Self-Hosting on Yuanye Ma's Blog

非对称加密与 mTLS 身份认证

yuanye.ma@qq.com (Yuanye Ma) — Sat, 25 Jul 2026 10:00:00 +0800

术语	解释
HTTP	无状态的超文本传输协议，明文传输
SSL	使用加密技术保护数据安全性，安全性被质疑，现在逐步被 TLS 取代
TLS	传输层安全性，SSL 的后续版本，提供比 SSL 更强的加密和身份验证。有多个版本 TLS 1.0/1.1/1.2/1.3 等
HTTPS	HTTP 的安全版本，使用 SSL/TLS 协议在 HTTP 的基础上提供加密和安全性。双方先用非对称加密协商出密钥，后续通信使用对称加密
X.509	定义了数字证书的格式标准和使用规范

加/解密过程

sequenceDiagram
participant Bob
participant Alice
Alice ->> Bob : Alice的公钥公开
Note right of Bob : 明文 XXX
Note right of Bob : 用Alice的公钥对明文加密
Note right of Bob : 得到密文 YYYY
Bob ->> Alice : 密文
Note right of Alice: 用Alice的私钥对密文进行解密
Note right of Alice : 得到解密后的明文 XXX

中间的密文，如果没有私钥，就没办法进行破解

签名/验签过程

graph LR
subgraph 发送方
direction TB
A[原始信息]
B[Hash运算]
C["摘要（Digest）"]
D["签名（Signature）"]
A -->|MD5/SHA-256| B
B --> C
C -->|用私钥加密| D
end
subgraph 接收方
direction TB
E[原始信息]
F[Hash运算]
G["摘要（Digest）"]
G'["摘要'（Digest'）"]
H["签名（Signature）"]
I{判断是否相等}
E -->|MD5/SHA-256| F
F --> G
H -->|用公钥解密| G'
G --> I
G' --> I
end
D -->|发送含签名的信息| H
A -.->|原始信息也发送| E

a. 如果信息原文被篡改，则HASH后的摘要就会变，Digest和Digest’就不一样了，验签失败。 b. 如果签名被替换了的话，则公钥解密失败（解密出来的东西就不一样了），Digest和Digest’就不一样了，验签失败。

签名证明了三件事

不可否认性：只有持有私钥的人能产生这个签名，赖不掉。
完整性：签名包含了消息的hash，消息被篡改一个字节，hash就对不上了。
不可伪造性：没有私钥的人，无法为任意消息算出有效的签名

引入CA

发送方将自己的个人信息以及公钥，用CA的私钥进行签名，得到证书。
发送方将需要发送的原始信息和证书以及个人签名一起发送。
接受方，收到信息后，
1. 用CA的公钥验证发送发的证书，验证通过（证书确实是发送方的证书，并且经过CA签名的，未经篡改，证书中的公钥确实是发送发的公钥）；
2. 拿到发送方的公钥（从证书中提取）
3. 用提取得到的公钥验证发送方附带的个人签名，确认确实是发送方发送的。

证书

证书结构

X.509证书结构

版本：V3
序列号：12:34:56:78 （唯一序列号）
签名算法：ECDSA-SHA
签发者 ：
 C =CN，
 O=domain-name,
 CN = domain-name Factory CA

有效期
 Not Befor : 2026-07-24
 Not After:2036-07-21

主题（Subject）
 CN = DEV-20260725-00001
 O = domain-name

持有人公钥：
 Algorithm : EC P-256 (prime256v1)
 Key : 04:0a:9f:22:b4:26:...

签名 ： 签名者用私钥对以上信息进行签名(HASH取摘要，对摘要用私钥进行加密)

比如以下这个设备证书

# openssl x509 -in ./device.crt -text -noout
Certificate:
 Data:
 Version: 3 (0x2)
 Serial Number:
 52:23:64:76:be:87:9c:90:2a:7a:a8:13:25:5b:ef:4e:8e:04:d8:02
 Signature Algorithm: ecdsa-with-SHA256
 Issuer: C=CN, O=domain-name, CN=domain-name Factory CA
 Validity
 Not Before: Jul 24 14:55:48 2026 GMT
 Not After : Jul 21 14:55:48 2036 GMT
 Subject: CN=DEV-20260718-00001, O=domain-name
 Subject Public Key Info:
 Public Key Algorithm: id-ecPublicKey
 Public-Key: (256 bit)
 pub:
 04:0a:9f:22:b4:26:cc:ed:6e:c4:6c:5f:67:c4:34:
 b1:86:53:ab:b1:26:9c:fd:9b:aa:54:8c:ad:d3:10:
 a3:0c:de:a7:f9:d5:c9:66:cb:ec:59:67:a0:01:f2:
 58:6b:b4:03:e8:ce:ce:13:05:90:4b:45:ce:07:b3:
 56:3d:e3:8d:cd
 ASN1 OID: prime256v1
 NIST CURVE: P-256
 X509v3 extensions:
 X509v3 Subject Key Identifier:
 AF:7C:A8:CE:D6:C6:D9:A7:E6:18:51:8F:7E:0F:3A:F5:BD:6B:9C:99
 X509v3 Authority Key Identifier:
 EF:7B:9C:DA:90:EB:8E:1A:87:2F:61:34:C2:4F:8A:30:5D:E0:E7:CE
 Signature Algorithm: ecdsa-with-SHA256
 Signature Value:
 30:45:02:20:78:ea:6c:67:20:f5:4a:b2:2c:0e:1e:85:4c:f6:
 ab:16:a0:e4:58:14:9b:30:c8:e0:3d:22:28:c5:3e:54:53:18:
 02:21:00:b8:81:b0:19:c7:05:e5:eb:d4:82:a7:af:28:b3:d5:
 ff:16:61:1b:64:30:a3:f0:27:33:ca:7c:58:8e:fe:db:77

证书 = 公钥 + 身份 + CA签名

编号	全程	含义
CN	Common Name	实体的名字
O	Organization	组织/公司名
C	Country	国家代码

证书生成命令

生成证书的过程：

 # 1. 生成设备 EC P-256 密钥对
 openssl ecparam -genkey -name prime256v1 -out device.key

 # 2. 生成 CSR (证书签名请求)，CN 填设备 SN
 openssl req -new -key device.key -out device.csr -subj "/CN=DEV-20260718-00001/O=domain-name"

 # 3. 工厂 CA 签发证书（10 年）
 openssl x509 -req -days 3650 -in device.csr \
 -CA factory-ca.crt -CAkey factory-ca.key \
 -sha256 -out device.crt

 # 4. 构建证书链（设备 + 中间 CA）
 cat device.crt factory-ca.crt > chain.crt

查看证书中的信息：

 # 基本信息（主题、签发者、有效期）
 openssl x509 -in device.crt -noout -subject -issuer -dates

 # 指纹
 openssl x509 -in device.crt -noout -fingerprint -sha256

 # 完整内容
 openssl x509 -in device.crt -text -noout

 # 验证证书链
 openssl verify -CAfile root-ca.crt -untrusted factory-ca.crt device.crt

 # 查看私钥
 openssl ec -in device.key -text -noout

证书链

生成顺序：Root → Factory → Device 信任方向：Device → Factory → Root (反过来验证)

第 1 步：生成 Root CA（自签名）

 # 生成根私钥
 openssl ecparam -genkey -name prime256v1 -out root-ca.key

 # 自己给自己签发
 openssl req -new -x509 -days 10950 -key root-ca.key -out root-ca.crt \
 -subj "/C=CN/O=domain-name/CN=domain-name Root CA"

产物：root-ca.key + root-ca.crt。 root-ca.crt 里 Issuer = Subject = domain-name Root CA（自己签自己）。

第 2 步：生成 Factory CA（由 Root 签发）

# 生成工厂私钥
openssl ecparam -genkey -name prime256v1 -out factory-ca.key

# 生成 CSR (证书请求文件)
openssl req -new -key factory-ca.key -out factory-ca.csr \
 -subj "/C=CN/O=domain-name/CN=domain-name Factory CA"

# Root 用自己的私钥签发 Factory 证书
openssl x509 -req -days 7300 -in factory-ca.csr \
 -CA root-ca.crt -CAkey root-ca.key \
 -sha256 -out factory-ca.crt

此时 factory-ca.crt 里 Issuer = Root CA, Subject = Factory CA。 Root 用自己的私钥在 Factory 证书上签了名。

第 3 步：生成 Device 证书（由 Factory 签发）

# 生成设备私钥
openssl ecparam -genkey -name prime256v1 -out device.key

# 生成 CSR（CN = 设备 SN，这就是设备身份）
openssl req -new -key device.key -out device.csr \
 -subj "/CN=DEV-20260718-00001/O=domain-name"

# Factory 用自己的私钥签发设备证书
openssl x509 -req -days 3650 -in device.csr \
 -CA factory-ca.crt -CAkey factory-ca.key \
 -sha256 -out device.crt

此时 device.crt 里 Issuer = Factory CA, Subject = CN=DEV-20260718-00001。


graph BT
subgraph "证书链（自上而下签发）"
Root["Root CA<br/>自签名<br/>Issuer=Root CA<br/>Subject=Root CA<br/>用 root-ca.key"]
Factory["Factory CA<br/>由 Root 签发<br/>Issuer=Root CA<br/>Subject=Factory CA<br/>用 factory-ca.key"]
Device["Device Cert<br/>由 Factory 签发<br/>Issuer=Factory CA<br/>Subject=CN=DEV-...00001<br/>用 device.key"]
end
Root -- "用 root-ca.key 签名" --> Factory
Factory -- "用 factory-ca.key 签名" --> Device

每台设备预置以下信息

文件名	解释
device.key	设备私钥
device.crt	设备证书
chain.crt	证书链，里边有device.crt和factory-ca.crt
ca.crt	根证书（用于验证服务器身份）

sequenceDiagram
participant Dev as 设备<br/>DEV-20260718-00001<br/>持有: device.key + chain.crt + ca.crt
participant MQTT Broker as MQTT Broker<br/>持有: server.key + server.crt<br/>信任: root-ca.crt
Note over Dev,MQTT Broker: ═══════ 1️⃣ 设备验证服务器 ═══════
Dev->>MQTT Broker: ClientHello
MQTT Broker-->>Dev: ServerHello + server.crt
Note over Dev: 设备验证服务器身份:<br/><br/>第1步: 用 ca.crt 验 server.crt 的签名<br/>openssl verify -CAfile ca.crt server.crt<br/><br/>第2步: 检查 server.crt 的 CN 是否 = domain-name.site<br/>(防止中间人用别的合法证书冒充)<br/><br/>✅ 签名有效 + CN 匹配 → 服务器身份确认
Note over Dev,MQTT Broker: ═══════ 2️⃣ 服务器验证设备 ═══════
MQTT Broker->>Dev: CertificateRequest<br/>(请出示你的证书)
Dev-->>MQTT Broker: chain.crt<br/>(device.crt + factory-ca.crt)
Note over MQTT Broker: 服务器验证设备身份:<br/><br/>第1步: 构建信任链<br/>device.crt 的 Issuer = Factory CA<br/>→ 用 factory-ca.crt 验 device.crt<br/>→ factory-ca.crt 的 Issuer = Root CA<br/>→ 用 root-ca.crt 验 factory-ca.crt<br/>→ root-ca.crt 在 MQTT Broker 信任库中 ✅<br/><br/>第2步: 提取设备身份<br/>CN = DEV-20260718-00001<br/>→ 这就是 MQTT username<br/><br/>✅ 证书链完整 → 设备身份确认
Dev->>MQTT Broker: 密钥交换
MQTT Broker-->>Dev: 加密通道建立 ✅

私钥和证书的关系

私钥和证书是一对的
私钥：设备自己藏着，绝不出设备，TLS握手时用来签名
证书：TLS握手是发送给服务器，包含设备公钥、身份、CA签名

mTLS完整认证流程

sequenceDiagram
participant D as 设备<br/>DEV-20260718-00001
participant E as MQTT Broker<br/>MQTT Broker<br/>:8883 (MQTTS)
participant B as 后端 FastAPI<br/>内部 :8000
participant P as PostgreSQL
Note over D,P: ═══ 阶段一: TLS 双向握手 (mTLS) ═══
D->>E: ClientHello<br/>TLS 版本 + 支持的密码套件
E-->>D: ServerHello<br/>选 ECDHE-ECDSA-AES256-GCM-SHA384<br/>+ 出示 server.crt<br/>("CN=domain-name.site")
Note over D: 验证服务器证书链:<br/>server.crt ← Root CA (ca.crt)<br/>✅ 签名有效, CN 匹配
E->>D: CertificateRequest<br/>(要求客户端提供证书)
D-->>E: 出示 chain.crt<br/>(device.crt + factory-ca.crt)
Note over E: 验证设备证书链:<br/>device.crt ← Factory CA ← Root CA<br/>✅ 签名有效<br/>提取 CN = "DEV-20260718-00001"<br/>→ 这就是 MQTT username
D-->>E: 密钥交换 + Finished<br/>✅ TLS 加密通道建立
Note over D,P: ═══ 阶段二: MQTT CONNECT ═══
D->>E: MQTT CONNECT<br/>username=DEV-20260718-00001<br/>password=(空, mTLS 已认证)
Note over E: 提取 username = CN<br/>查询 ACL 规则
E->>E: ACL 检查<br/>❓ 你能访问哪些主题?
Note over E: ACL 规则:<br/>✅ DEV-* → vending/{username}/#<br/>→ DEV-20260718-00001 只能访问<br/>vending/DEV-20260718-00001/#
E-->>D: CONNACK (连接成功)
Note over D,P: ═══ 阶段三: 设备注册/状态更新 ═══
E->>B: Webhook: POST /api/v1/mqtt/hooks/connected<br/>{"username":"DEV-20260718-00001","peercert":{...}}
B->>P: SELECT * FROM devices WHERE device_sn='DEV-20260718-00001'
alt 设备不存在 (首次连接)
P-->>B: 无记录
B->>P: INSERT INTO devices<br/>(device_sn, status='unregistered', is_active=true)
B->>B: 返回 "registered"
else 设备已禁用 (is_active=false)
P-->>B: is_active=false
B->>E: API: ban_device + disconnect_client
E-->>D: ❌ 断开连接
else 正常设备
P-->>B: is_active=true
B->>P: UPDATE devices SET last_online_at=now()
B->>B: 返回 "ok"
end
Note over D,P: ═══ 阶段四: 心跳通信 ═══
loop 每 15 秒
D->>E: PUBLISH vending/DEV-20260718-00001/status<br/>{"status":"online","signal_strength":22,...}
E->>B: 路由消息 (通配符订阅)
B->>B: SETEX device:heartbeat:DEV-20260718-00001 90 "{...}"
Note over B: Redis TTL=90s<br/>key 存在 → 在线
end
Note over D,P: ═══ 阶段五: 设备断开 ═══
D->>E: DISCONNECT / TCP 断开
Note over E: LWT (遗嘱消息) 触发
E->>B: PUBLISH vending/DEV-20260718-00001/status<br/>{"status":"offline"}
B->>B: Redis key 开始倒计时 90s
Note over B: 90s 后 key 自动过期<br/>设备状态 → offline

扩大hugo Jane主题正文部分的行宽

yuanye.ma@qq.com (Yuanye Ma) — Sun, 15 Jun 2025 16:16:11 +0800

hugo-jane主题调整正文部分的宽度

以前的blog正文页面左右空白太多了，正文部分显示内容太少，一行内显示不了多少内容，需要频繁换行很不方便，因此想着自己修改一下主题的样式布局，本文记录折腾过程。

Safari浏览器开启“开发者模式”

Chrome浏览器可以直接按F12快速进入开发者模式，然后可以方便的找到需要修改的样式是哪一个。Safari浏览器需要单独开启。

Step 1 : 点击屏幕左上角的 Safari浏览器 → 设置

Step 2 : 高级 → 勾选最下方的显示网页开发者功能

Step 3: Command + Option + i

定位class

点击开发者模式左上角的准星图标，鼠标点击对应区域，如下图：正文的class是 post-content

在主题文件中搜索发现其定义在

`1`	`./assets/sass/_partial/_post/_content.scss:5:.post-content {`

查看_content.scss文件发现其并没有定义宽度相关的内容，继续找其父容器：post, 查看assets/sass/的目录结构，很容易的发现规律，post的class定义在assets/sass/_partial/_post.scss

发现其定义了width:38em，可以直接将其改一下试试。

 .post {
 // optimal line length for body text is 50–60 characters per line
 // [Readability: The Optimal Line Length – Articles – Baymard Institute](https://baymard.com/blog/line-length-readability)
 width: 38em;
 max-width: 38em;
 padding: 3em 5em;
 margin: 0 auto;
 margin-bottom: 3em;
 background-color: #fff;
 // ......
}

比如将其改成68em

然后hugo server -D 并刷新页面试试看有没有效果，确实生效了。

修改正文宽度

为了不破坏原有的文件，通过customCSS的方式override原有配置。

vim themes/jane/assets/sass/_custom/_custom.scss

# 写入以下内容
 .post {
 width : 50em;
 max-width: 50em;
 }

然后修改themes/jane/assets/sass/jane.scss 将_custom放到最后，防止被覆盖掉

-@import "_custom/custom";
 @import "_variables";

 @import "_common/normalize";
@@ -19,3 +18,5 @@
 @import "_partial/404";
 @import "_partial/author_info";
 @import "_partial/search";
+
+@import "_custom/custom";

之后将修改push到github就可以自动部署了。

hugo 部署

yuanye.ma@qq.com (Yuanye Ma) — Sun, 25 Aug 2024 16:01:23 +0800

创建一个hugo博客

三个repository

用于存储原数据的仓库，可以设置为private，部署Github Actions 文章内容发生变动时自动构建，并部署到展示username.github.io展示仓。
theme仓库，作为原始数据仓库的子模块（submodule），用以保存hugo的主题文件。
username.github.io仓库，保存hugo生成的静态网站数据，配置了Github pages ，做网站展示。

首先在Github网站创建好remote repository ,并在username.github.io仓库启用github pages

之后需要到官网下载hugo的安装包，由于我用的Jane的theme，需要extend支持，所以我下载的是extend版本。

# 下载安装hugo
wget https://github.com/gohugoio/hugo/releases/download/v0.125.3/hugo_extended_0.125.3_linux-arm64.deb
sudo dpkg -i hugo_extended_0.125.3_linux-arm64.deb
# macos 通过brew安装： brew install hugo

# 创建一个新站点
hugo new site myblog

# 进行一些基础配置
cd my_blog
git init
vim .gitignore
# public目录是hugo生成的静态页面数据，此数据不需要保存在原始仓库中，因此写入./public 

# 添加theme
git submodule add https://github.com/xianmin/hugo-theme-jane.git themes/jane
cp -r themes/jane/exampleSite/content ./
cp themes/jane/exampleSite/config.toml ./

# 测试
hugo server -D --bind your_ip -p 1313 --baseURL=http://your_ip :1313

# 上传github
git add -A
git commit -m "xxxxx"
git remote add origin https://github.com/username/username-blog.git
git push --set-upstream -f origin main

# 上传github.io网站的数据
cd public
git add -A
git commit -m "xxx"
git remote add origin https://github.com/username/username.github.io.git
git push --set-upstream -f origin main
# 等github pages部署完成应该可以在username.github.io页面看到网站的内容了。

部署到GitHub

参考： https://zhuanlan.zhihu.com/p/695022420

首先需要生成personal access tokens；（github actions通过该access tokens获取仓库的访问权限）
然后在对应的repository中设置secret；（在github actions中通过secret变量获取到千百年的access tokens）
最后配置Github Actions ：当main分支有新的commit时，自动下载最新的变动，执行hugo生成网站内容，然后推送到github.io仓库。

# Sample workflow for building and deploying a Hugo site to GitHub Pages
name: Deploy Hugo site to Pages

on:
 # Runs on pushes targeting the default branch
 push:
 branches: ["main"]

 # Allows you to run this workflow manually from the Actions tab
 workflow_dispatch:

# Sets permissions of the GITHUB_TOKEN to allow deployment to GitHub Pages
permissions:
 contents: read
 pages: write
 id-token: write

# Allow only one concurrent deployment, skipping runs queued between the run in-progress and latest queued.
# However, do NOT cancel in-progress runs as we want to allow these production deployments to complete.
concurrency:
 group: "pages"
 cancel-in-progress: false

# Default to bash
defaults:
 run:
 shell: bash

jobs:
 # Build job
 build:
 runs-on: ubuntu-latest
 steps:
 - name: Checkout
 uses: actions/checkout@v4
 with:
 submodules: recursive
 fetch-depth: 0

 - name: setup
 uses: peaceiris/actions-hugo@v3.0.0
 with:
 hugo-version: "latest"
 extended: true

 - name: Build with Hugo
 run: |
 hugo --minify \
 --baseURL "${{ steps.pages.outputs.base_url }}/"

 - name: deploy
 uses: peaceiris/actions-gh-pages@v4
 with:
 PERSONAL_TOKEN: ${{ secrets.GH_PAGE_ACTION_TOKEN}}
 EXTERNAL_REPOSITORY: username/username.github.io
 PUBLISH_BRANCH: main
 PUBLISH_DIR: ./public
 commit_message: ${{github.event.head_commit.message}}

新增一篇blog

先准备环境

# 安装hugo
brew install hugo

# 生成github需要的ssh密钥
ssh-keygen -t ed25519 -C "your_email@example.com"
cat ~/.ssh/id_ed25519.pub
ssh-ed25519 xxxxxxxxxxx your_email@example.com # 将公钥上传到GitHub

# 验证
ssh -T git@github.com
Hi YuanyeMa! You've successfully authenticated, but GitHub does not provide shell access.

# 下载blog源码目录
git clone git@github.com:xxx/xxx-blog.git

# 同步主题submodule
git submodule update --init --recursive

新建一篇blog

1
2

hugo new content post/macos-deploy-linux-kernel-dev-env.md --kind post
Content "/Users/xxx/xxx-blog/content/post/macos-deploy-linux-kernel-dev-env.md" created

kind在不同的主题上可能不一样参考官方文档。themes/jane/archetypes/目录中看有哪几种，选一种合适的使用。

也可以手动创建，以下方式可以单独控制在指定位置创建blog，还可以单独创建目录以存储blog相关资源。

# 进入要创建blog的目录
cd content/post/OS/linux kernel
# 单独创建一个目录，存储新blog相关的资源
mkdir deploy-linux-kernel-dev-env-on-macos
cd deploy-linux-kernel-dev-env-on-macos
touch index.md

使用utterance作为评论系统

官网：https://utteranc.es

我打算直接使用github.io仓库的issues作为评论的位置。

Github安装utterance

https://github.com/apps/utterances

点击Install

再次访问https://github.com/apps/utterances 点击Configure

jane中启动utterances评论系统

Jane主题中已经集成了utterances评论系统的布局，完成以上配置后，

在文章开头将comment设置为true：

`1`	`comment: true`

在config.toml中启用：

 [params.utteranc]
 enable = true
 repo = "YuanyeMa/YuanyeMa.github.io"
 issueTerm = "pathname"
 theme = "github-light"

文章翻到底部就可以看到评论框，提示要登录GitHub，点击后转到授权页面，授权后就可以评论了。

参考资源

index.md和_index.md的区别

noVNC+frp访问学校的服务器桌面

yuanye.ma@qq.com (Yuanye Ma) — Sun, 29 Mar 2020 16:01:23 +0800

noVNC+frp访问学校的服务器桌面

1. 阿里云开一个实例

开一个实例

配置安全组

7000 -> frp内网穿透服务端口

8806 -> noVnc的访问端口

创建好实例，设置好安全组后测试一下端口是否能正常访问。

#在vps上
nc -l 7000
#在本地
nc vps_ip 7000

然后两边随便输入一些内容看另一端是否能正常受到，如果能，则说明实例安全组配置成功，本地到服务器的链路是畅通的。

2. 配置frp内网穿透

release下载链接

tar -zxvf frp_0.32.0_linux_amd64.tar.gz #解压
cd ./frp_0.32.0_linux_amd64
ls
# LICENSE frpc frpc.ini frpc_full.ini frps frps.ini frps_full.ini systemd
# 其中
# frpc 客户端程序
# frpc.ini 客户端程序的配置文件
# frps 服务端程序
# frps.ini 服务端程序配置文件

# 在vps上执行以下操作
vim ./frps.ini
# 写入以下内容
[common]
bind_port = 7000
vhost_http_port = 8806
# 后台执行
nohup ./frps -c ./frps.ini&

# 在内网的机器上执行以下操作
vim ./frpc.ini
# 写入以下内容
[common]
server_addr = vps_ip
server_port = 7000

[web]
type = http
local_port = 6080 # noVnc默认的代理端口
custom_domains = vps_ip/domain_name # 有域名的话可以直接写域名，我没域名就直接写vps的公网Ip了
# 后台执行
nohup ./frpc -c ./frpc.ini

3. 配置vncserver

部分参考这个链接

因为我之前安装过vncserver所以直接安装桌面环境

# 以下操作均在内网的服务器上执行
sudo apt update
sudo apt install xfce4 xfce4-goodies
mv ~/.vnc/xstartup ~/.vnc/xstartup.bak
vim ~/.vnc/xstartup
# 写入以下内容
#!/bin/bash
xrdb $HOME/.Xresources
startxfce4 &
# 赋予执行权限
sudo chmod +x ~/.vnc/xstartup
# 启动vncserver
vncserver :2
# 关闭vncserver的操作
vncserver -kill :2

可以手动设置vnc桌面的分辨率：vncserver -geometry 1280x1024 :2

4. 配置noVnc

这里下载源码

# 解压
tar -zxvf ./v1.1.0.tar.gz
cd noVNC-1.1.0/
./utils/launch.sh -h #查看帮助
./utils/launch.sh --vnc 127.0.0.1:5902 #启动noVnc第一次启动会去github拉取web相关内容
# 之后也可以后台运行
nohup ./utils/launch.sh --vnc 127.0.0.1:5902 &

5. 测试

在本地打开浏览器，地址栏输入http://vps_ip:8806/vnc.html点击链接，输入前边配置vncserver时设置的密码。刚进入桌面的时候会让选择面板，我点了默认。

6. bug

刚进入桌面发现点Terminal模拟器没有相应，参照这篇文章设置后就可以用了。

在ubuntu上安装vnc服务

yuanye.ma@qq.com (Yuanye Ma) — Wed, 15 May 2019 16:01:23 +0800

在ubuntu上安装vnc服务

故事起因

由于需要运行一些桌面程序，但是又没有多余的地方放置显示器以及鼠标键盘balaba乱七八糟的东西，于是就想在跑代码的机器上开启共享桌面，然后在自己的座位上用写代码的机器远程桌面连接上去。

最初的想法

最初在网上搜索的都是使用系统原生自带的桌面共享实现的。参考

sudo apt install dconf-editor
# 选择 org->gnome->desktop->remote access->require encrytion 选择OFF
# 然后重启桌面共享服务：Settings-> Sharing-> Screen Sharing:设置 允许远程连接，设置密码
# 重启ubuntu后在其他电脑上用vncviewer登录 ip:5900 输入密码

此种方法也能实现远程桌面连接，而且远程桌面和服务器上的桌面环境是同步的，使用的也是原生的GNOME 3环境。

但是。。。。

此种方法有一个弊端，必须要连上屏幕、键盘、鼠标，手动登录系统后，才能在别的地方连接上。直接冷启动是连不上的。

网友的说法是，vnc和GNOME 3不兼容，Ubuntu系统自带的屏幕共享是Ubuntu自己开发的Vino-Server，必须要先登录，创建一个session后才能从远程连接上去。

果断放弃这种方式。

最终解决方案

参照

安装所需环境

1
2
3

sudo apt update
sudo apt install vnc4server
sudo apt install --no-install-recommends ubuntu-desktop gnome-panel gnome-settings-daemon metacity nautilus gnome-terminal -y

配置

先用命令vncserver :1使其自动创建配置文件~/.vnc/xstartup，然后使用命令vncserver -kill :1断开连接。

然后打开配置文件~/.vnc/xstartup在x-window-manger &后边添加下边内容

gnome-session &
gnome-panel &
gnome-settings-daemon &
metacity &
nautilus &
dbus-launch gnome-terminal & # 这一项是为了解决连接后无法打开terminal的问题

可以在~/.vnc/xxx.log中查看vncserver的运行信息。

我当时先是连接上后无法打开terminal后，查看log显示下边的报错信息。然后参照这篇blog输入了上边那条命令： dbus-launch gnome-terminal &

Error constructing proxy for org.gnome.Terminal:/org/gnome/Terminal/Factory0: 为 org.gnome.Terminal 调用 StartServiceByName 出错：已到超时限制

完整的xstartup文件内容如下

#!/bin/sh

# Uncomment the following two lines for normal desktop:
# unset SESSION_MANAGER
# exec /etc/X11/xinit/xinitrc

[ -x /etc/vnc/xstartup ] && exec /etc/vnc/xstartup
[ -r $HOME/.Xresources ] && xrdb $HOME/.Xresources
xsetroot -solid grey
vncconfig -iconic &
x-terminal-emulator -geometry 80x24+10+10 -ls -title "$VNCDESKTOP Desktop" &
x-window-manager &
gnome-session &
gnome-panel &
gnome-settings-daemon &
metacity &
nautilus &
dbus-launch gnome-terminal &

修改系统的默认启动环境

既然要将机器放到角落里去吃灰，当然要关闭桌面环境了。

Ubuntu 18.04和别的Linux系统不同，修改默认启动环境要使用下边命令

# 默认以字符界面启动：
sudo systemctl set-default multi-user.targe
# 在字体界面系统桌面环境：
sudo systemctl start lightdm
# 默认以图形界面方式启动：
sudo systemctl set-default graphical.target

最终效果

启动训练代码，然后关闭窗口，随时重新连接查看运行结果。美滋滋。。。。

gitbook部署

yuanye.ma@qq.com (Yuanye Ma) — Mon, 15 Apr 2019 16:01:23 +0800

使用gitbook记笔记

$ sudo apt update
$ sudo apt install nodejs npm

$ nodejs --version
v10.19.0

$ npm config set registry http://registry.npm.taobao.org/ # 设置npm源为淘宝的源
# 设置回官方的源 npm config set registry http://registry.npmjs.org/
$ sudo npm install gitbook-cli -g

常用命令

git clone blog
cd blog
gitbook install ./
cd ../
gitbook build /root/blog /var/www/html/_book

Omv

yuanye.ma@qq.com (Yuanye Ma) — Mon, 15 Apr 2019 16:01:23 +0800

OpenMediaVault+Nextcloud搭建私有云盘

安装omv

下载镜像

macOS制作启动盘

diskutil list
#确定是disk3
diskutil unmountDisk /dev/disk3
# 将镜像写入U盘
dd if=openmediavault.iso of=/dev/disk3

然后将U盘插入主机并调整开机引导选项，安装过程的提示都很显而易见。

安装完成后终端会显示IP地址，直接在浏览器中输入相应的IP就可以打开管理页面。默认用户名和密码在终端中也有显示。

默认用户名 admin

默认密码 openmediavault

安装插件

1
2

# 安装Omg-extras
wget http://omv-extras.org/openmediavault-omvextrasorg_latest_all5.deb

按照以下步骤安装：插件->上传-〉弹出选择文件框选，选中文件并上传->选中openmediavault-omvextrasorg（点击方框打勾）->安装

安装docker

点击侧边栏OMV-Extras -> docker-〉安装

镜像加速

ssh root@ip
vim /etc/systemd/system/multi-user.target.wants/docker.service
# ------
ExecStart=/usr/bin/dockerd --registry-mirror=https://docker.mirrors.ustc.edu.cn -H fd://
# http://hub-mirror.c.163.com/
# ------
systemctl daemon-reload 或者 service docker restart 或者reboot

安装硬盘

创建文件系统

挂载文件系统

启用SMB/CIFS

添加共享

使用Docker安装nextcloud

参考这篇文档不过我先拉取了一个portainer镜像，然后基于此通过图形界面安装nextcloud和 mariadb

数据库

mariadb没有配置成功，直接使用了sqlite

遇到的问题

nextcloud通过不被信任的域名访问

vim path_to_nextcloud_html/config/config.php

 'trusted_domains' =>
 array (
 0 => '192.168.1.140:8888',
 1 => '域名',
 ),

OMV启用rc-local

起因是因为OMV设置的静态IP无效，每次开机都需要进入终端使用dhclient命令去获取IP，实在没办法了，就像写一个开机启动脚本在每次开机的时候去执行dhclient命令。

Debian 10默认禁用了rc-local可以通过systemctl status rc-local查看。

vim /etc/rc.local
# --- 写入以下内容
#!/bin/bash
/usr/sbin/dhclient
echo "hello" > /root/log # 这行是为了重启后检查配置是否生效用的，配置好后可以删掉这一行。
exit 0
# --- end
chmod 755 /etc/rc.local
systemctl start rc-local

nextcloud 文件锁定

nextcloud的data目录还可以通过smb访问，所以从nextcloud上传了一个文件，又在smb中把上传的文件给删除了。然后造成nextcloud中显示有所上传的文件，删除的时候报错，重复上传的时候显示"文件被锁定了"，删也删不掉。

google了一下，都说先开启“维护模式”(maintenance:mode),然后进数据库删掉“锁定标记”，最后再关闭“维护模式“。但是实际部署时候的一些细节不一样，所以具体操作也不一样。

# 首先登陆`portainer`，
# 找到nextcloud的contianer点击`Exec Console` 
# `User`处填入`www-data`点击`Connect`

# 进入nextcloud的data所在目录
cd nextcloud/data/
# 查看以下php可执行程序的路径
which php
# /usr/local/bin/php 是我机器的响应
/usr/local/bin/php ./occ files:scan --all
/usr/local/bin/php ./occ files:cleanup
# 打开“维护模式”
/usr/local/bin/php ./occ maintenance:mode --on

# 然后ssh到omv上
apt update
apt install sqlite3
cd /srv/xxxx/nextcloud/data
sqlite3 nextcloud.db
# 在数据中执行
delete from oc_file_locks where 1
.exit # 退出数据库

# 关闭“维护模式”
# 还回到'portainer'的nextcloud container的console执行下边命令
/usr/local/bin/php ./occ maintenance:mode --off

# 最后重启一下nextcloud的container

shadowsocks

yuanye.ma@qq.com (Yuanye Ma) — Mon, 15 Apr 2019 16:01:23 +0800

Docker部署python版本的shadowsocks服务

ubuntu服务端

安装docker
使用shadowsocks的docker镜像启动服务
更新内核启用Google BBR进行加速

# 安装docker
apt update
apt install docker
apt install docker.io
# 拉取镜像
docker pull oddrationale/docker-shadowsocks
# 启动container
docker run -d -p port:port oddrationale/docker-shadowsocks -s 0.0.0 -p port -k passwd -m aes-256-cfb

BBR加速

# 下载安装新版本的内核
wget -c http://kernel.ubuntu.com/~kernel-ppa/mainline/v4.11.4/linux-image-4.11.4-041104-generic_4.11.4-041104.201706071003_amd64.deb
# 安装新版本内核
dpkg -i ./linux-image-4.11.4-041104-generic_4.11.4-041104.201706071003_amd64.deb
# 查看现在使用的内核版本
lsmod | grep bbr
uname -r
# 更新grub使新版本内核开机自启
update-grub
# 卸载多余的软件包
apt autoremove
# 重启系统启用新的内核
reboot
# 查看是否启用了新版本内核，以及是否支持BBR
lsmod | grep bbr
uname -r

# 开启BBR
modprobe tcp_bbr
echo "tcp_bbr" >> /etc/modules-load.d/modules.conf
cat /etc/modules-load.d/modules.conf
echo "net.core.default_qdisc=fq" >>/etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >>/etc/sysctl.conf
sysctl -p

# 查看BBR是否启动
sysctl net.ipv4.tcp_available_congestion_control
 # net.ipv4.tcp_available_congestion_control = bbr cubic reno
sysctl net.ipv4.tcp_congestion_control
 # net.ipv4.tcp_congestion_control = bbr
sysctl net.core.default_qdisc
 # net.core.default_qdisc = fq
uname -r
 # 4.11.4-041104-generic
lsmod | grep bbr
 # tcp_bbr 20480 156

此外还有一键安装BBR的脚本

https://github.com/google/bbr/blob/master/Documentation/bbr-quick-start.md

CentOS 7的服务端

安装docker

yum update
yum install docker
service docker start

设置docker自动启动

chkconfig docker on

使用ncat测试网络是否联通

yum install nmap-ncat -y
ncat -l port

在本地使用nc命令连接服务器指定port

nc ip port

然后可以随便输入一下内容，看另外一端是否能正常收发数据。

拉取镜像并创建container

docker pull oddrationale/docker-shadowsocks
docker run -d -p port:port --name name oddrationale/docker-shadowsocks -s 0.0.0.0 -p port -k passwd -m aes-256-cfb

查看是否正常监听端口

netstat -nalp | grep port

设置container随docker自动启动

docker update --restart=always <CONTAINER ID>

BBR加速

升级内核

rpm --import https://www.elrepo.org/RPM-GPG-KEY-elrepo.org
rpm -Uvh http://www.elrepo.org/elrepo-release-7.0-2.el7.elrepo.noarch.rpm
yum --enablerepo=elrepo-kernel install kernel-ml -y

设置grub2默认使用新内核启动

egrep ^menuentry /etc/grub2.cfg | cut -f 2 -d \'
sudo grub2-set-default 0
reboot

查看是否使用新内核启动

uname -r

开启BBR

echo 'net.core.default_qdisc=fq' | sudo tee -a /etc/sysctl.conf
echo 'net.ipv4.tcp_congestion_control=bbr' | sudo tee -a /etc/sysctl.conf
sysctl -p

查看BBR是否开启

sysctl net.ipv4.tcp_available_congestion_control
# 输出应为 net.ipv4.tcp_available_congestion_control = bbr cubic reno
sysctl -n net.ipv4.tcp_congestion_control
# 输出应为 bbr
lsmod | grep bbr
# 输出应类似 tcp_bbr 16384 28

客户端

sslocal

Linux 安装shadowsocks客户端

# 使用python版的shadowsocks
$ sudo apt install python3-pip
$ pip install shadowsocks
# 使用
$ sudo vim /etc/shadowsocks/config.json # 创建配置文件，并写入以下内容
{
 "server": "自己shadowsocks服务端ip",
 "server_port": "服务端口",
 "local_port": 1080,
 "password": "密码",
 "timeout": 300,
 "method": "aes-256-cfb" # 加密方式根据自己需要修改
}
$ sslocal -c /etc/shadowsocks/config.json # 启动breakwall

Proxychains

Proxychains是一个可以让终端命令走代理的软件。

# 安装proxychains
$ sudo apt install proxychains
# 修改配置文件
$ sudo vim /etc/proxychains.conf
# 注释掉最后一行的 #socks4 127.0.0.1 9050 
# 添加一行 socks5 127.0.0.1 1080

proxychains的使用

`1`	`$ proxychains wget #后边加一个下载地址`

关于非sudo执行proxychains时会有一个错误：

`1`	`ERROR: ld.so: object 'libproxychains.so.3' from LD_PRELOAD cannot be preloaded (cannot open shared object file): ignored.`

解决方法为

修改/usr/bin/proxychains 中的export LD_PRELOAD=libproxychains.so.3为export /usr/lib/x86_64-linux-gnu/libproxychains.so.3
修改/usr/lib/proxychains3/proxyresolv 中的export LD_PRELOAD=libproxychains.so.3为/usr/lib/x86_64-linux-gnu/libproxychains.so.3

其中/usr/lib/x86_64-linux-gnu/libproxychains.so.3可以通过命令sudo find /usr/ -name "libproxychains.so.3"找到。

安装`simple_obfs`混淆插件

simple_obfs是一个混淆插件，是把经过shadowsocks封装socks5协议后的数据包，再封装成正常的http/tls数据包的一个插件。

shadowsocks-libev是另一个实现socks5代理的软件本质上和前边用的python版本的ssserver/sslocal没什么区别。但是基于libev实现的功能更加强大，不同版本的区别在这里。最明显的就是shadowsocks-libev同时包含客户端和服务端即ss-local/ss-server，而且都可以安装插件。

Ubuntu

1
2

sudo apt update
sudo apt install shadowsocks-libev

CentOS 7

yum install git
# 下载shadowsocks-libev的源代码
git clone https://github.com/shadowsocks/shadowsocks-libev.git
cd shadowsocks-libev/
git submodule update --init

# 安装依赖
yum install gcc gettext autoconf libtool automake make pcre-devel asciidoc xmlto c-ares-devel libev-devel libsodium-devel mbedtls-devel -y

# 编译安装
./autogen.sh && ./configure && make && make installl

simple_obfs

# 安装依赖
sudo yum install gcc autoconf libtool automake make zlib-devel openssl-devel asciidoc xmlto libev-devel
 ## Ubuntu 安装依赖： sudo apt-get install --no-install-recommends build-essential autoconf libtool libssl-dev libpcre3-dev libev-dev asciidoc xmlto automake

# 下载源代码
git clone https://github.com/shadowsocks/simple-obfs.git
cd simple-obfs/
git submodule update --init --recursive

# 编译安装
./autogen.sh
./configure && make && make install

启动配置

服务端：ss-server -c /etc/shadowsocks-libev/config.json

客户端： ss-local -c /etc/shadowsocks-libev/config.json

创建配置文件

# 创建配置文件
mkdir /etc/shadowsocks-libev
vim /etc/shadowsocks-libev/config.json

# 服务端写入以下内容
{
 "server":"0.0.0.0",
 "server_port":8388,
 "local_port":1080,
 "password":"passwd",
 "user":"nobody",
 "timeout":600,
 "method":"chacha20-ietf-poly1305",
 "fast_open": false,
 "nameserver":"8.8.8.8",
 "mode":"tcp_and_udp",
 "plugin":"obfs-server",
 "plugin_opts":"obfs=http"
 }

# 客户端写入以下内容
{
 "server":"server_ip",
 "server_port":8388,
 "local_port":1080,
 "password":"passwd",
 "timeout":60,
 "method":"chacha20-ietf-poly1305",
 "plugin":"obfs-local",
 "plugin_opts":"obfs=http;obfs-host=www.bing.com"
}

设置systemctl托管shadowsocks-libev

sudo vim /etc/systemd/system/shadowsocks-libev.service
# 写入以下内容
[Unit]
Description=Shadowsocks-libev Server
Documentation=https://shadowsocks.org/en/
After=network.target

[Service]
Type=simple
ExecStart=/usr/local/bin/ss-server -c /etc/shadowsocks-libev/config.json -u
Restart=on-abort

[Install]
WantedBy=multi-user.target

启动服务： sudo systemctl start shadowsocks-libev

开机自启动： sudo systemctl enable shadowsocks-libev

VirtualBox部署LEDE旁路由

安装VirtualBox
下载koolshare-lede固件，安装LEDE虚拟机，设置网络桥接到物理网卡。
下载科学上网插件
登录LEDE后台，添加节点信息
将上网机器的网关和DNS都设置为LEDE的ip地址，LEDE的网关设置为主路由的IP。

设置开机自动启动LEDE虚拟机(以下方法无效，新版本应该利用autostart-enabled参数，具体设置方法应该参照这个或这个)

# 查看虚拟机列表
VBoxManage list vms
# 启动LEDE
VBoxManage startvm LEDE -type headless # headless是无图形界面的模式，gui为有图形界面的模式
# 关闭LEDE虚拟机
VBoxManage controlvm LEDE poweroff

# --------- 修改ubuntu的启动项目
sudo vim /etc/rc.local
# 写入 
 #!/bin/bash
 VBoxVRDP startvm LEDE -type headless

# 修改 rc.lodal的权限
chmod 755 /etc/rc.local

# 创建启动项
sudo ln -fs /lib/systemd/system/rc-local.service /etc/systemd/system/rc-local.service # Ubuntu 18.04默认没有启动rc.local的服务，需要手动开启，参考https://blog.csdn.net/github_38336924/article/details/98183253
sudo vim /etc/systemd/system/rc-local.service
# 写入
 [Install]
 WantedBy=multi-user.target
 Alias=rc-local.service

最后，服务器启动的时候会在network那里卡5min之久

1
2

sudo vim /etc/systemd/system/network-online.target.wants/networking.service
# 将里面的TimeoutStartSec=5min 修改为TimeoutStartSec=30sec

Trojan

yuanye.ma@qq.com (Yuanye Ma) — Mon, 15 Apr 2019 16:01:23 +0800

Trojan的主页：https://trojan-gfw.github.io/trojan/

步骤一：购买、部署VPS

推荐使用**Vultr**, 因为“便宜”。

我安装的是“CentOS 8” ，自带了BBR，因此不用再手动设置。

步骤二：申请域名，设置DNS解析，申请证书

我使用的是腾讯云的域名和免费的证书。

步骤三：部署并配置Nginx

yum install nginx
nginx -h # 查看nginx的命令帮助
nginx # 启动nginx
nginx -t # 检查配置文件是否有效
nginx -s stop # 关闭nginx
nginx -s reload # 重新加载配置文件

nginx默认的配置文件在/etc/nginx/nginx.conf

设置防火墙

firewall-cmd --permanent --add-port=80/tcp
firewall-cmd --permanent --add-port=443/tcp
firewall-cmd --list-port
 80/tcp 443/tcp # 配置生效

步骤四：部署并配置Trojan

1
2
3

sudo bash -c "$(curl -fsSL https://raw.githubusercontent.com/trojan-gfw/trojan-quickstart/master/trojan-quickstart.sh)"
或者
sudo bash -c "$(wget -O- https://raw.githubusercontent.com/trojan-gfw/trojan-quickstart/master/trojan-quickstart.sh)"

安装完成后配置文件路径： /usr/local/etc/trojan/config.json

# 配置文件中需要修改的地方
 "password": [
 "trojan的连接密码"
 ],
# 以及
"ssl": {
 "cert": "证书crt文件的路径",
 "key": "证书key文件的路径",
 "key_password": "证书的密码",
}

启动：systemctl start trojan

重启：systemctl restart trojan

查看状态：systemctl status trojan

关闭：systemctl stop trojan

开机自启：systemctl enable trojan

步骤五 : 客户端设置

windows端客户端

使用的是V2rayN V3.27，

服务器 -> 添加[Trojan]服务器 ->

服务器地址：VPS的IP地址
服务器端口： 443
密码：步骤四中配置的“trojan的连接密码”
域名(SNI) : 填写证书的域名

ubuntu

参考 https://xbsj6147.xyz/pagesv2/download-linux.html

官网参数介绍

下载页面

1
2
3

tar xvf trojan-1.16.0-linux-amd64.tar.xz
cd trojan
vim config.json

配置内容如下

{
 "run_type": "client",
 "local_addr": "0.0.0.0",
 "local_port": 1080,
 "remote_addr": "服务器地址",
 "remote_port": 443,
 "password": [
 "trojan连接密码"
 ],
 "log_level": 1,
 "ssl": {
 "verify": false,
 "verify_hostname" : false,
 "cert": "",
 "cipher": "ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384",
 "cipher_tls13": "TLS_AES_128_GCM_SHA256:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384",
 "sni":"",
 "alpn": [
 "h2",
 "http/1.1"
 ],
 "reuse_session": true,
 "session_ticket": false,
 "session_timeout": 600,
 "curves": ""
 },
 "tcp": {
 "prefer_ipv4": false,
 "no_delay": true,
 "keep_alive": true,
 "reuse_port": false,
 "fast_open": false,
 "fast_open_qlen": 20
 },
 "mysql": {
 "enabled": false,
 "server_addr": "127.0.0.1",
 "server_port": 3306,
 "database": "trojan",
 "username": "trojan",
 "password": "",
 "key": "",
 "cert": "",
 "ca": ""
 }
}

配置systemctl管理

cat > /etc/systemd/system/trojan.service <<-EOF
[Unit]
Description=trojan
After=network.target

[Service]
Type=simple
PIDFile=/home/myye/trojan/trojan.pid
ExecStart=/home/myye/trojan/trojan -c /home/myye/trojan/config.json -l /home/myye/trojan/trojan.log
ExecReload=/bin/kill -HUP $MAINPID
Restart=on-failure
RestartSec=1s

[Install]
WantedBy=multi-user.target

EOF

设置开机自启动sudo systemctl enable trojan

ubuntu 部署NIS服务

yuanye.ma@qq.com (Yuanye Ma) — Mon, 15 Apr 2019 16:01:23 +0800

Ubuntu 部署NIS服务

在一个大型的网域当中，如果有多部 Linux 主机，万一要每部主机都需要设定相同的账号与密码时，你该怎么办？复制 /etc/passwd ？应该没有这么呆吧？如果能够有一部账号主控服务器来管理网域中所有主机的账号，当其他的主机有用户登入的需求时，才到这部主控服务器上面要求相关的账号、密码等用户信息，如此一来，如果想要增加、修改、删除用户数据，只要到这部主控服务器上面处理即可，这样就能够降低重复设定使用者账号的步骤了。

CentOS的配置方法在这里

实验环境
virtualbox : 6.1 ,网络设置为桥接模式
master : ubuntu 18.04.03 LTS 192.168.50.79
slave : ubuntu 18.04.03 LTS 192.168.50.185

服务端设置

# 1. 安装NIS
apt update
apt install nis
# 安装的时候会让设置域名，可以使用nisdomainname 查看/设置域名
# 2. 配置hosts文件
vim /etc/hosts
192.168.50.185 slave
192.168.50.79 master

# 3. 修改配置文件
vim /etc/default/nis
修改如下
NISSERVER=false => NISSERVER=master

vim /etc/ypserv.conf
最后写入
127.0.0.1/255.0.0.0 :* :* :none
192.168.50.0/255.255.255.0 :* :* :none
* :* :* :deny
# 其中各字段的意义如下
# Host : 需要设置权限的主机或网络 
# Domain : 允许访问的域
# Map : 密码数据库
# Security: 权限， none即不设置限制，deny为拒绝，port为只允许小于1024端口连接NIS

# 4. 启动ypserv
service ypserv start
# 5. 初始化数据库
/usr/lib/yp/ypinit -m
确认域名无误后按<Ctrl D>
然后输入y，之后会初始化数据库，数据库会保存在 /var/yp/<domain>

客户端设置

# 1. 安装NIS
apt update
apt install nis

# 2. 修改hosts文件
vim /etc/hosts
192.168.50.185 slave
192.168.50.79 master

# 3. 修改DNS信息
vim /etc/nsswitch.conf
在以下行后添加nis字段
passwd: compat systemd nis # 此处的nis都是自己加的
shadow: compat nis
group: compat systemd nis
gshadow: files nis

# 4. 修改配置文件
vim /etc/yp.conf
写入以下内容
#domain <此处写自己的域名> server <此处写nis服务器的ip>
domain master server 192.168.50.79

# 5. 启动服务
service ypbind start

修改密码

1
2
3

yppasswd nisuser1
# 先输入旧密码， 然后输入两次新密码
/usr/lib/yp/ypinit -m # 更新数据库

使用autofs自动挂载home目录

Autofs与Mount/Umount的不同之处在于，它是一种守护程序。如果它检测到用户正试图访问一个尚未挂接的文件系统，它就会自动检测该文件系统，如果存在，那么Autofs会自动将其挂接。另一方面，如果它检测到某个已挂接的文件系统在一段时间内没有被使用，那么Autofs会自动将其卸载。因此一旦运行了Autofs后，用户就不再需要手动完成文件系统的挂接和卸载。

# 1. 在所有需要挂载home目录的主机上安装autofs
apt update
apt install autofs
# 2. 创建配置文件
vim /etc/auto.master
写入以下内容
/home/nishome /etc/auto.nishome # 前边是挂载点，后边是指定挂载时用的配置文件
vim /etc/auto.nishome
写入以下内容
# 挂载目录 挂载文件类型及权限 :设备名称
* -rw 192.168.50.76:/mnt/home/home/&
# * 代表所有主机都可以挂载此目录
# rw是权限
# 192.168.50.76是nfs服务器，实验中用FreeNAS分享了一个NFS数据集
# /mnt/home/home/&是要挂载的目录在NFS服务器上的路径，其中'&'指代用户名

# 3. 启动autofs
service autofs start

最后效果就是在登录某台主机时，会自动将NFS服务器上自己用户名的home目录挂载到 /home/nishome/下边去，路径前缀在auto.master文件中给出

添加用户流程

在NIS master上创建用户 useradd -d /home/nishome/<nisusername> <nisusername> /bin/bash
在NIS master上为新创建的用户创建密码 passwd <nisusername>
在NIS master上更新数据库 /usr/lib/yp/ypinit -m
在FreeNAS上创建用户家目录
1. 目录服务(Directory Serices)->网卡(NIS)->重建目录服务缓存(REBUILD DIRECTORY SERVICE CACHE)
2. 存储(Storage)->池(Pools)->ADD Dataset，添加一个数据集 -> Edit Permissions-> User和Group都设置为前边创建的用户，并选中 Apply permissions recursively-> SAVE
3. 共享(Sharing)->Unix (NFS) Shares -> ADD, 选中前边创建的数据集路径，高级模式，Maproot User和Maproot Group都设置为前边创建的用户-> SAVE

V2ray

yuanye.ma@qq.com (Yuanye Ma) — Mon, 15 Apr 2019 16:01:23 +0800

BreakWall 2 - V2ray

参考以及官方文档

1. 下载安装脚本

1
2

wget https://install.direct/go.sh # 2020-10-5 : 此方法已经废止
wget https://raw.githubusercontent.com/v2fly/fhs-install-v2ray/master/install-release.sh

2. 安装

chmod u+x ./go.sh
./go.sh #如果无法从GitHub下载软件，可以执行 ./go.sh -l ./v2ray-xxx-xx.zip从本地安装

# 2020-10-5 新方法
chmod u+x install-release.sh
sudo ./install-release.sh

Linux服务端和客户端都通过此脚本进行安装，服务端和客户端的区别在于配置文件不同。

Windows和macOS版本客户端都有GUI根据参考1进行配置，主要根据服务端填写 port\id\level\alterId几项。

3. 配置

配置文件默认路径： ~~/etc/v2ray/config.json~~ /usr/local/etc/v2ray/config.json

服务端配置

{
 "inbounds": [{
 "port": ports, // 根据需要修改此处port
 "protocol": "vmess",
 "settings": {
 "clients": [
 {
 "id": "uuid", // 此处一般由服务器自动生成，需要复制粘贴进客户端
 "level": 1,
 "alterId": 64
 }
 ]
 }
 }],
 "outbounds": [{
 "protocol": "freedom",
 "settings": {}
 },{
 "protocol": "blackhole",
 "settings": {},
 "tag": "blocked"
 }],
 "routing": {
 "rules": [
 {
 "type": "field",
 "ip": ["geoip:private"],
 "outboundTag": "blocked"
 }
 ]
 }
}

客户端配置

{
 "inbounds": [{
 "port": 1080, // SOCKS 代理端口，在浏览器中需配置代理并指向这个端口
 "listen": "127.0.0.1",
 "protocol": "socks",
 "settings": {
 "udp": true
 }
 }],
 "outbounds": [{
 "protocol": "vmess",
 "settings": {
 "vnext": [{
 "address": "server_ip", // 服务器地址，请修改为你自己的服务器 ip 或域名
 "port": server_port, // 服务器端口
 "users": [{ "id": "server_uuid" }] // 复制服务器配置文件的UUID
 }]
 }
 },{
 "protocol": "freedom",
 "tag": "direct",
 "settings": {}
 }],
 "routing": {
 "domainStrategy": "IPOnDemand",
 "rules": [{
 "type": "field",
 "ip": ["geoip:private"],
 "outboundTag": "direct"
 }]
 }
}

4. 启动服务

启动 ： service v2ray start 或者 systemctl start v2ray
停止 ： service v2ray stop 或者 systemctl stop v2ray
重启 ： service v2ray restart 或者 systemctl restart v2ray
设置开机启动： systemctl enable v2ray

ubuntu关闭ufw

#查看防火墙规则
$ sudo ufw status verbose
#关闭防火墙，禁用开机自启
$ sudo ufw disable

5. 设置国内中转

由于运营商国际互连出口拥堵造成访问代理服务器速度巨慢，所以想通过一台国内的VPS走不同的线路访问国外代理服务器的方式实现正常的BreakWall。以下配置文件是国内的VPS的配置项目。

{
 "inbounds": [
 {
 "port": //监听的端口号,
 "protocol": "保持和客户端一致的协议",
 "settings": {
 "clients": [
 { //要和客户端的配置文件中的user保持一致
 "id": "uuid 要和客户端保持一致",
 "level": 1,
 "alterId": 64
 }
 ]
 }
 }],
 "outbounds": [{
 "protocol": "vmess",
 "settings": {
 "vnext": [
 {
 "address" : "国外代理服务器的ip",
 "port" : 国外代理服务的监听端口,
 "users" : [ //保持和国外代理服务器inbounds的user内容一样
 {
 "id":"国外代理服务器的uuid",
 "alterId" : 64 //额外ID也要保持一致
 }
 ]
 }
 ]
 }
 },{
 "protocol": "blackhole",
 "settings": {},
 "tag": "blocked"
 }],
 "routing": {
 "rules": [
 {
 "type": "field",
 "ip": ["geoip:private"],
 "outboundTag": "blocked"
 }
 ]
 }
}

记一次NVIDIA driver/cuda/cudnn升级

yuanye.ma@qq.com (Yuanye Ma) — Mon, 15 Apr 2019 16:01:23 +0800

记一次NVIDIA driver/cuda/cudnn升级

系统环境：Ubuntu 18.04 / NVIDIA_Driver version:390 / cuda 9.0 / cudnn 7.1

目标：升级NVIDIA_Driver version :410.104 /cuda 10.0 / cudnn 7.6

NVIDIA Driver

首先关闭桌面系统

`1`	`$ sudo init 3 # 表示以字符界面启动`

然后屏幕黑了，左上角有个光标在闪烁，没有出来login的提示符，这是因为当前窗口是init 5即图形界面终端。同时按键盘Ctrl+Alt+F1三个按键，进入一个其他终端，然后会出现login提示符，输入用户名密码登陆。因为后续很多操作需要root权限，所以可以直接以root身份登陆，或者以普通用户身份登陆后用sudo -i 切换为root身份。

由于我之前安装的390驱动需要gcc-5支持，但是410驱动需要gcc-7，因此需要切换会gcc-7.

1
2

# update-alternatives --install /usr/bin/gcc gcc /usr/bin/gcc-7 70
# update-alternatives --install /usr/bin/g++ g++ /usr/bin/g++-7 70

如果不知道当前gcc是什么版本，可以使用gcc -v命令查看

update-alternatives 是Debian系系统中用于管理不同软件版本的工具。本质上是通过修改软链接的指向来确定使用哪个版本的命令。

基本用法如下：

update-alternatives –display # 显示组的情况

update-alternatives –remove # 从组中删除

update-alternatives –remove-all # 删除整个组

update-alternatives –install # 向组中添加一个路径

update-alternatives –config # 选择一个当前使用的路径

其中是软连接的位置，对应上边命令中的/usr/bin/gcc；命令组的名字，可以随便写，对应上边命令中的gcc；是确切要执行的命令的路径，对应上边命令中的 /usr/bin/gcc-7 ；最后的70是优先级。

因此上边命令的意思就是创建一个软连接/usr/bin/gcc指向/usr/bin/gcc-7。当执行gcc时调用的是/usr/bin/gcc-7,也就是7.4版本的gcc.

先卸载NVIDIA-390，然后安装NVIDIA-410.

1
2
3

# apt purge nvidia* 
进入到驱动安装脚本保存的位置执行安装命令
# ./NVIDIA-Linux-x86_64-410.104.run

根据提示下一步就好，其中有一步问是否开启Xorg支持，要选“是”，不然的话，安装完驱动，返回桌面的时候会失败。

安装完成后通过init 5命令启动桌面环境。进入桌面环境后可以通过nvidia-smi命令查看驱动安装是否正确。

CUDA 9.0 升级CUDA 10.0

`1`	`$sudo cuda_10.0.130_410.48_linux.run`

接受用户协议，不安装驱动，安装路径默认，安装samples，完成。

设置动态连接库的路径

$ sudo vim /etc/ld.so.conf.d/cuda-10.conf
写入
/usr/local/cuda-10.0/lib64
$ sudo ldconfig

cuda-9.0不用卸载 /usr/local/cuda也是一个软连接安装cuda 10.0的时候已经自动修改指向了cuda-10.0.

安装cudnn

1
2
3

$ sudo dpkg -i libcudnn7_7.6.4.38-1+cuda10.0_amd64.deb
$ sudo dpkg -i libcudnn7-dev_7.6.4.38-1+cuda10.0_amd64.deb
$ sudo dpkg -i libcudnn7-doc_7.6.4.38-1+cuda10.0_amd64.deb

测试

1
2

import tensorflow as tf
tf.test.gpu_device_name()

配置jupyter-notebook服务

yuanye.ma@qq.com (Yuanye Ma) — Mon, 15 Apr 2019 16:01:23 +0800

配置jupyter-notebook服务

1
2

$jupyter notebook --generate-config #生成配置文件
$conda install nb_conda #

设置jupyter Notebook密码的方式

# 先打开python终端
$ python
# 然后生成密码
In[1]: from IPython.lib import passwd
In[2]: passwd()
Enter password:
Verify password:
Out[2]: 'sha1编码后的密码'
# 复制上边编码后的密码，退出python终端

设置服务器配置文件

$vim ~/.jupyter/jupyter_notebook_config.py
# 配置文件中有几项内容需要修改。
c.NotebookApp.allow_remote_access = True
c.NotebookApp.allow_root = False
c.NotebookApp.ip = '*'
c.NotebookApp.notebook_dir = '这里填jupyter notebook的工作目录'
c.NotebookApp.open_browser = False
c.NotebookApp.password = u'这里填上边复制的加密后的密码'
c.NotebookApp.port = 8888
c.NotebookApp.terminals_enabled = False

安装完Anaconda利用conda创建的虚拟环境，但是启动jupyter notebook之后却找不到虚拟环境。

实际上是由于在虚拟环境中缺少kernel.json文件，解决方法如下

# 首先安装ipykernel
$conda install ipykernel
# 然后在虚拟环境中安装ipykernel
$conda install -n 环境名称 ipykernel
# 激活虚拟环境
$conda activate 环境名称
# 将环境写入notebook的kernel中
$python -m ipykernel install --user --name 环境名字 --display-name "要显示的环境名字"

# 此外，以后再创建虚拟环境的时候，最好直接装上ipykernel
$conda create -n 环境名称 python=版本 ipylernel

# 删除kernel环境的命令如下
$jupyter kernelspec remove 环境名称

安装完成后可以通过命令jupyter notebook启动服务，然后在工作的电脑的浏览器中输入ip:port输入密码就可以登录使用了。

Self-Hosting on Yuanye Ma's Blog

非对称加密与 mTLS 身份认证

加/解密过程

签名/验签过程

证书

证书结构

证书生成命令

证书链

私钥和证书的关系

mTLS完整认证流程

扩大hugo Jane主题正文部分的行宽

hugo-jane主题调整正文部分的宽度

Safari浏览器开启“开发者模式”

定位class

修改正文宽度

hugo 部署

创建一个hugo博客

部署到GitHub

新增一篇blog

先准备环境

新建一篇blog

使用utterance作为评论系统

Github安装utterance

jane中启动utterances评论系统

参考资源

noVNC+frp访问学校的服务器桌面

noVNC+frp访问学校的服务器桌面

1. 阿里云开一个实例

2. 配置frp内网穿透

3. 配置vncserver

4. 配置noVnc

5. 测试

6. bug

在ubuntu上安装vnc服务

在ubuntu上安装vnc服务

故事起因

最初的想法

最终解决方案

安装所需环境

配置

修改系统的默认启动环境

最终效果

gitbook部署

使用gitbook记笔记

常用命令

Omv

OpenMediaVault+Nextcloud搭建私有云盘

安装omv

macOS制作启动盘

安装插件

安装docker

使用Docker安装nextcloud

数据库

遇到的问题

nextcloud通过不被信任的域名访问

OMV启用rc-local

nextcloud 文件锁定

shadowsocks

Docker部署python版本的shadowsocks服务

ubuntu服务端

BBR加速

CentOS 7的服务端

BBR加速

客户端

sslocal

Proxychains

安装simple_obfs混淆插件

Ubuntu

CentOS 7

simple_obfs

启动配置

创建配置文件

设置systemctl托管shadowsocks-libev

VirtualBox部署LEDE旁路由

Trojan

步骤一： 购买、部署VPS

步骤二：申请域名，设置DNS解析，申请证书

步骤三：部署并配置Nginx

设置防火墙

步骤四：部署并配置Trojan

安装`simple_obfs`混淆插件

步骤一：购买、部署VPS