DevOps on Calendar's Blog

使用 wireguard 进行 pve 组网

Mon, 24 Nov 2025 00:00:00 +0000

核心是“公网中转节点（WireGuard服务端）+ PVE节点（WireGuard客户端）+ 外地设备（WireGuard客户端）”的架构

准备环境

必需组件：
- 1台带公网IP的中转服务器
- 2台PVE服务器（每台部署1台Linux虚拟机作为WireGuard客户端，也可直接在PVE宿主机部署）；
- 外地设备（电脑/手机，安装WireGuard客户端）。
虚拟网段规划：
- 中转节点WireGuard IP：10.0.0.1/24
- PVE服务器1的WireGuard IP：10.0.0.2/24
- PVE服务器2的WireGuard IP：10.0.0.3/24
- 外地设备的WireGuard IP：10.0.0.10~20/24

在中转节点部署WireGuard服务端

1. 安装WireGuard

1
2

# Debian/Ubuntu系统
apt update && apt install wireguard iptables -y

2. 生成密钥对

# 生成服务端私钥和公钥
wg genkey | tee /etc/wireguard/privatekey | wg pubkey > /etc/wireguard/publickey

# 查看密钥（后续配置需要）
cat /etc/wireguard/privatekey  # 服务端私钥，记为S_PRI
cat /etc/wireguard/publickey   # 服务端公钥，记为S_PUB

3. 配置WireGuard服务端（`/etc/wireguard/wg0.conf`）

[Interface]
PrivateKey = S_PRI  # 替换为服务端私钥
Address = 10.0.0.1/24, 192.168.1.0/24    # 中转节点的虚拟IP 以及内网
ListenPort = 51820  # WireGuard默认端口
# 开启IP转发（让中转节点转发不同客户端的流量）
PostUp = echo 1 > /proc/sys/net/ipv4/ip_forward
PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE  # eth0是中转节点的公网网卡
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

4. 启动服务并设置开机自启

1
2

wg-quick up wg0
systemctl enable wg-quick@wg0

5. 开放中转节点的防火墙端口

在中转节点的云服务商控制台（如阿里云/甲骨文云），开放UDP 51820端口（WireGuard用UDP传输）。

在PVE节点部署WireGuard客户端

以“PVE服务器1”为例（PVE服务器2配置完全一致，仅虚拟IP改为10.0.0.3）：

1. 安装WireGuard（PVE宿主机/虚拟机均可）

1
2

# PVE宿主机是Debian系统，直接安装
apt update && apt install wireguard -y

2. 生成PVE节点的密钥对

wg genkey | tee /etc/wireguard/privatekey | wg pubkey > /etc/wireguard/publickey

# 查看密钥（后续配置需要）
cat /etc/wireguard/privatekey  # PVE1私钥，记为P1_PRI
cat /etc/wireguard/publickey   # PVE1公钥，记为P1_PUB

3. 配置WireGuard客户端（`/etc/wireguard/wg0.conf`）

[Interface]
PrivateKey = P1_PRI  # 替换为PVE1的私钥
Address = 10.0.0.2/24  # PVE1的虚拟IP

[Peer]
PublicKey = S_PUB  # 替换为中转节点的公钥
Endpoint = 中转节点公网IP:51820  # 如123.45.67.89:51820
AllowedIPs = 10.0.0.0/24, 192.168.1.0/24    # 中转节点的虚拟IP 以及内网
PersistentKeepalive = 25  # 保持内网穿透连接（避免NAT超时）

4. 启动客户端并设置开机自启

1
2

wg-quick up wg0
systemctl enable wg-quick@wg0

在外地设备部署WireGuard客户端

以Windows为例：

下载WireGuard客户端：官网下载；
打开客户端，点击“新建隧道”，输入配置：

[Interface]
PrivateKey = 本地生成的私钥  # 点击客户端的“生成密钥对”自动生成
Address = 10.0.0.10/24  # 外地设备的虚拟IP

[Peer]
PublicKey = S_PUB  # 中转节点的公钥
Endpoint = 中转节点公网IP:51820
AllowedIPs = 10.0.0.0/24  # 仅访问虚拟网段（也可填0.0.0.0/0实现全局代理）
PersistentKeepalive = 25

保存后点击“激活”，即可接入虚拟网络。

验证组网是否成功

ping 192.168.31.213 dockerhost 的ip

御林服务配置合集

Sun, 23 Nov 2025 00:00:00 +0000

/etc/nginx

3000 homepage

3030 outline

9000 authentik

9111 portainer

8484 grist

51821 wg-gen-web

nginx.conf

user www-data;
worker_processes auto;
pid /run/nginx.pid;
error_log /var/log/nginx/error.log;
include /etc/nginx/modules-enabled/*.conf;

events {
        worker_connections 768;
        # multi_accept on;
}

http {

        ##
        # Basic Settings
        ##

        sendfile on;
        tcp_nopush on;
        types_hash_max_size 2048;
        # server_tokens off;

        # server_names_hash_bucket_size 64;
        # server_name_in_redirect off;

        include /etc/nginx/mime.types;
        default_type application/octet-stream;

        ##
        # SSL Settings
        ##

        ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3; # Dropping SSLv3, ref: POODLE
        ssl_prefer_server_ciphers on;

        ##
        # Logging Settings
        ##

        access_log /var/log/nginx/access.log;

        ##
        # Gzip Settings
        ##

        gzip on;

        # gzip_vary on;
        # gzip_proxied any;
        # gzip_comp_level 6;
        # gzip_buffers 16 8k;
        # gzip_http_version 1.1;
        # gzip_types text/plain text/css application/json application/javascript text/xml application/xml application/xml+rss text/javascript;

        ##
        # Virtual Host Configs
        ##

        include /etc/nginx/conf.d/*.conf;
        include /etc/nginx/sites-enabled/*;
}


#mail {
#       # See sample authentication script at:
#       # http://wiki.nginx.org/ImapAuthenticateWithApachePhpScript
#
#       # auth_http localhost/auth.php;
#       # pop3_capabilities "TOP" "USER";
#       # imap_capabilities "IMAP4rev1" "UIDPLUS";
#
#       server {
#               listen     localhost:110;
#               protocol   pop3;
#               proxy      on;
#       }
#
#       server {
#               listen     localhost:143;
#               protocol   imap;
#               proxy      on;
#       }
#}

conf.d/auth.conf

 # Upstream where your authentik server is hosted.
upstream authentik {
    server 127.0.0.1:9443;
    # Improve performance by keeping some connections alive.
    keepalive 10;
}

# Upgrade WebSocket if requested, otherwise use keepalive
map $http_upgrade $connection_upgrade_keepalive {
    default upgrade;
    ''      '';
}

server {
    # HTTP server config
    server_name auth.yulinsec.cn;

    #Real IP From Frp
    set_real_ip_from 127.0.0.0/8;
    real_ip_header proxy_protocol;

    # Proxy site
    # Location can be set to a subpath if desired, see documentation linked below:
    # https://docs.goauthentik.io/docs/install-config/configuration/#authentik_web__path
    location / {
        proxy_pass http://127.0.0.1:9000;
        proxy_http_version 1.1;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header Host $http_host;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade_keepalive;
    }

    listen 443 ssl proxy_protocol; # managed by Certbot
    ssl_certificate /etc/letsencrypt/live/auth.yulinsec.cn/fullchain.pem; # managed by Certbot
    ssl_certificate_key /etc/letsencrypt/live/auth.yulinsec.cn/privkey.pem; # managed by Certbot
    include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # managed by Certbot

}


server {
    if ($host = auth.yulinsec.cn) {
        return 301 https://$host$request_uri;
    } # managed by Certbot


    listen 80 proxy_protocol;
    server_name auth.yulinsec.cn;
    return 404; # managed by Certbot
}

conf.d/outline.conf

server {
  server_name docs.yulinsec.cn;

  set_real_ip_from 127.0.0.0/8;
  real_ip_header proxy_protocol;

  location / {
    proxy_pass http://127.0.0.1:3030/;

    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "Upgrade";
    proxy_set_header Host $host;

    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Scheme $scheme;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_redirect off;
  }

    listen 443 ssl proxy_protocol; # managed by Certbot
    ssl_certificate /etc/letsencrypt/live/docs.yulinsec.cn/fullchain.pem; # managed by Certbot
    ssl_certificate_key /etc/letsencrypt/live/docs.yulinsec.cn/privkey.pem; # managed by Certbot
    include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # managed by Certbot

}
server {
    if ($host = docs.yulinsec.cn) {
        return 301 https://$host$request_uri;
    } # managed by Certbot
  server_name docs.yulinsec.cn;
  listen 80 proxy_protocol;
    return 404; # managed by Certbot
}

/conf.d/portainer.conf

server {   # 启用 proxy protocol
    server_name portainer.yulinsec.cn;

    # 处理 proxy protocol 后可继续使用真实客户端 IP
    real_ip_header proxy_protocol;
    set_real_ip_from 127.0.0.0/8;   # 按需限制允许发送 proxy protocol 的来源

    location / {
        proxy_pass http://127.0.0.1:9111;

        # 传递代理头部（客户端真实信息）
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $proxy_protocol_addr;
        proxy_set_header X-Forwarded-For $proxy_protocol_addr;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    listen 443 ssl proxy_protocol; # managed by Certbot
    ssl_certificate /etc/letsencrypt/live/portainer.yulinsec.cn/fullchain.pem; # managed by Certbot
    ssl_certificate_key /etc/letsencrypt/live/portainer.yulinsec.cn/privkey.pem; # managed by Certbot
    include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # managed by Certbot

}
server {
    if ($host = portainer.yulinsec.cn) {
        return 301 https://$host$request_uri;
    } # managed by Certbot


    listen 80 proxy_protocol;
    server_name portainer.yulinsec.cn;
    return 404; # managed by Certbot


}

conf.d/grist.conf

server {
    # 配置域名
    server_name grist.yulinsec.cn;

    # 处理真实 IP（保持与其他服务一致）
    set_real_ip_from 127.0.0.0/8;
    real_ip_header proxy_protocol;

    # 反向代理到 grist 服务端口
    location / {
        proxy_pass http://127.0.0.1:8484;  # 替换为实际端口

        # 通用代理头部配置（保持与其他服务一致）
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "Upgrade";
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Scheme $scheme;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_redirect off;
        # WebSocket支持（Grist实时协作依赖）
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_read_timeout 86400;
    }

    # HTTPS 配置（通过 Certbot 自动生成）
    listen 443 ssl proxy_protocol;
    ssl_certificate /etc/letsencrypt/live/grist.yulinsec.cn/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/grist.yulinsec.cn/privkey.pem;
    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;
}

# HTTP 自动跳转 HTTPS
server {
    if ($host = grist.yulinsec.cn) {
        return 301 https://$host$request_uri;
    }

    listen 80 proxy_protocol;
    server_name grist.yulinsec.cn;
    return 404;
}

conf.d/homepage.conf

# /etc/nginx/conf.d/homepage.conf
server {
    server_name homepage.yulinsec.cn;  # 自定义域名

    # 处理真实IP（与其他服务保持一致）
    set_real_ip_from 127.0.0.0/8;
    real_ip_header proxy_protocol;

    location / {
        proxy_pass http://127.0.0.1:3000;  # 代理到本地3000端口

        # 通用代理头部配置（与其他服务保持一致）
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "Upgrade";
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Scheme $scheme;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_redirect off;
    }

    # HTTPS配置（通过Certbot生成）
    #listen 443 ssl proxy_protocol;
    #ssl_certificate /etc/letsencrypt/live/homepage.yulinsec.cn/fullchain.pem;
    #ssl_certificate_key /etc/letsencrypt/live/homepage.yulinsec.cn/privkey.pem;
    #include /etc/letsencrypt/options-ssl-nginx.conf;
    #ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;
}

# HTTP自动跳转HTTPS
server {
    if ($host = homepage.yulinsec.cn) {
        return 301 https://$host$request_uri;
    }

    listen 80 proxy_protocol;
    server_name homepage.yulinsec.cn;
    return 404;
}

# 生成证书
sudo certbot --nginx -d homepage.yulinsec.cn

# 检查配置是否有误
sudo nginx -t

# 重启 Nginx 生效
sudo systemctl restart nginx

conf.d/wgeasy.conf

server {
    server_name wg-easy.yulinsec.cn; # ⚠️ 修改为你的域名
    
    location / {
    proxy_pass http://127.0.0.1:8080/;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "Upgrade";
    proxy_set_header Host $host;
}


    listen 443 ssl proxy_protocol; # managed by Certbot
    ssl_certificate /etc/letsencrypt/live/wg-easy.yulinsec.cn/fullchain.pem; # managed by Certbot
    ssl_certificate_key /etc/letsencrypt/live/wg-easy.yulinsec.cn/privkey.pem; # managed by Certbot
    include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # managed by Certbot

}
server {
    if ($host = wg-easy.yulinsec.cn) {
        return 301 https://$host$request_uri;
    } # managed by Certbot


server_name wg-easy.yulinsec.cn;
    listen 80 proxy_protocol;
    return 404; # managed by Certbot


}

/root/frp

frpc.toml

# 服务器公网地址
serverAddr = "47.242.81.180"
serverPort = 15443
transport.protocol = "tcp"
loginFailExit = false

# 鉴权配置
[auth]
method = "token"
token = "……"

# 日志配置
[log]
level = "info"
to = "/root/frp/logs/frpc.log"

# 代理配置
[[proxies]]
name = "auth-yulinsec-cn-http"
type = "http"
localIP = "127.0.0.1"
localPort = 80
customDomains = ["auth.yulinsec.cn"]
transport.proxyProtocolVersion = "v2"

[[proxies]]
name = "auth-yulinsec-cn-https"
type = "https"
localIP = "127.0.0.1"
localPort = 443
customDomains = ["auth.yulinsec.cn"]
transport.proxyProtocolVersion = "v2"

[[proxies]]
name = "outline-yulinsec-cn-http"
type = "http"
localIP = "127.0.0.1"
localPort = 80
customDomains = ["docs.yulinsec.cn"]
transport.proxyProtocolVersion = "v2"

[[proxies]]
name = "outline-yulinsec-cn-https"
type = "https"
localIP = "127.0.0.1"
localPort = 443
customDomains = ["docs.yulinsec.cn"]
transport.proxyProtocolVersion = "v2"

[[proxies]]
name = "portainer-yulinsec-cn-http"
type = "http"
localIP = "127.0.0.1"
localPort = 80
customDomains = ["portainer.yulinsec.cn"]
transport.proxyProtocolVersion = "v2"

[[proxies]]
name = "portainer-yulinsec-cn-https"
type = "https"
localIP = "127.0.0.1"
localPort = 443
customDomains = ["portainer.yulinsec.cn"]
transport.proxyProtocolVersion = "v2"

[[proxies]]
name = "wiki-yulinsec-cn-http"
type = "http"
localIP = "127.0.0.1"
localPort = 80
customDomains = ["wiki.yulinsec.cn"]
transport.proxyProtocolVersion = "v2"

[[proxies]]
name = "wiki-yulinsec-cn-https"
type = "https"
localIP = "127.0.0.1"
localPort = 443
customDomains = ["wiki.yulinsec.cn"]
transport.proxyProtocolVersion = "v2"

[[proxies]]
name = "grist-yulinsec-cn-http"
type = "http"
localIP = "127.0.0.1"
localPort = 80
customDomains = ["grist.yulinsec.cn"]
transport.proxyProtocolVersion = "v2"

[[proxies]]
name = "grist-yulinsec-cn-https"
type = "https"
localIP = "127.0.0.1"
localPort = 443
customDomains = ["grist.yulinsec.cn"]
transport.proxyProtocolVersion = "v2"

[[proxies]]
name = "homepage-yulinsec-cn-http"
type = "http"
localIP = "127.0.0.1"
localPort = 80
customDomains = ["homepage.yulinsec.cn"]
transport.proxyProtocolVersion = "v2"

[[proxies]]
name = "homepage-yulinsec-cn-https"
type = "https"
localIP = "127.0.0.1"
localPort = 443
customDomains = ["homepage.yulinsec.cn"]
transport.proxyProtocolVersion = "v2"

这里貌似冗余，后面处理

服务

authentik

# /root/authentik/docker-compose.yml
services:
  postgresql:
    env_file:
    - .env
    environment:
      POSTGRES_DB: ${PG_DB:-authentik}
      POSTGRES_PASSWORD: ${PG_PASS:?database password required}
      POSTGRES_USER: ${PG_USER:-authentik}
    healthcheck:
      interval: 30s
      retries: 5
      start_period: 20s
      test:
      - CMD-SHELL
      - pg_isready -d $${POSTGRES_DB} -U $${POSTGRES_USER}
      timeout: 5s
    image: docker.io/library/postgres:16-alpine
    restart: unless-stopped
    volumes:
    - database:/var/lib/postgresql/data
  server:
    command: server
    depends_on:
      postgresql:
        condition: service_healthy
    env_file:
    - .env
    environment:
      AUTHENTIK_POSTGRESQL__HOST: postgresql
      AUTHENTIK_POSTGRESQL__NAME: ${PG_DB:-authentik}
      AUTHENTIK_POSTGRESQL__PASSWORD: ${PG_PASS}
      AUTHENTIK_POSTGRESQL__USER: ${PG_USER:-authentik}
      AUTHENTIK_SECRET_KEY: ${AUTHENTIK_SECRET_KEY:?secret key required}
    image: ${AUTHENTIK_IMAGE:-ghcr.io/goauthentik/server}:${AUTHENTIK_TAG:-2025.10.2}
    ports:
    - ${COMPOSE_PORT_HTTP:-9000}:9000
    - ${COMPOSE_PORT_HTTPS:-9443}:9443
    restart: unless-stopped
    volumes:
    - ./media:/media
    - ./custom-templates:/templates
  worker:
    command: worker
    depends_on:
      postgresql:
        condition: service_healthy
    env_file:
    - .env
    environment:
      AUTHENTIK_POSTGRESQL__HOST: postgresql
      AUTHENTIK_POSTGRESQL__NAME: ${PG_DB:-authentik}
      AUTHENTIK_POSTGRESQL__PASSWORD: ${PG_PASS}
      AUTHENTIK_POSTGRESQL__USER: ${PG_USER:-authentik}
      AUTHENTIK_SECRET_KEY: ${AUTHENTIK_SECRET_KEY:?secret key required}
    image: ${AUTHENTIK_IMAGE:-ghcr.io/goauthentik/server}:${AUTHENTIK_TAG:-2025.10.2}
    restart: unless-stopped
    user: root
    volumes:
    - /var/run/docker.sock:/var/run/docker.sock
    - ./media:/media
    - ./certs:/certs
    - ./custom-templates:/templates
volumes:
  database:
    driver: local

outline

# /root/outline/docker-compose.yml
services:
  outline:
    image: outlinewiki/outline:1.1.0
    env_file: ./docker.env
    ports:
      - "3030:3030"
    expose:
      - "3030"
    volumes:
      - ./data:/var/lib/outline/data
    depends_on:
      - postgres
      - redis

  redis:
    image: redis
    env_file: ./docker.env
    expose:
      - "6379"
    volumes:
      - ./redis.conf:/redis.conf
    command: ["redis-server", "/redis.conf"]
    healthcheck:
      test: ["CMD", "redis-cli", "ping"]
      interval: 10s
      timeout: 30s
      retries: 3

  postgres:
    image: postgres:18
    env_file: ./docker.env
    expose:
      - "5432"
    volumes:
      - ./database:/var/lib/postgresql
    healthcheck:
      test: ["CMD", "pg_isready", "-d", "outline", "-U", "user"]
      interval: 30s
      timeout: 20s
      retries: 3
    environment:
      POSTGRES_USER: 'user'
      POSTGRES_PASSWORD: 'pass'
      POSTGRES_DB: 'outline'

# /root/outline/docker.env
# 汉化了，原文是英文
NODE_ENV=production

# 该 URL 应指向完全限定的、可公开访问的地址。若使用代理，此处为代理的 URL
URL=https://docs.yulinsec.cn

# Outline 服务器暴露的端口，需与 docker-compose.yml 中配置的端口一致
PORT=3030

# 有关运行独立协作服务器的说明，请查看文档(SERVICES.md)，常规运行时无需设置此项
COLLABORATION_URL=

# 若使用 Cloudfront/Cloudflare 等分发网络，可在此处配置。
# 配置后，JavaScript、样式表和图片的路径会更新为 CDN_URL 中定义的主机名。
# CDN 配置中的源服务器需与 URL 保持一致
CDN_URL=

# 要生成的进程数量。合理的估算规则是：服务器可用内存 ÷ 512（单位：MB）
WEB_CONCURRENCY=4

# 生成一个十六进制编码的 32 字节随机密钥。可在终端执行 `openssl rand -hex 32` 生成随机值
SECRET_KEY=...

# 生成一个唯一的随机密钥。格式无严格要求，也可通过终端 `openssl rand -hex 32` 生成
UTILS_SECRET=...

# 默认界面语言。可在 translate.getoutline.com 查看支持的语言代码及翻译完成度
DEFAULT_LANGUAGE=zh_CN


# ––––––––––––––––––––––––––––––––––––––
# ––––––––––––– 数据库配置 –––––––––––––
# ––––––––––––––––––––––––––––––––––––––

# 生产环境数据库的 URL，包含用户名、密码和数据库名
DATABASE_URL=postgres://user:pass@postgres:5432/outline

# 每个进程的内存数据库连接池设置。确保连接池大小不超过数据库允许的最大连接数
# 默认值为最小 0、最大 5
DATABASE_CONNECTION_POOL_MIN=
DATABASE_CONNECTION_POOL_MAX=

# 若连接 Postgres 不使用 SSL，可取消注释此行。仅当数据库与应用在同一台机器时适用
PGSSLMODE=disable


# ––––––––––––––––––––––––––––––––––––––
# ––––––––––––– Redis 配置 –––––––––––––
# ––––––––––––––––––––––––––––––––––––––

# 环境的 Redis URL，可指定兼容 ioredis 的 URL 或 Base64 编码的配置对象
# 文档：https://docs.getoutline.com/s/hosting/doc/redis-LGM4BFXYp4
REDIS_URL=redis://redis:6379


# ––––––––––––––––––––––––––––––––––––––
# ––––––––––– 文件存储配置 –––––––––––
# ––––––––––––––––––––––––––––––––––––––

# 指定存储系统类型，可选值为 "s3" 或 "local"
# - "local"：图片和文档附件存储在本地磁盘
# - "s3"：存储在兼容 S3 协议的网络存储服务
# 文档：https://docs.getoutline.com/s/hosting/doc/file-storage-N4M0T6Ypu7
FILE_STORAGE=local

# 若 FILE_STORAGE 配置为 "local"，此项设置所有附件/图片的存储上级目录
# 确保进程拥有该路径的创建权限和文件写入权限
FILE_STORAGE_LOCAL_ROOT_DIR=/var/lib/outline/data

# 上传附件的最大允许大小（单位：字节）
FILE_STORAGE_UPLOAD_MAX_SIZE=262144000

# 覆盖文档导入的最大大小，通常应小于文档附件的最大大小
FILE_STORAGE_IMPORT_MAX_SIZE=

# 覆盖工作区导入的最大大小，工作区导入文件可能特别大，且为临时文件会被自动定期删除
FILE_STORAGE_WORKSPACE_IMPORT_MAX_SIZE=

# 若在分布式架构中支持头像和文档附件的图片上传，且 FILE_STORAGE=s3 时，
# 需配置兼容 S3 的存储服务
AWS_ACCESS_KEY_ID=get_a_key_from_aws
AWS_SECRET_ACCESS_KEY=get_the_secret_of_above_key
AWS_REGION=xx-xxxx-x

# ––––––––––––––––––––––––––––––––––––––
# ––––––––––– SSL 配置 –––––––––––
# ––––––––––––––––––––––––––––––––––––––

# HTTPS 终止的 Base64 编码私钥和证书。这是三种 SSL 配置方式之一，可留空
# 文档：https://docs.getoutline.com/s/hosting/doc/ssl-pzk7WO8d1n
SSL_KEY=
SSL_CERT=

# 生产环境中自动重定向到 HTTPS。默认值为 true，若确定 SSL 在外部负载均衡器终止，可设为 false
FORCE_HTTPS=false


# ––––––––––––––––––––––––––––––––––––––
# ––––––––––– 身份认证配置 –––––––––––
# ––––––––––––––––––––––––––––––––––––––

# 第三方登录凭证，至少需要配置 Google、Slack、Discord 或 Microsoft 中的一种，
# 否则将无登录选项可用

# Slack 登录提供商
# 文档：https://docs.getoutline.com/s/hosting/doc/slack-sgMujR8J9J
SLACK_CLIENT_ID=
SLACK_CLIENT_SECRET=

# Google 登录提供商
# 文档：https://docs.getoutline.com/s/hosting/doc/google-hOuvtCmTqQ
GOOGLE_CLIENT_ID=
GOOGLE_CLIENT_SECRET=

# Microsoft Entra / Azure AD 登录提供商
# 文档：https://docs.getoutline.com/s/hosting/doc/microsoft-entra-UVz6jsIOcv
AZURE_CLIENT_ID=
AZURE_CLIENT_SECRET=
AZURE_RESOURCE_APP_ID=

# Discord 登录提供商
# 文档：https://docs.getoutline.com/s/hosting/doc/discord-g4JdWFFub6
DISCORD_CLIENT_ID=
DISCORD_CLIENT_SECRET=
DISCORD_SERVER_ID=
DISCORD_SERVER_ROLES=

# 通用 OIDC 提供商
# 文档：https://docs.getoutline.com/s/hosting/doc/oidc-8CPBm6uC0I
OIDC_CLIENT_ID=...
OIDC_CLIENT_SECRET=...
OIDC_AUTH_URI=https://auth.yulinsec.cn/application/o/authorize/
OIDC_TOKEN_URI=https://auth.yulinsec.cn/application/o/token/
OIDC_USERINFO_URI=https://auth.yulinsec.cn/application/o/userinfo/
OIDC_LOGOUT_URI=https://auth.yulinsec.cn/application/o/outline/end-session/

# 指定从哪些声明中提取用户信息，支持 JWT 载荷中的任意有效 JSON 路径
OIDC_USERNAME_CLAIM=profile

# OIDC 认证的显示名称
OIDC_DISPLAY_NAME=YulinSec Auth

# 空格分隔的认证作用域
OIDC_SCOPES=openid profile email


# ––––––––––––––––––––––––––––––––––––––
# ––––––––––– 邮件配置 –––––––––––
# ––––––––––––––––––––––––––––––––––––––

# 要支持发送事务性邮件（如“文档已更新”或邮件登录），需连接 SMTP 服务器。
# 可配置的服务列表：https://community.nodemailer.com/2-0-0-beta/setup-smtp/well-known-services/
# 文档：https://docs.getoutline.com/s/hosting/doc/smtp-cqCJyZGMIB
SMTP_SERVICE=
SMTP_USERNAME=
SMTP_PASSWORD=
SMTP_FROM_EMAIL=


# ––––––––––––––––––––––––––––––––––––––
# ––––––––––– 限流配置 –––––––––––
# ––––––––––––––––––––––––––––––––––––––

# 是否启用限流功能
RATE_LIMITER_ENABLED=true

# 各个端点有硬编码的限流规则（需上述开关启用），此项为所有请求的全局限流
RATE_LIMITER_REQUESTS=1000
RATE_LIMITER_DURATION_WINDOW=60


# ––––––––––––––––––––––––––––––––––––––
# ––––––––––– 集成配置 –––––––––––
# ––––––––––––––––––––––––––––––––––––––

# GitHub 集成：支持预览 Issues 和 Pull Request 链接
# 文档：https://docs.getoutline.com/s/hosting/doc/github-GchT3NNxI9
GITHUB_CLIENT_ID=
GITHUB_CLIENT_SECRET=
GITHUB_WEBHOOK_SECRET=
GITHUB_APP_NAME=
GITHUB_APP_ID=
GITHUB_APP_PRIVATE_KEY=

# Linear 集成：支持将 Issue 链接预览为富文本提及
LINEAR_CLIENT_ID=
LINEAR_CLIENT_SECRET=

# Slack 完整集成（含搜索和频道发帖）：除了 Slack 认证外，还需配置以下项
# 文档：https://docs.getoutline.com/s/hosting/doc/slack-G2mc8DOJHk
SLACK_VERIFICATION_TOKEN=
SLACK_APP_ID=
SLACK_MESSAGE_ACTIONS=

# Dropbox 集成：按以下说明获取密钥 https://www.dropbox.com/developers/embedder#setup
# 并在应用设置中白名单你的域名
DROPBOX_APP_KEY=

# 可选启用 Sentry (sentry.io) 跟踪错误和性能
# 文档：https://docs.getoutline.com/s/hosting/doc/sentry-jxcFttcDl5
SENTRY_DSN=
SENTRY_TUNNEL=

# 启用从 Notion 工作区导入页面
# 文档：https://docs.getoutline.com/s/hosting/doc/notion-2v6g7WY3l3
NOTION_CLIENT_ID=
NOTION_CLIENT_SECRET=

# Iframely 集成：支持在 Outline 中预览第三方内容（如悬停外部链接显示预览）
# 文档：https://docs.getoutline.com/s/hosting/doc/iframely-HwLF1EZ9mo
IFRAMELY_URL=
IFRAMELY_API_KEY=


# ––––––––––––––––––––––––––––––––––––––
# ––––––––––– 调试配置 –––––––––––
# ––––––––––––––––––––––––––––––––––––––

# 是否允许安装程序通过发送匿名统计信息检查更新
ENABLE_UPDATES=true

# 要启用的调试类别，若你的代理已记录入站 HTTP 请求，可移除默认的 "http" 避免重复日志
DEBUG=http

# 配置服务器日志的最低严重级别，可选值：
# error, warn, info, http, verbose, debug, silly
LOG_LEVEL=info

grist

# /root/grist/docker-compose.yml
services:
  grist:
    image: gristlabs/grist:latest
    environment:
      # Postgres database setup
      TYPEORM_DATABASE: grist
      TYPEORM_USERNAME: grist
      TYPEORM_HOST: grist-db
      TYPEORM_LOGGING: false
      TYPEORM_PASSWORD: ${DATABASE_PASSWORD}
      TYPEORM_PORT: 5432
      TYPEORM_TYPE: postgres

	  # OIDC核心配置
      GRIST_OIDC_IDP_ISSUER: "https://auth.yulinsec.cn/application/o/grist/.well-known/openid-configuration"
      # 替换为Authentik中Grist应用的Client ID
      GRIST_OIDC_IDP_CLIENT_ID: "..."
      # 替换为Authentik中Grist应用的Client Secret
      GRIST_OIDC_IDP_CLIENT_SECRET: "..."
      # Grist的外部访问地址（需与Authentik的Redirect URI一致）
      GRIST_OIDC_SP_HOST: "https://grist.yulinsec.cn"
      # 可选：请求的OIDC Scope（默认openid email profile）
      GRIST_OIDC_IDP_SCOPES: "openid email profile"
      # 可选：登出时跳过IDP的注销端点（若Authentik不支持RP-Initiated Logout）
      # GRIST_OIDC_IDP_SKIP_END_SESSION_ENDPOINT: "true"
      # 可选：用户名称/邮箱的属性映射（默认自动取name/email）
      GRIST_OIDC_SP_PROFILE_NAME_ATTR: "name"
      GRIST_OIDC_SP_PROFILE_EMAIL_ATTR: "email"
      GRIST_OIDC_SP_IGNORE_EMAIL_VERIFIED: true
      # Redis setup
      REDIS_URL: redis://grist-redis

      # MinIO setup. This requires the bucket set up on the MinIO instance with versioning enabled.
      GRIST_DOCS_MINIO_ACCESS_KEY: grist
      GRIST_DOCS_MINIO_SECRET_KEY: ${MINIO_PASSWORD}
      GRIST_DOCS_MINIO_USE_SSL: 0
      GRIST_DOCS_MINIO_BUCKET: grist-docs
      GRIST_DOCS_MINIO_ENDPOINT: grist-minio
      GRIST_DOCS_MINIO_PORT: 9000

      # 新增核心配置
      GRIST_HOME_URL: ${GRIST_EXTERNAL_URL}  # 外部访问地址，OIDC回调依赖
      GRIST_SINGLE_ORG: "YulinSec"            # 单组织名称，自定义
      GRIST_PORT: 8484                        # 容器内端口（固定）
      NODE_ENV: production                    # 生产环境
    volumes:
      # Where to store persistent data, such as documents.
      - ${PERSIST_DIR}/grist:/persist
    ports:
      - 8484:8484
    depends_on:
      - grist-db
      - grist-redis
      - grist-minio
      - minio-setup

  grist-db:
    image: postgres:alpine
    environment:
        POSTGRES_DB: grist
        POSTGRES_USER: grist
        POSTGRES_PASSWORD: ${DATABASE_PASSWORD}
    volumes:
      - ${PERSIST_DIR}/postgres:/var/lib/postgresql/data

  grist-redis:
    image: redis:alpine
    volumes:
      - ${PERSIST_DIR}/redis:/data

  grist-minio:
    image: minio/minio:latest
    environment:
      MINIO_ROOT_USER: grist
      MINIO_ROOT_PASSWORD: ${MINIO_PASSWORD}
    volumes:
      - ${PERSIST_DIR}/minio:/data
    command:
      server /data --console-address=":9001"

  # This sets up the buckets required in MinIO. It is only needed to make this example work.
  # It isn't necessary for deployment and can be safely removed.
  minio-setup:
    image: minio/mc
    environment:
      MINIO_PASSWORD: ${MINIO_PASSWORD}
    depends_on:
      grist-minio:
        condition: service_started
    restart: on-failure
    entrypoint: >
      /bin/sh -c "
      /usr/bin/mc alias set myminio http://grist-minio:9000 grist '$MINIO_PASSWORD';
      /usr/bin/mc mb myminio/grist-docs;
      /usr/bin/mc anonymous set public myminio/grist-docs;
      /usr/bin/mc version enable myminio/grist-docs;
      "

# /root/grist/.env
# 数据库密码
DATABASE_PASSWORD=...
# MinIO根密码（需8位以上）
MINIO_PASSWORD=...
# 持久化数据目录（宿主机路径）
PERSIST_DIR=/root/grist/data
# Grist外部访问地址（核心：OIDC回调依赖此地址）
GRIST_EXTERNAL_URL=https://grist.yulinsec.cn

todo:同步脚本

homepage

# /root/homepage
services:
  homepage:
    image: ghcr.io/gethomepage/homepage:latest
    container_name: homepage
    ports:
      - 3000:3000
    volumes:
      - /path/to/config:/app/config # Make sure your local config directory exists
      - /var/run/docker.sock:/var/run/docker.sock # (optional) For docker integrations
    environment:
      HOMEPAGE_ALLOWED_HOSTS: gethomepage.dev # required, may need port. See gethomepage.dev/installation/#homepage_allowed_hosts

WireGuard

volumes:
  etc_wireguard:

services:
  wg-easy:
    #environment:
    #  Optional:
    #  - PORT=51821
    #  - HOST=0.0.0.0
    #  - INSECURE=false

    image: ghcr.io/wg-easy/wg-easy:15
    container_name: wg-easy
    networks:
      wg:
        ipv4_address: 10.42.42.42
        ipv6_address: fdcc:ad94:bacf:61a3::2a
    volumes:
      - etc_wireguard:/etc/wireguard
      - /lib/modules:/lib/modules:ro
    ports:
      - "51820:51820/udp"
      - "51821:51821/tcp"
    restart: unless-stopped
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
      # - NET_RAW # ⚠️ Uncomment if using Podman
    sysctls:
      - net.ipv4.ip_forward=1
      - net.ipv4.conf.all.src_valid_mark=1
      - net.ipv6.conf.all.disable_ipv6=0
      - net.ipv6.conf.all.forwarding=1
      - net.ipv6.conf.default.forwarding=1

networks:
  wg:
    driver: bridge
    enable_ipv6: true
    ipam:
      driver: default
      config:
        - subnet: 10.42.42.0/24
        - subnet: fdcc:ad94:bacf:61a3::/64

PVE的lxc环境下搭建grist表格

Thu, 20 Nov 2025 00:00:00 +0000

准备工作

grist 的 github：Grist is the evolution of spreadsheets.

先要创建一个虚拟机，选用了 lxc 而非 vm，其实是一个不太好的选择，导致在搭建过程中磕磕绊绊。应该是因为 PVE 对 lxc 进行了比较多的限制。

正常创建就可以了，镜像选的是 ubuntu24.04。好像可以用模板？但是不知道密码，登不进去……

配置 docker 环境

从头开始配还是有点麻烦，主要原因是镜像源太不稳定。先配置 apt 的源，把 docker 下下来，再配置 docker 的镜像，多找几个试试。还弄了 clash，但是没有用上（docker 的代理还要另外配置）。

具体内容添加到了：配置docker

配置 grist

官方 git 里面有 dockers-compose-examples：

一开始用的是 grist-traefik（反向代理工具）-basic-auth 的，弄完了才知道出外网没有域名，反向代理很鸡肋……接着就改成了 grist-with-postgres-redis-minio，有了基础的存储，但是没有登录认证。

配置文件如下：

services:
  grist:
    image: gristlabs/grist:latest
    environment:
      TYPEORM_DATABASE: grist
      TYPEORM_USERNAME: grist
      TYPEORM_HOST: grist-db
      TYPEORM_LOGGING: false
      TYPEORM_PASSWORD: 12345678
      TYPEORM_PORT: 5432
      TYPEORM_TYPE: postgres
      REDIS_URL: redis://grist-redis
      GRIST_DOCS_MINIO_ACCESS_KEY: grist
      GRIST_DOCS_MINIO_SECRET_KEY: 12345678
      GRIST_DOCS_MINIO_USE_SSL: 0
      GRIST_DOCS_MINIO_BUCKET: grist-docs
      GRIST_DOCS_MINIO_ENDPOINT: grist-minio
      GRIST_DOCS_MINIO_PORT: 9000
    volumes:
      - grist-persist:/persist  # 命名卷
    ports:
      - 8484:8484
    depends_on:
      - grist-db
      - grist-redis
      - grist-minio
      - minio-setup

  grist-db:
    image: postgres:alpine
    environment:
        POSTGRES_DB: grist
        POSTGRES_USER: grist
        POSTGRES_PASSWORD: 12345678
    volumes:
      - grist-postgres:/var/lib/postgresql/data  # 命名卷

  grist-redis:
    image: redis:alpine
    volumes:
      - grist-redis:/data  # 命名卷

  grist-minio:
    image: minio/minio:latest
    environment:
      MINIO_ROOT_USER: grist
      MINIO_ROOT_PASSWORD: 12345678
    volumes:
      - grist-minio:/data  # 命名卷
    command:
      server /data --console-address=":9001"

  minio-setup:
    image: minio/mc
    environment:
      MINIO_PASSWORD: 12345678
    depends_on:
      grist-minio:
        condition: service_started
    restart: on-failure
    entrypoint: >
      /bin/sh -c "
      /usr/bin/mc alias set myminio http://grist-minio:9000 grist '12345678';
      /usr/bin/mc mb myminio/grist-docs;
      /usr/bin/mc anonymous set public myminio/grist-docs;
      /usr/bin/mc version enable myminio/grist-docs;
      "

# 定义命名卷（Docker自动创建，存储在/var/lib/docker/volumes）
volumes:
  grist-persist:
  grist-postgres:
  grist-redis:
  grist-minio:

这里把路径、密码写死了，读取.env的话好像有点问题。

要注意的

在 lxc 中，对权限会有限制，所以

docker 的版本有要求！参见：https://forum.proxmox.com/threads/docker-inside-lxc-net-ipv4-ip_unprivileged_port_start-error.175437/
对挂载的数据卷有要求！
- 不能挂载到 /root 下
- 后面改成了自定义命名卷，见上

穿透

用了 frp，还是弄了好一会

# frpc.toml 客户端配置
[common]
server_addr =8.137.38.223
server_port = 7000            # 服务端bind_port
token = 11111

# Grist端口映射规则
[[proxies]]
name = "grist-proxy"
type = "tcp"
local_ip = "127.0.0.1"
local_port = 8484
remote_port = 9000

# frps.toml 服务端配置
[common]
bind_addr = 0.0.0.0 # 指定监听 ipv4
bind_port = 7000  # TOML格式中，frp的配置项是下划线分隔（bind_port），不是驼峰（bindPort）！
token = 11111

分别运行nohup ./frps -c ./frps.toml > frps.log &即可。

写下来才感觉没什么，做的时候思路就很乱。各种基础配置没有一个模板，就一直到处找，很低效。

对 docker、反向代理的理解也是模棱两可，导致实际操作起来没有方向，不知道哪里出了问题、要怎么解决。

然后具体的服务配置其实已经在 yml 里写得很清楚了，但是自己改的能力还是很差。以及，vim 要学起来用了……

DevOps核心服务线

Sun, 09 Nov 2025 00:00:00 +0000

参考：DevOps入门小结

Git版本控制

核心流程

四大核心区域定义

工作区（Working Directory）：即本地电脑中存放项目文件的实际目录，是开发者日常编写代码、修改文件的区域，文件状态分为 “未跟踪（Untracked）” 和 “已跟踪（Tracked）”。
- 未跟踪：新创建的文件，Git 未记录其任何版本信息；
- 已跟踪：曾通过 git add 纳入版本控制的文件，包括 “已修改（Modified）”“已暂存（Staged）”“未修改（Unmodified）” 三种状态。
暂存区（Staging Area/Index）：是 Git 中的 “临时缓冲区”，位于 .git 目录内，用于存放待提交的文件变更。通过 git add 命令可将工作区的修改同步到暂存区，暂存区的内容会在执行 git commit 时被提交到本地仓库。
本地仓库（Local Repository）：位于项目根目录的 .git 隐藏文件夹，是 Git 存储版本历史的核心区域。包含所有提交记录、分支信息、对象数据库（存储文件内容、提交对象等），即使断开网络也能完整查看历史和管理版本。
远程仓库（Remote Repository）：位于服务器（如 GitHub、GitLab、自建 Git 服务器）的共享仓库，用于团队成员同步代码、协同开发。通过 git push 将本地仓库的提交推送到远程，通过 git pull/fetch 从远程获取他人的提交。

命令与状态转换

命令	作用	状态转换
`git add <文件>`	将工作区修改添加到暂存区	未跟踪 → 已暂存；已修改 → 已暂存
`git commit -m "备注"`	将暂存区内容提交到本地仓库	已暂存 → 未修改
`git push <远程> <分支>`	本地仓库提交推送到远程仓库	本地提交 → 远程提交
`git checkout -- <文件>`	丢弃工作区未暂存的修改	已修改 → 未修改
`git reset HEAD <文件>`	将暂存区的修改撤回到工作区	已暂存 → 已修改

协同操作

git fetch：仅获取，不合并

原理：从远程仓库拉取本地尚未有的提交记录，更新本地的远程跟踪分支（如 origin/main），但不会修改本地当前工作分支的代码。
流程：git fetch origin main → 拉取远程 main 分支的新提交 → 存储到本地 origin/main 分支 → 本地 main 分支保持不变。
优势：可在合并前通过 git diff main origin/main 查看远程提交与本地的差异，评估是否会引发冲突，更安全可控。

git pull：获取并合并

原理：git pull 本质是 git fetch + git merge 的组合命令，拉取远程提交后会自动将其合并到本地当前工作分支。
流程：git pull origin main → 先执行 git fetch origin main → 再执行 git merge origin/main into main → 直接更新本地工作分支代码。
优势：操作简洁，一步完成 “获取 + 合并”，适合快速同步代码；劣势：若存在冲突，会直接进入合并冲突解决流程，新手可能难以处理。

最佳实践

团队协作优先使用 git fetch + git merge 组合

1
2
3

git fetch origin main  # 获取远程新提交
git diff main origin/main  # 查看差异
git merge origin/main  # 手动合并（冲突可提前预判）

若确认远程提交与本地无冲突（如个人分支同步），可直接用 git pull 简化操作；

避免在多人协作的公共分支（如 main）上直接使用 git pull，建议先切换到个人分支，合并后再提交 PR/MR。

分支管理

核心分支概念

主分支（main/master）：存放稳定可发布的代码，通常不允许直接提交，仅通过合并其他分支更新；
功能分支（feature/*）：用于开发新功能，从主分支创建，功能完成后合并回主分支；
修复分支（hotfix/*）：用于修复生产环境紧急 bug，从主分支创建，修复后同时合并回主分支和开发分支。

核心命令：

创建并切换到新分支：git checkout -b <new_branch>
- 原理：等价于 git branch <new_branch>（创建分支） + git checkout <new_branch>（切换分支）；
合并分支：git merge <branch>
- 原理：将指定分支的代码合并到当前所在分支；
- 如功能开发完成后，将 feature/login 合并到 main 分支：
  1 2
  
  git checkout main # 切换到主分支 git merge feature/login # 合并功能分支
- 冲突处理：若合并时出现代码冲突（同一文件同一位置被不同修改），Git 会标记冲突文件，需手动编辑冲突内容后，执行 git add <冲突文件> + git commit 完成合并。
删除分支：git branch -d <branch>
- 作用：删除已合并到主分支的无用分支，清理分支结构；
- 强制删除：若分支未合并（如废弃的功能分支），需用 git branch -D <branch>（大写 D）强制删除；

历史管理

git reset –hard <commit_id>：本地强制回滚

原理：将本地仓库、暂存区、工作区强制重置到指定的提交版本，丢弃该版本之后的所有提交记录；
直接修改本地版本历史，操作不可逆（丢弃的提交无法通过常规命令恢复），仅适用于本地未推送的提交。
严禁在公共分支使用！！

git revert <commit_id>：创建反向提交

原理：不删除原有提交记录，而是创建一个新的 “反向提交”，抵消指定提交的修改内容，保持版本历史的完整性；
修改会生成新的提交，可正常推送到远程仓库，适合撤销已推送到公共分支的错误提交。
公共分支优先使用

Docker与容器化

之前的文档写得比较详细了。

网络服务和转发

Nginx 反向代理配置

server {
    listen 80;
    server_name api.example.com;

    # 匹配 /user 开头的请求，转发到用户服务
    location /user {
        proxy_pass http://user-service:3000;  # 可使用内网域名（需DNS或hosts解析）
        proxy_set_header Host $host;
    }

    # 匹配 /order 开头的请求，转发到订单服务
    location /order {
        proxy_pass http://order-service:4000;
        proxy_set_header Host $host;
    }

    # 匹配静态文件（如图片、CSS），直接返回本地文件
    location ~* \.(jpg|jpeg|png|css|js)$ {
        root /var/www/static;  # 静态文件目录
        expires 1d;  # 缓存1天，减轻后端压力
    }
}

内网穿透

SSH 反向隧道

原理：

通过 SSH 连接将内网服务的端口 “反向映射” 到公网服务器（有公网 IP），使得公网用户可通过公网服务器的指定端口访问内网服务。

持久化隧道（autossh）：

autossh 可自动检测 SSH 连接状态并重启隧道，确保稳定性：

# 安装 autossh（Debian/Ubuntu）
sudo apt install autossh

# 启动持久化反向隧道：-M 指定监控端口，-f 后台运行
autossh -M 20000 -fN -R 8000:localhost:8080 user@public-server-ip

适用场景：轻量需求（如个人博客、小型服务），无需额外服务端配置（仅需公网服务器支持 SSH）。

Frp 的 C/S 工作模式

Frp 是专门的内网穿透工具，采用客户端（frpc）/ 服务端（frps）架构，支持 TCP、UDP、HTTP 等多种协议，功能更强大。

工作原理：

服务端（frps）：部署在有公网 IP 的服务器，监听客户端连接和用户访问请求。

客户端（frpc）：部署在内网机器，与服务端建立长连接，将内网服务端口映射到服务端。

配置示例：

服务端（frps.ini）：

1
2
3

[common]
bind_port = 7000  # 与客户端通信的端口
vhost_http_port = 8080  # HTTP 服务统一端口（可选）

启动：frps -c frps.ini

客户端（frpc.ini）：

[common]
server_addr = public-server-ip  # 服务端公网 IP
server_port = 7000  # 服务端 bind_port

# 映射内网 SSH 服务（22 端口）
[ssh]
type = tcp
local_ip = 127.0.0.1
local_port = 22
remote_port = 6000  # 访问服务端 6000 端口 → 内网 22 端口

# 映射内网 Web 服务（8080 端口）
[web]
type = http
local_ip = 127.0.0.1
local_port = 8080
custom_domains = web.example.com  # 绑定域名（需 DNS 解析到服务端 IP）

启动：frpc -c frpc.ini

零配置网络

具体使用看以前文章，这里分析原理

Tailscale 是基于 WireGuard 协议的零配置 VPN 工具，可快速构建跨网络的私有网络（如办公室、家庭、云服务器之间），实现设备间直接通信。

相当于让分散的网络组成一个私有网络，实现跨网直连

核心原理：

P2P 直连：通过 STUN 协议检测设备是否可直接通信，优先建立点对点连接（无需中转服务器），速度快、延迟低。

中继 fallback：若设备位于严格 NAT 后无法直连，自动通过 Tailscale 中继服务器转发（加密传输）。

身份认证：基于 Tailscale 账号系统（支持 Google、GitHub 等 OAuth 登录），设备加入网络需管理员授权，安全可控。

DNS 与子网路由：自动分配虚拟 IP（如 100.x.y.z），支持自定义 DNS 名称（如 my-laptop.tailnet-name.ts.net），可通过子网路由暴露整个内网（如办公室网段）。

优势场景：

远程办公：在家访问公司内网服务器，无需复杂 VPN 配置；

多地域设备组网：云服务器（AWS / 阿里云）、本地服务器、个人电脑组成私有网络，互访无感知；

安全通信：所有流量通过 WireGuard 加密，且无需暴露公网端口。

Q:为什么普通网络下 “跨网直连” 很难？

NAT 隔离：家用 / 公司路由器会给设备分配 “内网 IP”（如 192.168.x.x），这些 IP 只在路由器内部有效，互联网上看不见。路由器通过 “NAT 转换” 把内网 IP 映射到唯一的公网 IP 上，但这个公网 IP 通常是动态的，且路由器会阻止外部主动访问内网设备。
防火墙限制：公司 / 家庭网络的防火墙会默认拦截陌生的外部连接，防止被攻击。
没有统一身份：两台设备不知道对方是谁，无法验证 “是否允许通信”。

Q:Tailscale 如何解决这些问题？

P2P 直连：绕开 “中间商”，设备直接对话
Tailscale 优先让设备之间 “直接握手”，不用经过第三方服务器转发，速度最快。
关键技术：STUN 协议STUN 协议的作用是让设备 “发现自己在互联网中的真实位置”。比如：
- 家里的电脑会先问 Tailscale 的 STUN 服务器：“我在互联网上的地址和端口是多少？”
- STUN 服务器回复：“你当前的公网 IP 是 203.0.113.5，端口是 50000（路由器给你分配的临时端口）。”
- 公司的服务器也会做同样的操作，得到自己的公网 IP 和端口。
- Tailscale 再把这两个 “地址 + 端口” 告诉对方，两台设备就可以直接发送数据了（比如家里电脑直接访问公司服务器的 203.0.113.10:50001）。
中继 fallback：实在连不上？找 “中介” 帮忙

如果设备在 “严格的 NAT 环境” 下（比如某些公司网络、校园网），STUN 也无法让它们直连，这时 Tailscale 会自动切换到 “中继模式”。
- 原理：Tailscale 会在全球部署多台 “中继服务器（DERP 服务器）”，两台设备都先连接到同一台中继服务器，数据通过中继转发。
- 安全性：即使经过中继，数据也是端到端加密的（中继服务器看不到内容），只有通信的两台设备能解密。
身份认证：确保 “连对人”，防止陌生人闯入

Tailscale 用一套严格的身份体系确保只有授权设备能加入网络：
- 账号绑定：所有设备必须登录同一个 Tailscale 账号（支持 Google、GitHub 等账号登录），相当于 “家庭住址”，只有这个 “家庭” 的设备才能互相看到。
- 授权机制：新设备登录后，需要管理员在 Tailscale 后台手动 “批准” 才能加入网络（类似小区门禁，保安确认后才放行）。
- 加密证书：每台设备会生成一对加密密钥，由 Tailscale 的 “密钥服务器” 颁发证书，通信时用证书验证对方身份（确保不是伪装的设备）。
子网路由：让 “整个内网” 都加入虚拟网络
- 如果你想让虚拟网络里的设备访问 “整个公司内网”（比如公司内网有 192.168.1.x 网段的多台服务器），不用每台都装 Tailscale，只需：
- 在内网找一台 “网关设备”（比如一台服务器）安装 Tailscale，并配置 “子网路由”，告诉 Tailscale：“我能访问 192.168.1.0/24 这个网段”。
- 其他设备（如家里的电脑）就可以通过这台网关设备访问公司内网的所有机器（如 192.168.1.100）。

Q：为什么能绕过防火墙？

因为这个连接是由 “内网设备主动发起” 的，大多数防火墙会允许 “主动发起的连接的返回数据”。

文件服务

具体看以前文章，这里做一下整合

文件服务用于跨设备、跨系统共享文件，SMB/CIFS 适合 Windows 环境，SFTP 基于 SSH 更安全通用。

SMB/CIFS（Samba）：Windows 友好的文件共享

Samba 实现了 SMB 协议，可让 Linux 与 Windows、macOS 无缝共享文件。

核心配置（/etc/samba/smb.conf）：

[global]
   workgroup = WORKGROUP  # 与 Windows 工作组一致
   security = user        # 用户密码认证
   map to guest = bad user  # 拒绝匿名访问

[public]  # 共享名称（Windows 中显示为 \\server\public）
   path = /var/samba/public  # 共享目录
   browsable = yes           # 允许浏览
   writable = yes            # 可写
   guest ok = no             # 不允许匿名访问
   valid users = alice bob   # 允许访问的用户

[private]
   path = /home/alice/private
   writable = yes
   valid users = alice       # 仅 alice 可访问
   create mask = 0600        # 新建文件权限
   directory mask = 0700     # 新建目录权限

用户管理：

Samba 依赖系统用户，但密码独立管理：

# 创建系统用户（若不存在）
sudo useradd -m alice

# 设置 Samba 密码（需输入两次）
sudo smbpasswd -a alice  # -a 添加用户，-x 删除用户

# 重启 Samba 服务
sudo systemctl restart smbd

访问方式：

Windows：Win + R 输入 \\samba-server-ip\public，输入 Samba 用户名密码；
Linux：smbclient //samba-server-ip/public -U alice 或挂载到本地 mount -t cifs //server/public /mnt -o username=alice。

SFTP（基于 SSH）：安全的文件传输

SFTP 是 SSH 的子协议，无需额外服务，仅需开启 SSH 服务即可使用，适合跨平台且对安全性要求高的场景。

限制用户目录（ChrootDirectory）：

默认 SFTP 允许用户访问整个系统，通过配置可限制用户仅能访问指定目录（增强安全性）：

修改 SSH 配置（/etc/ssh/sshd_config）：

# 注释原 Subsystem sftp /usr/lib/openssh/sftp-server
Subsystem sftp internal-sftp  # 使用内置 SFTP 模块

# 针对 sftpuser 组的配置
Match Group sftpuser
    ChrootDirectory /var/sftp/%u  # 限制根目录（必须为 root 所有，权限 755）
    ForceCommand internal-sftp    # 强制使用 SFTP，禁止 SSH 登录
    AllowTcpForwarding no
    X11Forwarding no

创建用户和目录：

# 创建 sftpuser 组
sudo groupadd sftpuser

# 创建用户（禁止登录 shell）
sudo useradd -m -g sftpuser -s /usr/sbin/nologin sftp_alice

# 设置密码
sudo passwd sftp_alice

# 创建 Chroot 目录（权限必须正确，否则登录失败）
sudo mkdir -p /var/sftp/sftp_alice/upload
sudo chown root:root /var/sftp/sftp_alice  # 根目录必须为 root 所有
sudo chmod 755 /var/sftp/sftp_alice
sudo chown sftp_alice:sftpuser /var/sftp/sftp_alice/upload  # 子目录可写

重启 SSH 服务：sudo systemctl restart sshd

访问方式：

命令行：sftp sftp_alice@server-ip（默认端口 22）；
图形工具：FileZilla、WinSCP（输入主机、端口、用户名密码）。

数据与应用

补充一下自动化备份

自动化备份：`crontab` 定时任务

通过 Linux 的crontab设置定时任务，可实现 MySQL 自动备份，避免人工操作遗漏。

（1）编写备份脚本（mysql_backup.sh）

#!/bin/bash
# 备份目录
BACKUP_DIR="/data/mysql_backups"
# 日期格式（如20251109）
DATE=$(date +%Y%m%d)
# 保留备份天数（删除7天前的备份）
RETENTION_DAYS=7

# 创建备份目录（若不存在）
mkdir -p $BACKUP_DIR

# 执行备份（单库示例，替换为实际库名和密码）
mysqldump -u root -p"your_password" --databases blog --single-transaction | gzip > $BACKUP_DIR/blog_$DATE.sql.gz

# 删除过期备份
find $BACKUP_DIR -name "blog_*.sql.gz" -type f -mtime +$RETENTION_DAYS -delete

注意：脚本中直接写密码有安全风险，建议通过~/.my.cnf配置无密码登录（见下方补充）。

（2）添加执行权限

`1`	`chmod +x mysql_backup.sh`

（3）设置crontab定时任务

# 编辑定时任务
crontab -e

# 添加一行：每天凌晨3点执行备份
0 3 * * * /path/to/mysql_backup.sh

格式说明：分时日月周命令，0 3 * * * 表示每天 3 点 0 分执行。

（4）补充：无密码登录配置（~/.my.cnf）

1
2
3

[client]
user=root
password=your_password

设置权限：chmod 600 ~/.my.cnf，避免密码泄露。

Python 后端

Python 后端框架基于不同的网关协议，分为同步（WSGI）和异步（ASGI）两类

WSGI 与 ASGI：协议本质与区别

WSGI（Web Server Gateway Interface）：同步网关协议

WSGI 是 Python Web 应用与 Web 服务器（如 Nginx、Gunicorn）之间的标准接口，定义了二者的通信规范，仅支持同步请求处理。
工作原理：
- 客户端请求到达 Web 服务器（如 Nginx），转发给 WSGI 服务器（如 Gunicorn）；
- WSGI 服务器为每个请求创建一个线程 / 进程，调用应用框架（如 Flask）的处理函数；
- 处理函数同步执行（执行期间线程 / 进程被阻塞），完成后返回响应。
代表框架：Flask、Django（默认）。
局限性：
- 面对 IO 密集型任务（如数据库查询、网络请求）时，线程 / 进程会被阻塞，无法处理其他请求，并发能力有限；
- 不支持 WebSocket 等长连接协议。

ASGI（Asynchronous Server Gateway Interface）：异步网关协议

ASGI 是 WSGI 的继任者，支持同步和异步请求处理，专为高并发和长连接场景设计。
工作原理：
- 基于事件循环（Event Loop）机制，用少量线程处理大量请求；
- 遇到 IO 操作（如等待数据库响应）时，会释放当前线程去处理其他请求，IO 完成后再回调继续执行；
- 原生支持 WebSocket、HTTP/2 等协议。
代表框架：FastAPI、Starlette、Django 3.0+（异步视图）。
优势：
- 处理 IO 密集型任务时，并发能力比 WSGI 高 10 倍以上；
- 支持长连接和异步语法，适合实时应用（如聊天、通知）。

FastAPI

FastAPI 是基于 ASGI 的高性能框架，原生支持异步语法和数据校验，开发效率和运行性能兼具。

async/await 异步语法

用于定义异步函数，实现非阻塞 IO 操作，提升并发能力。

基础示例：

from fastapi import FastAPI
import asyncio

app = FastAPI()

# 异步路由函数（用async def定义）
@app.get("/async")
async def async_endpoint():
    # 模拟IO操作（如数据库查询、网络请求）
    await asyncio.sleep(1)  # 非阻塞等待1秒（不占用线程）
    return {"message": "异步响应"}

# 同步路由函数（用def定义，兼容同步代码）
@app.get("/sync")
def sync_endpoint():
    # 同步IO操作（会阻塞线程）
    time.sleep(1)
    return {"message": "同步响应"}

关键规则：
- 用async def定义的函数可使用await调用其他异步函数（如异步数据库驱动asyncpg）；
- 若调用同步 IO 函数（如requests.get），需用async def+ 线程池（避免阻塞事件循环）；
- 异步函数中不能有阻塞操作（如time.sleep），必须用await调用异步版本（如asyncio.sleep）。

Pydantic 数据校验

FastAPI 依赖 Pydantic 库实现请求数据的自动校验和类型转换，确保输入数据符合预期。

示例：请求体校验

from fastapi import FastAPI
from pydantic import BaseModel, EmailStr, Field

app = FastAPI()

# 定义数据模型（继承BaseModel）
class User(BaseModel):
    name: str = Field(..., min_length=2, max_length=50)  # 必传，字符串长度限制
    age: int = Field(None, ge=0, le=120)  # 可选，整数范围0-120
    email: EmailStr  # 自动验证邮箱格式

# 接收并校验请求体
@app.post("/users/")
async def create_user(user: User):
    return {"user": user.dict(), "message": "用户创建成功"}

校验效果：
- 若请求体不符合模型（如age=-5、email="invalid"），FastAPI 会自动返回 422 错误，包含详细校验信息；
- 支持自动类型转换（如字符串"25"转为整数25）；
- 可通过Field定义额外约束（如默认值、描述、正则匹配）。
适用场景：
- 请求参数（路径参数、查询参数、请求体）校验；
- 响应数据格式化（确保输出结构一致）；
- 数据模型文档自动生成（FastAPI 的 Swagger 文档会基于 Pydantic 模型展示参数说明）。

AI 与 Agent

看以前文章

服务器硬件、虚拟化与PVE

Sun, 09 Nov 2025 00:00:00 +0000

服务器硬件

ECC 内存

ECC（Error-Correcting Code，纠错码）是一种具备错误检测和纠正能力的内存模块。其核心是通过在内存数据中添加额外的校验位（通常为 8 位校验位对应 64 位数据位），利用数学算法（如汉明码、海明码扩展算法）对数据传输和存储过程中的错误进行检测。

优点	缺点
数据纠错能力，保障稳定性	成本更高（比普通非 ECC 内存贵 30%-50%）
降低宕机风险，减少运维损失	性能有微小损耗（校验计算占用少量内存带宽）
支持大容量扩展，适配服务器需求	需主板芯片组支持（普通消费级主板不兼容）

热插拔硬盘

在服务器运行过程中（无需关机），可直接插入或拔出硬盘的硬件技术。其实现依赖两大核心组件

硬件层面：硬盘接口（如 SATA、SAS、NVMe）和服务器背板支持热插拔协议，具备电源隔离和信号切换机制，确保插拔时不影响其他硬件的供电和数据传输。

软件层面：操作系统（如 Linux、Windows Server）和存储控制器驱动支持热插拔检测，当硬盘插拔时，系统可自动识别设备并完成挂载 / 卸载，避免数据丢失。

优点	缺点
在线维护，不中断业务	硬件成本增加（需支持热插拔的硬盘、背板和控制器）
动态扩容，适配业务增长	对操作规范要求高（误操作可能导致数据丢失）
减少停机损失，提升服务可用性	需配合 RAID 使用（单独热插拔硬盘无冗余，故障时仍可能丢数据）

RAID

RAID（Redundant Array of Independent Disks，独立磁盘冗余阵列）是将多个物理硬盘组合成一个逻辑磁盘，通过数据分布和冗余策略，实现性能提升或数据容错的技术。常见级别包括 RAID 0、1、5、10，各有不同的原理和取舍。

RAID 0（条带化）

原理：将数据分割成多个块，分散存储到多个硬盘上，读写时多硬盘并行操作。例如，将 1GB 数据拆分为 4 个 256MB 块，存储到 4 块硬盘中，读取时 4 块硬盘同时传输，理论速度是单块硬盘的 4 倍。
特点：无冗余机制，任何一块硬盘故障都会导致全部数据丢失。

RAID 1（镜像）

原理：至少需要 2 块硬盘，将数据同时写入主硬盘和镜像硬盘，两块硬盘数据完全一致。读取时可从任意一块硬盘获取数据，故障时可切换到正常硬盘。
特点：数据冗余性强，但硬盘利用率仅 50%（2 块硬盘仅能使用 1 块的容量）。

RAID 5（分布式奇偶校验）

原理：至少需要 3 块硬盘，将数据分散存储到所有硬盘，同时计算奇偶校验信息并分布式存储（每块硬盘都包含部分校验数据）。当单块硬盘故障时，可通过其他硬盘的数据和校验信息恢复故障数据。
特点：兼顾冗余和容量利用率（利用率 =（n-1）/n，n 为硬盘数量），但写入性能受校验计算影响。

RAID 10（RAID 1+0，镜像 + 条带化）

原理：至少需要 4 块硬盘，先将硬盘两两组成 RAID 1 镜像对，再将多个镜像对组成 RAID 0 条带化阵列。例如，4 块硬盘分为 2 个镜像对（A1-A2、B1-B2），数据先条带化存储到 A1 和 B1，同时同步到 A2 和 B2。
特点：兼具 RAID 0 的高性能和 RAID 1 的高冗余，可容忍多个硬盘故障（只要每个镜像对中至少有一块硬盘正常）。

各 RAID 级别性能与取舍对比:

RAID 级别	读写性能	数据冗余性	硬盘利用率	最少硬盘数	适用场景	核心缺点
RAID 0	极高（并行读写）	无（单盘故障丢数据）	100%	2	非关键数据存储（如缓存、临时文件）	无容错能力，风险极高
RAID 1	读性能较好，写性能一般	高（单盘故障可恢复）	50%	2	小容量关键数据（如系统盘、数据库日志盘）	容量利用率低，成本高
RAID 5	读性能较好，写性能中等	中（单盘故障可恢复）	（n-1）/n	3	大容量业务数据（如文件服务器、普通数据库）	单盘故障时读写性能下降，不支持多盘同时故障
RAID 10	极高（条带化 + 镜像）	高（多盘故障可容忍）	50%	4	高并发关键业务（如核心数据库、金融交易系统）	成本高，硬盘利用率低

带外管理

带外管理（Out-of-Band Management）是指不依赖服务器操作系统和网络栈，通过独立硬件和专用通道对服务器进行远程管理的技术。其中，IPMI（智能平台管理接口） 是行业通用标准，而戴尔的 iDRAC、惠普的 iLO 则是基于 IPMI 扩展的厂商专属解决方案。它们是数据中心远程排错、运维的 “生命线”，尤其在服务器离线、系统崩溃时仍能正常工作，核心功能包括 KVM 远程控制、虚拟介质挂载等。

概念

带外管理的 “独立性”

硬件独立：通过服务器主板上的专用管理芯片（如戴尔的 iDRAC 芯片、惠普的 iLO 芯片）实现，不占用服务器 CPU、内存资源。
网络独立：通常通过独立的管理网口（如标有 “iDRAC”“iLO” 的网口）连接，与服务器业务网物理隔离，即使服务器系统宕机、网络中断，仍可通过管理网访问。
电源独立：只要服务器接通电源（无需开机），带外管理模块就可工作，支持远程开机、关机、重启。

IPMI：标准化的带外管理协议

IPMI 是由英特尔、戴尔等厂商联合制定的开放标准（目前最新版本为 IPMI 2.0），定义了管理模块与服务器硬件（CPU、内存、风扇、电源等）的通信接口。
厂商专属方案（iDRAC/iLO）均基于 IPMI 扩展，增加了图形化界面、更多硬件监控功能（如温度、电压实时监控）和高级操作（如虚拟介质、固件升级）。

具体实现

KVM Over IP：远程控制台（核心排错功能）

功能：通过网络远程获取服务器显示器、键盘、鼠标的控制权，相当于 “虚拟现场操作”，支持图形化界面（如 BIOS 设置、操作系统安装界面、蓝屏 / 黑屏故障排查）。
优势：
- 不依赖操作系统：即使服务器未安装系统、系统崩溃（如 Linux 内核 panic、Windows 蓝屏），仍能看到控制台输出；
- 低延迟：支持自适应带宽，在网络条件差时仍可流畅操作；
- 跨平台：通过浏览器 Web 界面或专用客户端（如 iDRAC Virtual Console）访问。
使用场景
- 远程安装操作系统（如在无本地光驱的情况下通过 KVM 操作安装界面）；
- 排查系统启动故障（如 GRUB 引导错误、BIOS 设置错误导致的开机失败）；
- 处理蓝屏 / 内核崩溃：直接查看错误代码和堆栈信息。

虚拟介质（Virtual Media）：远程挂载 ISO / 文件

功能：将本地电脑的 ISO 镜像、U 盘、文件夹通过网络 “映射” 为服务器的本地存储设备（如虚拟光驱、虚拟 U 盘），服务器可像访问物理介质一样读取。
支持格式：ISO、IMG、VHD 等，部分型号支持通过 NFS、CIFS 共享挂载网络存储中的介质。

使用场景：
- 远程安装操作系统：挂载系统 ISO 镜像（如 CentOS、Windows Server），通过 KVM 操作完成安装；
- 修复系统：挂载 PE 启动盘 ISO，修复引导或恢复数据；
- 传输驱动 / 工具：将驱动程序 ISO 映射为虚拟光驱，为服务器安装硬件驱动。

固件升级与配置管理

固件升级：远程更新服务器 BIOS、iDRAC/iLO 自身固件、RAID 卡固件等，支持断点续传和回滚机制（避免升级失败变砖）。
配置导出 / 导入：将 iDRAC/iLO 的网络配置、用户权限等导出为文件，批量部署到多台服务器，简化规模化运维。
用户权限管理：支持多用户、多角色（如管理员、操作员），细粒度控制权限（如仅允许查看状态，不允许执行电源操作）。

使用步骤

初始配置（首次使用）

硬件连接：将服务器的 iDRAC 网口通过网线连接到管理网络（交换机或路由器），确保物理链路通畅。
获取管理 IP：
- 方法 1：服务器开机时，通过本地显示器查看 iDRAC 初始化信息（通常会显示默认 IP，如192.168.0.120）；
- 方法 2：通过服务器主板上的 LCD 屏（部分型号支持）查看或修改 iDRAC IP；
- 方法 3：使用戴尔专用工具（如 OpenManage Server Administrator）在本地获取。
登录 Web 界面：在浏览器中输入 iDRAC IP，使用默认账号密码（如root/calvin）登录，首次登录需强制修改密码。

远程 KVM 操作步骤

登录 iDRAC Web 界面，进入「Overview → Server → Console/Media」；
点击「Launch Virtual Console」，下载并运行 Java 插件或 HTML5 客户端（现代 iDRAC 支持无插件 HTML5 模式）；
客户端启动后，即可看到服务器的实时控制台画面，通过本地键盘鼠标远程操作（支持快捷键，如Ctrl+Alt+Del）。

虚拟介质挂载 ISO 步骤

在 iDRAC Web 界面的「Console/Media」页面，切换到「Virtual Media」标签；
点击「Attach」，选择本地电脑中的 ISO 文件（或输入网络共享路径）；
勾选「Auto-attach on next connection」，确保服务器能识别虚拟介质；
进入 KVM 控制台，重启服务器并按对应快捷键（如 F11）进入启动菜单，选择虚拟光驱作为启动项，即可从 ISO 启动。

命令行管理

除 Web 界面外，可通过ipmitool工具（基于 IPMI 协议）命令行操作，适合自动化脚本：

# 安装ipmitool（Linux）
sudo apt install ipmitool  # Debian/Ubuntu
sudo yum install ipmitool  # CentOS/RHEL

# 远程连接iDRAC（需开启IPMI Over LAN）
ipmitool -H 192.168.0.120 -U root -P password power status  # 查看电源状态
ipmitool -H 192.168.0.120 -U root -P password power reset   # 远程重启
ipmitool -H 192.168.0.120 -U root -P password sensor list   # 查看传感器状态（温度、风扇等）

PVE虚拟化

Proxmox VE（简称 PVE）是一款基于 Debian 的开源虚拟化管理平台，整合了 KVM 全虚拟化、LXC 容器技术及集群管理功能

KVM（全虚拟化）与 LXC（容器）的优劣及选型

PVE 同时支持 KVM 和 LXC 两种虚拟化方案，二者底层技术原理不同，适用场景各有侧重。

KVM（全虚拟化）与 LXC（容器）的优劣及选型

KVM（全虚拟化）

本质：基于 Linux 内核的虚拟化模块，通过硬件辅助虚拟化技术（如 Intel VT-x、AMD-V），为虚拟机（VM）模拟完整的硬件环境（CPU、内存、硬盘、网卡等），虚拟机中可安装任意操作系统（如 Windows、Linux、FreeBSD）。
隔离性：虚拟机与宿主机、虚拟机之间完全隔离，拥有独立的内核空间，一个 VM 故障不会影响其他 VM 或宿主机。

LXC（容器虚拟化）

本质：基于 Linux 内核的容器技术，通过 namespace（命名空间）实现资源隔离，通过 cgroup（控制组）实现资源限制，容器共享宿主机的 Linux 内核，仅封装应用及依赖环境。
轻量性：无需模拟硬件和运行独立内核，启动速度快、资源占用低，可在单台宿主机上部署大量容器。

优劣对比

维度	KVM（全虚拟化）	LXC（容器）
资源占用	高（需分配独立硬件资源，存在虚拟化开销）	低（共享内核，几乎无虚拟化开销）
启动速度	慢（需加载完整操作系统，通常分钟级）	快（直接启动应用，秒级甚至毫秒级）
隔离性	强（独立内核，硬件级隔离）	弱（共享内核，依赖内核 namespace 隔离，存在逃逸风险）
系统兼容性	高（支持任意操作系统）	低（仅支持与宿主机内核兼容的 Linux 发行版）
管理复杂度	高（需配置完整硬件参数、网络、存储）	低（简化的资源配置，依赖宿主机基础设施）
硬件穿透	支持（可直接映射 GPU、USB 设备等）	有限（需宿主机内核支持，部分设备无法直接穿透）

优先选 KVM 的场景

需运行 Windows 等非 Linux 操作系统；
对隔离性和安全性要求高（如运行多租户应用、核心业务系统）；
需要硬件设备穿透（如 GPU 虚拟化用于 AI 计算、USB 加密狗）；
应用对内核版本敏感，需独立内核环境。

优先选 LXC 的场景

运行 Linux 轻量应用（如 Web 服务、API 接口、脚本程序）；
追求高密度部署（如单台服务器部署数十个应用实例）；
对启动速度和资源利用率要求高（如微服务架构、临时测试环境）；
简化运维，降低管理成本。

快照（Snapshot）与备份（Backup）的区别

快照

快照是对虚拟机 / 容器在某一时刻的系统状态（包括内存数据、磁盘数据、配置信息）的瞬时记录。基于写时复制（Copy-on-Write, CoW）技术实现:

快照创建后，原始数据被冻结，后续修改操作会写入新的存储块；

回滚时，丢弃修改的存储块，恢复到快照创建时的原始状态，过程快速（秒级）

优势：创建和回滚速度快，不占用大量即时存储（仅记录修改数据），适合临时测试、软件升级等场景的快速故障恢复。
局限：
- 依赖原始存储，若原始存储损坏，快照也会失效；
- 长期保留快照会导致存储性能下降（需跟踪大量修改块）；
- 部分存储类型（如 RAW 格式磁盘）不支持内存快照，仅能记录磁盘数据。
适用场景
- 软件升级、补丁安装前创建快照，若升级失败可快速回滚；
- 临时测试新应用，测试完成后通过快照恢复环境；
- 短期故障恢复（如误操作导致的配置错误）。

备份

备份是将虚拟机 / 容器的完整数据（磁盘镜像、配置文件）复制到本地其他存储或异地存储的过程，支持全量备份和增量备份：

全量备份：复制全部数据，占用空间大但恢复速度快；

增量备份：仅复制上次备份后修改的数据，占用空间小但恢复时需依赖全量备份和后续增量备份链。

优势：数据独立于原始存储，支持异地存储，可应对原始存储损坏、机房灾难等严重故障，是容灾的核心手段。
局限：创建和恢复速度慢（需传输大量数据），占用额外存储资源，增量备份恢复时依赖备份链完整性。
适用场景:
- 长期数据归档（如按天 / 周 / 月定期备份）；
- 异地容灾（将备份数据存储到不同机房或云存储）；
- 严重故障恢复（如硬盘损坏、病毒攻击导致的数据丢失）。

集群：基于 Corosync 与共享存储的高可用架构

PVE 集群的核心目标是实现虚拟资源的高可用（HA），避免单点故障导致业务中断，其运行依赖 Corosync 集群通信协议、共享存储及 “法定人数” 机制。

核心组件

Corosync：集群通信与故障检测

作用：作为集群的 “神经中枢”，负责节点间的心跳检测、状态同步和资源调度指令传输。
工作机制：通过多播或单播方式在集群节点间发送心跳包（默认每 2 秒一次），若某节点超时未响应，Corosync 判定其故障，触发资源迁移。
可靠性保障：支持冗余通信链路，避免因单条网络故障导致的节点误判。

共享存储：资源统一调度的基础

作用：集群中所有节点需访问统一的共享存储（如 Ceph、GlusterFS、iSCSI、NFS），确保虚拟机 / 容器的磁盘数据在节点间可共享。
必要性：当故障节点上的虚拟资源迁移到正常节点时，新节点需从共享存储中读取数据，避免数据不一致。
常见方案：中小企业常用 iSCSI 或 NFS（部署简单），大规模集群优先选 Ceph（分布式存储，高可用且可扩展）。

法定人数（Quorum）：防止脑裂的关键机制

脑裂问题的成因:

当集群网络分区（如交换机故障导致节点分为两组），每组节点都认为对方故障，若两组都继续运行虚拟资源，会导致数据写入冲突（如同一虚拟机在两组节点同时运行），即 “脑裂”。

法定人数机制原理:

法定人数定义：集群正常运行所需的最小节点数量，计算公式为 Quorum = (总节点数 / 2) + 1（向上取整）。
工作逻辑：当集群网络分区后，仅节点数量达到或超过法定人数的分区可继续提供服务，另一分区会自动停止所有虚拟资源，避免脑裂。
针对偶数节点集群（如 4 节点），可添加 QDevice（独立的轻量节点，不运行业务资源），其作用是在网络分区时提供 “额外投票权”，避免集群因双方节点数相等而暂停服务。

适用场景与局限

适用场景：运行核心业务（如数据库、ERP 系统），对业务连续性要求高，需避免单点故障。
局限：部署复杂度高（需配置共享存储、集群网络），硬件成本增加，小规模非关键业务集群性价比低。

存储

LVM-Thin 是 PVE 中常用的精简置备存储方案，通过动态分配存储资源提升利用率，但需警惕 “超售” 带来的风险。

LVM-Thin 核心原理

精简配置（Thin Provisioning）

与传统 LVM（厚置备）不同，LVM-Thin 创建虚拟磁盘时，仅分配 “逻辑容量”，而非立即占用实际物理存储，只有当虚拟机 / 容器写入数据时，才会动态占用物理空间。

示例：创建 2 个各 100GB 的 LVM-Thin 虚拟磁盘，若实际仅写入 20GB 数据，总占用物理空间为 20GB，而非 200GB。

关键组件

Thin Pool：精简存储池，是 LVM-Thin 的核心，所有虚拟磁盘的动态空间均从池中分配。
元数据（Metadata）：记录 Thin Pool 中空间的分配状态，确保数据写入时不冲突。

优势

提升存储利用率：避免传统厚置备中 “分配未使用” 的空间浪费，适合存储需求波动大的场景（如测试环境、弹性业务）。
简化容量规划：无需提前精确预估每个虚拟资源的存储需求，可按需动态扩展（只要 Thin Pool 有剩余空间）。
支持快照功能：LVM-Thin 原生支持快照，且快照创建速度快、占用空间小，与 PVE 的快照功能完美兼容。

“超售” 风险与应对措施

超售风险的成因

由于 LVM-Thin 允许逻辑容量总和超过物理存储容量（即 “超售”），若多个虚拟资源同时写入大量数据，会导致 Thin Pool 空间耗尽，进而引发虚拟机卡死、数据写入失败甚至数据损坏。

风险应对措施

合理规划超售比例：根据业务实际写入量控制超售比例（建议不超过 2:1），避免过度超售。
启用空间监控与告警：在 PVE 中设置 Thin Pool 空间阈值告警（如剩余空间低于 20% 时触发告警），及时扩容或清理无用数据。
定期清理快照：长期保留的快照会占用 Thin Pool 空间，需定期删除无用快照。
避免存储密集型应用：不建议在 LVM-Thin 上运行数据库、日志存储等高频写入的存储密集型应用，优先使用厚置备或分布式存储。

御林服务器的初步认识

Sun, 09 Nov 2025 00:00:00 +0000

知识补充

PVE SDN 的核心概念

LXC使用tailscale注意事项

非特权 LXC 容器的 root 用户（uid 0）会映射到宿主机的普通用户，安全性更高，但默认没有 Tailscale 所需的网络资源权限。

Tailscale 通过 UDP 数据包封装隧道，无需内核模块，但必须访问 /dev/tun 设备 —— 这是非特权容器默认不提供的。所以需要给 LXC 容器开放 /dev/tun 访问

具体操作

根据 Proxmox 版本不同，配置方式略有差异，但核心命令一致：

适用 Proxmox 7 及以上（cgroup2 环境）

找到目标 LXC 容器的配置文件：路径为 /etc/pve/lxc/[容器ID].conf（比如容器 ID 是 112，文件就是 112.conf）。

在配置文件中添加以下 2 行：
1
2
lxc.cgroup2.devices.allow: c 10:200 rwm
lxc.mount.entry: /dev/net/tun dev/net/tun none bind,create=file
重启容器：已运行的容器需先关机再启动，配置才会生效。

后续操作：容器内安装 Tailscale Linux 包，即可正常使用。

适用 Proxmox 6 及更早（cgroup 环境）

配置命令与 Proxmox 7 类似，仅需将 cgroup2 改为 cgroup：
1
2
lxc.cgroup.devices.allow: c 10:200 rwm
lxc.mount.entry: /dev/net/tun dev/net/tun none bind,create=file
其余步骤（重启容器、安装 Tailscale）一致。

Proxmox VE 的 SDN 功能通过 “Zone（区域）- VNet（虚拟网络）- Subnet（子网）” 三层模型实现网络虚拟化，核心目标是为虚拟机 / 容器提供隔离的网络环境，同时支持灵活的地址管理、DHCP 服务和地址转换（SNAT）。

Zone：最高级别的隔离单元，定义网络的基础类型（此处均为simple类型，即简单隔离模式，适用于单机或小规模集群）。
VNet：绑定到 Zone 的虚拟网络，作为子网的载体，实现不同网络的逻辑隔离。
Subnet：VNet 下的 IP 地址段，包含网关、DHCP 地址池、SNAT 开关等配置，直接为虚拟机分配网络资源。

子网

子网就像一个 “小区”，里面有很多 “房子”（IP 地址）。每个子网都有一个固定的 “地址范围”，比如配置中的 10.22.0.0/24 或 10.33.0.0/16，这串数字定义了这个 “小区” 里有多少个可用的 IP 地址。

例子：10.22.0.0/24 表示这个子网的 IP 地址从 10.22.0.1 到 10.22.0.254（共 254 个地址），适合设备数量较少的场景。
例子：10.33.0.0/16 表示从 10.33.0.1 到 10.33.255.254（共 65534 个地址），适合设备数量多的场景。
常用的 IP 地址是 32 位二进制数,0/16 表示前十六位，即10.33不变

为什么需要子网？

如果所有设备都用同一个大网段，就像一个超级大的小区，找设备、管理设备会很麻烦，还容易冲突。子网通过 “分区” 让网络更有序，比如 R730 的 vnet1 和 vnet2 分别用两个子网，避免了 IP 地址混乱。

网关

网关是子网的 “大门”，是一个特殊的 IP 地址（比如 10.22.0.1），负责子网内的设备和外部网络（其他子网或互联网）之间的通信。

比如：vnet1 子网的设备（IP 可能是 10.22.0.100）要访问 vnet2 子网的设备（IP 可能是 10.33.1.100），必须通过各自的网关（10.22.0.1 和 10.33.0.1）转发数据。
如果设备要访问互联网，也必须通过网关 “出门”。

网关的作用：

没有网关，子网就是一个 “孤岛”，里面的设备只能互相通信，无法连接外部。配置中的每个子网都指定了网关（如 G: 10.22.0.1），就是为了让子网能和外界互通。

DCHP

DHCP（动态主机配置协议）就像一个 “门牌号管理员”，当子网里新增设备（比如虚拟机）时，它会自动分配一个 IP 地址（从预设的地址池里选），不用人工手动设置。

例子：R730 的 vnet1 子网中，DHCP 地址池是 10.22.0.100 - 10.22.0.200，表示新设备接入时，会自动拿到这个范围内的 IP（比如 10.22.0.101、10.22.0.150 等）。
好处：避免人工分配 IP 时的冲突（比如两个人同时用 10.22.0.10），减少管理成本。

SNAT

SNAT（源网络地址转换）可以理解为子网的 “共用身份证”。子网内的设备没有直接连接互联网的 “公网 IP”，当它们要访问互联网时，网关会把设备的 “私网 IP”（如 10.22.0.100）转换成网关自己的 “公网 IP”，相当于用网关的身份去访问外部，回来的数据再转回去。

例子：vnet1 启用 SNAT 后，子网内的虚拟机（IP 10.22.0.100）访问百度时，百度看到的不是 10.22.0.100，而是服务器 R730 的公网 IP（比如 192.168.31.45 对应的公网地址）。
好处：不需要给每个设备分配公网 IP（公网 IP 有限且贵），通过网关 “共用” 一个公网 IP 即可访问外部。

为什么配置中都启用 SNAT？

因为这些子网用的是 “私网 IP”（10.x.x.x 是内网专用地址，不能直接访问互联网），必须通过 SNAT 转换才能和互联网通信，所以 R730 和 R510 的所有子网都开启了 SNAT。

VNet

VNet（虚拟网络）是一个 “逻辑上的独立网络”，就像在物理服务器上划分出的 “虚拟网线”，不同 VNet 之间默认是隔离的（不能直接通信），即使它们在同一个物理服务器上。

作用：隔离不同的服务（比如 “新服务” 用 vnet1，“测试服务” 用 vnet2），提高安全性，避免互相干扰。

Zone

Zone 是 VNet 的 “容器”，可以包含多个 VNet，定义了这些 VNet 的基础网络规则（比如用什么技术隔离、用什么工具分配 IP 等）。配置中的 Zone 类型都是 simple（简单模式），适合单机或小规模场景。

PVE SDN布局

R730

Zone: zone111 (simple)
- VNet 1: vnet1 ‑> zone111
  - Subnet: 10.22.0.0/24 (G: 10.22.0.1)
  - SNAT: 启用
  - DHCP: 10.22.0.100 ‑ 10.22.0.200
- VNet 2: vnet2 ‑> zone111
  - Subnet: 10.33.0.0/16 (G: 10.33.0.1)
  - SNAT: 启用
  - DHCP: 10.33.1.100 ‑ 10.33.1.200

# /etc/pve/sdn/.running-config
{
  "controllers": {
    "ids": {}
  },
  "zones": {
    "ids": {
      "zone111": {
        "dhcp": "dnsmasq",
        "type": "simple",
        "ipam": "pve"
      }
    }
  },
  "subnets": {
    "ids": {
      "zone111-10.33.0.0-16": {
        "type": "subnet",
        "vnet": "vnet2",
        "dhcp-range": ["start-address=10.33.1.100,end-address=10.33.1.200"],
        "gateway": "10.33.0.1",
        "snat": 1
      },
      "zone111-10.22.0.0-24": {
        "dhcp-range": ["start-address=10.22.0.100,end-address=10.22.0.200"],
        "gateway": "10.22.0.1",
        "vnet": "vnet1",
        "type": "subnet",
        "snat": 1
      }
    }
  },
  "version": 7,
  "vnets": {
    "ids": {
      "vnet2": {
        "zone": "zone111",
        "type": "vnet"
      },
      "vnet1": {
        "zone": "zone111",
        "type": "vnet"
      }
    }
  }
}

R510

Zone 1: recuit24 (simple)
- VNet: recuit24 → 10.222.0.0/16（网关：10.222.0.1），SNAT: 启用
- DHCP地址池：10.222.0.1 ~ 10.222.0.124
Zone 2: SIMP (simple)
- VNet: VNSimp24 → 10.10.77.0/24（网关：10.10.77.1），SNAT: 启用
- DHCP地址池：10.10.77.100 ~ 10.10.77.200、10.10.77.202 ~ 10.10.77.234
Zone 3: SimpNew (simple)
- VNet: SIMPSIMP → 10.10.33.0/24（网关：10.10.33.1），SNAT: 启用
- DHCP地址池：10.10.33.100 ~ 10.10.33.200

# /etc/pve/sdn/.running-config
{
  "vnets": {
    "ids": {
      "SIMPSIMP": {
        "zone": "SimpNew",
        "type": "vnet"
      },
      "recuit24": {
        "type": "vnet",
        "zone": "recuit24"
      },
      "VNSimp24": {
        "type": "vnet",
        "zone": "SIMP"
      }
    }
  },
  "subnets": {
    "ids": {
      "SIMP-10.10.77.0-24": {
        "type": "subnet",
        "dhcp-range": [
          "start-address=10.10.77.100,end-address=10.10.77.200",
          "start-address=10.10.77.202,end-address=10.10.77.234"
        ],
        "gateway": "10.10.77.1",
        "vnet": "VNSimp24",
        "snat": 1
      },
      "SimpNew-10.10.33.0-24": {
        "vnet": "SIMPSIMP",
        "gateway": "10.10.33.1",
        "type": "subnet",
        "dhcp-range": [
          "start-address=10.10.33.100,end-address=10.10.33.200"
        ],
        "snat": 1
      },
      "recuit24-10.222.0.0-16": {
        "type": "subnet",
        "dhcp-range": [
          "start-address=10.222.0.1,end-address=10.222.0.124"
        ],
        "vnet": "recuit24",
        "gateway": "10.222.0.1",
        "snat": 1
      }
    }
  },
  "controllers": {
    "ids": {}
  },
  "version": 24,
  "zones": {
    "ids": {
      "SIMP": {
        "type": "simple",
        "dhcp": "dnsmasq",
        "ipam": "pve"
      },
      "recuit24": {
        "ipam": "pve",
        "dhcp": "dnsmasq",
        "type": "simple"
      },
      "SimpNew": {
        "ipam": "pve",
        "dhcp": "dnsmasq",
        "type": "simple"
      }
    }
  }
}

24 年的招新平台架构

核心架构（PVE角色映射）

架构分层	PVE角色	核心功能	网络配置
公网入口	公网VM（有公网IP）	流量转发+反向代理打通内网访问	公网IP，开放80端口
核心调度	内网核心VM（内网IP）	流量分发+容器管理+数据库存储	内网IP（如192.168.1.100）
动态题目运行	Docker VM（内网IP）	运行Docker容器+接收容器管理指令	内网IP（如192.168.1.101）
静态题目运行	静态题目VM/LXC	运行静态题目服务（Web/PWN等）	内网IP（如192.168.1.103）

部署步骤

公网VM

安装：nginx + autossh
nginx配置：监听80端口，转发所有请求到本地9000端口（传递Host/用户IP）
autossh配置：autossh -M 23333 -NR 9000:192.168.1.100:9000 root@内网核心VMIP（反向代理到内网核心VM:9000）
关键：免密SSH登录内网核心VM，设置autossh开机自启

内网核心VM（核心部署）

依赖：Python3 + requests + flask + sqlite3
部署文件：listener.py（9000端口）、docker-manager.py（9001端口）、db.py、ctf.db（初始化3表：prob/docker/container）
配置要点：
- listener.py：监听0.0.0.0:9000，正则匹配子域名（静态3位数字/动态随机字符）
- docker-manager.py：监听0.0.0.0:9001，关联数据库+调用Docker VM接口
启动：创建systemd服务，设置开机自启（确保9000/9001端口监听）

Docker VM

安装：Docker引擎 + docker-listener.py（9000端口）
配置：docker-listener.py监听0.0.0.0:9000，接收容器启停指令
测试：docker run hello-world验证Docker可用性，设置服务开机自启

静态题目VM/LXC

部署：运行静态题目服务（如Web开80端口、PWN开9999端口）
配置：内网核心VM的ctf.db中插入题目记录（id+IP+端口）

核心流量链路

用户请求→公网VM:80→nginx转发到本地9000端口
autossh反向代理→内网核心VM:9000（静态）/9001（容器管理）
静态题目：listener.py查询prob表→转发到静态题目VM端口
动态题目：docker-manager.py调用Docker VM:9000→启动容器→listener.py查询container表→转发到容器映射端口

关键配置/验证要点

网络：所有内网VM在同一网段，开放必要端口（9000/9001/容器端口）
自启：所有服务（nginx/autossh/listener/docker-manager/docker-listener）均设置systemd开机自启
数据库：ctf.db需初始化3表，静态题目/动态模板需手动插入记录
排查：用systemctl status 服务名查状态，netstat -tulpn查端口监听，确保免密SSH/容器端口可访问

DevOps on Calendar's Blog

使用 wireguard 进行 pve 组网

准备环境

在中转节点部署WireGuard服务端

1. 安装WireGuard

2. 生成密钥对

3. 配置WireGuard服务端（/etc/wireguard/wg0.conf）

4. 启动服务并设置开机自启

5. 开放中转节点的防火墙端口

在PVE节点部署WireGuard客户端

1. 安装WireGuard（PVE宿主机/虚拟机均可）

2. 生成PVE节点的密钥对

3. 配置WireGuard客户端（/etc/wireguard/wg0.conf）

4. 启动客户端并设置开机自启

在外地设备部署WireGuard客户端

验证组网是否成功

御林服务配置合集

/etc/nginx

nginx.conf

conf.d/auth.conf

conf.d/outline.conf

/conf.d/portainer.conf

conf.d/grist.conf

conf.d/homepage.conf

conf.d/wgeasy.conf

/root/frp

frpc.toml

服务

authentik

outline

grist

homepage

WireGuard

PVE的lxc环境下搭建grist表格

准备工作

配置 docker 环境

配置 grist

要注意的

穿透

DevOps核心服务线

Git版本控制

核心流程

四大核心区域定义

命令与状态转换

协同操作

最佳实践

分支管理

历史管理

Docker与容器化

网络服务和转发

Nginx 反向代理配置

内网穿透

SSH 反向隧道

持久化隧道（autossh）：

Frp 的 C/S 工作模式

零配置网络

文件服务

SMB/CIFS（Samba）：Windows 友好的文件共享

SFTP（基于 SSH）：安全的文件传输

数据与应用

自动化备份：crontab 定时任务

Python 后端

WSGI 与 ASGI：协议本质与区别

FastAPI

AI 与 Agent

服务器硬件、虚拟化与PVE

服务器硬件

ECC 内存

热插拔硬盘

RAID

带外管理

概念

带外管理的 “独立性”

IPMI：标准化的带外管理协议

具体实现

KVM Over IP：远程控制台（核心排错功能）

虚拟介质（Virtual Media）：远程挂载 ISO / 文件

固件升级与配置管理

使用步骤

初始配置（首次使用）

3. 配置WireGuard服务端（`/etc/wireguard/wg0.conf`）

3. 配置WireGuard客户端（`/etc/wireguard/wg0.conf`）

自动化备份：`crontab` 定时任务