzip：用于解压缩zip文件
iperf3：内网测速工具

五、防火墙操作#

通常情况下我们使用的是 vpc，云厂商会自带防火墙服务，我们可以将防火墙直接关闭。

Terminal window

1
# 停止防火墙服务
2
systemctl stop firewalld.service
3
# 停止开机自启
4
systemctl disable firewalld.service

如果你认为系统的防火墙非常重要，想要使用，请往下看

添加一个端口

Terminal window

1
# 添加端口
2
## --permanent永久生效，没有此参数重启后失效
3
firewall-cmd --zone=public --add-port=5005/tcp --permanent
4

5
# 添加端口外部访问权限（这样外部才能访问）
6
firewall-cmd --add-port=5005/tcp
7

8
# 更新防火墙规则
9
firewall-cmd --reload

查看端口是否开放

Terminal window

1
firewall-cmd --zone=public --query-port=80/tcp

删除开放的端口

Terminal window

1
firewall-cmd --zone=public --remove-port=80/tcp --permanent

查看firewall是否运行

Terminal window

1
# 两个命令都可以
2
systemctl status firewalld
3

4
firewall-cmd --state

查看开启了哪些服务

Terminal window

1
firewall-cmd --list-services

查看所有打开的端口

Terminal window

1
firewall-cmd --zone=public --list-ports

六、一键运行脚本#

包含更新阿里yum源，安装软件包，关闭防火墙

Terminal window

1
yum install wget -y
2
mv /etc/yum.repos.d/CentOS-Base.repo /etc/yum.repos.d/CentOS-Base.repo.backup
3
curl -o /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-7.repo
4
yum clean all
5
yum makecache
6
yum update -y
7
yum -y install  epel-release
8
yum -y install wget vim net-tools telnet lsof tree htop zip unzip iperf3
9
systemctl stop firewalld.service
10
systemctl disable firewalld.service

七、常用命令#

1. 修改主机名#

Terminal window

1
# 查看主机名
2
hostname
3
# 修改主机名
4
hostnamectl set-hostname 主机名

2. 配置免密登录#

Terminal window

1
# 在A客户端上生成公钥和私钥
2
ssh-keygen -t rsa
3

4

5
# ====================================================
6
# 拷贝及配置方案
7
ssh-copy-id -i ~/.ssh/id_rsa.pub 'root@要拷贝到的机器ip'

3. 配置hosts#

服务器多的时候可以配置hosts，直接通过关键字访问，避免使用ip访问，以免更换ip时还要修改配置

/etc/hosts

1
vim /etc/hosts
2

3
# 添加配置格式
4
#ip地址 别名
5
192.168.0.100 vm100

或者使用heredoc写入

1
# 使用heredoc写入
2
sudo tee -a /etc/hosts << EOF
3
192.168.0.100 vm100
4
EOF

4. 使用scp传输文件#

从服务器上下载文件

例如：把 192.168.0.101 上的 /data/test.txt 的文件下载到 /home（本地目录）

Terminal window

1
#scp 用户名@服务器地址:要下载的文件路径 保存文件的文件夹路径
2
scp root@192.168.0.101:/data/test.txt /home

上传本地文件到服务器

例如：把本机 /home/test.txt 文件上传到 192.168.0.101 这台服务器上的 /data/ 目录中

Terminal window

1
#scp 要上传的文件路径 用户名@服务器地址:服务器保存路径
2
scp /home/test.txt root@192.168.0.101:/data/

从服务器下载整个目录

例如：把 192.168.0.101 上的 /data 目录下载到 /home（本地目录）

Terminal window

1
#scp -r 用户名@服务器地址:要下载的服务器目录 保存下载的目录
2
scp -r root@192.168.0.101:/data  /home/

上传目录到服务器

例如：把 /home 目录上传到服务器的 /data/ 目录

Terminal window

1
#scp -r 要上传的目录 用户名@服务器地址:服务器的保存目录
2
scp -r /home root@192.168.0.101:/data/

5. 安装rpm包#

Terminal window

1
# 批量安装rpm
2
rpm -ivh *.rpm
3

4
# 查询并过滤已安装的软件包
5
## -qa 参数表示查询所有（-q）已安装的软件包（-a）grep表示过滤
6
rpm -qa | grep firefox
7

8
# 卸载
9
rpm -e firefox
10

11
# 带参数安装
12
rpm -ivh *.rpm --nodeps --force

6. 赋权#

Terminal window

1
# 赋予读写权限
2
chmod -R 777 文件或目录
3
# chmod -R 777 /usr/local/mysql/*
4

5
# 赋予可执行权限
6
chmod +x 文件

7. 查看端口占用#

Terminal window

1
yum -y install lsof
2

3
lsof -i tcp:80
4

5
# 关掉占用的服务
6
kill pid
7
kill -9 pid

八、为什么 2026 年我们还在用 CentOS 7？#

在 2026 年的今天，距离 CentOS 7 官方正式停止维护（2024 年 6 月 30 日）已经过去了近两年。然而，在许多大型企业、传统制造业甚至核心银行系统中，你依然能看到这个“老古董”的身影。

这不是因为运维人员懒，而是因为在现实的生产环境中，“稳”永远大于“新”。以下是为什么 2026 年我们依然离不开 CentOS 7 的四大残酷现实：

1. 核心业务的“内核”依赖#

许多大型闭源软件（如旧版 Oracle 数据库、行业专用的 ERP）是针对 CentOS 7 的 3.10 内核 深度定制和认证的。

驱动不匹配：新系统的内核（如 5.x 或 6.x）可能删除了旧硬件的驱动支持。
ABI 兼容性：某些老旧的二进制文件在新版 GLIBC 库下运行会出现不可预知的崩溃。

2. 迁移成本 = 天价预算 + 巨大风险#

迁移一个运行了十年的生产环境，成本往往高得吓人。

人力成本：需要重写成千上万行的自动化脚本（从 init 彻底转向 systemd 的所有细节）。
测试风险：即使是细微的性能抖动，在处理每秒万级并发的业务时都可能是致命的。

运维圈名言：“只要业务还能跑，谁动谁就是那个背锅位。”

3. 工业与科研设备的“终身伴侣”#

在工厂自动化、医疗精密仪器领域，控制服务器往往是跟随设备一起交付的。

厂商停产：当初开发驱动的硬件厂商可能已经倒闭或转行，再也没有人为新系统写驱动。
物理隔离：这些机器通常运行在完全断开互联网的内网环境，安全漏洞的威胁被物理降维。

4. 极其成熟的“续命”生态#

即便官方源停了，国内的阿里、清华、华为等镜像站依然保留着 vault 仓库（归档库）。

文档丰富：你遇到的任何报错，在网上都能找到 2017 年至 2023 年间的完美解决方案。
脚本积累：运维团队手里有大量打磨了数年的 CentOS 7 调优脚本。

🛡️ 2026 年留守 CentOS 7 的生存法则#

如果你由于某种不可抗力必须继续使用它，请务必执行以下“续命”操作：

切换 Vault 源：确保你的 /etc/yum.repos.d/ 指向国内的归档仓库，否则无法安装任何基础工具。
严禁暴露公网：CentOS 7 的漏洞库已经堆积如山，绝对不能把 SSH 端口（22）直接暴露在公网。
快照常态化：在没有安全补丁的时代，数据备份是最后一道防线。

Debian 13 稳定版安装指南及系统配置

Sun, 01 Mar 2026 00:00:00 GMT

一、下载镜像#

国内用户推荐在「清华大学开源软件镜像站」的 debian-cd 专属页面，找到与你「设备架构」相匹配的 Debian 13 ISO 镜像，然后自行下载。

Note

建议根据你的设备架构，选择iso-dvd完整安装镜像。

amd 架构链接：AMD - ISO DVD

二、开始安装#

1. 选择安装类型#

在 Debian 安装程序菜单中，选择「Graphical Install」，以图形化界面启动 Debian 13 安装向导。

选择安装类型

2. 选择语言#

选择「安装向导」和系统中要使用的语言，然后点击「Continue」继续。国内的小伙伴选择「中文（简体）」即可。

选择语言

3. 选择你的位置#

选择你所在的地理位置，系统会以此自动为 Debian 13 设置时区。

选择位置

4. 配置键盘#

在列表中选择与你「实体键盘」相匹配的键盘布局，然后点击「继续」。

配置键盘

5. 网络配置#

在安装过程中，Debian 安装程序会尝试通过 DHCP 服务器，自动获取 IP 地址来配置网络：

如果获取成功，就会直接跳到「主机名」设置（这在安装「桌面版」时比较适用）。如果是安装 Debian 服务器，可以在「主机名」设置界面点击「返回」，手动指定固定 IP。
如果网络中没有可用的 DHCP 服务器，自动配置将会失败，也需要你手动指定 IP 地址。

Warning

如果你的网络中有 DHCP 服务器，系统自动配置了，可以点击返回按钮，选择返回，然后按照下面教程继续即可

手动配置网络#

选择「手动配置网络」，然后点击「继续」。

输入一个固定 IP 地址，然后点击「继续」。

Note

可以在这里输入 IP 地址/子网掩码，例如 192.168.1.2/24

或者只输入 IP 地址，在后面配置子网掩码

输入网关 IP 地址，然后点击「继续」。通常会自动配置。

输入 DNS 服务器，然后点击「继续」。如何要配置多个 DNS 服务器，可以用「空格」隔开。

为你的 Debian 13 系统设置一个 hostname 主机名，然后点击「继续」。

如果你有与网络关联的特定「域名」，可以在这里输入。一般情况下，我们会选择「留空」。

6. 设置 Root 密码#

为root帐户设置一个强密码。

Note

强密码的标准

要求	说明
长度	至少 8 位字符
复杂性	包含大小写字母、数字和特殊字符（如`@`、`#`、`$`等）。
安全性	避免重复使用或容易被猜到的密码

7. 创建新用户和密码#

强烈建议你创建一个普通用户账户，作为日常操作使用。只在需要权限时再临时提权。

输入新用户的全名，然后点击「继续」。可以和下一步的「用户名」不同。

为这个用户设置一个用户名，只能用小写字母和数字，而且必须以字母开头。

为新用户设置一个强密码，最好是和 root 密码不同。

8. 对磁盘进行分区#

在这一步，我们要规划磁盘分区，主要有以下 4 个选项：

分区选项	描述
向导 – 使用整个磁盘	自动对整个磁盘进行分区，适合新手和 Homelab 虚拟机使用。
向导 – 使用整个磁盘并配置 LVM	自动设置 LVM 分区。
向导 – 使用整个磁盘并配置加密的 LVM	自动设置加密的 LVM 分区。
手动	自定义分区，自由度最高，适合有经验的用户。

通常我们选择 1 或者 2 即可

我这里推荐使用 LVM 进行分区

选择你要分区的硬盘

如果没有特殊需求，推荐选择「将所有文件放在同一个分区中」，你也可以将/home、/var和/tmp等目录单独分区。

Tip

这里如果硬盘不是空的，会提示下面内容，我们直接选择是即可。

选择「是」确认将修改写入磁盘并配置 LVM

这里默认保持最大空间即可

完成分区操作并将修改写入磁盘

选择「是」确认将改动写入磁盘，然后点击「继续」。

9. 开始安装基本系统#

配置软件包管理器：更新源#

安装向导会询问你是否扫描额外的安装介质，选择「否」继续。

选择「是」，启用网络镜像。（配置一个快速的国内源，对国内的小伙伴非常重要。）

国家选择「中国」，Debian 仓库镜像站点推荐选择 tsinghua 清华源。

如果你是直连网络，HTTP 代理信息就「留空」；如果有代理，就填写代理地址和端口号。

启用「软件包流行度调查」后，Debian 会定期收集你的软件使用数据。如果你不想参与，就选择「否」。

Tip

你也可以随时在「终端」中，执行以下命令来调整设置：

Terminal window

1
dpkg-reconfigure popularity-contest

10. 软件选择：桌面版还是服务器#

Debian 是一款通用型 Linux 发行版，它不像 Ubuntu 那样，还单独区分桌面和服务器版本的 ISO 镜像。但你可以在「软件选择」时，来决定安装哪种类型：

勾选「Debian 桌面环境」，并至少选择一款桌面，就会安装桌面版。
如果不选「Debian 桌面环境」，那就是服务器版。

选择要安装的软件，推荐勾选上：

SSH server：安装 SSH 服务器，方便远程管理。Homelab 环境可以启用 root 登录。
标准系统工具：包括一些常用的基础工具包、命令行工具、网络工具和系统管理工具等。
Blends：适用于教育、科研等特定场景的软件合集。

选择完毕后，点击「继续」，开始安装这些软件。

11. 安装 GRUB 启动引导器#

选择「是」继续安装 GRUB 启动引导器。

选择要安装 GRUB 的磁盘，比如/dev/sda，然后点击「继续」。

最后,点击「继续」重启系统，完成 Debian 13 安装流程。

三、配置系统#

1. Root 账户允许远程登录#

Terminal window

1
# 查看是否安装了SSH服务
2
ps -ef |grep ssh
3

4
# 没有安装的话，执行下面语句
5
sudo apt-get update                   #先更新下资源列表
6
sudo apt-get install openssh-server   #安装openssh-server
7
sudo ps -ef | grep ssh                #查看是否安装成功
8
sudo systemctl restart sshd           #重新启动SSH服务
9

10
# 进入ssh配置文件
11
vi  /etc/ssh/sshd_config

修改Root远程登录权限

/etc/ssh/sshd_config

1
#PermitRootLogin prohibit-password
2
PermitRootLogin yes # [!code ++]

Tip

PermitRootLogin 是一个用于配置 SSH 服务器的选项。这个选项决定了是否允许 root 用户通过 SSH 直接登录到服务器。通常情况下，为了提高安全性，最好禁止 root 用户通过 SSH 直接登录，而是使用一个普通用户登录后再通过 su 或者 sudo 切换到 root 用户来执行需要特权的操作。这样可以降低系统受到攻击的风险。

常见的 PermitRootLogin 选项取值包括：

yes：允许 root 用户通过 SSH 直接登录。
no：禁止 root 用户通过 SSH 直接登录。
without-password：允许 root 用户通过 SSH 密钥登录，但不允许使用密码登录。

重启服务

Terminal window

1
# 重启ssh服务
2
sudo systemctl daemon-reload
3
sudo systemctl restart ssh

2. 换国内源#

因为我们已经在安装的时候选择清华大学源了，所以这里只需要将 CD-ROM 部分注释或者删除就可以了

/etc/apt/sources.list

1
# 删除或者注释掉这一行
2
#deb cdrom:[Debian GNU/Linux 13.3.0 _Trixie_ - Official amd64 DVD Binary-1 with firmware 20260110-11:00]/ trixie contrib main non-free-firmware
3

4
deb http://mirrors.tuna.tsinghua.edu.cn/debian/ trixie main non-free-firmware
5
deb-src http://mirrors.tuna.tsinghua.edu.cn/debian/ trixie main non-free-firmware
6

7
deb http://security.debian.org/debian-security trixie-security main non-free-firmware
8
deb-src http://security.debian.org/debian-security trixie-security main non-free-firmware
9

10
# trixie-updates, to get updates before a point release is made;
11
# see https://www.debian.org/doc/manuals/debian-reference/ch02.en.html#_updates_and_backports
12
deb http://mirrors.tuna.tsinghua.edu.cn/debian/ trixie-updates main non-free-firmware
13
deb-src http://mirrors.tuna.tsinghua.edu.cn/debian/ trixie-updates main non-free-firmware

更新系统及其软件包

Terminal window

1
apt update
2
apt upgrade

3. 修复sudo权限#

Debian 和 Ubuntu 不同，如果在安装时设置了 root 密码，系统默认不会把普通用户加入 sudo 组，甚至连 sudo 命令都没装。

以下是修复步骤：

Terminal window

1
# 切换到 root 用户
2
su -
3

4
# 安装 sudo 软件包
5
apt update && apt install sudo -y
6

7
# 将普通用户加入 sudo 组
8
# 语法：usermod -aG sudo <你的用户名>
9
usermod -aG sudo olinl
10

11
# 使权限生效
12
## exit 退出或者索性 reboot重启

4. 开启 BBR 网络加速#

既然是“最佳实践”配置，Debian 13 自带的高版本内核开启 BBR 只需要一行命令，能显著提升网络吞吐量，建议顺手做了：

Terminal window

1
# 开启 BBR
2
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
3
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
4

5
# 应用配置
6
sysctl -p

5. 让Debian命令行显示中文#

Terminal window

1
# 方法A：直接编辑 /etc/profile（在文件末尾添加）
2
sudo tee -a /etc/profile << 'EOF'
3
# 系统级语言设置
4
export LANG=zh_CN.UTF-8
5
export LC_ALL=zh_CN.UTF-8
6
export PATH=$PATH:/usr/local/bin
7
EOF

四、安装必要软件#

Terminal window

1
apt install wget curl vim zip unzip lsb-release tree htop net-tools lsof chrony tar lvm2 parted sudo -y

安装 Intel 显卡工具包

Terminal window

1
apt install vainfo intel-gpu-tools -y

Note

wget：用于从命令行下载文件，适合脚本和大文件拉取
curl：用于发起 HTTP/API 请求，常用于接口测试和自动化
vim：终端下的文本编辑器，用于修改配置和编写脚本
zip：将文件打包成 zip 格式，方便跨平台传输
unzip：解压 zip 压缩包
lsb-release：用于识别当前 Linux 发行版和版本信息
tree：以树状结构显示目录内容
htop：交互式进程监控工具，用于查看 CPU 和内存使用情况
net-tools：提供 netstat、ifconfig 等传统网络排错工具
lsof：查看端口或文件被哪个进程占用
chrony：高精度时间同步服务，保证系统时间准确
tar：Linux 常用的打包和解包工具
lvm2: 磁盘管理工具
parted:磁盘管理工具

五、作为虚拟机安装 SR-IOV-guest 核显驱动#

Terminal window展开收起

1
nano /etc/default/grub
2

3
# 在GRUB_CMDLINE_LINUX_DEFAULT后面加上 i915.enable_guc=3
4
#GRUB_CMDLINE_LINUX_DEFAULT="quiet"
5
GRUB_CMDLINE_LINUX_DEFAULT="quiet i915.enable_guc=3"
6

7
# 更新grub
8
update-grub
9

10
# 安装相关环境和依赖包
11
apt install -y dkms vainfo intel-media-va-driver wget firmware-linux linux-headers-$(uname -r)
12

13
# 下载sriov驱动
14
# https://github.com/strongtz/i915-sriov-dkms
15
wget https://github.com/strongtz/i915-sriov-dkms/releases/download/2025.12.10/i915-sriov-dkms_2025.12.10_amd64.deb
16

17
# 安装sriov驱动
18
sudo dpkg -i i915-sriov-dkms_*_amd64.deb
19

20
# 重启
21
reboot

展开收起

Docker 安装与配置指南

Sun, 01 Mar 2026 00:00:00 GMT

一、安装#

Note

安装前必读：本文的命令使用的是 root 用户登录执行，不是 root 的话所有命令前面要加 sudo

Tip

现在可以使用轩辕镜像站的一键安装脚本进行安装了

CentOS#

Terminal window展开收起

1
# 查看当前内核版本（官方建议 3.10 以上）
2
uname -r
3

4
# 卸载旧版本
5
yum remove docker docker-common docker-selinux docker-engine
6

7
# 安装需要的软件包
8
yum install -y yum-utils device-mapper-persistent-data lvm2
9

10
# 设置 yum 源（推荐阿里源）
11
yum-config-manager --add-repo http://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo
12

13
# 查看可用版本
14
yum list docker-ce --showduplicates | sort -r
15

16
# 安装 Docker
17
yum -y install docker-ce

展开收起

Ubuntu#

Terminal window展开收起

1
# 卸载旧版本
2
sudo apt-get remove docker docker-engine docker.io containerd runc
3

4
# 安装必要支持
5
sudo apt install apt-transport-https ca-certificates curl software-properties-common gnupg lsb-release
6

7
# 添加 Docker 阿里源 GPG key
8
curl -fsSL https://mirrors.aliyun.com/docker-ce/linux/ubuntu/gpg | sudo gpg --dearmor -o /usr/share/keyrings/docker-archive-keyring.gpg
9

10
# 添加 apt 源
11
echo "deb [arch=$(dpkg --print-architecture) signed-by=/usr/share/keyrings/docker-archive-keyring.gpg] https://mirrors.aliyun.com/docker-ce/linux/ubuntu $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null
12

13
# 更新源并安装
14
sudo apt update
15
sudo apt install docker-ce docker-ce-cli containerd.io
16

17
# 查看版本和状态
18
sudo docker version
19
sudo systemctl status docker

展开收起

Alpine#

Terminal window展开收起

1
# 启用 cgroups（不启用会导致 Docker 无法启动）
2
rc-update add cgroups boot
3
rc-service cgroups start
4
mount | grep cgroup
5

6
# 安装 Docker
7
apk add docker docker-compose
8

9
# 创建配置目录
10
mkdir -p /etc/docker
11

12
# 写入基础配置
13
cat > /etc/docker/daemon.json << 'EOF'
14
{
15
  "log-driver": "json-file",
16
  "log-opts": {
17
    "max-size": "5m",
18
    "max-file": "2"
19
  },
20
  "storage-driver": "overlay2",
21
  "default-ulimits": {
22
    "nofile": {
23
      "Name": "nofile",
24
      "Hard": 1024,
25
      "Soft": 512
26
    }
27
  },
28
  "max-concurrent-downloads": 1,
29
  "max-concurrent-uploads": 1
30
}
31
EOF
32

33
# 重启 Docker
34
rc-service docker restart

展开收起

常用服务命令#

Terminal window

1
# systemctl 系统（CentOS / Ubuntu）
2
systemctl start docker
3
systemctl stop docker
4
systemctl restart docker
5
systemctl enable docker
6

7
# rc-service 系统（Alpine）
8
rc-service docker start
9
rc-service docker stop
10
rc-service docker restart

二、daemon.json 配置#

Tip

Docker Compose 的安装与使用参见：Docker Compose 安装配置，YML 编写参见：Docker Compose YML 编写

迁移存储目录#

Docker 默认将所有数据（镜像、容器、卷）存储在 /var/lib/docker/，生产环境系统盘通常空间有限，建议迁移到数据盘。

Warning

此操作建议在刚安装完 Docker 后执行，迁移前务必停止所有容器，避免数据丢失。

Terminal window

1
# 1. 停止 Docker 服务
2
sudo systemctl stop docker
3

4
# 2. 创建新的数据目录
5
mkdir -p /opt/docker/
6
chmod -R 755 /opt/docker/
7

8
# 3. 迁移现有数据（如有）
9
sudo cp -a /var/lib/docker/* /opt/docker/
10

11
# 4. 修改配置
12
mkdir -p /etc/docker
13
vim /etc/docker/daemon.json

/etc/docker/daemon.json

1
{
2
  "data-root": "/opt/docker"
3
}

Terminal window

1
# 5. 重载配置并重启
2
sudo systemctl daemon-reload
3
sudo systemctl restart docker
4

5
# 6. 验证新目录是否生效
6
sudo docker info | grep "Docker Root Dir"
7

8
# 7. 确认数据无误后删除旧目录（可选）
9
rm -rf /var/lib/docker

限制容器日志大小#

方法一：全局配置（推荐，对新容器生效）

/etc/docker/daemon.json

1
{
2
  "log-opts": {
3
    "max-size": "500m",
4
    "max-file": "3"
5
  }
6
}

max-size：单个日志文件最大 500MB
max-file：最多保留 3 个日志文件（滚动）

Terminal window

1
systemctl daemon-reload
2
systemctl restart docker

Note

此配置只对重启后新创建的容器生效，已运行的容器需重建才能应用。

方法二：脚本主动清理日志

/opt/scripts/clean-docker-logs.sh

1
#!/bin/bash
2
# 根据实际 data-root 修改此路径（默认 /var/lib/docker/containers）
3
log_path="/var/lib/docker/containers"
4
for container_id in $(ls "$log_path"); do
5
    log_file="${log_path}/${container_id}/${container_id}-json.log"
6
    if [ -f "$log_file" ]; then
7
        echo "清理容器 ${container_id} 的日志"
8
        truncate -s 0 "$log_file"
9
    fi
10
done
11
echo "日志清理完成"

私服仓库地址#

Note

如需搭建私有镜像仓库，参见：Harbor 私有镜像仓库安装指南。使用自签名证书时还需配置信任：Docker 配置私服自签名证书信任

/etc/docker/daemon.json

1
{
2
  "insecure-registries": [
3
    "http://harbor:30001"
4
  ]
5
}

镜像加速#

/etc/docker/daemon.json

1
{
2
  "registry-mirrors": [
3
    "http://harbor:30001",
4
    "https://docker.1panel.live"
5
  ]
6
}

三、完整 daemon.json 参考#

/etc/docker/daemon.json

1
{
2
  "data-root": "/opt/docker",
3
  "log-opts": {
4
    "max-size": "500m",
5
    "max-file": "3"
6
  },
7
  "insecure-registries": [
8
    "harbor.example.com"
9
  ],
10
  "registry-mirrors": [
11
    "https://docker.example.com"
12
  ]
13
}

Ubuntu Server 安装教程与配置优化

Sun, 01 Mar 2026 00:00:00 GMT

Note

红帽官方宣布CentOS 8于2021年年底结束维护。CentOS 已死！＂免费＂的 RHEL 没了…

在本教程中，我们将引导您逐步安装 Ubuntu 服务器 24.04 LTS。

当然，此教程也适用于Ubuntu Server 22.04 LTS

一、下载镜像#

去Ubuntu官网找到Ubuntu Server的镜像文件（Ubuntu官网)），按照自己的需求下载 iso文件

历史镜像地址：Ubuntu-releases

制作启动盘

可选用的工具有：

随后重启系统，启动至U盘内的安装程序

二、系统安装#

没必要一步截一张图片，以文字为主。

1）进入到安装界面，默认选择第一项， Try orInstall Ubuntu Server -> 回车

2）等待进入语言选择界面，因为没有中文，所以直接选择English 回车进入

3）进入键盘配置界面，回车进入

4）选择安装类型：

完整安装：默认安装包含一组精心策划的软件包，为操作您的服务器提供舒适的体验
最小化安装：本已被定制为在人类不期望登录的环境中具有较小的运行时足迹。

这里推荐使用完整安装，因为最小化安装的组件是不全的。如果想要极简的linux系统，可以使用Alpine，最小。

5）配置网络，这里会展示出机器所有的网口，选中一个网口，在弹出的右侧框里面，选择 Edit IPv4 回车配置ipv4地址

进行静态IP配置

解释下是什么意思

Automatic：DHCP模式，由路由器分配IP地址，但是地址可能会随着重启变化

Manual：静态IP模式

Subnet：为子网IP，通常为xxx.xxx.xxx.0/24
Address：为IP地址，通常为xxx.xxx.xxx.xxx，填写局域网内不冲突的ip地址
Gateway：网关IP地址，通常为xxx.xxx.xxx.1
Name servers：DNS地址

填写完成之后，按Tab键，选择 Save 回车，看到地址更改后，选择Done 进入下一界面

6）配置代理地址，通常情况下不需要配置

7）配置镜像源，这里推荐使用清华大学镜像源，官方的源有点慢，填完之后回车进行验证

1
# 清华大学镜像源
2
http://mirrors.tuna.tsinghua.edu.cn/ubuntu

8）配置硬盘，一般不需要配置，直接回车下一步，然后选择Continue即可

PS： 这里有一个坑，在ubuntu安装时，/目录只会分配硬盘的一半容量，比如50G的硬盘，/目录最多23GB，这里推荐安装完成后，在系统里面去扩容。

9）配置用户信息，根据下面提示进行配置

Your name：用户名
Your servers name：服务器名称
Pick a username：登录名
Choose a password：密码
Confirm your password：密码

10）更新到最新的LTS版本，不需要更新，一路回车即可

11）SSH配置，按空格选中 Install OpenSSH server 随后选择Done 回车

12）其他组件配置不需要安装，直接选择最下面的Done回车即可。

13）等待安装完成之后，选择 Reboot Now回车重启

14）根据提示拔出安装介质后回车重启。

15）查看发行版本（可选）

Terminal window

1
lsb_release -a
2

3
# ------------------------
4
root@localhost:/# lsb_release -a
5
No LSB modules are available.
6
Distributor ID: Ubuntu
7
Description:    Ubuntu 24.04.3 LTS
8
Release:        24.04
9
Codename:       noble

三、系统配置#

1. root账户设置密码#

Terminal window

1
# 通过普通账户登录
2

3
# 切换至root用户
4
sudo su
5
# 修改root密码
6
passwd
7

8
## PS 此时root可以通过命令行直接登录了，但是不能通过ssh登录，因为ubuntu默认禁止root远程登录，请看下面

2. SSH配置允许root远程登录#

Terminal window

1
# 查看是否安装了SSH服务
2
ps -ef |grep ssh
3

4
# 没有安装的话，执行下面语句
5
sudo apt-get update                   #先更新下资源列表
6
sudo apt-get install openssh-server   #安装openssh-server
7
sudo ps -ef | grep ssh                #查看是否安装成功
8
sudo systemctl restart sshd           #重新启动SSH服务
9

10
# 进入ssh配置文件
11
sudo vim  /etc/ssh/sshd_config

修改Root远程登录权限

风险提示

开启 PermitRootLogin yes 虽然方便，但公网环境下极度危险。建议生产服务器优先使用 SSH 密钥登录。

按i进入编辑模式，找到#PermitRootLogin prohibit-password，默认是注释掉的。

找到 PermitRootLogin 行，修改为：PermitRootLogin yes

如果没有找到PermitRootLogin without-password，直接文件末尾添加PermitRootLogin yes即可。然后按esc，输入保存并退出。

重启sshd服务

Terminal window

1
# 重启ssh服务
2
sudo systemctl daemon-reload
3
sudo systemctl restart ssh
4

5
# 如果连接不上，禁用防火墙
6
systemctl stop ufw

Note

常见的 PermitRootLogin 选项取值包括：

yes：允许 root 用户通过 SSH 直接登录。
no：禁止 root 用户通过 SSH 直接登录。
without-password：允许 root 用户通过 SSH 密钥登录，但不允许使用密码登录。

3. 网络配置#

1）打开网络配置文件

Terminal window

1
vi /etc/netplan/50-cloud-init.yaml

2）在文件中，找到network部分，然后根据你的网络设置进行编辑。以下是一个示例配置：

1
network:
2
  version: 2
3
  ethernets:
4
    eno1:
5
      addresses:
6
      - "192.168.2.21/24"
7
      nameservers:
8
        addresses:
9
        - 192.168.2.1
10
        - 114.114.114.114
11
        search: []
12
      routes:
13
      - to: "default"
14
        via: "192.168.2.1"
15
    eno2:
16
      addresses:
17
      - "192.168.2.22/24"
18
    eno3:
19
      addresses:
20
      - "192.168.2.23/24"
21
    eno4:
22
      addresses:
23
      - "192.168.2.24/24"

展开收起

eno1 是网络接口的名称，你需要根据你的实际网络接口名称进行替换。
addresses 是你的服务器的静态IP地址和子网掩码。
routes 是你的网关IP地址。
nameservers 是DNS服务器的IP地址。

3）随后执行命令应用配置更改

Terminal window

1
netplan apply
2
systemctl restart networking

4）在22.04中，会启用自动配置，如果你看到配置文件上面有一大堆被注释掉的文字，请取消自动配置

1
# This file is generated from information provided by the datasource.  Changes
2
# to it will not persist across an instance reboot.  To disable cloud-init's
3
# network configuration capabilities, write a file
4
# /etc/cloud/cloud.cfg.d/99-disable-network-config.cfg with the following:
5
# network: {config: disabled}

使用下面的代码根据提示取消自动配置

Terminal window

1
sudo tee /etc/cloud/cloud.cfg.d/99-disable-network-config.cfg << 'EOF'
2
network: {config: disabled}
3
EOF

5）禁用ipv6（可选）

Terminal window

1
# 修改grub
2
vi /etc/default/grub
3

4
# 找到以下行，添加ipv6.disable=1
5
GRUB_CMDLINE_LINUX_DEFAULT="ipv6.disable=1"
6

7
# 更新GRUB
8
sudo update-grub

4. 解决 LVM 硬盘空间减半问题#

Ubuntu 默认安装只分配一半空间，执行 df -h 你可能会发现硬盘只有 20G 多。

可以看到 / 目录下才24G，但是上级却有48G，严重不对，现在要进行扩容

1）使用 lvextend 命令扩展逻辑卷：

Terminal window

1
sudo lvextend -l +100%FREE /dev/ubuntu-vg/ubuntu-lv

2）扩展文件系统以使用新增加的空间（假设文件系统是 ext4 或 xfs）：

Terminal window

1
# 对于 ext4 文件系统：
2
sudo resize2fs /dev/ubuntu-vg/ubuntu-lv
3

4
# 对于 XFS 文件系统：
5
sudo xfs_growfs /

5. 禁用系统自动更新#

为了防止生产环境在不经意间升级内核导致服务重启，建议关闭自动更新。

或修改 release-upgrades：

Terminal window

1
vi /etc/update-manager/release-upgrades
2

3
# 改为
4
Prompt=never

6. 软件源优化（换国内源）#

Ubuntu 24.04 采用了新的 ubuntu.sources 格式，路径与以往不同。

参考配置清华大学开源软件镜像站

Terminal window

1
# 备份配置文件
2
mv /etc/apt/sources.list.d/ubuntu.sources /etc/apt/sources.list.d/ubuntu.sources.backup
3
# 或者直接删除配置文件
4
#rm /etc/apt/sources.list.d/ubuntu.sources
5
# 填入下面内容
6
vim /etc/apt/sources.list.d/ubuntu.sources

ubuntu.sources

1
Types: deb
2
URIs: https://mirrors.tuna.tsinghua.edu.cn/ubuntu
3
Suites: noble noble-updates noble-backports
4
Components: main restricted universe multiverse
5
Signed-By: /usr/share/keyrings/ubuntu-archive-keyring.gpg
6

7
# 默认注释了源码镜像以提高 apt update 速度，如有需要可自行取消注释
8
# Types: deb-src
9
# URIs: https://mirrors.tuna.tsinghua.edu.cn/ubuntu
10
# Suites: noble noble-updates noble-backports
11
# Components: main restricted universe multiverse
12
# Signed-By: /usr/share/keyrings/ubuntu-archive-keyring.gpg
13

14
# 以下安全更新软件源包含了官方源与镜像站配置，如有需要可自行修改注释切换
15
Types: deb
16
URIs: https://mirrors.tuna.tsinghua.edu.cn/ubuntu
17
Suites: noble-security
18
Components: main restricted universe multiverse
19
Signed-By: /usr/share/keyrings/ubuntu-archive-keyring.gpg
20

21
# Types: deb-src
22
# URIs: https://mirrors.tuna.tsinghua.edu.cn/ubuntu
23
# Suites: noble-security
24
# Components: main restricted universe multiverse
25
# Signed-By: /usr/share/keyrings/ubuntu-archive-keyring.gpg
26

27
# 预发布软件源，不建议启用
28

29
# Types: deb
30
# URIs: https://mirrors.tuna.tsinghua.edu.cn/ubuntu
31
# Suites: noble-proposed
32
# Components: main restricted universe multiverse
33
# Signed-By: /usr/share/keyrings/ubuntu-archive-keyring.gpg
34

35
# # Types: deb-src
36
# # URIs: https://mirrors.tuna.tsinghua.edu.cn/ubuntu
37
# # Suites: noble-proposed
38
# # Components: main restricted universe multiverse
39
# # Signed-By: /usr/share/keyrings/ubuntu-archive-keyring.gpg

展开收起

Ubuntu 22.04 LTS：传统 sources.list 格式。

Terminal window

1
# 备份配置文件
2
mv /etc/apt/sources.list /etc/apt/sources.list.backup
3
# 或者直接删除配置文件
4
#rm /etc/apt/sources.list
5
# 填入下面内容
6
vim /etc/apt/sources.list

sources.list

1
# 默认注释了源码镜像以提高 apt update 速度，如有需要可自行取消注释
2
deb https://mirrors.tuna.tsinghua.edu.cn/ubuntu/ jammy main restricted universe multiverse
3
# deb-src https://mirrors.tuna.tsinghua.edu.cn/ubuntu/ jammy main restricted universe multiverse
4
deb https://mirrors.tuna.tsinghua.edu.cn/ubuntu/ jammy-updates main restricted universe multiverse
5
# deb-src https://mirrors.tuna.tsinghua.edu.cn/ubuntu/ jammy-updates main restricted universe multiverse
6
deb https://mirrors.tuna.tsinghua.edu.cn/ubuntu/ jammy-backports main restricted universe multiverse
7
# deb-src https://mirrors.tuna.tsinghua.edu.cn/ubuntu/ jammy-backports main restricted universe multiverse
8
deb https://mirrors.tuna.tsinghua.edu.cn/ubuntu/ jammy-security main restricted universe multiverse
9
# deb-src https://mirrors.tuna.tsinghua.edu.cn/ubuntu/ jammy-security main restricted universe multiverse
10

11
# 预发布软件源，不建议启用
12
# deb https://mirrors.tuna.tsinghua.edu.cn/ubuntu/ jammy-proposed main restricted universe multiverse
13
# deb-src https://mirrors.tuna.tsinghua.edu.cn/ubuntu/ jammy-proposed main restricted universe multiverse

替换源后更新源

Terminal window

1
sudo apt update -y
2
sudo apt upgrade -y

最后会弹出一个让你重启服务的框，选择ok就可以，最后最好重启一下系统，将服务全部重启。

四、常用必备工具安装#

Terminal window

1
apt install -y zip unzip htop tree iperf3

zip unzip # zip解压工具
htop # 资源监控工具
tree # 文件目录查看工具
iperf3 # 打流测速工具

五、进阶：挂载 NFS 存储 (可选)#

如果你的服务器需要连接 NAS 或存储服务器，可采用nfs协议挂载目录

Terminal window

1
# 安装nfs
2
sudo apt install nfs-common
3
# 创建挂载目录
4
mkdir /mnt/appdata
5

6
# 测试挂载
7
mount 10.0.0.10:/mnt/SSD-Storage/appdata/vm-docker /mnt/appdata
8
# 取消挂载
9
umount /mnt/appdata
10

11
# 开机自动挂载目录
12
vim /etc/fstab
13
10.0.0.10:/mnt/SSD-Storage/appdata/vm-docker /mnt/appdata  nfs  defaults  0  0

RabbitMQ 进阶实战：延迟消息插件安装与配置指南

Fri, 27 Feb 2026 00:00:00 GMT

RabbitMQ 实现延迟消息有两条主流路线：DLQ + TTL（不用装插件，有队头阻塞问题）和 rabbitmq_delayed_message_exchange 插件（精确延迟，需要额外安装）。本文记录插件在 Docker Compose 环境下的完整安装流程、Spring AMQP 的使用示例，以及两种方案在什么场景该选哪一种。

1. 前置条件#

RabbitMQ 3.12+（官方 Docker 镜像 rabbitmq:3.13-management 以下都适用）
Docker + Docker Compose
能访问 GitHub（下载插件 .ez 文件）
Java + Spring Boot 项目（本文示例基于 Spring Boot 3.x + spring-boot-starter-amqp）

2. 下载对应版本的插件#

2.1 确认 RabbitMQ 版本#

进入运行中的容器查询：

Terminal window

1
docker exec <容器名> rabbitmqctl version

或者查 compose 文件里固定的镜像 tag。

2.2 下载匹配的 `.ez` 文件#

访问 rabbitmq-delayed-message-exchange Releases，在每个 release 的说明里找 Compatible RabbitMQ versions，选一个覆盖你版本的插件 release，下载 rabbitmq_delayed_message_exchange-<version>.ez。

不要按主版本号想当然对应

RabbitMQ 3.9 时代流传的”插件版本和 RabbitMQ 主版本号一致”已经不再成立。现在插件有独立的版本号，必须看 release notes 里标注的兼容版本范围，强行用不匹配的插件会导致 RabbitMQ 启动失败。

3. 安装插件：两种方式#

3.1 快速方式：`docker cp` 注入运行中的容器（仅限临时测试）#

Terminal window

1
# 1. 先查一下容器里真实的插件目录
2
docker exec <容器名> rabbitmq-plugins directories -s
3
# Plugin archives directory: /opt/rabbitmq/plugins  ← 这一行就是目标路径
4

5
# 2. 拷贝进去
6
docker cp rabbitmq_delayed_message_exchange-3.13.0.ez <容器名>:/opt/rabbitmq/plugins/
7

8
# 3. 修正文件权限（docker cp 默认 root:root，容器服务以 rabbitmq 用户运行，读不到会启用失败）
9
docker exec -u root <容器名> chown rabbitmq:rabbitmq \
10
    /opt/rabbitmq/plugins/rabbitmq_delayed_message_exchange-3.13.0.ez
11

12
# 4. 启用插件（热启用，不需要重启容器）
13
docker exec <容器名> rabbitmq-plugins enable rabbitmq_delayed_message_exchange

这种方式的插件活不过容器重建

docker cp 进去的文件只存在于当前容器的可写层。一旦执行 docker compose down && up 或镜像更新，容器重建后插件消失，还要重装一遍。仅适合本地快速测试，生产环境请用 3.2 的 compose 挂载方式。

必要时再重启

rabbitmq-plugins enable 是热启用，正常情况下立即生效、不需要重启。只有在启用报错 / 插件没被正确加载时，才需要 docker restart <容器名>。

3.2 推荐方式：docker-compose 挂载持久化#

把 .ez 文件放在项目目录下，bind mount 到容器的插件目录。这样容器重建、迁移时插件跟着跑。

项目目录结构：

1
my-rabbitmq/
2
├── docker-compose.yaml
3
├── enabled_plugins
4
└── plugins/
5
    └── rabbitmq_delayed_message_exchange-3.13.0.ez

enabled_plugins（用于 RabbitMQ 启动时自动启用插件，省得手动 enable）：

1
[rabbitmq_management,rabbitmq_delayed_message_exchange].

注意末尾那个点 .

这是 Erlang 配置文件语法，末尾的英文句点必须有，否则启动时会报语法错误。

docker-compose.yaml：

1
services:
2
  rabbitmq:
3
    image: rabbitmq:3.13-management
4
    container_name: rabbitmq
5
    restart: unless-stopped
6
    ports:
7
      - "5672:5672"       # AMQP
8
      - "15672:15672"     # Management UI
9
    environment:
10
      RABBITMQ_DEFAULT_USER: admin
11
      RABBITMQ_DEFAULT_PASS: ChangeMe_StrongPassword
12
    volumes:
13
      # 持久化消息与元数据
14
      - rabbitmq-data:/var/lib/rabbitmq
15
      # 把本地 plugins/ 目录挂到容器插件路径（具体路径用 rabbitmq-plugins directories -s 确认）
16
      - ./plugins:/opt/rabbitmq/community-plugins
17
      # 预启用插件清单
18
      - ./enabled_plugins:/etc/rabbitmq/enabled_plugins:ro
19
    # 通过 RABBITMQ_PLUGINS_DIR 让 RabbitMQ 从默认目录 + 我们挂的目录都查找插件
20
    # 冒号分隔，官方镜像里插件目录为 /opt/rabbitmq/plugins
21
    command: >
22
      bash -c "
23
        export RABBITMQ_PLUGINS_DIR=/opt/rabbitmq/plugins:/opt/rabbitmq/community-plugins &&
24
        rabbitmq-server
25
      "
26

27
volumes:
28
  rabbitmq-data:

展开收起

启动：

Terminal window

1
docker compose up -d
2
docker compose logs -f rabbitmq

日志里看到 Starting RabbitMQ 3.13.x ... Applying plugin configuration ... plugins are ready 即为成功。

4. 启用与验证#

4.1 确认插件已启用#

Terminal window

1
docker exec rabbitmq rabbitmq-plugins list -e

输出中应该看到 [E*] rabbitmq_delayed_message_exchange。

4.2 Web UI 验证#

浏览器打开 http://<服务器 IP>:15672，用 admin / 上面设置的密码登录
Exchanges → Add a new exchange
Type 下拉菜单里应该新增了 x-delayed-message 选项

能看到这个类型就说明插件工作正常。

5. Spring Boot 使用示例#

5.1 添加依赖（Maven）#

1
<dependency>
2
    <groupId>org.springframework.boot</groupId>
3
    <artifactId>spring-boot-starter-amqp</artifactId>
4
</dependency>

application.yml：

1
spring:
2
  rabbitmq:
3
    host: 127.0.0.1
4
    port: 5672
5
    username: admin
6
    password: ChangeMe_StrongPassword

5.2 声明 delayed-message exchange + queue#

1
@Configuration
2
public class RabbitMQConfig {
3

4
    public static final String DELAYED_EXCHANGE = "delayed.exchange";
5
    public static final String DELAYED_QUEUE    = "delayed.queue";
6
    public static final String DELAYED_ROUTING  = "delayed.key";
7

8
    @Bean
9
    public CustomExchange delayedExchange() {
10
        Map<String, Object> args = new HashMap<>();
11
        // x-delayed-type 指定底层路由行为，direct / topic / fanout 均可
12
        args.put("x-delayed-type", "direct");
13
        return new CustomExchange(
14
                DELAYED_EXCHANGE,
15
                "x-delayed-message",   // 插件提供的 exchange 类型
16
                true,                   // durable
17
                false,                  // autoDelete
18
                args
19
        );
20
    }
21

22
    @Bean
23
    public Queue delayedQueue() {
24
        return new Queue(DELAYED_QUEUE, true);
25
    }
26

27
    @Bean
28
    public Binding delayedBinding() {
29
        return BindingBuilder.bind(delayedQueue())
30
                .to(delayedExchange())
31
                .with(DELAYED_ROUTING)
32
                .noargs();
33
    }
34
}

展开收起

5.3 发送带 `x-delay` 的消息#

1
@Service
2
@RequiredArgsConstructor
3
public class DelayedMessageProducer {
4

5
    private final RabbitTemplate rabbitTemplate;
6

7
    /**
8
     * 发送延迟消息
9
     * @param payload     消息内容
10
     * @param delayMillis 延迟毫秒数
11
     */
12
    public void sendDelayed(String payload, long delayMillis) {
13
        rabbitTemplate.convertAndSend(
14
                RabbitMQConfig.DELAYED_EXCHANGE,
15
                RabbitMQConfig.DELAYED_ROUTING,
16
                payload,
17
                message -> {
18
                    // x-delay 单位是毫秒；注意 int 类型、最大约 24.8 天
19
                    message.getMessageProperties().setHeader("x-delay", (int) delayMillis);
20
                    return message;
21
                }
22
        );
23
    }
24
}

展开收起

5.4 消费端#

1
@Component
2
@Slf4j
3
public class DelayedMessageConsumer {
4

5
    @RabbitListener(queues = RabbitMQConfig.DELAYED_QUEUE)
6
    public void onMessage(String payload) {
7
        log.info("收到延迟消息: {} @ {}", payload, Instant.now());
8
    }
9
}

5.5 调用示例#

1
producer.sendDelayed("5 秒后送达", 5_000);
2
producer.sendDelayed("1 分钟后送达", 60_000);

5 秒 / 60 秒后，消费端会在对应时刻收到消息，多条不同延迟的消息互不阻塞。

x-delay 最大值上限

x-delay 使用 Erlang 的 32-bit 整数，最大约 2^32 - 1 毫秒，折合约 49.7 天（社区流传 24.8 天是把它当成 32-bit 有符号整数的误解；实际实现是无符号）。超过这个上限直接消息被丢弃，业务里需要超长延迟时应考虑数据库定时扫描 + 短延迟补偿的组合方案，而不是无脑上 x-delay。

6. 选型对比：DLQ + TTL vs 延迟消息插件#

两种方案都能实现延迟消息，但机制和适用场景完全不同：

维度	DLQ + TTL（传统方案）	delayed-message 插件
是否需要装插件	❌ 纯原生	✅ 需额外安装
延迟精度	依赖队列头部消息是否到期	精确，ms 级
队头阻塞	✅ 有——短 TTL 消息会被队头的长 TTL 消息挡住	❌ 无
每条消息可独立延迟	勉强支持（per-message TTL），但会触发队头阻塞	✅ 原生支持
最大延迟	理论无上限	约 49.7 天（单条 32-bit 毫秒）
消息堆积性能	消息在队列中等 TTL，性能平稳	延迟消息在 Mnesia 索引中，数量大时有压力
运维复杂度	低	需管理插件版本与兼容性
集群支持	原生完美	插件在集群下需要注意 Mnesia 状态同步

选型建议：

所有消息统一延迟（比如”订单创建 30 分钟后统一检查支付状态”）→ DLQ + TTL，无队头阻塞问题、更简单、无依赖。
每条消息延迟时间不同（比如用户自选”5 分钟后提醒 / 1 小时后提醒 / 1 天后提醒”）→ delayed-message 插件，能规避 DLQ 方案的队头阻塞。
超过 49.7 天的超长延迟 → 两种方案都不合适，改用数据库定时扫描 + 到期前几分钟投递到普通队列的组合。
消息量巨大（每天百万级别延迟消息） → 延迟消息插件的内存压力会显现，此时建议转用 Redis ZSet、Kafka 的 delay topic、或专业延迟队列如 RocketMQ 的定时消息。

7. 常见故障排查#

现象	可能原因	对策
`rabbitmq-plugins enable` 报 plugin not found	`.ez` 文件不在 RabbitMQ 扫描的插件目录里	`rabbitmq-plugins directories -s` 确认路径；docker-compose 方式检查 `RABBITMQ_PLUGINS_DIR`
启用报 `permission denied`	`.ez` 文件权限不对	`chown rabbitmq:rabbitmq <.ez 文件>`
RabbitMQ 启动直接 crash，日志报版本不兼容	插件版本与 RabbitMQ 不匹配	按 2.2 节核对 Compatible versions，换对应 release
Web UI 里 Exchange Type 下拉没有 `x-delayed-message`	插件没启用 / 启用失败	`rabbitmq-plugins list -e` 确认；查容器日志
消息没按 `x-delay` 延迟，立刻就到了	往普通 exchange 发了、而不是 `x-delayed-message` 类型	确认 `CustomExchange` 的 type 参数是 `"x-delayed-message"`
消息到了但延迟不准（慢几秒）	集群模式下 Mnesia 同步抖动 / 插件精度限制	延迟任务场景接受秒级误差；强一致场景换方案
`x-delay` 值超过 49.7 天，消息消失	超过 `x-delay` 支持上限	改用数据库定时扫描组合方案

作者注

本文示例基于 RabbitMQ 3.13 + Spring Boot 3.x + spring-boot-starter-amqp。不同 RabbitMQ 版本的插件兼容范围会变化，最终以对应 release notes 里的 Compatible versions 为准。

突破内网延迟：ZeroTier 私有 Planet 节点搭建全攻略

Wed, 25 Feb 2026 00:00:00 GMT

ZeroTier 官方的 Planet 根节点都在北美 / 欧洲，国内客户端每次握手、心跳都要绕一圈海外——社区普遍反映延迟 150300 ms 起步。把 Planet 搬到自己的国内云服务器上，控制面延迟通常能降到 **2050 ms** 区间，同时 ZeroTier 的控制数据不再经第三方。本文基于 xubiaolin/docker-zerotier-planet 镜像，走一遍完整流程：容器部署 → 提取 planet 文件 → 多平台客户端替换 → 验证延迟改善 → (可选) 局域网互访和 Moon。

延迟数据说明

上面的 150300 ms / 2050 ms 是社区典型观察值，与你的客户端所在运营商、自建 Planet 所在地域、中间网络质量都有关。务必在替换前后各 ping 一次做自己的基线对比（见第 5.3 节）。

1. 前置条件#

一台公网可访问的云服务器（1H1G 即可，国内节点优先；带宽 1 Mbps 以上体验更好）
Docker + Docker Compose 已安装
有公网 IPv4（IPv6 可选）
云厂商安全组和主机防火墙（ufw / firewalld）放行下表端口：

端口	协议	用途
9993	UDP	ZeroTier 核心通信（P2P 握手、心跳、数据转发）
9994	TCP	可选备用通道（UDP 被运营商封锁时 fallback）
9995	TCP	可选备用通道
3443	TCP	Planet 管理 Web UI
3000	TCP	内置文件服务器（方便直接下载 planet 文件）

UDP 9993 必须通

ZeroTier 主通道是 UDP，很多云厂商默认安全组只放行 TCP。如果 9993/udp 没开，客户端 peers 列表里会看到 PLANET 行的 link 是 RELAY 而不是 DIRECT，性能直接大打折扣。

2. 部署 Planet 容器#

2.1 创建目录并写 docker-compose.yaml#

Terminal window

1
mkdir -p /data/zerotier-planet/{data,dist,ztncui,zerotier-one}
2
cd /data/zerotier-planet

docker-compose.yaml：

1
services:
2
  zerotier-planet:
3
    image: xubiaolin/zerotier-planet:latest
4
    container_name: zerotier-planet
5
    restart: unless-stopped
6
    network_mode: host          # 推荐 host：ZeroTier 多端口 + NAT 穿透需求复杂
7
    volumes:
8
      - ./data:/app/data
9
      - ./dist:/app/dist        # planet / moon 等文件的生成目录
10
      - ./ztncui:/app/ztncui
11
      - ./zerotier-one:/var/lib/zerotier-one
12
    environment:
13
      IP_ADDR4: "你的公网IPv4"   # 必填
14
      IP_ADDR6: ""               # 有 IPv6 可填
15
      ZT_PORT: 9993
16
      API_PORT: 3443
17
      FILE_SERVER_PORT: 3000

展开收起

2.2 启动并查看日志#

Terminal window

1
docker compose up -d
2
docker compose logs -f zerotier-planet

日志里看到 planet generated / server started 等提示即部署成功。首次启动容器会生成你专属的 Planet 密钥和 planet 文件。

2.3 首次登录管理 UI#

浏览器打开 http://<公网IP>:3443，用 README 里给出的默认凭据登录（一般是 admin / password，请立即在 UI 中修改）。管理 UI 提供网络创建、节点授权、IP 分配等图形化操作。

3. 创建一个 ZeroTier 网络#

在管理 UI 中：

Add network → 填写网络名称 → Create
进入网络详情 → Easy setup → Generate network address
配置好 IPv4 分配段（默认的 10.x.x.x/24 够用）→ Submit

复制生成的 16 位网络 ID，稍后客户端 zerotier-cli join 要用。

4. 替换客户端的 Planet 文件#

只有替换了 planet 文件的客户端，才会连接到你的自建 Planet 而不是 ZeroTier 官方 Planet。

4.1 从服务器获取 planet 文件#

两种方式任选：

Terminal window

1
# 方式 A：docker cp 直接从容器内取出
2
docker cp zerotier-planet:/app/dist/planet ./planet
3

4
# 方式 B：通过容器内置的文件服务器下载（端口 3000）
5
curl -O http://<你的公网IP>:3000/planet

4.2 把 planet 放到各平台的正确位置#

平台	Planet 文件路径
Linux	`/var/lib/zerotier-one/planet`
macOS	`/Library/Application Support/ZeroTier/One/planet`
Windows	`C:\ProgramData\ZeroTier\One\planet`
Android	⚠️ 受沙箱限制，官方 App 不开放修改 planet 路径
iOS	⚠️ 同上

Android / iOS 的限制

移动端的 ZeroTier 官方 App 不支持自定义 Planet，无法走自建 Planet 直连。如果手机端必须接入：

在有 root / 越狱的设备上通过文件管理器替换（折腾度高）
或者让手机通过已替换 planet 的路由器 / NAS 作为 gateway 间接接入

4.3 重启客户端 ZeroTier 服务#

替换 planet 文件后，必须重启 ZeroTier 服务才会重新加载：

Linux（systemd）：

Terminal window

1
sudo systemctl restart zerotier-one

Windows（PowerShell 管理员）：

Terminal window

1
Restart-Service "ZeroTier One"
2
# 或在服务管理器 services.msc 里手动重启 "ZeroTier One"

macOS：从菜单栏 ZeroTier 图标退出 App 再重新打开；或命令行 sudo launchctl unload/load com.zerotier.one.plist。

4.4 验证 Planet 替换已生效#

Terminal window

1
zerotier-cli peers

输出里找 PLANET 那一行，<path> 列的 IP 应当是你自建服务器的公网 IP（不再是 ZeroTier 官方 IP 如 50.7.73.34 等）：

1
<ztaddr>   <ver>  <role> <lat> <link>   <lastTX> <lastRX> <path>
2
881b287f44 1.14.1 PLANET    20 DIRECT   459      449      <你的公网IP>/9994

同时可以和替换前做延迟对比：

Terminal window

1
# 替换前记录
2
ping -c 20 50.7.73.34   # ZeroTier 官方 Planet 之一
3

4
# 替换后
5
ping -c 20 <你的公网IP>

5. 加入网络#

在客户端上执行：

Terminal window

1
zerotier-cli join <你的网络ID>

然后回到管理 UI 把这个新节点 Authorize（在 Members 列表里勾选），客户端就会拿到一个网络内 IP（如 10.147.17.x）。

常用子命令：

Terminal window

1
zerotier-cli info               # 查看本机节点 ID
2
zerotier-cli listnetworks       # 查看已加入的网络
3
zerotier-cli leave <网络ID>     # 退出网络
4
zerotier-cli peers              # 查看所有对端

6. (可选) 让 ZeroTier 客户端访问服务端所在的局域网#

这一节是进阶场景：你的自建 Planet 服务器本身也部署在某个家庭 / 办公室局域网里（比如 192.168.1.0/24），希望外部 ZeroTier 客户端加入虚拟网络后，能穿透访问这个局域网里的其他设备（NAS、打印机、摄像头等）。

如果你只是把 Planet 服务器当作公网路由节点、不需要访问它所在的局域网，跳过整个第 6 节。

6.1 开启并持久化 ip_forward#

Terminal window

1
# 写入配置文件（持久化，重启后仍生效）
2
echo "net.ipv4.ip_forward=1" | sudo tee /etc/sysctl.d/99-ip-forward.conf
3

4
# 立即加载
5
sudo sysctl --system

原始的 sysctl -w 不持久化

sysctl -w net.ipv4.ip_forward=1 只影响当前运行时，重启丢失。必须写进 /etc/sysctl.conf 或 /etc/sysctl.d/*.conf，再用 sysctl --system 加载才算持久化。

6.2 配置 iptables NAT + FORWARD#

先查出两个网卡名：

Terminal window

1
ip a
2
# 输出里找两张网卡：
3
# - 物理网卡：通常是 eth0 / enp0s3 / ens33 / ovs_eth0 等
4
# - ZeroTier 虚拟网卡：以 zt 开头，如 ztre4xmo4y

不要直接抄 ovs_eth0

原笔记里 PHY_IF=ovs_eth0 是作者在 OpenVSwitch 环境（PVE / OpenStack 等）下的网卡名。绝大多数读者的物理网卡是 eth0 / enp0s3 / ens33 等，直接抄会报错。务必用 ip a 看自己实际的网卡名。

替换 PHY_IF 和 ZT_IF 的值后执行：

Terminal window

1
export PHY_IF=eth0           # ← 你的物理网卡
2
export ZT_IF=ztre4xmo4y      # ← 你的 ZeroTier 虚拟网卡
3

4
# 出站 SNAT（ZeroTier 流量伪装成服务器的本地 IP 出去）
5
sudo iptables -t nat -A POSTROUTING -o $PHY_IF -j MASQUERADE
6

7
# 双向 FORWARD 放行
8
sudo iptables -A FORWARD -i $PHY_IF -o $ZT_IF -m state --state RELATED,ESTABLISHED -j ACCEPT
9
sudo iptables -A FORWARD -i $ZT_IF -o $PHY_IF -j ACCEPT

三条规则的作用：

第 1 条 POSTROUTING MASQUERADE：ZeroTier 客户端访问局域网设备时，源地址改写为服务器的物理网卡 IP，让局域网设备回包能回得来
第 2 条 FORWARD：允许局域网 → ZeroTier 方向的回包通过（只放行已建立的连接）
第 3 条 FORWARD：允许 ZeroTier → 局域网方向的新建连接通过

6.3 持久化 iptables 规则#

默认 iptables 规则重启后丢失，必须显式保存：

Terminal window

1
# Debian / Ubuntu
2
sudo apt install -y iptables-persistent
3
sudo netfilter-persistent save
4

5
# CentOS / RHEL
6
sudo iptables-save > /etc/sysconfig/iptables

6.4 管理 UI 配置子网路由#

在 Planet 管理 UI 中打开对应网络 → Managed Routes → 添加一条路由：

Destination：你的局域网段（如 192.168.1.0/24）
Via：服务器在 ZeroTier 网络里的 IP（zerotier-cli listnetworks 里查）

配置后，ZeroTier 客户端就能直接 ping 到 192.168.1.x 的设备。

7. (可选) 加入 Moon 二级根节点#

先判断你到底需不需要 Moon

自建 Planet 之后，大多数场景不再需要 Moon。Moon 适合的情况：

多地域部署：比如东部一个 Moon、西部一个 Moon，让客户端就近选择
Planet 单点冗余：Moon 做二级根节点，Planet 挂了还能继续发现对端

一般家庭 / 小团队自建一个 Planet 节点就够了，直接跳过本节。

如果确实需要 Moon：容器里的 dist/ 目录下会生成一个 .moon 文件，文件名类似 000000881b287f44.moon。文件名前缀 000000 是 ZeroTier 用作排序的零填充，真正的 Moon ID 是后面的 881b287f44。

把 .moon 文件分发到客户端后，执行：

Terminal window

1
zerotier-cli orbit 881b287f44 881b287f44

orbit 命令有两个参数：

第 1 个是 Moon ID（告诉客户端要连哪个 Moon）
第 2 个是 Seed（寻找 Moon 节点地址的种子，一般填同一个 Moon ID 即可）

管理命令：

Terminal window

1
zerotier-cli listmoons              # 查看已加入的 moons
2
zerotier-cli deorbit 881b287f44     # 脱离某个 moon

8. 常用命令与输出解读#

8.1 `zerotier-cli peers` 输出#

典型输出（清理过的示例）：

1
200 peers
2
<ztaddr>   <ver>  <role> <lat> <link>   <lastTX> <lastRX> <path>
3
23b6d4d552 1.16.1 LEAF       2 DIRECT   185      457      192.168.13.127/9993
4
4250e4b427 1.16.1 LEAF       9 DIRECT   8        9        49.76.149.157/23936
5
881b287f44 1.14.1 PLANET    20 DIRECT   459      449      106.15.204.189/9994

列含义：

列	含义
`ztaddr`	对端节点的 ZeroTier 地址（10 位 hex）
`ver`	对端 ZeroTier 版本
`role`	LEAF 普通客户端 / PLANET 根节点 / MOON 二级根
`lat`	延迟（毫秒）
`link`	DIRECT 直连成功 / RELAY 通过中继（性能差）
`lastTX`/`lastRX`	最近发送 / 接收字节数
`path`	当前使用的物理 IP:端口

8.2 常见故障排查#

现象	可能原因	对策
替换 planet 后 `peers` 里 PLANET 还是官方 IP	ZeroTier 服务没重启 / planet 文件路径不对 / 权限不对	确认路径和权限，再 `systemctl restart zerotier-one`
PLANET 能看到但 `link: RELAY` 不直连	9993/udp 被封或防火墙拦截	放行云安全组 + 主机防火墙的 9993/udp
客户端 `join` 后一直拿不到 IP	管理 UI 里节点未授权	Members 列表里把该节点 Authorize
访问不了局域网 192.168.x.x	`ip_forward` 没开 / iptables 规则没加 / Managed Routes 没配	逐项检查第 6 节的三个子节
Android / iOS 无法接入自建 Planet	移动端 App 不开放 planet 替换	接入一个已改造的路由器 / 网关作中转

作者注

本文流程基于 xubiaolin/zerotier-planet:latest 镜像。该项目迭代较快，环境变量命名和默认凭据可能随版本调整——以项目 README 的最新说明为准。

Proxmox VE 9.0 安装与初始配置指南

Tue, 17 Feb 2026 00:00:00 GMT

PVE 下载地址：https://www.proxmox.com/en/downloads

安装完成后进入配置阶段。

一、使用脚本配置（推荐）#

推荐使用 Mapleawaa 的脚本 PVE-Tools-9，可全程引导换源、内核更新、SR-IOV 配置等操作。

Terminal window

1
wget https://raw.githubusercontent.com/Mapleawaa/PVE-Tools-9/main/PVE-Tools.sh
2
chmod +x PVE-Tools.sh
3
./PVE-Tools.sh

脚本主要功能使用顺序：

1
2. 软件源与更新
2
   1. 更换软件源 → 选择镜像站安全源
3
   2. 更新系统软件包
4

5
3. 启动与内核
6
   1. 内核管理
7
      2. 查看可用内核列表
8
      3. 安装新内核（选最新版）
9
      4. 设置默认启动内核
10
      6. 重启系统
11

12
4. 直通与显卡（Intel 11-15代 SR-IOV）
13
   1. Intel 核显虚拟化管理
14
      1. Intel 11-15代 SR-IOV 核显虚拟化
15
         release 版本：2025.12.10（注意：2026.02.04 有 bug）
16
         VFs 数量：1-7，按需填写
17

18
1. 系统优化
19
   1. 删除订阅弹窗
20
   2. 温度监控管理
21
   3. CPU 电源模式配置
22

23
6. 存储与硬盘
24
   1. 合并 local 与 local-lvm
25
   2. Ceph 管理（不需要可卸载）

展开收起

Caution

使用 SR-IOV 前请先将内核更新到最新版本，否则可能出现兼容问题。

二、手动配置#

换源#

Terminal window

1
rm -rf /etc/apt/sources.list.d/
2

3
cat > /etc/apt/sources.list << EOF
4
deb https://mirrors.ustc.edu.cn/debian/ trixie main contrib non-free non-free-firmware
5
deb https://mirrors.ustc.edu.cn/debian/ trixie-updates main contrib non-free non-free-firmware
6
deb https://mirrors.ustc.edu.cn/debian/ trixie-backports main contrib non-free non-free-firmware
7
deb https://mirrors.ustc.edu.cn/debian-security trixie-security main
8
deb https://mirrors.ustc.edu.cn/proxmox/debian trixie pve-no-subscription
9
EOF
10

11
apt update

配置 Intel SR-IOV 核显虚拟化#

适用于 Intel 11-15 代（Rocket Lake / Alder Lake / Raptor Lake）。

仓库：i915-sriov-dkms

Terminal window

1
nano /etc/default/grub
2
# 修改为：
3
GRUB_CMDLINE_LINUX_DEFAULT="quiet intel_iommu=on iommu=pt i915.enable_guc=3 i915.max_vfs=7 module_blacklist=xe"
4

5
update-grub
6

7
apt install -y build-essential git dkms sysfsutils proxmox-headers-$(uname -r) intel-gpu-tools
8

9
# 注意：2026.02.04 版本有 bug，使用 2025.12.10
10
wget https://github.com/strongtz/i915-sriov-dkms/releases/download/2025.12.10/i915-sriov-dkms_2025.12.10_amd64.deb
11
dpkg -i i915-sriov-dkms_*_amd64.deb
12

13
reboot

重启后验证并永久配置：

Terminal window

1
lspci | grep VGA
2

3
# 临时创建 7 个虚拟核显
4
echo 7 > /sys/devices/pci0000:00/0000:00:02.0/sriov_numvfs
5

6
# 永久配置
7
echo "devices/pci0000:00/0000:00:02.0/sriov_numvfs = 7" >> /etc/sysfs.conf

Note

物理核显 00:02.0 不能直通给虚拟机
只能直通虚拟核显 00:02.1 ~ 00:02.7
虚拟机需勾选 ROM-Bar 和 PCIE 选项

删除订阅弹窗#

Terminal window

1
sed -Ezi.bak "s/(Ext.Msg.show\({\s+title: gettext\('No valid sub)/void\({ \/\/\1/g" \
2
  /usr/share/javascript/proxmox-widget-toolkit/proxmoxlib.js
3

4
systemctl restart pveproxy.service

合并 local 与 local-lvm#

Terminal window

1
lvremove /dev/pve/data
2
lvextend -l +100%FREE /dev/pve/root
3
resize2fs /dev/pve/root

最后在 Web UI：数据中心 → 存储 → 移除 local-lvm → 编辑 local 勾选所有内容。

设置硬盘RDM直通#

Terminal window

1
ls -l /dev/disk/by-id/
2

3
qm set <虚拟机ID> -<总线类型><编号> /dev/disk/by-id/<硬盘ID>
4

5
qm set 102 -scsi2 /dev/disk/by-id/ata-Samsung_SSD_860_EVO_500GB_S3Z3NS0N408717X

debian 显卡直通关闭内置显卡，实现串口输出#

1、添加虚拟机

正常安装

机型选择q35

2、安装完成后

修改grub配置

Terminal window

1
nano /etc/default/grub
2

3
GRUB_CMDLINE_LINUX="console=tty0 console=ttyS0,115200n8"
4
GRUB_TERMINAL="console serial"
5
GRUB_SERIAL_COMMAND="serial --unit=0 --speed=115200 --word=8 --parity=no --stop=1"

Terminal window

1
update-grub

修改虚拟机参数

显示选择无(none)

添加串行端口(serial0)

添加显卡，勾选主GPU，取消Rom-Bar

1
agent: 1
2
boot: order=scsi0;ide2;net0
3
cores: 8
4
cpu: host
5
hostpci0: 0000:00:02.0,pcie=1,x-vga=1,rombar=0
6
ide2: local:iso/debian-13.3.0-amd64-DVD-1.iso,media=cdrom,size=3744M
7
machine: q35
8
memory: 8192
9
meta: creation-qemu=9.2.0,ctime=1770166724
10
name: debian-1panel
11
net0: virtio=BC:24:11:3F:EB:72,bridge=vmbr0
12
numa: 0
13
ostype: l26
14
scsi0: local:103/vm-103-disk-0.qcow2,iothread=1,size=50G
15
scsihw: virtio-scsi-single
16
serial0: socket
17
smbios1: uuid=d4d6de73-818b-429c-b23d-2030cfec9f99
18
sockets: 1
19
tags: 10.0.0.22
20
vga: none
21
vmgenid: ca00bb44-7047-4517-9581-242922204242

展开收起

PVE Intel 核显独占直通教程

Mon, 16 Feb 2026 00:00:00 GMT

PCIe 直通（Passthrough）将物理显卡独占分配给单个虚拟机，虚拟机获得接近裸机的 GPU 性能。与 GVT-g 共享模式不同，直通后宿主机无法使用该显卡。

相关文章：PVE 9.0 安装与初始配置指南 · PVE Intel 核显 GVT-g 虚拟化教程（共享模式）

一、查看 IOMMU 分组#

在配置直通前，先确认设备的 IOMMU 分组情况：

Terminal window

1
for d in /sys/kernel/iommu_groups/*/devices/*; do
2
    n=${d#*/iommu_groups/*}; n=${n%%/*}
3
    printf 'IOMMU Group %s ' "$n"
4
    lspci -nns "${d##*/}"
5
done

理想情况下，核显和声卡应在不同的 IOMMU 分组，否则需要添加 pcie_acs_override 参数强制拆分。

二、启用 IOMMU#

Terminal window

1
nano /etc/default/grub
2

3
# Intel CPU
4
GRUB_CMDLINE_LINUX_DEFAULT="quiet intel_iommu=on iommu=pt initcall_blacklist=sysfb_init pcie_acs_override=downstream,multifunction pci=nommconf"
5

6
# AMD CPU
7
GRUB_CMDLINE_LINUX_DEFAULT="quiet iommu=pt initcall_blacklist=sysfb_init pcie_acs_override=downstream,multifunction pci=nommconf"

参数说明：

参数	说明
`intel_iommu=on`	启用 Intel VT-d
`iommu=pt`	Pass-through 模式，提升未直通设备性能
`initcall_blacklist=sysfb_init`	屏蔽帧缓冲初始化，防止干扰直通
`pcie_acs_override=downstream,multifunction`	强制拆分 IOMMU 分组
`pci=nommconf`	禁用 PCI 配置空间内存映射

三、加载内核模块#

Terminal window

1
nano /etc/modules
2
# 添加：
3
vfio
4
vfio_iommu_type1
5
vfio_pci
6
# vfio_virqfd  # 内核 6.2 以下需要取消注释

四、屏蔽宿主机驱动（可选）#

防止宿主机占用显卡，确保虚拟机能独占：

Terminal window

1
nano /etc/modprobe.d/pve-blacklist.conf
2
# 添加：
3
blacklist i915
4
blacklist nouveau
5
blacklist nvidia
6
blacklist amdgpu
7
blacklist radeon
8
blacklist snd_hda_intel
9
blacklist snd_hda_codec_hdmi
10
blacklist snd_hda_codec
11
blacklist snd_hda_core

五、绑定设备到 VFIO#

查看核显和声卡的 PCI ID：

Terminal window

1
lspci -D -nn | grep VGA
2
lspci -D -nn | grep Audio
3
# Intel 核显通常为 0000:00:02.0，声卡为 0000:00:1f.3

Terminal window

1
nano /etc/modprobe.d/vfio.conf
2
# 填入提取到的 ID，例如：
3
options vfio-pci ids=8086:3e96,8086:a348

六、重载配置并重启#

Terminal window

1
update-grub
2
update-initramfs -u -k all
3
proxmox-boot-tool refresh
4
reboot
5

6
# 验证 IOMMU 已启用
7
dmesg | grep -e DMAR -e IOMMU -e AMD-Vi

七、虚拟机配置#

机型：i440fx（不能选 q35）
固件：OVMF UEFI
CPU 类型：host

编辑虚拟机配置文件（以 ID 100 为例）：

Terminal window

1
nano /etc/pve/qemu-server/100.conf
2

3
# 添加以下内容（Intel 核显）
4
args: -set device.hostpci0.addr=02.0 -set device.hostpci0.x-igd-gms=1 -set device.hostpci0.x-igd-opregion=on
5
hostpci0: 0000:00:02.0,legacy-igd=1,romfile=vbios_intel_uefi.rom
6
# hostpci1: 0000:00:1f.3  # 可选：同时直通声卡

八、允许不安全中断（部分平台需要）#

Terminal window

1
nano /etc/modprobe.d/iommu_unsafe_interrupts.conf
2
# 添加：
3
options vfio_iommu_type1 allow_unsafe_interrupts=1

Caution

此选项可能使系统不稳定，仅在直通无法正常工作时尝试。

PVE Intel 核显 GVT-g 虚拟化教程

Sun, 15 Feb 2026 00:00:00 GMT

GVT-g（Intel Graphics Virtualization Technology - g）是 Intel 提供的轻量级 GPU 虚拟化技术，允许多个虚拟机共享宿主机的集成显卡（iGPU），同时为每个虚拟机提供接近原生的图形性能。

与传统 PCIe 直通不同，GVT-g 无需独占整个 GPU，宿主机仍可保留显示输出。

支持范围： Intel Broadwell（5代）到 Comet Lake（10代），不支持 Ice Lake（10代移动处理器）。

需要独占直通？参见 PVE Intel 核显独占直通教程

Note

Intel 11 代及以上请使用 SR-IOV 方案，参见 PVE 9.0 安装与初始配置指南。

一、确认显卡支持#

Terminal window

1
lspci -vs 00:02.0
2

3
# 查看支持的虚拟显卡类型
4
ls /sys/bus/pci/devices/0000:00:02.0/mdev_supported_types/

各类型显存说明：

类型	显存范围	最大分辨率
`i915-GVTg_V5_1`	512MB ~ 2048MB	1920x1200
`i915-GVTg_V5_2`	256MB ~ 1024MB	1920x1200
`i915-GVTg_V5_4`	128MB ~ 512MB	1920x1200
`i915-GVTg_V5_8`	64MB ~ 384MB	1024x768

二、启用 GVT-g#

1. 修改 grub#

Terminal window

1
nano /etc/default/grub
2
# 修改为：
3
GRUB_CMDLINE_LINUX_DEFAULT="quiet intel_iommu=on iommu=pt i915.enable_gvt=1"

2. 启用必要内核模块#

Terminal window

1
nano /etc/modules
2
# 添加以下内容：
3
vfio
4
vfio_iommu_type1
5
vfio_pci
6
vfio_virqfd
7
kvmgt

3. 重载配置并重启#

Terminal window

1
update-grub
2
update-initramfs -u -k all
3
proxmox-boot-tool refresh
4
reboot

4. 验证 IOMMU 已启用#

Terminal window

1
dmesg | grep -e DMAR -e IOMMU -e AMD-Vi

三、创建虚拟机#

机型选择：q35
固件：UEFI
显卡：直接在硬件页面添加 GVT-g 设备

四、监控核显使用情况#

Terminal window

1
apt install intel-gpu-tools
2
intel_gpu_top

五、Ubuntu 显卡性能测试#

Terminal window

1
# glmark2 基准测试
2
sudo apt install glmark2
3
glmark2
4

5
# glxgears 快速测试
6
sudo apt install mesa-utils
7
glxgears

六、安装硬件加速相关软件包#

用于 OpenCL、硬件编解码、媒体 SDK 等：

Terminal window

1
sudo apt install -y \
2
  intel-opencl-icd intel-level-zero-gpu level-zero \
3
  intel-media-va-driver-non-free libmfx1 libmfxgen1 libvpl2 \
4
  libigdgmm12 vainfo hwinfo clinfo

七、Linux系统安装Nvidia驱动#

Terminal window展开收起

1
# 安装依赖和headers
2
apt install build-essential dkms mdevctl linux-headers-$(uname -r)
3

4
# 屏蔽开源驱动
5
echo "blacklist nouveau" >> /etc/modprobe.d/pve-blacklist.conf
6

7
# 重启
8
reboot
9

10
#安装驱动
11
chmod 755 NVIDIA-Linux-x86_64-580.126.16.run
12
./NVIDIA-Linux-x86_64-580.126.16.run
13

14
# 每秒刷新一次
15
watch -n 1 nvidia-smi

展开收起

PVE 疑难解答与系统优化

Sat, 14 Feb 2026 00:00:00 GMT

一、CPU 调度模式优化#

Terminal window

1
apt install cpufrequtils
2
cpufreq-info
3

4
# 设置为按需动态调频（推荐）
5
cpupower -c all frequency-set -g ondemand
6
systemctl restart cpufrequtils

模式	说明
`performance`	固定最高频率
`powersave`	固定最低频率
`ondemand`	按需快速动态调频（推荐）
`conservative`	渐变式调频
`schedutil`	调度器回调触发调频

二、添加温度传感器显示#

Terminal window

1
curl -Lf -o /tmp/temp.sh \
2
  https://raw.githubusercontent.com/a904055262/PVE-manager-status/main/showtempcpufreq.sh
3
chmod +x /tmp/temp.sh
4
/tmp/temp.sh remod

来源：右键论坛

三、网卡配置修复（加网卡后无法进入后台）#

查看当前网络配置，找到绑定管理 IP 的网桥：

Terminal window

1
vim /etc/network/interfaces

找到类似如下配置：

1
auto vmbr2
2
iface vmbr2 inet static
3
    address 192.168.1.100/24
4
    gateway 192.168.1.1
5
    bridge-ports enp67s0   # 修改此处为目标网卡
6
    bridge-stp off
7
    bridge-fd 0

修改 bridge-ports 为目标网卡后刷新网络：

Terminal window

1
systemctl restart networking
2
ping <pve-ip> -c 4

四、安装 qemu-guest-agent#

在虚拟机内安装，使 PVE 控制台可直接显示虚拟机 IP，提升监控精度。

Linux

Terminal window

1
# Ubuntu / Debian
2
apt install -y qemu-guest-agent
3

4
# CentOS / RHEL
5
yum install -y qemu-guest-agent
6

7
systemctl enable qemu-guest-agent
8
systemctl start qemu-guest-agent
9
systemctl status qemu-guest-agent

Windows

下载 virtio-win 驱动包，安装 ISO 内的 virtio-win-gt-x64，可选安装 QEMU Guest Agent 和 SPICE Agent 提升远程体验。

安装 Intel 核显驱动：Intel 显卡驱动下载

五、黑群晖型号选择备忘#

rr 引导镜像：https://github.com/RROrg/rr/releases

创建引导盘：

Terminal window

1
qm importdisk 103 /var/lib/vz/template/iso/rr.img local

推荐型号速查：

场景	推荐型号
CPU 核心 < 24	DS3622xs+、RS1619xs+
CPU 核心 > 24	FS6400、HD6500
11-14 代 Intel iGPU	SA6400
4-10 代 Intel iGPU（NVMe < 2）	DS1019+、DS918+
独显使用	SA6400、DS1819+
不使用硬解 + HBA 卡	DS3622xs+
免费 8 路摄像头	DVA3221、DVA3219、DVA1622

Tip

不知如何选型可直接使用热门型号：DS3622xs+、DS1019+、DS918+、SA6400

六、直通PCIE设备报错#

直通了PCIE设备，无法启动报错：TASK ERROR: cannot prepare PCI pass-through, IOMMU not present

1、BIOS设置#

在BIOS里面必须开启Intel Virtualization Technology (VT-x)、开启虚拟化等选项

必须开启Intel VT for Directed I/O (VT-d)等

2、内核启动参数#

Proxmox 需要通过内核参数来初始化 IOMMU。具体操作取决于你的系统是使用 GRUB 还是 systemd-boot 引导。

确定引导方式#

在终端运行：

Terminal window

1
[ -d /sys/firmware/efi ] && echo "EFI" || echo "BIOS/Legacy"

如果是 BIOS/Legacy，必然使用 GRUB。
如果是 EFI，检查是否存在 /etc/kernel/cmdline。如果有，则是 systemd-boot；否则通常仍为 GRUB。

服务器初始化完整配置流程

Fri, 13 Feb 2026 00:00:00 GMT

本文记录生产环境服务器的完整初始化配置流程，适用于新机器的快速上线。

1. 基础配置#

Terminal window

1
hostnamectl set-hostname your-hostname
2
vim /etc/hosts

2. 换源#

根据发行版替换为国内镜像源（阿里云 / 腾讯云 / 清华 TUNA）。

3. 时区配置#

Terminal window

1
timedatectl set-timezone Asia/Shanghai
2
timedatectl status

4. 安装 K8s 集群（KubeSphere 离线）#

Note

K8s 集群使用 Harbor 作为私有镜像仓库，安装参见：Harbor 私有镜像仓库安装指南

Terminal window展开收起

1
apt install -y socat conntrack
2

3
mkdir -p /etc/docker
4
cat > /etc/docker/daemon.json <<'EOF'
5
{
6
  "log-opts": { "max-size": "5m", "max-file": "3" },
7
  "exec-opts": ["native.cgroupdriver=systemd"],
8
  "data-root": "/opt/docker"
9
}
10
EOF
11

12
./kk init registry -f config.yaml -a kubesphere-4.1.tar.gz
13
sh create_project_harbor.sh
14
./kk artifact image push -f config.yaml -a kubesphere-4.1.tar.gz
15
./kk create cluster -f config.yaml -a kubesphere-4.1.tar.gz --with-local-storage
16

17
helm upgrade --install -n kubesphere-system --create-namespace ks-core ks-core-1.1.3.tgz \
18
  --set global.imageRegistry=harbor.local/ks \
19
  --set extension.imageRegistry=harbor.local/ks \
20
  --debug --wait

展开收起

5. 安装 MinIO#

Terminal window

1
wget https://dl.min.io/server/minio/release/linux-amd64/archive/minio.RELEASE.2025-04-22T22-12-26Z
2
mkdir -p /opt/minio
3
mv minio.RELEASE.2025-04-22T22-12-26Z /opt/minio/minio
4
chmod +x /opt/minio/minio
5
systemctl daemon-reload
6
systemctl enable --now minio
7
systemctl status minio

详细安装步骤参见：MinIO 安装指南

6. 搭建 Redis 集群（3 主 3 从）#

Note

单机 Redis 编译安装参见：CentOS 编译安装 Redis 6.2

Terminal window

1
wget https://download.redis.io/releases/redis-7.4.6.tar.gz
2
tar -zxvf redis-7.4.6.tar.gz
3
apt install gcc make -y
4
cd redis-7.4.6 && make && sudo make install
5

6
mkdir -p /opt/redis/cluster/{7001,7002}
7

8
# 启动所有实例后建集群
9
redis-cli --cluster create \
10
  node1:7001 node2:7001 node3:7001 \
11
  node1:7002 node2:7002 node3:7002 \
12
  --cluster-replicas 1 -a your-password
13

14
redis-cli -c -h node1 -p 7001 -a your-password cluster nodes

7. 安装 MySQL 8.1（Ubuntu）#

Note

更详细的 MySQL 8.1 安装配置（含外部访问、数据目录迁移）参见：Ubuntu MySQL 8.1 安装指南

Terminal window展开收起

1
wget https://downloads.mysql.com/archives/get/p/23/file/mysql-server_8.1.0-1ubuntu22.04_amd64.deb-bundle.tar
2
tar -xf mysql-server_8.1.0-1ubuntu22.04_amd64.deb-bundle.tar
3

4
apt install ./mysql-common_8.1.0-*.deb \
5
  ./mysql-community-client-plugins_8.1.0-*.deb \
6
  ./libmysqlclient22_8.1.0-*.deb \
7
  ./mysql-community-client-core_8.1.0-*.deb \
8
  ./mysql-community-client_8.1.0-*.deb \
9
  ./mysql-community-server-core_8.1.0-*.deb \
10
  ./mysql-community-server_8.1.0-*.deb
11

12
# 修改数据目录
13
vim /etc/mysql/mysql.conf.d/mysqld.cnf
14
# datadir = /opt/mysql/data
15

16
vim /etc/apparmor.d/usr.sbin.mysqld
17
# 添加：/opt/mysql/ r,  /opt/mysql/** rwk,
18

19
systemctl reload apparmor
20
mkdir -p /opt/mysql && chown -R mysql:mysql /opt/mysql

展开收起

Warning

--initialize-insecure 会创建无密码的 root 账户，初始化完成后必须立即设置 root 密码。

Terminal window

1
sudo -u mysql mysqld --initialize-insecure --user=mysql --datadir=/opt/mysql/data
2
systemctl start mysql && systemctl enable mysql

JumpServer 开源堡垒机安装指南

Thu, 12 Feb 2026 00:00:00 GMT

JumpServer 是由开源中国团队使用 Python 开发的开源堡垒机，遵循 Apache 2.0 协议。适合企业级运维安全审计，支持服务器、网络设备、云资源的集中管理与操作审计。

官网：jumpserver.org
文档：JumpServer 使用文档 v4

部署#

Warning

不推荐在已有业务的机器上部署，建议使用干净的专用机器。

最低硬件配置： 2 核 CPU / 8G 内存 / 60G 硬盘

参考官方文档进行安装：Linux 单机部署

常见问题#

Redis 启动失败（Memory overcommit）#

如果 Redis 容器无法启动并报以下错误：

1
WARNING Memory overcommit must be enabled!

执行以下命令修复：

Terminal window

1
echo 'vm.overcommit_memory = 1' | sudo tee -a /etc/sysctl.conf
2
sysctl -p

Windows 远程应用无法连接 RDP#

如果资产设置了 RDP 连接要求使用 SSL 连接层，需在 JumpServer 中创建自定义平台模板：

进入 资产管理 → 平台列表，创建新平台
名称：Windows-SSL，基础：Windows，编码：UTF-8
RDP security：TLS
提交后，将对应资产的系统平台修改为 Windows-SSL

详见：远程应用 - JumpServer 文档

数据无价：ZFS 存储池高可靠迁移与重建实战

Thu, 12 Feb 2026 00:00:00 GMT

为什么要做这件事#

一台 Proxmox VE 上有一个名为 ssd 的 ZFS 池，跑着若干虚拟机和 LXC 容器。随着机器增加，想把原来的条带（无冗余）池改成 RAIDZ1（类似 RAID5）：加一层磁盘冗余，一块盘坏了数据还在。

但 ZFS 池一旦建好，“由条带改 RAIDZ1” 是做不到在线改的——必须销毁原池重建。于是整套流程就变成：

1
原池 ssd (条带)
2
    ↓ 1. 备份配置 + 停机
3
    ↓ 2. snapshot + zfs send
4
外置盘 sdg (temp_backup)
5
    ↓ 3. 验证备份完整 ← ★ 不通过就回头
6
    ↓ 4. 销毁原池、重建为 RAIDZ1  ← ★ 不可逆分水岭
7
新池 ssd (RAIDZ1)
8
    ↓ 5. 反向 zfs send 恢复
9
    ↓ 6. 恢复 PVE 配置、启动 VM
10
    ↓ 7. 清理临时池
11
完成

核心思想：借一块外置盘 sdg 做中转站。原池 → 外置盘 → 新池。

[!DANGER] 这是不可逆操作，请先读完整篇再动手
本流程涉及 zpool export + zpool create 两个真正销毁原池的命令。一旦执行，原池 label 被覆盖，没有撤销键。中间任何一步出错，数据恢复只能靠外置备份盘。强烈建议做这套操作前额外准备一份独立备份（比如 PBS 或 rsync 到另一台 NAS），而不是只信任这里的 sdg 中转盘。

1. 前置条件与风险认知#

1.1 硬件前提#

外置备份盘 sdg 容量 ≥ 原池已用量 × 1.2 先查原池实际占用：
Terminal window
```
1
zpool list ssd
2
# NAME   SIZE   ALLOC   FREE    ...
3
#                 ↑ 这一列就是已用量
```
如果 ALLOC 是 800G，备份盘至少需要 1T（留 20% 余量，避免 ZFS 在 95% 以上性能骤降）。
原池所有 VM / LXC 镜像要能一起装下：用同一块备份盘，不要分散到多个盘。

1.2 PVE 架构前提#

本文流程针对的是数据池（比如名为 ssd 的 ZFS 池，挂载在 PVE 之外存放 VM 镜像）。

不要对 PVE 系统根池 rpool 使用本流程

如果你的 PVE 本身就是以 root-on-ZFS 的方式安装（PVE 安装时选了 ZFS 选项），那么 rpool 是系统根池。本文流程不适用于 rpool——重建 rpool 涉及 bootloader、initramfs、UEFI 条目等复杂操作，走本文步骤会让系统无法启动。

先确认一下：

Terminal window

1
zpool list
2
# 看是否有 rpool 以及它是不是本文要操作的池
3
mount | grep 'on / '
4
# 看根文件系统是否来自 ZFS

本文针对的是非根的数据池，比如 ssd 这种专门放 VM 镜像的池。

1.3 关键事实（建池后不可改）#

ashift 值一旦建池就锁死，以后不能改。选错了就是永久性的性能问题（见第 4.2 节原理）。
zpool create -f 一执行，原盘上的 ZFS label 立即被覆盖，原池再也 import 不回来。
PVE 的 VM 配置文件 /etc/pve/qemu-server/*.conf 不在 ZFS 池上（它们在 pmxcfs 的 SQLite 里），所以销毁 ssd 池不会直接丢配置。但 VM 磁盘镜像（ZVOL）在 ssd 池里，没备份就丢了。

2. 备份 PVE 配置文件（必做的第一步）#

这一步顺序非常关键——放在整个流程最前面，而不是恢复阶段。原因：虚拟机的 CPU / 内存 / 磁盘映射 / 网卡配置都在 *.conf 里，丢了就没法启动 VM（就算磁盘恢复了也不知道怎么拼回去）。

Terminal window

1
mkdir -p /root/pve-config-backup
2
cp -a /etc/pve/qemu-server/*.conf /root/pve-config-backup/
3
cp -a /etc/pve/lxc/*.conf /root/pve-config-backup/
4

5
# 确认备份有内容
6
ls -lh /root/pve-config-backup/

Tip

如果你不想只放在本机 /root/（万一根盘也出问题就一起丢了），可以顺手打包发到另一台机器：

Terminal window

1
tar czf pve-config-backup-$(date +%F).tar.gz /root/pve-config-backup/
2
scp pve-config-backup-$(date +%F).tar.gz user@backup-host:/path/

3. 停止所有虚拟机和容器#

为什么必须停机：zfs snapshot 虽然在文件系统层是原子的，但 VM 内存里还没落盘的数据没法被 snapshot 到。从 VM 视角看，这相当于”突然断电”——重启后可能出现文件系统不一致，严重时 VM 无法启动。

正确做法是先让 VM 正常关机（shutdown），内存刷盘后再做 snapshot。

Terminal window展开收起

1
# 批量正常关机所有 VM
2
for vmid in $(qm list | awk 'NR>1 {print $1}'); do
3
  echo "Shutting down VM $vmid ..."
4
  qm shutdown $vmid
5
done
6

7
# 批量正常关机所有 LXC
8
for ctid in $(pct list | awk 'NR>1 {print $1}'); do
9
  echo "Shutting down CT $ctid ..."
10
  pct shutdown $ctid
11
done
12

13
# 等全部停下来
14
sleep 30
15
qm list
16
pct list

展开收起

qm list / pct list 里 STATUS 都应当为 stopped。如果有卡住的，用 qm stop <id> / pct stop <id> 强制停（相当于拔电，风险自担）。

4. 确认外置备份盘并创建临时备份池#

4.1 查外置盘的 by-id 路径#

为什么用 by-id 而不是 sdg：Linux 的设备名（sdb、sdg 等）在重启后可能变动（跟 BIOS 扫盘顺序、热插拔顺序有关）。用 by-id 路径的是磁盘序列号，永久稳定。

Terminal window

1
ls -l /dev/disk/by-id/ | grep sdg
2
# 找到类似：
3
# ata-WDC_WD10EZEX-08WN4A0_WD-WCC6Y5XXXXXX -> ../../sdg

记下完整的 ID 串（本例 ata-WDC_WD10EZEX-08WN4A0_WD-WCC6Y5XXXXXX）。

4.2 `ashift=12` 是什么，为什么必须加#

ashift 告诉 ZFS 磁盘的物理扇区大小是 2^ashift 字节：

ashift	块大小	适用场景
9	512 B	老式 512n 硬盘（基本已绝迹）
12	4 KB	现代机械盘和多数 SSD（推荐默认）
13	8 KB	部分高端 NVMe、企业级 SSD
14	16 KB	少数超高性能 NVMe

现代硬盘几乎全是 4K 物理扇区（Advanced Format / 512e / 4Kn），如果用 ashift=9（默认），ZFS 以为扇区是 512B，每次写其实要触发磁盘内部的”读-修改-写”一个 4K 扇区，性能直接砍到一半以下。

ashift 一旦建池就锁死，不能改。所以宁可大不可小：现代硬盘建议至少 ashift=12；NVMe SSD 条件允许给 ashift=13。

Terminal window

1
# 建临时备份池（单盘，不做冗余，只用来中转）
2
zpool create -o ashift=12 temp_backup \
3
  /dev/disk/by-id/ata-WDC_WD10EZEX-08WN4A0_WD-WCC6Y5XXXXXX
4

5
# 确认
6
zpool status
7
zfs list

5. 打 snapshot 并 zfs send 到备份池#

5.1 为什么必须先 snapshot#

zfs send 只能发送 snapshot，不能直接发送活跃的数据集或 ZVOL。原因：活跃数据集一直在变，没有”时间点”概念，接收端不知道该停在哪里。

Snapshot 是某一时刻整个数据集的只读时间切片，ZFS send 基于它才能生成确定性的数据流。

Terminal window

1
# 递归对整个 ssd 池打一个 snapshot，名字统一好识别
2
zfs snapshot -r ssd@migrate-2026-04-22
3

4
# 查看确认所有 dataset/ZVOL 都有这个 snapshot
5
zfs list -t snapshot -r ssd

-r 表示递归——ssd 池下所有 dataset / ZVOL 都打上同名 snapshot（ssd@migrate-2026-04-22、ssd/vm-100-disk-0@migrate-2026-04-22 等）。

5.2 传输到备份池#

Terminal window展开收起

1
# 先在备份池里建个容纳目录
2
zfs create temp_backup/ssd_backup
3

4
# 逐个 ZVOL 发送（基于刚才打的 snapshot）
5
zfs send -w -L ssd/vm-100-disk-0@migrate-2026-04-22 | \
6
  zfs receive -F temp_backup/ssd_backup/vm-100-disk-0
7

8
zfs send -w -L ssd/vm-101-disk-0@migrate-2026-04-22 | \
9
  zfs receive -F temp_backup/ssd_backup/vm-101-disk-0
10

11
zfs send -w -L ssd/vm-101-disk-1@migrate-2026-04-22 | \
12
  zfs receive -F temp_backup/ssd_backup/vm-101-disk-1
13

14
zfs send -w -L ssd/vm-102-disk-0@migrate-2026-04-22 | \
15
  zfs receive -F temp_backup/ssd_backup/vm-102-disk-0
16

17
zfs send -w -L ssd/vm-102-disk-1@migrate-2026-04-22 | \
18
  zfs receive -F temp_backup/ssd_backup/vm-102-disk-1

展开收起

zfs send 参数说明

-w (--raw)：按磁盘原样发送。如果数据集启用了压缩 / 加密 / 去重，raw 模式不解压不解密，直接发送压缩/加密后的块。传输最快、占用最小
-L (--large-block)：允许发送 >128K 的 record size。接收端池必须启用 large_blocks feature（OpenZFS 默认已开）
-R (--replicate)：递归复制整棵树（含子 dataset、snapshot、properties），常用于整池迁移
-i (--incremental)：只发增量（见 5.3 节）

zfs receive -F 的 -F 是”强制覆盖接收端同名数据集”。接收端名字如果已存在但不是你想要的，-F 会把它抹掉——确认无误再用。

5.3 进阶：用增量 send 降低停机窗口#

上面的流程需要 VM 全程停机 → 全量传输完成才能启动。大数据量时可能停机好几个小时。

增量 send 的思路：VM 继续运行时先做一次全量，停机后只发增量。

Terminal window

1
# 第 1 步：VM 运行中（不停机），先做一次全量快照 + 全量 send
2
zfs snapshot -r ssd@full-before-stop
3
zfs send -R -w -L ssd@full-before-stop | zfs receive -F temp_backup/ssd_backup
4

5
# 第 2 步：这时才停机（见第 3 节）
6

7
# 第 3 步：停机后再打一次快照
8
zfs snapshot -r ssd@final-stopped
9

10
# 第 4 步：只发从 full-before-stop 到 final-stopped 的增量
11
zfs send -R -w -L -i @full-before-stop ssd@final-stopped | \
12
  zfs receive -F temp_backup/ssd_backup

这样 VM 实际停机时间 = 增量传输时间（通常几分钟），远少于全量传输时间（几十分钟到几小时）。

6. 验证备份完整性（不通过就回头！）#

这一节通不过，千万不要执行下一节的销毁操作

备份有没有真的完整，是整个流程的生死线。任何一项校验不通过都应该先查问题、必要时重做备份，再进入第 7 节。

6.1 空间对比#

Terminal window

1
# 源池和备份池并排看 used
2
zfs list -r -o name,used,written ssd
3
zfs list -r -o name,used,written temp_backup

对应 dataset 的 used 应当接近（raw send 下可以精确匹配；非 raw 由于压缩差异可能略有出入，但数量级必须一致）。

6.2 snapshot 完整性#

Terminal window

1
# 备份池里应该能看到全部迁移用的 snapshot
2
zfs list -t snapshot -r temp_backup | grep migrate-2026-04-22

6.3 端到端启动测试（最可靠）#

最硬核的校验是：在备份池上启动一台 VM，确认系统能正常跑。

Terminal window

1
# 举例：把 VM 100 临时指向备份池的 ZVOL
2
# 用 /root/pve-config-backup/100.conf 里的配置修改磁盘指向 temp_backup/ssd_backup/vm-100-disk-0
3
# 启动测试
4
qm start 100
5
# 进 VM 里确认系统、应用正常
6
# 确认无误后关机再改回来
7
qm stop 100

如果不想动配置，至少用 zfs clone 克隆一份出来挂载读取：

Terminal window

1
zfs clone temp_backup/ssd_backup/vm-100-disk-0@migrate-2026-04-22 \
2
  temp_backup/ssd_backup/vm-100-disk-0-clone
3

4
# 映射为块设备（如果是 ZVOL）
5
ls -l /dev/zvol/temp_backup/ssd_backup/vm-100-disk-0-clone
6

7
# 或用 kpartx / parted 进一步挂载 partition

7. 销毁原池并重建为 RAIDZ1（不可逆分水岭）#

[!DANGER] 执行下面两条命令后，原池的数据就回不来了
这是整个流程的分水岭。zpool export ssd 还能 zpool import ssd 回来；但 zpool create -f ssd ... 一旦执行，原盘的 ZFS label 被新池覆盖，再也 import 不回来。
执行前最后确认：

VM / LXC 都已 stopped

第 6 节所有校验都通过

PVE 配置文件已在 /root/pve-config-backup/

备份盘 sdg 的 ID 和即将要格式化的 sdb-sde 的 ID 分清楚了

7.1 先人工核对磁盘 ID#

Terminal window

1
# 把所有要参与重建的盘的 by-id 路径打出来
2
ls -l /dev/disk/by-id/ | grep -E 'sd[b-e]$'

把输出复制保存，核对每个 ID 都是原池里的，sdg 的 ID 绝对不在其中。

临时备份池 temp_backup 务必先导出

重建 ssd 池之前，把 temp_backup 先 export 掉（但不销毁），避免手误把 sdg 写进下一步命令：

Terminal window

1
zpool export temp_backup

7.2 导出原池（可回滚的最后一步）#

Terminal window

1
zpool export ssd

如果这一步之后反悔，还能 zpool import ssd 恢复。下一步 zpool create -f 才是真正的不可逆点。

7.3 重建为 RAIDZ1（先不加 -f 试运行）#

Terminal window

1
# 先不加 -f 试探，让 ZFS 自己报盘上有残留 label
2
zpool create -o ashift=12 ssd raidz1 \
3
  /dev/disk/by-id/你的-sdb-设备ID \
4
  /dev/disk/by-id/你的-sdc-设备ID \
5
  /dev/disk/by-id/你的-sdd-设备ID \
6
  /dev/disk/by-id/你的-sde-设备ID

期望输出：会报类似 invalid vdev specification: use '-f' to override 的错，提示磁盘上有旧池 label。这个报错是保护性的——让你确认盘没选错。

确认 4 块盘 ID 没错、没夹带 sdg 之后，加 -f 正式执行：

Terminal window

1
zpool create -f -o ashift=12 ssd raidz1 \
2
  /dev/disk/by-id/你的-sdb-设备ID \
3
  /dev/disk/by-id/你的-sdc-设备ID \
4
  /dev/disk/by-id/你的-sdd-设备ID \
5
  /dev/disk/by-id/你的-sde-设备ID
6

7
zpool status ssd

zpool status 应该显示 state: ONLINE 且 vdev 是 raidz1-0。

8. 从备份池恢复数据到新池#

先把备份池 import 回来：

Terminal window

1
zpool import temp_backup

然后反向 send：

Terminal window

1
# 先对备份池的数据也打一个恢复用的 snapshot（保持一致性）
2
zfs snapshot -r temp_backup/ssd_backup@restore-2026-04-22
3

4
# 循环恢复所有 ZVOL
5
for disk in vm-100-disk-0 vm-101-disk-0 vm-101-disk-1 vm-102-disk-0 vm-102-disk-1; do
6
  echo "Restoring $disk ..."
7
  zfs send -w -L temp_backup/ssd_backup/$disk@restore-2026-04-22 | \
8
    zfs receive -F ssd/$disk
9
done
10

11
# 确认
12
zfs list -r ssd

9. 恢复 PVE 配置并启动 VM#

Terminal window

1
# 把之前备份的 .conf 文件放回去
2
cp -a /root/pve-config-backup/*.conf /etc/pve/qemu-server/ 2>/dev/null
3
cp -a /root/pve-config-backup/*.conf /etc/pve/lxc/      2>/dev/null
4

5
# 启动 VM/CT 做最终验证
6
qm start 100
7
qm start 101
8
qm start 102
9
pct start <ctid>

逐台进 VM 里确认：系统能进入、服务能起、数据文件存在。

10. 清理临时备份池#

建议：新池稳定运行 48 小时以上再清理

新池刚建好头几天仍有微概率因硬件 / 配置问题暴露。强烈建议保留备份池至少 48 小时并观察 zpool status、VM 稳定性后再清理——有问题还能从 temp_backup 再恢复一次。

确认一切 OK 后：

Terminal window

1
zpool export temp_backup
2
# 物理拔出 sdg，或者重新分区用于其他用途

11. 回滚与容灾思考#

本方案是单副本中转——数据只在 sdg 这一个备份盘上。现实中有若干失败场景：

失败场景	影响	能否救回
sdg 临时掉线，但数据盘 label 还没被覆盖	重插 sdg 再 `zpool import` 即可	✅
`zpool export ssd` 之后后悔	`zpool import ssd` 即可	✅
`zpool create -f ssd` 执行后备份完整	按第 8 节流程恢复	✅
`zpool create -f ssd` 执行后发现备份有损坏	原池 label 已被覆盖	❌ 数据全丢
sdg 本身故障 + 还没 create 新池	`zpool import ssd` 回退	✅
sdg 故障 + 已 create 新池	两边都没了	❌ 数据全丢

结论：sdg 这一份备份不够。负担得起的话：

方案 A：Proxmox Backup Server (PBS) 做 VM 级别的定时备份，这是 PVE 官方方案
方案 B：把 zfs send 的数据流同时发到两块独立备份盘
方案 C：关键数据（如数据库）额外跑一份应用层备份（mysqldump / pg_dump 到另一台机器）

12. 常见故障排查#

现象	可能原因	对策
`zfs send` 报 `must specify a snapshot`	忘了先 `zfs snapshot` 或写的是 dataset 而不是 `dataset@snap`	按 5.1 节先打 snapshot
`zpool create` 报 `invalid vdev specification`	磁盘上有旧 label/ 分区表残留	确认盘没错之后加 `-f`
VM 启动后提示文件系统不一致 / 需要 fsck	当时没正常 `shutdown` 就 snapshot 了	进 VM 恢复模式跑 fsck；下次务必先 `qm shutdown`
恢复后 VM 启动报”磁盘找不到”	配置里磁盘指向的 storage 名对不上	检查 `/etc/pve/qemu-server/<id>.conf` 里 `scsi0:` 等行的 storage id，必要时 `qm set` 修正
`zfs send` 速度极慢	没加 `-w` / 两端都在压缩计算 / 网络/磁盘带宽瓶颈	加 `-w` raw send；大文件量时用 `pv` 观察吞吐
`zpool status` 报 `DEGRADED` 且有 `FAULTED` 盘	某块参与重建的磁盘本身故障	先 `zpool replace` 换盘；不要接着把数据 restore 上去

作者注

本文基于作者一次真实的 PVE ZFS 池从条带升级为 RAIDZ1 的实操流程整理。涉及命令经过修正（如补上强制先打 snapshot），尽量贴近 OpenZFS 2.x + PVE 8.x 的现代实践。不同 ZFS / PVE 版本参数可能微调，执行前请对照 man zfs-send 与 man zpool-create 确认。

Beszel 服务器监控工具部署指南

Wed, 11 Feb 2026 00:00:00 GMT

Beszel 是一款服务监控程序，分为 Hub（管理端） 和 Agent（监控节点） 两个组件，可监控服务器资源、Docker、Systemd、S.M.A.R.T.、GPU 等。

官网：beszel.dev

部署 Hub#

Docker Compose#

Note

Docker Compose 安装与使用参见：Docker Compose 安装配置

docker-compose.yml

1
services:
2
  beszel:
3
    image: henrygd/beszel
4
    container_name: beszel
5
    restart: unless-stopped
6
    ports:
7
      - 8090:8090
8
    volumes:
9
      - ./beszel_data:/beszel_data

二进制部署#

Terminal window展开收起

1
# 一键安装
2
curl -sL https://get.beszel.dev/hub -o /tmp/install-hub.sh && chmod +x /tmp/install-hub.sh && /tmp/install-hub.sh
3

4
# 配置 Systemd 服务
5
cat > /etc/systemd/system/beszel.service << 'EOF'
6
[Unit]
7
Description=Beszel Hub
8
After=network.target
9

10
[Service]
11
Type=simple
12
Restart=always
13
RestartSec=3
14
User=root
15
WorkingDirectory=/opt/beszel
16
ExecStart=/opt/beszel/beszel serve --http "0.0.0.0:8090"
17

18
[Install]
19
WantedBy=multi-user.target
20
EOF
21

22
systemctl daemon-reload
23
systemctl enable --now beszel

展开收起

部署 Agent#

在 Hub 页面添加客户端后，复制对应命令执行即可。

Docker Compose#

Note

挂载 docker.sock:ro 为只读模式，但仍可枚举宿主机上的容器信息。如需更高安全性，可考虑使用 Docker Socket Proxy。

docker-compose.yml

1
services:
2
  beszel-agent:
3
    image: henrygd/beszel-agent
4
    container_name: beszel-agent
5
    restart: unless-stopped
6
    network_mode: host
7
    volumes:
8
      - ./beszel_agent_data:/var/lib/beszel-agent
9
      - /var/run/docker.sock:/var/run/docker.sock:ro
10
    environment:
11
      LISTEN: 45876
12
      KEY: "<公钥>"
13
      HUB_URL: "http://<hub-ip>:8090"
14
      TOKEN: "<令牌>"

常见问题#

SMART 监控 UNKNOWN#

确保 smartctl 已安装：

Terminal window

1
apt install smartmontools
2
smartctl --scan

Docker 方式需切换 :alpine 镜像并添加设备权限：

1
beszel-agent:
2
  image: henrygd/beszel-agent:alpine
3
  devices:
4
    - /dev/sda:/dev/sda
5
    - /dev/nvme0:/dev/nvme0
6
  cap_add:
7
    - SYS_RAWIO
8
    - SYS_ADMIN

监控其他磁盘#

1
volumes:
2
  - /mnt/disk1/.beszel:/extra-filesystems/sdb1:ro

二进制方式在 systemd 服务中添加：

1
[Service]
2
Environment="EXTRA_FILESYSTEMS=sdb,sdc1"

手动部署Agent#

Terminal window展开收起

1
# 下载文件
2
curl -sL "https://github.com/henrygd/beszel/releases/latest/download/beszel-agent_$(uname -s)_$(uname -m | sed -e 's/x86_64/amd64/' -e 's/armv6l/arm/' -e 's/armv7l/arm/' -e 's/aarch64/arm64/').tar.gz" | tar -xz -O beszel-agent | tee ./beszel-agent >/dev/null && chmod +x beszel-agent
3

4
# 运行命令
5
./beszel-agent -listen "45876" -key "ssh-ed25519 xxxxx"  -t "df0-xxx-3a3b-xxx" -url "http://xx.xx.xx.xx:8090" --china-mirrors
6

7
# 服务配置
8
#/etc/systemd/system/beszel-agent.service
9

10
cat > /etc/systemd/system/beszel-agent.service << 'EOF'
11
[Unit]
12
Description=Beszel Agent Service
13
After=network.target
14

15
[Service]
16
Type=simple
17
User=root
18
ExecStart=/root/beszel-agent -listen 45876 -key "ssh-ed25519 xxxxx" -t "df0-8287837bcd8-3a3b-1b8209ab7e" -url "http://xx.xx.xx.xx:8090" --china-mirrors
19
Restart=always
20
RestartSec=10
21
WorkingDirectory=/root
22
StandardOutput=journal
23
StandardError=journal
24

25
[Install]
26
WantedBy=multi-user.target
27
EOF
28

29

30
# 重新加载 systemd 配置
31
systemctl daemon-reload
32

33
# 启用服务（开机自启）
34
systemctl enable beszel-agent
35

36
# 启动服务
37
systemctl start beszel-agent
38

39
# 查看状态
40
systemctl status beszel-agent
41

42
# 查看日志
43
journalctl -u beszel-agent -f

展开收起

Linux 软 RAID 实战指南：使用 mdadm 构建可靠存储

Tue, 10 Feb 2026 00:00:00 GMT

为什么要做这件事#

Ubuntu Server 上跑一堆 Docker 容器，数据都落在某一块数据盘上——单盘 = 单点故障，盘一坏数据全没。软 RAID 是成本最低、最通用的冗余方案：不用阵列卡、不用特殊硬件，两块空闲盘 + 半小时就能把可靠性拉高一个量级。

本文记录从零做一套 RAID 1（镜像） 的完整流程：准备磁盘 → 创建阵列 → 持久化 → 挂载到 /data 给 Docker 用 → 故障盘替换 → 邮件 + Bark 告警。

[!DANGER] RAID ≠ 备份
RAID 防的是单块磁盘硬件故障。以下场景 RAID 完全不保护：

误删、误 rm -rf

勒索病毒、应用 bug 写坏数据

文件系统损坏、同时多盘坏

电源 / 控制器 / 主板问题打穿所有盘

RAID 是高可用方案，不是备份方案。 重要数据仍然要做独立备份（rsync 到另一台机器 / PBS / 云盘都行），两者互不替代。

1. RAID 级别速览#

本文只用 RAID 1，但选型思路通用，列一张对比表方便以后扩展：

级别	最少盘数	容错	读性能	写性能	容量利用率	典型场景
RAID 0	2	❌ 无	最快	最快	100%	临时 scratch 数据，丢了无所谓
RAID 1	2	任 1 盘	快（双路读）	单盘速度	50%	系统盘、数据量不大的重要数据
RAID 5	3	任 1 盘	快	中（parity 计算）	(N-1)/N	大容量 + 成本敏感
RAID 6	4	任 2 盘	快	慢（双 parity）	(N-2)/N	大盘组（4 TB+），怕 URE
RAID 10	4	每 mirror 1 盘	最快	很快	50%	数据库、高 IO 负载

小规模 HomeLab 优先选 RAID 1

两块相同容量的盘做 RAID 1，可用性最高、操作最简单、故障场景最容易理解。RAID 5/6 容量利用率高但有”写惩罚”和 rebuild 期间再坏盘就全丢的风险，建议 4 盘以上再考虑。

2. 前置条件#

Ubuntu Server（本文基于 22.04 / 24.04 验证）
至少 2 块容量相同的空闲数据盘（容量不同也能做，但会以小盘为准，多出来的浪费）
root / sudo 权限

先看看当前磁盘：

Terminal window

1
lsblk
2
# 假设 sda 是系统盘、sdb 和 sdc 是要做 RAID 的数据盘

[!DANGER] 严重提醒：下面的操作会抹掉目标盘
后续 wipefs / parted / mdadm --create 都是不可逆破坏性操作。

执行前务必用 lsblk + sudo fdisk -l 反复确认目标盘

绝对不要把系统盘（通常是 /dev/sda 或 /dev/nvme0n1）当成目标盘

不确定时，先 mount | grep <盘名> 看盘是否被系统挂着

3. 准备磁盘#

Terminal window展开收起

1
# 再次确认目标盘
2
lsblk
3
sudo fdisk -l /dev/sdb /dev/sdc
4

5
# 擦除磁盘元数据（旧分区表、文件系统签名、RAID 残留等）
6
sudo wipefs -a /dev/sdb
7
sudo wipefs -a /dev/sdc
8

9
# 创建 GPT 分区表
10
sudo parted /dev/sdb --script mklabel gpt
11
sudo parted /dev/sdc --script mklabel gpt
12

13
# 创建占满整盘的分区（0% 100% 让 parted 自动做 4K 对齐）
14
sudo parted /dev/sdb --script mkpart primary 0% 100%
15
sudo parted /dev/sdc --script mkpart primary 0% 100%
16

17
# 设置 RAID 标志，告诉内核这些分区将用作 RAID 成员
18
sudo parted /dev/sdb --script set 1 raid on
19
sudo parted /dev/sdc --script set 1 raid on
20

21
# 确认：应该看到 sdb1 和 sdc1，大小相同
22
lsblk

展开收起

GPT 上的 “primary” 是什么

GPT 分区表没有 primary / extended 的概念（那是 MBR 老术语）。parted mkpart primary ... 里的 primary 在 GPT 上只是充当分区名字，不影响功能。用 mkpart data 或其他名字也一样。

4. 创建 RAID 1 阵列#

Terminal window

1
sudo mdadm --create --verbose /dev/md0 \
2
  --level=1 \
3
  --raid-devices=2 \
4
  /dev/sdb1 /dev/sdc1

/dev/md0：RAID 设备节点名字，多个阵列时递增（md0、md1…）
--level=1：RAID 级别（想换别的级别就改这里，对应第 1 节表格）
--raid-devices=2：参与成员数量

命令执行后，阵列立即开始首次同步——把两块盘的数据对齐（即使现在都是空盘也会全盘对齐一次）。

5. 监控同步进度#

Terminal window

1
# 实时看同步进度（5 秒刷新一次即可，太频繁反而占 CPU）
2
watch -n 5 cat /proc/mdstat
3

4
# 或单次看详细状态
5
sudo mdadm --detail /dev/md0

判定同步完成需要两个条件同时满足：

状态显示 [UU]（两块盘都是 Up）
没有 resync、recovery 这种进度行

例如完成状态的输出：

1
md0 : active raid1 sdc1[1] sdb1[0]
2
      1048512 blocks super 1.2 [2/2] [UU]
3

4
unused devices: <none>

同步期间阵列仍可使用（性能略低），但推荐等完成再挂数据。

6. 持久化配置#

mdadm 配置文件路径因发行版而异

Debian / Ubuntu：/etc/mdadm/mdadm.conf（本文用这个）
CentOS / RHEL / Rocky：/etc/mdadm.conf（没有 mdadm 子目录）
对应的 initramfs 刷新命令：Debian/Ubuntu 是 update-initramfs -u，CentOS/RHEL 是 dracut -f

先 dry-run 看要写入什么：

Terminal window

1
sudo mdadm --detail --scan
2
# 输出类似：
3
# ARRAY /dev/md0 metadata=1.2 name=server-01:0 UUID=abcd1234:5678efgh:9012ijkl:3456mnop

然后写进配置文件，根据系统是否已存在其他 mdadm RAID选一种方式：

6.1 方式 A：追加（系统上已经有其他 RAID 时选这个）#

Terminal window

1
sudo mdadm --detail --scan | sudo tee -a /etc/mdadm/mdadm.conf

tee -a 的 -a 是 append（追加），原文件里的条目保留，新阵列追加到末尾。适合”加阵列”场景。

6.2 方式 B：备份后覆盖（全新系统、只做这一个 RAID）#

Terminal window

1
# 先备份原文件
2
sudo cp /etc/mdadm/mdadm.conf /etc/mdadm/mdadm.conf.bak
3

4
# 然后覆盖写入
5
sudo mdadm --detail --scan | sudo tee /etc/mdadm/mdadm.conf

好处是文件干净、无历史残留；坏处是一旦手误漏写了某个阵列的 UUID，重启后那个阵列就识别不出来——好在有 .bak 备份可以恢复。

不要裸用 tee 覆盖

直接 ... | sudo tee /etc/mdadm/mdadm.conf（不加 -a、不备份）是最危险的写法。如果系统里已有其他 mdadm RAID，原配置会被直接抹掉，重启后那个阵列认不出来。不确定时选 6.1 的追加方式更稳。

6.3 更新 initramfs#

Terminal window

1
sudo update-initramfs -u

这一步把 RAID 配置打包进内核启动镜像。对数据盘 RAID 不是强制必需，但做了可以避免极个别”重启后 /dev/md0 变成 /dev/md127”之类的扫盘顺序问题。

7. 创建文件系统并挂载#

Terminal window

1
# 创建 ext4 文件系统
2
sudo mkfs.ext4 /dev/md0
3

4
# 创建挂载点
5
sudo mkdir -p /data
6

7
# 临时挂载一下看是否正常（重启会失效，下一步才是开机自动挂载）
8
sudo mount /dev/md0 /data
9

10
# 确认
11
df -h /data

7.1 写入 `/etc/fstab`，让重启后自动挂载#

用 UUID 挂载比用 /dev/md0 更稳（设备名有概率变成 md127 之类）：

Terminal window

1
# 获取 md0 的 UUID
2
UUID=$(sudo blkid -s UUID -o value /dev/md0)
3

4
# 追加到 fstab
5
echo "UUID=$UUID /data ext4 defaults 0 2" | sudo tee -a /etc/fstab
6

7
# 验证 fstab 语法没错（不会真的重新挂载，只是 lint）
8
sudo mount -a

强烈建议重启一次实际测试一下：

Terminal window

1
sudo reboot
2
# 重启后：
3
df -h /data          # 应该能看到
4
cat /proc/mdstat     # 应该 [UU]

fstab 最后两列的含义

第 5 列 0：dump 备份工具的扫描标志，现在都不用 dump，填 0
第 6 列 2：fsck 启动时的检查顺序——根分区填 1，其他数据分区填 2，不检查填 0

8. 故障磁盘替换#

RAID 1 的核心价值：一块盘挂了另一块继续工作，换盘后 rebuild 即可，不丢数据。

8.1 识别故障盘#

Terminal window

1
cat /proc/mdstat

正常：

1
md0 : active raid1 sdc1[1] sdb1[0]
2
      ... [2/2] [UU]

有盘故障：

1
md0 : active raid1 sdc1[1](F) sdb1[0]
2
      ... [2/1] [U_]

[U_] 的下划线就是挂掉的那一块，(F) 标志位也印证了状态是 failed。

8.2 把故障盘正式移除#

Terminal window

1
# 先标记为 fail（状态已经 fail 的也要走这一步）
2
sudo mdadm --manage /dev/md0 --fail /dev/sdc1
3

4
# 再从阵列里移除
5
sudo mdadm --manage /dev/md0 --remove /dev/sdc1

8.3 物理换盘 + 对新盘分区#

Terminal window

1
# 新盘插上后，假设还是识别为 /dev/sdc
2
sudo wipefs -a /dev/sdc
3
sudo parted /dev/sdc --script mklabel gpt
4
sudo parted /dev/sdc --script mkpart primary 0% 100%
5
sudo parted /dev/sdc --script set 1 raid on

8.4 加回阵列，自动开始 rebuild#

Terminal window

1
sudo mdadm --manage /dev/md0 --add /dev/sdc1
2

3
# 观察 rebuild 进度
4
watch -n 5 cat /proc/mdstat

/proc/mdstat 会多出一行 recovery = X% (done)。rebuild 期间阵列仍可用（降级模式），性能略低；等 [UU] 且无 recovery 行即恢复完成。

8.5 上线前的故障演练（推荐新手做一次）#

RAID 坏盘的那一刻通常来得毫无预警。上线前主动模拟一次，心里有数：

Terminal window

1
# 手动把 sdc1 标记为故障
2
sudo mdadm --manage /dev/md0 --fail /dev/sdc1
3
cat /proc/mdstat    # 此时应进入降级状态 [U_]
4

5
# 模拟完成后，把它重新加回来观察 rebuild
6
sudo mdadm --manage /dev/md0 --remove /dev/sdc1
7
sudo mdadm --manage /dev/md0 --add /dev/sdc1
8
watch -n 5 cat /proc/mdstat

走完一遍，真出故障时直接按流程复刻，不会临时抓瞎。

9. 故障监控与告警#

RAID 坏了一块盘后如果没人注意，下一步很可能又坏一块——两块都坏就全丢。必须配监控告警。

Ubuntu 装 mdadm 时会自动装 mdmonitor 服务（systemd 单元通常名为 mdmonitor 或 mdadm，视版本而定），它周期性扫描所有阵列，一旦状态变化就按配置好的方式通知。

9.1 邮件通知（传统方式）#

Terminal window

1
# 在 /etc/mdadm/mdadm.conf 里加一行邮件地址
2
echo "MAILADDR your-email@example.com" | sudo tee -a /etc/mdadm/mdadm.conf
3

4
# 重启 mdmonitor 服务
5
sudo systemctl restart mdmonitor
6

7
# 触发一条测试通知
8
sudo mdadm --monitor --scan --test --oneshot

前提是这台机器本身能发邮件（装了 postfix / msmtp / ssmtp 等本地邮件转发工具）。对 HomeLab 用户这往往比较麻烦——下面的 HTTP Webhook 方式更现代。

9.2 HTTP Webhook 通知（推荐，以 Bark 为例）#

Bark 是 iOS 上一个免费的 Push 应用，服务端只需要发 HTTP POST。配置思路：

mdmonitor 发现故障 → 调用 PROGRAM 指定的脚本
脚本里用 curl POST 到 Bark API → 手机收到推送

第 1 步：在 iPhone 上安装 Bark App，复制它给你的 API URL（形如 https://api.day.app/your_device_key）。

第 2 步：写通知脚本 /usr/local/bin/mdadm-notify.sh：

1
sudo tee /usr/local/bin/mdadm-notify.sh > /dev/null <<'EOF'
2
#!/bin/bash
3
# mdmonitor 触发时以三个参数调用本脚本：
4
#   $1 = 事件类型 (Fail / DegradedArray / RebuildFinished / TestMessage 等)
5
#   $2 = 涉及的阵列 (如 /dev/md0)
6
#   $3 = 涉及的成员盘 (Fail 等事件会带，其他可能为空)
7

8
EVENT="$1"
9
ARRAY="$2"
10
DEV="$3"
11

12
BARK_KEY="your_device_key_here"        # ← 改成你自己的 key
13
HOSTNAME="$(hostname)"
14

15
curl -s -X POST "https://api.day.app/$BARK_KEY" \
16
  --data-urlencode "title=[$HOSTNAME] RAID $EVENT" \
17
  --data-urlencode "body=Array: $ARRAY  Device: $DEV" \
18
  --data-urlencode "group=mdadm" \
19
  > /dev/null
20
EOF
21

22
sudo chmod +x /usr/local/bin/mdadm-notify.sh

展开收起

第 3 步：在 /etc/mdadm/mdadm.conf 里加一行，让 mdmonitor 触发这个脚本：

1
PROGRAM /usr/local/bin/mdadm-notify.sh

第 4 步：重启 mdmonitor 并测试：

Terminal window

1
sudo systemctl restart mdmonitor
2

3
# 触发一条测试事件，会同时调用 PROGRAM 脚本和 MAILADDR 邮件
4
sudo mdadm --monitor --scan --test --oneshot

iPhone 应该立即收到一条 Bark 推送，标题类似 [server-01] RAID TestMessage，说明链路已通。

换成其他服务同理：把 curl 里的 Bark URL 换成企业微信机器人、钉钉机器人、Discord / Telegram Bot、Gotify / ntfy 等任一个接收 HTTP POST 的服务即可。

邮件 + HTTP 建议同时配

MAILADDR 和 PROGRAM 可以并存，mdmonitor 会两个都触发。关键数据盘推荐都配上——万一 Bark 服务抖动，还有邮件作兜底通道。

10. 销毁 / 停用 RAID#

以后如果不想用 RAID 了（换方案、要拆盘、清理旧环境），正确的流程：

Terminal window展开收起

1
# 1. 卸载文件系统
2
sudo umount /data
3

4
# 2. 从 /etc/fstab 里删除对应行（避免下次开机挂载失败阻塞启动）
5
sudo sed -i '/\/data/d' /etc/fstab
6

7
# 3. 停止阵列
8
sudo mdadm --stop /dev/md0
9

10
# 4. 擦除每块成员盘上的 mdadm 超级块（关键！）
11
sudo mdadm --zero-superblock /dev/sdb1
12
sudo mdadm --zero-superblock /dev/sdc1
13

14
# 5. 从 /etc/mdadm/mdadm.conf 里删掉对应的 ARRAY 行（手动编辑）
15
sudo nano /etc/mdadm/mdadm.conf
16

17
# 6. 更新 initramfs
18
sudo update-initramfs -u
19

20
# 7. (可选) 完全擦磁盘，准备做新用途
21
sudo wipefs -a /dev/sdb
22
sudo wipefs -a /dev/sdc

展开收起

第 4 步 —zero-superblock 最容易漏

不擦掉超级块的话，这两块盘上的 RAID 元数据还在，下次你想用它们建别的 RAID、或当普通盘用时，系统会报警或”默默把它们认成旧阵列的一部分”。务必执行。

11. 常见故障排查#

现象	可能原因	对策
`mdadm --create` 报 `not large enough`	两块盘实际可用空间不一致（哪怕标称一样）	用 `--size=<具体值>` 显式指定较小值，单位 K
重启后 `/data` 没自动挂载	fstab 里用了 `/dev/md0` 但设备名变了	改用 UUID（见 7.1 节）
重启后 `/dev/md0` 变成 `/dev/md127`	mdadm.conf 里没有该阵列的 ARRAY 行，或 initramfs 没更新	重写 mdadm.conf + `sudo update-initramfs -u`
Rebuild 速度很慢	内核默认速度上限偏低	`echo 200000 \| sudo tee /proc/sys/dev/raid/speed_limit_max`（单位 KB/s）
mdmonitor 不发通知	服务没起 / mdadm.conf 格式错 / MAILADDR 写错	`systemctl status mdmonitor` + `journalctl -u mdmonitor` 看日志
Bark 脚本不触发	PROGRAM 路径错 / 脚本没可执行权限	确认脚本已 `chmod +x`，首行是 `#!/bin/bash`
换完盘 `--add` 后 rebuild 立刻失败	新盘也有问题 / 新分区比老分区小	SMART 检查新盘；确认新分区 ≥ 老分区

作者注

本文基于 Ubuntu Server 22.04 / 24.04 + 数据盘 RAID 的场景整理。对 CentOS / RHEL 系读者，主要差异是 /etc/mdadm.conf（无子目录）和 dracut -f 替代 update-initramfs -u；其他命令和流程通用。如果要做系统盘 RAID（root / boot 在 RAID 上），复杂度显著提升——涉及 GRUB、initramfs 内的 raid 模块、metadata 版本选择等，本文不涉及。

使用 TrueNAS 运行 Alist 容器

Tue, 10 Feb 2026 00:00:00 GMT

TrueNAS 是专注于存储的文件系统，仅提供 SMB、NFS、iSCSI 等协议，无 Web 文件管理界面。TrueNAS Scale 底层使用 Docker，可以部署自定义容器来弥补这一不足。

Note

OpenList 官方文档已提供 TrueNAS 安装教程：使用 TrueNAS Scale - OpenList 文档

使用镜像#

本文使用 Alist v3.40.0-ffmpeg（Alist 被收购前的版本，已托管至阿里云镜像仓库）：

1
crpi-xntgazlqn787usm7.cn-shanghai.personal.cr.aliyuncs.com/olinl/alist:v3.40.0-ffmpeg

TrueNAS 容器配置#

在 TrueNAS Scale 的应用管理中添加自定义容器，填写以下信息：

配置项	值
Repository	`crpi-xntgazlqn787usm7.cn-shanghai.personal.cr.aliyuncs.com/olinl/alist`
Tag	`v3.40.0-ffmpeg`
宿主机端口	`5244`
容器端口	`5244`
容器挂载路径	`/mnt/truenas`
宿主机路径	TrueNAS 存储路径（位于 `/mnt/` 下）

Tip

TrueNAS 的文件都在 /mnt/ 下，Alist 可使用本机存储方式创建存储归档，直接访问 TrueNAS 的文件。

iStoreOS 安装 OpenClash 配置旁路由

Mon, 09 Feb 2026 00:00:00 GMT

在 Linux 系统或容器中无法安装科学上网软件时，可以搭建旁路由并将网关指向它来解决网络访问问题。

iStoreOS：功能丰富的路由存储系统
OpenClash：运行在 OpenWrt 上的 Clash 客户端
Clash 内核（mihomo）

安装 OpenClash#

从 OpenClash Releases 下载最新版本的 .ipk 或 .apk 文件，上传到路由器 /tmp/ 目录后执行：

Terminal window

1
# iptables 版本
2
opkg update
3
opkg install bash iptables dnsmasq-full curl ca-bundle ipset ip-full \
4
  iptables-mod-tproxy iptables-mod-extra ruby ruby-yaml \
5
  kmod-tun kmod-inet-diag unzip luci-compat luci luci-base
6
opkg install /tmp/openclash.ipk

Terminal window

1
# nftables 版本
2
opkg update
3
opkg install bash dnsmasq-full curl ca-bundle ip-full ruby ruby-yaml \
4
  kmod-tun kmod-inet-diag unzip kmod-nft-tproxy luci-compat luci luci-base
5
opkg install /tmp/openclash.ipk

安装完成后刷新网页即可在菜单中看到 OpenClash。

配置#

Note

仅当在线下载内核失败时才需要手动下载。手动下载 mihomo 内核后，解压并将二进制文件命名为 clash_meta 放入 /etc/openclash/core/ 目录。

插件启动前需确认 Clash 内核已安装。若无法在线下载内核，可手动下载 mihomo 内核，解压后将二进制文件命名为 clash_meta 并放入 /etc/openclash/core/ 目录。

配置订阅链接后启动 OpenClash，将其他设备的网关指向此路由器 IP 即可实现旁路由模式。

Immich 图片管理软件部署备忘录

Sun, 08 Feb 2026 00:00:00 GMT

Immich 是一款自托管照片和视频管理软件，支持 Web、Android、iOS 多端同步，保护用户隐私。

官网：immich.app | 安装文档：docker-compose

Note

Immich 使用 PostgreSQL 作为数据库，如需独立部署参见：Ubuntu 安装 PostgreSQL 与常用配置

下载配置文件#

Terminal window

1
wget -O docker-compose.yml https://github.com/immich-app/immich/releases/latest/download/docker-compose.yml
2
wget -O .env https://github.com/immich-app/immich/releases/latest/download/example.env

docker-compose.yml（支持 Intel 核显 OpenVINO）#

docker-compose.yaml展开收起

1
name: immich
2

3
services:
4
  immich-server:
5
    container_name: immich_server
6
    image: ghcr.io/immich-app/immich-server:${IMMICH_VERSION:-release}
7
    devices:
8
      - /dev/dri:/dev/dri
9
    volumes:
10
      - ${UPLOAD_LOCATION}:/data
11
      - /etc/localtime:/etc/localtime:ro
12
      # 反向地理编码汉化
13
      - ./geodata-cn/geodata:/build/geodata
14
      - ./geodata-cn/i18n-iso-countries/langs:/usr/src/app/server/node_modules/i18n-iso-countries/langs
15
    env_file:
16
      - .env
17
    ports:
18
      - '2283:2283'
19
    depends_on:
20
      - redis
21
      - database
22
    restart: always
23

24
  immich-machine-learning:
25
    container_name: immich_machine_learning
26
    image: ghcr.io/immich-app/immich-machine-learning:${IMMICH_VERSION:-release}-openvino
27
    devices:
28
      - /dev/dri:/dev/dri
29
    volumes:
30
      - model-cache:/cache
31
    env_file:
32
      - .env
33
    restart: always
34

35
  redis:
36
    container_name: immich_redis
37
    image: docker.io/valkey/valkey:9
38
    restart: always
39

40
  database:
41
    container_name: immich_postgres
42
    image: ghcr.io/immich-app/postgres:14-vectorchord0.4.3-pgvectors0.2.0
43
    environment:
44
      POSTGRES_PASSWORD: ${DB_PASSWORD}
45
      POSTGRES_USER: ${DB_USERNAME}
46
      POSTGRES_DB: ${DB_DATABASE_NAME}
47
    volumes:
48
      - ${DB_DATA_LOCATION}:/var/lib/postgresql/data
49
    restart: always
50

51
volumes:
52
  model-cache:

展开收起

.env 配置#

.env

1
UPLOAD_LOCATION=./library
2
DB_DATA_LOCATION=./postgres
3
TZ=Asia/Shanghai
4
IMMICH_VERSION=v2
5
DB_PASSWORD=postgres
6
DB_USERNAME=postgres
7
DB_DATABASE_NAME=immich

Tip

使用国内镜像加速：

Terminal window

1
sed -i 's|ghcr\.io|ghcr.example.com|g' docker-compose.yml
2
sed -i 's|docker\.io|docker.example.com|g' docker-compose.yml

扩展功能#

中文地理编码：ZingLix/immich-geodata-cn
中文 CLIP 模型：参考 Bilibili 教程

FRP 内网穿透服务部署指南

Sat, 07 Feb 2026 00:00:00 GMT

Note

服务端需要一台有公网 IP 的服务器，尚未初始化服务器？参见：Linux 服务器初始化配置

FRP 通过有公网 IP 的服务器将内网主机端口暴露到互联网。分为 服务端（frps） 和 客户端（frpc），服务端需部署在有公网 IP 的机器上，客户端部署在内网主机上。

GitHub：fatedier/frp

下载#

前往 Releases 页面下载对应系统的压缩包，Linux 选择 frp_xxxx_linux_amd64.tar.gz。

Terminal window

1
# 赋予执行权限
2
chmod +x frps frpc

配置文件#

服务端（frps.toml）#

Warning

auth.token 和 webServer.password 必须修改为强随机值，弱凭据会导致隧道被未授权访问。

1
bindAddr = "0.0.0.0"
2
bindPort = 65001
3

4
transport.tls.force = true
5

6
auth.method = "token"
7
auth.token = "your-token"
8

9
# Dashboard
10
webServer.addr = "0.0.0.0"
11
webServer.port = 65002
12
webServer.user = "admin"
13
webServer.password = "your-password"

客户端（frpc.toml）#

1
serverAddr = "your-public-ip"
2
serverPort = 65001
3

4
transport.tls.enable = true
5

6
auth.token = "your-token"
7

8
# 代理规则示例
9
[[proxies]]
10
name = "web80"
11
type = "tcp"
12
localIP = "127.0.0.1"
13
localPort = 80
14
remotePort = 80
15

16
[[proxies]]
17
name = "web443"
18
type = "tcp"
19
localIP = "127.0.0.1"
20
localPort = 443
21
remotePort = 443

展开收起

Systemd 服务管理#

Terminal window展开收起

1
# frps 服务文件
2
cat > /etc/systemd/system/frps.service << 'EOF'
3
[Unit]
4
Description=frps
5
After=network.target
6

7
[Service]
8
TimeoutStartSec=30
9
ExecStart=/opt/frps/frps -c /opt/frps/frps.toml
10
Restart=always
11

12
[Install]
13
WantedBy=multi-user.target
14
EOF
15

16
# frpc 服务文件
17
cat > /etc/systemd/system/frpc.service << 'EOF'
18
[Unit]
19
Description=frpc
20
After=network.target
21

22
[Service]
23
TimeoutStartSec=30
24
ExecStart=/opt/frpc/frpc -c /opt/frpc/frpc.toml
25
Restart=always
26

27
[Install]
28
WantedBy=multi-user.target
29
EOF
30

31
systemctl daemon-reload
32
systemctl enable --now frps
33
systemctl status frps

展开收起

Harbor 私有镜像仓库安装指南

Fri, 06 Feb 2026 00:00:00 GMT

Harbor 是一个开源镜像仓库，通过策略和基于角色的访问控制保护镜像，是 CNCF 毕业项目。内网搭建 Harbor 可避免依赖第三方镜像仓库，对无网环境尤为友好。

Note

客户端配置证书信任参见 Docker 配置私服自签名证书信任。

本文统一使用 harbor.local 作为示例域名、192.168.2.11 作为示例服务器 IP。实际部署请替换为你自己的值，各处保持完全一致（证书 CN / Docker certs.d 目录名 / hosts 映射 / Nginx server_name 等）。

前置条件#

Note

尚未安装 Docker？参见：Docker 安装与配置指南

Docker Compose 安装与使用参见：Docker Compose 安装配置

Docker Engine ≥ 20.10（Harbor 2.x 要求）
Docker Compose（Harbor 安装脚本会自动识别 docker compose 插件或老版 docker-compose 二进制）
内存 ≥ 4 GB（官方建议，低于 4 GB 部分组件会启动失败）
磁盘 ≥ 40 GB（Harbor 自身约 1 GB，其余留给镜像仓库存储）
端口 80 / 443（或你自定义的端口）未被其他服务占用
root 或 sudo 权限

下载安装包#

Harbor Releases：Harbor - Github

建议选择 offline 离线包，安装时自动解压内置的 Docker 镜像，无需在线拉取。

生成自签名 SSL 证书#

Terminal window

1
sudo apt update && sudo apt install -y openssl
2
vim harbor_cert.cnf

harbor_cert.cnf展开收起

1
[req]
2
distinguished_name = req_distinguished_name
3
x509_extensions = v3_req
4
prompt = no
5

6
[req_distinguished_name]
7
C = CN                     # 国家代号
8
ST = Beijing               # 省份
9
L = Beijing                # 城市
10
O = MyOrg                  # 组织
11
OU = DevOps                # 部门
12
CN = harbor.local          # ← 替换为你的 Harbor 域名或 IP
13

14
[v3_req]
15
keyUsage = keyEncipherment, dataEncipherment, digitalSignature
16
extendedKeyUsage = serverAuth
17
subjectAltName = @alt_names
18

19
[alt_names]
20
DNS.1 = harbor.local         # 主域名
21
DNS.2 = *.local              # 可选：泛域名
22
IP.1 = 192.168.2.11          # ← 裸 IP 访问场景必须加，否则 Docker 推镜像会报 "no IP SANs"

展开收起

Terminal window展开收起

1
# 生成私钥 + 自签名证书（有效期 10 年）
2
openssl req -x509 \
3
  -newkey rsa:4096 \
4
  -sha256 \
5
  -days 3650 \
6
  -nodes \
7
  -keyout harbor.key \
8
  -out harbor.crt \
9
  -config harbor_cert.cnf \
10
  -extensions v3_req
11

12
# 把证书放到后续 Harbor 和 Nginx 都方便引用的位置
13
sudo mkdir -p /opt/harbor/crt
14
sudo cp harbor.crt harbor.key /opt/harbor/crt/
15

16
# Docker 客户端信任证书
17
# 注意：目录名必须和 docker login 时用的域名完全一致
18
sudo mkdir -p /etc/docker/certs.d/harbor.local/
19
sudo cp harbor.crt /etc/docker/certs.d/harbor.local/ca.crt

展开收起

配置 harbor.yml#

Terminal window

1
cp harbor.yml.tmpl harbor.yml
2
vim harbor.yml

关键配置项：

配置项	说明
`hostname`	Harbor 访问域名或 IP（本文用 `harbor.local`）
`http.port`	HTTP 端口（默认 80）
`https.port`	HTTPS 端口（默认 443）
`https.certificate`	CRT 证书路径（建议 `/opt/harbor/crt/harbor.crt`）
`https.private_key`	KEY 私钥路径（建议 `/opt/harbor/crt/harbor.key`）
`harbor_admin_password`	admin 初始密码（默认 `Harbor12345`）
`external_url`	外部 URL 地址
`data_volume`	数据持久化目录（建议配置到大容量盘）

务必修改默认密码 Harbor12345

Harbor12345 是 Harbor 官方文档里的公开默认密码——任何扫描器都会第一时间尝试它。部署完成后第一件事就是改掉：

首次部署前：直接在 harbor.yml 里把 harbor_admin_password 改成强密码，再 ./install.sh
已经部署完成：Web UI 登录后进 用户管理 → admin → 修改密码

不改就部署、尤其是公网可达的 Harbor，基本等于当场被接管。

推荐在第一次 install.sh 之前就调整好的配置

首次 ./install.sh 之后改部分配置需要重新 ./prepare + 重建容器，一次到位更省事。首次安装前至少检查以下几项：

hostname：改成 harbor.local（或你的实际域名），要和证书 CN 一致
harbor_admin_password：改成强密码（见上方 caution）
data_volume：默认 /data，如果根分区小必须挪到大容量盘挂载点（如 /mnt/storage/harbor）
https.certificate / https.private_key：指向 /opt/harbor/crt/harbor.crt 和 /opt/harbor/crt/harbor.key
http.port / https.port：如果宿主机 80/443 被系统 Nginx / Apache 占用，改成 31080 / 31443（或任意非占用端口），再配合下文 Nginx 反向代理做对外映射
external_url：用非标端口 / Nginx 反代时必配，否则登录认证会走错端口（详见下方 note）

external_url 详解

external_url 是 Harbor 配置文件中的参数，用于定义外部客户端访问该服务的基准 URL。其技术逻辑如下：

优先级：启用该参数后，配置中的 hostname 将失效。

令牌生成：Harbor 的认证服务（Token Service）会根据此参数生成 OAuth 令牌挑战（Challenge）中的 realm 地址。

重定向逻辑：决定 Harbor 在返回 HTTP 重定向或 API 响应时，所携带的协议、域名及端口号。

端口同步：在通过 Nginx 映射非标准端口（如 31001）时，该参数确保后端返回的认证地址与外部监听端口一致，防止客户端因默认访问 443 端口导致连接超时。

配置生效：修改此参数后，必须执行 ./prepare 脚本，以重新生成各个微服务组件内部的配置文件。

安装#

Terminal window

1
./install.sh

修改配置后重新加载：

Terminal window

1
./prepare
2
docker compose down
3
docker compose up -d

验证部署成功#

Terminal window

1
# 1. 查看所有 Harbor 容器状态（正常应该全部 Up 且 healthy）
2
docker compose ps
3

4
# 2. 检查端口监听
5
ss -lntp | grep -E ':(80|443)\b'
6

7
# 3. 浏览器访问 https://harbor.local（需先配好客户端 hosts，见下一节）
8
#    默认凭据：admin / Harbor12345（若未改）

如果 docker compose ps 看到某个容器在反复 Restarting，先 docker compose logs <服务名> 定位具体错误——绝大多数是端口冲突或 harbor.yml 语法问题。

使用#

配置客户端 hosts#

harbor.local 是内网自定义域名，没有公网 DNS 解析——所有需要访问 Harbor 的客户端都要手动写 hosts 文件。

Linux / macOS：

Terminal window

1
echo "192.168.2.11 harbor.local" | sudo tee -a /etc/hosts

Windows（管理员 PowerShell）：

Terminal window

1
Add-Content -Path "$env:SystemRoot\System32\drivers\etc\hosts" -Value "192.168.2.11 harbor.local"

或者手动编辑 C:\Windows\System32\drivers\etc\hosts，末尾加一行 192.168.2.11 harbor.local。

配完后验证：

Terminal window

1
ping harbor.local
2
# 应当解析到 192.168.2.11

推送 / 拉取镜像#

Terminal window

1
# 登录（默认 admin / 你在 harbor.yml 设定的密码）
2
docker login harbor.local
3

4
# 打标签
5
docker tag myapp:latest harbor.local/myproject/myapp:v1.0.0
6

7
# 推送
8
docker push harbor.local/myproject/myapp:v1.0.0
9

10
# 拉取
11
docker pull harbor.local/myproject/myapp:v1.0.0

Nginx 反向代理（使用非 80/443 端口时）#

当宿主机的 80/443 已被其他服务占用，可以让 Harbor 监听非标端口（比如 31080/31443），再用外层 Nginx 做 TLS 终结和对外映射。

1
upstream harbor_backend {
2
    server 127.0.0.1:5443;   # ← 对应 harbor.yml 里的 https.port，按实际填写
3
    keepalive 32;
4
}
5

6
server {
7
    listen 443 ssl http2;
8
    server_name harbor.local;
9

10
    # 复用第 3 节生成的自签名证书
11
    ssl_certificate     /opt/harbor/crt/harbor.crt;
12
    ssl_certificate_key /opt/harbor/crt/harbor.key;
13
    ssl_protocols       TLSv1.2 TLSv1.3;
14
    ssl_ciphers         ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384;
15

16
    client_max_body_size 0;   # 允许无限大镜像上传，必加
17

18
    location / {
19
        proxy_pass https://harbor_backend;
20

21
        # 关键：Harbor 后端也是 HTTPS（自签证书），Nginx 默认会尝试验证且必定失败，要关掉
22
        proxy_ssl_verify off;
23

24
        proxy_set_header Host $host;
25
        proxy_set_header X-Real-IP $remote_addr;
26
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
27
        proxy_set_header X-Forwarded-Proto $scheme;
28
        proxy_buffering off;
29
        proxy_request_buffering off;
30
        proxy_connect_timeout 90s;
31
        proxy_send_timeout    90s;
32
        proxy_read_timeout    90s;
33
    }
34
}
35

36
server {
37
    listen 80;
38
    server_name harbor.local;
39
    return 301 https://$host$request_uri;
40
}

展开收起

关于双 TLS 架构

上面是 Nginx HTTPS → Harbor HTTPS 的双 TLS 结构（Nginx 和 Harbor 可以共用同一张自签证书，也可以各用各的）。即便两边用同一张证书，proxy_ssl_verify off; 仍然要加——Nginx 作为 TLS 客户端去连后端时，默认会走完整的 CA 链校验，自签证书没有”可信 CA”，所以一定失败。关掉校验后加密仍然在，只是不再做身份验证。

如果嫌双 TLS 麻烦，还有一种更常见的简化架构：Harbor 跑 HTTP（harbor.yml 里注释掉整个 https: 块、只留 http.port），Nginx 做唯一的 TLS 终结。宿主机本地 Docker 网络里的 HTTP 流量不出机器，风险可接受、配置更简单。

Note

如果你的 harbor 是非标端口，请使用下面的 nginx 配置

1
location / {
2
    proxy_pass https://harbor_backend; # 指向 Harbor 内部的 30443
3
    proxy_ssl_verify off;
4

5
    proxy_set_header Host $host:31001; # 显式告诉后端外部端口
6
    proxy_set_header X-Real-IP $remote_addr;
7
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
8
    proxy_set_header X-Forwarded-Proto $scheme;
9
    proxy_set_header X-Forwarded-Port 31001; # 必须明确告诉是 31001
10

11
    # 下面两项对大镜像上传至关重要
12
    proxy_buffering off;
13
    proxy_request_buffering off;
14
}

使用 HTTP（不推荐生产环境）#

在 Docker 的 daemon.json 中添加：

1
{
2
  "insecure-registries": ["harbor.local"]
3
}

Terminal window

1
systemctl restart docker

HTTP 模式的真实风险

insecure-registries 模式下，Docker 和 Harbor 之间所有流量都是明文：

登录凭据（HTTP Basic Auth）直接在请求头里裸奔——被嗅探就是当场被盗号
镜像层数据也走明文，既能被拦截拷贝、也可能被篡改（例如注入恶意二进制）
任何链路上的中间人（交换机、路由器、代理、公共 Wi-Fi AP）都能看到并改写

仅适用于完全隔离的实验网络。只要有一点外部访问，或涉及生产凭据，都必须走 HTTPS。

故障排查#

现象	可能原因	对策
`docker login` 报 `x509: certificate signed by unknown authority`	`certs.d` 目录名和登录时用的域名对不上	目录名必须和 `docker login` 时用的域名完全一致：登录 `harbor.local` 就放 `/etc/docker/certs.d/harbor.local/ca.crt`
`docker push` 报 `x509: cannot validate certificate for 192.168.x.x because it doesn't contain any IP SANs`	证书没有 IP SAN	在 `harbor_cert.cnf` 的 `[alt_names]` 段加 `IP.1 = 192.168.x.x`，重新签发
`docker push` 大镜像报 `413 Request Entity Too Large`	Nginx `client_max_body_size` 限制	确认 Nginx 配置里有 `client_max_body_size 0;`
登录报 `unauthorized: authentication required`	`external_url` 配置错，Harbor 返回的 token realm 对不上实际访问地址	核对 `external_url` 协议 / 域名 / 端口和浏览器地址栏一致，改完跑 `./prepare`
浏览器访问白屏或 502	Nginx upstream 端口不对 / 没关 `proxy_ssl_verify`	确认 `harbor.yml` 的 `https.port` 和 Nginx `upstream` 端口一致；加 `proxy_ssl_verify off;`
`docker compose ps` 某容器反复 `Restarting`	端口冲突 / `harbor.yml` 语法错 / 磁盘满	`docker compose logs <服务名>` 定位具体报错
hosts 配好了但 `ping harbor.local` 还不通	写错了行 / hosts 文件有 BOM / Windows 权限不够	`cat /etc/hosts` 或 Windows 下用以管理员身份编辑；确认没有奇怪字符
推送镜像非常慢或中途断开	Nginx 缓冲 / 超时不够	确认 `proxy_buffering off; proxy_request_buffering off;`；调大 `proxy_send_timeout` / `proxy_read_timeout`

备份与升级#

Harbor 的全部数据都在 data_volume 指定的目录下（默认 /data），包括 PostgreSQL 数据、镜像层存储、Redis、日志等。升级前一定要备份，出问题才有回滚余地。

备份#

Terminal window

1
cd /path/to/harbor-installer
2

3
# 1. 停止 Harbor
4
docker compose down
5

6
# 2. 备份数据目录（data_volume 指定的路径）
7
sudo tar czf /backup/harbor-data-$(date +%F).tar.gz /data
8

9
# 3. 备份 harbor.yml（里面有一堆你调过的配置）
10
cp harbor.yml /backup/harbor.yml.$(date +%F)
11

12
# 4. 重启
13
docker compose up -d

建议把 /backup 目录定时同步到另一台机器或云存储，单点备份不算真正的备份。

升级#

Terminal window展开收起

1
# 1. 先按上面"备份"节做完备份
2

3
# 2. 下载新版本的离线安装包、解压到新目录
4
tar xvf harbor-offline-installer-v2.x.x.tgz -C /opt/
5
cd /opt/harbor   # 新版本目录
6

7
# 3. 把旧 harbor.yml 拷过来（保留你的所有配置）
8
cp /backup/harbor.yml.<日期> ./harbor.yml
9

10
# 4. 停止旧版本
11
cd /path/to/old-harbor && docker compose down
12

13
# 5. 在新目录安装（会自动检测 data_volume 里已有数据并升级）
14
cd /opt/harbor
15
./install.sh

展开收起

升级失败的回滚思路

如果新版本起不来或者数据有问题：

docker compose down 停掉新版本
恢复 data_volume 目录：sudo tar xzf /backup/harbor-data-<日期>.tar.gz -C /
回到旧版本的安装目录 docker compose up -d

所以备份的 tar 包必须保留到新版本稳定运行一段时间之后再删。

修改 Kubelet 默认工作目录

Thu, 05 Feb 2026 00:00:00 GMT

Kubelet 默认工作目录为 /var/lib/kubelet，存放 volume、plugin 等文件，默认挂载在系统盘。生产环境建议迁移到数据盘。

Warning

操作前建议先对节点执行禁止调度和驱逐，避免影响线上服务。

方法一：修改配置法（推荐）#

Terminal window展开收起

1
# 1. 停止 kubelet
2
systemctl stop kubelet
3

4
# 2. 拷贝数据到新路径（以下文件必须保留在原路径，不要移动）
5
#    - /var/lib/kubelet/config.yaml
6
#    - /var/lib/kubelet/kubeadm-flags.env
7
#    - /var/lib/kubelet/pki
8
#    - /var/lib/kubelet/device-plugins
9
mkdir -p /app/kubelet
10
cp -rf /var/lib/kubelet/pods /app/kubelet/
11
cp -rf /var/lib/kubelet/pod-resources /app/kubelet/
12
mv /var/lib/kubelet/pods{,.old}
13
mv /var/lib/kubelet/pod-resources{,.old}
14

15
# 3. 添加 root-dir 参数
16
# CentOS/RHEL: /etc/sysconfig/kubelet
17
# Ubuntu/Debian: /etc/default/kubelet
18
echo 'KUBELET_EXTRA_ARGS="--root-dir=/app/kubelet"' >> /etc/default/kubelet
19

20
# 4. 重启 kubelet
21
systemctl daemon-reload && systemctl restart kubelet
22
systemctl status kubelet
23

24
# 5. 确认工作目录已生效
25
ps -aux | grep kubelet | grep root-dir
26

27
# 6. 清理旧目录（可选）
28
rm -rf /var/lib/kubelet/pods.old /var/lib/kubelet/pod-resources.old

展开收起

Tip

如果 kubelet 启动失败，通过以下命令查看详细日志排查：

Terminal window

1
journalctl -xu kubelet -r

方法二：软链法#

Terminal window展开收起

1
# 1. 停止 kubelet
2
systemctl stop kubelet
3

4
# 2. 拷贝数据到新路径
5
mkdir -p /data/kubelet
6
cp -rf /var/lib/kubelet/. /data/kubelet
7
mv /var/lib/kubelet /var/lib/kubelet.old
8

9
# 3. 创建软链
10
ln -s /data/kubelet /var/lib/kubelet
11

12
# 4. 启动 kubelet
13
systemctl daemon-reload && systemctl restart kubelet
14

15
# 5. 清理旧目录（可选）
16
rm -rf /var/lib/kubelet.old

展开收起

kubeadm 初始化时直接指定#

在 kubeadm init 前修改 kubeadm.conf，添加 kubeletExtraArgs：

1
apiVersion: kubeadm.k8s.io/v1beta3
2
kind: InitConfiguration
3
nodeRegistration:
4
  kubeletExtraArgs:
5
    root-dir: "/data/kubelet"

Docker 部署 Uptime Kuma 监控服务

Wed, 04 Feb 2026 00:00:00 GMT

Uptime Kuma 是一款开源的自托管监控工具，可实时监测网站或服务状态，支持 HTTP、Ping、TCP 等多种监控方式，故障时发送通知。

GitHub：louislam/uptime-kuma

部署#

docker-compose.yml展开收起

1
services:
2
  uptime-kuma:
3
    image: louislam/uptime-kuma:2
4
    container_name: uptime-kuma
5
    volumes:
6
      - ./data:/app/data
7
    ports:
8
      - 3001:3001
9
    restart: always
10
    networks:
11
      - app-net
12

13
networks:
14
  app-net:
15
    external: true

展开收起

Docker 部署 Sun-Panel 导航面板

Tue, 03 Feb 2026 00:00:00 GMT

Sun-Panel 是一个 NAS、服务器导航面板、简易 Docker 管理器，可作为 Homepage 或浏览器首页使用。

首页：sun-panel.top
GitHub：hslr-s/sun-panel
默认账号：admin@sun.cc / 12345678

部署#

Warning

挂载 docker.sock 赋予容器对宿主机 Docker 的完全控制权（等同 root 权限），仅在可信环境中使用。

docker-compose.yml展开收起

1
services:
2
  panel:
3
    image: 'hslr/sun-panel:latest'
4
    hostname: panel
5
    container_name: panel
6
    ports:
7
      - '3002:3002'
8
    volumes:
9
      - './conf:/app/conf'
10
      - '/var/run/docker.sock:/var/run/docker.sock'
11
    restart: always
12
    networks:
13
      - app-net
14

15
networks:
16
  app-net:
17
    external: true

展开收起

美化 CSS#

毛玻璃效果#

1
.item-list {
2
  backdrop-filter: blur(1px);
3
  -webkit-backdrop-filter: blur(1px);
4
  background: rgba(255, 255, 255, 0.3);
5
  border-radius: 15px;
6
  box-shadow: 0 4px 30px rgba(0, 0, 0, 0.1);
7
  border: 1px solid rgba(255, 255, 255, 0.2);
8
  padding: 10px;
9
  color: white;
10
  margin: auto;
11
}

图标悬停摇晃动画#

1
.icon-info-box .rounded-2xl:hover {
2
  background: rgba(42, 42, 42, 0.7) !important;
3
  animation: info-shake-bounce .5s alternate !important;
4
}
5

6
.icon-small-box .rounded-2xl:hover {
7
  background: rgba(42, 42, 42, 0.7) !important;
8
  animation: small-shake-bounce .5s alternate !important;
9
}
10

11
@keyframes info-shake-bounce {
12
  0%, 100% { transform: rotate(0); }
13
  25% { transform: rotate(10deg); }
14
  50% { transform: rotate(-10deg); }
15
  75% { transform: rotate(2.5deg); }
16
  85% { transform: rotate(-2.5deg); }
17
}
18

19
@keyframes small-shake-bounce {
20
  0%, 100% { transform: rotate(0); }
21
  25% { transform: rotate(15deg); }
22
  50% { transform: rotate(-15deg); }
23
  75% { transform: rotate(5deg); }
24
  85% { transform: rotate(5deg); }
25
}

展开收起

Docker 部署 Memos 笔记服务

Mon, 02 Feb 2026 00:00:00 GMT

Memos 是一款隐私优先的轻量级笔记服务，支持 Web、Android、iOS 多端访问，支持多用户，附件存储兼容 AWS S3 协议。

官网：usememos.com | 仓库：usememos/memos

Note

最新版 0.25 无法直接被 iOS 客户端连接，需同时部署 Mortis 服务做兼容（提供 Memos 0.21.0 OpenAPI 支持）。

部署#

docker-compose.yml展开收起

1
services:
2
  memos:
3
    image: neosmemo/memos:0.25.1
4
    container_name: memos
5
    hostname: memos
6
    ports:
7
      - 5230:5230
8
    volumes:
9
      - ./data:/var/opt/memos
10
    restart: always
11
    networks:
12
      - app-net
13
  mortis:
14
    image: ghcr.io/mudkipme/mortis:0.25.1
15
    container_name: mortis
16
    ports:
17
      - "5231:5231"
18
    entrypoint: ["/app/mortis"]
19
    command: ["-grpc-addr=memos:5230"]
20
    restart: always
21
    depends_on:
22
      - memos
23
    networks:
24
      - app-net
25

26
networks:
27
  app-net:
28
    external: true

展开收起

Note

尚未部署 MinIO？参见：MinIO 对象存储安装指南

配置 MinIO 附件存储#

在 Memos 设置页面中填写以下信息：

配置项	说明
文件路径模板	`assets/{timestamp}{filename}`
Access Key ID	MinIO 访问密钥
Access Key Secret	MinIO 密钥
Endpoint	MinIO 地址（如 `https://minio.example.com`）
Region	自定义区域名（如 `memos`）
Bucket	存储桶名称
Use Path Style	勾选

Docker 卸载指南

Sun, 01 Feb 2026 00:00:00 GMT

Caution

卸载前请确认是否需要保留容器、镜像、卷或配置文件，以下操作将永久删除所有 Docker 数据。

Ubuntu / Debian#

Terminal window

1
# 1. 停止 Docker 相关服务
2
sudo systemctl stop docker docker.socket containerd.service
3

4
# 2. 移除 Docker 包
5
sudo apt purge -y docker-ce docker-ce-cli containerd.io docker-compose-plugin docker-scan-plugin
6
sudo apt autoremove -y
7

8
# 3. 删除残留文件与目录
9
sudo rm -rf /var/lib/docker /var/lib/containerd
10
sudo rm -rf /etc/docker /etc/default/docker
11
rm -rf ~/.docker
12
sudo rm -rf /var/log/docker /var/log/containerd

CentOS / RHEL#

Terminal window

1
# 1. 停止服务
2
sudo systemctl stop docker containerd
3
sudo systemctl disable docker containerd
4

5
# 2. 移除 Docker 包
6
sudo yum remove -y docker-ce docker-ce-cli containerd.io docker-compose-plugin
7
sudo yum autoremove -y
8

9
# 3. 清理残留文件
10
sudo rm -rf /var/lib/docker /var/lib/containerd /etc/docker ~/.docker
11
sudo rm -rf /usr/lib/systemd/system/docker.service /usr/lib/systemd/system/docker.socket
12
sudo systemctl daemon-reload

Docker 配置私服自签名证书信任

Sat, 31 Jan 2026 00:00:00 GMT

在内网部署私有镜像仓库（如 Harbor）时，通常使用自签名证书。客户端需要手动信任该证书，否则 docker push / docker pull 会报证书验证失败。

如果你使用 Harbor 作为私服，参见 Harbor 私有镜像仓库安装指南

Linux#

Terminal window

1
# 1. 获取 Harbor 服务器的证书
2
openssl s_client -connect harbor.example.com:443 -showcerts </dev/null 2>/dev/null \
3
  | openssl x509 -outform PEM > harbor-cert.pem
4

5
# 2. 创建 Docker 证书目录
6
sudo mkdir -p /etc/docker/certs.d/harbor.example.com
7

8
# 3. 复制证书到 Docker 信任目录
9
sudo cp harbor-cert.pem /etc/docker/certs.d/harbor.example.com/ca.crt
10

11
# 4. 同时添加到系统 CA 证书（推荐）
12
sudo cp harbor-cert.pem /usr/local/share/ca-certificates/harbor.example.com.crt
13
sudo update-ca-certificates

Note

重启 Docker 会短暂停止所有正在运行的容器，请在维护窗口内操作。

Terminal window

1
# 5. 重启 Docker 服务
2
sudo systemctl restart docker

Windows#

在 Git Bash 中执行以下命令获取证书：

Terminal window

1
echo | openssl s_client -connect harbor.example.com:443 -servername harbor.example.com 2>/dev/null \
2
  | openssl x509 > harbor-ca.crt

然后将 harbor-ca.crt 安装到系统受信任的根证书：

双击 harbor-ca.crt
点击 安装证书…
选择 本地计算机 → 下一步
选择 将所有证书放入下列存储 → 浏览
选择 受信任的根证书颁发机构 → 确定 → 下一步 → 完成
重启 Docker Desktop

Docker Compose 常用命令

Thu, 29 Jan 2026 00:00:00 GMT

Terminal window展开收起

1
# 前台启动（查看日志输出）
2
docker-compose up
3

4
# 后台启动
5
docker-compose up -d
6

7
# 停止并移除容器
8
docker-compose down
9

10
# 重建镜像后启动
11
docker-compose up -d --build
12

13
# 查看容器状态
14
docker-compose ps
15

16
# 查看日志
17
docker-compose logs -f
18

19
# 重启指定服务
20
docker-compose restart <service>
21

22
# 进入容器
23
docker-compose exec <service> /bin/bash

展开收起

Docker 常用命令速查

Wed, 28 Jan 2026 00:00:00 GMT

systemctl 服务命令#

Terminal window

1
# 启动
2
systemctl start docker
3
# 停止
4
systemctl stop docker
5
# 查看状态
6
systemctl status docker
7
# 开机自启
8
systemctl enable docker

docker run#

Terminal window

1
docker run [OPTIONS] IMAGE [COMMAND] [ARG...]

常用参数：

-d：后台运行容器并返回容器 ID
-it：交互式运行，分配伪终端
--name：指定容器名称
-p：端口映射，格式 host_port:container_port
-v：挂载卷，格式 host_dir:container_dir
--rm：容器停止后自动删除
-e：设置环境变量
--network：指定网络模式
--restart：重启策略（no / on-failure / always / unless-stopped）

docker exec#

Terminal window

1
# 进入容器交互式终端
2
docker exec -it my_container /bin/bash

docker ps#

Terminal window

1
docker ps        # 运行中的容器
2
docker ps -a     # 所有容器
3
docker ps -q     # 只显示容器 ID

docker logs#

Terminal window

1
docker logs my_container
2
docker logs -f my_container       # 实时跟随
3
docker logs --tail 10 my_container # 最后 10 行

docker images#

Terminal window

1
docker images
2
docker images -q

docker pull / tag / push#

Terminal window

1
docker pull nginx:latest
2
docker tag myapp:latest harbor.example.com/myproject/myapp:v1.0.0
3
docker push harbor.example.com/myproject/myapp:v1.0.0

docker save / load#

Terminal window

1
docker save -o myimage.tar myimage:latest
2
docker load -i myimage.tar

PostgreSQL 备份与恢复

Tue, 27 Jan 2026 00:00:00 GMT

相关文章：PostgreSQL 安装指南 · PostgreSQL 远程访问与数据目录迁移

一、备份与恢复整个数据库#

备份#

Terminal window

1
# 导出整个集群（所有数据库）
2
sudo -u postgres pg_dumpall -h localhost -p 5432 -v > /tmp/pg_full_backup.sql

传输到目标服务器#

Terminal window

1
rsync -avz --progress /tmp/pg_full_backup.sql user@192.168.1.100:/tmp/

恢复#

Terminal window

1
# 实体 PostgreSQL
2
sudo -u postgres psql -f /tmp/pg_full_backup.sql
3

4
# Docker 容器 PostgreSQL
5
docker cp /tmp/pg_full_backup.sql postgres:/tmp/
6
docker exec -i postgres psql -U postgres -f /tmp/pg_full_backup.sql

二、备份与恢复单个表#

备份#

Terminal window

1
# 备份指定表
2
sudo -u postgres pg_dump -h localhost -p 5432 \
3
  -d mydb -t users -v > /tmp/users_backup.sql
4

5
# 备份时包含 DROP/CREATE 语句（便于重复恢复）
6
sudo -u postgres pg_dump -h localhost -p 5432 \
7
  -d mydb -t users --clean --if-exists -v > /tmp/users_backup_clean.sql

传输到目标服务器#

Terminal window

1
rsync -avz --progress /tmp/users_backup.sql user@192.168.1.100:/tmp/

恢复#

Note

如果目标表已存在，需要先删除或重命名，否则恢复会报错。

Terminal window

1
# 实体 PostgreSQL
2
sudo -u postgres psql -d target_database -f /tmp/users_backup.sql
3

4
# Docker 容器 PostgreSQL
5
docker cp /tmp/users_backup.sql postgres:/tmp/
6
docker exec -i postgres psql -U postgres -d target_database -f /tmp/users_backup.sql

PostgreSQL 外部表（FDW）跨库查询配置

Mon, 26 Jan 2026 00:00:00 GMT

PostgreSQL 不支持跨库查询，可通过 Foreign Data Wrapper（FDW） 访问外部数据库的表，实现类似跨库查询的效果。

相关文章：PostgreSQL 安装指南 · PostgreSQL 远程访问与数据目录迁移

一、安装扩展#

1
-- 在本地数据库执行
2
CREATE EXTENSION IF NOT EXISTS postgres_fdw;

二、创建远程服务器#

1
CREATE SERVER remote_server
2
FOREIGN DATA WRAPPER postgres_fdw
3
OPTIONS (
4
  host '192.168.1.100',
5
  dbname 'target_db',
6
  port '5432'
7
);

三、创建用户映射#

1
CREATE USER MAPPING FOR postgres
2
SERVER remote_server
3
OPTIONS (
4
  user 'postgres',
5
  password 'remote-password'
6
);

四、导入远程表#

1
-- 导入单个表
2
IMPORT FOREIGN SCHEMA public
3
LIMIT TO (table_name)
4
FROM SERVER remote_server
5
INTO public;
6

7
-- 导入多个表
8
IMPORT FOREIGN SCHEMA public
9
LIMIT TO (table1, table2, table3)
10
FROM SERVER remote_server
11
INTO public;
12

13
-- 导入整个 schema（慎用）
14
IMPORT FOREIGN SCHEMA public
15
FROM SERVER remote_server
16
INTO public;

展开收起

Caution

导入整个 schema 可能与本地表名冲突，建议使用 LIMIT TO 指定需要的表。

导入后即可像本地表一样使用。

五、管理命令#

1
-- 查看所有外部服务器
2
SELECT * FROM pg_foreign_server;
3

4
-- 查看导入的外部表
5
SELECT * FROM information_schema.foreign_tables;
6

7
-- 修改服务器连接信息
8
ALTER SERVER remote_server
9
OPTIONS (SET host '192.168.1.200', SET port '5432', SET dbname 'new_db');
10

11
-- 修改用户映射密码
12
ALTER USER MAPPING FOR CURRENT_USER
13
SERVER remote_server
14
OPTIONS (SET password 'new-password');
15

16
-- 增加批量获取行数（优化性能）
17
ALTER SERVER remote_server OPTIONS (ADD fetch_size '50000');
18

19
-- 删除外部表
20
DROP FOREIGN TABLE table_name;
21

22
-- 删除用户映射
23
DROP USER MAPPING FOR postgres SERVER remote_server;
24

25
-- 删除服务器（CASCADE 同时删除依赖的外部表）
26
DROP SERVER remote_server CASCADE;
27

28
-- 删除扩展
29
DROP EXTENSION postgres_fdw;

展开收起

Warning

CASCADE 会同时删除所有依赖该服务器的外部表，可能导致业务中断。请确认无依赖后再执行。

多个docker-compose实例共享网络

Sun, 25 Jan 2026 00:00:00 GMT

创建容器内的网络#

1
services:
2
  app:
3
    networks:
4
      - net
5

6
networks:
7
  net:
8
    driver: bridge
9
    name: app-network

绑定容器外的网络#

Important

使用 external: true 时，目标网络必须预先通过 docker network create 创建，否则 compose 启动会报错。

这个网络必须存在

1
services:
2
  app:
3
    networks:
4
      - net
5

6
networks:
7
  net:
8
    external: true
9
    name: lin-net

绑定ip地址#

1
services:
2
  app:
3
    networks:
4
      net:
5
        ipv4_address: 172.20.0.102

Docker网络允许外部访问#

Warning

iptables -A FORWARD -j ACCEPT 会放行所有转发流量，存在安全风险。生产环境应使用更精确的 iptables 规则限制来源和目标。

Terminal window

1
# 开放
2
iptables -A FORWARD -j ACCEPT
3

4

5
yum install iptables-services
6
sudo service iptables save
7
systemctl enable iptables
8
systemctl start iptables

docker-compose配置文件详解

Sun, 25 Jan 2026 00:00:00 GMT

version

指定本 yml 依从的 compose 哪个版本制定的。

build

指定为构建镜像上下文路径：

例如 webapp 服务，指定为从上下文路径 ./dir/Dockerfile 所构建的镜像：

1
version: "3.7"
2
services:
3
  webapp:
4
    build: ./dir

或者，作为具有在上下文指定的路径的对象，以及可选的 Dockerfile 和 args：

1
version: "3.7"
2
services:
3
  webapp:
4
    build:
5
      context: ./dir
6
      dockerfile: Dockerfile-alternate
7
      args:
8
        buildno: 1
9
      labels:
10
        - "com.example.description=Accounting webapp"
11
        - "com.example.department=Finance"
12
        - "com.example.label-with-empty-value"
13
      target: prod

context：上下文路径。
dockerfile：指定构建镜像的 Dockerfile 文件名。
args：添加构建参数，这是只能在构建过程中访问的环境变量。
labels：设置构建镜像的标签。
target：多层构建，可以指定构建哪一层。

cap_add，cap_drop

添加或删除容器拥有的宿主机的内核功能。

1
cap_add:
2
  - ALL # 开启全部权限
3

4
cap_drop:
5
  - SYS_PTRACE # 关闭 ptrace权限

cgroup_parent

为容器指定父 cgroup 组，意味着将继承该组的资源限制。

1
cgroup_parent: m-executor-abcd

command

覆盖容器启动的默认命令。

1
command: ["bundle", "exec", "thin", "-p", "3000"]

container_name

指定自定义容器名称，而不是生成的默认名称。

1
container_name: my-web-container

depends_on

设置依赖关系。

docker-compose up ：以依赖性顺序启动服务。在以下示例中，先启动 db 和 redis ，才会启动 web。
docker-compose up SERVICE ：自动包含 SERVICE 的依赖项。在以下示例中，docker-compose up web 还将创建并启动 db 和 redis。
docker-compose stop ：按依赖关系顺序停止服务。在以下示例中，web 在 db 和 redis 之前停止。

1
version: "3.7"
2
services:
3
  web:
4
    build: .
5
    depends_on:
6
      - db
7
      - redis
8
  redis:
9
    image: redis
10
  db:
11
    image: postgres

注意：web 服务不会等待 redis db 完全启动之后才启动。

deploy

指定与服务的部署和运行有关的配置。只在 swarm 模式下才会有用。

1
version: "3.7"
2
services:
3
  redis:
4
    image: redis:alpine
5
    deploy:
6
      mode：replicated
7
      replicas: 6
8
      endpoint_mode: dnsrr
9
      labels:
10
        description: "This redis service label"
11
      resources:
12
        limits:
13
          cpus: '0.50'
14
          memory: 50M
15
        reservations:
16
          cpus: '0.25'
17
          memory: 20M
18
      restart_policy:
19
        condition: on-failure
20
        delay: 5s
21
        max_attempts: 3
22
        window: 120s

展开收起

可以选参数：

endpoint_mode：访问集群服务的方式。

1
endpoint_mode: vip
2
# Docker 集群服务一个对外的虚拟 ip。所有的请求都会通过这个虚拟 ip 到达集群服务内部的机器。
3
endpoint_mode: dnsrr
4
# DNS 轮询（DNSRR）。所有的请求会自动轮询获取到集群 ip 列表中的一个 ip 地址。

labels：在服务上设置标签。可以用容器上的 labels（跟 deploy 同级的配置）覆盖 deploy 下的 labels。

mode：指定服务提供的模式。

replicated：复制服务，复制指定服务到集群的机器上。
global：全局服务，服务将部署至集群的每个节点。

replicas：mode 为 replicated 时，需要使用此参数配置具体运行的节点数量。

resources：配置服务器资源使用的限制，例如上例子，配置 redis 集群运行需要的 cpu 的百分比和内存的占用。避免占用资源过高出现异常。

restart_policy：配置如何在退出容器时重新启动容器。

condition：可选 none，on-failure 或者 any（默认值：any）。
delay：设置多久之后重启（默认值：0）。
max_attempts：尝试重新启动容器的次数，超出次数，则不再尝试（默认值：一直重试）。
window：设置容器重启超时时间（默认值：0）。

rollback_config：配置在更新失败的情况下应如何回滚服务。

parallelism：一次要回滚的容器数。如果设置为0，则所有容器将同时回滚。
delay：每个容器组回滚之间等待的时间（默认为0s）。
failure_action：如果回滚失败，该怎么办。其中一个 continue 或者 pause（默认pause）。
monitor：每个容器更新后，持续观察是否失败了的时间 (ns|us|ms|s|m|h)（默认为0s）。
max_failure_ratio：在回滚期间可以容忍的故障率（默认为0）。
order：回滚期间的操作顺序。其中一个 stop-first（串行回滚），或者 start-first（并行回滚）（默认 stop-first ）。

update_config：配置应如何更新服务，对于配置滚动更新很有用。

parallelism：一次更新的容器数。
delay：在更新一组容器之间等待的时间。
failure_action：如果更新失败，该怎么办。其中一个 continue，rollback 或者pause （默认：pause）。
monitor：每个容器更新后，持续观察是否失败了的时间 (ns|us|ms|s|m|h)（默认为0s）。
max_failure_ratio：在更新过程中可以容忍的故障率。
order：回滚期间的操作顺序。其中一个 stop-first（串行回滚），或者 start-first（并行回滚）（默认stop-first）。

注：仅支持 V3.4 及更高版本。

devices

指定设备映射列表。

1
devices:
2
  - "/dev/ttyUSB0:/dev/ttyUSB0"

dns

自定义 DNS 服务器，可以是单个值或列表的多个值。

1
dns: 8.8.8.8
2

3
dns:
4
  - 8.8.8.8
5
  - 9.9.9.9

dns_search

自定义 DNS 搜索域。可以是单个值或列表。

1
dns_search: example.com
2

3
dns_search:
4
  - dc1.example.com
5
  - dc2.example.com

entrypoint

覆盖容器默认的 entrypoint。

1
entrypoint: /code/entrypoint.sh

也可以是以下格式：

1
entrypoint:
2
    - php
3
    - -d
4
    - zend_extension=/usr/local/lib/php/extensions/no-debug-non-zts-20100525/xdebug.so
5
    - -d
6
    - memory_limit=-1
7
    - vendor/bin/phpunit

env_file

从文件添加环境变量。可以是单个值或列表的多个值。

1
env_file: .env

也可以是列表格式：

1
env_file:
2
  - ./common.env
3
  - ./apps/web.env
4
  - /opt/secrets.env

environment

添加环境变量。您可以使用数组或字典、任何布尔值，布尔值需要用引号引起来，以确保 YML 解析器不会将其转换为 True 或 False。

1
environment:
2
  RACK_ENV: development
3
  SHOW: 'true'

expose

暴露端口，但不映射到宿主机，只被连接的服务访问。

仅可以指定内部端口为参数：

1
expose:
2
 - "3000"
3
 - "8000"

extra_hosts

添加主机名映射。类似 docker client —add-host。

1
extra_hosts:
2
 - "somehost:162.242.195.82"
3
 - "otherhost:50.31.209.229"

以上会在此服务的内部容器中 /etc/hosts 创建一个具有 ip 地址和主机名的映射关系：

1
162.242.195.82  somehost
2
50.31.209.229   otherhost

healthcheck

用于检测 docker 服务是否健康运行。

1
healthcheck:
2
  test: ["CMD", "curl", "-f", "http://localhost"] # 设置检测程序
3
  interval: 1m30s # 设置检测间隔
4
  timeout: 10s # 设置检测超时时间
5
  retries: 3 # 设置重试次数
6
  start_period: 40s # 启动后，多少秒开始启动检测程序

image

指定容器运行的镜像。以下格式都可以：

1
image: redis
2
image: ubuntu:14.04
3
image: tutum/influxdb
4
image: example-registry.com:4000/postgresql
5
image: a4bc65fd # 镜像id

logging

服务的日志记录配置。

driver：指定服务容器的日志记录驱动程序，默认值为json-file。有以下三个选项

1
driver: "json-file"
2
driver: "syslog"
3
driver: "none"

仅在 json-file 驱动程序下，可以使用以下参数，限制日志得数量和大小。

1
logging:
2
  driver: json-file
3
  options:
4
    max-size: "200k" # 单个文件大小为200k
5
    max-file: "10" # 最多10个文件

当达到文件限制上限，会自动删除旧的文件。

syslog 驱动程序下，可以使用 syslog-address 指定日志接收地址。

1
logging:
2
  driver: syslog
3
  options:
4
    syslog-address: "tcp://192.168.0.42:123"

network_mode

设置网络模式。

1
network_mode: "bridge"
2
network_mode: "host"
3
network_mode: "none"
4
network_mode: "service:[service name]"
5
network_mode: "container:[container name/id]"

networks

配置容器连接的网络，引用顶级 networks 下的条目。

1
services:
2
  some-service:
3
    networks:
4
      some-network:
5
        aliases:
6
         - alias1
7
      other-network:
8
        aliases:
9
         - alias2
10
networks:
11
  some-network:
12
    # Use a custom driver
13
    driver: custom-driver-1
14
  other-network:
15
    # Use a custom driver which takes special options
16
    driver: custom-driver-2

展开收起

aliases ：同一网络上的其他容器可以使用服务名称或此别名来连接到对应容器的服务。

restart

no：是默认的重启策略，在任何情况下都不会重启容器。
always：容器总是重新启动。
on-failure：在容器非正常退出时（退出状态非0），才会重启容器。
unless-stopped：在容器退出时总是重启容器，但是不考虑在Docker守护进程启动时就已经停止了的容器

1
restart: "no"
2
restart: always
3
restart: on-failure
4
restart: unless-stopped

注：swarm 集群模式，请改用 restart_policy。

secrets

存储敏感数据，例如密码：

1
version: "3.1"
2
services:
3

4
mysql:
5
  image: mysql
6
  environment:
7
    MYSQL_ROOT_PASSWORD_FILE: /run/secrets/my_secret
8
  secrets:
9
    - my_secret
10

11
secrets:
12
  my_secret:
13
    file: ./my_secret.txt

security_opt

修改容器默认的 schema 标签。

1
security-opt：
2
  - label:user:USER   # 设置容器的用户标签
3
  - label:role:ROLE   # 设置容器的角色标签
4
  - label:type:TYPE   # 设置容器的安全策略标签
5
  - label:level:LEVEL  # 设置容器的安全等级标签

stop_grace_period

指定在容器无法处理 SIGTERM (或者任何 stop_signal 的信号)，等待多久后发送 SIGKILL 信号关闭容器。

1
stop_grace_period: 1s # 等待 1 秒
2
stop_grace_period: 1m30s # 等待 1 分 30 秒

默认的等待时间是 10 秒。

stop_signal

设置停止容器的替代信号。默认情况下使用 SIGTERM 。

以下示例，使用 SIGUSR1 替代信号 SIGTERM 来停止容器。

1
stop_signal: SIGUSR1

sysctls

设置容器中的内核参数，可以使用数组或字典格式。

1
sysctls:
2
  net.core.somaxconn: 1024
3
  net.ipv4.tcp_syncookies: 0
4

5
sysctls:
6
  - net.core.somaxconn=1024
7
  - net.ipv4.tcp_syncookies=0

tmpfs

在容器内安装一个临时文件系统。可以是单个值或列表的多个值。

1
tmpfs: /run
2

3
tmpfs:
4
  - /run
5
  - /tmp

ulimits

覆盖容器默认的 ulimit。

1
ulimits:
2
  nproc: 65535
3
  nofile:
4
    soft: 20000
5
    hard: 40000

volumes

将主机的数据卷或者文件挂载到容器里。

1
version: "3.7"
2
services:
3
  db:
4
    image: postgres:latest
5
    volumes:
6
      - "/localhost/postgres.sock:/var/run/postgres/postgres.sock"
7
      - "/localhost/data:/var/lib/postgresql/data"

PostgreSQL 远程访问与数据目录迁移

Sun, 25 Jan 2026 00:00:00 GMT

尚未安装 PostgreSQL？参见 PostgreSQL 安装指南

一、配置远程访问#

1. 修改认证方式#

Warning

以下操作会降低数据库安全性。trust 认证允许本地用户免密连接为任意数据库用户，仅建议在开发/测试环境使用。生产环境应保持 peer 或使用 scram-sha-256。

Terminal window

1
# 将 host 连接的认证方式从 ident 改为 md5（密码认证）
2
sudo sed -i '/^host/s/ident/md5/' /etc/postgresql/14/main/pg_hba.conf
3

4
# 将本地连接的认证方式从 peer 改为 trust
5
sudo sed -i '/^local/s/peer/trust/' /etc/postgresql/14/main/pg_hba.conf

2. 允许任意 IP 连接#

编辑 /etc/postgresql/14/main/pg_hba.conf，添加：

Warning

0.0.0.0/0 表示允许所有 IP 连接，生产环境应限制为特定 IP 段，并确保使用强密码。

1
# 允许所有 IP 使用密码连接
2
host   all   all   0.0.0.0/0   md5

3. 监听所有网络接口#

编辑 /etc/postgresql/14/main/postgresql.conf，取消注释并修改：

1
listen_addresses = '*'

4. 重启服务#

Terminal window

1
sudo systemctl restart postgresql
2
sudo systemctl enable postgresql

二、数据目录迁移#

Caution

数据目录迁移操作风险较高，权限设置不正确或拷贝不完整会导致 PostgreSQL 无法启动。操作前务必停止服务并做好备份。

Terminal window展开收起

1
# 1. 停止服务
2
systemctl stop postgresql
3

4
# 2. 拷贝数据到新目录
5
cp -rf /var/lib/postgresql/14/main /opt/postgresql/
6

7
# 3. 设置权限
8
chown -R postgres:postgres /opt/postgresql/
9
chmod 700 /opt/postgresql/
10

11
# 4. 修改配置文件中的数据目录
12
vim /etc/postgresql/14/main/postgresql.conf
13
# 修改：data_directory = '/opt/postgresql/main'
14

15
# 5. 启动服务
16
systemctl start postgresql
17

18
# 6. 验证
19
psql -U postgres -c 'SHOW data_directory;'

展开收起

PostgreSQL 安装指南（Ubuntu / Docker）

Sat, 24 Jan 2026 00:00:00 GMT

一、Ubuntu 二进制安装#

Terminal window

1
# 安装 PostgreSQL 14
2
apt install -y postgresql-14
3

4
# 查看服务状态
5
systemctl status postgresql

修改数据库密码#

Terminal window

1
# 切换到 postgres 用户并登录
2
su - postgres
3
psql
4

5
# 或直接以 root 身份登录
6
psql -U postgres

1
-- 修改密码
2
ALTER USER postgres WITH PASSWORD 'your-password';

二、Docker Compose 部署#

适合测试环境，可在一台主机运行多个 PostgreSQL 实例：

docker-compose.yml展开收起

1
services:
2
  pgsql:
3
    image: postgres:14
4
    container_name: postgres
5
    restart: always
6
    command: >
7
      postgres
8
      -c config_file=/etc/postgresql/postgresql.conf
9
      -c hba_file=/etc/postgresql/pg_hba.conf
10
    environment:
11
      POSTGRES_PASSWORD: Passwd@2026
12
      TZ: Asia/Shanghai
13
    ports:
14
      - "5432:5432"
15
    volumes:
16
      - /opt/pgsql/data:/var/lib/postgresql/data
17
      - /opt/pgsql/config/postgresql.conf:/etc/postgresql/postgresql.conf:ro
18
      - /opt/pgsql/config/pg_hba.conf:/etc/postgresql/pg_hba.conf:ro
19
    networks:
20
      - app-net
21

22
networks:
23
  app-net:
24
    external: true

展开收起

自建Umami统计

Sat, 24 Jan 2026 00:00:00 GMT

写在前面#

Umami 是一个开源的分析工具，它可以帮助你了解你的网站的流量来源、用户行为、页面访问等信息。

Umami官方地址 umami

Umami官方文档: Umami - Doc

Umami官方API: Umami - API

正文#

这里需要注意一点，使用官方的api 只需要申请一个API KEY 就可以调用api了，如果使用自建服务器，需要先获取token，再进行调用。

认证#

POST /api/auth/login

首先你需要获得一个令牌，才能发起 API 请求。你需要向端点发送以下请求：POST/api/auth/login

1
{
2
  "username": "admin",
3
  "password": "umami"
4
}

如果成功，你应该会收到如下回复：

1
{
2
  "token": "eyTMjU2IiwiY...4Q0JDLUhWxnIjoiUE_A",
3
  "user": {
4
    "id": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
5
    "username": "admin",
6
    "role": "admin",
7
    "createdAt": "2000-00-00T00:00:00.000Z",
8
    "isAdmin": true
9
  }
10
}

保存获取到的token值，在发送所有API请求时，需要在请求头中包含授权信息。你的请求头应该是这样的：Authorization: Bearer

Terminal window

1
Authorization: Bearer eyTMjU2IiwiY...4Q0JDLUhWxnIjoiUE_A

每次需要权限的 API 调用都必须有授权令牌。

实现认证方式#

1
/**
2
 * 获取登录 Token (通过用户名/密码)
3
 * @param {string} baseUrl
4
 * @param {string} apiKey - 此处实际为 password
5
 */
6
async function fetchTokenData(baseUrl, apiKey) {
7
  const cached = localStorage.getItem(cacheTokenKey);
8
  if (cached) {
9
    try {
10
      const parsed = JSON.parse(cached);
11
      if (Date.now() - parsed.timestamp < cacheTTL) {
12
        return parsed.value;
13
      }
14
    } catch {
15
      localStorage.removeItem(cacheTokenKey);
16
    }
17
  }
18
  const res = await fetch(`${baseUrl}/api/auth/login`, {
19
    method: "POST",
20
    headers: {
21
      "Content-Type": "application/json",
22
    },
23
    body: JSON.stringify({
24
      username: "admin",
25
      password: apiKey,
26
    }),
27
  });
28
  if (!res.ok) {
29
    throw new Error("获取 Umami 登录信息失败");
30
  }
31
  const data = await res.json();
32
  localStorage.setItem(
33
    cacheTokenKey,
34
    JSON.stringify({ timestamp: Date.now(), value: data.token }),
35
  );
36
  return data.token;
37
}

展开收起

Important

使用这种方式会在浏览器中暴露请求的用户名和密码，建议创建一个单独的用户，只用于获取统计数据。

邪修玩法#

我们可以采用share key 认证方式，这样就不会暴露用户名和密码了。

原理：在umami网站中，我们可以将统计数据分享出去，使用户可以免登录查看统计数据。

分享页面请求了一下 /api/share/{shareId} 接口，返回了一个token，并且后面所有对api的请求都会带一个header x-umami-share-token，并且值和之前返回的token一致。

我们可以直接将上面的认证方法替换为x-umami-share-token，不需要使用用户名密码了。

1
/**
2
 * 获取分享 Token 数据
3
 * @param {string} baseUrl - Umami 实例地址
4
 * @param {string} shareId - 分享 ID
5
 */
6
async function fetchShareData(baseUrl, shareId) {
7
  const cached = localStorage.getItem(cacheShareKey);
8
  if (cached) {
9
    try {
10
      const parsed = JSON.parse(cached);
11
      if (Date.now() - parsed.timestamp < cacheTTL) {
12
        return parsed.value;
13
      }
14
    } catch {
15
      localStorage.removeItem(cacheShareKey);
16
    }
17
  }
18
  // 请求分享 API
19
  const res = await fetch(`${baseUrl}/api/share/${shareId}`);
20
  if (!res.ok) {
21
    throw new Error("获取 Umami 分享信息失败");
22
  }
23
  const data = await res.json();
24

25
  // 写入 LocalStorage 缓存
26
  localStorage.setItem(
27
    cacheShareKey,
28
    JSON.stringify({ timestamp: Date.now(), value: data }),
29
  );
30
  return data;
31
}

展开收起

Nacos 安装与鉴权配置指南

Thu, 22 Jan 2026 00:00:00 GMT

一、安装#

Terminal window

1
# 解压到安装目录
2
tar -zxvf nacos-server-x.x.x.tar.gz -C /opt/

目录说明：

目录	说明
`bin`	启动脚本
`conf`	配置文件
`target`	启动依赖
`data`	运行数据

二、启动#

Terminal window

1
# 单机模式启动
2
sh /opt/nacos/bin/startup.sh -m standalone

三、访问#

地址：http://ip:8848/nacos/
默认账号密码：nacos / nacos

Note

阿里云服务器需在安全组中开放 8848 端口。

四、持久化到 MySQL#

默认使用内嵌数据库，重启后数据丢失。生产环境建议持久化到 MySQL（5.6.5+）。

Note

尚未安装 MySQL？参见：CentOS MySQL 5.7 安装或 Ubuntu MySQL 8.1 安装

步骤：

在 MySQL 中创建 nacos 数据库，执行 nacos/conf/nacos-mysql.sql 初始化
修改 conf/application.properties，添加以下配置：

1
spring.datasource.platform=mysql
2

3
db.num=1
4
db.url.0=jdbc:mysql://127.0.0.1:3306/nacos?characterEncoding=utf8&connectTimeout=1000&socketTimeout=3000&autoReconnect=true&useUnicode=true&useSSL=false&serverTimezone=UTC
5
db.user.0=nacos
6
db.password.0=your-password

重启 Nacos

五、开启鉴权#

修改 conf/application.properties 文件。

开启鉴权#

1
nacos.core.auth.system.type=nacos
2
nacos.core.auth.enabled=true

配置 Token 密钥#

Warning

2.2.0.1 版本后必须手动配置 Token 密钥，否则无法启动。密钥需为 Base64 编码字符串，原始长度不低于 32 字符。

1
# 2.1.0 版本后使用此配置项
2
nacos.core.auth.plugin.nacos.token.secret.key=VGhpc0lzTXlDdXN0b21TZWNyZXRLZXkwMTIzNDU2Nzg=

生成 Base64 密钥：

Terminal window

1
echo -n 'YourCustomSecretKey0123456789012' | base64

配置节点身份标识#

1
nacos.core.auth.server.identity.key=example
2
nacos.core.auth.server.identity.value=example

完整鉴权配置示例#

1
### 开启鉴权
2
nacos.core.auth.system.type=nacos
3
nacos.core.auth.enabled=true
4
nacos.core.auth.caching.enabled=true
5
nacos.core.auth.enable.userAgentAuthWhite=false
6

7
### 节点身份标识（集群节点间通信白名单）
8
nacos.core.auth.server.identity.key=example
9
nacos.core.auth.server.identity.value=example
10

11
### Token 配置
12
nacos.core.auth.plugin.nacos.token.cache.enable=false
13
nacos.core.auth.plugin.nacos.token.expire.seconds=18000
14
nacos.core.auth.plugin.nacos.token.secret.key=VGhpc0lzTXlDdXN0b21TZWNyZXRLZXkwMTIzNDU2Nzg=

配置完成后重启 Nacos 即可生效。

MinIO 存储桶安全策略配置

Wed, 21 Jan 2026 00:00:00 GMT

Warning

将存储桶配置为 public 后，任何人均可通过 HTTP 请求直接上传、删除和列目录。应通过自定义策略严格限制操作权限。

将 MinIO 存储桶配置为 public 后，任何人均可通过 HTTP 请求直接操作存储桶内容。应通过自定义存储桶策略限制操作权限。

尚未部署 MinIO？参见 MinIO 对象存储安装指南

问题原因#

MinIO 的 public 策略等同于完全开放，包括列目录（s3:ListBucket）、上传（s3:PutObject）、删除（s3:DeleteObject）等操作均无限制。

推荐策略：仅允许公共读#

以下策略允许任何人读取文件（GetObject），但禁止写入、删除和列目录：

1
{
2
  "Version": "2012-10-17",
3
  "Statement": [
4
    {
5
      "Effect": "Allow",
6
      "Principal": "*",
7
      "Action": ["s3:GetObject"],
8
      "Resource": ["arn:aws:s3:::your-bucket-name/*"]
9
    },
10
    {
11
      "Effect": "Deny",
12
      "Principal": "*",
13
      "Action": [
14
        "s3:PutObject",
15
        "s3:DeleteObject",
16
        "s3:PutBucketPolicy",
17
        "s3:DeleteBucketPolicy"
18
      ],
19
      "Resource": [
20
        "arn:aws:s3:::your-bucket-name",
21
        "arn:aws:s3:::your-bucket-name/*"
22
      ]
23
    }
24
  ]
25
}

展开收起

仅禁止列目录#

如果只需防止目录遍历，可单独添加以下 Deny 规则：

1
{
2
  "Version": "2012-10-17",
3
  "Statement": [
4
    {
5
      "Effect": "Deny",
6
      "Principal": "*",
7
      "Action": "s3:ListBucket",
8
      "Resource": "arn:aws:s3:::your-bucket-name"
9
    }
10
  ]
11
}

将 your-bucket-name 替换为实际存储桶名称，然后在 MinIO Console 的 Bucket → Access Policy 中粘贴并保存即可。

MinIO 对象存储安装指南（Docker / 二进制）

Tue, 20 Jan 2026 00:00:00 GMT

MinIO 是一个兼容 Amazon S3 接口的高性能开源对象存储服务，适合存储非结构化数据（图片、视频、备份文件等）。

Warning

MinIO 从 RELEASE.2025-04-22T22-12-26Z 版本起转为收费授权，本文部署的是该最后免费版本。

官网：https://www.minio.org.cn

一、Docker Compose 部署（推荐）#

docker-compose.yaml展开收起

1
services:
2
  minio:
3
    image: minio/minio:RELEASE.2025-04-22T22-12-26Z
4
    container_name: minio
5
    hostname: minio
6
    ports:
7
      - 9000:9000   # API
8
      - 9001:9001   # Console
9
    volumes:
10
      - ./data:/data
11
    environment:
12
      - MINIO_ROOT_USER=admin
13
      - MINIO_ROOT_PASSWORD=Aa123456
14
    restart: always
15
    command: server --address ':9000' --console-address ':9001' /data
16
    networks:
17
      - app-net
18

19
networks:
20
  app-net:
21
    external: true

展开收起

二、二进制文件部署#

二进制文件归档下载地址：minio-archive

1. 下载并配置#

Terminal window

1
wget https://dl.min.io/server/minio/release/linux-amd64/archive/minio.RELEASE.2025-04-22T22-12-26Z
2
mkdir -p /opt/minio
3
mv minio.RELEASE.2025-04-22T22-12-26Z /opt/minio/minio
4
chmod +x /opt/minio/minio

2. 创建配置文件#

/opt/minio/minio.conf

1
# 数据存放目录
2
MINIO_VOLUMES="/opt/minio/data"
3
# 端口配置：API:9000，Console:9001
4
MINIO_OPTS="--address :9000 --console-address :9001"
5
# 管理员账号
6
MINIO_ROOT_USER="admin"
7
MINIO_ROOT_PASSWORD="Aa123456"

3. 配置 Systemd 服务#

/etc/systemd/system/minio.service展开收起

1
[Unit]
2
Description=MinIO
3
Documentation=https://docs.min.io
4
Wants=network-online.target
5
After=network-online.target
6
AssertFileIsExecutable=/opt/minio/minio
7

8
[Service]
9
User=root
10
Group=root
11
EnvironmentFile=/opt/minio/minio.conf
12
ExecStart=/opt/minio/minio server $MINIO_OPTS $MINIO_VOLUMES
13
Restart=always
14
LimitNOFILE=65536
15
TimeoutStopSec=infinity
16
SendSIGKILL=no
17

18
[Install]
19
WantedBy=multi-user.target

展开收起

4. 启动服务#

Terminal window

1
systemctl daemon-reload
2
systemctl enable minio
3
systemctl start minio
4
systemctl status minio
5
journalctl -u minio.service -f

Tip

安装完成后，建议配置存储桶安全策略防止目录泄露：MinIO 存储桶安全策略配置

使用 Squid 为内网服务器搭建 HTTP 代理

Mon, 19 Jan 2026 00:00:00 GMT

Note

Squid 通常部署在已完成初始化的 CentOS 服务器上，初始化步骤参见：CentOS 安装与初始化配置

在实际运维中，经常遇到部分服务器没有公网访问权限的情况。此时可以找一台同时接入局域网和互联网的机器，安装 Squid 作为代理服务器，让内网机器借道访问外网。

一、安装（在有网络的服务器上）#

Terminal window

1
# 安装 Squid
2
yum install -y squid
3

4
# 启动并设置开机自启
5
systemctl start squid
6
systemctl enable squid

二、配置 Squid#

Terminal window

1
# 编辑配置文件
2
vim /etc/squid/squid.conf

找到所有 http_access deny 行并注释掉，然后添加：

/etc/squid/squid.conf

1
# 允许所有来源访问
2
http_access allow all

Terminal window

1
# 重启使配置生效
2
systemctl restart squid

Squid 默认监听 3128 端口。

三、在无网络的服务器上使用代理#

Terminal window

1
# 配置 HTTP/HTTPS 代理（仅当前终端会话有效）
2
export http_proxy=http://192.168.0.217:3128
3
export https_proxy=http://192.168.0.217:3128
4

5
# 验证配置
6
echo $http_proxy
7
echo $https_proxy
8

9
# 测试是否生效
10
curl -I https://www.baidu.com

Warning

export 设置的代理仅对当前 Shell 会话有效，不能使用 sudo 命令（sudo 不会继承普通用户的环境变量）。

如需 yum 通过代理安装软件，请直接在 root 用户下设置，或在 /etc/yum.conf 中配置 proxy。

在 yum.conf 中永久配置代理#

Terminal window

1
vim /etc/yum.conf
2

3
# 添加以下行
4
proxy=http://192.168.0.217:3128

使用EdgeOne CDN加速你的任意网站

Sun, 18 Jan 2026 00:00:00 GMT

正式开始#

对于EdgeOne可加速的站点主要有2种，大部分互联网上可访问的站点都是这2种。

静态站点#

这类站点是使用Vercel、Github Pages、CloudFlare Pages搭建的静态网页，通常通过Git进行订阅更新，当你推送新内容的时候，服务商会自动的拉取代码，允许CI/CD，自动打包部署上线。

想要让Pages用上EO，其实很简单，只需要把Pages的CNAME值填入到EO 域名的加速站点里面即可。下面教大家如何操作。

CloudFlare Pages#

在你的Pages 添加自定义域，记录提供的CNAME值。

进入EO，你的域名，添加域名，加速域名填写pages的自定义域，源站配置填写上面的CNAME值，协议默认80，回源HOST头选择使用加速域名。

PS：如果出现下面的问题，那就说明CF的域名必须验证通过，是启用状态才可以。

因为CF边缘节点的域名并没有通过DNS验证，所以会报错1001，当然你也可以通过DNS服务商的区域做划分，让国内走EO，国外仍然使用CF。

这个时候可以先把cf的验证通过，后面再改成EO的CNAME。

CloudFlare Workers#

在你的Workers和Pages->你的项目，设置里面添加一个自定义路由。

然后把这个自定义的路由的域名解析到你的优选域名，或者添加自定义域，总之可以使用这个域名访问到Workers。

最后打开EO，你的域名，添加域名，源站配置填入cf添加的域名，回源HOST头使用源站域名。

EdgeOne Pages#

EO Pages本身就使用的是EO CDN的加速，如果你想要把你的Pages服务添加进你的加速域名里面进行统一管理，可以参考下面配置。

在Pages域名管理，添加一个自定义的域名，例如cdn-xxx.olinl.com。记录CNAME值，不需要做CNAME解析。

在你的域名，域名管理里面，添加一个加速域名，xxx.olinl.com（最终用户访问的域名），源站配置填写上面的CNAME，协议使用HTTP 80，回源HOST头自定义为cdn-xxx.olinl.com（Pages自定义域名）。

原理：当用户通过最终访问的域名访问时，会携带着回源自定义HOST头（cdn-xxx.olinl.com），到CANEM的Pages服务。

Caution

CNAME 接入方式默认使用 HTTP（80 端口）回源，不支持 HTTPS。如需 HTTPS 访问，请使用其他接入方式。

这里要注意的是：CNAME默认是HTTP，就是80访问，不支持HTTPS。

Vercel#

在你的项目-> Domains 添加一个自定义域名，和最终访问的域名一致，记录CNAME值，仍然不需要解析CNAME。

EO你的域名，添加域名，源站配置填写Vercel CNAME值，回源协议HTTPS 443，回源HOST头要和Vercel配置的域名一致，然后正常解析EO给你的CNAME值。等待配置完成即可访问。

# 动态站点

这里统称为部署在服务器上的站点需要加速。

添加域名，填写加速域名（用户最终访问的域名），源站配置填写服务器的ip，或者其他需要加速的域名，回源协议根据情况填写，如果没有ssl证书那就仅HTTP，端口也是，回源HOST头默认使用加速域名。

这里也可以直接将家用宽带的IPV6带宽带访问的服务加速成不带端口的，并加上防护和cdn。

参考如下：

Linux 下 OpenVPN 快速部署与配置全攻略

Sun, 18 Jan 2026 00:00:00 GMT

为什么自建 OpenVPN#

自建 OpenVPN 常见场景：

出差 / 异地时接回家庭或公司内网
多个 HomeLab 机房跨地域组网
访问云上 VPC 的私有子网
需要一个能穿越绝大多数防火墙的稳定 VPN 协议

相比 WireGuard、ZeroTier、Tailscale 这些更现代的方案，OpenVPN 的优势是历史悠久、客户端全平台覆盖、路由器 / OpenWRT / PVE 固件几乎都原生支持；缺点是性能不如 WireGuard、握手速度一般、配置相对复杂。

如果没有既定技术选型，刚起步做 VPN 推荐先看 WireGuard；本文针对已经决定用 OpenVPN 的读者。

本文结构#

1
服务端（你有一台公网 VPS / 家里有公网 IP）
2
    ├── 一键脚本（推荐，90% 场景够用）
3
    └── 手动 easy-rsa（想理解 PKI 原理）
4
               ↓
5
     生成 .ovpn 客户端配置文件
6
               ↓
7
客户端（手机 / 电脑 / 其他 Linux 服务器）
8
    ├── 安装 OpenVPN（按发行版）
9
    ├── 放 .ovpn 或 client.conf
10
    └── 用 systemd（主流）或 OpenRC（Alpine）跑

1. 前置条件#

服务端#

一台有公网 IP 的服务器（国外 VPS / 国内有公网 IP 的 VPS / 家里有公网的路由器后台机器都行）
系统为 Debian / Ubuntu / RHEL 系（CentOS / Rocky / AlmaLinux） / Alpine / Arch 任一
root 或 sudo 权限
云厂商安全组和主机防火墙放行 OpenVPN 端口（默认 UDP 1194）

客户端#

任意 Linux / Windows / macOS / Android / iOS 设备
能从服务端获取 .ovpn 配置文件（U 盘 / SCP / 安全聊天工具等）

第一部分：服务端部署#

两种方式都能用，推荐一键脚本——维护者持续更新、覆盖所有主流发行版、自动处理 PKI / iptables / systemd。手动 easy-rsa 适合想理解底层原理或要做深度定制的场景。

2. 方式 A：一键脚本（推荐）#

社区最成熟的维护者是 angristan/openvpn-install。支持 Ubuntu / Debian / CentOS / Fedora / Rocky / Alma / Oracle Linux。

curl | bash 的安全提醒

一键脚本会以 root 权限执行一大段远程代码。虽然项目口碑好、star 数多，但建议先下载审查再执行，养成习惯：

Terminal window

1
curl -O https://raw.githubusercontent.com/angristan/openvpn-install/master/openvpn-install.sh
2
less openvpn-install.sh       # 浏览脚本内容
3
chmod +x openvpn-install.sh
4
sudo ./openvpn-install.sh

2.1 交互式配置#

首次运行脚本会交互式问几个问题，关键几项：

问题	推荐值	说明
IP address	保持默认（脚本自动识别公网 IP）	如果机器有多个 IP / 在 NAT 后，手动改成出口公网 IP
Public IPv4 / hostname	服务端域名或公网 IP	客户端通过这个地址连过来
Protocol	UDP（推荐）	TCP 只在 UDP 被封的环境下用，性能差
Port	1194（默认）或自定	非标端口可规避扫描
DNS resolvers	1.1.1.1 / 8.8.8.8 任一	VPN 连上后客户端用的 DNS
Use compression	No	有安全隐患（VORACLE 攻击），关闭
Customize encryption	No	脚本默认值就很好
First client name	一个客户端标识（如 `alice-laptop`）	不能重名
Password protect	看需求	加密私钥增加一层保护，但每次连接要输密码

2.2 结果#

脚本执行完后：

OpenVPN 服务端已启动并设置开机自启（systemctl status openvpn@server）
IP forwarding 已开启并持久化
iptables / nftables NAT 规则已配置
客户端 .ovpn 文件生成在脚本执行目录（用户家目录），名为 <客户端名>.ovpn

把这个 .ovpn 发到客户端机器，跳到本文第二部分的客户端接入。

2.3 增删客户端#

再次运行同一个脚本，会进入管理菜单：

1
1) Add a new user
2
2) Revoke existing user
3
3) Remove OpenVPN
4
4) Exit

选 1 添加新客户端、选 2 吊销已发放的客户端（比如员工离职、手机丢了）。

2.4 一键脚本不支持 Alpine / Arch 的情况#

这两个发行版需要走下面的方式 B 手动部署，或用系统自带包直接配置（能跑，但 iptables/NAT 需自己加）。

3. 方式 B：手动部署（easy-rsa + 自写配置）#

3.1 安装 OpenVPN + easy-rsa#

发行版	命令
Debian / Ubuntu	`sudo apt update && sudo apt install -y openvpn easy-rsa`
RHEL / CentOS / Rocky / Alma	`sudo dnf install -y epel-release && sudo dnf install -y openvpn easy-rsa`
Alpine	`sudo apk add openvpn easy-rsa`
Arch	`sudo pacman -S --noconfirm openvpn easy-rsa`

3.2 初始化 PKI 并签发证书#

OpenVPN 用 PKI（公钥基础设施）做身份认证——服务端和每个客户端都有自己的证书，由同一个 CA 签发。

Terminal window展开收起

1
# 1. 把 easy-rsa 样板目录复制一份到工作目录
2
make-cadir ~/openvpn-ca        # 如果命令不存在，用 cp -r /usr/share/easy-rsa ~/openvpn-ca
3
cd ~/openvpn-ca
4

5
# 2. 初始化 PKI
6
./easyrsa init-pki
7

8
# 3. 创建 CA（会让你输入 CA 密码短语 + CN 名称）
9
./easyrsa build-ca
10

11
# 4. 生成服务端证书（nopass 表示服务端私钥不加密，方便服务自启）
12
./easyrsa build-server-full server nopass
13

14
# 5. 生成 Diffie-Hellman 参数（耗时几分钟）
15
./easyrsa gen-dh
16

17
# 6. 生成 HMAC 签名密钥（防 DoS + 端口扫描的额外一层）
18
openvpn --genkey secret pki/ta.key
19

20
# 7. 生成第 1 个客户端证书
21
./easyrsa build-client-full alice-laptop nopass

展开收起

3.3 放置文件到 OpenVPN 目录#

Terminal window

1
sudo mkdir -p /etc/openvpn/server
2
sudo cp pki/ca.crt \
3
        pki/issued/server.crt \
4
        pki/private/server.key \
5
        pki/dh.pem \
6
        pki/ta.key \
7
        /etc/openvpn/server/

3.4 编写 `/etc/openvpn/server/server.conf`#

1
port 1194
2
proto udp
3
dev tun
4

5
ca /etc/openvpn/server/ca.crt
6
cert /etc/openvpn/server/server.crt
7
key /etc/openvpn/server/server.key
8
dh /etc/openvpn/server/dh.pem
9
tls-auth /etc/openvpn/server/ta.key 0
10

11
# VPN 内网段（客户端会分到 10.8.0.x 的 IP）
12
server 10.8.0.0 255.255.255.0
13
ifconfig-pool-persist /var/log/openvpn/ipp.txt
14

15
# 让客户端所有流量都走 VPN（出国/翻墙场景必选；仅访问内网可注释）
16
push "redirect-gateway def1 bypass-dhcp"
17

18
# 推送 DNS 给客户端
19
push "dhcp-option DNS 1.1.1.1"
20
push "dhcp-option DNS 8.8.8.8"
21

22
keepalive 10 120
23
cipher AES-256-GCM
24
auth SHA256
25
user nobody
26
group nogroup         # Alpine / Arch 可能需要改成 nobody
27
persist-key
28
persist-tun
29

30
status /var/log/openvpn/status.log
31
log-append /var/log/openvpn/openvpn.log
32
verb 3
33

34
# 兼容新客户端的 TLS 最小版本
35
tls-version-min 1.2

展开收起

3.5 开启 IP 转发与 NAT#

让 VPN 客户端能通过服务端访问外网：

Terminal window

1
# 开启 IPv4 转发（持久化）
2
echo "net.ipv4.ip_forward=1" | sudo tee /etc/sysctl.d/99-openvpn.conf
3
sudo sysctl --system
4

5
# 配置 NAT（把 VPN 内网段伪装成服务端公网 IP 出去）
6
# 先查你的公网出口网卡名
7
ip -o -4 route show to default | awk '{print $5}'
8
# 假设输出是 eth0
9

10
sudo iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
11
sudo iptables -A FORWARD -i tun0 -j ACCEPT
12
sudo iptables -A FORWARD -o tun0 -j ACCEPT

持久化 iptables 规则：

发行版	命令
Debian / Ubuntu	`sudo apt install -y iptables-persistent && sudo netfilter-persistent save`
RHEL / CentOS / Rocky	`sudo iptables-save
Alpine	`sudo /etc/init.d/iptables save && sudo rc-update add iptables default`
Arch	`sudo iptables-save

3.6 启动服务#

systemd 系（Debian / Ubuntu / RHEL / Arch）：

Terminal window

1
sudo systemctl enable --now openvpn-server@server
2
sudo systemctl status openvpn-server@server

@server 对应 /etc/openvpn/server/server.conf。

Alpine（OpenRC）：

Terminal window

1
# Alpine 的 init script 默认用 /etc/openvpn/openvpn.conf
2
sudo mv /etc/openvpn/server/server.conf /etc/openvpn/openvpn.conf
3
sudo rc-service openvpn start
4
sudo rc-update add openvpn default

3.7 给客户端生成 `.ovpn` 文件#

手动部署下需要自己把证书、密钥、配置拼成一个独立的 .ovpn 文件发给客户端。

Terminal window展开收起

1
cat > ~/alice-laptop.ovpn <<EOF
2
client
3
dev tun
4
proto udp
5
remote your-server.example.com 1194
6
resolv-retry infinite
7
nobind
8
persist-key
9
persist-tun
10
remote-cert-tls server
11
cipher AES-256-GCM
12
auth SHA256
13
key-direction 1
14
verb 3
15

16
<ca>
17
$(cat ~/openvpn-ca/pki/ca.crt)
18
</ca>
19
<cert>
20
$(cat ~/openvpn-ca/pki/issued/alice-laptop.crt)
21
</cert>
22
<key>
23
$(cat ~/openvpn-ca/pki/private/alice-laptop.key)
24
</key>
25
<tls-auth>
26
$(cat ~/openvpn-ca/pki/ta.key)
27
</tls-auth>
28
EOF

展开收起

把 your-server.example.com 换成你的公网 IP 或域名；alice-laptop.ovpn 就是要发给客户端的文件。

第二部分：客户端接入#

4. 安装 OpenVPN 客户端#

客户端和服务端是同一个软件

OpenVPN 的服务端和客户端是同一个 openvpn 二进制，靠配置文件里是 mode server / client 区分。所以下面的安装命令和前面服务端完全一样。如果这台机器只做客户端，不装 easy-rsa 也行。

发行版	命令
Debian / Ubuntu	`sudo apt install -y openvpn`
RHEL / CentOS / Rocky / Alma	`sudo dnf install -y epel-release && sudo dnf install -y openvpn`
Alpine	`sudo apk add openvpn`
Arch	`sudo pacman -S --noconfirm openvpn`

5. 客户端配置文件#

5.1 方式 A：直接用服务端给的 `.ovpn` 文件（推荐）#

.ovpn 已经把 CA、证书、密钥都内嵌进去了，就一个文件。把它放到：

Terminal window

1
sudo mkdir -p /etc/openvpn/client
2
sudo cp alice-laptop.ovpn /etc/openvpn/client/myvpn.conf
3
# 注意：systemd 模板单元读 /etc/openvpn/client/ 下的 .conf 文件（不是 .ovpn）
4
# 所以这里重命名为 .conf

5.2 方式 B：手写最小 `client.conf` 模板#

如果服务端没直接给 .ovpn、只给了零散的证书文件，手写一个：

1
client
2
dev tun
3
proto udp
4
remote your-vpn-server.example.com 1194
5
resolv-retry infinite
6
nobind
7
persist-key
8
persist-tun
9
remote-cert-tls server
10

11
# 证书 & 密钥（路径用绝对路径或相对 /etc/openvpn/client/）
12
ca ca.crt
13
cert client.crt
14
key client.key
15
tls-auth ta.key 1
16

17
# 如果服务端启用了"用户名+密码"额外认证，取消下一行的注释
18
# auth-user-pass auth.txt
19

20
cipher AES-256-GCM
21
auth SHA256
22
verb 3

展开收起

保存为 /etc/openvpn/client/myvpn.conf，对应的证书文件放同一目录。

5.3 如果服务端启用了用户名密码认证#

某些服务端会在证书之外再要求用户名密码（双重认证）。先在配置里启用 auth-user-pass auth.txt，然后创建凭据文件：

Terminal window

1
sudo tee /etc/openvpn/client/auth.txt > /dev/null <<EOF
2
your_username
3
your_password
4
EOF
5
sudo chmod 600 /etc/openvpn/client/auth.txt

auth.txt 的权限 + 内容

文件必须 chmod 600，否则 OpenVPN 会拒绝读取
严禁把真实密码写进博客 / 教程 / 提交到 Git
密码文件尽量放在 root 可读的目录（/etc/openvpn/client/），不要放 /tmp 之类

6. 先手动前台运行验证一次#

正式做服务之前，先前台跑一次，确认配置有效、能连上：

Terminal window

1
sudo openvpn --config /etc/openvpn/client/myvpn.conf

期望日志里最后一行出现：

1
Initialization Sequence Completed

看到这条就说明连接成功。另开一个终端验证：

Terminal window

1
# 1. 是否出现 tun0 接口
2
ip a show tun0
3

4
# 2. 是否有 VPN 内网 IP（如 10.8.0.x）
5
# 3. 路由表是否把默认网关指到 tun0（如果服务端 push redirect-gateway）
6
ip route
7

8
# 4. 出口 IP 是不是 VPN 服务端的 IP
9
curl -s https://ipinfo.io/ip

确认无误后在第一个终端 Ctrl+C 退出，进下一步做服务化。

7. 客户端服务化#

7.1 systemd 系（Debian / Ubuntu / RHEL / Arch）#

强烈推荐用官方模板单元 openvpn-client@.service，不要自己造轮子。它已经自带了各种路径约定、权限处理、重连逻辑。

Terminal window

1
# 配置文件放 /etc/openvpn/client/<名字>.conf
2
ls /etc/openvpn/client/myvpn.conf
3

4
# 启用并立即启动（开机自启 + 现在就跑）
5
sudo systemctl enable --now openvpn-client@myvpn
6

7
# 查看状态
8
sudo systemctl status openvpn-client@myvpn
9

10
# 实时日志
11
sudo journalctl -u openvpn-client@myvpn -f
12

13
# 停止 / 禁用
14
sudo systemctl disable --now openvpn-client@myvpn

单元名后面的 @myvpn 和 /etc/openvpn/client/myvpn.conf 的文件名对应——想跑多个 VPN 配置各自独立，再放一份 /etc/openvpn/client/office.conf 然后 enable --now openvpn-client@office 即可。

为什么不自己写 .service 文件

OpenVPN 官方包自带 openvpn-client@.service 模板已经处理了：

自动找 /etc/openvpn/client/%i.conf 作为配置
正确的 working directory、权限降级
网络就绪后再启动
进程异常退出自动重启

自己 cat > /etc/systemd/system/openvpn-client.service 写个简版，很容易漏掉其中一项导致”前台能跑、服务跑不起来”。

7.2 OpenRC（Alpine）#

Alpine 用 OpenRC，没有 systemctl。

Terminal window

1
# Alpine 默认 init 脚本读 /etc/openvpn/openvpn.conf
2
# 如果你只跑一个 VPN，把配置文件改名放到那里
3
sudo mv /etc/openvpn/client/myvpn.conf /etc/openvpn/openvpn.conf
4

5
# 启动 + 开机自启
6
sudo rc-service openvpn start
7
sudo rc-update add openvpn default
8

9
# 状态
10
sudo rc-service openvpn status
11

12
# 日志（OpenRC 下日志通常在 /var/log/messages 或 /var/log/openvpn/）
13
tail -f /var/log/messages

多配置场景：Alpine 的 init script 支持给每个配置文件起一个独立的 service。参考 /etc/init.d/openvpn 的注释，常见做法是 ln -s /etc/init.d/openvpn /etc/init.d/openvpn.myvpn 再 rc-service openvpn.myvpn start——但兼容性视 Alpine 版本而异，建议 Alpine 场景保持单配置即可。

/dev/net/tun 缺失时才需要 mknod

现代 Linux 内核 + udev 下 /dev/net/tun 会自动创建。

只有在容器（Docker / LXC）或精简的嵌入式系统里才需要手动创建：

Terminal window

1
sudo mkdir -p /dev/net
2
sudo mknod /dev/net/tun c 10 200
3
sudo chmod 600 /dev/net/tun

同时容器要加 --cap-add=NET_ADMIN --device /dev/net/tun 才能跑 OpenVPN。

8. 连接验证#

不管用服务化跑还是前台跑，连上后都要验证：

Terminal window展开收起

1
# 1. VPN 接口和 IP
2
ip a show tun0
3
# 应该能看到 inet 10.8.0.x（或你服务端配的网段）
4

5
# 2. 路由
6
ip route
7
# 若服务端 push 了 redirect-gateway，看到类似：
8
# 0.0.0.0/1 via 10.8.0.1 dev tun0
9

10
# 3. 出口 IP 对比
11
curl -s https://ipinfo.io/ip
12
# 应该显示 VPN 服务端的公网 IP，不是本机原本的出口
13

14
# 4. 能否访问 VPN 内网资源
15
ping 10.8.0.1              # ping 服务端的 VPN 内网 IP

展开收起

四项都正常就说明 VPN 在稳定工作。

9. 常见故障排查#

报错 / 现象	可能原因	对策
`Connection refused`	服务端没起 / 端口不对 / 协议 UDP vs TCP 不匹配	服务端 `systemctl status openvpn-server@server`；确认防火墙 / 安全组放行 1194 UDP
`TLS handshake failed`	客户端时间差太大 / 防火墙拦截 / MTU 问题	客户端 `timedatectl` 校时；换 TCP 测试；配置里加 `tun-mtu 1400`
`AUTH_FAILED`	用户名密码不对 / `auth.txt` 格式错	确认 `auth.txt` 第 1 行用户名、第 2 行密码，无多余空行；`chmod 600`
连上后无法上网	服务端 IP forward 没开 / NAT 规则缺失	`sudo sysctl net.ipv4.ip_forward` 应为 1；检查 POSTROUTING MASQUERADE 规则
连上后仅内网通、公网不通	服务端没 push `redirect-gateway`	server.conf 加 `push "redirect-gateway def1 bypass-dhcp"`
DNS 不生效（能 ping IP 不能 ping 域名）	客户端没应用 push 的 DNS	systemd-resolved 系统需 `update-resolv-conf` 脚本；或客户端配 `script-security 2` + `up /etc/openvpn/update-resolv-conf`
前台能跑、服务跑不起来	自己写的 .service 文件有问题	改用官方模板单元 `openvpn-client@myvpn`
容器里起不来 `ERROR: Cannot open TUN/TAP dev /dev/net/tun`	`/dev/net/tun` 不存在或没权限	容器加 `--cap-add=NET_ADMIN --device /dev/net/tun`；必要时 `mknod` 手建
Alpine 上执行 `systemctl` 报 command not found	Alpine 用 OpenRC 不用 systemd	用 `rc-service openvpn` 系列命令

实在排查不出来的时候，加大日志 verbosity：配置文件 verb 3 改成 verb 5 甚至 verb 9，重启服务后看详细日志通常能定位到问题。

作者注

本教程在 Ubuntu 22.04 / 24.04 和 Debian 12 上以 OpenVPN 2.6.x 验证过主干流程。RHEL 系 / Alpine / Arch 的命令以各自官方包文档为准，主流程和 PKI 部分完全通用。

CentOS 安装 Samba 实现跨系统文件共享

Sat, 17 Jan 2026 00:00:00 GMT

Samba 是一个开源软件，实现了 SMB/CIFS 协议，允许在不同操作系统之间共享文件和打印机。

一、安装前准备#

Warning

Samba 与 SELinux 存在冲突，安装前请确认 SELinux 已关闭。

Terminal window

1
# 查看 SELinux 状态
2
getenforce
3

4
# 临时关闭
5
setenforce 0
6

7
# 永久关闭：编辑配置文件
8
vim /etc/sysconfig/selinux
9
# 将 SELINUX=enforcing 改为 SELINUX=disabled
10
# 修改后需重启系统生效
11

12
# 关闭防火墙（或手动开放 139、445 端口）
13
systemctl stop firewalld.service
14
systemctl disable firewalld.service

二、安装#

Terminal window

1
yum install -y samba samba-client

三、配置共享目录#

Terminal window

1
# 备份默认配置
2
mv /etc/samba/smb.conf /etc/samba/smb.conf.bak
3

4
# 创建新配置文件
5
vim /etc/samba/smb.conf

在文件中写入以下内容（以共享 /var/www/html 为例）：

/etc/samba/smb.conf

1
[global]
2
    workgroup = WORKGROUP
3
    security = user
4

5
[share]
6
    comment = Shared Directory
7
    path = /var/www/html
8
    browseable = yes
9
    writable = yes

四、创建 Samba 用户#

Terminal window

1
# 创建系统用户（如已存在可跳过）
2
useradd smbuser
3

4
# 为该用户设置 Samba 密码
5
smbpasswd -a smbuser
6
# 按提示输入密码
7

8
# 查看已创建的 Samba 用户
9
pdbedit -L

五、启动服务#

Terminal window

1
# 启动 Samba
2
systemctl start smb
3
# 设置开机自启
4
systemctl enable smb
5

6
# 确认服务正在运行
7
ss -antp | grep smbd

六、设置目录权限#

Terminal window

1
# 给指定用户设置目录的读写执行权限
2
setfacl -m u:smbuser:rwx /var/www/html
3

4
# 通用格式
5
# setfacl -m u:<用户名>:rwx /<目录>

CentOS 安装 MongoDB 3.4 并配置认证

Fri, 16 Jan 2026 00:00:00 GMT

Warning

本文内容来源于参考教程整理，部分步骤未经实机验证，仅供参考。如有问题请以官方文档为准。

一、添加 YUM 仓库并安装#

创建 MongoDB 仓库文件：

/etc/yum.repos.d/mongodb-org-3.4.repo

1
[mongodb-org-3.4]
2
name=MongoDB Repository
3
baseurl=https://repo.mongodb.org/yum/redhat/$releasever/mongodb-org/3.4/x86_64/
4
gpgcheck=1
5
enabled=1
6
gpgkey=https://www.mongodb.org/static/pgp/server-3.4.asc

Terminal window

1
# 安装 MongoDB
2
yum install -y mongodb-org

二、启动服务#

Terminal window

1
# 启动
2
systemctl start mongod.service
3
# 停止
4
systemctl stop mongod.service
5
# 重启
6
systemctl restart mongod.service
7
# 设置开机自启
8
systemctl enable mongod

三、配置外部访问#

Terminal window

1
# 修改配置文件
2
vim /etc/mongod.conf

找到 bindIp 字段，将其改为 0.0.0.0：

/etc/mongod.conf

1
# 修改前
2
bindIp: 127.0.0.1
3
# 修改后
4
bindIp: 0.0.0.0

Terminal window

1
# 重启使配置生效
2
systemctl restart mongod

连接 MongoDB：

Terminal window

1
mongo 127.0.0.1:27017

默认数据目录：/var/lib/mongo

默认日志目录：/var/log/mongodb

如需修改，在 /etc/mongod.conf 中调整对应路径。

四、配置用户认证#

先以无认证方式登录：

Terminal window

1
mongo 127.0.0.1:27017

在 MongoDB Shell 中创建管理员用户：

1
use admin
2
db.createUser({
3
  user: "admin",
4
  pwd: "your_password",
5
  roles: [{ role: "root", db: "admin" }]
6
})

开启认证：

/etc/mongod.conf

1
security:
2
  authorization: enabled

Terminal window

1
# 重启服务
2
systemctl restart mongod

重启后使用认证方式登录：

Terminal window

1
mongo 127.0.0.1:27017 -u admin -p your_password --authenticationDatabase admin

Kafka 跨平台安装与基础使用指南（Linux / Windows）

Thu, 15 Jan 2026 00:00:00 GMT

Warning

本文内容来源于参考教程整理，部分步骤未经实机验证，仅供参考。如有问题请以官方文档为准。

Kafka 下载地址：https://kafka.apache.org/downloads

下载Kafka软件包

一、安装#

Linux 下载并解压：

Terminal window

1
# 解压到指定目录
2
tar -zxvf kafka_2.13-3.5.1.tgz
3
mv kafka_2.13-3.5.1 /opt/kafka

Windows 直接解压到合适路径即可（建议纯英文路径，如 D:\env-java\）。

Note

Linux 命令在 bin/ 目录下执行
Windows 命令在 bin\windows\ 目录下执行

二、修改配置#

编辑 config/server.properties 和 config/zookeeper.properties：

Terminal window

1
# Linux 配置示例
2
broker.id=1
3
log.dirs=/opt/kafka/logs
4

5
# Windows 配置示例
6
broker.id=1
7
log.dirs=D:/env-java/kafka_2.13-3.5.1/kafka-logs

三、启动服务#

Terminal window展开收起

1
# 启动 ZooKeeper
2
## Linux
3
bin/zookeeper-server-start.sh -daemon config/zookeeper.properties
4
## Windows
5
bin\windows\zookeeper-server-start.bat config\zookeeper.properties
6

7
# 启动 Kafka
8
## Linux（后台启动，推荐）
9
cd /opt/kafka
10
nohup bin/kafka-server-start.sh config/server.properties 2>&1 &
11
# 或者
12
bin/kafka-server-start.sh -daemon config/server.properties
13

14
## Windows
15
bin\windows\kafka-server-start.bat config\server.properties

展开收起

四、常用操作#

Terminal window展开收起

1
# 创建 Topic
2
## Linux
3
bin/kafka-topics.sh --create --bootstrap-server localhost:9092 \
4
  --replication-factor 1 --partitions 1 --topic test
5

6
# 查看 Topic 列表
7
bin/kafka-topics.sh --list --bootstrap-server localhost:9092
8

9
# 查看 Topic 详情
10
bin/kafka-topics.sh --describe --bootstrap-server localhost:9092 --topic test
11

12
# 删除 Topic
13
bin/kafka-topics.sh --delete --bootstrap-server localhost:9092 --topic test
14

15
# 启动 Producer（生产者）
16
bin/kafka-console-producer.sh --broker-list localhost:9092 --topic test
17

18
# 启动 Consumer（消费者，从头消费）
19
bin/kafka-console-consumer.sh --bootstrap-server localhost:9092 \
20
  --topic test --from-beginning
21

22
# 删除 Topic 数据（需要 delete_script.json 文件）
23
bin/kafka-delete-records.sh --bootstrap-server localhost:9092 \
24
  --offset-json-file delete_script.json

展开收起

delete_script.json 文件格式：

1
{
2
  "partitions": [
3
    {
4
      "topic": "test",
5
      "partition": 0,
6
      "offset": -1
7
    }
8
  ]
9
}

CentOS 编译安装 Redis 6.2 并配置 Systemd 服务

Wed, 14 Jan 2026 00:00:00 GMT

Redis 版本：6.2.6

通过源码下载本地编译，配置 systemd 服务文件，使用 systemctl 进行管理。

一、下载解压#

Terminal window

1
# 下载 redis
2
wget https://cdn.olinl.com/redis-6.2.6.tar.gz
3
# 官方地址
4
# wget https://download.redis.io/releases/redis-6.2.6.tar.gz
5

6
# 解压并移动到 /opt
7
tar xzf redis-6.2.6.tar.gz
8
mv redis-6.2.6 /opt/redis

二、编译安装#

Terminal window

1
# 安装编译依赖
2
yum -y install gcc automake autoconf libtool make
3

4
# 进入目录并编译
5
cd /opt/redis
6
make MALLOC=libc
7

8
# 安装到指定目录
9
make install PREFIX=/opt/redis
10

11
# 验证启动
12
./bin/redis-server redis.conf

三、修改配置文件#

编辑 /opt/redis/redis.conf：

设置访问密码（第 901 行附近）

/opt/redis/redis.conf

1
requirepass your_password

允许外部访问（第 75 行附近）

Warning

bind 0.0.0.0 会使 Redis 监听所有网络接口，务必配合 requirepass 设置强密码，并通过防火墙限制访问来源。

/opt/redis/redis.conf

1
bind 0.0.0.0

设置后台运行（第 257 行附近）

/opt/redis/redis.conf

1
daemonize yes

四、注册 Systemd 服务#

创建服务文件：

/etc/systemd/system/redis.service

1
[Unit]
2
Description=redis-server
3
After=network.target
4

5
[Service]
6
Type=forking
7
ExecStart=/opt/redis/bin/redis-server /opt/redis/redis.conf
8
PrivateTmp=true
9

10
[Install]
11
WantedBy=multi-user.target

服务操作命令：

Terminal window展开收起

1
# 重载 systemd 配置
2
systemctl daemon-reload
3

4
# 启动
5
systemctl start redis
6
# 停止
7
systemctl stop redis
8
# 重启
9
systemctl restart redis
10
# 查看状态
11
systemctl status redis
12
# 开机自启
13
systemctl enable redis
14

15
# 确认进程是否运行
16
ps -ef | grep redis

展开收起

Xtrabackup MySQL 热备份工具使用指南

Tue, 13 Jan 2026 00:00:00 GMT

Xtrabackup 是 Percona 公司开发的 MySQL 开源热备份工具，支持在不停止数据库服务的情况下进行全量和增量备份。

相关文章：CentOS 安装 MySQL 5.7 完整指南 · Ubuntu 安装 MySQL 8.1 完整指南

一、安装#

Terminal window

1
# 下载二进制包
2
wget https://downloads.percona.com/downloads/Percona-XtraBackup-LATEST/Percona-XtraBackup-8.1.0-1/binary/tarball/percona-xtrabackup-8.1.0-1-Linux-x86_64.glibc2.17.tar.gz
3

4
# 解压并安装
5
tar -zxvf percona-xtrabackup-8.1.0-1-Linux-x86_64.glibc2.17.tar.gz
6
mv percona-xtrabackup-8.1.0-1-Linux-x86_64.glibc2.17 /app/xtrabackup
7

8
# 配置软链接（使命令全局可用）
9
ln -sf /app/xtrabackup/bin/* /usr/bin/
10

11
# 验证安装
12
xtrabackup --version

二、MySQL 配置要求#

备份前需在 /etc/my.cnf 中启用 GTID：

/etc/my.cnf

1
gtid_mode=ON
2
enforce_gtid_consistency=ON

三、创建备份专用用户#

MySQL 8.1 起必须使用非 root 用户执行备份：

1
-- 创建备份用户
2
CREATE USER 'bkpuser'@'localhost' IDENTIFIED BY 's3cr%T';
3

4
-- 授予必要权限
5
GRANT BACKUP_ADMIN, PROCESS, RELOAD, LOCK TABLES, REPLICATION CLIENT ON *.* TO 'bkpuser'@'localhost';
6
GRANT SELECT ON performance_schema.log_status TO 'bkpuser'@'localhost';
7
GRANT SELECT ON performance_schema.keyring_component_status TO 'bkpuser'@'localhost';
8
GRANT SELECT ON performance_schema.replication_group_members TO 'bkpuser'@'localhost';

Tip

各权限用途说明：

RELOAD：执行 FLUSH TABLES WITH REDO LOCK
REPLICATION CLIENT：查询 binlog 位点信息
BACKUP_ADMIN：执行 LOCK INSTANCE FOR BACKUP
PROCESS：查询 InnoDB 状态和进程列表

四、全量备份#

Terminal window

1
mkdir -p /app/backup
2

3
# 执行全量备份（带压缩）
4
xtrabackup --backup \
5
  --slave-info \
6
  -u bkpuser \
7
  -H 127.0.0.1 \
8
  -P 3306 \
9
  -p 's3cr%T' \
10
  --compress \
11
  --parallel=5 \
12
  --target-dir=/app/backup/backup_$(date +"%F_%H_%M_%S")

直接压缩为 gz 文件：

Terminal window

1
xtrabackup --backup -u bkpuser -H 127.0.0.1 -P 3306 -p 's3cr%T' \
2
  --stream=xbstream | gzip > /app/backup/backup_$(date +"%F_%H_%M_%S").gz

Ubuntu 安装 MySQL 8.1 完整指南

Mon, 12 Jan 2026 00:00:00 GMT

一、确定 Ubuntu 版本#

Terminal window

1
lsb_release -a

Terminal window

1
# 示例输出
2
root@huanfa:/# lsb_release -a
3
No LSB modules are available.
4
Distributor ID: Ubuntu
5
Description:    Ubuntu 22.04.5 LTS
6
Release:        22.04
7
Codename:       jammy

二、下载安装包#

前往 MySQL 官网下载 DEB Bundle：https://downloads.mysql.com/archives/community/

Terminal window

1
# 下载对应版本（DEB Bundle）
2
sudo wget https://downloads.mysql.com/archives/get/p/23/file/mysql-server_8.1.0-1ubuntu22.04_amd64.deb-bundle.tar

三、解压文件#

Terminal window

1
# 建议先创建一个目录再解压，避免文件散落
2
mkdir mysql-deb && cd mysql-deb
3
sudo tar -xvf ../mysql-server_8.1.0-1ubuntu22.04_amd64.deb-bundle.tar

四、安装 MySQL#

Note

安装过程中可能提示缺少 libaio1、libmecab2，按以下方式处理：

Terminal window

1
sudo apt-get update
2
sudo apt-get install libaio1 libmecab2

libmecab2 安装时会要求设置 root 密码。

Terminal window

1
# 按顺序依次安装，包之间有依赖关系，顺序不能乱
2
sudo dpkg -i mysql-common_8.1.0-1ubuntu22.04_amd64.deb
3
sudo dpkg -i mysql-community-client-plugins_8.1.0-1ubuntu22.04_amd64.deb
4
sudo dpkg -i libmysqlclient22_8.1.0-1ubuntu22.04_amd64.deb
5
sudo dpkg -i libmysqlclient-dev_8.1.0-1ubuntu22.04_amd64.deb
6
sudo dpkg -i mysql-community-client-core_8.1.0-1ubuntu22.04_amd64.deb
7
sudo dpkg -i mysql-community-client_8.1.0-1ubuntu22.04_amd64.deb
8
sudo dpkg -i mysql-client_8.1.0-1ubuntu22.04_amd64.deb
9
sudo dpkg -i mysql-community-server-core_8.1.0-1ubuntu22.04_amd64.deb
10
sudo dpkg -i mysql-community-server_8.1.0-1ubuntu22.04_amd64.deb
11
sudo dpkg -i mysql-server_8.1.0-1ubuntu22.04_amd64.deb

五、验证安装#

Terminal window

1
mysql -u root -p
2
# 密码为安装 libmecab2 时设置的密码

Terminal window

1
# 正常安装后输出示例
2
mysql> status
3
--------------
4
mysql  Ver 8.1.0 for Linux on x86_64 (MySQL Community Server - GPL)
5
...

六、配置外部访问#

1
-- 查看用户信息
2
select host, user from mysql.user;
3

4
-- 新建允许外部访问的 root 用户（推荐）
5
CREATE USER root@'%' IDENTIFIED WITH mysql_native_password BY 'your_password';
6
GRANT ALL ON *.* TO root@'%' WITH GRANT OPTION;
7
flush privileges;
8
exit;

Terminal window

1
# 修改 MySQL 配置文件，允许外部连接
2
sudo vim /etc/mysql/mysql.conf.d/mysqld.cnf
3
# 修改或添加：
4
bind-address = 0.0.0.0
5

6
# 重启 MySQL
7
sudo service mysql restart

七、修改数据存储位置#

Terminal window

1
# 停止 MySQL 服务
2
sudo service mysql stop
3

4
# 创建新目录并复制数据
5
sudo mkdir -p /data/mysql
6
sudo cp -ar /var/lib/mysql /data/mysql
7
sudo chown -R mysql:mysql /data/mysql
8

9
# 修改 MySQL 配置
10
sudo vim /etc/mysql/mysql.conf.d/mysqld.cnf
11
# 将 datadir 修改为：
12
datadir = /data/mysql

Warning

Ubuntu 有 AppArmor 访问控制，仅修改 MySQL 配置不够，还需同步修改 AppArmor 规则。

Terminal window展开收起

1
# 修改 AppArmor 配置
2
sudo vim /etc/apparmor.d/usr.sbin.mysqld
3
# 找到：
4
#   /var/lib/mysql/ r,
5
#   /var/lib/mysql/** rwk,
6
# 修改为：
7
#   /data/mysql/ r,
8
#   /data/mysql/** rwk,
9

10
# 修改 abstractions 配置
11
sudo vim /etc/apparmor.d/abstractions/mysql
12
# 找到：
13
#   /var/lib/mysql{,d}/mysql{,d}.sock rw
14
# 修改为：
15
#   /data/mysql{,d}/mysql{,d}.sock rw
16

17
# 重启 AppArmor 和 MySQL
18
sudo service apparmor restart
19
sudo service mysql start
20

21
# 验证数据目录
22
mysql -uroot -p -e "show variables like '%datadir%';"

展开收起

Tip

安装完成后，建议使用 XtraBackup 定期备份数据库：XtraBackup 备份与恢复

CentOS 安装 MySQL 5.7 完整指南

Sun, 11 Jan 2026 00:00:00 GMT

采用官网 RPM 包安装，版本为 MySQL 5.7 最后一个稳定版。

一、下载解压#

打开 MySQL 社区版下载网站：https://downloads.mysql.com/archives/community

CentOS 是基于红帽的，Select OS Version 选择 Linux 7，如下图

下载MySQL镜像

Terminal window

1
# 官网 mysql 5.7 下载地址
2
https://downloads.mysql.com/archives/get/p/23/file/mysql-5.7.44-1.el7.x86_64.rpm-bundle.tar

下载并解压

Terminal window

1
# 下载精简包
2
wget https://cdn.olinl.com/centos/mysql-5.7.44-1.el7.x86_64.rpm-bundle-lite.tar
3
# 官网全量包
4
# wget https://downloads.mysql.com/archives/get/p/23/file/mysql-5.7.44-1.el7.x86_64.rpm-bundle.tar
5

6
# 解压压缩包
7
tar -xvf mysql-5.7.44-1.el7.x86_64.rpm-bundle-lite.tar

二、安装#

Terminal window

1
# 按顺序依次安装（顺序不可乱）
2
rpm -ivh mysql-community-common-5.7*.x86_64.rpm --nodeps --force
3
rpm -ivh mysql-community-libs-5.7*.x86_64.rpm --nodeps --force
4
rpm -ivh mysql-community-client-5.7*.x86_64.rpm --nodeps --force
5
rpm -ivh mysql-community-server-5.7*.x86_64.rpm --nodeps --force
6

7
# 查看已安装的 MySQL
8
rpm -qa | grep mysql

三、初始化与启动#

1. 默认目录初始化#

Terminal window展开收起

1
# 初始化 MySQL
2
mysqld --initialize
3
# 给数据目录权限
4
chown mysql:mysql /var/lib/mysql -R
5
# 启动服务
6
systemctl start mysqld.service
7
# 设置开机自启
8
systemctl enable mysqld
9

10
# 查看初始密码
11
cat /var/log/mysqld.log | grep password
12

13
# 登录并修改密码
14
mysql -uroot -p
15
## 输入上面获取的初始密码，然后执行：
16
ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY 'your_password';
17
FLUSH PRIVILEGES;

展开收起

2. 自定义数据目录#

Warning

设置自定义目录前，务必禁用 SELinux，否则 MySQL 无法访问自定义路径。

以 /opt/mysql/data 为例，先修改 /etc/my.cnf：

/etc/my.cnf

1
[mysqld]
2
datadir=/opt/mysql/data
3
log-error=/opt/mysql/mysqld.log
4
socket=/opt/mysql/mysql.sock

然后执行初始化：

Terminal window展开收起

1
# 创建数据目录
2
mkdir -p /opt/mysql/data
3

4
# 赋权
5
chown mysql:mysql /opt/mysql -R
6

7
# 使用 mysql 用户初始化
8
sudo -u mysql mysqld --initialize --datadir=/opt/mysql/data
9

10
# 启动服务
11
systemctl start mysqld.service
12
systemctl enable mysqld
13

14
# 查看初始密码
15
cat /opt/mysql/mysqld.log | grep password
16

17
# 登录并修改密码
18
mysql -uroot -p
19
ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY 'your_password';
20
FLUSH PRIVILEGES;

展开收起

四、配置外部访问#

MySQL 安装后 root 用户默认只允许 localhost 登录，生产环境建议新建专用用户，而非直接开放 root。

推荐：新建允许外部访问的用户

1
-- 登录 MySQL
2
mysql -uroot -p
3

4
-- 创建允许外部访问的用户
5
CREATE USER 'root'@'%' IDENTIFIED BY 'your_password';
6
GRANT ALL PRIVILEGES ON *.* TO 'root'@'%' WITH GRANT OPTION;
7
FLUSH PRIVILEGES;

不推荐：直接修改 root 用户 host

1
mysql -uroot -p
2

3
UPDATE mysql.user SET host = '%' WHERE user = 'root';
4
FLUSH PRIVILEGES;

Tip

安装完成后，建议使用 XtraBackup 定期备份数据库：XtraBackup 备份与恢复

Nginx 安装与配置指南

Fri, 09 Jan 2026 00:00:00 GMT

一、安装#

CentOS（yum）#

Terminal window

1
# 添加 Nginx 官方 YUM 源
2
rpm -ivh http://nginx.org/packages/centos/7/noarch/RPMS/nginx-release-centos-7-0.el7.ngx.noarch.rpm
3

4
# 安装 Nginx
5
yum install -y nginx
6

7
# 启动并设置开机自启
8
systemctl start nginx
9
systemctl enable nginx

Ubuntu / Debian（apt）#

Terminal window

1
apt install -y nginx
2
systemctl start nginx
3
systemctl enable nginx
4
nginx -t

二、主配置文件结构#

通常不会直接修改主配置文件，而是采用引入外部文件的方式管理多个站点。

nginx.conf展开收起

1
http {
2
  # 注释掉默认的 include，防止 80 端口冲突
3
  # include /etc/nginx/conf.d/*.conf;
4

5
  # 引入自定义 HTTP 配置
6
  include /opt/nginx/http/*.conf;
7

8
  # 不限制文件上传大小
9
  client_max_body_size 0;
10
}
11

12
# TCP/UDP 代理（需要在 http 块外部）
13
stream {
14
  include /opt/nginx/server/*.conf;
15
}

展开收起

三、静态站点 / Vue SPA#

/opt/nginx/http/spa.conf展开收起

1
server {
2
    listen 80;
3
    server_name example.com;
4
    root /opt/app/dist;
5
    index index.html;
6

7
    location / {
8
        try_files $uri $uri/ /index.html;
9
    }
10

11
    location /api/ {
12
        proxy_set_header Host $http_host;
13
        proxy_set_header X-Real-IP $remote_addr;
14
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
15
        proxy_set_header X-Forwarded-Proto $scheme;
16
        proxy_pass http://127.0.0.1:8080/;
17
    }
18
}

展开收起

四、SSL / HTTPS#

/opt/nginx/http/ssl.conf展开收起

1
server {
2
    listen 80;
3
    server_name example.com;
4
    return 301 https://$host$request_uri;
5
}
6

7
server {
8
    listen 443 ssl http2;
9
    server_name example.com;
10

11
    ssl_certificate        /opt/cert/example.com.pem;
12
    ssl_certificate_key    /opt/cert/example.com.key;
13
    ssl_protocols          TLSv1.1 TLSv1.2 TLSv1.3;
14
    ssl_ciphers            EECDH+CHACHA20:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:!MD5;
15
    ssl_prefer_server_ciphers on;
16
    ssl_session_cache      shared:SSL:10m;
17
    ssl_session_timeout    10m;
18
    add_header Strict-Transport-Security "max-age=31536000" always;
19

20
    root /opt/app/dist;
21
    index index.html;
22

23
    location / {
24
        try_files $uri $uri/ /index.html;
25
    }
26

27
    location /api/ {
28
        proxy_set_header Host $http_host;
29
        proxy_set_header X-Real-IP $remote_addr;
30
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
31
        proxy_set_header X-Forwarded-Proto $scheme;
32
        proxy_pass http://127.0.0.1:8080/;
33
    }
34
}

展开收起

五、反向代理#

/opt/nginx/http/proxy.conf展开收起

1
server {
2
    listen 80;
3
    server_name app.example.com;
4

5
    location / {
6
        proxy_set_header Host $http_host;
7
        proxy_set_header X-Real-IP $remote_addr;
8
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
9
        proxy_set_header X-Forwarded-Proto $scheme;
10
        proxy_connect_timeout 60s;
11
        proxy_send_timeout    600s;
12
        proxy_read_timeout    600s;
13
        proxy_pass http://127.0.0.1:3000;
14
    }
15
}

展开收起

六、WebSocket 代理#

代理 WebSocket 服务时需额外设置 Upgrade 和 Connection 请求头，否则 WS 握手会失败。

/opt/nginx/http/ws.conf展开收起

1
map $http_upgrade $connection_upgrade {
2
    default upgrade;
3
    ''      close;
4
}
5

6
server {
7
    listen 80;
8
    server_name ws.example.com;
9

10
    location / {
11
        proxy_set_header Host $http_host;
12
        proxy_set_header X-Real-IP $remote_addr;
13
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
14
        proxy_set_header X-Forwarded-Proto $scheme;
15
        proxy_http_version 1.1;
16
        proxy_set_header Upgrade $http_upgrade;
17
        proxy_set_header Connection $connection_upgrade;
18
        proxy_connect_timeout 60s;
19
        proxy_read_timeout    3600s;
20
        proxy_send_timeout    3600s;
21
        proxy_pass http://127.0.0.1:3001;
22
    }
23
}

展开收起

Tip

map 指令需放在 http 块内（通常在主配置文件中定义一次即可），用于自动将 HTTP 升级为 WebSocket 连接。proxy_read_timeout 建议设置较大值，防止长连接被提前断开。

七、TCP 流量转发（stream 模块）#

适用于转发 MySQL、Redis 等 TCP 服务。stream 块与 http 块同级。以 MySQL 为例（安装参见 CentOS MySQL 5.7 安装）：

/opt/nginx/server/mysql.conf

1
upstream mysql3306 {
2
    hash $remote_addr consistent;
3
    server 192.168.1.58:3306 weight=5 max_fails=3 fail_timeout=30s;
4
}
5

6
server {
7
    listen 33306;
8
    proxy_connect_timeout 100s;
9
    proxy_timeout 500s;
10
    proxy_pass mysql3306;
11
}

Note

使用 stream 模块前需确认编译时包含了该模块：

Terminal window

1
nginx -V 2>&1 | grep with-stream

八、MinIO 反向代理#

Note

尚未部署 MinIO？参见：MinIO 对象存储安装指南

MinIO 签名验证依赖 Host 头，必须正确透传，否则出现 The request signature we calculated does not match the signature you provided 错误。

/opt/nginx/http/minio.conf

1
server {
2
    listen 9000;
3
    server_name minio.example.com;
4
    client_max_body_size 0;
5

6
    location / {
7
        proxy_set_header Host $http_host;
8
        proxy_set_header X-Real-IP $remote_addr;
9
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
10
        proxy_pass http://127.0.0.1:9001;
11
    }
12
}

利用EdgeOne Pages给飞牛容器一个固定域名

Wed, 07 Jan 2026 00:00:00 GMT

写在前面#

其原因是看到一个仓库

myflavor

edge-ug-docker

该仓库是利用Edge Pages反代绿联的docker代理，实现使用自己的域名直接访问docker端口

那么飞牛的同理，我们也可以使用飞牛的FN Connect服务，为自己的Docker容器端口绑定一个自己的域名，实现上述操作。

Note

飞牛API参考仓库

FNOSP

fnnas-api

Important

由于飞牛的API使用的是websocket，所以需要一个api服务对外提供查询服务，随后使用一个前端服务对API返回的url地址进行反代。

API项目：

olinll

edge-fn-docker-api

前端反代项目：